在IP数据网的构架中，使用交换机做为接入设备，采用LAN作为接入方式时，往往应该考虑一个重要的问题就是用户之间的隔离，因为接入到LAN的用户往往处于同一广播域中，用户的通信信息可以被处于同一广播域中的其他用户监听到，影响了网络的安全性。而且广播域中，大量的广播信息带来的带宽消耗和网络延迟也影响了网络的影响。

VLAN技术的提出实现了LAN接入用户的隔离，不仅提高了安全性，也通过对广播域在细分减少了网络中的广播信息。VLAN技术就是在逻辑上把一个LAN划分成逻辑上相互隔离的虚拟网络，VLAN中的各个成员处于统一广播域中，而VLAN间通信必须通过第三层路由。VLAN的划分方式有很多，常用的包括基于端口的VLAN、基于MAC的VLAN、基于网络层的VLAN等。VLAN的技术实现中最常见的采用帧标签的方式，IEEE802.1Q提供了帧标签的标准，在VLAN Tag标签中，包含有VLAN ID是一个12位的域，可以支持4096个VLAN实例，而User Priority则是一个3位的帧优先级，共有8种优先级。网络中以太数据帧能够通过VLAN ID和User Priority来区别不同的网络流量。

当前由于交换芯片的限制，许多交换机VLAN范围即同时可配置的基于tag VLAN的ID的范围只能在n~n+512个的范围内。活动VLAN即指交换机同时可以配置的基于tag VLAN的个数一般在256个以内。而烽火网络S2000M、S3000全系列交换机可以做到的VLAN范围是1～4094，VLAN个数是4094个，达到了标准的最大值。

目前很多运营商要求端到端的安全辨识，希望每个用户一个VLAN，但面临的问题是标准的VLAN资源仅4096个，这就限制了宽带接入网络的组网规模。比如，将来一个家庭用户将涉及多种业务的接入，除了普通宽带数据业务外，还有语音业务如VoIP、视频业务如IPTV等。那么在运营中就需要通过VLAN来区分不同的业务，一个用户就会占用多个VLAN。此时，标准的VLAN资源可服务的用户数将小于4096个，很可能一两栋楼的用户就将VLAN ID的资源用尽了，不利于部署全网的vlan。汇聚层交换机通过对Q-in-Q技术的支持，可有效扩展城域网中VLAN的数量，使VLAN数量可以达到4096*4096个，可在整个小区的网内规划VLAN ID，给管理带来了很大的方便。比如，可以分配给每个用户一个外层VLAN ID号，如果通过内层的VLAN ID号区分不同业务类型，这样只用查看ID号就可以得知业务类型了。

F-engine S3500的Q-in-Q特性正好满足了这样的需求，通过使用Q-in-Q创新技术，在城域以太网的组网能力上突破了4096个VLAN的极限，既扩展了采用VLAN组建二层网络的能力，并可通过该方式实现城域网内的二层VPN，特别适用于城域以太网广域网服务。

Q-in-Q工作原理就是：数据在私网中传输时带一个私网的tag，定义为C－VLAN Tag，数据进入到服务商的骨干网后，在打上一层公网的VLAN tag，定义为P－VLAN Tag。到目的私网后再把P－VLAN Tag剥除，为用户提供了一种较为简单的二层VPN隧道。

P-VLAN Tag标签是嵌在以太网源 MAC 地址和目的MAC地址之后。也包含一个12位的P-VLAN ID，可支持4096个VLAN。P-VLAN CoS域包含3位，支持8个级别的优先级。在基于Q-in-Q网络中，运营商为每个VLAN分配一个P-VLAN ID，然后把用户的C-VLAN ID实例映射到这些P-VLAN ID上。因此，用户的C－VLAN ID就被保护起来。

举个例子，假定一个用户希望使用C-VLAN ID 4，50和6的数据需要穿过公网到达另一物理位置的用户网络。公网承载这个穿透服务，并分配了P-VLAN ID 78来聚集这些C-VLAN IDs。即把用户的C-VLAN ID 4，50和6映射到P-VLAN ID 78，这样数据在公网中传输时，P-VLAN ID是透明的，而C-VLAN ID则被隐藏了起来。而且用户能够根据业务的要求自由地分配自己网络中的C-VLAN 数目和设置这些C-VLAN CoS域的优先级。

烽火网络F-engine S3500提供的Q-in-Q技术，使得在解决小型城域网或企业网方案时，具有以下优点：

1） 提供了4096×4096个vlanID，可以解决日益紧缺的公网VLAN ID资源问题；

2） 用户可以规划自己的私网VLAN ID，不会导致与公网VLAN ID冲突；

3） 提供一种较为简单的二层VPN解决方案；

4） 使用户网络具有较高的独立性，在服务提供商升级网络时，用户网络不必更改原有的配置。