细分与省事的取舍
VLAN 划分越细，广播域越小、隔离越好，但网关、DHCP 作用域、ACL、STP 实例与监控对象都会跟着增加，每一项都要有人维护。反过来划分过粗，一个广播域里混着交换机、打印机和办公终端，一处异常波及全公司。合理的粒度来自「安全等级优先，其次区域，最后业务类型」这个排序，而不是按人来划。
粒度权衡
| 划分粒度 | 隔离收益 | 管理成本 |
|---|---|---|
| 按部门 | 中 | 低 |
| 按楼层或区域 | 中 | 低 |
| 按安全等级 | 高 | 中 |
| 按人/设备 | 高 | 很高 |
决策维度
- 安全等级不同的终端必须分开：办公、服务器、摄像头、访客互不混用
- 广播与组播压力大的业务单独成域：视频监控、语音、存储流量
- 管理对象数量决定成本：每个 VLAN 都意味着一套网关与策略要维护
- 无线与有线是否同域：同域便于漫游，分域便于策略差异化管理
- 是否需要跨 VLAN 访问：跨域访问需求多时，细分的收益会被策略复杂度抵消
基本信息
| 推荐顺序 | 先按安全等级，再按区域，最后按业务类型 |
|---|---|
| 编号规划 | 与上述顺序呼应，留出按区域分段的扩展空间 |
| 配套成本 | 网关、DHCP 作用域、ACL、STP 实例、监控与台账 |
| 替代手段 | 端口隔离、私有 VLAN、认证与 ACL 可在不增加 VLAN 的前提下解决隔离 |
推荐维度：安全等级优先，其次区域，最后业务类型；编号规划呼应此顺序，后续扩容时不必打乱已有编号。划分结果要落到 VLAN 台账与编号规划文档，新接入设备按台账分配，不现场临时新增。
VLAN 数量膨胀会同步抬高 STP 实例数、泛洪域数量与排障复杂度。凡是能用 ACL、端口隔离或接入认证解决的隔离需求，都不必用新增 VLAN 来实现。