VLAN（Virtual Local Area Network，虚拟局域网）是一种网络技术，用于在物理网络上创建逻辑上的独立子网。VLAN 标签是实现 VLAN 功能的关键组成部分，它允许数据帧在不同 VLAN 之间有效传输，同时保持网络的隔离。
VLAN 标签是一个附加在数据帧中的特殊标识，用于指示帧所属的 VLAN。当帧从一个 VLAN 成员端口进入交换机时，标签会被添加到帧中，而在离开另一个 VLAN 成员端口时，标签会被移除。这确保了帧只在指定的 VLAN 内部传播，防止了不同 VLAN 之间的不必要的通信。
VLAN 中存在两种类型的接口，即接入端口（Access Port）和骨干端口（Trunk Port）。接入端口主要用于设备接入 VLAN，例如工作站或服务器。当无标签的帧从接入端口进入交换机时，交换机会自动添加一个 VLAN 标签，该标签通常基于端口的PVID（Port VLAN ID）。反之，当帧离开接入端口时，标签会被移除，使得接收设备看不到 VLAN 信息。
骨干端口则用于在交换机之间传输带有 VLAN 标签的帧。它们不会在发送帧之前去除 VLAN 标签，以便接收交换机可以根据标签将帧路由到正确的端口。这样，VLAN 标签可以保持完整，直到帧到达目的地。
VLAN 标签有两种主要的格式：思科的 Inter-Switch Link (ISL) 和 IEEE 的 802.1Q 标准。ISL 是思科的私有协议，它在帧头和尾部分别增加了26字节和4字节的信息，但其兼容性有限，只能在思科设备间使用。相比之下，802.1Q 是一个行业标准，它在帧的二层头部插入4字节的标签，具有更好的跨厂商兼容性。
在处理 VLAN 标签时，交换机在入方向和出方向有不同的规则。入方向上，交换机检查报文的标签或无标签状态，并根据端口类型（Access、Trunk 或 Hybrid）和PVID（Port VLAN ID）来决定是否允许报文进入。对于Untagged报文，交换机会为其分配PVID对应的VLAN标签。对于Tagged报文，Access端口只接受与PVID匹配的报文，而Trunk和Hybrid端口则根据配置决定是否接收。
在出方向，标签的处理方式取决于端口类型。Access端口总是剥离标签，无标签转发；Trunk端口则根据报文所在的VLAN与PVID的关系决定是否携带标签转发；Hybrid端口则依据配置，若VLAN配置为Tag，则转发时带标签，否则不带标签。
VLAN标签是实现网络隔离和流量控制的重要机制，它通过在数据帧中添加特定的标识，使得网络管理员可以灵活地划分和管理网络资源，提高网络的安全性和效率。理解VLAN标签的工作原理和处理规则对于网络设计和故障排查至关重要。
