VLAN 凭什么能隔离广播域：划的是泛洪范围不是网段，这笔账要分开算
学网络的人十个里有八个在这道坎上卡过：书上写「VLAN 能隔离广播域」，越想越不对劲——隔离广播域不应该是路由器的事吗？VLAN 明明配在交换机上，交换机看不懂 IP 地址，凭什么划网段？想不通又不好意思问，只能怀疑自己没学明白。其实不是你笨，是把两层概念搅在一锅里了。把账拆开算，一次就通。
第一笔账：广播域到底是什么。以太网里有个基本动作叫泛洪：交换机收到广播帧（或不知道往哪个口送的单播帧），处理方式简单粗暴——除了进来的口，其余端口全部转发一份。广播帧能扩散到的范围就是广播域。默认一台交换机的所有端口在同一个泛洪范围里，几台级联起来范围跟着扩大。广播一多，所有设备都被迫陪跑，这就是大网络要隔离广播域的原因。
第二笔账：VLAN 隔离的到底是什么。VLAN 做的事，是把一台物理交换机在逻辑上拆成好几台：属于 VLAN 10 的端口和属于 VLAN 20 的端口，互相之间就像接在两台互不相连的交换机上。广播帧进了 VLAN 10，只在 VLAN 10 的端口里泛洪，一步都漏不到 VLAN 20——泛洪的路径被分组切断了。所以 VLAN 划的是泛洪范围，这是二层的事；而「网段」是 IP 地址的三层概念，交换机从头到尾没看过 IP 一眼。说「VLAN 划网段」，是把两个层次的话说串了。
第三笔账：路由器在干什么。路由器不转发广播帧，这是三层转发的默认行为——所以「路由器隔离广播域」这句话也是对的，它在第三层把两个泛洪范围隔开。两句话不冲突：VLAN 是把一台交换机当几台用，先在小范围内切；路由器（或三层交换机）是把几个已经切开的范围连通起来互通。一个管切，一个管通，各干各的活。
第四笔账：为什么大家爱说「一个 VLAN 对一个网段」。这是工程惯例不是天生一回事：VLAN 是二层分组标签，网段是三层地址规划，习惯上让一个 VLAN 配一个网段便于管理。把「配对使用」当成「同一个东西」，就是开头那串想不通的来源。
光想通还不够，动手验证一遍记得更牢：
- 找一台支持 VLAN 的交换机，两台电脑接同 VLAN 的两个口，配好同网段地址，互 ping，通；其中一台 ping 对方前先看 ARP 表——ARP 请求就是广播，能学到对方 MAC，说明广播在两人之间畅通。
- 把其中一个口改到另一个 VLAN，再 ping，不通了；ARP 也学不到——广播被切在了各自的泛洪范围里，这就是你亲手造出来的「广播域隔离」。
- 把交换机上连一台三层设备（路由器子接口或三层交换机的网关接口），两个 VLAN 各配网关，再 ping，通了——此刻流量走的是三层路由，隔而不通变成了隔而能通。
这道坎想通了，后面学 VLAN 间路由、单臂路由、三层交换，都是在「先切后通」这个骨架上添肉。贵州诚鑫致达科技带新入职的网工，面试就爱问这道题：答得上来「泛洪范围和网段的区别」的，画拓扑图基本不会乱。你当年是在哪一步想通的？评论区留个记号。