Как работают виртуальные сети VLAN на хостах VMware ESX / ESXi.

VLAN (Virtual Local Area Network) — это группа устройств, имеющих возможность взаимодействовать между собой напрямую на канальном уровне, хотя физически при этом они могут быть подключены к разным сетевым коммутаторам. И наоборот, устройства, находящиеся в разных VLAN, невидимы друг для друга на канальном уровне, даже если они подключены к одному коммутатору, и связь между этими устройствами возможна на сетевом и более высоких уровнях.
Виртуальные сети VLAN обеспечивают группировку портов коммутаторов, изолируя группы друг от друга и позволяя включить подключенные к ним виртуальные машины в VLAN. Используя виртуальные сети VLAN можно разделить сеть по организационному (логическому) или физическому принципу. Использование организационного принципа является более предпочтительным, поскольку при перемещении компьютера в другое физическое расположение, реконфигурация сети не требуется.
Для задания виртуальной сети VLAN необходимо при создании группы портов (port group) на виртуальном коммутаторе задать идентификатор VLAN ID. Допускается также использовать теги физического коммутатора или маркировку кадров на уровне гостевой системы. Изолирование трафика на уровне портов виртуального коммутатора позволяет экономить ресурсы процессора и полосы пропускания сетевых адаптеров гостевых систем.
Для реализации виртуальных сетей VLAN в виртуальной сети VMware кадру Ethernet добавляется тег по стандарту 802.1Q.
Ниже описаны три варианта реализации добавления тегов в кадры для организации виртуальных сетей VLAN.

1. Режим тегирования на уровне виртуального коммутатора (Virtual switch tagging, VST). Это наиболее часто используемая конфигурация. В этом режиме происходит создание группы портов на виртуальном коммутаторе для каждого из VLAN, после этого виртуальный сетевой адаптер виртуальной машины привязывается к этой группе портов. В пределах группы портов на виртуальном коммутаторе происходит тегирование исходящих кадров и удаление тегов для входящих. При этом виртуальный коммутатор следит за тем, чтобы каждый пакет попадал только в свой VLAN. В этом случае на физическом коммутаторе не требуется задание виртуальной сети VLAN для порта, с которым соединяется сервер ESX. Использование такого режима требует магистрального режима (trunking mode) для порта физического коммутатора, поскольку группы портов виртуального коммутатора могут находиться в разных VLAN.
   
   Для конфигурации режима тегирования на уровне виртуальных коммутаторов, необходимо задать соответствующее значение VLAN ID в свойствах группы портов виртуальных коммутаторов. Значение должно быть в диапазоне от 1 до 4094 включительно.
2. Режим тегирования на уровне гостевой системы (Virtual machine guest tagging, VGT). В этом режиме требуется установка магистрального драйвера VLAN 802.1Q в гостевой ОС виртуальной машины. Тегирование кадров происходит на уровне операционной системы и ни виртуальный, ни физический коммутатор не помечает тегами такие кадры. В этом случае на физическом коммутаторе не требуется задание виртуальной сети VLAN. Такой подход позволяет одной гостевой системе иметь членство сразу в нескольких виртуальных сетях VLAN независимо от количества виртуальных сетевых интерфейсов виртуальной машины. Однако такой подход создает дополнительную загрузку на гостевую систему, поскольку ей требуются ресурсы на добавление и извлечение тегов из кадров.
   Использование такого режима требует наличия магистрального режима (trunking mode) для порта на физическом коммутаторе, поскольку различные виртуальные машины могут помечать кадры разными тегами VLAN.
   
   Для конфигурации виртуальных машин в режиме тегирования на уровне гостевых систем требуется установка параметра VLAN ID для групп портов виртуальных коммутаторов в значение 4095. После этого возможно использование драйвера 802.1Q в гостевых системах.
   Тегирование на уровне гостевой системы применять не рекомендуется, поскольку в гостевой ОС тегирование кадров снижает производительность и является небезопасным.
3. Режим тегирования на уровне физического коммутатора (External switch tagging, EST mode). Такая конфигурация используется для тегирования кадров внешними по отношению к ESX коммутаторами и не требует пометки кадров на уровне любого из компонентов сервера ESX. В этом случае физический коммутатор сам помечает кадры, приходящие от сервера ESX тегами VLAN. Соответственно не требуется наличия магистрального режима (trunking mode) для порта физического коммутатора. В таком режиме тегирования виртуальными машинами возможно использование числа виртуальных сетей VLAN не большего, чем количество физических сетевых адаптеров на хосте ESX Server.
   
   Для конфигурации VLAN в режиме тегирования на уровне физических коммутаторов никакой дополнительной настройки серверов ESX не требуется. Для групп портов виртуальных коммутаторов должен либо отсутствовать идентификатор VLAN, либо задано значение 0 (этот режим называется также Native VLAN).
   
   source: http://www.vmgu.ru/articles/vmware-esx-vlan