你们有没有遇到过这种情况公司刚搬进新办公室所有电脑插在同一个交换机上到了下午网络突然卡成 PPTIT 同事挨个查 ARP、查环路、查广播包最后发现只是有人开了一台打印机把整个二层广播域全部拖垮。或者说你是刚入行的网络工程师第一次面对机房里几十台交换机老板让你“把财务部和研发部隔离一下两边不能互访但都要能上网”。你盯着命令行脑子里只有一个问题VLAN 到底怎么配这不是个别案例。VLAN 几乎是所有企业网络排障、业务隔离、网络安全策略的基础。你可以不懂 BGP可以暂时不碰 OSPF但如果不会 VLAN别说面试网络工程师岗位连看懂交换机上display int vlan brief的输出都费劲。这篇文章不打算把 VLAN 讲成玄学。我们从真实网络故障场景出发把 VLAN 的工作原理、划分方式、作用、华为交换机实战配置、VLAN 间通信方案一次讲透。读完你能解决三类问题理解 VLAN 到底在解决什么照着配置能在华为交换机上跑通一个完整的 VLAN 实验遇到 VLAN 相关故障时知道去哪里排查。1. 这篇文章真正要解决的问题先下一个明确判断VLAN 不是什么高级特性而是网络工程师的基本功中的基本功。它的核心价值是让一台物理交换机在逻辑上变成多台互不相干的交换机。很多零基础的朋友第一次接触 VLAN容易被各种术语劝退Access、Trunk、Hybrid、Tag、Untag、PVID、802.1Q…… 每个词都认识放在一起就懵了。这很正常。因为我们默认把 VLAN 当成一个“配置命令”去学而没有先把它当成一个“网络设计思想”去理解。这篇文章要做的是帮你建立三层认知第一层概念层VLAN 是什么它是怎么把一个大的广播域切小的802.1Q 标签和 PVID 到底在传输过程中扮演什么角色。第二层配置层在华为交换机上VLAN 是怎么创建、怎么划分、怎么跨交换机传递的。为什么有人配完 VLAN 后不同交换机下的同 VLAN 电脑不通问题出在哪里。第三层应用层VLAN 划完之后不同 VLAN 之间怎么通信。这是从“能配通”走向“能设计网络”的关键一步。如果你是为了准备软考网络工程师或者正在面试企业网管岗位这篇文章的内容基本覆盖了高频考点。如果你已经会配置简单的 Access 和 Trunk这篇文章也能帮你把 PVID、VLAN 间通信、排查思路这些容易模糊的点补扎实。2. VLAN 核心概念与工作原理2.1 没有 VLAN 之前网络是什么样要理解 VLAN 的价值得先回到没有 VLAN 的时代。想象一下一个二层交换机等于一个房间。所有接入这台交换机的设备都站在同一个房间里喊话。A 电脑发一个广播包房间里所有设备都能听到B 电脑中了 ARP 病毒每秒发几百个广播包整个房间就被垃圾信息塞满了谁也别想正常通信。这个“房间”的学名叫广播域也就是同一个二层网络里所有能收到彼此广播帧的设备集合。在只有几十台电脑的小网络里这种“全体喊话”模式问题不大。但网络规模一大问题就来了性能问题广播包太多交换机 CPU 和带宽被无效流量耗尽。安全问题所有设备在同一个二层网络里意味着任何一台设备都有机会监听、嗅探、攻击其他设备。财务部的敏感数据在研发部电脑上装个抓包工具就可能被抓到。管理问题一个广播域里的故障会影响所有人你想定位是谁在发垃圾流量大海捞针。扩展问题局域网无限扩大MAC 地址表、ARP 表不断膨胀交换机负担越来越重。传统解决办法是多买几台交换机物理隔离。但物理隔离的问题是设备搬动就要重新布线成本高、不灵活而且很多场景下不同部门之间偶尔还要互访纯物理隔离根本做不到。2.2 VLAN 的基本思想逻辑切分物理不变VLAN 的全称是Virtual Local Area Network虚拟局域网。它的核心思想是在交换机内部把端口划分成不同的逻辑组每组就是一个独立的广播域。不同 VLAN 之间的二层流量天然隔离仿佛它们连接的是完全不同的交换机。举例来说同一台 24 口华为交换机端口 1-8 划分到 VLAN 10命名 Office给办公区电脑用。端口 9-16 划分到 VLAN 20命名 Finance给财务部用。端口 17-24 划分到 VLAN 30命名 Server给服务器用。从业务角度看这三组设备虽然插在同一台物理交换机上但它们各自独立。办公区的广播包不会传到财务部财务部想主动访问办公区从二层网络层面也过不去。这就是 VLAN 最本质的作用在保持物理拓扑不变的前提下实现网络逻辑隔离。它没有改变你插线的方式却改变了网络的逻辑边界。2.3 交换机怎么知道一个帧属于哪个 VLAN这里就涉及到一个关键概念帧标记。一台交换机自己内部的 VLAN 划分比较简单因为端口属于哪个 VLAN 是配置死的。但当 VLAN 需要跨交换机传递时就产生了一个问题数据帧从交换机 A 的 Trunk 口发出后到了交换机 BB 怎么知道这个帧属于 VLAN 10 还是 VLAN 20解决方法是在以太网帧里加一个标签Tag写上这个帧属于哪个 VLAN。这就是802.1Q协议做的事情它也被称为 Dot1q。802.1Q 在标准以太网帧的源 MAC 地址之后、长度/类型字段之前插入了一个 4 字节的 Tag其中的 VLAN ID 字段占 12 bit取值范围是0 到 4095所以 VLAN 的理论编号范围是 1 到 40940 和 4095 保留。你不需要死记 Tag 的二进制结构只需要理解一点带 Tag 的帧就是在原始以太网帧上贴了一个“快递单号”交换机凭这个单号决定把帧转发到哪个逻辑网络。2.4 PVID 是什么为什么它是新手最容易混淆的概念配置 VLAN 时你一定会碰到 PVID。很多新手把它当成一个需要死记的命令参数其实它是一个非常直观的概念。PVID全称是Port VLAN ID端口默认 VLAN 标识。一句话理解当一个端口收到一个不带 Tag 的帧时交换机会默认把它当作 PVID 所对应的 VLAN 的帧来处理。为什么要这样设计因为普通电脑发出的以太网帧是不带 802.1Q 标签的交换机必须有一个“默认归属”逻辑才知道该把这种帧归类到哪个 VLAN。这里要特别提醒一个最容易误解的细节PVID 和端口的 VLAN 类型是两个独立维度。端口类型Access / Trunk / Hybrid决定了这个端口如何发送和处理帧。PVID 决定了这个端口收到的无标签帧被归入哪个 VLAN。二者经常一起配置但理解上不要把它们的职责混为一谈。举个容易踩坑的例子两台交换机用 Trunk 互联左边 Trunk 口的 PVID 是 1右边 Trunk 口的 PVID 是 10。那么左边交换机从 Trunk 口发出来的 VLAN 1 无标签帧到了右边交换机后右边交换机不会把它当成 VLAN 1而是当成自身 PVID 对应的 VLAN 10 来处理。两边对帧的“理解”不一致网络就会出现莫名其妙的隔离或互通问题。2.5 端口类型Access、Trunk、HybridVLAN 配置中端口扮演着不同角色。华为交换机上的端口类型有三种Core 必须掌握前两种第三种也要知道它是华为的特色。Access 端口Access 口通常用于连接终端设备比如电脑、打印机、服务器。它的特点是只能属于一个 VLAN。发送帧时如果帧的 VLAN 等于端口 PVID则去掉 Tag 再发给终端。收到无标签帧时打上 PVID 对应的 Tag 在交换机内部处理。换句话说Access 口对外是“干净的”它把 VLAN 信息封装在交换机内部终端完全感知不到 VLAN 的存在收到的仍然是不带标签的标准以太网帧。Trunk 端口Trunk 口通常用于交换机之间的互联它允许多个 VLAN 的帧通过。它的特点是默认放行哪些 VLAN由port trunk allow-pass vlan决定。默认情况下华为交换机的 Trunk 口只放行 VLAN 1。PVID 对应的 VLAN 流量在 Trunk 口上默认以无标签方式发送其他允许通过的 VLAN 流量以带标签方式发送。这里有个华为 VRP 平台的行为需要记住华为交换机 Trunk 口默认允许 VLAN 1 通过且默认 PVID 也是 1。这意味着如果你在 Trunk 上不额外配置VLAN 1 的流量是可以无标签跨交换机透传的。很多人在做业务隔离时恰恰忘了处理 VLAN 1导致 VLAN 1 依然作为一个“公共网络”存在。Hybrid 端口Hybrid 是华为私有的端口类型它比 Trunk 更灵活既可以像 Access 一样只属于一个默认 VLAN也可以像 Trunk 一样让多个 VLAN 通过而且每个 VLAN 都能单独指定是带标签还是不带标签发送。日常企业网中 Hybrid 用得不如 Access 和 Trunk 多但很多运营商接入、特殊组网场景会用到。入门阶段先掌握 Access 和 Trunk 就足够了。这个小节的结论是终端设备用 Access交换机互联用 Trunk。PVID 解决的是“无标签帧默认归谁”的问题Trunk 的 allow-pass vlan 解决的是“哪些 VLAN 能跨交换机传送”的问题。这两个概念一旦分开理解VLAN 配置的很多困惑就解开了。3. VLAN 的划分方式与典型应用场景VLAN 的“划分方式”指的是你依据什么规则把设备归入不同的 VLAN。不同的划分方式适合不同的网络规模和业务场景。3.1 基于端口的划分这是最基础、最常用的一种方式。管理员手动把交换机端口指定到某个 VLAN设备接在哪个口就属于哪个 VLAN。优点配置简单、直观、性能好管理员完全可控。缺点设备移动后需要重新配置。比如财务部的同事换到新工位正好新工位端口划在了 VLAN 10那这位同事就无法访问财务部的 VLAN 20 资源了你必须手动改端口。适用场景小型办公网、固定工位的企业内网。这也是本文最核心的划分方式。3.2 基于 MAC 地址的划分把终端设备的 MAC 地址和 VLAN 绑定。无论设备插在哪个端口交换机识别到 MAC 地址后自动把它归入对应 VLAN。优点设备移动性友好换端口、换交换机都不需要重新配置端口。缺点MAC 地址数量大需要提前收集全公司的 MAC 信息配置工作量大而且如果用户修改 MAC 地址MAC 欺骗安全性会降低。适用场景终端位置经常变化、需要免配置接入的场景或者安全要求极高、需要精确绑定终端的场景。3.3 基于 IP 子网的划分根据 PC 的 IP 地址或 IP 网段划分 VLAN。这种划分方式一般基于三层信息交换机需要识别报文的 IP 地址。优点不用关心设备接在哪个口只要 IP 正确就能进入正确的 VLAN而且一个端口可以同时承载多个 IP 子网对应的多个 VLAN适合一端口多网段的场景。缺点性能开销高于端口划分因为交换机要额外完成三层识别。适用场景需要精细区分不同业务网段的场景或者视频监控等有明确 IP 规划、但物理位置分散的场景。3.4 基于协议与策略的划分基于协议划分是指按网络层协议如 IP、IPX区分 VLAN基于策略划分则是指将端口、MAC、IP 等多种条件组合起来形成策略满足策略才划分到某个 VLAN。这两种属于进阶用法零基础阶段先了解即可。实际企业网最常用的仍然是基于端口划分MAC 和 IP 划分方式作为补充。3.5 VLAN 在企业网络中的典型作用把 VLAN 的作用归纳一下方便你做笔记作用说明典型示例隔离广播域抑制广播风暴扩散范围提升网络稳定性300 台电脑分 5 个 VLAN广播影响范围降到 1/5提高安全性二层隔离敏感部门避免直接互访财务部 VLAN 与访客 VLAN 完全隔离简化管理逻辑分组不依赖物理位置便于调整新同事加入市场部改交换机端口归属即可降低网络成本减少物理隔离所需的交换机数量一台交换机承载多个部门逻辑隔离支撑组播与业务分级为视频、语音等业务单独划 VLAN保证传输质量IP 电话单独一个 Voice VLAN优先转发这里还要补充一个很多人忽略的安全事实VLAN 隔离的是二层流量不是安全边界。如果不同 VLAN 之间需要互访一旦接入了三层路由或防火墙策略安全性能由访问控制策略决定而不是由 VLAN 本身决定。VLAN 是网络隔离的第一道基础防线但永远不能替代防火墙和精细化 ACL。4. 实验环境准备与华为交换机基础配置框架纯理论记不住动手才是王道。下面我们用华为 eNSP 模拟器来完成实验。eNSP 是华为官方的网络模拟工具免费零基础也完全能上手。4.1 实验环境不需要真实交换机一台普通电脑就可以完成下面的所有实验。系统Windows 10 / Windows 11 均可。工具华为 eNSP 模拟器或 VRP 兼容模拟环境。设备2 台交换机如 S5700 系列 4 台 PC。拓扑规划PC1 --------- SW1 --------- SW2 --------- PC3 | trunk | PC2 --------- SW1 SW2 -------- PC4IP 规划设备所属 VLANIP 地址PC1VLAN 10192.168.10.10 / 24PC2VLAN 20192.168.20.10 / 24PC3VLAN 10192.168.10.20 / 24PC4VLAN 20192.168.20.20 / 24实验目标PC1 和 PC3 都属于 VLAN 10跨交换机还能互相通信PC2 和 PC4 都属于 VLAN 20也能通但 VLAN 10 和 VLAN 20 之间相互隔离二层无法访问。4.2 初始化与基础命令框架在开始配置前先说一个通用原则华为交换机所有配置都以 system-view 为起点进入系统视图后才能创建 VLAN 和配置接口。下面是登录交换机后最基本的检查命令建议每次配置前先看一眼当前状态。Huaweisystem-view [Huawei]sysname SW1 [SW1]display vlan [SW1]display interface brief [SW1]display int vlan brief说明一下sysname SW1把交换机名字改成 SW1方便多设备实验时区分命令行提示符。display vlan查看当前交换机上已经创建的 VLAN 列表。display interface brief查看所有接口的状态Up / Down、速率等。display int vlan brief查看 VLAN 和接口的对应关系。这是排障时最常用的命令之一。环境准备阶段要特别提醒eNSP 里如果设备启动很慢或接口显示 Down不用着急先检查设备是否全部启动完成。模拟器里 PC 和交换机之间有红色链路并不代表配置错误可能是接口协议还未协商完成等一下或者重启设备即可。5. 华为交换机 VLAN 配置实战下面进入核心环节。我们分三步完成这个实验在交换机上创建 VLAN配置 Access 口把 PC 分配到对应 VLAN配置 Trunk 口让 VLAN 跨交换机传递。5.1 在交换机上创建 VLAN登录 SW1进入系统视图批量创建 VLAN 10 和 VLAN 20。SW1system-view [SW1]vlan batch 10 20登录 SW2执行同样的操作SW2system-view [SW2]vlan batch 10 20vlan batch是华为交换机批量创建 VLAN 的命令。如果要单独创建一个 VLAN用vlan 10即可如果要创建连续的多个 VLAN可以写vlan batch 10 to 20表示创建 VLAN 10 到 VLAN 20。创建完成后用display vlan查看结果。正常情况下你会看到 VLAN 10 和 VLAN 20 都已经存在但此时还没有任何业务端口属于它们。5.2 配置 Access 接口回到 SW1把连接 PC1 和 PC2 的接口配置为 Access 模式并分别划入 VLAN 10 和 VLAN 20。[SW1]interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1]port link-type access [SW1-GigabitEthernet0/0/1]port default vlan 10 [SW1-GigabitEthernet0/0/1]quit [SW1]interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2]port link-type access [SW1-GigabitEthernet0/0/2]port default vlan 20 [SW1-GigabitEthernet0/0/2]quitSW2 上做同样的配置但接口要对应 PC3 和 PC4[SW2]interface GigabitEthernet0/0/1 [SW2-GigabitEthernet0/0/1]port link-type access [SW2-GigabitEthernet0/0/1]port default vlan 10 [SW2-GigabitEthernet0/0/1]quit [SW2]interface GigabitEthernet0/0/2 [SW2-GigabitEthernet0/0/2]port link-type access [SW2-GigabitEthernet0/0/2]port default vlan 20 [SW2-GigabitEthernet0/0/2]quit这里解释两个命令的关键逻辑port link-type access把这个端口的链路类型改为 Access。默认情况下华为交换机的端口类型是 Hybrid改成 Access 后这个端口才表现为“终端接入型”端口对外发帧时去掉标签。port default vlan 10把这个端口的默认 VLAN 设置为 10也就是 PVID 为 10。这也意味着从这台 PC 进来的无标签帧会被交换机打上 VLAN 10 的标签处理。很多零基础同学在这里会犯一个错误只配置了port link-type access忘了敲port default vlan结果这个 Access 口实际仍属于默认的 VLAN 1PC 之间怎么 ping 都不通。记住链路类型和 VLAN 归属是两个动作缺一不可。5.3 配置 Trunk 接口在 SW1 和 SW2 互联的接口上把链路类型改为 Trunk并放行 VLAN 10 和 VLAN 20。[SW1]interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24]port link-type trunk [SW1-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20 [SW1-GigabitEthernet0/0/24]quit[SW2]interface GigabitEthernet0/0/24 [SW2-GigabitEthernet0/0/24]port link-type trunk [SW2-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20 [SW2-GigabitEthernet0/0/24]quit注意两台交换机互联的 Trunk 口一定要都配置 allow-pass 放行同样的 VLAN。如果只在一端放行另一端没有放行那么跨交换机时这个 VLAN 的流量会被对端交换机过滤掉。配置完成后可以查看端口状态[SW1]display int vlan brief正常情况下GigabitEthernet0/0/1 会出现在 VLAN 10 下GigabitEthernet0/0/2 会出现在 VLAN 20 下GigabitEthernet0/0/24 作为 Trunk 口会出现在 VLAN 10 和 VLAN 20 两列中。5.4 配置完整的常见做法有一个很值得新手养成的习惯配置接口时尽量一次性写完整。下面给出一个 SW1 的完整配置示例你可以直接对照执行。SW1system-view [SW1]sysname SW1 [SW1]vlan batch 10 20 [SW1]interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1]port link-type access [SW1-GigabitEthernet0/0/1]port default vlan 10 [SW1-GigabitEthernet0/0/1]quit [SW1]interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2]port link-type access [SW1-GigabitEthernet0/0/2]port default vlan 20 [SW1-GigabitEthernet0/0/2]quit [SW1]interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24]port link-type trunk [SW1-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20 [SW1-GigabitEthernet0/0/24]quit把上面的SW1换成SW2并调整接口对应关系就是 SW2 的完整配置。配完之后不要急着关配置窗口继续做下一节的验证。5.5 验证实验是否成功在 PC1 上执行 ping检查可达性PC1 ping PC3同为 VLAN 10应该通。PC2 ping PC4同为 VLAN 20应该通。PC1 ping PC2跨 VLAN应该不通。如果第二组不通说明广播域隔离生效了这正是我们配置 VLAN 想要的效果。如果第一组不通说明 Access 或 Trunk 配置有问题请按第 7 节排错。6. VLAN 间通信的三种方案与配置VLAN 天生隔离二层流量但在实际业务中“隔离”和“按需互访”往往同时存在。财务部不能访问研发部分享文件但所有人都要能访问企业门户网站。这个需求意味着VLAN 间通信必须经过三层路由。换句话说从一个 VLAN 到另一个 VLAN 的流量必须由一台具备路由能力的设备路由器或三层交换机来转发。这个知识点在软考网络工程师和企业面试中几乎是必考题也是从“会配 VLAN”走向“会设计网络”的转折点。下面介绍三种主流方案。6.1 方案一单臂路由思路很直观路由器只有一个物理接口我们在路由器上把这个接口拆分成多个子接口每个子接口对应一个 VLAN 的网关。交换机侧把这个物理口配置为 Trunk让多个 VLAN 的帧都能带上标签到达路由器路由器子接口收到带 802.1Q 标签的帧后根据标签剥离并转发给对应网段。华为路由器子接口的关键配置包括三个动作配置 VLAN 封装、配置 IP 地址、开启 ARP 广播。以下是在华为路由器上的配置方式。[R1]interface GigabitEthernet0/0/0.10 [R1-GigabitEthernet0/0/0.10]dot1q termination vid 10 [R1-GigabitEthernet0/0/0.10]ip address 192.168.10.1 24 [R1-GigabitEthernet0/0/0.10]arp broadcast enable [R1-GigabitEthernet0/0/0.10]quit [R1]interface GigabitEthernet0/0/0.20 [R1-GigabitEthernet0/0/0.20]dot1q termination vid 20 [R1-GigabitEthernet0/0/0.20]ip address 192.168.20.1 24 [R1-GigabitEthernet0/0/0.20]arp broadcast enable [R1-GigabitEthernet0/0/0.20]quit三个关键命令的含义dot1q termination vid 10子接口只处理带 VLAN 10 标签的帧。ip address 192.168.10.1 24子接口作为 VLAN 10 的网关PC 的默认网关必须指到这个地址。arp broadcast enable在子接口上使能 ARP 广播功能。子接口默认不会处理广播 ARP 请求不开启这条命令PC 解析不到网关的 MAC三层通信无法建立。单臂路由的优点是可以复用现有路由器逻辑清晰缺点也明显所有跨 VLAN 流量都从这一条物理链路经过容易成为瓶颈。适合小规模网络或临时方案。6.2 方案二三层交换机的 VLANIF对于企业核心网络更推荐的方案是用三层交换机。三层交换机可以创建逻辑三层口名为 VLANIFVLAN 接口它既是这个 VLAN 内电脑的网关又能执行路由转发。这种做法不需要额外接路由器转发性能也远高于单臂路由。在华为三层交换机上直接在交换机上配置 VLANIF 地址作为网关即可。[SW1]interface Vlanif10 [SW1-Vlanif10]ip address 192.168.10.254 24 [SW1-Vlanif10]quit [SW1]interface Vlanif20 [SW1-Vlanif20]ip address 192.168.20.254 24 [SW1-Vlanif20]quit配置完成后把 PC1 的网关指向 192.168.10.254PC2 的网关指向 192.168.20.254。三层交换机自动拥有直连路由会在 VLAN 10 和 VLAN 20 之间完成路由转发。在三层交换机方案里还需要确认一件事默认情况下不同 VLAN 的接口如果配置了 VLANIF 地址交换机是否会自动互访取决于设备上的 VLAN 间路由配置通常情况下三层交换机配置了 VLANIF 并开启对应功能后VLAN 间路由是默认生效的。但在某些企业网场景中出于安全考虑你还需要用 ACL 或防火墙策略限制只有特定源和目的可以互访。这就是“VLAN 隔离 按需互访”的组合用法。6.3 方案三使用防火墙或路由器终结 VLAN在更大型的网络或注重安全控制的场合VLAN 的网关不一定放在接入交换机上而是收敛到核心交换机核心交换机再通过路由口上联防火墙或路由器。这么做的好处是所有跨 VLAN 流量统一经过安全设备可以在防火墙层做精细化访问控制形成“VLAN 隔离 安全管控”的一体化边界。这种方案配置量更大但对于中大型企业是更规范的做法。零基础阶段先把单臂路由和 VLANIF 的原理吃透等理解了三层转发再去看防火墙场景会轻松很多。6.4 三种方案的选型对比方案实现设备优点缺点适用场景单臂路由路由器 子接口复用路由器概念清晰跨 VLAN 流量集中易成瓶颈小型网络、实验教学三层交换机 VLANIF三层交换机转发性能高配置简洁需要三层交换机安全策略能力弱于防火墙企业核心/汇聚层防火墙/路由器终结核心层 防火墙安全控制能力强边界清晰设备成本高配置复杂中大型企业、分级安全域选型判断小规模用单臂路由企业核心优先三层交换机有强安全分域需求则加防火墙。没有一种方案是全能最优实际项目往往组合使用。7. 运行验证与故障排查VLAN 实验做完下面这些命令和排查思路会陪伴你整个网络工程师生涯。7.1 核心验证命令在华为交换机上最简单的方式就是在 PC 上做 ping 测试然后到交换机上查看 VLAN 和接口的对应关系、端口收发的 Tag 情况最后再查看路由表或 ARP 表定位问题。以下是排障时常用的命令。display vlan查看交换机上有哪些 VLAN以及每个 VLAN 包含了哪些端口。如果业务端口没有出现在期望的 VLAN 列表里说明 Access 或 Trunk 配置可能有问题。display port vlan查看端口的链路类型、PVID、允许通过的 VLAN 列表以及这些 VLAN 的收发是带 Tag 还是不带 Tag。这是排查 Trunk 问题最直接的命令。display int vlan brief以表格形式查看每个 VLAN 下有哪些接口以及 VLANIF 接口是否配置了 IP。如果你配置的 VLANIF 不在这里出现可能是没有创建或接口状态 Down。display ip interface brief查看三层接口包括 VLANIF的 IP 地址和状态。排查“为什么网关 ping 不通”时第一优先看这里。7.2 常见问题与排查清单下面这张表覆盖了 VLAN 实验中最常见的几类故障保存下来以后遇到问题可以直接对照。问题现象可能原因排查方式解决方案同一交换机下同 VLAN 的 PC 不通Access 口未设置 default vlanPC 仍属于默认 VLAN 1看display port vlan确认端口 PVID重新配置port default vlan跨交换机同 VLAN 的 PC 不通Trunk 口未放行对应 VLAN或只在一端放行两端分别执行display port vlan两端都配置port trunk allow-pass vlan配置了 PVID 后 VLAN 1 流量异常互联 Trunk 两端 PVID 不一致对比两端display port vlan的 PVID统一两端 PVID或用命令调整默认 PVIDPC 设置网关后仍上不了网VLANIF 地址未配置 / 网关 IP 与 VLANIF 不一致display ip interface brief在正确 VLANIF 下配置网关地址单臂路由不通子接口未开启 arp broadcast enable检查路由器子接口配置补配arp broadcast enable跨 VLAN 能通但不想让它通三层交换机默认启用了 VLAN 间路由检查三层路由和 ACL 策略配置 ACL 限制互访或通过防火墙控制7.3 一个典型的 PVID 排查示例假设你在实验中发现SW1 下 VLAN 10 的 PC1 可以 ping 通 SW2 下 VLAN 10 的 PC3但 SW1 下 VLAN 20 的 PC2 却 ping 不通 SW2 下 VLAN 20 的 PC4而且 SW2 的display port vlan显示 PC4 这个 Access 口 PVID 不是 20而是 1。这个现象的原因很直白你只改了接口的 link-type access但忘了设置 port default vlan。帧进入接入交换机后被归入 VLAN 1到了对端交换机也不会被识别为 VLAN 20自然不通。把这个例子记下来你以后就养成了一个习惯配置 Access 口时永远检查两个字段一个是 link-type一个是 default vlan。两者缺一不可。8. 最佳实践与工程建议VLAN 配置本身并不复杂但真正考验网络工程师的是在生产环境中如何规划、如何变更、如何避免影响现网业务。以下建议全部来自实际工程中高频出现的问题值得你写进自己的项目规范里。8.1 VLAN 编号规范不要想到什么 VLAN 就用什么编号提前规划编号规则后面省掉大量运维成本。这里给出一个参考模板VLAN 区间用途说明VLAN 1默认管理 VLAN如无必要不承载业务VLAN 10-19办公终端网段按部门继续细分VLAN 20-29服务器/数据库网段通常需要最严格的安全策略VLAN 30-39打印机、IoT、门禁等泛终端与办公网严格隔离VLAN 40-49视频监控/IP 电话可按带宽和优先级单独保障VLAN 100-199管理网段/设备互联常常配合 IoT 管理平台使用不同公司有不同规范原则只有一条VLAN ID 的用途要在全网范围内保持一致并记录到文档里。一个 VLAN ID 今天代表财务部明天代表访客网络这种“灵活”是运维最大的噩梦。8.2 管理 VLAN 单独划分交换机、路由器、防火墙的网络管理地址应该放到一个独立的专用管理 VLAN 中并且只允许运维人员访问。这样即使业务网段出问题你还能通过管理 VLAN 远程登录设备排障。管理 VLAN 的地址不要使用默认的 VLAN 1因为默认 VLAN 在任何 Trunk 口上都可能被透传容易被意外访问。8.3 Trunk 口最小化放行Trunk 口不要直接放行all。按需放行才有意义配置上只放行业务需要跨交换机传递的 VLAN。这样即使某个 VLAN 出现了广播风暴或攻击流量也不会横向扩散到整台交换机的所有 Trunk 链路。最小化放行是网络隔离设计里的重要安全原则。8.4 生产环境变更纪律给已经在跑业务的交换机重新划分 VLAN属于高风险变更。动手之前先想清楚下面几个问题这个接口现在连着哪些设备改完会不会断网确认方法查看 MAC 地址表或者先ping测试在网状态。有没有配置备份华为交换机可用以下命令导出当前配置保存到本地。[SW1]save [SW1]display current-configuration先save保存再display current-configuration核对完整配置并另行复制保存一份备份。有没有回滚方案一旦发现业务异常能否快速把端口恢复到原来的 VLAN建议提前把原配置记下来而不是依赖记忆。有没有变更窗口企业办公时间改核心 VLAN 相当于给自己找麻烦尽量安排到业务低峰期或维护窗口。8.5 安全边界认知再强调一次VLAN 隔离不等于安全隔离。二层网络里仍然存在 ARP 欺骗、DHCP 欺骗、MAC 泛洪等攻击方式。要构建真正安全的网络还需要配合 DHCP Snooping、IP Source Guard、端口安全Port Security和防火墙的访问控制策略。对零基础读者这里给一个可执行的进阶路线先把 DHCP Snooping 和端口安全这两个特性学会它们是搭建相对安全企业内网的起点也是面试中被问概率极高的点。8.6 记录与文档配置 VLAN 不记录等于白配。至少保留一份网络 IP 规划表、VLAN 规划表、端口与对应关系表。很多网络的“维护地狱”不是技术难而是没人知道这个端口当初为什么划到这个 VLAN。这份文档将来救的不只是别人更是几个月后的你自己。9. 总结与后续学习方向看到这里你应该已经理解VLAN 的本质不是一串配置命令而是对二层广播域的逻辑切分Access、Trunk、PVID 这几个概念是配置的基础802.1Q 标签是跨交换机传递 VLAN 信息的载体单臂路由、三层交换机 VLANIF、防火墙终结是 VLAN 间通信的三种主流手段。这篇文章没有覆盖的内容还很多比如 VLAN 在不同厂商设备上的命令差异、VLAN 与生成树STP的协作关系、VLAN 虚拟化在云网络中的扩展用法以及 K8s 场景下 Multus 等 CNI 插件如何把 VLAN 子接口接入 Pod 网络。这些都属于 VLAN 概念的延伸应用但万变不离其宗底层原理都是 802.1Q 标签和广播域隔离。给零基础读者一个清晰的下一步计划先在模拟器里把本文的“两台交换机 两个 VLAN”实验完整做一遍直到不看教程也能独立配置。加一个三层交换机的 VLANIF 配置完成 VLAN 10 与 VLAN 20 之间的互通体会“二层隔离 三层互访”的设计思路。配置 ACL 或防火墙策略实现“只能访问某些网段其他网段拒绝”理解安全边界不是靠 VLAN 本身。再去学 DHCP Snooping、端口安全、生成树把内网安全性和稳定性补齐。VLAN 配置命令记不住没关系收藏这篇文章需要的时候翻出来照着敲一遍比死记硬背效率高得多。真正决定你水平的是面对一个故障时你能不能快速判断“这是不是 VLAN 划错了、PVID 没对上、Trunk 没放行”这三个常见问题。把这套排查思路练成肌肉记忆你就已经超过了相当一部分刚入行的网络工程师。
VLAN原理与华为交换机配置实战：从广播域隔离到VLAN间通信
你们有没有遇到过这种情况公司刚搬进新办公室所有电脑插在同一个交换机上到了下午网络突然卡成 PPTIT 同事挨个查 ARP、查环路、查广播包最后发现只是有人开了一台打印机把整个二层广播域全部拖垮。或者说你是刚入行的网络工程师第一次面对机房里几十台交换机老板让你“把财务部和研发部隔离一下两边不能互访但都要能上网”。你盯着命令行脑子里只有一个问题VLAN 到底怎么配这不是个别案例。VLAN 几乎是所有企业网络排障、业务隔离、网络安全策略的基础。你可以不懂 BGP可以暂时不碰 OSPF但如果不会 VLAN别说面试网络工程师岗位连看懂交换机上display int vlan brief的输出都费劲。这篇文章不打算把 VLAN 讲成玄学。我们从真实网络故障场景出发把 VLAN 的工作原理、划分方式、作用、华为交换机实战配置、VLAN 间通信方案一次讲透。读完你能解决三类问题理解 VLAN 到底在解决什么照着配置能在华为交换机上跑通一个完整的 VLAN 实验遇到 VLAN 相关故障时知道去哪里排查。1. 这篇文章真正要解决的问题先下一个明确判断VLAN 不是什么高级特性而是网络工程师的基本功中的基本功。它的核心价值是让一台物理交换机在逻辑上变成多台互不相干的交换机。很多零基础的朋友第一次接触 VLAN容易被各种术语劝退Access、Trunk、Hybrid、Tag、Untag、PVID、802.1Q…… 每个词都认识放在一起就懵了。这很正常。因为我们默认把 VLAN 当成一个“配置命令”去学而没有先把它当成一个“网络设计思想”去理解。这篇文章要做的是帮你建立三层认知第一层概念层VLAN 是什么它是怎么把一个大的广播域切小的802.1Q 标签和 PVID 到底在传输过程中扮演什么角色。第二层配置层在华为交换机上VLAN 是怎么创建、怎么划分、怎么跨交换机传递的。为什么有人配完 VLAN 后不同交换机下的同 VLAN 电脑不通问题出在哪里。第三层应用层VLAN 划完之后不同 VLAN 之间怎么通信。这是从“能配通”走向“能设计网络”的关键一步。如果你是为了准备软考网络工程师或者正在面试企业网管岗位这篇文章的内容基本覆盖了高频考点。如果你已经会配置简单的 Access 和 Trunk这篇文章也能帮你把 PVID、VLAN 间通信、排查思路这些容易模糊的点补扎实。2. VLAN 核心概念与工作原理2.1 没有 VLAN 之前网络是什么样要理解 VLAN 的价值得先回到没有 VLAN 的时代。想象一下一个二层交换机等于一个房间。所有接入这台交换机的设备都站在同一个房间里喊话。A 电脑发一个广播包房间里所有设备都能听到B 电脑中了 ARP 病毒每秒发几百个广播包整个房间就被垃圾信息塞满了谁也别想正常通信。这个“房间”的学名叫广播域也就是同一个二层网络里所有能收到彼此广播帧的设备集合。在只有几十台电脑的小网络里这种“全体喊话”模式问题不大。但网络规模一大问题就来了性能问题广播包太多交换机 CPU 和带宽被无效流量耗尽。安全问题所有设备在同一个二层网络里意味着任何一台设备都有机会监听、嗅探、攻击其他设备。财务部的敏感数据在研发部电脑上装个抓包工具就可能被抓到。管理问题一个广播域里的故障会影响所有人你想定位是谁在发垃圾流量大海捞针。扩展问题局域网无限扩大MAC 地址表、ARP 表不断膨胀交换机负担越来越重。传统解决办法是多买几台交换机物理隔离。但物理隔离的问题是设备搬动就要重新布线成本高、不灵活而且很多场景下不同部门之间偶尔还要互访纯物理隔离根本做不到。2.2 VLAN 的基本思想逻辑切分物理不变VLAN 的全称是Virtual Local Area Network虚拟局域网。它的核心思想是在交换机内部把端口划分成不同的逻辑组每组就是一个独立的广播域。不同 VLAN 之间的二层流量天然隔离仿佛它们连接的是完全不同的交换机。举例来说同一台 24 口华为交换机端口 1-8 划分到 VLAN 10命名 Office给办公区电脑用。端口 9-16 划分到 VLAN 20命名 Finance给财务部用。端口 17-24 划分到 VLAN 30命名 Server给服务器用。从业务角度看这三组设备虽然插在同一台物理交换机上但它们各自独立。办公区的广播包不会传到财务部财务部想主动访问办公区从二层网络层面也过不去。这就是 VLAN 最本质的作用在保持物理拓扑不变的前提下实现网络逻辑隔离。它没有改变你插线的方式却改变了网络的逻辑边界。2.3 交换机怎么知道一个帧属于哪个 VLAN这里就涉及到一个关键概念帧标记。一台交换机自己内部的 VLAN 划分比较简单因为端口属于哪个 VLAN 是配置死的。但当 VLAN 需要跨交换机传递时就产生了一个问题数据帧从交换机 A 的 Trunk 口发出后到了交换机 BB 怎么知道这个帧属于 VLAN 10 还是 VLAN 20解决方法是在以太网帧里加一个标签Tag写上这个帧属于哪个 VLAN。这就是802.1Q协议做的事情它也被称为 Dot1q。802.1Q 在标准以太网帧的源 MAC 地址之后、长度/类型字段之前插入了一个 4 字节的 Tag其中的 VLAN ID 字段占 12 bit取值范围是0 到 4095所以 VLAN 的理论编号范围是 1 到 40940 和 4095 保留。你不需要死记 Tag 的二进制结构只需要理解一点带 Tag 的帧就是在原始以太网帧上贴了一个“快递单号”交换机凭这个单号决定把帧转发到哪个逻辑网络。2.4 PVID 是什么为什么它是新手最容易混淆的概念配置 VLAN 时你一定会碰到 PVID。很多新手把它当成一个需要死记的命令参数其实它是一个非常直观的概念。PVID全称是Port VLAN ID端口默认 VLAN 标识。一句话理解当一个端口收到一个不带 Tag 的帧时交换机会默认把它当作 PVID 所对应的 VLAN 的帧来处理。为什么要这样设计因为普通电脑发出的以太网帧是不带 802.1Q 标签的交换机必须有一个“默认归属”逻辑才知道该把这种帧归类到哪个 VLAN。这里要特别提醒一个最容易误解的细节PVID 和端口的 VLAN 类型是两个独立维度。端口类型Access / Trunk / Hybrid决定了这个端口如何发送和处理帧。PVID 决定了这个端口收到的无标签帧被归入哪个 VLAN。二者经常一起配置但理解上不要把它们的职责混为一谈。举个容易踩坑的例子两台交换机用 Trunk 互联左边 Trunk 口的 PVID 是 1右边 Trunk 口的 PVID 是 10。那么左边交换机从 Trunk 口发出来的 VLAN 1 无标签帧到了右边交换机后右边交换机不会把它当成 VLAN 1而是当成自身 PVID 对应的 VLAN 10 来处理。两边对帧的“理解”不一致网络就会出现莫名其妙的隔离或互通问题。2.5 端口类型Access、Trunk、HybridVLAN 配置中端口扮演着不同角色。华为交换机上的端口类型有三种Core 必须掌握前两种第三种也要知道它是华为的特色。Access 端口Access 口通常用于连接终端设备比如电脑、打印机、服务器。它的特点是只能属于一个 VLAN。发送帧时如果帧的 VLAN 等于端口 PVID则去掉 Tag 再发给终端。收到无标签帧时打上 PVID 对应的 Tag 在交换机内部处理。换句话说Access 口对外是“干净的”它把 VLAN 信息封装在交换机内部终端完全感知不到 VLAN 的存在收到的仍然是不带标签的标准以太网帧。Trunk 端口Trunk 口通常用于交换机之间的互联它允许多个 VLAN 的帧通过。它的特点是默认放行哪些 VLAN由port trunk allow-pass vlan决定。默认情况下华为交换机的 Trunk 口只放行 VLAN 1。PVID 对应的 VLAN 流量在 Trunk 口上默认以无标签方式发送其他允许通过的 VLAN 流量以带标签方式发送。这里有个华为 VRP 平台的行为需要记住华为交换机 Trunk 口默认允许 VLAN 1 通过且默认 PVID 也是 1。这意味着如果你在 Trunk 上不额外配置VLAN 1 的流量是可以无标签跨交换机透传的。很多人在做业务隔离时恰恰忘了处理 VLAN 1导致 VLAN 1 依然作为一个“公共网络”存在。Hybrid 端口Hybrid 是华为私有的端口类型它比 Trunk 更灵活既可以像 Access 一样只属于一个默认 VLAN也可以像 Trunk 一样让多个 VLAN 通过而且每个 VLAN 都能单独指定是带标签还是不带标签发送。日常企业网中 Hybrid 用得不如 Access 和 Trunk 多但很多运营商接入、特殊组网场景会用到。入门阶段先掌握 Access 和 Trunk 就足够了。这个小节的结论是终端设备用 Access交换机互联用 Trunk。PVID 解决的是“无标签帧默认归谁”的问题Trunk 的 allow-pass vlan 解决的是“哪些 VLAN 能跨交换机传送”的问题。这两个概念一旦分开理解VLAN 配置的很多困惑就解开了。3. VLAN 的划分方式与典型应用场景VLAN 的“划分方式”指的是你依据什么规则把设备归入不同的 VLAN。不同的划分方式适合不同的网络规模和业务场景。3.1 基于端口的划分这是最基础、最常用的一种方式。管理员手动把交换机端口指定到某个 VLAN设备接在哪个口就属于哪个 VLAN。优点配置简单、直观、性能好管理员完全可控。缺点设备移动后需要重新配置。比如财务部的同事换到新工位正好新工位端口划在了 VLAN 10那这位同事就无法访问财务部的 VLAN 20 资源了你必须手动改端口。适用场景小型办公网、固定工位的企业内网。这也是本文最核心的划分方式。3.2 基于 MAC 地址的划分把终端设备的 MAC 地址和 VLAN 绑定。无论设备插在哪个端口交换机识别到 MAC 地址后自动把它归入对应 VLAN。优点设备移动性友好换端口、换交换机都不需要重新配置端口。缺点MAC 地址数量大需要提前收集全公司的 MAC 信息配置工作量大而且如果用户修改 MAC 地址MAC 欺骗安全性会降低。适用场景终端位置经常变化、需要免配置接入的场景或者安全要求极高、需要精确绑定终端的场景。3.3 基于 IP 子网的划分根据 PC 的 IP 地址或 IP 网段划分 VLAN。这种划分方式一般基于三层信息交换机需要识别报文的 IP 地址。优点不用关心设备接在哪个口只要 IP 正确就能进入正确的 VLAN而且一个端口可以同时承载多个 IP 子网对应的多个 VLAN适合一端口多网段的场景。缺点性能开销高于端口划分因为交换机要额外完成三层识别。适用场景需要精细区分不同业务网段的场景或者视频监控等有明确 IP 规划、但物理位置分散的场景。3.4 基于协议与策略的划分基于协议划分是指按网络层协议如 IP、IPX区分 VLAN基于策略划分则是指将端口、MAC、IP 等多种条件组合起来形成策略满足策略才划分到某个 VLAN。这两种属于进阶用法零基础阶段先了解即可。实际企业网最常用的仍然是基于端口划分MAC 和 IP 划分方式作为补充。3.5 VLAN 在企业网络中的典型作用把 VLAN 的作用归纳一下方便你做笔记作用说明典型示例隔离广播域抑制广播风暴扩散范围提升网络稳定性300 台电脑分 5 个 VLAN广播影响范围降到 1/5提高安全性二层隔离敏感部门避免直接互访财务部 VLAN 与访客 VLAN 完全隔离简化管理逻辑分组不依赖物理位置便于调整新同事加入市场部改交换机端口归属即可降低网络成本减少物理隔离所需的交换机数量一台交换机承载多个部门逻辑隔离支撑组播与业务分级为视频、语音等业务单独划 VLAN保证传输质量IP 电话单独一个 Voice VLAN优先转发这里还要补充一个很多人忽略的安全事实VLAN 隔离的是二层流量不是安全边界。如果不同 VLAN 之间需要互访一旦接入了三层路由或防火墙策略安全性能由访问控制策略决定而不是由 VLAN 本身决定。VLAN 是网络隔离的第一道基础防线但永远不能替代防火墙和精细化 ACL。4. 实验环境准备与华为交换机基础配置框架纯理论记不住动手才是王道。下面我们用华为 eNSP 模拟器来完成实验。eNSP 是华为官方的网络模拟工具免费零基础也完全能上手。4.1 实验环境不需要真实交换机一台普通电脑就可以完成下面的所有实验。系统Windows 10 / Windows 11 均可。工具华为 eNSP 模拟器或 VRP 兼容模拟环境。设备2 台交换机如 S5700 系列 4 台 PC。拓扑规划PC1 --------- SW1 --------- SW2 --------- PC3 | trunk | PC2 --------- SW1 SW2 -------- PC4IP 规划设备所属 VLANIP 地址PC1VLAN 10192.168.10.10 / 24PC2VLAN 20192.168.20.10 / 24PC3VLAN 10192.168.10.20 / 24PC4VLAN 20192.168.20.20 / 24实验目标PC1 和 PC3 都属于 VLAN 10跨交换机还能互相通信PC2 和 PC4 都属于 VLAN 20也能通但 VLAN 10 和 VLAN 20 之间相互隔离二层无法访问。4.2 初始化与基础命令框架在开始配置前先说一个通用原则华为交换机所有配置都以 system-view 为起点进入系统视图后才能创建 VLAN 和配置接口。下面是登录交换机后最基本的检查命令建议每次配置前先看一眼当前状态。Huaweisystem-view [Huawei]sysname SW1 [SW1]display vlan [SW1]display interface brief [SW1]display int vlan brief说明一下sysname SW1把交换机名字改成 SW1方便多设备实验时区分命令行提示符。display vlan查看当前交换机上已经创建的 VLAN 列表。display interface brief查看所有接口的状态Up / Down、速率等。display int vlan brief查看 VLAN 和接口的对应关系。这是排障时最常用的命令之一。环境准备阶段要特别提醒eNSP 里如果设备启动很慢或接口显示 Down不用着急先检查设备是否全部启动完成。模拟器里 PC 和交换机之间有红色链路并不代表配置错误可能是接口协议还未协商完成等一下或者重启设备即可。5. 华为交换机 VLAN 配置实战下面进入核心环节。我们分三步完成这个实验在交换机上创建 VLAN配置 Access 口把 PC 分配到对应 VLAN配置 Trunk 口让 VLAN 跨交换机传递。5.1 在交换机上创建 VLAN登录 SW1进入系统视图批量创建 VLAN 10 和 VLAN 20。SW1system-view [SW1]vlan batch 10 20登录 SW2执行同样的操作SW2system-view [SW2]vlan batch 10 20vlan batch是华为交换机批量创建 VLAN 的命令。如果要单独创建一个 VLAN用vlan 10即可如果要创建连续的多个 VLAN可以写vlan batch 10 to 20表示创建 VLAN 10 到 VLAN 20。创建完成后用display vlan查看结果。正常情况下你会看到 VLAN 10 和 VLAN 20 都已经存在但此时还没有任何业务端口属于它们。5.2 配置 Access 接口回到 SW1把连接 PC1 和 PC2 的接口配置为 Access 模式并分别划入 VLAN 10 和 VLAN 20。[SW1]interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1]port link-type access [SW1-GigabitEthernet0/0/1]port default vlan 10 [SW1-GigabitEthernet0/0/1]quit [SW1]interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2]port link-type access [SW1-GigabitEthernet0/0/2]port default vlan 20 [SW1-GigabitEthernet0/0/2]quitSW2 上做同样的配置但接口要对应 PC3 和 PC4[SW2]interface GigabitEthernet0/0/1 [SW2-GigabitEthernet0/0/1]port link-type access [SW2-GigabitEthernet0/0/1]port default vlan 10 [SW2-GigabitEthernet0/0/1]quit [SW2]interface GigabitEthernet0/0/2 [SW2-GigabitEthernet0/0/2]port link-type access [SW2-GigabitEthernet0/0/2]port default vlan 20 [SW2-GigabitEthernet0/0/2]quit这里解释两个命令的关键逻辑port link-type access把这个端口的链路类型改为 Access。默认情况下华为交换机的端口类型是 Hybrid改成 Access 后这个端口才表现为“终端接入型”端口对外发帧时去掉标签。port default vlan 10把这个端口的默认 VLAN 设置为 10也就是 PVID 为 10。这也意味着从这台 PC 进来的无标签帧会被交换机打上 VLAN 10 的标签处理。很多零基础同学在这里会犯一个错误只配置了port link-type access忘了敲port default vlan结果这个 Access 口实际仍属于默认的 VLAN 1PC 之间怎么 ping 都不通。记住链路类型和 VLAN 归属是两个动作缺一不可。5.3 配置 Trunk 接口在 SW1 和 SW2 互联的接口上把链路类型改为 Trunk并放行 VLAN 10 和 VLAN 20。[SW1]interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24]port link-type trunk [SW1-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20 [SW1-GigabitEthernet0/0/24]quit[SW2]interface GigabitEthernet0/0/24 [SW2-GigabitEthernet0/0/24]port link-type trunk [SW2-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20 [SW2-GigabitEthernet0/0/24]quit注意两台交换机互联的 Trunk 口一定要都配置 allow-pass 放行同样的 VLAN。如果只在一端放行另一端没有放行那么跨交换机时这个 VLAN 的流量会被对端交换机过滤掉。配置完成后可以查看端口状态[SW1]display int vlan brief正常情况下GigabitEthernet0/0/1 会出现在 VLAN 10 下GigabitEthernet0/0/2 会出现在 VLAN 20 下GigabitEthernet0/0/24 作为 Trunk 口会出现在 VLAN 10 和 VLAN 20 两列中。5.4 配置完整的常见做法有一个很值得新手养成的习惯配置接口时尽量一次性写完整。下面给出一个 SW1 的完整配置示例你可以直接对照执行。SW1system-view [SW1]sysname SW1 [SW1]vlan batch 10 20 [SW1]interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1]port link-type access [SW1-GigabitEthernet0/0/1]port default vlan 10 [SW1-GigabitEthernet0/0/1]quit [SW1]interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2]port link-type access [SW1-GigabitEthernet0/0/2]port default vlan 20 [SW1-GigabitEthernet0/0/2]quit [SW1]interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24]port link-type trunk [SW1-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20 [SW1-GigabitEthernet0/0/24]quit把上面的SW1换成SW2并调整接口对应关系就是 SW2 的完整配置。配完之后不要急着关配置窗口继续做下一节的验证。5.5 验证实验是否成功在 PC1 上执行 ping检查可达性PC1 ping PC3同为 VLAN 10应该通。PC2 ping PC4同为 VLAN 20应该通。PC1 ping PC2跨 VLAN应该不通。如果第二组不通说明广播域隔离生效了这正是我们配置 VLAN 想要的效果。如果第一组不通说明 Access 或 Trunk 配置有问题请按第 7 节排错。6. VLAN 间通信的三种方案与配置VLAN 天生隔离二层流量但在实际业务中“隔离”和“按需互访”往往同时存在。财务部不能访问研发部分享文件但所有人都要能访问企业门户网站。这个需求意味着VLAN 间通信必须经过三层路由。换句话说从一个 VLAN 到另一个 VLAN 的流量必须由一台具备路由能力的设备路由器或三层交换机来转发。这个知识点在软考网络工程师和企业面试中几乎是必考题也是从“会配 VLAN”走向“会设计网络”的转折点。下面介绍三种主流方案。6.1 方案一单臂路由思路很直观路由器只有一个物理接口我们在路由器上把这个接口拆分成多个子接口每个子接口对应一个 VLAN 的网关。交换机侧把这个物理口配置为 Trunk让多个 VLAN 的帧都能带上标签到达路由器路由器子接口收到带 802.1Q 标签的帧后根据标签剥离并转发给对应网段。华为路由器子接口的关键配置包括三个动作配置 VLAN 封装、配置 IP 地址、开启 ARP 广播。以下是在华为路由器上的配置方式。[R1]interface GigabitEthernet0/0/0.10 [R1-GigabitEthernet0/0/0.10]dot1q termination vid 10 [R1-GigabitEthernet0/0/0.10]ip address 192.168.10.1 24 [R1-GigabitEthernet0/0/0.10]arp broadcast enable [R1-GigabitEthernet0/0/0.10]quit [R1]interface GigabitEthernet0/0/0.20 [R1-GigabitEthernet0/0/0.20]dot1q termination vid 20 [R1-GigabitEthernet0/0/0.20]ip address 192.168.20.1 24 [R1-GigabitEthernet0/0/0.20]arp broadcast enable [R1-GigabitEthernet0/0/0.20]quit三个关键命令的含义dot1q termination vid 10子接口只处理带 VLAN 10 标签的帧。ip address 192.168.10.1 24子接口作为 VLAN 10 的网关PC 的默认网关必须指到这个地址。arp broadcast enable在子接口上使能 ARP 广播功能。子接口默认不会处理广播 ARP 请求不开启这条命令PC 解析不到网关的 MAC三层通信无法建立。单臂路由的优点是可以复用现有路由器逻辑清晰缺点也明显所有跨 VLAN 流量都从这一条物理链路经过容易成为瓶颈。适合小规模网络或临时方案。6.2 方案二三层交换机的 VLANIF对于企业核心网络更推荐的方案是用三层交换机。三层交换机可以创建逻辑三层口名为 VLANIFVLAN 接口它既是这个 VLAN 内电脑的网关又能执行路由转发。这种做法不需要额外接路由器转发性能也远高于单臂路由。在华为三层交换机上直接在交换机上配置 VLANIF 地址作为网关即可。[SW1]interface Vlanif10 [SW1-Vlanif10]ip address 192.168.10.254 24 [SW1-Vlanif10]quit [SW1]interface Vlanif20 [SW1-Vlanif20]ip address 192.168.20.254 24 [SW1-Vlanif20]quit配置完成后把 PC1 的网关指向 192.168.10.254PC2 的网关指向 192.168.20.254。三层交换机自动拥有直连路由会在 VLAN 10 和 VLAN 20 之间完成路由转发。在三层交换机方案里还需要确认一件事默认情况下不同 VLAN 的接口如果配置了 VLANIF 地址交换机是否会自动互访取决于设备上的 VLAN 间路由配置通常情况下三层交换机配置了 VLANIF 并开启对应功能后VLAN 间路由是默认生效的。但在某些企业网场景中出于安全考虑你还需要用 ACL 或防火墙策略限制只有特定源和目的可以互访。这就是“VLAN 隔离 按需互访”的组合用法。6.3 方案三使用防火墙或路由器终结 VLAN在更大型的网络或注重安全控制的场合VLAN 的网关不一定放在接入交换机上而是收敛到核心交换机核心交换机再通过路由口上联防火墙或路由器。这么做的好处是所有跨 VLAN 流量统一经过安全设备可以在防火墙层做精细化访问控制形成“VLAN 隔离 安全管控”的一体化边界。这种方案配置量更大但对于中大型企业是更规范的做法。零基础阶段先把单臂路由和 VLANIF 的原理吃透等理解了三层转发再去看防火墙场景会轻松很多。6.4 三种方案的选型对比方案实现设备优点缺点适用场景单臂路由路由器 子接口复用路由器概念清晰跨 VLAN 流量集中易成瓶颈小型网络、实验教学三层交换机 VLANIF三层交换机转发性能高配置简洁需要三层交换机安全策略能力弱于防火墙企业核心/汇聚层防火墙/路由器终结核心层 防火墙安全控制能力强边界清晰设备成本高配置复杂中大型企业、分级安全域选型判断小规模用单臂路由企业核心优先三层交换机有强安全分域需求则加防火墙。没有一种方案是全能最优实际项目往往组合使用。7. 运行验证与故障排查VLAN 实验做完下面这些命令和排查思路会陪伴你整个网络工程师生涯。7.1 核心验证命令在华为交换机上最简单的方式就是在 PC 上做 ping 测试然后到交换机上查看 VLAN 和接口的对应关系、端口收发的 Tag 情况最后再查看路由表或 ARP 表定位问题。以下是排障时常用的命令。display vlan查看交换机上有哪些 VLAN以及每个 VLAN 包含了哪些端口。如果业务端口没有出现在期望的 VLAN 列表里说明 Access 或 Trunk 配置可能有问题。display port vlan查看端口的链路类型、PVID、允许通过的 VLAN 列表以及这些 VLAN 的收发是带 Tag 还是不带 Tag。这是排查 Trunk 问题最直接的命令。display int vlan brief以表格形式查看每个 VLAN 下有哪些接口以及 VLANIF 接口是否配置了 IP。如果你配置的 VLANIF 不在这里出现可能是没有创建或接口状态 Down。display ip interface brief查看三层接口包括 VLANIF的 IP 地址和状态。排查“为什么网关 ping 不通”时第一优先看这里。7.2 常见问题与排查清单下面这张表覆盖了 VLAN 实验中最常见的几类故障保存下来以后遇到问题可以直接对照。问题现象可能原因排查方式解决方案同一交换机下同 VLAN 的 PC 不通Access 口未设置 default vlanPC 仍属于默认 VLAN 1看display port vlan确认端口 PVID重新配置port default vlan跨交换机同 VLAN 的 PC 不通Trunk 口未放行对应 VLAN或只在一端放行两端分别执行display port vlan两端都配置port trunk allow-pass vlan配置了 PVID 后 VLAN 1 流量异常互联 Trunk 两端 PVID 不一致对比两端display port vlan的 PVID统一两端 PVID或用命令调整默认 PVIDPC 设置网关后仍上不了网VLANIF 地址未配置 / 网关 IP 与 VLANIF 不一致display ip interface brief在正确 VLANIF 下配置网关地址单臂路由不通子接口未开启 arp broadcast enable检查路由器子接口配置补配arp broadcast enable跨 VLAN 能通但不想让它通三层交换机默认启用了 VLAN 间路由检查三层路由和 ACL 策略配置 ACL 限制互访或通过防火墙控制7.3 一个典型的 PVID 排查示例假设你在实验中发现SW1 下 VLAN 10 的 PC1 可以 ping 通 SW2 下 VLAN 10 的 PC3但 SW1 下 VLAN 20 的 PC2 却 ping 不通 SW2 下 VLAN 20 的 PC4而且 SW2 的display port vlan显示 PC4 这个 Access 口 PVID 不是 20而是 1。这个现象的原因很直白你只改了接口的 link-type access但忘了设置 port default vlan。帧进入接入交换机后被归入 VLAN 1到了对端交换机也不会被识别为 VLAN 20自然不通。把这个例子记下来你以后就养成了一个习惯配置 Access 口时永远检查两个字段一个是 link-type一个是 default vlan。两者缺一不可。8. 最佳实践与工程建议VLAN 配置本身并不复杂但真正考验网络工程师的是在生产环境中如何规划、如何变更、如何避免影响现网业务。以下建议全部来自实际工程中高频出现的问题值得你写进自己的项目规范里。8.1 VLAN 编号规范不要想到什么 VLAN 就用什么编号提前规划编号规则后面省掉大量运维成本。这里给出一个参考模板VLAN 区间用途说明VLAN 1默认管理 VLAN如无必要不承载业务VLAN 10-19办公终端网段按部门继续细分VLAN 20-29服务器/数据库网段通常需要最严格的安全策略VLAN 30-39打印机、IoT、门禁等泛终端与办公网严格隔离VLAN 40-49视频监控/IP 电话可按带宽和优先级单独保障VLAN 100-199管理网段/设备互联常常配合 IoT 管理平台使用不同公司有不同规范原则只有一条VLAN ID 的用途要在全网范围内保持一致并记录到文档里。一个 VLAN ID 今天代表财务部明天代表访客网络这种“灵活”是运维最大的噩梦。8.2 管理 VLAN 单独划分交换机、路由器、防火墙的网络管理地址应该放到一个独立的专用管理 VLAN 中并且只允许运维人员访问。这样即使业务网段出问题你还能通过管理 VLAN 远程登录设备排障。管理 VLAN 的地址不要使用默认的 VLAN 1因为默认 VLAN 在任何 Trunk 口上都可能被透传容易被意外访问。8.3 Trunk 口最小化放行Trunk 口不要直接放行all。按需放行才有意义配置上只放行业务需要跨交换机传递的 VLAN。这样即使某个 VLAN 出现了广播风暴或攻击流量也不会横向扩散到整台交换机的所有 Trunk 链路。最小化放行是网络隔离设计里的重要安全原则。8.4 生产环境变更纪律给已经在跑业务的交换机重新划分 VLAN属于高风险变更。动手之前先想清楚下面几个问题这个接口现在连着哪些设备改完会不会断网确认方法查看 MAC 地址表或者先ping测试在网状态。有没有配置备份华为交换机可用以下命令导出当前配置保存到本地。[SW1]save [SW1]display current-configuration先save保存再display current-configuration核对完整配置并另行复制保存一份备份。有没有回滚方案一旦发现业务异常能否快速把端口恢复到原来的 VLAN建议提前把原配置记下来而不是依赖记忆。有没有变更窗口企业办公时间改核心 VLAN 相当于给自己找麻烦尽量安排到业务低峰期或维护窗口。8.5 安全边界认知再强调一次VLAN 隔离不等于安全隔离。二层网络里仍然存在 ARP 欺骗、DHCP 欺骗、MAC 泛洪等攻击方式。要构建真正安全的网络还需要配合 DHCP Snooping、IP Source Guard、端口安全Port Security和防火墙的访问控制策略。对零基础读者这里给一个可执行的进阶路线先把 DHCP Snooping 和端口安全这两个特性学会它们是搭建相对安全企业内网的起点也是面试中被问概率极高的点。8.6 记录与文档配置 VLAN 不记录等于白配。至少保留一份网络 IP 规划表、VLAN 规划表、端口与对应关系表。很多网络的“维护地狱”不是技术难而是没人知道这个端口当初为什么划到这个 VLAN。这份文档将来救的不只是别人更是几个月后的你自己。9. 总结与后续学习方向看到这里你应该已经理解VLAN 的本质不是一串配置命令而是对二层广播域的逻辑切分Access、Trunk、PVID 这几个概念是配置的基础802.1Q 标签是跨交换机传递 VLAN 信息的载体单臂路由、三层交换机 VLANIF、防火墙终结是 VLAN 间通信的三种主流手段。这篇文章没有覆盖的内容还很多比如 VLAN 在不同厂商设备上的命令差异、VLAN 与生成树STP的协作关系、VLAN 虚拟化在云网络中的扩展用法以及 K8s 场景下 Multus 等 CNI 插件如何把 VLAN 子接口接入 Pod 网络。这些都属于 VLAN 概念的延伸应用但万变不离其宗底层原理都是 802.1Q 标签和广播域隔离。给零基础读者一个清晰的下一步计划先在模拟器里把本文的“两台交换机 两个 VLAN”实验完整做一遍直到不看教程也能独立配置。加一个三层交换机的 VLANIF 配置完成 VLAN 10 与 VLAN 20 之间的互通体会“二层隔离 三层互访”的设计思路。配置 ACL 或防火墙策略实现“只能访问某些网段其他网段拒绝”理解安全边界不是靠 VLAN 本身。再去学 DHCP Snooping、端口安全、生成树把内网安全性和稳定性补齐。VLAN 配置命令记不住没关系收藏这篇文章需要的时候翻出来照着敲一遍比死记硬背效率高得多。真正决定你水平的是面对一个故障时你能不能快速判断“这是不是 VLAN 划错了、PVID 没对上、Trunk 没放行”这三个常见问题。把这套排查思路练成肌肉记忆你就已经超过了相当一部分刚入行的网络工程师。