1 vlan简介
VLAN（Virtual Local Area Network）的中文名为"虚拟局域网"。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第二层以上交换机才具有此功能。802.1Q的标准的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了VLAN的迅速发展。
2 交换机端口工作模式简介
交换机端口有三种工作模式，分别是Access，Hybrid，Trunk。
Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；
Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；
Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。
Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。
3 基本概念（tag，untag，802.1Q）
untag就是普通的ethernet报文，普通PC机的网卡是可以识别这样的报文进行通讯；
tag报文结构的变化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag头；一般来说这样的报文普通PC机的网卡是不能识别的
下图说明了802.1Q封装tag报文帧结构
带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含：
2个字节的协议标识符（TPID)，当前置0x8100的固定值，表明该帧带有802.1Q的标记信息。
2个字节的标记控制信息（TCI），包含了三个域。
Priority域，占3bits，表示报文的优先级，取值0到7，7为最高优先级，0为最低优先级。该域被802.1p采用。
规范格式指示符（CFI)域，占1bit，0表示规范格式，应用于以太网；1表示非规范格式，应用于Token Ring。
VLAN ID域，占12bit，用于标示VLAN的归属。
4 交换机接口出入数据处理过程
4.1 端口接收报文时的处理：
Acess端口收报文:
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发,如果有则直接丢弃（缺省）
trunk端口收报文：
收到一个报文，判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有判断该trunk端口是否允许该 VLAN的数据进入：如果允许则报文携带原有VLAN标记进行转发，否则丢弃该报文。
hybrid端口收报文：
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有则判断该hybrid端口是否允许该VLAN的数据进入：如果可以则转发，否则丢弃。
4.2 端口发送报文时的处理
Acess端口发报文：
将报文的VLAN信息剥离，直接发送出去
trunk端口发报文：
比较端口的PVID和将要发送报文的VLAN信息，如果两者相等则剥离VLAN信息，再发送，否则报文将携带原有的VLAN标记进行转发。
hybrid端口发报文：
1、判断该VLAN在本端口的属性
2、如果是untag则剥离VLAN信息，再发送，如果是tag则比较端口的PVID和将要发送报文的VLAN信息，如果两者相等则剥离VLAN信息，再发送，否则报文将携带原有的VLAN标记进行转发。
****************************************************************************************
原文地址：http://blog.csdn.net/jesseyoung/article/details/40047749
博客主页：http://blog.csdn.net/jesseyoung
****************************************************************************************
-
tag报文结构是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，普通的PC网卡是不能识别 的。
-
Access端口只属于1个VLAN,一般用于连接计算机端口。
-
Trunk类型的端口可用于多VLAN通信。
-
Hybrid类型的端口允许多VLAN通过，可以接收发送多VLAN报文，可用于交换机与交换机的连接，也可用于交换机和计算机的连接。
-
Hybrid类型的端口和trunk端口在处理数据包时，方法是一样的。唯一不同之处在于发送数据包时，hybrid端口可以允许多个VLAN的数据包发送时不打标签，而truck端口只允许缺省vlan(native vlan或者default vlan)的数据包发送时不打标签。
-
Access端口只属于一个vlan, 所以它的缺省VLAN就是它所在的VLAN, 不用设置。hybrid 端口 和trunk端口属于多个VLAN, 所以需要设置缺省VLAN, 默认情况下，它们的缺省VLAN是VLAN 1.
-
如果设置了端口的缺省VLAN ID, 当端口接收到不带VLAN tag的数据包之后，则将数据包转发到缺省VLAN 所在的交换机端口；当端口发送带有VLAN tag的数据包时，如果该数据包的VLAN ID与端口缺省VLAN相同，则交换机将去掉数据包携带的VLAN tag, 然后转发到该端口。
-
华为交换机的缺省VLAN 被称为PVID, 思科交换机则称为Native VLAN.
-
交换机端口处理进出数据包过程如下：
-
Access 端口接收数据包：
收到一个数据包，判断是否有VLAN信息，如果没有则打上端口的Native VLAN ID, 并进行交换转发。
有人问了：如果有VLAN信息呢？一般情况下不应该将access端口与带有vlan的另一端口相连，因为access本来就是为接入普通计算机而设计的，而普通计算机的网卡发送数据包是不带vlan的。如果由于配置错误将其连到了对端trunk端口，或者现在有些计算机的网卡已经可以收发带有VLAN tag数据包，在这两种情况下，我的理解是，如果trunk端口发来的数据的VLAN ID与Access端口的native vlan相同，则交换机转发该数据包。如果trunk端口发来的数据包的VLAN ID与access端口的native vlan不同，则交换机丢弃该数据包。
-
Access 端口发送数据包：
将数据包的VLAN信息剥离，直接发送出去。
-
Trunk端口接收数据包：
收到一个数据包，判断是否有VLAN信息，如果没有则打上端口的Native VLAN ID，并进行交换转发。
如果有VLAN信息，则判断该trunk端口是否允许该VLAN的数据包进入，如果允许则转发，否则丢弃。
-
Trunk端口发送数据包：
比较端口的Native VLAN和发送数据包的VLAN信息，如果两者相等则剥离VLAN信息，然后发送。如果不相等，则直接发送。
-
Hybrid端口接收数据包：
收到一个数据包，判断是否有VLAN信息， 如果没有则打上端口的Native VLAN ID, 并进行交换转发。
如果有VLAN信息，则判断该hybrid端口是否允许该VLAN的数据包进入，如果允许则转发，否则丢弃。
-
Hybrid端口发送数据包：
判断该VLAN在本端口配置的属性，如果属性是untag, 则剥离VLAN tag再进行转发。如果属性是tag, 则直接发送。
有一点必须清楚，就是交换机内部在处理数据包时，所有的数据包一定是打上VLAN tag的，知道了这一点，那么交换机处理VLAN的具体过程就很容易理解了。
举例1：
两台交换机，一台端口配置trunk, native vlan为100， 另一台端口配置access, native vlan 为默认的1.
问： 连接到两台交换机的PC, 能互通吗? 为毛?
答案：通。 因为，trunk端口发出去的native vlan数据包中的vlan tag会被剥离，则另一交换机的access口收到的数据包是untag的，它当然能处理， 它收到后只在内部使用native vlan 1, 等一出交换机，由于是access端口，vlan tag就会被剥离掉，并送到trunk端口，而trunk端口再重新打上自己的native vlan 100进行转发。
这个例子说明，中继端口发送native vlan数据包时是剥离tag的，即使两个链路配置了不同的native vlan, 也能互通。但是这时交换机的console口一般会报错：“Mismatched Native VLAN". 呵呵，是不是很神奇？
TRUNK是端口汇聚的意思，允许交换机与交换机、交换机与路由器、主机与交换机或路由器之间通过两个或多个端口并行连接同时传输以提供更高带宽、更大吞吐量， 大幅度提供整个网络能力。VLAN TRUNK一般是你设置了多个VLAN后，想通过一个端口传输多个VLAN，这个后需要把该端口设置为TRUNK了。
在技术领域中把TRUNK翻译为中文是“主干、干线、中继线、长途线” ，不过一般不翻译，直接用原文。而且这个词在不同场合也有不同的解释：
1、 在网络的分层结构和宽带的合理分配方面，TRUNK被解释为“端口汇聚”，是带宽扩展和链路备份的一个重要途径。TRUNK把多个物理端口捆绑在一起当作一个逻辑端口使用，可以把多组端口的宽带叠加起来使用。TRUNK技术可以实现TRUNK内部多条链路互为备份的功能，即当一条链路出现故障时，不影响其他链路的工作，同时多链路之间还能实现流量均衡，就像我们熟悉的打印机池和MODEM池一样。
2、在电信网络的语音级的线路中，Trunk指“主干网络、电话干线”，即两个交换局或交换机之间的连接电路或信道，它能够在两端之间进行转接，并提供必要的信令和终端设备。
3、 但是在最普遍的路由与交换领域，VLAN的端口聚合也有的叫TRUNK，不过大多数都叫TRUNKING ，如CISCO公司。所谓的TRUNKING是用来在不同的交换机之间进行连接，以保证在跨越多个交换机上建立的同一个VLAN的成员能够相互通讯。其中交换机之间互联用的端口就称为TRUNK端口。与一般的交换机的级联不同，TRUNKING是基于OSI第二层数据链路层（DataLinkLayer)TRUNKING技术，如果你在2个交换机上分别划分了多个VLAN（VLAN也是基于Layer2的），那么分别在两个交换机上的VLAN10和VLAN20的各自的成员如果要互通，就需要在A交换机上设为VLAN10的端口中取一个和交换机B上设为VLAN10的某个端口作级联连接。VLAN20也是这样。那么如果交换机上划了10个VLAN就需要分别连10条线作级联，端口效率就太低了。 当交换机支持TRUNKING的时候，事情就简单了，只需要2个交换机之间有一条级联线，并将对应的端口设置为Trunk，这条线路就可以承载交换机上所有VLAN的信息。这样的话，就算交换机上设了上百个个VLAN也只用1个端口就解决了。
当一个VLAN跨过不同的交换机时，在同一VLAN上但是却是在不同的交换机上的计算机进行通讯时需要使用Trunk。Trunk技术使得一条物理线路可以传送多个VLAN的数据。交换机从属于某一VLAN（例如VLAN 3）的端口接收到数据，在Trunk链路上进行传输前，会加上一个标记，表明该数据是VLAN 3的；到了对方交换机，交换机会把该标记去掉，只发送到属于VLAN 3的端口。
如果是不同台的交换机上相同id的vlan要相互通信，那么可以通过共享的trunk端口就可以实现，如果是同一台上不同id的vlan/不同台不同id的vlan它们之间要相互通信，需要通过第三方的路由来实现。
Pvid和Vid经常出现于二、三层交换机里，由于PVID和VID的设置不合理，造成VLAN划分变得混乱。本文就对PVID和VID进行了彻底研究。
pvid是交换机上的概念,说的是进入该端口的报文如果没有打vlan id就按pvid的值打上，
vid是报文上的vlan tag的意思.不是同个概念哦.
首先解释一下什么是PVID，PVID英文解释为Port-base VLAN ID，是基于端口的VLAN ID，一个端口可以属于多个vlan，但是只能有一个PVID，收到一个不带tag头的数据包时，会打上PVID所表示的vlan号，视同该vlan的数据包处理，所以也有人说PVID就是某个端口默认的vlan ID号。
默认情况下，简单的理解为：
ACCESS端口接PC，VID=PVID
TRUNK端口级联，VID=全部，PVID=1
简单的说，VID（VLAN ID）是VLAN的标识，定义其中的端口可以接收发自这个VLAN的包；而PVID（Port VLAN ID）定义这个untag端口可以转发哪个VLAN的包。比如，当端口1同时属于VLAN1、VLAN2和VLAN3时，而它的PVID为1，那么端口1可以接收到VLAN1，2，3的数据，但发出的包只能发到VLAN1中
在网上发现一个比较好的解释是：PVID并不是加在帧头的标记，而是端口的属性，用来标识端口接收到的未标记的帧。也就是说，当端口收到一个未标记的帧时，则把该帧转发到VID和本端口PVID相等的VLAN中去。为了验证这一说法，在S3026上做了以下实验：
在S3026上选两个端口，连接两台主机A、B，按照下表给端口设置不同的PVID和VID，用A ping B，并在B上抓包，记录实验结果。
注：结果中“有”表示抓包有ICMP的包（但ping不同），“无”表示没有，“通”表示可以ping通。VID为“无”表示该端口没有加到任何VLAN里。
所有结果为“无”的可以解释为：当端口1收到无标记的帧后，转发到VID＝PVID＝1的端口去，由于端口2无VID，故主机B收不到包。
所有结果为“有”的可以解释为：当端口1收到无标记的帧后，转发到VID＝PVID＝1的端口去，由于端口2的VID＝1，故主机B收到ICMP的ECHO包，并发出ECHO Reply，由于此种情况下端口1的VID不等于1，故B的Reply并不能到达A。所以只有当两个端口的PVID和VID一样时，才可以互通。
到此我和大家一样有个疑问，一个VLAN干吗要设置PVID和VID两种标识呀？方正只有当PVID＝VID时才能互通，只有一个不就够了吗？请往下看。
当所有VLAN都在一个交换机里时，确实只需要一个标识就够了，但跨设备的VLAN就需要另一种标识，这就是802.1Q的VLAN ID，即VID。
我们知道802.1Q的VLAN是在二层帧里加进VLAN标识，俗称打tag，而计算机不能解析这种二层的帧，所以交换机的一个端口在分到一个VLAN时有tag和untag属性，tag端口用来连接设备，untag端口用来连接计算机。Tag端口出去的帧一般都打上了tag，tag中的VID有的来自PVID，有的则来自其它tag端口中本身就含有tag的帧。
设备互连时，由tag中的VID决定了一个二层帧属于哪个VLAN，而计算机不具备打tag的功能，所以只有给连接计算机的端口添加一个属性，用来决定计算机发出的未标记的帧属于哪个VLAN，这个属性就是PVID。
我们来总结一下，S3026的VLAN转发的机制：在一个端口接收到一个无标记帧时，仅仅由该端口的PVID决定该帧转发到哪个VLAN中，即转发到VID＝PVID的VLAN中。
到此我们理解了PVID的含义和作用，但似乎只有untag端口下的PVID才具有意义，而实际上tag端口也有PVID属性，PVID对tag端口会造成什么影响呢？请看中篇。
PVID和VID彻底研究（中）
——PVID值对TAG端口影响
在上篇，我们理解了PVID的含义和作用，本篇将通过实验，分别在S3026和S3526上研究PVID值对tag端口的影响。首先在S3026上进行实验，如下图所示：
我们将用到3个端口：Port 1、2、3，
各端口PVID设置如下：
Port 1：PVID = n
Port 2：PVID = 2
Port 3：PVID = 3
创建2个VLAN：
vlan2：VID = 2，包含Port 1 (tag)、Port 2 (untag)
vlan3：VID = 3，包含Port 1 (tag)、Port 3 (untag)
将3台主机A、B、C分别接在Port 1、2、3上，
分别用主机B、C去ping主机A，在主机A上抓包。
实际上tag端口接计算机是没有意义的，因为计算机无法解析打了tag的二层包文，但通过抓包软件可以抓到这种二层报文，通过这种方法可以进行分析。
实验时主机B和C可以是同一台计算机，只不过接到不通端口上，为了方便说明，将它们分开表示。
实验结果如下：
当n = 1时，可以看到来自B和C的包头前都含有802.1Q的Packet，B、C都不能ping通A（ping不通的由于主机A无法解析打了tag的二层包）；
当n = 2时，可以看到来自B的包头前不含有802.1Q的Packet，而来自C的有，仅B可ping通A；；
当n = 3时，可以看到来自C的包头前不含有802.1Q的Packet，而来自B的有，仅C可ping通A；；
通过分析，得出S3026转发机制大致如下：
1、由主机B发出的包到接口2（由于此时B不知道A的MAC地址，会发出arp广播包）
2、根据接口2的PVID的值（PVID＝2），发往VID=2的VLAN中的所有接口
3、接口1属于VLAN 2，所以接口1能收到此包
4、此时如果VLAN 2中接口1是tag端口，则将接口1的PVID值和VID进行比较：
如果PVID=VID则从接口1出去的包不打tag
如果PVID!=VID则从接口1出去的包打tag
由此可见，以前设为tag端口的PVID不起作用的说法在S3026上并不适用，正确的说法应该是：S3026上的某个VLAN中的tag端口，在转发在此VLAN中包时出去前，先检查该tag端口的PVID是否等于VID，若相等则发出的包不打tag，若不等则打上tag。
而在S3526上重复这个实验时，得到了不同的结果：在S3526上，只要某个VLAN中的端口设为tag端口，在转发来在此VLAN中包时出不管该端口的PVID值是多少，都打上tag。（不同厂家设备的实现方式不一样，需要注意！）
到此，我们都只是在单独一个设备上研究PVID的影响，下篇将结合一个故障实例，解释跨设备时PVID的影响。
PVID和VID彻底研究（下）
——一个故障实例的分析
某网组网结构如下图所示，某路由器下挂S3526，S3526下挂S3026，S3026下面接了4个用户：
其中S3526的接口1上接路由器，打tag标记；接口2接S3026，打tag标记，PVID为1。
S3026的配置是这样的：
S3026的接口1上接S3526，打tag标记，属于VLAN 2、3、4、5，PVID为2；
接口2接用户2，属于VLAN 2，PVID为2；
接口3接用户3，属于VLAN 3，PVID为3；
接口4接用户4，属于VLAN 4，PVID为4；
接口5接用户5，属于VLAN 5，PVID为5；
故障现象为：用户2的用户无法上网，而其它的用户可以上网；如果将S3026的上连口的PVID值配置为3，那么用户3的用户无法上网，其它的用户可以上网；
最后我们将S3026的上连口的PVID值设置为1，4个用户的用户就都可以上网了。
根据前两篇的结论，我们发现，接口1的PVID＝2，故从VLAN 2来的包从接口1出去后不打tag，而此时S3526的接口2的PVID＝1，收到未标记得包后，将其送到VLAN 1里。原本VLAN 2的包送到了错误的VLAN里，所以VLAN 2下的用户上不了网。
当我们将S3026接口1的PVID设为1时，它不等于所属任何VLAN地VID，送出去的包都打了tag，此时S3526能根据tag将接受到的包送到正确的VLAN里，故所有VLAN下用户都能上网了。
我们可以补充一个实验，将S3026的接口1和S3526的接口2的PVID都设为2，此时所有用户都能正常上网，原因是这样的：S3026将VLAN 2的包不打tag的从接口1送出去，S3526的接口2收到的包有打tag的（VLAN 3、4、5），也有不打tag的（VLAN 2）。S3526的接口2对于打tag的包，能够发往正确的VLAN；不打tag的包，根据接口2的PVID值，送到VID＝PVID的VLAN里，而此时接口2的PVID＝2，也恰巧正确的送到了VLAN 2里。所有VLAN的包在跨设备后，通过不同的方式，都正确的发往所在的VLAN，于是所有用户都能正常上网，只不过VLAN 2和其它的VLAN途径有点不同。可见，设备两端的PVID一致时，在解决问题的同时，也把潜在问题给隐藏起来。例如在把S3526隔接为其它设备时，可能会又造成某个VLAN的用户上不了网，而此时故障原因不容易找到。
我们来总结一下，交换机的PVID和VID给VLAN配置带来了灵活性，同时也带来了一些麻烦，配置的不好可能带来问题很隐蔽。所以我们以后在配置VLAN时要注意以下几点：
1、 对于untag端口，PVID要和所属VLAN的VID一致；
2、 对于tag端口，PVID要不同于所有所属VLAN的VID；
3、 两台设备互联时，两端接口的PVID保持一致时，有弊也有利；
到此，我们真正意义上理解了基于端口的VLAN，也理解了PVID的作用，希望本文能给困惑于PVID和VID的人带来一点帮助。
什么是链路类型？
vlan的链路类型可以分为接入链路和干道链路。
（1）接入链路（access link）指的交换机到用户设备的链路，即是接入到户，可以理解为由交换机向用户的链路。由于大多数电脑不能发送带vlan tag的帧，所以这段链路可以理解为不带vlan tag的链路。
(2) 干道链路（trunk link）指的交换机到上层设备如路由器的链路，可以理解为向广域网走的链路。这段链路由于要靠vlan来区分用户或者服务，所以一般都带有vlan tag。
什么是端口类型？
端口类型在以前主要分为两种，基本上用的也是access和trunk这两种端口。
（1）access端口：它是交换机上用来连接用户电脑的一种端口，只用于接入链路。例如：当一个端口属于vlan 10时，那么带着vlan 10的数据帧会被发送到交换机这个端口上，当这个数据帧通过这个端口时，vlan 10 tag 将会被剥掉，到达用户电脑时，就是一个以太网的帧。而当用户电脑发送一个以太网的帧时，通过这个端口向上走，那么这个端口就会给这个帧加上一个vlan 10 tag。而其他vlan tag的帧则不能从这个端口上下发到电脑上。
（2）trunk端口：这个端口是交换机之间或者交换机和上层设备之间的通信端口，用于干道链路。一个trunk端口可以拥有一个主vlan和多个副vlan，这个概念可以举个例子来理解：例如：当一个trunk端口有主vlan 10 和多个副vlan11、12、30时，带有vlan 30的数据帧可以通过这个端口，通过时vlan 30不被剥掉；当带有vlan 10的数据帧通过这个端口时也可以通过。如果一个不带vlan 的数据帧通过，那么将会被这个端口打上vlan 10 tag。这种端口的存在就是为了多个vlan的跨越交换机进行传递。
也可以看出，这两种链路方式恰好对应两种端口方式，理解起来也不算困难。原理理解了，当看到交换机时，配置几遍就完全明白了。
access和truck 主要是区分VLAN中交换机的端口类型
truck端口为与其它交换机端口相连的VLAN汇聚口,access端口为交换机与VLAN域中主机相连的端口
trunk一般是打tag标记的,一般只允许打了该tag标记的vlan 通过,所以该端口可以允许多个打tag标记的vlan 通过,而access端口一般是untag不打标记的端口,而且一个access vlan端口只允许一个access vlan通过.
access,trunk,hybid是三种端口属性；
具有access性质的端口只能属于一个vlan，且该端口不打tag；
具有trunk性质的端口可以属于多个vlan，且该端口都是打tag的；
具有hybid性质的端口可以属于多个vlan，至于该端口在vlan中是否打tag由用户根据具体情况而定；
交换机三种端口模式Access、Hybrid和Trunk的理解
端口有三种模式：access，hybrid，trunk。access性质的端口只能属于一个vlan，且该端口不打tag，trunk可以属于多个vlan，可以接收和发送多个vlan的报文，一般用于交换机之间的连接;hybrid也可以属于多个vlan，可以接收和发送多个vlan的报文，可以用于交换机之间的连接也可以用于交换机和用户计算机之间的连接。trunk和hybrid的区别主要是，hybrid端口可以允许多个vlan的报文不打标签，而 trunk端口只允许缺省vlan的报文不打标签，同一个交换机上不能hybrid和trunk并存。
Tag，untag以及交换机的各种端口模式是网络工程技术人员调试交换机时接触最多的概念了，然而笔者发现在实际工作中技术人员往往对这些概念似懂非懂，笔者根据自己的理解再结合一个案例，试图向大家阐明这些概念untag就是普通的ethernet报文，普通PC机的网卡是可以识别这样的报文进行通讯；
tag报文结构的变化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag头；一般来说这样的报文普通PC机的网卡是不能识别的
带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含：
2个字节的协议标识符（TPID)，当前置0x8100的固定值，表明该帧带有802.1Q的标记信息。
2个字节的标记控制信息（TCI），包含了三个域。
Priority域，占3bits，表示报文的优先级，取值0到7，7为最高优先级，0为最低优先级。该域被802.1p采用。
规范格式指示符（CFI)域，占1bit，0表示规范格式，应用于以太网；1表示非规范格式，应用于Token Ring。
VLAN ID域，占12bit，用于标示VLAN的归属。
以太网端口有三种链路类型：Access、Hybrid和Trunk。
Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；
Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；
Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。
Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。
在这里先要向大家阐明端口的缺省VLAN这个概念
Access端口只属于1个VLAN，所以它的缺省VLAN就是它所在的VLAN，不用设置；
Hybrid端口和Trunk端口属于多个VLAN，所以需要设置缺省VLAN ID。缺省情况下，Hybrid端口和Trunk端口的缺省VLAN为VLAN 1
如果设置了端口的缺省VLAN ID，当端口接收到不带VLAN Tag的报文后，则将报文转发到属于缺省VLAN的端口；当端口发送带有VLAN Tag的报文时，如果该报文的VLAN ID与端口缺省的VLAN ID相同，则系统将去掉报文的VLAN Tag，然后再发送该报文。
注：对于华为交换机缺省VLAN被称为“Pvid Vlan”， 对于思科交换机缺省VLAN被称为“Native Vlan”
交换机接口出入数据处理过程如下：
Acess端口收报文:
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发,如果有则直接丢弃（缺省）
Acess端口发报文：
将报文的VLAN信息剥离，直接发送出去
trunk端口收报文：
收到一个报文，判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有判断该trunk端口是否允许该 VLAN的数据进入：如果可以则转发，否则丢弃
trunk端口发报文：
比较端口的PVID和将要发送报文的VLAN信息，如果两者相等则剥离VLAN信息，再发送，如果不相等则直接发送
hybrid端口收报文：
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有则判断该hybrid端口是否允许该VLAN的数据进入：如果可以则转发，否则丢弃(此时端口上的untag配置是不用考虑的，untag配置只对发送报文时起作用)
hybrid端口发报文：
1、判断该VLAN在本端口的属性（disp interface 即可看到该端口对哪些VLAN是untag， 哪些VLAN是tag）
2、如果是untag则剥离VLAN信息，再发送，如果是tag则直接发送
以下案例可以帮助大家深入理解华为交换机的hybrid端口模式：
[Switch-Ethernet0/1]int e0/1
[Switch-Ethernet0/1]port link-type hybrid
[Switch-Ethernet0/1]port hybrid pvid vlan 10
[Switch-Ethernet0/1]port hybrid vlan 10 20 untagged
[Switch-Ethernet0/1] int e0/2
[Switch-Ethernet0/2]port link-type hybrid
[Switch-Ethernet0/2]port hybrid pvid vlan 20
[Switch-Ethernet0/2]port hybrid vlan 10 20 untagged
此时inter e0/1和inter e0/2下的所接的PC是可以互通的，但互通时数据所走的往返vlan是不同的。
以下以inter e0/1下的所接的pc1访问inter e0/2下的所接的pc2为例进行说明
pc1所发出的数据，由inter0/1所在的pvid vlan10封装vlan10的标记后送入交换机，交换机发现inter e0/2允许vlan
10的数据通过，于是数据被转发到inter e0/2上，由于inter e0/2上vlan
10是untagged的，于是交换机此时去除数据包上vlan10的标记，以普通包的形式发给pc2，此时pc1->p2走的是vlan10
再来分析pc2给pc1回包的过程，pc2所发出的数据，由inter0/2所在的pvid
vlan20封装vlan20的标记后送入交换机，交换机发现inter e0/1允许vlan 20的数据通过，于是数据被转发到inter
e0/1上，由于inter e0/1上vlan
20是untagged的，于是交换机此时去除数据包上vlan20的标记，以普通包的形式发给pc1，此时pc2->pc1走的是vlan20
Cisco 交换机 设备 access、trunk、hybrid 端口的处理流程
为交换机设备上access、trunk、hybrid端口的处理流程：注：数据帧在交换机内部处理时，均带有vlan tag。
a）access端口
发送（从交换机内部往外发送）：
带有vlan tag：删除tag后，发送
不带vlan tag：不可能出现
接收：
带有vlan tag：若该tag等于该access端口的pvid，则可以接收，进入交换机内部
不带vlan tag：添加该access端口的pvid，进入交换机内部
b）trunk端口（允许发送native VLAN数据的时候，可以不加tag）
发送（从交换机内部往外发送）：
带有vlan tag：若tag等于该trunk端口的pvid，则删除tag后发送；否则保留tag直接发送
不带vlan tag：不可能出现
接收：
带有vlan tag：保留该tag，进入交换机内部
不带vlan tag：添加该trunk端口的pvid，进入交换机内部
c）hybrid端口（允许发送多个VLAN数据的时候，可以不加tag）
发送（从交换机内部往外发送）：
带有vlan tag：是否带tag进行发送，取决于用户配置（用户可以配置tagged list，untagged list）
不带vlan tag：不可能出现
接收：
带有vlan tag：保留该tag，进入交换机内部
不带vlan tag：添加该hybrid端口的pvid，进入交换机内部
在设备上允许trunk和hybrid端口同时存在，但是不能将hybrid端口直接改为trunk端口（hybrid--》access---》trunk），反之亦然（早期是这样，现在不知道改没改）。id端口可以允许多个vlan的数据不带tag，而802.1q的trunk只能是native vlan（即pvid）对应的vlan的数据不带tag，应该说hybrid可以实现trunk端口的特性。实际使用时都可以用hybrid端口，而不用trunk。
原文链接：http://blog.chinaunix.net/uid-12427199-id-169985.htm
什么是链路类型？
vlan的链路类型可以分为接入链路和干道链路。
（1）接入链路（access link）指的交换机到用户设备的链路，即是接入到户，可以理解为由交换机向用户的链路。由于大多数电脑不能发送带vlan tag的帧，所以这段链路可以理解为不带vlan tag的链路。
(2) 干道链路（trunk link）指的交换机到上层设备如路由器的链路，可以理解为向广域网走的链路。这段链路由于要靠vlan来区分用户或者服务，所以一般都带有vlan tag。
什么是端口类型？
端口类型在以前主要分为两种，基本上用的也是access和trunk这两种端口。
（1）access端口：它是交换机上用来连接用户电脑的一种端口，只用于接入链路。例如：当一个端口属于vlan 10时，那么带着vlan 10的数据帧会被发送到交换机这个端口上，当这个数据帧通过这个端口时，vlan 10 tag 将会被剥掉，到达用户电脑时，就是一个以太网的帧。而当用户电脑发送一个以太网的帧时，通过这个端口向上走，那么这个端口就会给这个帧加上一个vlan 10 tag。而其他vlan tag的帧则不能从这个端口上下发到电脑上。
（2）trunk端口：这个端口是交换机之间或者交换机和上层设备之间的通信端口，用于干道链路。一个trunk端口可以拥有一个主vlan和多个副vlan，这个概念可以举个例子来理解：例如：当一个trunk端口有主vlan 10 和多个副vlan11、12、30时，带有vlan 30的数据帧可以通过这个端口，通过时vlan 30不被剥掉；当带有vlan 10的数据帧通过这个端口时也可以通过。如果一个不带vlan 的数据帧通过，那么将会被这个端口打上vlan 10 tag。这种端口的存在就是为了多个vlan的跨越交换机进行传递。
也可以看出，这两种链路方式恰好对应两种端口方式，理解起来也不算困难。原理理解了，当看到交换机时，配置几遍就完全明白了。
access和truck 主要是区分VLAN中交换机的端口类型
truck端口为与其它交换机端口相连的VLAN汇聚口,access端口为交换机与VLAN域中主机相连的端口
trunk一般是打tag标记的,一般只允许打了该tag标记的vlan 通过,所以该端口可以允许多个打tag标记的vlan 通过,而access端口一般是untag不打标记的端口,而且一个access vlan端口只允许一个access vlan通过.
access,trunk,hybid是三种端口属性；
具有access性质的端口只能属于一个vlan，且该端口不打tag；
具有trunk性质的端口可以属于多个vlan，且该端口都是打tag的；
具有hybid性质的端口可以属于多个vlan，至于该端口在vlan中是否打tag由用户根据具体情况而定；
交换机三种端口模式Access、Hybrid和Trunk的理解
端口有三种模式：access，hybrid，trunk。access性质的端口只能属于一个vlan，且该端口不打tag，trunk可以属于多个vlan，可以接收和发送多个vlan的报文，一般用于交换机之间的连接;hybrid也可以属于多个vlan，可以接收和发送多个vlan的报文，可以用于交换机之间的连接也可以用于交换机和用户计算机之间的连接。trunk和hybrid的区别主要是，hybrid端口可以允许多个vlan的报文不打标签，而 trunk端口只允许缺省vlan的报文不打标签，同一个交换机上不能hybrid和trunk并存。
Tag，untag以及交换机的各种端口模式是网络工程技术人员调试交换机时接触最多的概念了，然而笔者发现在实际工作中技术人员往往对这些概念似懂非懂，笔者根据自己的理解再结合一个案例，试图向大家阐明这些概念untag就是普通的ethernet报文，普通PC机的网卡是可以识别这样的报文进行通讯；
tag报文结构的变化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag头；一般来说这样的报文普通PC机的网卡是不能识别的
带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含：
2个字节的协议标识符（TPID)，当前置0x8100的固定值，表明该帧带有802.1Q的标记信息。
2个字节的标记控制信息（TCI），包含了三个域。
Priority域，占3bits，表示报文的优先级，取值0到7，7为最高优先级，0为最低优先级。该域被802.1p采用。
规范格式指示符（CFI)域，占1bit，0表示规范格式，应用于以太网；1表示非规范格式，应用于Token Ring。
VLAN ID域，占12bit，用于标示VLAN的归属。
以太网端口有三种链路类型：Access、Hybrid和Trunk。
Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；
Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；
Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。
Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。
在这里先要向大家阐明端口的缺省VLAN这个概念
Access端口只属于1个VLAN，所以它的缺省VLAN就是它所在的VLAN，不用设置；
Hybrid端口和Trunk端口属于多个VLAN，所以需要设置缺省VLAN ID。缺省情况下，Hybrid端口和Trunk端口的缺省VLAN为VLAN 1
如果设置了端口的缺省VLAN ID，当端口接收到不带VLAN Tag的报文后，则将报文转发到属于缺省VLAN的端口；当端口发送带有VLAN Tag的报文时，如果该报文的VLAN ID与端口缺省的VLAN ID相同，则系统将去掉报文的VLAN Tag，然后再发送该报文。
注：对于华为交换机缺省VLAN被称为“Pvid Vlan”， 对于思科交换机缺省VLAN被称为“Native Vlan”
交换机接口出入数据处理过程如下：
Acess端口收报文:
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发,如果有则直接丢弃（缺省）
Acess端口发报文：
将报文的VLAN信息剥离，直接发送出去
trunk端口收报文：
收到一个报文，判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有判断该trunk端口是否允许该 VLAN的数据进入：如果可以则转发，否则丢弃
trunk端口发报文：
比较端口的PVID和将要发送报文的VLAN信息，如果两者相等则剥离VLAN信息，再发送，如果不相等则直接发送
hybrid端口收报文：
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID，并进行交换转发，如果有则判断该hybrid端口是否允许该VLAN的数据进入：如果可以则转发，否则丢弃(此时端口上的untag配置是不用考虑的，untag配置只对发送报文时起作用)
hybrid端口发报文：
1、判断该VLAN在本端口的属性（disp interface 即可看到该端口对哪些VLAN是untag， 哪些VLAN是tag）
2、如果是untag则剥离VLAN信息，再发送，如果是tag则直接发送
以下案例可以帮助大家深入理解华为交换机的hybrid端口模式：
[Switch-Ethernet0/1]int e0/1
[Switch-Ethernet0/1]port link-type hybrid
[Switch-Ethernet0/1]port hybrid pvid vlan 10
[Switch-Ethernet0/1]port hybrid vlan 10 20 untagged
[Switch-Ethernet0/1] int e0/2
[Switch-Ethernet0/2]port link-type hybrid
[Switch-Ethernet0/2]port hybrid pvid vlan 20
[Switch-Ethernet0/2]port hybrid vlan 10 20 untagged
此时inter e0/1和inter e0/2下的所接的PC是可以互通的，但互通时数据所走的往返vlan是不同的。
以下以inter e0/1下的所接的pc1访问inter e0/2下的所接的pc2为例进行说明
pc1所发出的数据，由inter0/1所在的pvid vlan10封装vlan10的标记后送入交换机，交换机发现inter e0/2允许vlan
10的数据通过，于是数据被转发到inter e0/2上，由于inter e0/2上vlan
10是untagged的，于是交换机此时去除数据包上vlan10的标记，以普通包的形式发给pc2，此时pc1->p2走的是vlan10
再来分析pc2给pc1回包的过程，pc2所发出的数据，由inter0/2所在的pvid
vlan20封装vlan20的标记后送入交换机，交换机发现inter e0/1允许vlan 20的数据通过，于是数据被转发到inter
e0/1上，由于inter e0/1上vlan
20是untagged的，于是交换机此时去除数据包上vlan20的标记，以普通包的形式发给pc1，此时pc2->pc1走的是vlan20
Cisco 交换机 设备 access、trunk、hybrid 端口的处理流程
为交换机设备上access、trunk、hybrid端口的处理流程：注：数据帧在交换机内部处理时，均带有vlan tag。
a）access端口
发送（从交换机内部往外发送）：
带有vlan tag：删除tag后，发送
不带vlan tag：不可能出现
接收：
带有vlan tag：若该tag等于该access端口的pvid，则可以接收，进入交换机内部
不带vlan tag：添加该access端口的pvid，进入交换机内部
b）trunk端口（允许发送native VLAN数据的时候，可以不加tag）
发送（从交换机内部往外发送）：
带有vlan tag：若tag等于该trunk端口的pvid，则删除tag后发送；否则保留tag直接发送
不带vlan tag：不可能出现
接收：
带有vlan tag：保留该tag，进入交换机内部
不带vlan tag：添加该trunk端口的pvid，进入交换机内部
c）hybrid端口（允许发送多个VLAN数据的时候，可以不加tag）
发送（从交换机内部往外发送）：
带有vlan tag：是否带tag进行发送，取决于用户配置（用户可以配置tagged list，untagged list）
不带vlan tag：不可能出现
接收：
带有vlan tag：保留该tag，进入交换机内部
不带vlan tag：添加该hybrid端口的pvid，进入交换机内部
在设备上允许trunk和hybrid端口同时存在，但是不能将hybrid端口直接改为trunk端口（hybrid--》access---》trunk），反之亦然（早期是这样，现在不知道改没改）。id端口可以允许多个vlan的数据不带tag，而802.1q的trunk只能是native vlan（即pvid）对应的vlan的数据不带tag，应该说hybrid可以实现trunk端口的特性。实际使用时都可以用hybrid端口，而不用trunk。
原文链接：http://blog.chinaunix.net/uid-12427199-id-169985.htm