三层交换机可以让vlan之间通信，为何还要划vlan？

不是多此一举吗？

小明的爸爸是王村长，王村长有一天颁布了一条奇葩的规定：以后村民之间的猪肉的交易，必须经过村长的手才能交易，否则打断腿。

村民们私下觉得这条规定好奇葩，但是想想好像这样自己也不会有啥损失，加上摄于王村长的淫威，村民都乖乖地无条件遵守。

有一天，小明看到村民老张要卖肥肉给老李，老张将猪肉提到王村长家，王村长用肥腻的手在肥肉上摸了两下，然后递给老李说，可以交易了。。。

等老张老李都离开时，小明不解地问爸爸：老王啊，你这样做有何意义呢？

王村长笑而不语，不紧不慢地将双手展开在小明的面前，上面沾满了油水。小明顿悟，原来咱家炒菜做饭的油水都源于此。。。。。

故事虽粗糙，但背后的哲理却一点儿也不。

人类的需求是不断升级的，对互联网的需求也是。计算机之间的通信需求最初非常单纯，只要能把电脑物理连接在一起，让它们能互相通信就行，至于网速什么的、网络安全等更高追求，压根不重要。一个在沙漠里干渴三天的人，无论什么水，只要能喝那就是甘露。根本不会讲究什么高山矿泉水、高海拔负离子水、活性炭养生河水。

为了让电脑物理连接在一起，人类发明了集线器。集线器所有端口处于同一个冲突域。意味着任何时刻只能有一台电脑在发报文，其它的电脑只能听。如果其它电脑有报文需要发送，必须等冲突域没有报文在传输，才能尝试去发报文。如果同时有多台电脑在竞争发报文，那么很有可能报文会发生冲突，意味着多台电脑发出的报文统统作废。N台电脑需要在下一个时间窗口继续玩同样的游戏，如果报文发出且没有冲突，那么恭喜这台幸运的电脑，终于发出了一个报文。电脑的时间都浪费在无意义的等待上了，真正用于有效传输数据的比例很小很小。

一个村庄有100户人家，通往高速公路只有一条道，这通行效率肯定不高。为了提高村民的通行效率，如果每家每户都有一条直通高速公路的道路，是不是通行效率会高很多？

是的，于是人类发明了交换机，交换机可以让连接的100台电脑同时收发数据。相比集线器这是多么伟大的发明，人们发现与使用集线器相比，使用交换机网速快了好几个数量级。

饱暖思淫欲，普通二层交换机，虽然每个端口位于独立的冲突域，但是交换机的所有端口却依然位于同一个广播域。而且随着加入广播域的电脑越来越多，广播报文对广播域内每台电脑的轮番轰炸，对电脑会产生不可忽视的负面影响。

此外，同一个广播域内的电脑可以自由自由访问对方而不受控制，不受控制是管理者最最忌讳的，所以一定要发明一项技术予以修正。

人类发明了VLAN技术，将交换机从原先一个广播域（没有VLAN），切割成多个广播域（VLAN）。

• 一个广播域（相同VLAN）内的所有主机，都有相同的网段，可以自由自在的访问对方。

• 不同广播域（不同VLAN）主机之间的主机通信，必须经过一个三层路由设备，这个三层路由设备，可以是：路由器、防火墙、三层交换机。

以上内容可以参考这篇文章。这个三层路由设备可以看做村长老王，老王想让你们交易，你们就可以互相通信，老王如果不想让你们交易，还想反了不成？

当今的网络，网速越来越快了，但是网络却越来越不安全了。人类也是第一次有互联网，没有什么安全经验。所以网络里隐藏着N多安全隐患。为了弥补修复这些安全漏洞，人类一直在努力。

恶意主机冒充网关（冒充网关发ARP广播），那么广播域内的其它主机也没有知道是不是假冒的，于是就将流量发给了这个假冒网关，整个广播域的主机可能都无法上网。

针对于此，以前的做法就是DHCP Snooping ARP Inspection。而目前的比较简单粗暴的方法是端口隔离。每台电脑都处于一个独立的广播域，与其它电脑的ARP报文互不可见。