Don Cannelloni

"tagged" bedeutet, dass zu den Daten des Ethernet Paketes noch der 4 Byte große 802.1Q Header hinzu kommt (zwischen den Blöcken "Source MAC" und "EtherType/Size"), in dem unter anderem drin steht, zu welchem vlan ein Paket gehört. So kann über einen physikalischen Switchport, der als Trunk konfiguriert ist, mehr als nur ein vlan gleichzeitig zu einem anderen Trunk-Port geleitet werden, ohne dass Teilnehmer in den vlans sich gegenseitig sehen, solange nicht zwischen ihnen geroutet wird.

Es gibt tagged Ports und untagged Ports.
Ein tagged Port kann gleichzeitig mehrere vlans führen (kann aber durchaus auch auf nur eins oder mehrere bestimmte vlans beschränkt werden).
Ein untagged Port (auch Access-Port genannt) hat nur intern im Switch ein vlan zugewiesen. Verlässt das Paket den Switch über solch einen untagged Port, wird der 802.1Q Header entfernt. Betritt ein Paket über einen untagged Port den Switch, so wird der 802.1Q Header dem Paket intern hinzugefügt entsprechend der vlan-Zuordnung zum Switchport.

Damit die vlans untereinander kommunizieren können, werden L3-Interface benötigt, über die das inter-vlan-routing stattfindet. Dafür werden entweder Layer3-Interface auf einem L3-Switch benötigt, oder man verbindet einen Router (am besten mittels einem Trunk) mit dem L2-Switch und routet auf dem Router über virtuelle oder physikalische Interface. (siehe "Router on a stick")