1. VLAN到底是什么从一次真实的网络故障说起前几年我帮某家公司处理过一个挺典型的网络问题。那家公司大概七八十台电脑全接在几台交换机上网络结构简单得不能再简单——所有设备都在同一个二层网络里。表面上看没什么问题但一到下午办公高峰期整个办公室的网络就卡得不像话打开内部网页要等半天视频会议直接没法用。更诡异的是财务部那边开个什么大文件传输行政部的同事连网页都刷不出来。排查了一圈带宽没人跑满下载路由器CPU也没爆最后把问题定位到了广播域上——整个办公网络就是一个巨大的广播域。七八十台设备加上打印机、无线AP、监控摄像头每台设备都会时不时发出广播报文ARP请求更是常见。这些二层广播报文会传遍整个交换网络所有交换机都得把广播帧从除接收端口外的所有端口转发出去。设备越多广播流量就越夸张再加上环路风险、安全隔离缺失一个小问题就能拖垮整张网。当时我给的方案就是给网络划分VLAN。VLAN的中文叫虚拟局域网全称是Virtual Local Area Network。它干的事情说白了就是把一台物理交换机切成若干个逻辑上互相隔离的“虚拟交换机”。同一个VLAN里的设备可以互相通信就像插在同一台交换机上一样不同VLAN之间的设备默认是互不相通的二层广播帧也不会跨VLAN传播。这样一来原本七八十台设备挤在一个广播域里的混乱局面被拆成了几个独立小网络广播流量立刻降了下来故障范围也大大缩小。很多刚接触网络的朋友对VLAN的第一印象是“让不同部门互相隔离”——这没错但VLAN能解决的问题远不止“隔开就不打架”这么简单。它更核心的价值在于让你能够在物理拓扑完全不变的前提下按业务需求灵活地重新组织网络。搬个工位不需要重新拉网线部门调整不需要动交换机安全策略可以逻辑下发这些才是VLAN真正让人离不开的原因。这篇文章我会从原理到实操把VLAN讲透。包括端口类型怎么选、Access和Trunk到底怎么配、VLAN间路由用什么方案、以及那些网上很少说但实际工作中一定会踩的坑。适合初学者入门也适合已经配过VLAN但想系统梳理一遍的同行。2. 核心机制拆解VLAN划分背后的几个关键细节2.1 VLAN不是把交换机“拆开”而是给帧打上标签先解决一个概念问题VLAN在物理上做了什么什么都没做。交换机的背板仍然是一个整体端口之间依然物理连通VLAN做的是逻辑隔离。它是通过修改以太网帧的格式来实现的——在标准的以太网帧里插入一个VLAN Tag标签这个标签里携带VLAN ID交换机看到这个ID就知道这个帧属于哪个VLAN从而决定往哪些端口转发。你可以把VLAN Tag理解为快递包裹上的分拣贴纸。物理道路还是那些道路但包裹贴了编号之后分拣中心就能按照编号把包裹送到对应的货架区。没有贴纸的普通包裹只能投到一个公共区域贴了不同编号的包裹会被送到各自的区域互不混淆。IEEE 802.1Q就是定义这个标签的标准。它在以太网帧的源MAC地址之后插入4字节的标签信息其中包括12 bit的VLAN ID字段。12 bit决定了VLAN ID的取值范围是0到4095其中0和4095保留实际可用的VLAN ID范围是1到4094。换句话说一台交换机最多支持划分4094个VLAN这个数字对绝大多数场景来说绰绰有余。但比较有意思的是VLAN Tag的插入并不是对所有端口都做。这就是下一小节要说的端口类型问题——VLAN能不能生效、怎么生效全看你端口类型设得对不对。2.2 三种端口类型Access、Trunk、Hybrid的选择逻辑交换机端口按照对VLAN Tag的处理方式主要分为三类Access口、Trunk口、Hybrid口。Access口是接入端口通常用来连接终端设备比如电脑、打印机、摄像头。Access口在接收数据帧时会给帧打上端口的PVID也就是默认VLAN ID对应的Tag在发送数据帧时会剥掉Tag以普通无标记帧的形式发送给终端。所以对终端设备来说它根本感知不到VLAN的存在完全透明。Trunk口则相反它专门用来连接交换机与交换机、交换机与路由器承载多个VLAN的流量。Trunk口允许哪些VLAN通过是在配置里显式指定的。默认情况下Trunk口发送带Tag的帧让对端交换机能够识别这个帧属于哪个VLAN。唯一的例外是VLAN 1通常默认所有端口都在VLAN 1里Trunk口在发送VLAN 1的帧时默认不带Tag——这个特性经常让初学者在配置时产生困惑后面我再说。Hybrid口是前两种的混合体。它既能像Access口那样发送不带Tag的帧也能像Trunk口那样发送带Tag的帧关键在于配置里定义“哪些VLAN的帧发送时保留Tag哪些剥掉”。国内某主流厂商的设备里Hybrid口用得非常多比较灵活的组网场景下甚至全程Hybrid也不奇怪。但在另外一些厂商设备里Hybrid的默认行为差异很大跨厂商对接的时候要特别小心。选型逻辑其实很简单拿不准的时候连接终端的用Access连接交换机/路由器的用Trunk需要特殊跨VLAN需求的再考虑Hybrid。这个“三选”规则适应了90%以上的场景剩下的10%才是需要动脑子设计的地方。2.3 VLAN的三种划分方式以及为什么端口划分最常见VLAN的划分方式大体有五种按端口划分、按MAC地址划分、按IP子网划分、按协议划分、按策略划分。实际项目里按端口划分的使用率占了绝大多数。按端口划分就是管理员手动把某个端口指定给某个VLAN。这种方式简单直观、容易理解、排障方便。一台交换机上有四十八个口前24个口划给VLAN 10后24个口划给VLAN 20配置一目了然。缺点是如果用户换了工位就得改端口配置。但对于办公网络来说通常每个工位的信息点都是固定的改配置的频率并不高完全可接受。按MAC地址划分是根据设备的MAC地址自动决定它属于哪个VLAN。这种方式的优点是可以支持用户在同一网络里漫游今天插在A办公室的端口明天插到B办公室的端口仍然属于原来的VLAN。缺点是MAC地址维护量大几百台设备一个个录进去非常烦而且有人改了网卡MAC或者换了新电脑策略就失效了。所以它一般只在特殊场景使用比如某些需要严格绑定终端的涉密网络。实际运维中我习惯把端口划分作为基础把MAC划分作为补充。前者解决“位置固定”的问题后者解决“身份优先”的问题。两者结合起来既稳定又灵活。至于按IP子网、按协议划分的玩法在高端园区网里偶尔会用到但大多数中小型网络里用不上了解即可。3. 从零配置VLAN一个真实项目的完整实操记录3.1 项目背景和VLAN规划思路某次我帮一家大概百人规模的某公司做网络改造。公司有三层办公楼每层各有一台接入交换机核心交换机在二层弱电间。原先网络就是一个大二层各种部门混在一起广播多、安全差、出了故障影响全楼。我做的第一步不是登录设备敲命令而是画拓扑、理需求。这步千万不能省略——VLAN规划得好不好直接决定后面运维顺不顺畅。需求拆解下来大概是这样的财务部数据敏感需要和办公区严格隔离有专用的网络打印机。办公区普通办公电脑需要上网和访问内部文件服务器。无线网络供访客和移动设备使用必须能和办公网络隔离。监控系统摄像头流量大、延时不敏感适合单独一个VLAN避免影响办公。服务器区文件服务器、打印服务器等集中部署所有VLAN都要能访问它们。基于这些要求我做了如下VLAN规划表VLAN ID名称用途网段网关VLAN 10Finance财务部办公192.168.10.0/24192.168.10.254VLAN 20Office普通办公区192.168.20.0/24192.168.20.254VLAN 30Wireless无线网络192.168.30.0/24192.168.30.254VLAN 40CCTV监控系统192.168.40.0/24192.168.40.254VLAN 50Server服务器区192.168.50.0/24192.168.50.254VLAN 60Manage设备管理192.168.60.0/24192.168.60.254VLAN ID从10开始是为了给后续扩容留空间。VLAN 1没有出现在这个表里虽然默认所有端口和配置都可以属于VLAN 1但生产环境里我从不把关键业务放在VLAN 1上这算是行业里的一个默认共识。VLAN 50留给服务器VLAN 60留给交换机管理不管业务怎么变这两个VLAN始终站在网络的底层支撑位。3.2 接入交换机的Access口配置过程规划定了之后开始实际操作。先配置接入交换机。以某厂商的常见命令行风格为例把一层办公区的交换机接上需要把1到10号端口划入财务VLAN。# 进入接口视图 system-view # 进入GigabitEthernet0/0/1接口 interface GigabitEthernet0/0/1 # 设置端口类型为Access port link-type access # 将端口加入VLAN 10 port default vlan 10 quit这里有三行命令每一行都值得解释一下。第一行port link-type access是设置端口类型为Access口。这个动作的意义在于告诉交换机这个口连接的是终端收到普通帧时打上VLAN Tag发送给终端时剥掉Tag。如果不设置端口类型很多设备默认端口是“动态”或者Hybrid行为和预期可能会不一致。第二行port default vlan 10是把端口的默认VLAN设为10。对Access口来说这个默认VLAN就是它唯一的归属VLAN。收到无标记帧时打上VLAN 10的Tag从Access口发出时将帧还原成无标记帧发给终端。如果端口比较多逐条敲接口太慢也可以用端口批量配置的功能。不同厂商的命令有差异但思路是相通的把一段连续的端口选出来然后统一设置链路类型和默认VLAN。比如要配置1到24号口全部划入VLAN 20就相当于把上面的命令重复应用到24个口上。配置完成后可以用display vlan或者类似命令查看当前VLAN的端口成员列表确认端口归属是否正确。这一步一定要做比事后出了问题再去翻配置高效得多。3.3 跨交换机VLAN通信Trunk链路的关键配置接入交换机和核心交换机之间的链路需要承载多个VLAN的流量显然不能再用Access口。这里必须把上联口配置成Trunk口并且指定允许哪些VLAN通过。核心交换机一侧和接入交换机一侧要配置对称这是铁律。如果两侧允许通过的VLAN列表不一致轻则VLAN不通重则出现部分VLAN能通、部分VLAN不通的诡异现象。# 接入交换机上联核心交换机的接口比如GigabitEthernet0/0/25 interface GigabitEthernet0/0/25 # 设置端口类型为Trunk port link-type trunk # 允许VLAN 10,20,30,40,50,60通过 port trunk allow-pass vlan 10 20 30 40 50 60 quit这里提到了“允许VLAN通过”但需要注意VLAN 1默认在所有端口上是处于“允许通过”状态的Trunk口默认也会放行VLAN 1而且发送时通常不带Tag。这是一个极其容易踩坑的细节。我在一个项目中遇到过这样的情况两台交换机之间明明只配了Trunk放行某几个VLAN但VLAN 1的广播流量却把两台交换机连接成了一个广播域只要有环路风暴就从VLAN 1里钻出来。所以配置Trunk的时候最好把不需要的VLAN从允许列表里去掉port trunk allow-pass vlan none port trunk allow-pass vlan 10 20 30 40 50 60这个操作很多人会忽略但从运维规范的角度明确“放行什么”比默认“放行全部”要安全得多。Trunk口上每多放行一个VLAN意味着这个VLAN的广播域就跨越了这段链路一次。不需要的VLAN不要放行不需要的Tag不要发送。3.4 VLAN间互访单臂路由还是三层交换VLAN划分成功后不同VLAN之间二层就隔离开了。但业务通常要求财务部能访问服务器办公区也能访问服务器这就涉及VLAN间路由。实现VLAN间路由有两种主流方式单臂路由和三层交换。单臂路由的经典做法是交换机上联路由器的一个物理口在路由器上把这个物理口拆分成多个子接口每个子接口对应一个VLAN并配置相应的IP地址。子接口上还要配置VLAN Tag封装类型比如IEEE 802.1Q让路由器能识别来自不同VLAN的帧。这样路由器就承担了不同VLAN之间的网关转发工作。这种方式适用场景很明确规模小、流量不大、手头正好有台支持子接口的路由器。缺点也很明显所有跨VLAN流量都得从交换机上行到路由器再下行回来链路带宽成为瓶颈。三层交换是更推荐的方案。它的原理是让交换机本身具备路由能力。在交换机上为每个VLAN创建虚拟接口VLAN Interface配置IP地址作为该VLAN的网关同时开启交换机的三层路由功能。这样跨VLAN流量在交换机内部的ASIC芯片上就直接转发了不需要绕到外部路由器。# 在核心交换机上配置VLAN接口 interface vlanif 10 ip address 192.168.10.254 255.255.255.0 quit interface vlanif 20 ip address 192.168.20.254 255.255.255.0 quit # 开启三层路由功能部分设备默认开启 ip routing这里还有个容易被忽略的点VLAN接口的IP地址就是终端设备的网关地址。在PC的IP配置里网关要填192.168.10.254这个地址PC才能把跨子网的数据包交给交换机处理。如果PC的网关填错了或者VLAN接口的IP网段和PC不在同一子网VLAN间路由就不会通。三层交换还有个好处可以在VLAN接口上配置ACL访问控制列表实现VLAN之间的访问控制。比如财务部只允许访问服务器VLAN不允许访问办公网无线VLAN这个需求用ACL就能精确控制。虽然VLAN本身就是隔离手段但配上ACL之后从“不能通”变成“按需通”安全性更可控。4. 配置过程中常见问题与排查技巧实录4.1 配了VLAN之后为什么PC之间还能互通这个问题几乎每个初学者都会遇到。我见过不少新手配置过程完全按照文档来VLAN也建了、端口也划了但两台划在不同VLAN里的电脑还能互相ping通完全没有隔离效果。常见原因是三层设备的干扰。如果核心交换机开启了VLAN间路由默认情况下所有VLAN之间都是可以互通的。VLAN本身提供的是二层隔离不是三层路由限制。要让不同VLAN不能互通必须显式配置ACL或者把VLAN接口从三层路由中移除。很多入门教程只讲了“VLAN之间可以隔离”这一半没讲“默认情况下VLAN间路由是全通的”这另一半。初学者就在“为什么没隔离”的困惑中卡住了。第二个常见原因是终端设备的IP地址没有按照VLAN网段规划设置。比如PC1属于VLAN 10192.168.10.0网段PC2属于VLAN 20192.168.20.0网段但两个PC都配置成了192.168.1.x网关也指向同一条路由器。这种情况下它们虽然二层的VLAN不同但三层路由把它们指向了同一个出接口互通就是正常的。检查的时候先确认PC的IP和网关配置是否符合VLAN规划再排查交换机配置。千万不要一头扎进交换机里翻命令。排查顺序我建议是这样先看两个PC是不是真的在不同VLAN交换机上查端口再看PC的IP网段和网关是不是符合VLAN规划最后查核心交换机上VLAN接口和路由配置。顺序对了问题很快就能定位。4.2 Trunk链路常见故障远端PVID不一致Trunk链路的故障向来是重灾区这里说一个我实际遇到过的典型场景。有一次某栋楼的网络从核心交换机到接入交换机之间的链路不通。查了一下接入交换机里VLAN 20的PC可以上外网VLAN 30的PC无法访问服务器VLAN。接入交换机和核心交换机之间的Trunk明明把VLAN 30放行了为什么不通排查到最后问题出在对端Trunk口配置。核心交换机那个Trunk口的默认VLANPVID和接入交换机的Trunk口不一致。具体来说接入交换机的Trunk口PVID是1核心交换机侧的Trunk口PVID被改成了30。某些厂商的设备对Trunk口上的PVID处理逻辑不同如果两端PVID不一致带Tag标签的帧在收发时会产生语义偏差导致报文携带的VLAN Tag和实际VLAN归属对不上。这种问题用抓包看一眼就能发现。在核心交换机上抓包能看到VLAN 30的帧里带着Tag但核心交换机就是找不到对应VLAN或者把帧按照PVID重新打标了。处理方式简单粗暴两端Trunk口的PVID设置必须一致通常都保持为1或者显式都改成某个管理VLAN。还要提醒一个经常被搞混的概念Trunk口是否放行某个VLAN和Trunk口的PVID是两回事。PVID决定“无标记帧进入端口时打什么Tag”放行列表决定“哪些VLAN的帧能通过这个端口”。这俩各管各的谁也不能替代谁。4.3 DHCP在VLAN环境下的兼容问题接入VLAN之后电脑获取IP地址的方式如果还是DHCP有一个点要注意DHCP请求报文是广播帧。PC发出的DHCP Discover广播只能在它所在的VLAN里传播。如果DHCP服务器在另一个VLAN里默认情况下是收不到这个广播的。解决办法有三种。第一种在每个VLAN里配一台DHCP服务器简单粗暴但管理分散不推荐多VLAN环境。第二种在交换机上配置DHCP中继DHCP Relay。核心交换机上指定哪个VLAN需要中继以及DHCP服务器地址。PC的网关接口收到DHCP广播后以单播方式转发给服务器再把服务器的回复单播回PC。操作不复杂是最常用的做法。interface vlanif 20 # 指定DHCP服务器地址 dhcp relay server-ip 192.168.50.5 # 开启DHCP中继功能 dhcp relay enable quit第三种在核心交换机上开启DHCP Server功能让交换机给各VLAN分配地址。这种方式在小规模网络里很方便但是要注意地址池规划和排除地址别把网关地址、服务器的IP也分配出去了否则网络马上就会出问题。实际配置中很多“VLAN不通”的故障根源就出在DHCP上。PC虽然用的静态IP能通但DHCP拿不到地址所以排查时要先区分PC报错是本地配置问题还是全局问题。4.4 私接小路由器导致的VLAN混乱办公网络里最常见的“安全事故”就是有人私接小路由器。某个同事嫌办公室网口不够用自己带了一台家用路由器把LAN口接到墙上的信息点上还在路由器上开了DHCP。结果整层楼的终端设备都从这个私接路由器获取到了错误网段的IP地址大量终端无法上网IP地址冲突的报错此起彼伏。这种问题在VLAN环境下依然会发生但影响范围通常被局限在同一个接入端口所在的VLAN里。因为私接路由器发出来的DHCP广播只能跨越当前VLAN的广播域不能跨到其他VLAN。如果这层楼划了多个VLAN那么影响面就被限制住了——这正是VLAN的价值体现之一。但如果没有划分VLAN整个楼就是一个广播域一台私接路由器就能把全楼网络拖垮。所以从这个角度看VLAN天然是私接路由器的“防洪堤”。当然更严格的做法是在接入层端口上配置DHCP Snooping把非信任端口的DHCP应答直接丢弃从源头上掐死私接路由器的危害。这个功能我在做稍微正式一点的办公网络时都会顺手加上。5. 一些值得长期坚持的VLAN使用习惯5.1 命名规范VLAN名称比VLAN ID更能救命VLAN ID是数字VLAN名称是可以自定义的字符串。很多人在创建VLAN时直接使用默认名称比如“VLAN 0010”完全没有业务含义。等网络规模大了一堆VLAN堆在一起光看ID根本分不清哪个是财务哪个是办公。我的习惯是创建VLAN时名称直接用业务英文名或者拼音缩写。财务部就叫Finance办公区就叫Office监控就叫CCTV。这样在排查问题时一条display vlan命令列出来每个VLAN的用途一目了然。交接给别的同事维护时也不需要反复确认“VLAN 10是哪栋楼的哪层”。名称除了便于识别还能避免一个更隐蔽的问题VLAN ID在某些厂商设备上比如配置堆叠、配置IRF可能会被系统保留或占用导致实际业务VLAN的ID不连续。这时候如果名称清晰扫一眼就能发现“怎么少了一个VLAN”或者“怎么多了一个不在规划的VLAN”。5.2 管理VLAN单独划出别把运维通道当业务通道交换机本身的远程管理Telnet/SSH需要走一个IP地址这个地址放在哪个VLAN里也值得讲究。我见过不少网络把设备管理地址放在VLAN 1里和业务流量混在一起。一旦业务VLAN出现广播风暴、环路风暴设备的远程管理也可能跟着一起失效——管理通道和故障通道重叠了出问题的时候想救都救不了。所以稍微正规一点的网络都会单独划一个管理VLAN比如VLAN 60 Manage把所有网络设备的管理地址都放在这个VLAN里。管理VLAN和其他业务VLAN在二层上隔离访问管理VLAN只走SSH或HTTPS协议并配上ACL白名单。这样就算办公区网络炸了作为管理员仍然能远程登录交换机去排查。管理VLAN要注意配好网关和路由。如果管理VLAN和办公电脑不在同一个网段而电脑又想通过设备的管理IP去登录交换机那么必须保证核心交换机上三层路由可达。这个属于基础但经常被忽略的细节。5.3 给每个VLAN做好地址规划预留才是王道VLAN划分最大的隐性成本不是配置而是地址规划。我在规划VLAN网段时习惯每个网段预留足够的主机位。比如办公区现在只有三十台电脑但我会分配一个24位子网掩码支持254台主机给它而不是精打细算用25位126台或26位62台。原因是VLAN的调整比IP地址调整成本低得多。VLAN不知道怎么改随时可以改但终端设备的IP要重新配置要么改DHCP地址池要么挨个改静态地址工作量巨大。地址网段留宽一些后续新设备接入不用动IP规划。另一个要注意的点不同VLAN的网段绝对不能重叠。VLAN 10用了192.168.10.0/24VLAN 20就不能再用192.168.10.0/24哪怕掩码改成长度更大也不行。网段一重叠三层路由直接乱套路由表都不知道该把包往哪里发。运维中“VLAN下PC通但网关ping不通”的故障有一部分就是网段重叠引起的。5.4 配置完一定要保存配置这个提醒看起来像废话但真的重要。VLAN配置、Trunk配置、VLAN接口配置做完之后如果没执行保存命令一旦交换机重启所有配置灰飞烟灭回到无VLAN的原始大二层状态。有些设备上配置和运行是两个独立层面运行配置不自动保存到配置文件。我见过不止一次网络改造后测了几天都正常某天机房停电交换机重启结果VLAN全部消失整栋楼网络回到“一只广播风暴毁灭一切”的原始状态。运维同学急急忙忙远程登录发现配置已经丢了只能爬去机房看控制台。不同厂商的保存命令差异很大有的叫save有的叫write有的叫copy running-config startup-config。不管叫什么养成习惯每改完一版配置立刻保存。特别是做完VLAN这种基础架构调整保存配置之后再继续下一项工作。这个习惯救过我无数次。6. 进阶方向VLAN之外网络还能怎么优化VLAN解决了广播隔离和安全隔离但网络优化到了这一步只是一个好的开始。我简单说一下后续可以延伸的方向给看过这篇文章的同行一个路线参考。第一是VLAN间访问控制。前面提到可以在VLAN接口上配置ACL实现精细化的“谁可以访问谁”。比如财务VLAN只允许访问服务器VLAN禁止访问办公VLAN和无线VLAN访客无线VLAN只允许访问外网禁止访问一切内部资源。ACL的规则顺序很重要匹配顺序由上到下放行规则要放在拒绝规则之前否则会误杀流量。这条做扎实了VLAN的价值会再上一个台阶。第二是QoS流量的优先级。办公网络里视频会议的语音流要求低延迟文件传输的流量可以稍微宽松下载大文件的流量最不重要。通过给不同VLAN或者不同业务报文打上不同的优先级标记可以让交换机在端口拥塞时优先转发关键业务。做不做得好直接决定了高峰期视频会议卡不卡。第三是生成树协议和链路冗余。VLAN增多后链路故障的影响面同样会被VLAN切割但还是需要从物理拓扑上保障可靠性。给网络增加冗余链路再配合生成树协议让交换机自动阻断冗余链路防止环路同时保留主链路故障后的自动切换能力。这几年生成树收敛速度已经快了很多但配置和调优依然是核心技能。第四是端口安全和准入控制。VLAN隔离了不同部门的流量但如果有人随便把陌生设备插到网口里依然可能入侵网络。接入层配合端口安全限制每个端口允许的MAC地址数量或者基于802.1X做准入认证只有认证通过的设备才允许接入网络。这个方向一深入就进入“网络安全”的领域了但它的地基仍然是VLAN这套逻辑隔离体系。我也还在持续学习这些东西。VLAN看似是个二十多年前就有的老技术但几乎所有现代园区网的根基都离不开它。把它理解透了后面学VXLAN、学SDN、学网络虚拟化都会顺畅得多。这些新技术本质上都在回答同一个问题如何让网络不再被物理设备束缚而是按照业务和用户的需求灵活流动。VLAN是这个问题最初的答案之一而且直到今天它仍然是大部分网络最可靠的答案。如果这篇文章触发了你的某些疑问或者你在配置过程中遇到过什么有意思的坑欢迎在评论区聊聊。技术这东西很多时候是一个人撞墙一群人就能绕过去。