我帮一家做电商代运营的小公司调试网络时遇到过一件挺折腾的事办公区明明只有四十多台电脑可一到下午订单高峰期整个办公室的网络就卡成幻灯片打印机能连上却经常丢任务连财务那边访问服务器都时不时掉线。后来排查了一圈才发现问题不在带宽也不在路由器性能而是所有人挤在同一个广播域里ARP广播、未知单播泛洪全搅在一起再加上个别电脑中了蠕虫类脚本在疯狂发探测包直接把二层网络拖垮了。那次的解决办法就是重新梳理VLAN规划把所有业务按部门拆开再配合三层交换机做网关隔离广播域。正是这个经历让我后来认认真真把VLAN相关的知识从头到尾过了一遍做了一个完整的VLAN综合实验。这篇内容就是我做完整个综合实验后的记录和复盘涵盖VLAN底层原理、Access和Trunk口的正确使用、跨交换机VLAN通信、Native VLAN的坑、三层网关和DHCP按网段分配地址以及我在实验里反复踩过的几个故障。适合刚学完VLAN基础、想动手做综合实验的网络初学者也适合平时工作中要维护小中型局域网、想系统梳理VLAN知识的运维朋友。后面说的每个步骤和排错思路都是我自己在实验环境里实际跑过的直接照着做基本都能复现。1. 先把实验目的说透这个综合实验到底在模拟什么做任何网络实验之前我都会先问一句这个拓扑是要解决什么现实问题如果只是照着资料敲一遍命令实验做完第二天基本就忘光了。所以这次VLAN综合实验我先设定了一个具体的业务背景所有配置都围绕这个背景展开。1.1 一个小型办公网的典型痛点假设现在有一家小型公司行政、技术、财务三个部门在同一层楼办公共用一台服务器存放共享资料另外还有一套监控系统和若干台打印机。如果公司直接把所有电脑、打印机、服务器全部接在同一台交换机上不做任何VLAN隔离会出现下面这些现象广播风暴被无限放大每台设备发出的ARP广播会被交换机泛洪到所有端口设备越多广播帧占比越高有效带宽被大量挤占。安全问题突出财务电脑和普通办公电脑在同一广播域内任何一台机器被入侵后都可以直接嗅探或扫描到其他机器攻击面非常大。故障定位困难如果某个端口下面接的设备出现了环路或者异常流量整片网络都会受到牵连根本分不清是哪一类业务出了问题。VLANVirtual Local Area Network核心作用就是把一个物理交换机划分成多个逻辑上的独立广播域不同VLAN之间默认二层隔离广播帧不会跨VLAN传递这样既缩小了广播域也提升了安全性和管理效率。1.2 本次实验的拓扑与业务划分我搭的实验环境是这样设计的一台三层交换机作为核心两台二层交换机作为接入设备分别命名为SW-Core、SW-A和SW-B模拟不同办公区域的接入。终端设备包括PC、服务器、打印机和管理终端用来模拟行政、技术、财务三类业务以及一个需要被隔离的网络管理网段。业务规划如下表所示VLAN IDVLAN名称用途网段网关10ADMIN行政部门办公192.168.10.0/24192.168.10.120TECH技术部门办公192.168.20.0/24192.168.20.130FIN财务部门办公192.168.30.0/24192.168.30.140SERVER服务器区域192.168.40.0/24192.168.40.1100MGMT设备管理192.168.100.0/24192.168.100.1这家公司里行政电脑接在SW-A上技术和财务电脑接在SW-B上服务器直连核心交换机打印机放在行政区域管理终端接在核心交换机的独立管理口。这个拓扑我觉得是很有代表性的它涵盖了单交换机下的VLAN划分、跨交换机的Trunk链路、核心三层交换机做网关、服务器区域的独立VLAN隔离以及管理网段的划分几乎把VLAN综合实验里该有的知识点都串起来了。2. 动手配置前先把VLAN的底层机制吃透很多人配置VLAN时容易出错原因不是命令不熟而是没搞懂交换机在端口上到底对数据帧做了什么操作。我建议在做实验前先把802.1Q的封装机制和端口模式彻底搞清楚后面排错会省很多力气。2.1 802.1Q标签到底改了什么标准的以太网帧包含目标MAC6字节、源MAC6字节、类型/长度2字节和数据部分。当帧在Trunk链路上传输时交换机会在源MAC地址之后插入4字节的802.1Q Tag结构大致是TPID2字节固定为 0x8100表示这是一个带VLAN Tag的帧 TCI2字节 - PCP3bit优先级0~7 - DEI1bit丢弃指示通常为0 - VID12bitVLAN编号范围0~4095可用编号是1~4094插入这个标签之后交换机就能识别这个数据帧属于哪个VLAN。如果帧不带标签交换机就会把它归入端口的默认VLANPVID来处理。这里要注意一点VLAN编号并非越大越好。VLAN 1是默认VLAN很多交换机默认把所有端口都放在VLAN 1里Trunk口默认也会放行VLAN 1实际项目里建议不要用VLAN 1承载业务流量以免出现配置混淆。2.2 Access口和Trunk口的分工逻辑端口模式是VLAN配置里最基础也最关键的一环。我见过很多新手在Access和Trunk之间纠结其实只要记住它们的适用场景就不难选。Access口一般用来连接终端设备PC、打印机、服务器网卡。Access口只属于一个VLAN发送数据帧时不带标签接收数据帧时如果带标签通常会直接丢弃部分交换机也可以配置为接收并处理。Trunk口用来连接交换机与交换机、交换机与路由器或者在交换机与服务器绑定了多VLAN网卡时使用。Trunk口可以同时放行多个VLAN默认情况下数据帧在Trunk链路上会打上802.1Q标签。用一句话概括Access口是面向用户的负责去掉标签Trunk口是面向链路的负责传递带标签的帧。2.3 最容易踩坑的Native VLANNative VLAN本征VLAN是实验里最容易出问题的地方。Trunk口一般会设置一个Native VLAN默认值为VLAN 1。在这个VLAN里传输的数据帧不会打标签其余VLAN的数据帧都要打标签。如果Trunk链路两端的Native VLAN配置不一致交换机收到的无标签帧会被判定到不同的VLAN就会出现一种很诡异的故障VLAN 10本来配置得好好的但两端就是ping不通查接口状态又都是Up流量看起来也通了一部分实际上数据已经走到“错误的VLAN”里了。我在实验里专门把两端的Native VLAN从默认值改成VLAN 100管理VLAN这样既避免了VLAN 1的不确定性也方便后续管理后面会详细说配置方法。3. 设备选型与初始配置的思考过程做实验之前要先确认自己手里有什么设备。如果条件允许直接用真实交换机做实验当然最好没有真实设备的话模拟器也能完成几乎所有VLAN功能验证。我这次实验用的是三台普通千兆交换机其中核心交换机支持三层功能也就是说支持VLAN接口的IP地址配置。3.1 三层交换机、路由器与模拟器怎么选做VLAN间互通时有三个常见方案单臂路由、三层交换机SVI、用路由器接多个物理接口。三种方案各有各的场景方案优点缺点适用场景单臂路由成本低配置相对简单所有跨VLAN流量挤在一个物理接口容易成瓶颈实验室、小型网络三层交换机SVI性能高VLAN间转发由硬件完成扩展性好设备价格比普通二层交换机高企业局域网主流方案多物理接口路由隔离彻底没有Trunk依赖接口消耗大扩展性差接口数量很少的特殊场景我这次选择三层交换机SVI方案因为这最接近实际企业网络的做法。另外补充一点模拟器里的VLAN实验和真机有细微差别比如端口默认状态、链路协商速度、部分模拟器对Native VLAN的处理不够严谨等所以在模拟器里跑通后有条件的话要用真机再做一遍验证。3.2 物理链路连接与规划表接线方式很简单核心交换机SW-Core的G0/0/1口接SW-A的G0/0/1口SW-Core的G0/0/2口接SW-B的G0/0/2口这两个口都要配置成Trunk口。PC、打印机、服务器等终端设备接到各接入交换机的普通端口上。我建议在配置之前先把规划表画出来写清楚哪个端口属于哪个VLAN这样可以避免配置到一半忘了哪些端口已经分配过。下面是我实验用的接入端口规划参考交换机端口范围VLAN用途SW-AG0/0/1Trunk连接核心交换机SW-AG0/0/2-G0/0/10VLAN 10行政办公终端SW-AG0/0/11-G0/0/12VLAN 40打印机特殊情况下需要跨VLAN共享可后续做ACLSW-BG0/0/1Trunk连接核心交换机SW-BG0/0/2-G0/0/10VLAN 20技术办公终端SW-BG0/0/11-G0/0/20VLAN 30财务办公终端这里提一个我在项目中积累的小经验不要把打印机放在某个部门VLAN里除非你确定它只给那个部门用。现实里打印机往往是多个部门共用的最简单的做法是给打印机单独划一个VLAN再在核心交换机上配置跨网段访问规则。虽说这会让配置复杂一点但比事后因为权限问题改来改去要强得多。4. 核心配置实操从创建VLAN到跨交换机通信下面进入实际操作环节。我用的命令行风格是通用的交换机配置方式不同品牌命令会略有差异但思路完全一样换成你手头的设备后只需要调整关键词。4.1 第一步在三台交换机上创建VLAN先在核心交换机上创建所有VLAN# 进入配置模式 system-view # 批量创建VLAN vlan batch 10 20 30 40 100接入交换机SW-A只需要VLAN 10和VLAN 100system-view vlan batch 10 100接入交换机SW-B需要VLAN 20、30和100system-view vlan batch 20 30 100创建VLAN的操作本身不难难的是想清楚每台设备需要哪些VLAN。接入交换机只要包含通过它转发业务的VLAN就行了没必要复制核心交换机的全部VLAN配置得越简洁越好排查。4.2 第二步配置Access口并验证终端互通在SW-A上把行政办公终端端口加入VLAN 10interface GigabitEthernet0/0/2 port link-type access port default vlan 10在SW-B上把技术部门和财务部门端口分别加入对应VLANinterface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/11 port link-type access port default vlan 30配置完成后同一台交换机下同VLAN的终端已经可以互相访问跨VLAN的终端则默认不通。这时候可以用两个PC做一次ping测试把两台PC分别划到VLAN 10和VLAN 20设置好同网段IP后发现它们无法互通这就是VLAN隔离起了作用符合预期。4.3 第三步配置Trunk链路并处理Native VLAN这是整个实验里最需要小心的部分。核心交换机连接SW-A的端口配置如下interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 100 port trunk pvid vlan 100SW-A连接核心交换机的端口配置同样处理interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 100 port trunk pvid vlan 100对SW-B只需要把允许通过的VLAN改成20、30和100interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20 30 100 port trunk pvid vlan 100配置Trunk时有三个细节特别容易出错我逐个说下两端允许通过的VLAN列表要一致。如果核心侧Trunk放行了VLAN 10而接入侧没放行那VLAN 10的帧到了Trunk口就会被丢弃接口虽然是Up的但业务完全不通。Native VLAN必须两端一致。我建议把Native VLAN从默认的VLAN 1改成VLAN 100这样Trunk链路上VLAN 100的帧不带标签其余VLAN带标签排查时只需看无标签帧逻辑更清晰。Trunk口默认放行所有VLAN出于安全考虑应该显式限制允许通过的VLAN范围。我在很多项目里遇到过因为Trunk口放行了不该放行的VLAN导致用户在网络里“串门”的情况。4.4 第四步配置核心交换机SVI网关要让不同VLAN之间能通信必须给VLAN配置三层接口也就是SVISwitch Virtual Interface。在核心交换机上执行interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quit interface Vlanif 30 ip address 192.168.30.1 255.255.255.0 quit interface Vlanif 40 ip address 192.168.40.1 255.255.255.0 quit interface Vlanif 100 ip address 192.168.100.1 255.255.255.0 quit4.5 第五步配置DHCP按VLAN分配地址手动配置IP做验证是可以的但综合实验最好把DHCP也加上这样终端一接上去就能拿到对应网段的地址更接近真实办公网的使用体验。我在核心交换机上配置DHCP服务# 使能DHCP服务 dhcp enable # 配置VLAN 10地址池排除网关地址 ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 223.5.5.5 excluded-ip-address 192.168.10.1 quit # 在VLAN10的三层接口下使能DHCP中继或全局选择地址池 interface Vlanif 10 dhcp select global quitVLAN 20、30、40同理。实验做完后可以让PC改成自动获取IP如果PC能正确拿到对应VLAN网段的地址且网关可ping通说明DHCP和VLAN的联动配置没有问题。补充一点关于DHCP的原理DHCP请求默认是广播帧而广播帧只在同一个广播域内传递。VLAN划分后各VLAN是独立广播域DHCP服务器如果不在同一个VLAN内就需要三层设备做DHCP中继或者像上面这样直接在核心交换机上给每个VLAN配置地址池。我这次用“每个VLAN接口选择global地址池”的方式属于最简洁的做法。5. 验证与排错实验做完不叫完能查清楚才算真会配置写完只是第一步真正考验功力的是验证和排错。下面这部分是我实验中最有价值的内容全是自己踩过的坑和总结的排查链路。5.1 验证链路畅通的标准操作流程实验做完后我从终端侧开始逐层验证每一步都有明确的目的查看端口状态确认终端所接端口处于Up状态没有因为VLAN配置冲突被异常阻塞。查看VLAN和Trunk信息在交换机上执行显示VLAN列表的命令确认端口确实被划入预期VLAN。终端IP地址检查如果使用DHCP先确认PC拿到的IP网段对不对如果PC拿到169.254.x.x这类地址说明DHCP请求没有到达DHCP服务器。ping网关终端能ping通自己的网关说明二层链路OK。ping跨网段地址终端能ping通其他VLAN的终端说明三层转发OK。我实验里还专门做了抓包验证。在Trunk端口上抓包时能看到VLAN 10和VLAN 20的数据帧都带着不同的VID标签而抓取VLAN 100Native VLAN的数据时帧上没有标签。这个细节看图特别直观建议有条件的人一定做一次抓包能大大加深对VLAN标签的理解。5.2 三个典型的VLAN故障排查实例我在反复测试中故意制造了几种故障场景下面记录一下完整的排查方法和命令。照着这个思路走大部分VLAN问题都能定位。故障一同VLAN终端ping不通但端口状态正常排查步骤先看终端IP和掩码确认两台PC确实在同一网段。在接入交换机上执行“查看端口VLAN”命令确认两台PC对应端口都划到了同一个VLAN。检查Trunk链路是否放行了该VLAN。用“查看MAC地址表”确认交换机是否正确学习了终端网卡的MAC地址。我模拟了一次SW-A上某端口忘记划入VLAN 10的场景结果就是两台PC在物理上连着同一台交换机却怎么都ping不通。原因很简单交换机不知道这个端口属于哪个VLAN帧被默认放到VLAN 1里处理和VLAN 10的广播域完全不互通。故障二跨交换机同VLAN终端不通接口状态正常这是最经典的Trunk配置错误场景。我把SW-A的Trunk口放行列表里的VLAN 10删掉模拟人为误操作。结果现象是两台都在VLAN 10里的PC接在SW-Core下的能通接在SW-A下的怎么都ping不通核心侧的设备。排查顺序先检查SW-A和SW-Core互联端口的Trunk信息确认allow-pass vlan列表里有VLAN 10。再对比两端Native VLAN是否一致。最后检查两端Trunk口的PVID。因为VLAN 10的帧在这个Trunk链路上是要带标签的如果某侧没放行这个VLAN交换机直接就把帧丢弃了检查端口流量时能看到有计数增长但数据进不来。故障三同VLAN能通跨VLAN不通网关也ping不通这个故障的原因往往不在VLAN本身而在三层接口或路由。排查步骤先看终端网关配置是否对了很多实验里网关少配一位数字就全盘失败。到核心交换机上查看VLAN虚拟接口是否存在IP地址是否配置正确。确认终端所在接入交换机与核心之间的Trunk链路是否放行了对应该VLAN。如果VLAN接口没创建交换机对目标网段的数据包就没有路由直接丢包表现为网关不可达。我遇到过不止一次有人把VLAN创建了、端口也划了但忘了创建SVI接口这个时候物理链路全通跨VLAN却还是不通排查一圈最后发现三层接口没建非常典型。5.3 梳理一套自己的VLAN排错清单经过这个综合实验我整理了一份适合日常排查的清单分享给大家终端IP和网关是否匹配VLAN对应的网段是否规划正确终端所接端口是不是Access口是否划入正确VLANTrunk两端allow-pass vlan列表是否对称Trunk两端Native VLANPVID是否一致核心交换机上有没有创建对应VLAN的SVI接口Vlanif接口是否在正确VLAN下IP和掩码是否正确如果跨三层设备访问还需要检查路由方向、ACL放行策略排错时切忌一上来就东点一下西点一下。按照“终端→接入交换机→Trunk链路→核心交换机→三层网关→路由”这个顺序逐层推进绝大多数问题都能在十几分钟内定位。6. 实验做完后的几点体会与扩展建议整个VLAN综合实验做完我对VLAN的理解比单纯看书深了很多。以前总以为Access和Trunk只是端口模式的选择现在才真正理解它们背后对应的是“带标签帧”和“无标签帧”的处理逻辑。回到开头那个小公司的案例当时就是通过类似的VLAN划分把各部门隔开再在核心三层交换机上做好网关和基本安全策略广播域小了ARP广播数量锐减网络卡顿问题基本消失。几个实操体会想分享给后来的人第一VLAN划分不是越细越好。有些网络管理员喜欢每个功能都单独划一个VLAN结果Trunk链路上跑着一堆VLAN安全策略和路由配置都变得极其复杂。对小公司来说按部门或业务类型划分就足够了。第二管理VLAN要单列。把设备管理网段独立出来好处在于即使业务网络发生环路或广播风暴管理链路仍然可以通畅至少你能登进交换机做排查。我这次实验里专门把Native VLAN改成VLAN 100也是为了让管理流量不依赖默认VLAN 1。第三实验后的扩展方向可以考虑安全和冗余。比如在两个接入交换机之间增加链路聚合把Trunk做成链路聚合组提升带宽和可靠性也可以在核心交换机上配置ACL在VLAN间做访问控制比如财务VLAN只允许被特定管理终端访问其他VLAN一律拒绝这些都是在真实网络运维中必须考虑的点。VLAN实验看起来内容简单实际上涉及的细节非常多从数据帧格式到三层转发都有值得琢磨的地方。希望这篇记录能帮你减少一些试错的时间多做几组故障模拟真正把这套排查思路内化成自己的网络功底。