PVID和VID彻底研究

PVID和VID彻底研究

 (2012-08-10 17:42:40)

转载▼

标签：  科技   包头   端口   接口   未标记

PVID和VID彻底研究（上）
——PVID的作用及和VID的区别

Pvid和Vid经常出现于二、三层交换机里，由于PVID和VID的设置不合理，造成VLAN划分变得混乱。本文就对PVID和VID进行了彻底研究。

首先解释一下什么是PVID，PVID英文解释为Port-base VLAN ID，是基于端口的VLAN ID.

通俗的讲，指的是native Vlan，即不打Vlan标记的Vlan，一般默认为Vlan 1。

　　去超市买东西有个扫描设备扫描一下商品上的标签，然后价格就会出现

　　商品上的标签就好比一个标记，而扫描器就好比解读这个标记的设备

　　PVID和VID（标记）之间的关系就好比扫描器和商品标记的关系，不同的是PVID不仅用来解析ViD也用来生成VID

　　比如电脑PC等，自身不具备产生标记的能力，因为数据帧格式是固定的，发送端自身不知道自身是哪个VLAN成员那么他自己当然不可能在帧内标记VLAN id了，标记和解标记都是由中间设备来完成的.

　　交换机上的端口分为三种一种是接入层端口直连设备的，叫做Access；一种是交换机和交换机之间的端口负责汇聚的叫做Trunk，还有一种是Access与Trunk混合的模式，叫做Hybrid。

　　Access端口负责接终端设备，他收到一个帧的时候，如果帧这个没有标记他就用自己的pvid给他打上标记，他在发出一个帧时如果VID=PVID就去掉标记(解标记)以保证传送给终端设备的帧没有被变动过(中间设备添加了标记)，pvid是在划分vlan时候每个端口都有的属性，默认情况下思科交换机中每个端口初始pvid是1，表示他是vlan 1的成员们如果你给他划分了其他VLAN那么PVID相应会发生更改

　　ACCESS端口的特点是只允许符合PVID的流量通过

　　Trunk的意思是，它是一条，允许各种VLAN通过。它的规则和Access差不多，当收到一个没有tag的标记的时候就用自己的pvid给他标记，当发送一个帧时候如果vid=pvid则去掉pvid，与Access不同的是，Trunk有一个属于自己的本征VLAN(Native VLAN,也叫PVID)，用来发送一些cdp，bpdu等间联系的数据或者管理流量，从交换机自身产生的帧在发出去的时候是不会带标记的，因为VID=pvid所以标记被去掉，而对端接收到没有标记的帧时候就会用自身本征VLAN的信息给他加上标记，然后查看交换表如果发现目的地址是自己则去掉标记，如果发现目的mac地址不是自己则继续转发给其他Trunk同时去掉标记（因为一个交换机只有一个本征VLAN所有pvid=vid去掉标记）

　　Hybrid是Access与Trunk的混合模式，它允许VID=pvid。Hybrid与Trunk一样，在该端口上可以传送多个vlan的包，一般用于交换机与交换机之间，或者交换机与服务器之间的链接。如果收到的不带vlan，则加上pvid进行转发；如果收到的数据包带vlan，则判断该端口是否允许该vlan进入，如果可以则进行转发，否则丢弃。

在网上发现一个比较好的解释是：PVID并不是加在帧头的标记，而是端口的属性，用来标识端口接收到的未标记的帧。也就是说，当端口收到一个未标记的帧时，则把该帧转发到VID和本端口PVID相等的VLAN中去。

为了验证这一说法，在S3026上做了以下实验：
在S3026上选两个端口，连接两台主机A、B，按照下表给端口设置不同的PVID和VID，用A ping B，并在B上抓包，记录实验结果。


注：结果中“有”表示抓包有ICMP的包（但ping不通），“无”表示没有，“通”表示可以ping通。VID为“无”表示该端口没有加到任何VLAN里。

所有结果为“无”的可以解释为：当端口1收到无标记的帧后，转发到VID＝PVID＝1的端口去，由于端口2无VID，故主机B收不到包。
所有结果为“有”的可以解释为：当端口1收到无标记的帧后，转发到VID＝PVID＝1的端口去，由于端口2的VID＝1，故主机B收到ICMP的ECHO包，并发出ECHO Reply，由于此种情况下端口1的VID不等于1，故B的Reply并不能到达A。所以只有当两个端口的PVID和VID一样时，才可以互通。
到此我和大家一样有个疑问，一个VLAN干吗要设置PVID和VID两种标识呀？反正只有当PVID＝VID时才能互通，只有一个不就够了吗？请往下看。

当所有VLAN都在一个交换机里时，确实只需要一个标识就够了，但跨设备的VLAN就需要另一种标识，这就是802.1Q的VLAN ID，即VID。
我们知道802.1Q的VLAN是在二层帧里加进VLAN标识，俗称打tag，而计算机不能解析这种二层的帧，所以交换机的一个端口在分到一个VLAN时有tag和untag属性两种属性，tag端口用来连接设备，untag端口用来连接计算机。Tag端口出去的帧一般都打上了tag，tag中的VID有的来自PVID，有的则来自其它tag端口中本身就含有tag的帧。
设备互连时，由tag中的VID决定了一个二层帧属于哪个VLAN，而计算机不具备打tag的功能，所以只有给连接计算机的端口添加一个属性，用来决定计算机发出的未标记的帧属于哪个VLAN，这个属性就是PVID。

到此我们理解了PVID的含义和作用，但似乎只有untag端口下的PVID才具有意义，而实际上tag端口也有PVID属性，PVID对tag端口会造成什么影响呢？请看中篇。

PVID和VID彻底研究（中）
——PVID值对TAG端口影响

在上篇，我们理解了PVID的含义和作用，本篇将通过实验，分别在S3026和S3526上研究PVID值对tag端口的影响。首先在S3026上进行实验，如下图所示：

我们将用到3个端口：Port 1、2、3，
各端口PVID设置如下：
Port 1：PVID = n
Port 2：PVID = 2
Port 3：PVID = 3
创建2个VLAN：
vlan2：VID = 2，包含Port 1 (tag)、Port 2 (untag)
vlan3：VID = 3，包含Port 1 (tag)、Port 3 (untag)
将3台主机A、B、C分别接在Port 1、2、3上，
分别用主机B、C去ping主机A，在主机A上抓包。

实际上tag端口接计算机是没有意义的，因为计算机无法解析打了tag的二层包文，但通过抓包软件可以抓到这种二层报文，通过这种方法可以进行分析。
实验时主机B和C可以是同一台计算机，只不过接到不通端口上，为了方便说明，将它们分开表示。
实验结果如下：
当n = 1时，可以看到来自B和C的包头前都含有802.1Q的Packet，B、C都不能ping通A（ping不通是由于主机A无法解析打了tag的二层包,他们的Packet中含有各自端口PVID打的TAG,通过Tag端口,原样发送了）；
当n = 2时，可以看到来自B的包头前不含有802.1Q的Packet，而来自C的有，仅B可ping通A；；
当n = 3时，可以看到来自C的包头前不含有802.1Q的Packet，而来自B的有，仅C可ping通A；；

通过分析，得出S3026转发机制大致如下：
1、由主机B发出的包到接口2（由于此时B不知道A的MAC地址，会发出arp广播包）
2、根据接口2的PVID的值（PVID＝2），发往VID=2的VLAN中的所有接口
3、接口1属于VLAN 2，所以接口1能收到此包
4、此时如果VLAN 2中接口1是tag端口，则将接口1的PVID值和VID进行比较：
如果PVID=VID则从接口1出去的包不打tag
如果PVID!=VID则从接口1出去的包打tag

由此可见，以前设为tag端口的PVID不起作用的说法在S3026上并不适用，正确的说法应该是：S3026上的某个VLAN中的tag端口，在转发在此VLAN中包时出去前，先检查该tag端口的PVID是否等于VID，若相等则发出的包不打tag，若不等则打上tag。

而在S3526上重复这个实验时，得到了不同的结果：在S3526上，只要某个VLAN中的端口设为tag端口，在转发来在此VLAN中包时出不管该端口的PVID值是多少，都打上tag。（不同厂家设备的实现方式不一样，需要注意！）

我们来总结一下，S3026的VLAN转发的机制：在一个端口接收到一个无标记帧时，仅仅由该端口的PVID决定该帧转发到哪个VLAN中，即转发到VID＝PVID的VLAN中。

下面是定义的各种端口类型对各种数据帧的处理方法；

	Tagged数据帧		Untagged数据帧
	in	out	in	out
Tagged端口	原样接收	原样发送	按接收端口的PVID打TAG标记	按照PVID打的TAG标记发送
Untagged端口	丢弃	去掉TAG标记	按接收端口的PVID打TAG标记	原样发送

到此，我们都只是在单独一个设备上研究PVID的影响，下篇将结合一个故障实例，解释跨设备时PVID的影响。

 

PVID和VID彻底研究（下）
——一个故障实例的分析

某网组网结构如下图所示，某路由器下挂S3526，S3526下挂S3026，S3026下面接了4个用户：


其中S3526的接口1上接路由器，打tag标记；接口2接S3026，打tag标记，PVID为1。
S3026的配置是这样的：
S3026的接口1上接S3526，打tag标记，属于VLAN 2、3、4、5，PVID为2；
接口2接用户2，属于VLAN 2，PVID为2；
接口3接用户3，属于VLAN 3，PVID为3；
接口4接用户4，属于VLAN 4，PVID为4；
接口5接用户5，属于VLAN 5，PVID为5；

故障现象为：用户2的用户无法上网，而其它的用户可以上网；如果将S3026的上连口的PVID值配置为3，那么用户3的用户无法上网，其它的用户可以上网；
最后我们将S3026的上连口的PVID值设置为1，4个用户的用户就都可以上网了。

根据前两篇的结论，我们发现，接口1的PVID＝2，故从VLAN 2来的包从接口1出去后不打tag，而此时S3526的接口2的PVID＝1，收到未标记得包后，将其送到VLAN 1里。原本VLAN 2的包送到了错误的VLAN里，所以VLAN 2下的用户上不了网。

当我们将S3026接口1的PVID设为1时，它不等于所属任何VLAN地VID，送出去的包都打了tag，此时S3526能根据tag将接受到的包送到正确的VLAN里，故所有VLAN下用户都能上网了。

我们可以补充一个实验，将S3026的接口1和S3526的接口2的PVID都设为2，此时所有用户都能正常上网，原因是这样的：S3026将VLAN 2的包不打tag的从接口1送出去，S3526的接口2收到的包有打tag的（VLAN 3、4、5），也有不打tag的（VLAN 2）。S3526的接口2对于打tag的包，能够发往正确的VLAN；不打tag的包，根据接口2的PVID值，送到VID＝PVID的VLAN里，而此时接口2的PVID＝2，也恰巧正确的送到了VLAN 2里。所有VLAN的包在跨设备后，通过不同的方式，都正确的发往所在的VLAN，于是所有用户都能正常上网，只不过VLAN 2和其它的VLAN途径有点不同。可见，设备两端的PVID一致时，在解决问题的同时，也把潜在问题给隐藏起来。例如在把S3526隔接为其它设备时，可能会又造成某个VLAN的用户上不了网，而此时故障原因不容易找到。

我们来总结一下，交换机的PVID和VID给VLAN配置带来了灵活性，同时也带来了一些麻烦，配置的不好可能带来问题很隐蔽。所以我们以后在配置VLAN时要注意以下几点：
1、 对于untag端口，PVID要和所属VLAN的VID一致；
2、 对于tag端口，PVID要不同于所有所属VLAN的VID；(使它原样发送)
3、 两台设备互联时，两端接口的PVID保持一致时，有弊也有利；

到此，我们真正意义上理解了基于端口的VLAN，也理解了PVID的作用，希望本文能给困惑于PVID和VID的人带来一点帮助。

另一篇 

PVID VID学习总结

PVID和VID的区别就是，如果在端口状态处于ACCESS状态下，它接收到的信息是不带TAG的，也就是说尽管它属于一个VLAN里面，但是交换机处理时并不会发现它的状态信息，而此时来自该端口如果检查该帧没有TAG的话，就会在帧头打上port vlan id（PVID）标，这样交换机内部交换就会把PVID和VID进行比对，把帧送到PVID=VID的VLAN里面，这是此VLAN会查看有无此端口的MAC地址，也既是此端口属不属于此VLAN，如果属于，就按照MAC地址表的状态发送出去。

以上一图显示的是下面的PVID表和VID表显示的状态，其中交换机的所有端口都是ACCESS状态，默认来自此端口的帧没有Vlan tag。

好，从上面的两个图，我们来做以下的实验分析，确定PVID和VID的作用。

此时位于VLAN10下面的port1中有一台主机A要发送一个回显请求报文给VLAN20下面的port9中的主机B，默认A有B的MAC地址。

1、A发送一个源MAC和IP为自己的ICMP请求报文，该信息被port1收到，交换机收到此数据后发现并没有VID信息，于是就给该帧加上了端口属性Port vlan id，而此时它的PVID从以上的表中可以得知为10，即是说此端口是属于VLAN10的，然后交换机进行内部交换，又根据PVID所指明的信息把此帧发送给了相应的vlan10里面，而从上面的VID表中可得知，vlan10里面没有有端口9-16的MAC地址信息，（因为表中表明端口9-16并不属于vlan10，于是交换机不再进行转发，而此时发送ICMP请求报文的主机A系统会封装一个信息提供给操作系统，表明ICMP请求超时，请求回应失败，A、B并不能进行连接。

再来另外一种情况，主机A要发送一个ICMP请求报文给VLAN30里的端口18下面的主机C，我们来做一下通讯过程分析。

2、主机A封装一个ICMP请求报文，已知目的主机C的MAC地址，此报文被交换机的port1收到，因为是ACCESS状态，默认没有VID信息，于是端口1给帧加上了PVID tag，接下来该帧送到了交换机内部进行内部交换，交换机拆过此帧，发现PVID属于VLAN10，于是把帧送到了VLAN10，而此时根据上面的VID表可得知17-20口属于VLAN10，于是参看MAC地址-端口映射表，知道此MAC地址指明的端口是port18，于是把帧发送到了port18，port18接到帧后不再查看PVID，直接发送给下面的主机，而主机收到的帧已经被拆下TAG信息了，属于untag状态，主机C收到了回显请求，发现请求的目的IP和MAC地址均是自己，于是决定回应，于是封装了一个ICMP回应报文，目的IP和MAC为主机A。

该报文被端口18收到，因为同样处于ACCESS状态，没有vid，于是默认的加上了PVID tag，然后送给了内部交换，交换机处理该数据时发现该帧属于VLAN30，于是交给了VLAN30，此时从上面的表中可得知端口9-16，17-20都处于VLAN30，于是查看MAC地址-端口映射表，知道了此MAC地址对应的端口是1号口，于是把该帧送给了端口1，端口1收到后向下发送，被主机A收到，此时主机A收到的信息也是不带TAG的，因为同样道理，处于ACCESS状态下的端口发送、接受帧都是不带TAG的，主机A收到了ICMP回应，在默认超时范围内，所以反馈给用户ICMP请求成功，能正确的和C建立连接。

思考1：如果以上的VID表中，30下面没有端口1-8，那么该帧还是会被交换机丢弃而不转发，也就是说同样的主机A收不到主机C发送的回应报文，超时响应，反馈给主机不能建立连接。

思考2：如果此时所有端口均是TRUNK状态下，也就是说端口收到的数据都会打上VLAN TAG，也就是说该帧到达交换机内部交换的时候不再理会PVID，因为此时根本没有PVID信息，而直接查看VID表，如果目的端口处于相应的VLAN内则会转发，如果不处于则丢弃。也就是说只有在ACCESS状态下收到的帧才会查看PVID信息-VID信息；而处于TRUNK状态下则不进行PVID的查询。

思考3：PVID是一种默认的端口属性，cisco并没有此功能，华为和D-link等一线台湾品牌有此功能。

总算是把PVID和VID之间的区别进行了彻底的了解和对自己有了交代。

VLAN中tagged与untagged的处理

各种端口类型对各种数据帧的处理方法:

所谓的Untagged Port和tagged Port不是讲述物理端口的状态，而是将是物理端口所拥有的某一个VLAN ID的状态，一个物理端口可以在一些VLAN ID上是Untagged Port，在另一些VLAN ID上是tagged Port； 我的理解： ACCESS：PVID的Untagged Port;        接收时：如果是Untagged帧，按照PVID打上tag然后寻找相同VLAN ID的端口转发；如果是Tagged帧，丢弃；        发送时：如果是Untagged帧，直接发出；如果是Tagged帧，VLAN ID等于PVID的话就去掉tag然后发出，否则丢弃； TRUNK：多个VLAN ID（根据permit定义或GVRP学习）的Tagged Port和PVID的Untagged Port;       接收时：如果是Untagged帧，按照PVID打上tag然后寻找相同VLAN ID的端口转发；如果是Tagged帧，VLAN ID在Tagged Port有定义时直接寻找相同VLAN ID的端口转发，否则丢弃；       发送时：如果是Untagged帧，按照PVID打上tag然后发出；如果是Tagged帧，VLAN ID在Tagged Port有定义时直接发出，否则丢弃； HYBRID:任意VLAN ID的Tagged或Untagged Port，PVID的Untagged Port;       接收时：如果是Untagged帧，按照PVID打上tag然后寻找相同VLAN ID的端口转发；如果是Tagged帧，VLAN ID在Tagged Port有定义时直接寻找相同VLAN ID的端口转发，VLAN ID在Untagged Port有定义时去掉tag后寻找相同VLAN ID的端口转发，否则丢弃；       发送时：如果是Untagged帧，按照PVID打上tag然后发出；如果是Tagged帧，VLAN ID在Tagged Port有定义时直接发出，VLAN ID在Untagged Port有定义时去掉tag后发出，否则丢弃； 一个简单实例：一个数据包从PC1发出经过ACCESS->TRUNK->TRUNK->ACCESS->PC2数据包发生了怎么样的变化？我们先把上述的描述变换为IEEE802.1Q的标准描述：一个数据包从PC1机发出经过（Untagged 数据帧）SWITCH A:ACCESS端口（PVID定义为100）TRUNK端口（PVID定义为1，tagged Port:VLAN 100）SWITCH B：与A相同PC1数据包发生了怎么样的变化？（Untagged 数据帧）首先假设两台交换机刚刚开机（MAC地址表为空）从PC1发出的数据帧进入SWITCH A的ACCESS端口以后，会按照这个端口的PVID打100的Tag标记，根据交换机的转发原理，交换机会把这个数据帧转发给VID=100的所有端口（除了进口以外），这个过程叫做VLAN Flood；由于Trunk端口拥有VID=100，所以接收到这个标记Tag为100的tagged数据帧；由于Trunk端口在VID=100上为tagged Port，所以在发送数据帧的时候，不改变Tagged数据帧的结构；到了SWITCH B的Trunk端口的时候，由于Trunk端口拥有VID=100，所以接收到这个标记Tag为100的tagged数据帧；SWITCH B的Trunk端口，接收到标记tag为100的tagged数据帧，并不作任何的更改，根据交换机的转发原理，交换机会把这个数据帧转发给VID=100的所有端口（除了进口以外）；（因为此时交换机还没有完整的ARP表，否则会单播发送）这样SWITCH B的ACCESS端口就可以收到标记tag为100的tagged数据帧；ACCESS端口在发出标记tag为100的tagged数据帧的时候，会去掉TAG标记，转发untagged数据帧给PC2；这样PC2就收到了这个数据。

端口tagged和untagged详解

收藏人：

2012-03-12 | 阅：  转：  |  分享

|

  

情况列举 Switch收发 Switch对标记的处理 remark
Access (接收) Tagged = PVID 不接收 注：部分高端产品可能接收。
Access (接收) Tagged =/ PVID 不接收 注：部分高端产品可能接收。
Access (接收) Untagged 接收 增加tag＝PVID 从PC

Access (发送) Tagged = PVID 转发 删除tag 
Access (发送) Tagged =/ PVID 不转发 不处理 
Access (发送) Untagged 无此情况 无此情况 无此情况

Trunk (接收) Tagged = PVID 接收 不修改tag 
Trunk (接收) Tagged =/ PVID 接收 不修改tag 
Trunk (接收) Untagged 接收 增加tag＝PVID 
Trunk (发送) Tagged = PVID If Passing then 转发 删除tag 
Trunk (发送) Tagged =/ PVID If Passing then 转发 不修改tag 
Trunk (发送) Untagged 无此情况 无此情况 无此情况（注）

Hybrid (接收) Tagged = PVID 接收 不修改tag 对端是trunk
Hybrid (接收) Tagged =/ PVID 接收 不修改tag 对端是trunk
Hybrid (接收) Untagged 接收 增加tag＝PVID 类Trunk
Hybrid (发送) Tagged = PVID Tag 和 untag 中列出的vlan可以passing 看Tag项和untag项 
Hybrid (发送) Tagged =/ PVID Tag 和 untag 中列出的vlan可以passing 看Tag项和untag项 
Hybrid (发送) Untagged 无此情况 无此情况 无此情况（注）

我来解释一下
收报文：
Acess端口1、收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发,如果有则直接丢弃（缺省）
发报文：
Acess端口： 1、将报文的VLAN信息剥离，直接发送出去       
收报文：
trunk端口： 1、收到一个报文，判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有判断该trunk端口是否允许该 VLAN的数据进入：如果可以则转发，否则丢弃
发报文：
trunk端口： 1、比较端口的PVID和将要发送报文的VLAN信息，如果两者相等则剥离VLAN信息，再发送，如果不相等则直接发送
收报文：
hybrid端口： 1、收到一个报文
      2、判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有则判断该hybrid端口是否允许该VLAN的数据进入：如果可以则转发，否则丢弃
发报文：
hybrid端口：1、判断该VLAN在本端口的属性（disp interface 即可看到该端口对哪些VLAN是untag， 哪些VLAN是tag）
      2、如果是untag则剥离VLAN信息，再发送，如果是tag则直接发送

先呈请一下上面的几个帖子的术语：

Tag为IEEE802.1Q协议定义的VLAN的标记在数据帧中的标示；
ACCESS端口，TRUNK端口是厂家对某一种端口的叫法，并非IEEE802.1Q协议的标准定义；

这个数据交换的过程比较复杂，如果想解释的话，首先要了解一下几个IEEE802.1Q协议的定理；
1、下面是定义的各种端口类型对各种数据帧的处理方法；

	Tagged数据帧		Untagged数据帧
	in	out	in	out
Tagged端口	原样接收	原样发送	按端口PVID打TAG标记	按照PVID打TAG标记
Untagged端口	丢弃	去掉TAG标记	按端口PVID打TAG标记	原样发送

2、所谓的Untagged Port和tagged Port不是讲述物理端口的状态，而是讲诉物理端口所拥有的某一个VID的状态，所以一个物理端口可以在某一个VID上是Untagged Port，在另一个VID上是tagged Port；

3、一个物理端口只能拥有一个PVID，当一个物理端口拥有了一个PVID的时候，必定会拥有和PVID的TAG等同的VID，而且在这个VID上，这个物理端口必定是Untagged Port；

4、PVID的作用只是在交换机从外部接受到Untagged 数据帧的时候给数据帧添加TAG标记用的，在交换机内部转发数据的时候PVID不起任何作用；

5、拥有和TAG标记一致的VID的物理端口，不论是否在这个VID上是Untagged Port或者tagged Port，都可以接受来自交换机内部的标记了这个TAG标记的tagged 数据帧；

6、拥有和TAG标记一致的VID的物理端口，只有在这个VID上是tagged Port，才可以接受来自交换机外部的标记了这个TAG标记的tagged 数据帧；

以下是神州数码对命令的定义（各个厂家对命令的定义可能不一定一致，但是都必须遵循上面的定理）：

1、Trunk端口就是在一个物理端口上增加这个交换机所有VLAN的VID标示，并且除了和这个物理端口PVID标示一致的VID标示为Untagged Port外，在其他的VID上都是Tagged Port；

2、Access端口就是指拥有一个和PVID标记相同的VID的物理端口，在这个VID上，遵循定理一定为untagged Port；

在了解了以上的基础理论之后，我们在来看一下楼主的问题：

一个数据包从PC机发出经过ACCESS端口->TRUNK端口->TRunk->ACCESS->PC数据包发生了怎么样的变化？

我们先把上述的描述变换为IEEE802.1Q的标准描述：

一个数据包从PC机发出经过（Untagged 数据帧）

ACCESS端口（PVID定义为100，VID=100=Untagged Port）->

TRUNK端口（PVID定义为1〈出厂配置，没有更改〉，VID=1=Untagged Port，VID=100=tagged Port）->

另一个交换机的TRunk端口（PVID定义为1〈出厂配置，没有更改〉，VID=1=Untagged Port，VID=100=tagged Port）->

另一个交换机的ACCESS端口（PVID定义为100，VID=100=Untagged Port）->

PC数据包发生了怎么样的变化？（Untagged 数据帧）

首先假设两台交换机刚刚开机（MAC地址表为空）从PC机发出的数据帧进入交换机的ACCESS端口以后，会按照这个端口的PVID打100的Tag标记，根据交换机的转发原理，交换机会把这个数据帧转发给VID=100的所有端口（除了进口以外），这个过程叫做VLAN Flood；参照上面的定理1；

由于Trunk端口拥有VID=100，所以才可接受这个标记Tag为100的tagged数据帧；参照上面的定理5；

由于Trunk端口在VID=100上为tagged Port，所以在发送数据帧出交换机的时候，不改变Tagged数据帧的结构；参照上面的定理1；

到了另一个交换机的Trunk端口的时候，由于Trunk端口拥有VID=100，所以才可接受这个标记Tag为100的tagged数据帧；参照上面的定理6；

另一个交换机的Trunk端口，接收到标记tag为100的tagged数据帧，并不作任何的更改；参照上面的定理1；

另一个交换机收到到标记tag为100的tagged数据帧，根据交换机的转发原理，交换机会把这个数据帧转发给VID=100的所有端口（除了进口以外）；参照交换机交换原理（受到一个未知目的MAC数据帧）；

这样另一个交换机的ACCESS端口就可以收到标记tag为100的tagged数据帧；参照上面的定理5；

另一个交换机的ACCESS端口在发出标记tag为100的tagged数据帧的时候，会去掉TAG标记，转发untagged数据帧给PC；参照上面的定理1；

这样PC机就收到了这个数据；

读 深入理解华为交换机的hybrid端口模式

Tag，untag以及交换机的各种端口模式是网络工程技术人员调试交换机时接触最多的概念了，然而笔者发现在实际工作中技术人员往往对这些概念似懂非懂，笔者根据自己的理解再结合一个案例，试图向大家阐明这些概念

untag就是普通的ethernet报文，普通PC机的网卡是可以识别这样的报文进行通讯；
tag报文结构的变化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag头；一般来说这样的报文普通PC机的网卡是不能识别的

带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含：
2个字节的协议标识符（TPID)，当前置0x8100的固定值，表明该帧带有802.1Q的标记信息。
2个字节的标记控制信息（TCI），包含了三个域。
Priority域，占3bits，表示报文的优先级，取值0到7，7为最高优先级，0为最低优先级。该域被802.1p采用。
规范格式指示符（CFI)域，占1bit，0表示规范格式，应用于以太网；1表示非规范格式，应用于Token Ring。
VLAN ID域，占12bit，用于标示VLAN的归属。


以太网端口的三种链路类型：Access、Hybrid和Trunk：
Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；
Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；
Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。
Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。

在这里大家要理解端口的缺省VLAN这个概念
Access端口只属于1个VLAN，所以它的缺省VLAN就是它所在的VLAN，不用设置；
Hybrid端口和Trunk端口属于多个VLAN，所以需要设置缺省VLAN ID。缺省情况下，Hybrid端口和Trunk端口的缺省VLAN为VLAN 1
如果设置了端口的缺省VLAN ID，当端口接收到不带VLAN Tag的报文后，则将报文转发到属于缺省VLAN的端口；当端口发送带有VLAN Tag的报文时，如果该报文的VLAN ID与端口缺省的VLAN ID相同，则系统将去掉报文的VLAN Tag，然后再发送该报文。

注：对于华为交换机缺省VLAN被称为“Pvid Vlan”， 对于思科交换机缺省VLAN被称为“Native Vlan”


交换机接口出入数据处理过程：

Acess端口收报文:
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发,如果有则直接丢弃（缺省）

Acess端口发报文：
将报文的VLAN信息剥离，直接发送出去
trunk端口收报文：
收到一个报文，判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有判断该trunk端口是否允许该 VLAN的数据进入：如果可以则转发，否则丢弃

trunk端口发报文：
比较端口的PVID和将要发送报文的VLAN信息，如果两者相等则剥离VLAN信息，再发送，如果不相等则直接发送

hybrid端口收报文：
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有则判断该hybrid端口是否允许该VLAN的数据进入：如果可以则转发，否则丢弃(此时端口上的untag配置是不用考虑的，untag配置只对发送报文时起作用)

hybrid端口发报文：
1、判断该VLAN在本端口的属性（disp interface 即可看到该端口对哪些VLAN是untag， 哪些VLAN是tag）
2、如果是untag则剥离VLAN信息，再发送，如果是tag则直接发送