不同VLAN之间的流量必须经过三层设备（如路由器或防火墙）转发，从而形成天然的隔离边界。