根据标题，为什么人们告诉我不要为安全目的使用VLAN？
我有一个networking，有一个VLAN的几个。 这两个VLAN之间有一个防火墙。 我正在使用HP Procurve交换机，并确保交换机到交换机的链路只接受标记的帧，并且主机端口不接受标记的帧（它们不是“VLAN感知”）。 我也确定中继链路的本地VLAN（PVID）与2个主机VLAN中的任何一个不相同。 我也启用了“Ingress Filtering”。 此外，我确定主机端口只是单个VLAN的成员，与相应端口的PVID相同。 唯一的多个VLAN成员端口是中继端口。
有人可以向我解释为什么上述不安全？ 我相信我已经解决了双重标签问题。
谢谢
更新：两个开关都是Hp Procurve 1800-24G
为什么人们告诉我不要将VLAN用于安全目的？
如果您不完全了解潜在的问题，并且正确设置您的networking以将风险降低到您的环境可以接受的程度，那么存在实际的风险。 在很多地方，VLAN在两个VLAN之间提供了足够的分离等级。
有人可以向我解释为什么上述不安全？
这听起来像你已经采取了所有的基本步骤来实现一个非常安全的设置。 但是我不完全熟悉惠普齿轮。 您可能已经为您的环境做了足够的工作。
思科VLAN安全白皮书也是一篇很好的文章。
它包括针对基于VLAN的networking的可能攻击列表。 其中一些在一些交换机上是不可能的，或者可以通过适当的基础设施/networkingdevise来缓解。 花点时间去了解他们，并决定风险是否值得在您的环境中避免风险。
从文章引用。
也可以看看：
对某些安全值是安全的。
固件错误，开关configuration重置，人为错误可以使其不安全。 只要只有极less数人能够访问交换机的configuration和交换机本身，那么在一般的商业环境中就没有问题。
尽pipe如此，我还是会为了真正敏感的数据而进行物理分离
我似乎记得过去，做VLAN跳变比较容易，所以这可能就是为什么“人”这样说。 但是，为什么不问“人”呢？ 我们只能猜测他们为什么告诉你。 我知道HIPAA和PCI审计员可以使用VLAN来确保安全。
我认为核心问题是vlans不安全，因为你只是隔离广播域，而不是实际隔离stream量。 来自多个vlan的所有stream量仍然stream过相同的物理线路。 可以访问该stream量的主机始终可以configuration为混杂模式，并查看networking上的所有stream量。
很显然，使用交换机可以降低这种风险，因为交换机正在控制哪些数据实际出现在哪个端口上，但基本风险仍然存在。