Bình thường khi mình chia các VLAN trên switch (ở đây là VLAN 400 và VLAN 100), về lý thuyết là nó không thể thông sang nhau trừ khi có router hoặc switch Layer3.

Trong bài này mình sẽ gửi gói đi vào từ vlan 400 và chui sang được vlan 100.

1. Sơ đồ mạng

2. Công cụ tạo và bơm gói tin

Để tạo được gói tin kẹp 2 lớp VLAN (Double Tagged), mình dùng tool Tkinter

Gói tin được đóng 2 lớp thẻ Dot1Q liên tiếp: một tag 100 và một tag 400:

3. Kiểm tra và bắt gói thực tế

Đầu tiên: Bắt gói tại đầu vào SW1 (cổng e0/1-vlan 400)

Bật Wireshark trên đoạn nối vào cổng e0/1 của SW1. Kết quả bắt được gói tin ICMP mang đúng 2 lớp thẻ 802.1Q (ID: 100 và ID: 400):

=> Tức là gói tin xuất phát đi từ VLAN 400 có đúng 2 lớp tag.

Tiếp theo: Bắt gói tại đầu ra, là cổng thuộc VLAN 100 trên SW2)

Kiểm tra Wireshark tại cổng e0/1 (mode access vlan 100) của sw2: thấy đúng gói ping ban đầu.

=> KẾT QUẢ : VPC thuộc vlan 100, nhận được gói ping từ vlan 400.

Lưu ý: đây là switch ảo EVE-NG; khả năng các switch thật, đời mới đã fix dc lỗi này; nghĩa là cổng access mà thấy gói có tag đi vào thì nó sẽ drop, anh em có thể thử ở công ty xem sao (chỉ test switch lẻ; không thử với switch đang chạy thật)