交換機設計初衷是提升效能而非安全。若要將其納入安全體系，前提是：正確配置、廠商徹底實現標準。嚴格安全需求下，不可在不可信網路與可信用戶間共享交換機，否則必釀安全災難。

VLAN隔離機制的本質缺陷

VLAN通過軟體/配置限制廣播流量，非硬體強制隔離。防火牆若作VLAN設備，依賴802.1Q標籤制定規則，但標籤可被偽造（Linux已支援任意生成），且交換機外設備也能生成標籤欺騙防火牆。

橋接器/VLAN運作原理回顧

• 橋接器學習MAC地址對應端口，建立轉发表減少泛洪。
• VLAN將橋接器分區為虛擬橋，廣播限制在對應端口。
• 但ARP廣播被限制不等於阻止跨VLAN訪問：若雙方已建立TCP連線（ARP緩存有MAC），重配VLAN仍可通訊；或手工建靜態ARP項（需知目標MAC）也可跨VLAN通訊。

鏈路聚合（Trunk）與802.1Q標籤

多交換機共享VLAN靠Trunk端口傳遞打標籤封包。802.1Q標籤4字節：TPID(0x8100) + 優先級/CFI/VID(12位，0-4095，0/4095保留，預設VID=1)。

防禦技巧：將Trunk端口原生VLAN設為非使用VID（如1001），防止未打標籤封包洩漏。

防火牆與VLAN協作風險

支援VLAN的防火牆解析802.1Q標籤做安全檢測，但標籤無身份驗證能力，可被偽造。關鍵在於網路設計：交換機Trunk直連防火牆介面，安全檢測在防火牆介面進行；任何其他路徑到達防火牆介面都增加偽造風險。交換機必須正確配置，Trunk端口加入非預設VID。

鐵律：永遠保護交換機管理權限

• 管理通道：Telnet、HTTP、SNMP
• 關閉不用通道，啟用通道加存取控制
• 外部攻擊防火牆可擋，內部攻擊或橫向滲透防火牆無能為力

VLAN是效能工具而非安全邊界，安全架構切勿過度依賴VLAN隔離。