ein vlan ist ein eigenens netz. switches welche vlan's unterstuetzen kann man so konfigurieren, dass der eine port im einen vlan ist, ein anderer in einem anderen. das ganze hat den vorteil, dass man nicht 2 geraete fuer 2 "physikalisch" getrennte netze benoetigt.
solche switches unterstuetzen meist auch sogenannte "trunks". das bedeutet, dass aus den entsprechend konfigurierten trunk-ports alle vlans rein und raus koennen. damit man jedoch weiterhin unterscheiden kann, von welchem vlan welches packet kommt, wird jedes ethernet packet (layer 2) mit einem tag versetzt.
meist wird fuer dieses "tagging" das protokoll ".1q" (ausgesprochen: dot one q) benutst. andere wie z.b. "isl" sind proprietaere protokolle.
wie bereits geschrieben, verstehen nicht nur switches dieses vlan zeugs, sondern auch firewalls. somit benoetigt man bei x verschiendenen netzen nicht x verschiedene firewall ports, jedoch muessen sich die verschiedenen netze (=verschiedenen vlan's) den speed des einzelnen interfaces teilen.