虚拟网络（VLAN）可以对网络进行分段，从而提升性能、安全性和流量管理能力。它们可以 帮助隔离设备和用户，降低未经授权访问的风险，并 限制潜在威胁在网络中的传播。本指南介绍如何使用 UniFi 和第三方网关创建 VLAN 以及分配设备。

创建 VLAN

UniFi 支持在 UniFi Gateway 和 第三方网关 上创建 VLAN，小型站点也可以使用 VLAN Magic 作为替代方案。

在 UniFi Gateway 上创建 VLAN

这是 UniFi 部署的默认 VLAN 创建方法。

默认情况下，在 UniFi Gateway 上创建的 VLAN 不会自动将设备分配到 VLAN。有关分配选项，请参阅下一部分。

如果使用第三方网关，则必须先在网关上创建 VLAN，之后 UniFi 才能识别这些 VLAN。

大多数第三方网关 默认会阻止 VLAN 间通信。如有需要，请 在第三方网关上 配置 VLAN 路由和防火墙规则。

VLAN Magic 可通过直接按 MAC 地址一次性分配 VLAN，从而简化 VLAN 创建流程。

以下交换机下游不支持 VLAN Magic：

VLAN 可以对网络进行分段，从而提升安全性、优化流量并简化管理。UniFi 根据网络需求提供静态和动态 VLAN 分配方法。

要设置 VLAN，请参阅上方的创建虚拟网络指南。下面按照复杂程度和使用场景介绍 VLAN 分配方法。

这些方法根据 SSID 或交换机端口分配 VLAN，确保设备保持在固定 VLAN 中，无需进行身份验证。

将 VLAN 分配给 WiFi SSID

每个 SSID 都可以 映射到单个 VLAN，确保所有连接的设备都处于指定 VLAN 中。为了提高灵活性，PPSK（按密码分配 VLAN）允许同一 SSID 使用多个 VLAN，其中 使用的密码决定 VLAN 分配。

此方法最适合需要基本无线网络分段、无需复杂身份验证的环境。在此处了解更多。

将 VLAN 分配给有线客户端

VLAN 可以 直接分配给交换机端口，确保连接到特定端口的任何设备都位于指定 VLAN 中。此方法适用于固定位置的有线设备，例如需要保持一致 VLAN 分配的服务器、打印机或工作站。在此处了解更多。

动态 VLAN 分配通过使用身份验证机制，根据用户凭据或设备属性分配 VLAN，从而提供更大的灵活性。

这些方法最适合用户或设备可能在不同接入点或交换机端口之间移动，但仍需保留特定 VLAN 分配的网络。

基于用户名和密码的 VLAN 分配

RADIUS 身份验证（802.1X）允许 根据用户凭据分配 VLAN。用户登录时，RADIUS 服务器会确定其应加入的 VLAN。

此方法适用于 需要根据角色为用户提供不同 VLAN 访问权限的组织，例如将财务人员分配到“财务 VLAN”。在此处了解更多。

通过 RADIUS 基于 MAC 的 VLAN 分配

VLAN 不必根据用户凭据分配，也可以 根据设备的 MAC 地址分配。此方法可确保特定设备始终连接到同一 VLAN，即使设备在不同接入点、交换机端口或用户之间移动也是如此。这适用于 IoT 设备、安全摄像机或任何必须保持一致 VLAN 分配的客户端。在此处了解更多。

此方法需要 UniFi Gateway，也是最常见的基于 MAC 地址分配 VLAN 的方法。

通过虚拟网络覆盖基于 MAC 的 VLAN 分配

UniFi Gateway 支持虚拟网络覆盖（VNO），可在网关级别根据设备的 MAC 地址动态分配 VLAN。此方法无需在交换机或接入点上进行配置，即可简化 VLAN 分段。

此方法同样需要 UniFi Gateway，是一种简化的基于 MAC 地址分配 VLAN 的方法，适用于不支持 WPA3 Enterprise 的情况，也可作为 PPSK 的替代方案；PPSK 在 6 GHz 网络上不可用。

VLAN 可以增强 网络分段、安全性和流量管理。了解如何应用这些原则，有助于充分发挥 VLAN 设置的作用：