做网络工程师这一路VLAN 是绕不开的核心知识点。不管是软考网络工程师、企业网改造还是数据中心接入场景面试和实操都会高频遇到 VLAN 相关的问题。很多零基础的朋友一开始会被 Access、Trunk、PVID、VLAN 间路由这些术语劝退网上资料又一搜一大堆说法还不统一。这篇文章会把 VLAN 从概念、原理、划分方式、基本配置到排错实战一次讲透配合华为 eNSP 模拟器演示完整实验新手可以照着敲有基础的也可以直接翻阅重点章节查漏补缺。1. 为什么需要 VLAN从广播域说起1.1 传统二层网络的痛点早期的网络规模不大一台交换机把所有电脑连在一起就能满足办公需求。但问题也随之而来交换机对未知单播帧、广播帧和组播帧会进行泛洪处理也就是说某个广播帧会被复制转发到所有端口。这样一来整个二层网络就是一个广播域广播域越大无效广播流量越多网络性能就会明显下降。举一个实际场景公司财务部、人事部、研发部都在同一台交换机上员工电脑开机后会发送 DHCP 请求、ARP 请求等广播报文这些报文会传递到整个二层网络不仅占用带宽还存在安全隐患。任意一台 PC 如果连接了抓包工具就能直接观察到其他部门的大量广播流量。另外传统二层网络还有一个麻烦无法有效隔离故障域。如果某个端口下接的设备出现异常产生广播风暴会让整台交换机的 CPU 飙升甚至导致全网瘫痪。1.2 VLAN 是什么VLANVirtual Local Area Network虚拟局域网的核心思想就是把一台物理交换机在逻辑上划分成多个相互隔离的广播域。每个 VLAN 相当于一个独立的“虚拟交换机”VLAN 内的设备可以互相通信VLAN 之间默认不能直接通信。专业一点说VLAN 通过给数据帧打上 VLAN Tag标签来标识它属于哪个虚拟网络。交换机收到带标签的数据帧后只会把它转发到相同 VLAN 的成员端口上去这样广播域就被精确地限制在了同一个 VLAN 内部。1.3 VLAN 的作用与价值VLAN 解决了传统二层网络在性能、安全和灵活性三个维度上的问题减小广播域广播帧只在同一个 VLAN 内传播其他 VLAN 不受影响。提升安全性不同 VLAN 之间默认二层隔离财务数据和应用系统不能随便被其他部门访问。简化网络管理用户的搬迁、增加、删改不需要改动物理线路只需要修改端口所属的 VLAN 即可。降低成本通过一台交换机就能隔离出多个逻辑子网不需要为每个部门单独购买物理交换机。对于网络工程师而言VLAN 是一切后续路由、ACL、QoS 策略的基础掌握它是入门网络工程的第一步。2. VLAN 工作原理与数据帧处理流程2.1 VLAN ID 与 802.1Q 标签标准 Ethernet 数据帧本身没有 VLAN 字段。为了让交换机识别出数据帧属于哪个 VLANIEEE 802.1Q 标准在以太网帧头中插入了一个 4 字节的 VLAN Tag。802.1Q 标签的主要字段如下字段长度作用TPID2 字节标识这是 VLAN 标签帧通常为 0x8100Priority3 bit802.1p 优先级用于 QoSCFI1 bit经典格式指示符通常为 0VID12 bitVLAN ID范围 0~4095可用的为 1~4094VLAN ID 的取值范围就是我们在命令中看到的 VLAN 编号。其中 0 和 4095 保留1 是系统默认 VLAN。我们在配置中常见的是 VLAN 2 到 4094。2.2 三种端口类型Access、Trunk、Hybrid华为交换机端口类型分成三种初学者先重点掌握 Access 和 TrunkAccess 端口一般用于连接终端设备PC、打印机、服务器、摄像头。Access 端口只能属于一个 VLAN从该端口进入的数据帧会被打上该端口 PVID 对应的 VLAN 标签向该端口发送数据帧时会剥掉标签。Trunk 端口一般用于交换机与交换机之间的互联链路。Trunk 链路可以承载多个 VLAN 的数据帧数据帧在链路上以带 Tag 的方式传输。Hybrid 端口华为特有的一种端口类型既可以连接终端也可以连接交换机能灵活控制哪些 VLAN 的数据帧带标签、哪些不带。默认情况下华为交换机端口类型就是 Hybrid但对新手来说先掌握 Access 和 Trunk 更不容易踩坑。2.3 PVID 的作用PVIDPort-base VLAN ID端口默认 VLAN ID表示端口在接收 untagged 数据帧时会给该数据帧打上的 VLAN ID。初学者经常混淆 Tag 和 PVID 的关系下面用一张表来说明方向数据帧情况端口处理方式Access 入方向无 Tag打上 PVID 对应的 VLAN 标签Access 出方向有 Tag剥掉 Tag发出无 Tag 帧Trunk 入方向无 Tag打上 Trunk 端口 PVID 对应 VLAN 标签Trunk 入方向带 Tag对比 VLAN 是否允许通过允许则接收不允许则丢弃Trunk 出方向带 Tag如果 VLAN 等于端口 PVID则剥掉 Tag 再发送其他允许 VLAN 保持带 Tag 发送PVID 是理解 VLAN 数据帧转发的关键。华为交换机上默认情况下所有端口的 PVID 都是 VLAN 1这就是为什么新买的交换机插上 PC 都能互相访问因为大家默认都在 VLAN 1 中。2.4 数据帧收发处理完整流程我们用一个典型场景来串一遍流程PC1 在 VLAN 10PC2 也在 VLAN 10中间经过两台交换机互联的 Trunk 链路。PC1 发出一个无 Tag 的普通以太网帧。帧到达交换机 A 的 Access 端口该端口 PVID 为 10交换机给帧打上 VLAN 10 的 Tag。交换机 A 查询 MAC 地址表发现目标 MAC 对应端口是连接交换机 B 的 Trunk 口并且 VLAN 10 在该 Trunk 口允许列表中。交换机 A 从 Trunk 口发出带 VLAN 10 Tag 的帧。交换机 B 的 Trunk 口收到帧检查帧携带的 VID 为 10发现 VLAN 10 在允许列表中于是接收该帧。交换机 B 查询 MAC 地址表发现目标 MAC 对应端口是 Access 口且该端口属于 VLAN 10。交换机 B 从该 Access 口发出帧时剥掉 TagPC2 收到普通的无 Tag 帧完成通信。如果 PC2 不属于 VLAN 10而是属于 VLAN 20那么交换机在步骤 3 和步骤 6 查询 MAC 表时会发现目标 IP 和 MAC 不在同一个广播域数据帧不会跨 VLAN 转发这也是 VLAN 隔离性的体现。3. VLAN 的划分方式3.1 基于端口的 VLAN 划分基于端口划分是最常用、最基础的方式。管理员把交换机的某个端口指定为某个 VLAN 的成员例如把 gigabitethernet 0/0/1 划分到 VLAN 10。这种方式的优点是配置简单、逻辑清晰、容易排查缺点是一旦用户变更了物理位置比如从工位 A 搬到工位 B就需要重新配置端口。华为交换机配置命令非常简单system-view vlan 10 quit interface gigabitethernet 0/0/1 port link-type access port default vlan 10在很多企业接入场景中一个信息点对应一个工位工位上用户的 VLAN 归属基本固定所以基于端口划分仍然是运维成本最低的方案。3.2 基于 MAC 地址的 VLAN 划分基于 MAC 地址的 VLAN 划分是指根据数据帧的源 MAC 地址来确定它属于哪个 VLAN通常用于终端经常移动的场景。比如领导拿着笔记本电脑在会议室、办公室、接待区来回移动无论接入哪个交换机端口交换机识别到该 MAC 地址后都会自动把它分到指定的 VLAN 中。这种方式的优点是用户移动时不需要改端口配置缺点是 MAC 地址数量庞大时配置工作量很大而且用户可以修改网卡 MAC 地址存在仿冒风险不适合对安全性要求极高的场景。3.3 基于 IP 子网的 VLAN 划分基于 IP 子网的 VLAN 划分是根据数据帧中的源 IP 地址或 IP 子网来划分 VLAN。终端所在的 IP 网段决定了它属于哪个 VLAN如果 PC 改了 IP 地址它所属的 VLAN 也可能变化。这种方式适合用户频繁更换接入位置、但又希望保持同一网段的情况。不过它的局限也很明显如果同一个子网的设备分散在不同交换机端口会让交换机 MAC 地址表变复杂配置逻辑需要更细致的规划排错难度也会明显上升。3.4 基于协议的 VLAN 划分基于协议的 VLAN 划分是按照数据帧的协议类型例如 IPv4、IPv6、IPX来划分 VLAN。这种划分方式多见于多协议共存的复杂网络例如同时跑 IPv4 和 IPv6 业务、希望不同协议走不同虚拟网络的环境。在实际工程项目和软考网络工程师考试中这类划分方式出现频率相对较低了解即可。3.5 各划分方式对比划分方式配置复杂度适用场景安全性基于端口低绝大多数办公网、车间网一般可配合端口安全基于 MAC中终端移动频繁的区域中MAC 可仿冒基于 IP 子网中终端 IP 规划明确、移动较多中基于协议高多协议并存环境高但实现复杂在实际项目中90% 以上的场景都使用基于端口的 VLAN 划分其他方式更像是在特殊需求下进行的“加分项”。网络工程师备考时可以多理解原理和配置命令工作后优先从基于端口的方式入手。4. 环境准备与实验拓扑规划4.1 使用 eNSP 模拟器完成实验eNSP 是华为官方推出的网络模拟器允许我们在个人电脑上模拟交换机、路由器、PC 等设备用来做 VLAN 配置、路由协议、ACL 过滤等实验非常方便。零基础学习网络工程师如果没有真机条件用 eNSP 练熟命令是性价比最高的路线。本文实验以 eNSP 为例核心命令和思路同样适用于华为真机。不同系列的交换机在命令上略有差异但 VLAN 部分基本一致。4.2 实验拓扑我们搭建一个经典的双交换机场景两台交换机LSW1 和 LSW2。终端设备PC1、PC2 属于 VLAN 10PC3、PC4 属于 VLAN 20。LSW1 与 LSW2 之间使用 GE 0/0/1 和 GE 0/0/2 两个端口作为 Trunk 互联链路。拓扑连接关系PC1 --- LSW1 GE0/0/1 PC2 --- LSW1 GE0/0/2 PC3 --- LSW2 GE0/0/3 PC4 --- LSW2 GE0/0/4 LSW1 GE0/0/24 --- LSW2 GE0/0/244.3 IP 地址规划设备VLANIP 地址子网掩码网关PC1VLAN 10192.168.10.1255.255.255.0192.168.10.254PC2VLAN 10192.168.10.2255.255.255.0192.168.10.254PC3VLAN 20192.168.20.1255.255.255.0192.168.20.254PC4VLAN 20192.168.20.2255.255.255.0192.168.20.254这里先不配置网关因为网关属于 VLAN 间路由的内容我们在第 6 章单独实现。5. VLAN 基本配置实战双交换机场景5.1 在 LSW1 上创建 VLAN登录 LSW1进入系统视图创建 VLAN 10 和 VLAN 20。system-view sysname LSW1 vlan batch 10 20这里用vlan batch命令可以一次性创建多个 VLAN。创建完后可以用以下命令查看display vlan brief预期输出中会看到 VLAN 10 和 VLAN 20 的状态为 up端口列表为空。5.2 配置 LSW1 的 Access 端口把连接 PC1 的端口列入 VLAN 10把连接 PC2 的端口也列入 VLAN 10。interface gigabitethernet 0/0/1 port link-type access port default vlan 10 quit interface gigabitethernet 0/0/2 port link-type access port default vlan 10 quit这里解释两个命令port link-type access把端口模式设为 Access。port default vlan 10把该端口的 PVID 设置为 10同时让该端口成为 VLAN 10 的成员。5.3 配置 LSW1 的 Trunk 端口把连接 LSW2 的互联端口配置为 Trunk并允许 VLAN 10 和 VLAN 20 通过。interface gigabitethernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit很多初学者会漏掉port trunk allow-pass vlan这一步。华为交换机的 Trunk 口默认只允许 VLAN 1 通过如果创建了 VLAN 10 和 VLAN 20但没有在 Trunk 口放行数据帧依然过不去。建议在配置 Trunk 时养成习惯明确指定放行的 VLAN 列表。5.4 在 LSW2 上完成相同配置登录 LSW2创建 VLAN配置 Access 端口和 Trunk 端口。system-view sysname LSW2 vlan batch 10 20 quit interface gigabitethernet 0/0/3 port link-type access port default vlan 10 quit interface gigabitethernet 0/0/4 port link-type access port default vlan 20 quit interface gigabitethernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit注意这里我故意把 PC3 划入 VLAN 10、PC4 划入 VLAN 20以模拟不同 VLAN 终端混接在交换机不同端口的情况。5.5 配置 PC 的 IP 地址并验证在 eNSP 中双击 PC1配置 IP 地址 192.168.10.1掩码 255.255.255.0。依次配置 PC2、PC3、PC4。验证同 VLAN 通信PC1 ping PC2应该可以 ping 通。PC3 属于 VLAN 10但 IP 地址是 192.168.20.1跨网段的通信不是当前章节讨论的目标所以这里不把 PC3 ping PC1 作为验证标准。验证命令display vlan brief在 LSW1 上执行后预期看到VID Type Status Ports 10 common up GE0/0/1 GE0/0/2 GE0/0/24 20 common up GE0/0/24这里的 Port 列表是实时变化的如果 PC 在线且发送过数据端口状态也会有所体现。还可以使用display port vlan查看端口模式和 PVID。如果需要查看 MAC 地址表使用display mac-address这会显示交换机学习到的 MAC 地址以及它们对应的 VLAN 和端口是排查二层通信问题的利器。5.6 实验后的静态理解通过以上配置我们已经把物理网络划分成了两个广播域VLAN 10 的广播帧只会到达 PC1、PC2 以及 Trunk 链路不会到达 PC4。VLAN 20 的广播帧只在 VLAN 20 内部传播。如果此时 PC4 想 ping PC1结果是 ping 不通。原因是二层隔离PC4 发出的 ARP 请求在 VLAN 20 内广播无法到达 VLAN 10 的 PC1PC4 也就拿不到 PC1 的 MAC 地址无法完成二层通信。这就是 VLAN 间路由要解决的场景。6. VLAN 间通信单臂路由与三层交换机6.1 为什么 VLAN 间不能直接通信VLAN 之间的隔离是基于二层的VLAN 10 的广播帧不会出现在 VLAN 20 中。如果两个 VLAN 中的设备要进行通信必须经过三层设备路由器或三层交换机进行路由转发。一台 PC 要访问另一个网段时会先检查目标 IP 是否和自己同一个网段如果不是就会把数据帧发送给自己的网关由网关完成下一跳转发。所以 VLAN 间通信方案的核心就是给每个 VLAN 提供一个网关地址并让三层设备知道如何路由每个 VLAN 的子网。6.2 单臂路由方案单臂路由Router on a Stick是指只使用路由器的一个物理接口通过划分子接口的方式终结多个 VLAN 的网关流量。配置思路交换机上把连接路由器的端口配置为 Trunk。路由器上创建多个子接口如 GigabitEthernet0/0/0.10 和 GigabitEthernet0/0/0.20。每个子接口封装 802.1Q Tag并指定对应的 VLAN ID。为每个子接口配置 IP 地址作为该 VLAN 的网关。华为路由器子接口配置如下interface gigabitethernet 0/0/0 quit interface gigabitethernet 0/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enable quit interface gigabitethernet 0/0/0.20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 arp broadcast enable quit需要注意华为路由器子接口默认不处理广播报文需要开启arp broadcast enable否则终端可能无法正常解析网关 MAC 地址。单臂路由的优点是配置简单、不需要额外购买三层交换机缺点是所有跨 VLAN 流量都从一条物理链路上走带宽压力集中适合小型网络或实验环境。6.3 三层交换机 VLANIF 方案在生产环境和企业网中更推荐使用三层交换机。三层交换机在硬件层面实现路由转发性能远高于路由器单臂路由方案。在 eNSP 中我们可以直接在 LSW1 上开启三层转发创建 VLANIF 接口作为网关。LSW1 配置如下interface vlanif 10 ip address 192.168.10.254 255.255.255.0 quit interface vlanif 20 ip address 192.168.20.254 255.255.255.0 quit对于三层交换机还需要确保 VLAN 10 和 VLAN 20 的所有端口都已经正确划分并且连接终端的端口位于对应 VLAN 中。如果配置了 VLANIF 但 VLAN 内没有物理端口网关也无法正常工作。配置完成后PC1 的网关指向 192.168.10.254PC4 的网关指向 192.168.20.254。此时 PC1 ping PC4就能通过三层交换机完成跨 VLAN 通信。在真实网络中三层交换机上还可能需要配置路由协议或静态路由把 VLAN 子网路由到上层网络。本文实验场景中LSW1 作为核心网关终端直接使用三层交换机 VLANIF 地址上网即可。6.4 完整 VLAN 间通信实验流程如果你是在 eNSP 中从头做题建议按照下面的顺序配置在 LSW1 和 LSW2 上创建 VLAN 10、VLAN 20。配置所有终端接入端口为 Access划分到对应 VLAN。配置两台交换机互联端口为 Trunk放行 VLAN 10 和 VLAN 20。在 LSW1 上开启 VLANIF 接口并配置 IP。给 LSW1 与 LSW2 之间的链路放行所有需要的 VLAN。把 PC1、PC2 的网关指向 192.168.10.254。把 PC3、PC4 的网关指向 192.168.20.254。在 PC 上 ping 不同 VLAN 的地址验证三层互通。如果使用路由器单臂路由方案第 4 步改成在路由器上配置子接口并把交换机连接路由器的端口配置为 Trunk。7. 常见问题与排查思路7.1 高频问题汇总问题现象可能原因解决思路同 VLAN 内 PC 无法互通端口未加入 VLAN、端口类型错误、PC IP 不在同网段检查display vlan brief、display port vlan确认 IP 网段跨交换机同 VLAN 无法通信Trunk 口未放行该 VLAN检查display trunkport确认允许列表VLAN 间无法 ping 通没有三层网关、网关地址配置错误、VLANIF 未创建检查 PC 网关和交换机 VLANIF 地址接到交换机后网速很慢或不稳定端口协商异常、广播风暴、存在环路检查端口协商模式排查环路启用 STP配置了 Trunk 但所有 VLAN 都 ping 不通Trunk 口 PVID 设置不对或 allow-pass vlan 配置丢帧用display port vlan查看端口 PVID 和放行 VLAN7.2 排查二层连通性的标准步骤遇到 “PC 之间 ping 不通” 的问题不要乱抓瞎建议按以下顺序一步步排查确认 PC 的 IP 地址、掩码、网关配置正确。确认两台 PC 是否属于同一个 VLAN以及它们接入的交换机端口是否在同一个 VLAN。使用display vlan brief查看 VLAN 是否创建端口是否已经加入。使用display port vlan查看端口类型和 PVID。使用display mac-address查看交换机 MAC 表是否学习到了终端 MAC。检查中间链路端口的 Trunk 配置确认port trunk allow-pass vlan包含了需要的 VLAN。使用ping逐步测试网关、同 VLAN 其他主机、跨 VLAN 网关。7.3 几个新手容易犯的错误第一个高频错误是只创建了 VLAN但没有把端口加进去。很多新手在交换机上执行vlan batch 10后就直接把 PC 接上去以为有了 VLAN 就能用了结果端口还没加入 VLAN 10自然无法互通。第二个高频错误是 Trunk 口允许列表不完整。配置 Trunk 后如果只设置了port link-type trunk默认放行 VLAN 1其他 VLAN 都不会通过。必须显式配置port trunk allow-pass vlan 10 20第三个高频错误是 PVID 概念混淆。Access 口上port default vlan和 Trunk 口上port trunk pvid vlan经常被搞混。Access 口的 PVID 就是该端口所属的 VLAN而 Trunk 口默认 PVID 是 1如果 Trunk 口的 PVID 被改成 10则从该 Trunk 口发送 VLAN 10 的数据帧时会被剥掉 Tag这可能让对端交换机误认为该帧属于默认 VLAN。7.4 华为交换机不同系列配置差异问题有朋友问“华为交换机划 VLAN 都是一样的吗”。从 VLAN 基础配置来看华为大多数交换机S5700、S6700、S12700 等的命令体系基本一致都是vlan、port link-type、port default vlan这一套。但不同系列可能在端口编号、默认端口模式、是否支持某些高级功能上存在差异。比如部分较老的 S2300 或 S3700 系列交换机端口默认工作方式和 S5700 略有不同云化的 CloudEngine 系列虽然也支持 VLAN 基础配置但更强调 VXLAN 等大二层技术。实际生产环境中一定要先查看设备的软件版本和使用手册不要拿 S5700 的命令直接往 CloudEngine 上敲。8. 最佳实践与工程建议8.1 VLAN 编号与命名规划在正式工程中VLAN ID 应该像 IP 地址规划一样提前设计避免后续混乱。这里给出一套常见的企业网规划思路VLAN ID 段用途示例1默认 VLAN建议只承载管理或预留VLAN 110~50业务部门 VLAN财务 VLAN 10研发 VLAN 20100~150服务器 / 数据中心服务器 VLAN 100200~250网络设备互联和管理管理 VLAN 200互联 VLAN 201命名上建议采用“业务含义 编号”的方式便于后期维护。例如vlan 10 name Finance quit vlan 20 name R_and_D quit这样当后续管理员用display vlan查看时一眼就能看出每个 VLAN 是给哪个业务用的。8.2 Trunk 口的严谨配置配置 Trunk 口时不要图省事直接放行所有 VLANport trunk allow-pass vlan all虽然这条命令在实验环境没问题但在生产环境中放行所有 VLAN 容易让未经规划的 VLAN 流量穿越核心链路增加排查难度和安全隐患。建议明确写出放行的 VLAN 列表并定期检查 Trunk 口的 allow-pass 配置。8.3 版本管理与配置备份无论是实验环境还是生产环境修改配置前都建议备份当前配置。华为交换机导出配置的命令是display current-configuration也可以把配置保存到设备存储介质中save保存配置后会提示输入文件名直接回车即可。真机上建议通过 FTP、SFTP 或 SSH 方式把配置文件备份到本地电脑。运维经验表明很多网络故障都是改配置后没有备份、回退不及时造成的。8.4 二层安全注意事项VLAN 虽然隔离了广播域但并不能完全防止二层攻击。在生产环境中建议配合以下安全特性DHCP Snooping防止用户私接 DHCP Server 下发非法地址。IPSGIP Source Guard基于 IP、MAC、VLAN、端口绑定防止 IP 欺骗。端口安全限制端口最大学习 MAC 地址数量防止 MAC 泛洪攻击。环路防护在所有接入交换机上开启 STP生成树协议防止环路导致广播风暴。对于正在备考软考网络工程师的朋友VLAN 的工作原理、802.1Q 帧格式、单臂路由、三层交换这些内容都是高频考点建议多做 eNSP 实验加深理解而不要死记硬背命令。9. 总结VLAN 学习路线与下一步现在一起回顾整篇文章的关键内容VLAN 把物理局域网划分成多个逻辑广播域解决广播、安全和灵活管理问题。IEEE 802.1Q 标签通过 4 字节字段标识 VLAN ID交换机依靠 Tag 完成跨设备转发。Access 端口连接终端Trunk 端口连接交换机PVID 是端口对无 Tag 帧打标签的依据。VLAN 划分方式有基于端口、基于 MAC、基于 IP 子网、基于协议实际项目以基于端口为主。VLAN 间通信依靠单臂路由或三层交换机 VLANIF。排查 VLAN 故障时按 PC 配置、VLAN 成员、Trunk 放行、MAC 表、路由网关的顺序逐层检查。VLAN 是网络工程师必须吃透的基础功。掌握本文内容之后下一步可以继续学习 VLAN 扩展技术例如 QinQ802.1Q in 802.1Q、VXLAN、VLAN 与 DHCP 中继的结合以及基于 VLAN 的 QoS 和 ACL 策略。如果你正在备考软考网络工程师建议把本文中的实验场景在 eNSP 中亲手敲一遍敲完后再自己改一改拓扑比如加一台路由器做单臂路由对比三层交换机方案。实验做得越多对网络工作原理的理解就越扎实。如果这篇文章对你有帮助可以收藏备用也可以分享给身边同样在学网络的朋友。有问题欢迎在评论区交流我看到后会尽量回复。
做网络工程师这一路VLAN 是绕不开的核心知识点。不管是软考网络工程师、企业网改造还是数据中心接入场景面试和实操都会高频遇到 VLAN 相关的问题。很多零基础的朋友一开始会被 Access、Trunk、PVID、VLAN 间路由这些术语劝退网上资料又一搜一大堆说法还不统一。这篇文章会把 VLAN 从概念、原理、划分方式、基本配置到排错实战一次讲透配合华为 eNSP 模拟器演示完整实验新手可以照着敲有基础的也可以直接翻阅重点章节查漏补缺。1. 为什么需要 VLAN从广播域说起1.1 传统二层网络的痛点早期的网络规模不大一台交换机把所有电脑连在一起就能满足办公需求。但问题也随之而来交换机对未知单播帧、广播帧和组播帧会进行泛洪处理也就是说某个广播帧会被复制转发到所有端口。这样一来整个二层网络就是一个广播域广播域越大无效广播流量越多网络性能就会明显下降。举一个实际场景公司财务部、人事部、研发部都在同一台交换机上员工电脑开机后会发送 DHCP 请求、ARP 请求等广播报文这些报文会传递到整个二层网络不仅占用带宽还存在安全隐患。任意一台 PC 如果连接了抓包工具就能直接观察到其他部门的大量广播流量。另外传统二层网络还有一个麻烦无法有效隔离故障域。如果某个端口下接的设备出现异常产生广播风暴会让整台交换机的 CPU 飙升甚至导致全网瘫痪。1.2 VLAN 是什么VLANVirtual Local Area Network虚拟局域网的核心思想就是把一台物理交换机在逻辑上划分成多个相互隔离的广播域。每个 VLAN 相当于一个独立的“虚拟交换机”VLAN 内的设备可以互相通信VLAN 之间默认不能直接通信。专业一点说VLAN 通过给数据帧打上 VLAN Tag标签来标识它属于哪个虚拟网络。交换机收到带标签的数据帧后只会把它转发到相同 VLAN 的成员端口上去这样广播域就被精确地限制在了同一个 VLAN 内部。1.3 VLAN 的作用与价值VLAN 解决了传统二层网络在性能、安全和灵活性三个维度上的问题减小广播域广播帧只在同一个 VLAN 内传播其他 VLAN 不受影响。提升安全性不同 VLAN 之间默认二层隔离财务数据和应用系统不能随便被其他部门访问。简化网络管理用户的搬迁、增加、删改不需要改动物理线路只需要修改端口所属的 VLAN 即可。降低成本通过一台交换机就能隔离出多个逻辑子网不需要为每个部门单独购买物理交换机。对于网络工程师而言VLAN 是一切后续路由、ACL、QoS 策略的基础掌握它是入门网络工程的第一步。2. VLAN 工作原理与数据帧处理流程2.1 VLAN ID 与 802.1Q 标签标准 Ethernet 数据帧本身没有 VLAN 字段。为了让交换机识别出数据帧属于哪个 VLANIEEE 802.1Q 标准在以太网帧头中插入了一个 4 字节的 VLAN Tag。802.1Q 标签的主要字段如下字段长度作用TPID2 字节标识这是 VLAN 标签帧通常为 0x8100Priority3 bit802.1p 优先级用于 QoSCFI1 bit经典格式指示符通常为 0VID12 bitVLAN ID范围 0~4095可用的为 1~4094VLAN ID 的取值范围就是我们在命令中看到的 VLAN 编号。其中 0 和 4095 保留1 是系统默认 VLAN。我们在配置中常见的是 VLAN 2 到 4094。2.2 三种端口类型Access、Trunk、Hybrid华为交换机端口类型分成三种初学者先重点掌握 Access 和 TrunkAccess 端口一般用于连接终端设备PC、打印机、服务器、摄像头。Access 端口只能属于一个 VLAN从该端口进入的数据帧会被打上该端口 PVID 对应的 VLAN 标签向该端口发送数据帧时会剥掉标签。Trunk 端口一般用于交换机与交换机之间的互联链路。Trunk 链路可以承载多个 VLAN 的数据帧数据帧在链路上以带 Tag 的方式传输。Hybrid 端口华为特有的一种端口类型既可以连接终端也可以连接交换机能灵活控制哪些 VLAN 的数据帧带标签、哪些不带。默认情况下华为交换机端口类型就是 Hybrid但对新手来说先掌握 Access 和 Trunk 更不容易踩坑。2.3 PVID 的作用PVIDPort-base VLAN ID端口默认 VLAN ID表示端口在接收 untagged 数据帧时会给该数据帧打上的 VLAN ID。初学者经常混淆 Tag 和 PVID 的关系下面用一张表来说明方向数据帧情况端口处理方式Access 入方向无 Tag打上 PVID 对应的 VLAN 标签Access 出方向有 Tag剥掉 Tag发出无 Tag 帧Trunk 入方向无 Tag打上 Trunk 端口 PVID 对应 VLAN 标签Trunk 入方向带 Tag对比 VLAN 是否允许通过允许则接收不允许则丢弃Trunk 出方向带 Tag如果 VLAN 等于端口 PVID则剥掉 Tag 再发送其他允许 VLAN 保持带 Tag 发送PVID 是理解 VLAN 数据帧转发的关键。华为交换机上默认情况下所有端口的 PVID 都是 VLAN 1这就是为什么新买的交换机插上 PC 都能互相访问因为大家默认都在 VLAN 1 中。2.4 数据帧收发处理完整流程我们用一个典型场景来串一遍流程PC1 在 VLAN 10PC2 也在 VLAN 10中间经过两台交换机互联的 Trunk 链路。PC1 发出一个无 Tag 的普通以太网帧。帧到达交换机 A 的 Access 端口该端口 PVID 为 10交换机给帧打上 VLAN 10 的 Tag。交换机 A 查询 MAC 地址表发现目标 MAC 对应端口是连接交换机 B 的 Trunk 口并且 VLAN 10 在该 Trunk 口允许列表中。交换机 A 从 Trunk 口发出带 VLAN 10 Tag 的帧。交换机 B 的 Trunk 口收到帧检查帧携带的 VID 为 10发现 VLAN 10 在允许列表中于是接收该帧。交换机 B 查询 MAC 地址表发现目标 MAC 对应端口是 Access 口且该端口属于 VLAN 10。交换机 B 从该 Access 口发出帧时剥掉 TagPC2 收到普通的无 Tag 帧完成通信。如果 PC2 不属于 VLAN 10而是属于 VLAN 20那么交换机在步骤 3 和步骤 6 查询 MAC 表时会发现目标 IP 和 MAC 不在同一个广播域数据帧不会跨 VLAN 转发这也是 VLAN 隔离性的体现。3. VLAN 的划分方式3.1 基于端口的 VLAN 划分基于端口划分是最常用、最基础的方式。管理员把交换机的某个端口指定为某个 VLAN 的成员例如把 gigabitethernet 0/0/1 划分到 VLAN 10。这种方式的优点是配置简单、逻辑清晰、容易排查缺点是一旦用户变更了物理位置比如从工位 A 搬到工位 B就需要重新配置端口。华为交换机配置命令非常简单system-view vlan 10 quit interface gigabitethernet 0/0/1 port link-type access port default vlan 10在很多企业接入场景中一个信息点对应一个工位工位上用户的 VLAN 归属基本固定所以基于端口划分仍然是运维成本最低的方案。3.2 基于 MAC 地址的 VLAN 划分基于 MAC 地址的 VLAN 划分是指根据数据帧的源 MAC 地址来确定它属于哪个 VLAN通常用于终端经常移动的场景。比如领导拿着笔记本电脑在会议室、办公室、接待区来回移动无论接入哪个交换机端口交换机识别到该 MAC 地址后都会自动把它分到指定的 VLAN 中。这种方式的优点是用户移动时不需要改端口配置缺点是 MAC 地址数量庞大时配置工作量很大而且用户可以修改网卡 MAC 地址存在仿冒风险不适合对安全性要求极高的场景。3.3 基于 IP 子网的 VLAN 划分基于 IP 子网的 VLAN 划分是根据数据帧中的源 IP 地址或 IP 子网来划分 VLAN。终端所在的 IP 网段决定了它属于哪个 VLAN如果 PC 改了 IP 地址它所属的 VLAN 也可能变化。这种方式适合用户频繁更换接入位置、但又希望保持同一网段的情况。不过它的局限也很明显如果同一个子网的设备分散在不同交换机端口会让交换机 MAC 地址表变复杂配置逻辑需要更细致的规划排错难度也会明显上升。3.4 基于协议的 VLAN 划分基于协议的 VLAN 划分是按照数据帧的协议类型例如 IPv4、IPv6、IPX来划分 VLAN。这种划分方式多见于多协议共存的复杂网络例如同时跑 IPv4 和 IPv6 业务、希望不同协议走不同虚拟网络的环境。在实际工程项目和软考网络工程师考试中这类划分方式出现频率相对较低了解即可。3.5 各划分方式对比划分方式配置复杂度适用场景安全性基于端口低绝大多数办公网、车间网一般可配合端口安全基于 MAC中终端移动频繁的区域中MAC 可仿冒基于 IP 子网中终端 IP 规划明确、移动较多中基于协议高多协议并存环境高但实现复杂在实际项目中90% 以上的场景都使用基于端口的 VLAN 划分其他方式更像是在特殊需求下进行的“加分项”。网络工程师备考时可以多理解原理和配置命令工作后优先从基于端口的方式入手。4. 环境准备与实验拓扑规划4.1 使用 eNSP 模拟器完成实验eNSP 是华为官方推出的网络模拟器允许我们在个人电脑上模拟交换机、路由器、PC 等设备用来做 VLAN 配置、路由协议、ACL 过滤等实验非常方便。零基础学习网络工程师如果没有真机条件用 eNSP 练熟命令是性价比最高的路线。本文实验以 eNSP 为例核心命令和思路同样适用于华为真机。不同系列的交换机在命令上略有差异但 VLAN 部分基本一致。4.2 实验拓扑我们搭建一个经典的双交换机场景两台交换机LSW1 和 LSW2。终端设备PC1、PC2 属于 VLAN 10PC3、PC4 属于 VLAN 20。LSW1 与 LSW2 之间使用 GE 0/0/1 和 GE 0/0/2 两个端口作为 Trunk 互联链路。拓扑连接关系PC1 --- LSW1 GE0/0/1 PC2 --- LSW1 GE0/0/2 PC3 --- LSW2 GE0/0/3 PC4 --- LSW2 GE0/0/4 LSW1 GE0/0/24 --- LSW2 GE0/0/244.3 IP 地址规划设备VLANIP 地址子网掩码网关PC1VLAN 10192.168.10.1255.255.255.0192.168.10.254PC2VLAN 10192.168.10.2255.255.255.0192.168.10.254PC3VLAN 20192.168.20.1255.255.255.0192.168.20.254PC4VLAN 20192.168.20.2255.255.255.0192.168.20.254这里先不配置网关因为网关属于 VLAN 间路由的内容我们在第 6 章单独实现。5. VLAN 基本配置实战双交换机场景5.1 在 LSW1 上创建 VLAN登录 LSW1进入系统视图创建 VLAN 10 和 VLAN 20。system-view sysname LSW1 vlan batch 10 20这里用vlan batch命令可以一次性创建多个 VLAN。创建完后可以用以下命令查看display vlan brief预期输出中会看到 VLAN 10 和 VLAN 20 的状态为 up端口列表为空。5.2 配置 LSW1 的 Access 端口把连接 PC1 的端口列入 VLAN 10把连接 PC2 的端口也列入 VLAN 10。interface gigabitethernet 0/0/1 port link-type access port default vlan 10 quit interface gigabitethernet 0/0/2 port link-type access port default vlan 10 quit这里解释两个命令port link-type access把端口模式设为 Access。port default vlan 10把该端口的 PVID 设置为 10同时让该端口成为 VLAN 10 的成员。5.3 配置 LSW1 的 Trunk 端口把连接 LSW2 的互联端口配置为 Trunk并允许 VLAN 10 和 VLAN 20 通过。interface gigabitethernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit很多初学者会漏掉port trunk allow-pass vlan这一步。华为交换机的 Trunk 口默认只允许 VLAN 1 通过如果创建了 VLAN 10 和 VLAN 20但没有在 Trunk 口放行数据帧依然过不去。建议在配置 Trunk 时养成习惯明确指定放行的 VLAN 列表。5.4 在 LSW2 上完成相同配置登录 LSW2创建 VLAN配置 Access 端口和 Trunk 端口。system-view sysname LSW2 vlan batch 10 20 quit interface gigabitethernet 0/0/3 port link-type access port default vlan 10 quit interface gigabitethernet 0/0/4 port link-type access port default vlan 20 quit interface gigabitethernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit注意这里我故意把 PC3 划入 VLAN 10、PC4 划入 VLAN 20以模拟不同 VLAN 终端混接在交换机不同端口的情况。5.5 配置 PC 的 IP 地址并验证在 eNSP 中双击 PC1配置 IP 地址 192.168.10.1掩码 255.255.255.0。依次配置 PC2、PC3、PC4。验证同 VLAN 通信PC1 ping PC2应该可以 ping 通。PC3 属于 VLAN 10但 IP 地址是 192.168.20.1跨网段的通信不是当前章节讨论的目标所以这里不把 PC3 ping PC1 作为验证标准。验证命令display vlan brief在 LSW1 上执行后预期看到VID Type Status Ports 10 common up GE0/0/1 GE0/0/2 GE0/0/24 20 common up GE0/0/24这里的 Port 列表是实时变化的如果 PC 在线且发送过数据端口状态也会有所体现。还可以使用display port vlan查看端口模式和 PVID。如果需要查看 MAC 地址表使用display mac-address这会显示交换机学习到的 MAC 地址以及它们对应的 VLAN 和端口是排查二层通信问题的利器。5.6 实验后的静态理解通过以上配置我们已经把物理网络划分成了两个广播域VLAN 10 的广播帧只会到达 PC1、PC2 以及 Trunk 链路不会到达 PC4。VLAN 20 的广播帧只在 VLAN 20 内部传播。如果此时 PC4 想 ping PC1结果是 ping 不通。原因是二层隔离PC4 发出的 ARP 请求在 VLAN 20 内广播无法到达 VLAN 10 的 PC1PC4 也就拿不到 PC1 的 MAC 地址无法完成二层通信。这就是 VLAN 间路由要解决的场景。6. VLAN 间通信单臂路由与三层交换机6.1 为什么 VLAN 间不能直接通信VLAN 之间的隔离是基于二层的VLAN 10 的广播帧不会出现在 VLAN 20 中。如果两个 VLAN 中的设备要进行通信必须经过三层设备路由器或三层交换机进行路由转发。一台 PC 要访问另一个网段时会先检查目标 IP 是否和自己同一个网段如果不是就会把数据帧发送给自己的网关由网关完成下一跳转发。所以 VLAN 间通信方案的核心就是给每个 VLAN 提供一个网关地址并让三层设备知道如何路由每个 VLAN 的子网。6.2 单臂路由方案单臂路由Router on a Stick是指只使用路由器的一个物理接口通过划分子接口的方式终结多个 VLAN 的网关流量。配置思路交换机上把连接路由器的端口配置为 Trunk。路由器上创建多个子接口如 GigabitEthernet0/0/0.10 和 GigabitEthernet0/0/0.20。每个子接口封装 802.1Q Tag并指定对应的 VLAN ID。为每个子接口配置 IP 地址作为该 VLAN 的网关。华为路由器子接口配置如下interface gigabitethernet 0/0/0 quit interface gigabitethernet 0/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enable quit interface gigabitethernet 0/0/0.20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 arp broadcast enable quit需要注意华为路由器子接口默认不处理广播报文需要开启arp broadcast enable否则终端可能无法正常解析网关 MAC 地址。单臂路由的优点是配置简单、不需要额外购买三层交换机缺点是所有跨 VLAN 流量都从一条物理链路上走带宽压力集中适合小型网络或实验环境。6.3 三层交换机 VLANIF 方案在生产环境和企业网中更推荐使用三层交换机。三层交换机在硬件层面实现路由转发性能远高于路由器单臂路由方案。在 eNSP 中我们可以直接在 LSW1 上开启三层转发创建 VLANIF 接口作为网关。LSW1 配置如下interface vlanif 10 ip address 192.168.10.254 255.255.255.0 quit interface vlanif 20 ip address 192.168.20.254 255.255.255.0 quit对于三层交换机还需要确保 VLAN 10 和 VLAN 20 的所有端口都已经正确划分并且连接终端的端口位于对应 VLAN 中。如果配置了 VLANIF 但 VLAN 内没有物理端口网关也无法正常工作。配置完成后PC1 的网关指向 192.168.10.254PC4 的网关指向 192.168.20.254。此时 PC1 ping PC4就能通过三层交换机完成跨 VLAN 通信。在真实网络中三层交换机上还可能需要配置路由协议或静态路由把 VLAN 子网路由到上层网络。本文实验场景中LSW1 作为核心网关终端直接使用三层交换机 VLANIF 地址上网即可。6.4 完整 VLAN 间通信实验流程如果你是在 eNSP 中从头做题建议按照下面的顺序配置在 LSW1 和 LSW2 上创建 VLAN 10、VLAN 20。配置所有终端接入端口为 Access划分到对应 VLAN。配置两台交换机互联端口为 Trunk放行 VLAN 10 和 VLAN 20。在 LSW1 上开启 VLANIF 接口并配置 IP。给 LSW1 与 LSW2 之间的链路放行所有需要的 VLAN。把 PC1、PC2 的网关指向 192.168.10.254。把 PC3、PC4 的网关指向 192.168.20.254。在 PC 上 ping 不同 VLAN 的地址验证三层互通。如果使用路由器单臂路由方案第 4 步改成在路由器上配置子接口并把交换机连接路由器的端口配置为 Trunk。7. 常见问题与排查思路7.1 高频问题汇总问题现象可能原因解决思路同 VLAN 内 PC 无法互通端口未加入 VLAN、端口类型错误、PC IP 不在同网段检查display vlan brief、display port vlan确认 IP 网段跨交换机同 VLAN 无法通信Trunk 口未放行该 VLAN检查display trunkport确认允许列表VLAN 间无法 ping 通没有三层网关、网关地址配置错误、VLANIF 未创建检查 PC 网关和交换机 VLANIF 地址接到交换机后网速很慢或不稳定端口协商异常、广播风暴、存在环路检查端口协商模式排查环路启用 STP配置了 Trunk 但所有 VLAN 都 ping 不通Trunk 口 PVID 设置不对或 allow-pass vlan 配置丢帧用display port vlan查看端口 PVID 和放行 VLAN7.2 排查二层连通性的标准步骤遇到 “PC 之间 ping 不通” 的问题不要乱抓瞎建议按以下顺序一步步排查确认 PC 的 IP 地址、掩码、网关配置正确。确认两台 PC 是否属于同一个 VLAN以及它们接入的交换机端口是否在同一个 VLAN。使用display vlan brief查看 VLAN 是否创建端口是否已经加入。使用display port vlan查看端口类型和 PVID。使用display mac-address查看交换机 MAC 表是否学习到了终端 MAC。检查中间链路端口的 Trunk 配置确认port trunk allow-pass vlan包含了需要的 VLAN。使用ping逐步测试网关、同 VLAN 其他主机、跨 VLAN 网关。7.3 几个新手容易犯的错误第一个高频错误是只创建了 VLAN但没有把端口加进去。很多新手在交换机上执行vlan batch 10后就直接把 PC 接上去以为有了 VLAN 就能用了结果端口还没加入 VLAN 10自然无法互通。第二个高频错误是 Trunk 口允许列表不完整。配置 Trunk 后如果只设置了port link-type trunk默认放行 VLAN 1其他 VLAN 都不会通过。必须显式配置port trunk allow-pass vlan 10 20第三个高频错误是 PVID 概念混淆。Access 口上port default vlan和 Trunk 口上port trunk pvid vlan经常被搞混。Access 口的 PVID 就是该端口所属的 VLAN而 Trunk 口默认 PVID 是 1如果 Trunk 口的 PVID 被改成 10则从该 Trunk 口发送 VLAN 10 的数据帧时会被剥掉 Tag这可能让对端交换机误认为该帧属于默认 VLAN。7.4 华为交换机不同系列配置差异问题有朋友问“华为交换机划 VLAN 都是一样的吗”。从 VLAN 基础配置来看华为大多数交换机S5700、S6700、S12700 等的命令体系基本一致都是vlan、port link-type、port default vlan这一套。但不同系列可能在端口编号、默认端口模式、是否支持某些高级功能上存在差异。比如部分较老的 S2300 或 S3700 系列交换机端口默认工作方式和 S5700 略有不同云化的 CloudEngine 系列虽然也支持 VLAN 基础配置但更强调 VXLAN 等大二层技术。实际生产环境中一定要先查看设备的软件版本和使用手册不要拿 S5700 的命令直接往 CloudEngine 上敲。8. 最佳实践与工程建议8.1 VLAN 编号与命名规划在正式工程中VLAN ID 应该像 IP 地址规划一样提前设计避免后续混乱。这里给出一套常见的企业网规划思路VLAN ID 段用途示例1默认 VLAN建议只承载管理或预留VLAN 110~50业务部门 VLAN财务 VLAN 10研发 VLAN 20100~150服务器 / 数据中心服务器 VLAN 100200~250网络设备互联和管理管理 VLAN 200互联 VLAN 201命名上建议采用“业务含义 编号”的方式便于后期维护。例如vlan 10 name Finance quit vlan 20 name R_and_D quit这样当后续管理员用display vlan查看时一眼就能看出每个 VLAN 是给哪个业务用的。8.2 Trunk 口的严谨配置配置 Trunk 口时不要图省事直接放行所有 VLANport trunk allow-pass vlan all虽然这条命令在实验环境没问题但在生产环境中放行所有 VLAN 容易让未经规划的 VLAN 流量穿越核心链路增加排查难度和安全隐患。建议明确写出放行的 VLAN 列表并定期检查 Trunk 口的 allow-pass 配置。8.3 版本管理与配置备份无论是实验环境还是生产环境修改配置前都建议备份当前配置。华为交换机导出配置的命令是display current-configuration也可以把配置保存到设备存储介质中save保存配置后会提示输入文件名直接回车即可。真机上建议通过 FTP、SFTP 或 SSH 方式把配置文件备份到本地电脑。运维经验表明很多网络故障都是改配置后没有备份、回退不及时造成的。8.4 二层安全注意事项VLAN 虽然隔离了广播域但并不能完全防止二层攻击。在生产环境中建议配合以下安全特性DHCP Snooping防止用户私接 DHCP Server 下发非法地址。IPSGIP Source Guard基于 IP、MAC、VLAN、端口绑定防止 IP 欺骗。端口安全限制端口最大学习 MAC 地址数量防止 MAC 泛洪攻击。环路防护在所有接入交换机上开启 STP生成树协议防止环路导致广播风暴。对于正在备考软考网络工程师的朋友VLAN 的工作原理、802.1Q 帧格式、单臂路由、三层交换这些内容都是高频考点建议多做 eNSP 实验加深理解而不要死记硬背命令。9. 总结VLAN 学习路线与下一步现在一起回顾整篇文章的关键内容VLAN 把物理局域网划分成多个逻辑广播域解决广播、安全和灵活管理问题。IEEE 802.1Q 标签通过 4 字节字段标识 VLAN ID交换机依靠 Tag 完成跨设备转发。Access 端口连接终端Trunk 端口连接交换机PVID 是端口对无 Tag 帧打标签的依据。VLAN 划分方式有基于端口、基于 MAC、基于 IP 子网、基于协议实际项目以基于端口为主。VLAN 间通信依靠单臂路由或三层交换机 VLANIF。排查 VLAN 故障时按 PC 配置、VLAN 成员、Trunk 放行、MAC 表、路由网关的顺序逐层检查。VLAN 是网络工程师必须吃透的基础功。掌握本文内容之后下一步可以继续学习 VLAN 扩展技术例如 QinQ802.1Q in 802.1Q、VXLAN、VLAN 与 DHCP 中继的结合以及基于 VLAN 的 QoS 和 ACL 策略。如果你正在备考软考网络工程师建议把本文中的实验场景在 eNSP 中亲手敲一遍敲完后再自己改一改拓扑比如加一台路由器做单臂路由对比三层交换机方案。实验做得越多对网络工作原理的理解就越扎实。如果这篇文章对你有帮助可以收藏备用也可以分享给身边同样在学网络的朋友。有问题欢迎在评论区交流我看到后会尽量回复。
