如果你以为VLAN配置实验就是“创建两个VLAN把PC分进去ping不通就成功了”那这个实验你只做了一半。我这次带着验证广播域隔离、跨交换机同VLAN通信、VLAN间三层路由三个目标把企业网里最常见的VLAN配置场景完整搭了一遍。中间踩过的坑比预想多得多尤其是Trunk链路PVID和两端允许VLAN不一致这两个地方几乎每个新手都会撞上。这篇文章就把这次VLAN配置实验从拓扑设计、命令敲法、验证思路到故障复盘完整写下来适合正在学网络基础、准备做课程设计或打算参加网络认证的读者有经验的老手也可以直接跳到第3章和第5章看避坑记录。环境方面我用的是一台支持三层转发的企业级交换机模拟器命令行和市面上的主流设备基本一致你完全可以用同类工具跟着复现也可以把思路直接搬到实体机上。1. 这个VLAN实验到底在验证什么问题1.1 广播域扩大带来的现实麻烦在没有VLAN的二层网络里所有端口默认都在同一个广播域这相当于一个小区没有房门喇叭一响每家每户都必须停下来听。当PC1发出一个ARP广播交换机在VLAN1内泛洪所有接在同一台交换机上的终端都会收到并处理哪怕这个ARP请求和自己完全无关。网络规模小的时候问题不大可一旦接入设备到了几十上百台广播报文会持续占用终端CPU严重的还会形成广播风暴整个网络出现丢包甚至瘫痪。VLAN的核心作用就是在数据链路层把广播域切开。交换机会对每个VLAN维护独立的MAC地址表广播帧只在本VLAN内泛洪其他VLAN的端口根本收不到。这个机制听起来简单但实际配置里涉及Access口、Trunk口、802.1Q标签和三层网关每一个点都会出现“看起来配置了但效果不对”的情况。所以这个实验不是为了背命令而是把VLAN从创建、划分、跨设备透传到三层路由的完整流程走一遍让你真正理解VLAN为什么是这样工作的。1.2 实验拓扑和地址规划为了让实验覆盖关键场景我搭了一个两台交换机的拓扑。SW1作为汇聚交换机同时承担三层转发功能SW2作为接入交换机负责把终端设备接入网络。四台PC分别接在两台交换机的Access端口上SW1和SW2之间用一条物理链路相连链路两端都配置为Trunk。这样既能看到同VLAN跨交换机的通信也能验证不同VLAN之间的隔离与互通。设备接入端口端口模式所属VLANIP地址网关PC1SW1 Gi0/0/1AccessVLAN 10192.168.10.10/24192.168.10.1PC2SW2 Gi0/0/1AccessVLAN 10192.168.10.20/24192.168.10.1PC3SW1 Gi0/0/2AccessVLAN 20192.168.20.10/24192.168.20.1PC4SW2 Gi0/0/2AccessVLAN 20192.168.20.20/24192.168.20.1SW1和SW2之间用Gi0/0/3互连。SW1创建VLANIF 10和VLANIF 20地址分别设置为192.168.10.1/24和192.168.20.1/24作为两个VLAN的网关。这里有一个常见误区要提醒很多初学者会把网关配在接入交换机SW2上觉得“只要SW2有网关下面的PC就能跨VLAN通信”。但在标准园区网架构里网关一般放在汇聚或核心层接入交换机只需要把端口划到正确的VLAN再让Trunk把VLAN标签透传上去就够了。网关越往下放三层表项越分散排障越困难。实验选型时先把这个架构想明白后面配置才不会乱。2. 动手配置前的设备准备与VLAN划分逻辑2.1 先把交换机恢复到出厂状态模拟器里的交换机通常带有默认配置如果你做上一轮实验时创建过VLAN不清空就直接开始后面在看display vlan结果时会分不清哪些是新建的、哪些是残留的。我在做实验前习惯先执行reset saved-configuration reboot在提示是否保存配置时选择不保存。如果是实体交换机还要注意重启前有没有正在跑的业务模拟器环境就不用担心这个。重启完成后先执行display current-configuration确认当前配置里没有多余的VLAN和接口配置。很多问题的排查起点就是让环境足够干净。如果这一步偷懒后面排错的干扰项会成倍增加。我见过有人明明上一轮实验把VLAN 99遗留了下来结果做新实验时同一张物理拓扑上出现了莫名其妙的广播查了半小时才发现是旧配置没清干净。模拟器里清配置很简单真实设备上清配置之前务必确认业务影响但在实验室场景里干净的起点永远比省几秒钟命令有价值。2.2 创建VLAN后Access端口为什么这么选恢复出厂后打开系统视图批量创建VLANsystem-view vlan batch 10 20用vlan batch比一条条vlan 10、vlan 20更高效而且写错了能立刻被发现。创建完可以用display vlan看一眼这时的VLAN 10和20状态是down因为还没有端口绑定。接下来把连接PC的端口配置为Access模式。以SW1的Gi0/0/1为例interface GigabitEthernet0/0/1 port link-type access port default vlan 10为什么终端接入要用Access而不是Trunk因为PC网卡不会主动给数据帧打802.1Q标签Access口在入方向会打上端口PVID对应的标签出方向再把标签剥掉终端看到的是普通以太网帧网卡完全不需要感知VLAN的存在。Trunk口则要保留标签来区分多个VLAN如果直接用Trunk接PC网卡将很难正确处理带Tag的帧体验会非常奇怪。有个特别容易漏的地方只配port link-type access但忘记配置port default vlan。表面上看命令行没报错可这个端口实际上还属于VLAN1PC怎么都进不了VLAN10。我见过不少同学在这里卡住display vlan一看端口归属完全不对。可以这么理解Access口在有多个VLAN的交换机里必须明确告诉它“你服务哪一个VLAN”只改模式不指定身份它就默认待在VLAN1里。再补充一个底层原理交换机的内部转发全程都带着VLAN标签Access口只是边界。它接收无标签帧时打上端口PVID发送时把标签剥掉。所以port default vlan 10这条命令本质上是在设置端口的PVID也同时告诉交换机这个端口属于VLAN10。理解了这一点后面Trunk口的PVID问题会好懂很多。3. 跨交换机Trunk链路配置顺序和隐藏的坑3.1 一条物理链路上要传多个VLAN标签就是门牌号SW1和SW2之间只有一根网线但VLAN10和VLAN20的帧都要从这根线上过。如果不加任何标记接收端根本分不清某一个帧属于哪个VLAN。802.1Q的做法是在以太网帧头里插入一个4字节的Tag里面包含12位的VLAN ID。Trunk口就是专门处理这种带标签帧的端口它允许多个VLAN的帧通过除了特殊配置的PVID VLAN以外这些帧都会保留802.1Q标签。如果你把两台交换机之间的端口配成Access那这条链路只能承载一个VLAN。假设把SW1的Gi0/0/3和SW2的Gi0/0/3都划到VLAN10PC1和PC2能通但PC3和PC4作为VLAN20的设备跨交换机一定不通因为Access口会直接把非本VLAN的流量丢弃或剥掉标签VLAN20的信息过不去。所以跨交换机多VLAN互联必须用Trunk这是实验里第一个反直觉的点一根物理链路完全可以承载多个业务关键不是加线而是加标签。3.2 Trunk口的正确配置顺序在SW1和SW2上Gi0/0/3都要做同样配置interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 10 20配置顺序有讲究。先把port link-type trunk写好再执行port trunk allow-pass vlan 10 20。如果你先在Access模式下敲allow命令多数设备会直接提示错误如果先配置allow再改链路类型之前设的allow列表可能会被清掉。第一次做实验时我就犯过这种低级错误之后每次都是先改链路类型再配置允许VLAN。配置完成后用display interface GigabitEthernet0/0/3确认。你需要看到两个关键信息端口类型是trunk允许通过的VLAN列表里包含10和20。有些设备默认只允许VLAN1通过如果不执行allow-pass跨交换机的VLAN10流量根本过不去但你在display vlan里看VLAN10状态却可能是正常的。这就是典型的“配置看着没问题实际链路没有放行”。还要注意两端配置的一致性。Trunk链路是双向的只在一端放行没有意义必须两端都允许相同的VLAN集合。我在实验里故意只配置了SW1的Trunk忘了配SW2结果从PC2去ping PC1不通反过来从PC1到PC2却正常。这种单向通的现象非常有迷惑性排查时一定要把两端都看一遍。3.3 PVID这一个参数能坑掉你半个小时Trunk口也有PVID默认值是1。它的作用是在收到无标签帧时给帧贴一个标签相当于给没有门牌的流量分配一个默认VLAN。在Trunk链路上PVID对应的VLAN帧往往被作为native VLAN处理也就是不携带802.1Q标签这样设计是为了兼容不支持VLAN标记的老旧设备。我这次实验踩过一个很典型的坑某次在SW2上把Gi0/0/3的PVID误改成了20虽然带标签的VLAN10和VLAN20转发看起来没有立刻异常但两台交换机之间一旦出现无标签帧SW2会直接把它当成VLAN20来处理和预期的VLAN归属完全不一致。display vlan根本看不出问题只有display interface GigabitEthernet0/0/3才能看到PVID已经变了。我最后是要求自己每次实验前把所有trunk口的PVID都核对一遍才把这个问题揪出来。排错时一定要养成一个习惯凡是涉及Trunk链路先看两端PVID是否一致再看allow列表是否一致最后查Access端口归属。很多人遇到VLAN不通就反复改Access配置其实问题往往更隐蔽。PVID这个参数平时不起眼一旦被改错产生的症状非常隐蔽而且它不会在display current-configuration的最大路里一眼暴露必须看接口详情才能发现。4. VLAN间的路由打通网关与VLANIF4.1 不同VLAN为什么不能二层互通VLAN隔离广播域的同时把不同VLAN的终端也隔开了。交换机会严格按照VLAN标签转发帧同一VLAN的帧可以由交换机直接送到目标端口不同VLAN之间的帧不会出现在对方的转发端口集合里。无论你在同一台交换机上还是跨交换机只要VLAN标签不同二层就无法直接互通。这里需要三层设备介入把每个VLAN当成一个独立网段处理负责路由转发。打个比方VLAN10和VLAN20是同一栋楼的两层二层交换机是楼层里的通道可以在同一楼层自由走动但要从10层去20层必须走到楼梯间这个楼梯间就是三层网关。家用环境里这个网关常常是路由器而在企业网络里通常是把网关配置在三层交换机上也就是VLANIF接口。4.2 VLANIF配置和一次完整转发的拆解在三层交换机SW1上配置VLANIF接口interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0配置完成后用display ip interface brief确认两个接口的IP和状态。VLANIF的本质是交换机能像路由器一样为每个VLAN维护一个逻辑三层接口这个逻辑接口的IP就是这个VLAN内所有终端的网关地址。接下来看一下PC1访问PC3时发生了什么。PC1发现目的IP192.168.20.10不在自己的网段于是把报文交给网关192.168.10.1先通过ARP解析出VLANIF10的MAC地址。报文到达SW1后SW1查路由表发现192.168.20.0/24是本地直连网段出接口是Vlanif20于是会把目的MAC重写为PC3的MAC。如果ARP缓存里还没有PC3的MACVLANIF20会先在VLAN20内发起ARP解析拿到之后再构造二层帧并带上VLAN20标签从对应Access口发出。回程过程完全对称。这个过程中SW2不需要配置任何VLANIF它只是把带VLAN20标签的帧从Trunk口透传下来再在Access口剥掉标签给PC3。很多人在做了单臂路由实验后会习惯性地给每台交换机都配上网关其实接入交换机配了VLANIF反而容易出现路由混乱。网关放在哪里是一个网络架构问题不是所有交换机都要配三层接口。实验里最大的收获之一就是把这个“谁该配网关”的逻辑理清了。5. 验证这套VLAN实验环境的方式与排错路径5.1 用ping和display命令做验收配置完成后先用最直观的ping做连通性验收。PC1去ping PC2应该通这验证的是VLAN10跨交换机经过Trunk链路的二层通信。PC1去ping PC4也应该通这验证的是VLAN10和VLAN20之间的三层路由。PC1去ping PC3属于同一台交换机上的跨VLAN通信同样验证路由功能。ping之前最好先确保各PC的IP、掩码和网关都填对了很多人在图形界面上把网关漏了导致跨VLAN怎么都ping不通。如果网关漏了同VLAN通信正常但一跨VLAN就超时这是一个非常典型的信号。然后看一下交换机侧的表项display vlan 10 display vlan 20 display interface GigabitEthernet0/0/3 display mac-address display arpdisplay vlan看端口归属display interface看Trunk的PVID和允许VLANdisplay mac-address看交换机针对不同VLAN维护的二层转发表display arp看三层设备解析到的主机IP与MAC映射。这几个命令配合使用基本能判断问题出在哪一层。我建议你故意做几次破坏性验证把PC2所在端口临时划到VLAN20PC1再去ping PC2会变成跨VLAN通信如果网关配置没问题依然能通这正好能帮助你理解二层隔离和三层的区别。再把Trunk里去掉VLAN10PC1就彻底ping不通PC2这个现象能直观看到Trunk allow列表的作用。实验不只是为了看到“通”而是为了看到“不同条件下为什么会通、为什么不不通”破坏性验证比照抄命令有意义得多。5.2 典型故障特征与排查顺序排错时不要一上来就怀疑配置先按顺序排除。我把这次实验里真正遇到过的现象整理成了一张表现象可能原因排查手段同VLAN跨交换机不通Access端口VLAN归属不一致、Trunk allow遗漏、物理链路未updisplay vlan、display interface单方向通、反方向不通两端Trunk allow列表不一致、PC防火墙拦截回包对比两端Trunk配置、检查PC防火墙跨VLAN不通但同VLAN正常PC网关没写或写错、VLANIF未创建或IP错误display ip interface brief、检查网卡时通时不通STP收敛、端口协商异常、线路接触不良等待端口变forwarding、display stp这些都是我在这类实验里真实见过的现象。尤其单向通这个问题很多人会反复改Access端口配置其实问题往往在Trunk的allow列表。比如SW1允许了VLAN10没允许VLAN20SW2却允许了VLAN20没允许VLAN10两边发出去的帧被对端丢弃网络就会表现出“从PC1能ping通PC2但从PC2 ping PC1不通”之类的单向问题。另外STP也很容易迷惑新手。配置完成后马上ping不通过十几秒又通了很可能端口正在经历阻塞到转发的收敛过程。在模拟器或旧交换机上尤其常见碰到这种情况先别急着改配置等几秒再说也可以用display stp查看端口状态。如果反复出现再看是不是连接终端的端口没有配置成边缘端口这个在企业网里是常规操作。6. 把VLAN配置实验向真实网络场景延伸6.1 从静态VLAN走向动态VLAN手动把端口划到指定VLAN也就是静态VLAN适合几十台终端的场景。但企业园区网动不动几百上千台PC如果员工换办公室、换交换机端口管理员就要到处改端口配置维护成本非常高。真实环境里更多会用动态VLAN终端接入交换机后通过802.1X认证认证服务器返回这个用户或这个终端应该属于哪个VLAN交换机再动态把端口划入对应VLAN。这个实验你可以自己搭一台AAA服务器一台支持802.1X的交换机PC配置认证客户端。认证通过前端口可能停在某个默认VLAN认证通过后服务器下发新的VLAN号端口自动切换。做完你会理解VLAN配置不只是设备端的命令问题还牵扯账号体系和认证策略这也解释了为什么大型网络里接入层配置通常很“薄”真正的策略都由后台下发。本身这个方向已经算进阶但它是从静态VLAN走向真实网络架构的必由路径。6.2 混合端口、端口隔离与更进阶的方向除了Access和标准Trunk我实验用的设备还支持Hybrid模式它允许一个端口同时放行多个VLAN并且可以单独指定哪些VLAN在出方向剥标签。实际网络中Hybrid用得不少典型场景是同一个物理接口既要承载带Tag的业务流量又要以无标签方式承载管理或语音流量。实验里把Trunk和Access玩熟后建议再配一遍Hybrid原理不会复杂但会让你看到端口VLAN模式的灵活性。另一个值得做的小实验是端口隔离。同一VLAN里的两台PC在默认情况下是可以互相访问的但某些场景希望同VLAN内的终端也互不可见只允许它们访问网关和服务器。端口隔离可以在不新增VLAN的情况下实现二层隔离适合用在宿舍网或公共接入环境。再往上做还可以把VLAN和ACL结合为不同业务VLAN配置不同的访问控制策略这个方向已经接近真实网络的防火墙和流量策略设计。最后说点实在的话。我每次做VLAN实验都会故意把配置改错再查一遍让错误现象自己暴露出来。只照着教程敲一遍命令能记住的永远是步骤理解不了为什么出现问题。PVID、Trunk allow列表、网关位置这三个点是VLAN配置中最容易让新手反复折腾的地方也是排查思路最能体现经验的地方。把这组实验吃透后面再看三层交换、无线网络VLAN规划甚至园区网架构都会顺利很多。
