1. 从一个真实组网困境说起为什么需要VLAN很多刚接触网络工程的朋友都有过这样的经历公司规模不大几十台电脑一台核心交换机加几台接入交换机所有人都在同一个网段里互相能ping通文件共享也方便。直到有一天财务部门提出要把财务系统单独隔离出来研发部门说测试环境经常被其他人的广播包干扰行政又说访客WiFi不能访问内网资源。这时候你才发现把所有设备塞进一个广播域问题远比想象中多。这个困境的本质是广播域的边界问题。在传统的二层交换网络里所有连接到同一台交换机或级联交换机的设备默认属于同一个广播域。一台设备发出的广播帧会被泛洪到整个网络的所有端口。设备少的时候无所谓设备一多广播风暴、ARP欺骗、安全隔离这些问题就全冒出来了。VLANVirtual Local Area Network虚拟局域网就是解决这个问题的核心技术。它做的事情说起来很简单在物理网络之上通过逻辑划分把一台物理交换机切割成多个互相隔离的逻辑交换机。每个VLAN就是一个独立的广播域VLAN之间的通信必须经过三层设备路由器或三层交换机转发。这篇文章我打算把VLAN的理论体系从头到尾捋一遍。不是那种只告诉你VLAN能隔离广播的泛泛之谈而是把为什么这样设计、标签怎么打、帧怎么走、不同链路类型怎么选、实际组网怎么规划这些真正影响你排错和设计的东西讲透。适合已经有一点网络基础、但VLAN总是学得模模糊糊的朋友也适合准备考证需要系统梳理的同行。2. 广播域与冲突域VLAN要解决的根本矛盾2.1 先搞清楚广播域和冲突域到底指什么要理解VLAN得先把两个基础概念分清楚很多人学了半天VLAN其实连这两个域都没真正搞明白。冲突域是物理层面的概念。在早期的集线器Hub时代所有连接到Hub的设备共享同一条物理信道任何两台设备同时发数据就会碰撞这就是冲突域。交换机的每个端口是一个独立的冲突域因为交换机端口之间是独享带宽的。所以现在用交换机组网冲突域的问题基本不用操心了。广播域是逻辑层面的概念。当一个设备发送广播帧目标MAC地址为FF:FF:FF:FF:FF:FF时这个帧会被转发到同一个广播域内的所有设备。交换机会把广播帧从除了接收端口以外的所有端口泛洪出去。如果交换机级联广播帧会继续向下一级泛洪整个二层网络就是一个大广播域。关键区别在于冲突域靠物理设备隔离广播域靠逻辑划分隔离。VLAN干的就是后者的活。2.2 一个大广播域会带来哪些具体问题我列一下实际工作中最常遇到的几类问题你就明白为什么非划VLAN不可了。第一是广播泛滥消耗带宽。假设一个网络里有500台设备每台设备每分钟发几个ARP请求、DHCP发现报文、NetBIOS名称广播累积起来广播流量可能占到总带宽的相当比例。设备越多这个比例越高有效带宽被白白吃掉。第二是安全问题无法隔离。同一个广播域内任何设备都可以通过ARP欺骗冒充网关可以嗅探到其他人的广播流量。财务的电脑和访客的笔记本在同一个广播域这在安全审计上是不允许的。第三是故障域太大。某台设备的网卡故障疯狂发送广播帧形成广播风暴整个网络所有设备都受影响。如果划分了VLAN风暴被限制在单个VLAN内其他部门不受牵连。第四是管理灵活性差。按物理位置组网同一个部门的设备如果分散在不同楼层就得跨楼层拉线或者重新布线。VLAN可以按部门逻辑划分不管人在哪接入对应VLAN就行。2.3 VLAN的本质给广播域打上逻辑标签VLAN的核心思想是给每个二层帧打上一个身份标签交换机根据这个标签决定帧属于哪个广播域。这个标签就是后面要详细讲的VLAN Tag。你可以这样理解原来所有设备都在一个大房间里喊话谁都能听见。现在给每个人发一个颜色的胸牌交换机变成一个门卫只允许相同颜色胸牌的人互相听见。物理上大家还在同一个房间逻辑上已经被分成了若干个小房间。这里有个容易混淆的点VLAN是二层概念不是三层概念。VLAN划分的是广播域也就是二层网络的范围。不同VLAN之间的通信必须借助三层路由功能。很多人以为划了VLAN就自动能互通这是错的VLAN之间默认是隔离的要通必须配路由。3. 802.1Q标签VLAN帧的身份证长什么样3.1 普通以太网帧和带标签帧的结构差异标准以太网帧Ethernet II的结构是目标MAC6字节 源MAC6字节 类型2字节 数据 FCS校验。总共头部14字节。当帧需要在交换机之间传递VLAN信息时就要插入802.1Q标签。这个标签插在源MAC和类型字段之间长度4字节。插入后原来的类型字段位置变成了TPID真正的类型字段往后挪。这4字节的标签具体拆开是这样的字段长度作用TPID2字节标签协议标识固定值0x8100标识这是一个802.1Q帧Priority3位优先级用于QoS值0-7CFI1位规范格式指示以太网中固定为0VLAN ID12位真正的VLAN编号范围0-4095VLAN ID只有12位这是理解VLAN数量上限的关键。2的12次方等于4096所以理论上VLAN ID范围是0到4095。但实际可用的没这么多0和4095是保留值不能用于用户VLAN1是默认VLAN通常也不建议用。所以实际可规划的用户VLAN是2到4094共4093个。3.2 为什么是4字节这个设计有什么讲究有人会问为什么标签设计成4字节而不是更短这背后有工程上的权衡。TPID用2字节是为了兼容以太网帧格式0x8100这个值在标准里被专门分配。Priority和CFI合起来占4位VLAN ID占12位加起来正好2字节。整个标签4字节在帧里插入后不会破坏原有的字节对齐处理起来效率高。另一个讲究是TPID的位置。它放在源MAC之后这样交换机在解析帧的时候读完源MAC就能立刻判断这是不是带标签的帧。如果是0x8100就按带标签帧处理如果是其他值比如0x0800表示IPv4就按普通帧处理。这个设计让交换机的硬件转发逻辑可以做得非常高效。3.3 标签的插入和剥离发生在哪里这是VLAN学习中最容易搞混的地方我重点讲清楚。标签的插入和剥离发生在交换机的端口上而不是在终端设备上。普通电脑的网卡是不认识VLAN标签的它发出的帧是不带标签的普通帧。当这个帧进入交换机的Access端口时交换机会给它打上该端口所属VLAN的标签然后在交换机内部带着标签转发。当帧从另一个Access端口出去时交换机会把标签剥掉变成普通帧发给终端。所以对于终端设备来说它完全感知不到VLAN的存在它只是在一个普通的二层网络里通信。VLAN的隔离效果是交换机在背后默默完成的。而在交换机与交换机之间的Trunk链路上帧是带着标签传输的。这样对端交换机才能知道这个帧属于哪个VLAN从而正确地转发到对应的端口。4. Access、Trunk、Hybrid三种链路类型的本质区别4.1 Access链路终端接入的标准选择Access链路也叫接入链路是连接终端设备电脑、打印机、服务器、AP等的链路。它的特点是只属于一个VLAN收发的帧都是不带标签的普通帧。工作逻辑是这样的当Access端口收到一个不带标签的帧时给它打上端口PVIDPort VLAN ID端口默认VLAN对应的标签然后转发。当Access端口要发送一个帧时先检查这个帧的VLAN ID是否等于端口PVID如果相等就剥掉标签发出去如果不相等就丢弃。这里有个关键点Access端口发出的帧一定是不带标签的。所以终端设备不需要任何VLAN配置就能正常工作。实际配置中Access端口是最常见的。一台接入交换机上20个端口可能分别属于不同的VLAN每个端口连一台电脑配置简单清晰。4.2 Trunk链路交换机之间的干道Trunk链路也叫干道链路是连接交换机与交换机、交换机与路由器、交换机与支持VLAN的服务器之间的链路。它的特点是可以承载多个VLAN的流量帧在Trunk链路上传输时是带标签的。工作逻辑Trunk端口收到带标签的帧检查标签中的VLAN ID是否在允许列表中如果在就转发不在就丢弃。收到不带标签的帧打上端口PVID的标签这个行为叫Native VLAN处理后面细说。发送帧时除了Native VLAN的帧其他VLAN的帧都带标签发出。Trunk链路的存在让VLAN可以跨越多个交换机。比如VLAN 10在交换机A和交换机B上都有端口两台交换机之间的Trunk链路会同时承载VLAN 10、VLAN 20等多个VLAN的流量通过标签区分。4.3 Hybrid链路灵活但容易踩坑的混合模式Hybrid链路是某些厂商主要是华为、H3C支持的链路类型它结合了Access和Trunk的特点。Hybrid端口可以属于多个VLAN并且可以单独指定哪些VLAN的帧带标签发送、哪些VLAN的帧不带标签发送。这个灵活性带来了一些特殊用法。比如连接IP电话的场景电话本身需要在一个VLAN里电话下挂的电脑需要在另一个VLAN里。用Hybrid端口可以让语音VLAN带标签、数据VLAN不带标签一根线搞定。但Hybrid也是新手最容易配错的地方。因为它的标签行为是逐VLAN配置的配错了排查起来很麻烦。我的建议是除非有明确的特殊需求否则优先用Access和TrunkHybrid能不用就不用。标准化的配置更容易维护出问题也更容易定位。4.4 三种链路类型的对比与选型建议特性AccessTrunkHybrid所属VLAN数1个多个多个发送帧标签不带标签除Native VLAN外带标签可逐VLAN指定典型用途连终端连交换机/路由器特殊场景配置复杂度低中高排错难度低中高选型逻辑其实很清晰连终端用Access连网络设备用Trunk有特殊标签需求才考虑Hybrid。我见过不少项目本来用Trunk就能解决的问题非要用Hybrid结果配置文档写得乱七八糟后来接手的人根本看不懂。5. PVID与Native VLAN那个让无数人栽跟头的默认VLAN5.1 PVID到底是什么它和VLAN ID有什么区别PVIDPort VLAN ID是端口级别的属性表示这个端口默认属于哪个VLAN。注意PVID是端口的属性不是帧的属性。VLAN ID是帧里标签携带的PVID是端口配置的。对于Access端口PVID就是它所属的那个VLAN。对于Trunk端口PVID对应Native VLAN。关键理解PVID决定的是不带标签的帧进入端口时被打上什么标签以及带标签的帧从端口出去时什么情况下被剥掉标签。5.2 Native VLAN的工作机制与常见误解Native VLAN是Trunk链路上的概念指的是Trunk端口上不打标签的那个VLAN。默认情况下Native VLAN是VLAN 1。工作机制当Trunk端口收到一个不带标签的帧时会把它当作Native VLAN的帧处理打上Native VLAN的标签。当Trunk端口发送Native VLAN的帧时会剥掉标签以不带标签的形式发出。这里有个经典误解很多人以为Native VLAN的帧在Trunk链路上是没有VLAN的。错。Native VLAN的帧在交换机内部依然是带标签的只是在Trunk链路上传输时标签被剥掉了。它仍然属于Native VLAN这个广播域。5.3 Native VLAN不匹配会引发什么问题这是实际排错中非常隐蔽的一类问题。假设两台交换机之间的Trunk链路一端Native VLAN配的是1另一端配的是10。会发生什么一端发出的不带标签帧对端会当作自己的Native VLAN处理。如果两端Native VLAN不一致这些帧就会被错误地归入不同的VLAN导致本应隔离的流量串到一起或者本应互通的流量不通。更严重的是这可能造成VLAN hoppingVLAN跳跃攻击。攻击者利用Native VLAN不匹配构造双标签帧让帧从一个VLAN跳到另一个VLAN绕过隔离。所以安全规范里通常要求Trunk链路的Native VLAN两端必须一致并且不要用VLAN 1改成一个专用的、没有端口成员的VLAN。5.4 关于PVID配置的实操建议我在实际项目里的做法是这样的Access端口的PVID严格等于它所属的VLAN不要出现PVID和VLAN不一致的情况。Trunk端口的Native VLAN两端强制一致并且改成一个专门的黑洞VLAN比如VLAN 999这个VLAN不接任何终端。所有不用的端口划入一个隔离VLAN并shutdown防止有人插网线就接入内网。这些做法看起来是小事但在安全审计和故障排查时能省大量时间。6. VLAN间通信单臂路由与三层交换的取舍6.1 为什么VLAN之间默认不通前面反复强调过VLAN是二层隔离。不同VLAN属于不同广播域二层交换机不会把一个VLAN的帧转发到另一个VLAN。这是设计使然不是bug。那不同VLAN之间要通信怎么办必须经过三层。三层设备路由器或三层交换机的一个接口对应一个VLAN充当该VLAN的网关。终端把跨VLAN的流量发给网关网关查路由表后转发到目标VLAN。6.2 单臂路由用一条物理链路承载多个VLAN网关单臂路由Router-on-a-Stick是最经典的做法。路由器和交换机之间用一条Trunk链路连接在路由器的物理接口上创建多个子接口Sub-interface每个子接口对应一个VLAN配置该VLAN的网关IP。工作过程VLAN 10的终端要访问VLAN 20的终端它把帧发给网关路由器子接口的MAC。帧经过Trunk链路到达路由器路由器识别标签属于VLAN 10交给对应子接口处理。子接口查路由表发现目标在VLAN 20重新封装帧打上VLAN 20的标签从Trunk链路发回交换机交换机再转发给VLAN 20的终端。单臂路由的优点是设备成本低一台路由器就能搞定。缺点是所有VLAN间流量都挤在一条物理链路上链路成为瓶颈。而且路由器做三层转发是靠软件性能远不如三层交换机。6.3 三层交换VLAN间路由的主流方案三层交换机本质上是交换机路由引擎。它内部有专门的硬件转发芯片VLAN间路由通过硬件完成速度接近线速。配置方式有两种一种是SVISwitch Virtual Interface给每个VLAN创建一个虚拟接口配置IP作为网关。另一种是三层物理接口或聚合接口用于连接其他三层设备。SVI方式最常用。比如VLAN 10创建interface vlan 10配IP 192.168.10.1/24这个IP就是VLAN 10内终端的网关。VLAN 20同理。三层交换机内部维护一张路由表VLAN间流量在芯片内直接转发不经过外部链路。6.4 两种方案的对比与选型对比项单臂路由三层交换转发性能软件转发较低硬件转发接近线速成本低一台路由器较高三层交换机适用规模小型网络中大型网络链路瓶颈明显无内部转发配置复杂度中中我的建议很直接只要预算允许VLAN间路由一律用三层交换机。单臂路由现在更多是教学场景或者极小型网络在用。三层交换机的SVI方案配置清晰、性能好、扩展性强是当前的主流实践。7. VLAN规划实战从需求到落地的完整思路7.1 按什么维度划分VLAN划分VLAN的维度有好几种实际项目里通常是组合使用。按部门划分是最常见的。财务一个VLAN、研发一个VLAN、行政一个VLAN。优点是管理清晰安全策略好做。缺点是人员流动时可能要改配置。按楼层或物理位置划分适合大型园区。每层楼一个VLAN减少跨楼层流量。缺点是同一部门分散在不同楼层时跨VLAN通信增多。按设备类型划分也常用。服务器一个VLAN、打印机一个VLAN、IP电话一个VLAN、无线AP一个VLAN。这样便于针对不同类型设备做策略。按安全等级划分是安全要求高的场景。核心业务一个VLAN、普通办公一个VLAN、访客一个VLAN、DMZ一个VLAN。实际项目里我通常建议以部门为主、设备类型为辅。比如研发部一个VLAN但研发部的服务器单独一个VLAN。这样既保证管理清晰又兼顾特殊设备的策略需求。7.2 VLAN ID和IP地址的规划方法VLAN ID规划要有规律方便记忆和排错。我常用的方法是VLAN ID和IP网段第三位对应。比如VLAN 10 对应 192.168.10.0/24VLAN 20 对应 192.168.20.0/24VLAN 30 对应 192.168.30.0/24这样看到IP就知道属于哪个VLAN看到VLAN ID就知道网段。网关统一用网段的第一个可用地址比如192.168.10.1。VLAN ID的分配也要留余量。不要从2开始连续分配而是按功能块预留。比如VLAN ID范围用途2-9保留管理、互联等10-99办公区域100-199服务器区域200-299语音和无线300-399访客和DMZ900-999保留黑洞、测试这种规划方式后期扩展时不会打乱现有编号。7.3 一个典型的中小企业VLAN规划案例假设一个200人左右的公司三层楼有研发、销售、财务、行政四个部门还有服务器区、无线网络、访客网络。我给出一个可落地的规划VLAN ID名称网段用途10Office_RD192.168.10.0/24研发部20Office_Sales192.168.20.0/24销售部30Office_Finance192.168.30.0/24财务部40Office_Admin192.168.40.0/24行政部100Server192.168.100.0/24内部服务器200Voice192.168.200.0/24IP电话210Wireless192.168.210.0/24员工无线300Guest192.168.300.0/24访客网络999Blackhole无Native VLAN专用接入交换机上每个端口根据连接的设备划入对应VLAN。Trunk链路上允许这些VLAN通过。三层交换机上为每个VLAN创建SVI配置网关IP。访客VLAN通过ACL限制只能访问互联网不能访问内网。7.4 规划阶段最容易忽略的几个细节第一个细节是DHCP服务器的部署位置。如果DHCP服务器在服务器VLAN其他VLAN的终端要获取IP需要在三层交换机上配置DHCP中继DHCP Relay把DHCP请求转发到服务器。这个不配终端拿不到IP。第二个细节是VLAN 1的处理。很多设备默认所有端口都在VLAN 1如果不清理VLAN 1会成为一个大广播域破坏隔离效果。我的做法是把所有不用的端口从VLAN 1移出划入黑洞VLAN并shutdown。第三个细节是Trunk链路的允许VLAN列表。默认Trunk允许所有VLAN通过这既不安全也浪费资源。应该显式配置只允许需要的VLAN通过。比如某条Trunk只承载VLAN 10和20就只允许这两个。第四个细节是管理VLAN的规划。交换机的管理IP应该放在一个专门的VLAN里不要和业务VLAN混在一起。这样即使业务VLAN出问题还能通过管理VLAN登录设备排查。8. 排错实录VLAN不通时我会按什么顺序查8.1 先确认物理层和端口状态VLAN不通第一步永远是看物理层。端口是不是up的网线是不是好的光模块有没有问题这些基础的东西不确认后面查半天都是白费。在交换机上我会先看端口状态和VLAN成员关系。确认端口确实划入了预期的VLAN而不是还留在默认VLAN 1里。这个错误太常见了尤其是批量配置时漏配某个端口。8.2 检查Trunk链路的标签和允许列表如果跨交换机的VLAN不通重点查Trunk链路。两端Trunk的允许VLAN列表是否包含目标VLANNative VLAN是否一致封装类型是否匹配都是802.1Q我遇到过一个案例两台交换机之间的Trunk一端配了允许VLAN 10-20另一端配了允许VLAN 15-25。结果VLAN 10的流量在第二台交换机上被丢弃因为不在允许列表里。这种问题看配置一眼就能发现但不看配置光靠ping是查不出来的。8.3 验证三层网关和路由如果同VLAN内能通跨VLAN不通问题就在三层。检查三层交换机上是否创建了对应VLAN的SVISVI是否upIP是否配置正确。终端的网关是否指向了SVI的IP。还有一个容易忽略的点终端的子网掩码。如果掩码配错终端可能认为目标在同一网段直接发ARP而不走网关导致跨VLAN不通。这种问题在终端侧交换机上看不出异常。8.4 用抓包定位标签问题当配置都检查过还是不通时抓包是最直接的手段。在Trunk链路上抓包看帧是否带标签、标签的VLAN ID是否正确、Native VLAN的帧是否如预期不带标签。抓包能发现很多配置看不出的问题。比如某个中间设备把标签剥掉了或者标签被错误地修改了。这些在配置层面是看不出来的只有看实际流量才能定位。9. 几个我踩过的坑和总结的经验先说一个关于Native VLAN的坑。早期做项目时我觉得Native VLAN默认是1两端都是1应该没问题。结果后来做安全加固把一端改成了999另一端忘了改。表面上网络还能通因为大部分流量是带标签的但某些依赖不带标签帧的协议比如某些厂商的发现协议就出问题了。排查了很久才发现是Native VLAN不匹配。从那以后我配置Trunk时第一件事就是确认两端Native VLAN一致。再说一个关于Hybrid端口的坑。有个项目为了省事把连接服务器的端口配成了Hybrid想让服务器同时处理多个VLAN的流量。结果服务器的网卡驱动对Hybrid标签的支持不好某些VLAN的流量时通时断。后来改成Trunk服务器网卡配子接口问题就解决了。服务器多VLAN接入优先用Trunk子接口不要用Hybrid兼容性更好。还有一个关于VLAN数量规划的经验。刚开始做项目时VLAN ID随便分配2、3、4、5连续用。后来网络扩展要插入新的VLAN发现编号全乱了只能往后排导致VLAN ID和部门对应关系完全对不上。现在我做规划一定按功能块预留编号段每个段留足余量。这个习惯在后期维护时价值巨大。最后说一个管理VLAN的经验。我习惯给每台交换机的管理接口配一个独立的管理VLAN并且这个VLAN只在核心交换机和接入交换机之间的Trunk上允许通过不向终端方向扩散。这样管理流量和业务流量彻底隔离安全性高排错时也不会互相干扰。VLAN这套东西理论看起来不复杂但真正在项目里用好靠的是对标签机制、链路类型、PVID这些细节的准确理解加上规划阶段的周密考虑。我见过太多网络VLAN划了但划得乱七八糟后期维护成本极高。希望这篇梳理能帮你把VLAN的理论体系真正打通下次配VLAN时心里有底排错时知道往哪查。
1. 从一个真实组网困境说起为什么需要VLAN很多刚接触网络工程的朋友都有过这样的经历公司规模不大几十台电脑一台核心交换机加几台接入交换机所有人都在同一个网段里互相能ping通文件共享也方便。直到有一天财务部门提出要把财务系统单独隔离出来研发部门说测试环境经常被其他人的广播包干扰行政又说访客WiFi不能访问内网资源。这时候你才发现把所有设备塞进一个广播域问题远比想象中多。这个困境的本质是广播域的边界问题。在传统的二层交换网络里所有连接到同一台交换机或级联交换机的设备默认属于同一个广播域。一台设备发出的广播帧会被泛洪到整个网络的所有端口。设备少的时候无所谓设备一多广播风暴、ARP欺骗、安全隔离这些问题就全冒出来了。VLANVirtual Local Area Network虚拟局域网就是解决这个问题的核心技术。它做的事情说起来很简单在物理网络之上通过逻辑划分把一台物理交换机切割成多个互相隔离的逻辑交换机。每个VLAN就是一个独立的广播域VLAN之间的通信必须经过三层设备路由器或三层交换机转发。这篇文章我打算把VLAN的理论体系从头到尾捋一遍。不是那种只告诉你VLAN能隔离广播的泛泛之谈而是把为什么这样设计、标签怎么打、帧怎么走、不同链路类型怎么选、实际组网怎么规划这些真正影响你排错和设计的东西讲透。适合已经有一点网络基础、但VLAN总是学得模模糊糊的朋友也适合准备考证需要系统梳理的同行。2. 广播域与冲突域VLAN要解决的根本矛盾2.1 先搞清楚广播域和冲突域到底指什么要理解VLAN得先把两个基础概念分清楚很多人学了半天VLAN其实连这两个域都没真正搞明白。冲突域是物理层面的概念。在早期的集线器Hub时代所有连接到Hub的设备共享同一条物理信道任何两台设备同时发数据就会碰撞这就是冲突域。交换机的每个端口是一个独立的冲突域因为交换机端口之间是独享带宽的。所以现在用交换机组网冲突域的问题基本不用操心了。广播域是逻辑层面的概念。当一个设备发送广播帧目标MAC地址为FF:FF:FF:FF:FF:FF时这个帧会被转发到同一个广播域内的所有设备。交换机会把广播帧从除了接收端口以外的所有端口泛洪出去。如果交换机级联广播帧会继续向下一级泛洪整个二层网络就是一个大广播域。关键区别在于冲突域靠物理设备隔离广播域靠逻辑划分隔离。VLAN干的就是后者的活。2.2 一个大广播域会带来哪些具体问题我列一下实际工作中最常遇到的几类问题你就明白为什么非划VLAN不可了。第一是广播泛滥消耗带宽。假设一个网络里有500台设备每台设备每分钟发几个ARP请求、DHCP发现报文、NetBIOS名称广播累积起来广播流量可能占到总带宽的相当比例。设备越多这个比例越高有效带宽被白白吃掉。第二是安全问题无法隔离。同一个广播域内任何设备都可以通过ARP欺骗冒充网关可以嗅探到其他人的广播流量。财务的电脑和访客的笔记本在同一个广播域这在安全审计上是不允许的。第三是故障域太大。某台设备的网卡故障疯狂发送广播帧形成广播风暴整个网络所有设备都受影响。如果划分了VLAN风暴被限制在单个VLAN内其他部门不受牵连。第四是管理灵活性差。按物理位置组网同一个部门的设备如果分散在不同楼层就得跨楼层拉线或者重新布线。VLAN可以按部门逻辑划分不管人在哪接入对应VLAN就行。2.3 VLAN的本质给广播域打上逻辑标签VLAN的核心思想是给每个二层帧打上一个身份标签交换机根据这个标签决定帧属于哪个广播域。这个标签就是后面要详细讲的VLAN Tag。你可以这样理解原来所有设备都在一个大房间里喊话谁都能听见。现在给每个人发一个颜色的胸牌交换机变成一个门卫只允许相同颜色胸牌的人互相听见。物理上大家还在同一个房间逻辑上已经被分成了若干个小房间。这里有个容易混淆的点VLAN是二层概念不是三层概念。VLAN划分的是广播域也就是二层网络的范围。不同VLAN之间的通信必须借助三层路由功能。很多人以为划了VLAN就自动能互通这是错的VLAN之间默认是隔离的要通必须配路由。3. 802.1Q标签VLAN帧的身份证长什么样3.1 普通以太网帧和带标签帧的结构差异标准以太网帧Ethernet II的结构是目标MAC6字节 源MAC6字节 类型2字节 数据 FCS校验。总共头部14字节。当帧需要在交换机之间传递VLAN信息时就要插入802.1Q标签。这个标签插在源MAC和类型字段之间长度4字节。插入后原来的类型字段位置变成了TPID真正的类型字段往后挪。这4字节的标签具体拆开是这样的字段长度作用TPID2字节标签协议标识固定值0x8100标识这是一个802.1Q帧Priority3位优先级用于QoS值0-7CFI1位规范格式指示以太网中固定为0VLAN ID12位真正的VLAN编号范围0-4095VLAN ID只有12位这是理解VLAN数量上限的关键。2的12次方等于4096所以理论上VLAN ID范围是0到4095。但实际可用的没这么多0和4095是保留值不能用于用户VLAN1是默认VLAN通常也不建议用。所以实际可规划的用户VLAN是2到4094共4093个。3.2 为什么是4字节这个设计有什么讲究有人会问为什么标签设计成4字节而不是更短这背后有工程上的权衡。TPID用2字节是为了兼容以太网帧格式0x8100这个值在标准里被专门分配。Priority和CFI合起来占4位VLAN ID占12位加起来正好2字节。整个标签4字节在帧里插入后不会破坏原有的字节对齐处理起来效率高。另一个讲究是TPID的位置。它放在源MAC之后这样交换机在解析帧的时候读完源MAC就能立刻判断这是不是带标签的帧。如果是0x8100就按带标签帧处理如果是其他值比如0x0800表示IPv4就按普通帧处理。这个设计让交换机的硬件转发逻辑可以做得非常高效。3.3 标签的插入和剥离发生在哪里这是VLAN学习中最容易搞混的地方我重点讲清楚。标签的插入和剥离发生在交换机的端口上而不是在终端设备上。普通电脑的网卡是不认识VLAN标签的它发出的帧是不带标签的普通帧。当这个帧进入交换机的Access端口时交换机会给它打上该端口所属VLAN的标签然后在交换机内部带着标签转发。当帧从另一个Access端口出去时交换机会把标签剥掉变成普通帧发给终端。所以对于终端设备来说它完全感知不到VLAN的存在它只是在一个普通的二层网络里通信。VLAN的隔离效果是交换机在背后默默完成的。而在交换机与交换机之间的Trunk链路上帧是带着标签传输的。这样对端交换机才能知道这个帧属于哪个VLAN从而正确地转发到对应的端口。4. Access、Trunk、Hybrid三种链路类型的本质区别4.1 Access链路终端接入的标准选择Access链路也叫接入链路是连接终端设备电脑、打印机、服务器、AP等的链路。它的特点是只属于一个VLAN收发的帧都是不带标签的普通帧。工作逻辑是这样的当Access端口收到一个不带标签的帧时给它打上端口PVIDPort VLAN ID端口默认VLAN对应的标签然后转发。当Access端口要发送一个帧时先检查这个帧的VLAN ID是否等于端口PVID如果相等就剥掉标签发出去如果不相等就丢弃。这里有个关键点Access端口发出的帧一定是不带标签的。所以终端设备不需要任何VLAN配置就能正常工作。实际配置中Access端口是最常见的。一台接入交换机上20个端口可能分别属于不同的VLAN每个端口连一台电脑配置简单清晰。4.2 Trunk链路交换机之间的干道Trunk链路也叫干道链路是连接交换机与交换机、交换机与路由器、交换机与支持VLAN的服务器之间的链路。它的特点是可以承载多个VLAN的流量帧在Trunk链路上传输时是带标签的。工作逻辑Trunk端口收到带标签的帧检查标签中的VLAN ID是否在允许列表中如果在就转发不在就丢弃。收到不带标签的帧打上端口PVID的标签这个行为叫Native VLAN处理后面细说。发送帧时除了Native VLAN的帧其他VLAN的帧都带标签发出。Trunk链路的存在让VLAN可以跨越多个交换机。比如VLAN 10在交换机A和交换机B上都有端口两台交换机之间的Trunk链路会同时承载VLAN 10、VLAN 20等多个VLAN的流量通过标签区分。4.3 Hybrid链路灵活但容易踩坑的混合模式Hybrid链路是某些厂商主要是华为、H3C支持的链路类型它结合了Access和Trunk的特点。Hybrid端口可以属于多个VLAN并且可以单独指定哪些VLAN的帧带标签发送、哪些VLAN的帧不带标签发送。这个灵活性带来了一些特殊用法。比如连接IP电话的场景电话本身需要在一个VLAN里电话下挂的电脑需要在另一个VLAN里。用Hybrid端口可以让语音VLAN带标签、数据VLAN不带标签一根线搞定。但Hybrid也是新手最容易配错的地方。因为它的标签行为是逐VLAN配置的配错了排查起来很麻烦。我的建议是除非有明确的特殊需求否则优先用Access和TrunkHybrid能不用就不用。标准化的配置更容易维护出问题也更容易定位。4.4 三种链路类型的对比与选型建议特性AccessTrunkHybrid所属VLAN数1个多个多个发送帧标签不带标签除Native VLAN外带标签可逐VLAN指定典型用途连终端连交换机/路由器特殊场景配置复杂度低中高排错难度低中高选型逻辑其实很清晰连终端用Access连网络设备用Trunk有特殊标签需求才考虑Hybrid。我见过不少项目本来用Trunk就能解决的问题非要用Hybrid结果配置文档写得乱七八糟后来接手的人根本看不懂。5. PVID与Native VLAN那个让无数人栽跟头的默认VLAN5.1 PVID到底是什么它和VLAN ID有什么区别PVIDPort VLAN ID是端口级别的属性表示这个端口默认属于哪个VLAN。注意PVID是端口的属性不是帧的属性。VLAN ID是帧里标签携带的PVID是端口配置的。对于Access端口PVID就是它所属的那个VLAN。对于Trunk端口PVID对应Native VLAN。关键理解PVID决定的是不带标签的帧进入端口时被打上什么标签以及带标签的帧从端口出去时什么情况下被剥掉标签。5.2 Native VLAN的工作机制与常见误解Native VLAN是Trunk链路上的概念指的是Trunk端口上不打标签的那个VLAN。默认情况下Native VLAN是VLAN 1。工作机制当Trunk端口收到一个不带标签的帧时会把它当作Native VLAN的帧处理打上Native VLAN的标签。当Trunk端口发送Native VLAN的帧时会剥掉标签以不带标签的形式发出。这里有个经典误解很多人以为Native VLAN的帧在Trunk链路上是没有VLAN的。错。Native VLAN的帧在交换机内部依然是带标签的只是在Trunk链路上传输时标签被剥掉了。它仍然属于Native VLAN这个广播域。5.3 Native VLAN不匹配会引发什么问题这是实际排错中非常隐蔽的一类问题。假设两台交换机之间的Trunk链路一端Native VLAN配的是1另一端配的是10。会发生什么一端发出的不带标签帧对端会当作自己的Native VLAN处理。如果两端Native VLAN不一致这些帧就会被错误地归入不同的VLAN导致本应隔离的流量串到一起或者本应互通的流量不通。更严重的是这可能造成VLAN hoppingVLAN跳跃攻击。攻击者利用Native VLAN不匹配构造双标签帧让帧从一个VLAN跳到另一个VLAN绕过隔离。所以安全规范里通常要求Trunk链路的Native VLAN两端必须一致并且不要用VLAN 1改成一个专用的、没有端口成员的VLAN。5.4 关于PVID配置的实操建议我在实际项目里的做法是这样的Access端口的PVID严格等于它所属的VLAN不要出现PVID和VLAN不一致的情况。Trunk端口的Native VLAN两端强制一致并且改成一个专门的黑洞VLAN比如VLAN 999这个VLAN不接任何终端。所有不用的端口划入一个隔离VLAN并shutdown防止有人插网线就接入内网。这些做法看起来是小事但在安全审计和故障排查时能省大量时间。6. VLAN间通信单臂路由与三层交换的取舍6.1 为什么VLAN之间默认不通前面反复强调过VLAN是二层隔离。不同VLAN属于不同广播域二层交换机不会把一个VLAN的帧转发到另一个VLAN。这是设计使然不是bug。那不同VLAN之间要通信怎么办必须经过三层。三层设备路由器或三层交换机的一个接口对应一个VLAN充当该VLAN的网关。终端把跨VLAN的流量发给网关网关查路由表后转发到目标VLAN。6.2 单臂路由用一条物理链路承载多个VLAN网关单臂路由Router-on-a-Stick是最经典的做法。路由器和交换机之间用一条Trunk链路连接在路由器的物理接口上创建多个子接口Sub-interface每个子接口对应一个VLAN配置该VLAN的网关IP。工作过程VLAN 10的终端要访问VLAN 20的终端它把帧发给网关路由器子接口的MAC。帧经过Trunk链路到达路由器路由器识别标签属于VLAN 10交给对应子接口处理。子接口查路由表发现目标在VLAN 20重新封装帧打上VLAN 20的标签从Trunk链路发回交换机交换机再转发给VLAN 20的终端。单臂路由的优点是设备成本低一台路由器就能搞定。缺点是所有VLAN间流量都挤在一条物理链路上链路成为瓶颈。而且路由器做三层转发是靠软件性能远不如三层交换机。6.3 三层交换VLAN间路由的主流方案三层交换机本质上是交换机路由引擎。它内部有专门的硬件转发芯片VLAN间路由通过硬件完成速度接近线速。配置方式有两种一种是SVISwitch Virtual Interface给每个VLAN创建一个虚拟接口配置IP作为网关。另一种是三层物理接口或聚合接口用于连接其他三层设备。SVI方式最常用。比如VLAN 10创建interface vlan 10配IP 192.168.10.1/24这个IP就是VLAN 10内终端的网关。VLAN 20同理。三层交换机内部维护一张路由表VLAN间流量在芯片内直接转发不经过外部链路。6.4 两种方案的对比与选型对比项单臂路由三层交换转发性能软件转发较低硬件转发接近线速成本低一台路由器较高三层交换机适用规模小型网络中大型网络链路瓶颈明显无内部转发配置复杂度中中我的建议很直接只要预算允许VLAN间路由一律用三层交换机。单臂路由现在更多是教学场景或者极小型网络在用。三层交换机的SVI方案配置清晰、性能好、扩展性强是当前的主流实践。7. VLAN规划实战从需求到落地的完整思路7.1 按什么维度划分VLAN划分VLAN的维度有好几种实际项目里通常是组合使用。按部门划分是最常见的。财务一个VLAN、研发一个VLAN、行政一个VLAN。优点是管理清晰安全策略好做。缺点是人员流动时可能要改配置。按楼层或物理位置划分适合大型园区。每层楼一个VLAN减少跨楼层流量。缺点是同一部门分散在不同楼层时跨VLAN通信增多。按设备类型划分也常用。服务器一个VLAN、打印机一个VLAN、IP电话一个VLAN、无线AP一个VLAN。这样便于针对不同类型设备做策略。按安全等级划分是安全要求高的场景。核心业务一个VLAN、普通办公一个VLAN、访客一个VLAN、DMZ一个VLAN。实际项目里我通常建议以部门为主、设备类型为辅。比如研发部一个VLAN但研发部的服务器单独一个VLAN。这样既保证管理清晰又兼顾特殊设备的策略需求。7.2 VLAN ID和IP地址的规划方法VLAN ID规划要有规律方便记忆和排错。我常用的方法是VLAN ID和IP网段第三位对应。比如VLAN 10 对应 192.168.10.0/24VLAN 20 对应 192.168.20.0/24VLAN 30 对应 192.168.30.0/24这样看到IP就知道属于哪个VLAN看到VLAN ID就知道网段。网关统一用网段的第一个可用地址比如192.168.10.1。VLAN ID的分配也要留余量。不要从2开始连续分配而是按功能块预留。比如VLAN ID范围用途2-9保留管理、互联等10-99办公区域100-199服务器区域200-299语音和无线300-399访客和DMZ900-999保留黑洞、测试这种规划方式后期扩展时不会打乱现有编号。7.3 一个典型的中小企业VLAN规划案例假设一个200人左右的公司三层楼有研发、销售、财务、行政四个部门还有服务器区、无线网络、访客网络。我给出一个可落地的规划VLAN ID名称网段用途10Office_RD192.168.10.0/24研发部20Office_Sales192.168.20.0/24销售部30Office_Finance192.168.30.0/24财务部40Office_Admin192.168.40.0/24行政部100Server192.168.100.0/24内部服务器200Voice192.168.200.0/24IP电话210Wireless192.168.210.0/24员工无线300Guest192.168.300.0/24访客网络999Blackhole无Native VLAN专用接入交换机上每个端口根据连接的设备划入对应VLAN。Trunk链路上允许这些VLAN通过。三层交换机上为每个VLAN创建SVI配置网关IP。访客VLAN通过ACL限制只能访问互联网不能访问内网。7.4 规划阶段最容易忽略的几个细节第一个细节是DHCP服务器的部署位置。如果DHCP服务器在服务器VLAN其他VLAN的终端要获取IP需要在三层交换机上配置DHCP中继DHCP Relay把DHCP请求转发到服务器。这个不配终端拿不到IP。第二个细节是VLAN 1的处理。很多设备默认所有端口都在VLAN 1如果不清理VLAN 1会成为一个大广播域破坏隔离效果。我的做法是把所有不用的端口从VLAN 1移出划入黑洞VLAN并shutdown。第三个细节是Trunk链路的允许VLAN列表。默认Trunk允许所有VLAN通过这既不安全也浪费资源。应该显式配置只允许需要的VLAN通过。比如某条Trunk只承载VLAN 10和20就只允许这两个。第四个细节是管理VLAN的规划。交换机的管理IP应该放在一个专门的VLAN里不要和业务VLAN混在一起。这样即使业务VLAN出问题还能通过管理VLAN登录设备排查。8. 排错实录VLAN不通时我会按什么顺序查8.1 先确认物理层和端口状态VLAN不通第一步永远是看物理层。端口是不是up的网线是不是好的光模块有没有问题这些基础的东西不确认后面查半天都是白费。在交换机上我会先看端口状态和VLAN成员关系。确认端口确实划入了预期的VLAN而不是还留在默认VLAN 1里。这个错误太常见了尤其是批量配置时漏配某个端口。8.2 检查Trunk链路的标签和允许列表如果跨交换机的VLAN不通重点查Trunk链路。两端Trunk的允许VLAN列表是否包含目标VLANNative VLAN是否一致封装类型是否匹配都是802.1Q我遇到过一个案例两台交换机之间的Trunk一端配了允许VLAN 10-20另一端配了允许VLAN 15-25。结果VLAN 10的流量在第二台交换机上被丢弃因为不在允许列表里。这种问题看配置一眼就能发现但不看配置光靠ping是查不出来的。8.3 验证三层网关和路由如果同VLAN内能通跨VLAN不通问题就在三层。检查三层交换机上是否创建了对应VLAN的SVISVI是否upIP是否配置正确。终端的网关是否指向了SVI的IP。还有一个容易忽略的点终端的子网掩码。如果掩码配错终端可能认为目标在同一网段直接发ARP而不走网关导致跨VLAN不通。这种问题在终端侧交换机上看不出异常。8.4 用抓包定位标签问题当配置都检查过还是不通时抓包是最直接的手段。在Trunk链路上抓包看帧是否带标签、标签的VLAN ID是否正确、Native VLAN的帧是否如预期不带标签。抓包能发现很多配置看不出的问题。比如某个中间设备把标签剥掉了或者标签被错误地修改了。这些在配置层面是看不出来的只有看实际流量才能定位。9. 几个我踩过的坑和总结的经验先说一个关于Native VLAN的坑。早期做项目时我觉得Native VLAN默认是1两端都是1应该没问题。结果后来做安全加固把一端改成了999另一端忘了改。表面上网络还能通因为大部分流量是带标签的但某些依赖不带标签帧的协议比如某些厂商的发现协议就出问题了。排查了很久才发现是Native VLAN不匹配。从那以后我配置Trunk时第一件事就是确认两端Native VLAN一致。再说一个关于Hybrid端口的坑。有个项目为了省事把连接服务器的端口配成了Hybrid想让服务器同时处理多个VLAN的流量。结果服务器的网卡驱动对Hybrid标签的支持不好某些VLAN的流量时通时断。后来改成Trunk服务器网卡配子接口问题就解决了。服务器多VLAN接入优先用Trunk子接口不要用Hybrid兼容性更好。还有一个关于VLAN数量规划的经验。刚开始做项目时VLAN ID随便分配2、3、4、5连续用。后来网络扩展要插入新的VLAN发现编号全乱了只能往后排导致VLAN ID和部门对应关系完全对不上。现在我做规划一定按功能块预留编号段每个段留足余量。这个习惯在后期维护时价值巨大。最后说一个管理VLAN的经验。我习惯给每台交换机的管理接口配一个独立的管理VLAN并且这个VLAN只在核心交换机和接入交换机之间的Trunk上允许通过不向终端方向扩散。这样管理流量和业务流量彻底隔离安全性高排错时也不会互相干扰。VLAN这套东西理论看起来不复杂但真正在项目里用好靠的是对标签机制、链路类型、PVID这些细节的准确理解加上规划阶段的周密考虑。我见过太多网络VLAN划了但划得乱七八糟后期维护成本极高。希望这篇梳理能帮你把VLAN的理论体系真正打通下次配VLAN时心里有底排错时知道往哪查。
