Ein VLAN-Tag ist eine zusätzliche Kennzeichnung im Header eines MAC-Frames, die in getaggten VLANs (Virtual LANs) verwendet wird. Mithilfe der VLAN-Technologie lässt sich ein einzelner physischer Layer-2-Switch (L2-Switch) in mehrere virtuelle L2-Switches (L2-Segmente) unterteilen. Indem bestimmten Ports des L2-Switches VLAN-Identifikationsnummern (VLAN-IDs) zugewiesen werden, können die mit diesen Ports verbundenen Geräte als Teil bestimmter VLANs (virtueller L2-Segmente) identifiziert werden. Dies wird als „Port-VLAN“ bezeichnet. Bei Port-VLANs wird üblicherweise ein Verwaltungsendgerät, beispielsweise ein Computer, an den Verwaltungsport des L2-Switches angeschlossen. Anschließend werden über eine Terminalsoftware Befehle zur VLAN-Konfiguration eingegeben.
Bei dieser Konfiguration sind VLANs jedoch auf einen einzelnen physischen Switch beschränkt. Um VLANs in größeren Netzwerken zu verwenden, die sich über mehrere physische Switches erstrecken, müssen VLANs eingerichtet werden, die mehrere Switches umfassen. Diese Switches müssen anhand von Informationen in einem bestimmten Format erkennen können, zu welchem VLAN ein Frame gehört. Diese Funktionalität wird durch getaggte VLANs bereitgestellt.
Bei L2-Switches, die getaggte VLANs unterstützen, können einige Ports als „Tagged Ports“ konfiguriert werden. Tagged Ports dienen zur Verbindung mit anderen VLAN-fähigen L2-Switches. Frames, die über diese Ports gesendet werden, werden mit VLAN-Tags versehen. L2-Switches, die diese Frames empfangen, ermitteln anhand der Informationen in den VLAN-Tags, zu welchem VLAN der jeweilige Frame gehört, und leiten ihn an die entsprechenden Ports weiter.
Die Definition von VLAN-Tags ist in IEEE 802.1Q standardisiert. Ein VLAN-Tag besteht aus 4 Byte. Die ersten 2 Byte kennzeichnen den Frame als IEEE-802.1Q-Frame (hexadezimal als „0x8100“ dargestellt), während die verbleibenden 2 Byte Informationen zur VLAN-Identifizierung enthalten, beispielsweise die Frame-Priorität und eine 12-Bit-VLAN-ID.