VLAN、Access、Trunk、Native VLAN、Q-in-Q 和 VXLAN 有什么区别？
交换网络中，VLAN、Access Port、Trunk Port、Native VLAN、Q-in-Q 和 VXLAN 常被放在一张二层网络图里，但它们并不是同级概念。VLAN 划分逻辑二层广播域；Access Port 把终端的无标签流量归入一个 VLAN；Trunk Port 在一条链路上传递多个 VLAN；Native VLAN 处理 Trunk 上的无标签帧；Q-in-Q 给客户 VLAN 外再加服务商标签；VXLAN 则把二层帧封装进 UDP，在三层 Underlay 上建立 Overlay。 配错标签或边界会导致 VLAN 泄漏、环路、MTU 黑洞或跨租户通信。
本文目录（36 节）
六个概念快速对比
| 概念 | 所在层次 | 标识范围 | 典型用途 |
|---|---|---|---|
| VLAN | 二层逻辑分段 | 802.1Q VLAN ID | 划分广播域 |
| Access Port | 交换端口模式 | 通常一个接入 VLAN | 连接终端、打印机、服务器 |
| Trunk Port | 交换端口模式 | 多个允许 VLAN | 交换机、AP、虚拟化主机互联 |
| Native VLAN | Trunk 特殊映射 | 一个无标签 VLAN | 兼容无标签帧 |
| Q-in-Q | 双层 VLAN Tag | C-VLAN + S-VLAN | 运营商二层承载、租户重号 |
| VXLAN | UDP Overlay | 24 位 VNI | 跨三层网络扩展二层或租户网络 |
VLAN 与 Q-in-Q 改变以太网标签，VXLAN 增加外层 IP/UDP/VXLAN 封装；两类技术的控制面、规模和 MTU 开销不同。
VLAN 是什么
VLAN 把同一物理交换基础设施划分为多个逻辑二层网络。不同 VLAN 的广播默认互相隔离，即使终端连接在同一台交换机上。
VLAN ID 写入 IEEE 802.1Q 标签时用于区分广播域。常见可用编号范围由设备和平台决定，不能把所有 12 位取值都视为业务可用。
VLAN 不等于 IP 子网
VLAN 是二层分段，IP 子网是三层地址与路由范围。常见设计是一 VLAN 对应一个 IPv4/IPv6 子网，但这只是运维约定，不是协议强制一一对应。
同一 VLAN 放多个 IP 子网技术上可行，却增加 ARP/ND、网关和排障复杂度；同一 IP 子网跨多个独立 VLAN 则通常无法自然二层互通。
802.1Q Tag 包含什么
802.1Q 在以太网帧中加入标签信息，包括 VLAN Identifier 和 Priority Code Point 等字段。交换机据此把 Tagged Frame 归入相应 VLAN。
标签会增加帧长度。链路两端和中间设备必须支持相应 Tagged Frame 与 MTU，否则可能丢弃看似只多了几个字节的报文。
Untagged Frame 是什么
Untagged Frame 没有普通 802.1Q VLAN 标签。交换机收到后，需要根据入端口配置把它归入某个 VLAN。
“线上的帧无标签”不代表它不属于 VLAN。Access Port 在内部转发时仍会把该流量与指定 VLAN 关联。
Access Port 是什么
Access Port 通常连接不感知 VLAN 的终端，并把收到的 Untagged Frame 归入一个 Access VLAN。发往终端时，交换机一般去除该 VLAN 的标签。
终端无需理解 802.1Q，只看到普通以太网。不同厂商对 Tagged Frame 进入 Access Port 的处理可能不同，应依据平台文档确认。
Access VLAN 是什么
Access VLAN 是 Access Port 所属的业务 VLAN。例如端口配置为 VLAN 20，终端的无标签流量进入交换机后按 VLAN 20 转发。
它不自动等于 Trunk 的 Native VLAN。Cisco 官方资料明确指出，Access VLAN 不会自动作为 Native VLAN 使用。
Trunk Port 是什么
Trunk Port 允许一条物理或聚合链路携带多个 VLAN，通常在交换机之间、交换机到路由器、无线 AP 或虚拟化主机之间使用。
每个 Tagged Frame 带 VLAN ID，接收端据此分流。Trunk 不是“速度更快的端口”，而是多 VLAN 复用的端口模式。
Allowed VLAN List 是什么
Trunk 上应明确限制允许通过的 VLAN。即使设备默认允许全部 VLAN，生产环境也应只开放链路实际需要的集合。
两端 Allowed List 不一致会产生单向或局部可达；过宽则扩大广播和错误配置的影响范围。
Native VLAN 是什么
Native VLAN 用来映射 802.1Q Trunk 上的 Untagged Frame。在常见配置中，Native VLAN 流量发出时不带标签，收到无标签帧时归入 Native VLAN。
部分平台支持让 Native VLAN 也强制 Tagged。是否 Tagged 必须在链路两端保持一致。
Native VLAN 与 Access VLAN 的区别
Access VLAN 属于 Access Port 的单 VLAN 归属；Native VLAN 属于 Trunk 对无标签帧的特殊处理。二者名称和用途不同。
把交换机一端设 Trunk Native 10，另一端设 Access 20，不会自动协商出正确映射，反而可能造成 VLAN 泄漏。
Native VLAN Mismatch 会怎样
链路两端 Native VLAN 不一致时，同一无标签帧会被两端归入不同 VLAN。控制协议、管理流量或用户数据可能进入错误广播域。
设备可能报告 Mismatch，但不能依赖告警代替配置一致性。应在变更前后核对两端运行配置和实际帧标签。
为什么建议标记 Native VLAN
在支持的平台上，将 Native VLAN 也 Tagged 可减少无标签解释差异，并可配置丢弃 Trunk 上意外的 Untagged Frame。
但这需要链路两端同时支持并一致配置。单边开启会直接中断 Native VLAN 流量。
Voice VLAN 是 Access 还是 Trunk
连接 IP Phone 与 PC 的端口常同时承载 Untagged Data VLAN 和 Tagged Voice VLAN。厂商可能称为 Access + Voice VLAN、Tagged Access 或其他混合模式。
它不是标准 Trunk 配置的简单同义词。安全策略、LLDP/CDP 通告和允许标签集合应按设备实现配置。
Q-in-Q 是什么
Q-in-Q 又称 VLAN Stacking，在客户 802.1Q 标签外再加入一个服务 VLAN 标签。内部是 C-VLAN，外部是 S-VLAN。
服务商可用 S-VLAN 区分客户，同时保留客户自己的 VLAN 结构。不同客户即使都使用 C-VLAN 100，也可通过不同 S-VLAN 隔离。
C-VLAN 与 S-VLAN
C-VLAN 是客户侧标签，通常由客户网络管理；S-VLAN 是服务提供商在承载网络中加入的外层标签。转发边界会执行 Push、Pop、Swap 等操作。
标签所有权必须明确。客户不应能任意注入服务商保留的外层标签，否则可能突破租户隔离。
Q-in-Q 为何扩展 VLAN 空间
单个 VLAN ID 空间有限，且不同客户编号会重叠。外层 S-VLAN 提供额外层次，让运营商不必重写每个客户的全部内部 VLAN。
它扩展的是分层标识组合，不是把单个 802.1Q VLAN ID 字段直接变成更长数字。
Q-in-Q 的 MTU 开销
额外外层 VLAN Tag 增加帧长度。Juniper 官方文档提醒，链路需要增加 MTU 或限制客户侧帧大小，否则双标签帧可能超过承载能力。
排查大包失败时，要计算以太网头、单/双标签以及上层隧道全部开销，不能只看 IP MTU。
VLAN Translation 与 Q-in-Q 的区别
VLAN Translation 把一个 VLAN ID 改写为另一个，常见操作是 Swap；Q-in-Q 则通常 Push 外层标签并保留内层客户标签。
Translation 解决编号映射，Stacking 解决分层封装。某些设备支持组合 Push、Pop、Swap，配置语义需逐平台确认。
VXLAN 是什么
VXLAN 即 Virtual eXtensible LAN，把原始二层帧封装在 UDP 中，通过三层 IP 网络传输。RFC 7348 面向虚拟化数据中心的多租户 Overlay 场景。
Underlay 只需提供 VTEP 间 IP 可达，Overlay 用 VNI 标识逻辑网络。这样二层租户网络可以跨越三层 Leaf-Spine 基础设施。
VNI 是什么
VXLAN Network Identifier 是 24 位标识，用于区分 Overlay Segment，规模远大于传统 12 位 VLAN ID 空间。
VNI 只在 VXLAN Overlay 中有意义，不是交换机本地 VLAN ID 的直接替代。边缘设备通常维护 VLAN-to-VNI 映射。
VTEP 是什么
VXLAN Tunnel Endpoint 负责把本地二层帧封装成 VXLAN UDP 报文，并在远端解封装。VTEP 可以位于物理交换机、虚拟交换机或主机软件中。
排障要同时检查本地 VLAN、VNI、远端 VTEP、Underlay 路由和 Overlay 控制面。
Underlay 与 Overlay
Underlay 是承载 VXLAN 报文的 IP 网络，负责 VTEP 之间可达、ECMP 和 MTU；Overlay 是租户看到的逻辑二层或三层网络。
Overlay 故障不一定是 VXLAN 配置本身。Underlay 丢包、MTU 不足或路由不稳定都会表现为租户网络异常。
VXLAN 与 Q-in-Q 的核心区别
Q-in-Q 在以太网帧上堆叠 VLAN 标签，通常要求中间承载理解服务 VLAN；VXLAN 把整个二层帧封装进 IP/UDP，中间网络只需路由外层 IP。
Q-in-Q 常见于城域以太网或简单二层服务，VXLAN 常见于数据中心 Overlay 和大规模多租户网络。
VXLAN 是否一定需要 EVPN
不一定。RFC 7348 描述包括 Flood-and-Learn 等机制；实际现代网络常用 BGP EVPN 分发 MAC/IP 和 VTEP 信息，减少数据面学习与泛洪。
VXLAN 是数据面封装，EVPN 是常用控制面。两者相关但不能混为同一协议。
VLAN 到 VNI 映射
接入端收到某 VLAN 的帧后，VTEP 根据配置映射到 VNI，封装后跨 Underlay 发送。远端解封装，再映射到当地 VLAN 或路由实例。
两端 VLAN ID 可以按设计相同或不同，但 VNI 和租户语义必须一致，避免把两个租户接入同一 Overlay。
VXLAN 的 MTU 开销
VXLAN 增加外层以太网、IP、UDP 和 VXLAN Header，开销明显大于一个 VLAN Tag。Underlay 常需配置更大的 MTU。
小 Ping 成功、大流量失败时，应测试带 DF 的逐步增大报文，并核对所有中间链路，而不是只检查 VTEP 端口。
广播、未知单播和多播如何处理
VLAN 内的 BUM Traffic 需要在多个端点间复制。VXLAN 可使用 Underlay Multicast 或 Head-End Replication，具体取决于控制面和平台。
VTEP 列表错误会导致未知单播或 ARP/ND 不完整。限制 BUM 范围和启用 EVPN 抑制机制可提升规模性。
典型园区网络选择
普通办公终端使用 Access Port；交换机或 AP 上联使用受限 Trunk；Native VLAN 尽量避免承载敏感业务并保持两端一致。
园区内部若没有大规模跨三层二层延伸需求，不必仅为“新技术”引入 VXLAN。
典型运营商选择
客户需要透明携带多个自有 VLAN 时，可评估 Q-in-Q；更复杂的多点二层或三层 VPN 可能使用 EVPN/VXLAN、MPLS 等架构。
选择取决于规模、控制面、故障域、OAM、设备能力和 SLA，而不只是 VLAN 数量。
安全边界
Access Port 应拒绝非预期标签；Trunk 只允许必要 VLAN；Native VLAN 配置一致；Q-in-Q 边缘限制客户可用标签；VXLAN 控制面验证邻居并隔离 VNI。
VLAN 只是分段机制，不等于完整安全边界。跨 VLAN 访问仍需三层防火墙、ACL 和身份策略。
排障步骤
从端口模式开始，确认 Access VLAN、Trunk Allowed List、Native VLAN 和实际 Tag；Q-in-Q 再查内外标签与 MTU；VXLAN 再查 VLAN-VNI 映射、VTEP、Underlay 路由、控制面与 BUM 复制。
使用 MAC Table、ARP/ND Table、EVPN Route、Packet Capture 和接口计数器形成完整证据链。
常见错误
常见错误包括认为 VLAN 就是子网、Trunk 默认一定允许所需 VLAN、两端 Native VLAN 不一致、Q-in-Q 忘记增加 MTU、把 VNI 当 VLAN ID，以及只查 Overlay 不查 Underlay。
另一错误是用 Native VLAN 承载管理平面，同时允许不可信端口发送 Untagged Frame，扩大 VLAN Hopping 风险。
结论
VLAN 定义二层广播域，Access 和 Trunk 决定端口如何承载单个或多个 VLAN，Native VLAN 解释 Trunk 的无标签流量，Q-in-Q 用双标签分层承载，VXLAN 则跨三层网络建立大规模 Overlay。
设计时应根据故障域和规模选择最简单可验证的方案，并在每个封装边界明确标签、映射、MTU 和安全责任。
常见问题
Access Port 发出的帧一定没有标签吗？
普通 Access 模式通常向终端发送 Untagged Frame，但 Voice VLAN、Tagged Access 和厂商特性可能例外，应看实际端口模式。
Trunk 是否会自动允许所有 VLAN？
不同平台默认值不同。生产配置应显式限制 Allowed VLAN，并核对链路两端。
Native VLAN 可以与 Access VLAN 使用同一编号吗？
编号可以相同，但它们属于不同端口模式的配置概念，不会自动互相继承。
Q-in-Q 能否解决所有 VLAN 数量限制？
不能。它提供分层标签组合，但仍受平台表项、S-VLAN 资源、MTU、OAM 和广播规模限制。
VXLAN 是否比 VLAN 更安全？
不天然更安全。VXLAN 扩展 Overlay 标识和传输范围，仍需正确的 VNI 隔离、控制面保护和三层安全策略。
官方与协议资料
- Juniper：Bridging and VLANs — https:
/ / www. juniper. net/ documentation/ us/ en/ software/ junos/ multicast- l2/ topics/ topic- map/ bridging- and- vlans. html - Cisco：Configuring Access and Trunk Interfaces — https:
/ / www. cisco. com/ c/ en/ us/ td/ docs/ switches/ datacenter/ nexus5000/ sw/ layer2/ 503_ n2_ 1/ b_ Cisco_ n5k_ layer2_ config_ gd_ rel_ 503_ N2_ 1. html - Cisco：vlan dot1q tag native — https:
/ / www. cisco. com/ c/ en/ us/ td/ docs/ ios/ lanswitch/ command/ reference/ lsw_ book/ lsw_ u1. html - Juniper：Q-in-Q and VLAN Translation — https:
/ / www. juniper. net/ documentation/ us/ en/ software/ junos/ multicast- l2/ topics/ topic- map/ q- in- q. html - Juniper：VLAN Tag Stacking and Rewriting — https:
/ / www. juniper. net/ documentation/ us/ en/ software/ junos/ multicast- l2/ topics/ concept/ Stacking. html - RFC 7348：Virtual eXtensible Local Area Network — https:
/ / www. rfc- editor. org/ rfc/ rfc7348 - RFC 8365：Network Virtualization Overlay with EVPN — https:
/ / www. rfc- editor. org/ rfc/ rfc8365