首先，我是一个完全的菜鸟。我的 VLAN 经验范围是在无线路由器上设置访客网络。
我最近收到一个请求，要求建立一个需要过滤和节流的公共网络（通过 Untangle）。同时，在同一栋楼里有一个工作站，应该可以不受限制地访问。
我的问题是，在 ESXi 交换机和/或 Netgear GS108E 交换机上我该怎么做才能在逻辑上分离网络？到目前为止，一切都流经 no/all/default LAN 的“红色”路径。我需要工作站 [w] 流经“蓝色”路径，同时将其他所有内容保留在“红色”路径上。我已经阅读了数十篇 VLAN 文章，但没有任何内容让默认/标记/未标记/本机 VLAN 概念受到关注。
802.1q 是 VLAN 标记的技术标准 ( http://en.wikipedia.org/wiki/IEEE_802.1Q )。该标准包括在以太网帧的报头内放置“VLAN 标签”。只要两个设备都识别 802.1q 标记，该标记允许一条链路承载多个 VLAN，因为该标记包含流量所属的 VLAN ID。
这种链路通常被称为“中继链路”或“802.1q 中继”等。在这种环境中，通常只有一个 VLAN 被分配了“本地 VLAN”的角色。该术语也可能是“未标记的 VLAN”，因为这就是本机 VLAN - 一个特定的 VLAN，它穿过没有 VLAN 标记的中继链路。由于没有此标记就无法识别数据包属于哪个 VLAN，因此只能将一个 VLAN 指定为“本机 VLAN”，最好确保此值在中继的两侧匹配。
在 ESXi 中，您可以使用 VLAN ID 定义端口组。如果您将此字段留空（或指定 0），则该端口组的流量将离开没有 VLAN 标记的主机。如果主机上只有一个端口组并且 vSwitch 只插入一个链接，这没有问题，因为您可以简单地将该端口设置为访问端口，不需要中继。但是，您需要在同一链路（或链路束）上传递多个 VLAN，因此我会确保在您的主机连接到的交换机端口上配置了中继，然后您需要做的就是输入适当的 VLAN ID每个 vSwitch 端口组。ESXi 将在退出主机时标记进入该端口组的帧。
将交换机端口配置为“VLAN 中继”或“VLAN 标记”模式很重要，因为非中继端口不接受标记帧（它们会被丢弃）。中继端口接受标记帧，您将从具有上述配置的 ESXi 主机发送标记帧。
据我所知，您在图中显示的开关应该支持所有这些，但它可能不是最直观的或使用相同的术语。我建议坚持使用文档，看看你是否可以让它工作。 http://www.netgear.com/business/products/switches/prosafe-plus-switches/GS108E.aspx
端口 1 应标记 VLAN 14。端口 4 应该属于 VLAN 14 组，但没有标记 VLAN 14，因为工作站没有 VLAN 的概念。
在 Netgear 交换机配置中选择 802.11Q，而不是基于端口。它有点复杂，但你需要它。
您可以根据需要在每个端口上拥有任意数量的 VLAN，但只有一个（称为 PVID）可以取消标记。设置端口1的PVID为1，但同时加入VLAN 1和14。设置端口4的PVID为14，只加入VLAN 14，其他端口都是VLAN 1 PVID 1
我可以让主机通过基于 Windows ESXI 的机器正确通信的唯一方法（我可以看到从 ESXI 标记的流量，但返回流量显示为未标记 - 没有 vlan）
需要在 Windows 上启用监控模式才能不剥离 VLAN
这是它的完成方式。一次进入注册表，一切正常。 http://www.intel.com/support/network/sb/CS-005897.htm
添加在：
尝试使用 VLAN 时的提示：让您的所有交换机端口要么是中继（仅携带带标签的数据包并拒绝其他任何东西）要么是访问（仅携带未标记的数据包，并在中继上的一个 VLAN 之间传送未标记的数据包）。禁用您不需要的任何端口“模式”。
在一个端口上混合标记-未标记可能对例如将 VOIP 网络硬塞到 LAN 电缆设备中是有意义的 - 但即使在那里它也是一个有点不干净的解决方案，安全性有问题。对于由 vSphere 主机共享的多 DMZ“结构”，在大多数情况下这只是不好的做法。在严重缺乏物理网络端口的主机上可能有意义（但是，您可以标记所有内容并让交换机处理它）。将“默认 VLAN”视为排水槽，您不希望任何东西浸入其中。