¿Cómo crean las VLAN redes lógicamente separadas y la necesidad de enrutamiento entre ellas?

La VLAN se convierte en una red separada lógicamente porque los conmutadores que manejan los paquetes de VLAN no permitirán que el paquete de una VLAN vaya a otra VLAN.

Por ejemplo: si un conmutador de capa 2 tiene algunos hosts finales conectados y los puertos están configurados como puertos de acceso en dos VLAN diferentes y digamos que los hosts A, B, C están en la VLAN 10 y los hosts X, Y, Z están en la VLAN 20. Cuando el host A envía un conmutador de paquetes de difusión, lo enviará a los puertos a los que están conectados los hosts B y C, pero no a los puertos a los que están conectados los hosts X, Y o Z. Básicamente, la VLAN define el dominio de difusión.

Dado que las VLAN están aisladas de la capa 2 entre sí, para llegar a un host en otra VLAN debe pasar por el siguiente nivel de abstracción en la capa de red que es la capa 3 (normalmente IP en estos días). De ahí la necesidad de enrutamiento. El mismo conmutador puede enrutar IP también si es un conmutador combinado de capa 2/3 o el conmutador de capa 2 puede enviar el paquete a un enrutador físicamente separado que reescribirá las direcciones MAC de origen y destino y lo enviará a la interfaz conectada a la VLAN en el que reside el host con IP de destino.