一般来说，一个物理端口只属于一个VLAN，这样VLAN的数量必须与路由器以太网物理端口数量以及交换机用于级联的端口数量保持一致，这将浪费大量的端口，并且极大地限制了VLAN的扩展和影响了划分灵活性。为了解决这一问题，让一个物理端口传输多个VLAN数据流，可以使用“标签”(Tag)技术，即在此端13上对每个数据帧贴上标签(Tag)用于标记该帧所属VLAN。支持802.1Q的交换机其端13有Tag、Untag之分。所谓Unmg，就是将802.1QVLAN的信息从数据包的包头去掉。具有去标记能力的(untaggingenabled)端口会将VID、优先级和其它VLAN信息从所有进出该端口的数据包包头中去掉。如果在此前数据包内没有被标记过，那么端口将不对该数据包进行改动即去标记(untagging)，使得数据包能够从一台支持802.1Q的交换机传送到其它不支持802.1Q的交换机上。系统利用其VLAN标识号即VLANID来确定数据帧的转发，需要网络设备支持Tag封装协议。基于802.1Q的VLAN技术具有很大的灵活性，我们用基于VLANTag技术组建私用专网。 

　　由于各个校区相距比较远，各工作部门分布于不同的校区，每个职能部门在各个校区都有自己的派出机构，因此，组建“一卡通”专网非常迫切。我们在各个校区配置一台三层交换机，带两个千兆模块用以校区间的互联，用单模光纤在各个校区间组成一个环。 

　　设：每个交换机的l，2口划为—个VLAN，定义为Backbone，在VLAN为Backbone的Interface上定义IP，各个校区的互联网关应该在同一个子网上，这样就实现了IP互联。有了环网就可以在上面开展各种应用，譬如：每个校区的三层交换机第3口用于食堂一卡通，就只需把l，2，3口划为一个VLAN，定义为VLAN1，其中l，2口标以Tag。该三层交换机是不开动态路由的，各个私用专网要互相分开，如果要有新用户加入，只要把l，213打上Tag加入到自己的VLAN里就行，既方便，又容易查故障，是一种比较经济的办法。这种做法是把私网从公网中分开，如果要上公网就必须要有另外的物理通道，这样有时又比较麻烦。另一种方法是用一台二层交换机作为用户的接入，把1-8口用于公网的用户，把9一l6口用于私网的用户，l7口为上连，把1-8，17口划为VLAN1，其中l7口为Untag，9-16，17臼划为VLAN2，其中17口为Tag，三层交换机对应的下连13也要被划为两个VLAN，VLANID，Tag，Untag都要跟二层交换机的VLAN相对应。再在三层交换机用Acl控制，就能比较好的保护私网，做到公网、私网用户共用同一物理线路。但其安全性也不是很好，如果中间有好几层交换机，那要一路打Tag，维护就比较困难的。用二层交换机来划分VLAN主要是划分冲突域，而三层交换机主要是划分广播域。 

　　结束语 

　　基于VLAN技术的校园一卡通系统目前已在各个校园内实际运行，各方面性能良好。当然，基于VLAN技术的各种应用还有许多，如各类专用私网的构建，动态VLAN的应用等等，它是现今为止可以借助于现有组网交换设备而不需额外投入的较为节约的一种有效的专网构建手段。

　　来源：中国一卡通网