简介针对华为 S5700 交换机 VLAN 设置整理的一份操作型 PDF 文档面向网络运维人员与入门学习者解决实际组网中 VLAN 划分、Web 管理配置与路由打通等问题。资源仅含 1 个 PDF 文件压缩包大小约 1.43MB轻量便携适合在设备部署现场随查随用内容从 VLAN 基础概念入手逐步展开 Console 登录、管理 IP 配置、Web 用户创建以及基于端口的 access 模式与 default vlan 划分围绕 s5700、普通交换机和 tp-link 路由器的典型拓扑给出了从交换机初始配置到静态路由与 NAT 设置的一体化说明。目前已吸引 695 人学习下载适合需要快速对照配置或复习命令细节的读者。通过阅读可掌握从交换机初始设置到多 VLAN 网段通信的完整链路并理解路由与地址转换在实际项目中的落地方式减少试错成本。1. 华为 S5700 的 VLAN 设置到底在配什么先分清“建 VLAN”和“通 VLAN”把一台全新的 S5700 从包装里拿出来插上电默认状态下所有接口都属于 VLAN 1互相直通。可一旦有人告诉你“把 VLAN 设置一下”事情就开始变味VLAN 建了、端口也划了、Trunk 也敲了业务还是不通。这不是 S5700 硬件或 VRP 系统的问题而是大多数人在配 VLAN 时把它当成了打标签游戏忽略了端口类型、PVID 和 VLANIF 网关之间的联动。这篇文章就按华为 S5700 的落地顺序把 VLAN 设置讲透从建 VLAN、划 Access/Trunk/Hybrid 接口到跨交换机透传和 VLANIF 三层互通再列出我这些年踩过的坑。适合刚接触华为交换机、照着整理版 PDF 敲命令却发现总差一步的运维和网络工程师。2. 建 VLAN 和划接口之前S5700 的 VLAN 模型与规划选型在 S5700 上做 VLAN第一件事不是敲命令而是弄清楚 VRP 对 VLAN 的三个默认行为。第一VLAN 是全局资源必须先在系统视图创建。第二所有物理口出厂类型是 hybridPVID 是 1并且对 VLAN 1 不带标签发送。第三VLAN 1 是系统自带的保留 VLAN删不掉。很多网工把培训时的 Cisco 习惯带过来在接口下直接划 VLAN结果命令报错又找不到原因。下面按顺序拆。2.1 S5700 的 VLAN 表与默认行为为什么一建 VLAN 不能马上用S5700 的 VLAN 表由 VLAN ID 和成员端口组成维护在一张全局表里用 display vlan 能看到。你用 vlan batch 10 20 创建完VLAN 10 和 20 已经存在了但里面没有任何成员口也没有三层接口。此时无论 PC 插在哪个口都还是属于 VLAN 1互相能通但和 VLAN 10 没有任何关系。这个“存在但不生效”的状态是新手最容易忽略的。VLAN 1 的默认行为值得先说一句所有端口默认 PVID 为 1且对 VLAN 1 发出的帧不带标签。也就是说你不需要任何配置交换机就能当一台傻瓜交换机用。这也是为什么开局时插线就能通配置了 VLAN 之后反而断网。VLAN 规划一定要在配置之前做不要在设备上边配边想。如果生产网络已经跑起来了临时加 VLAN 也有顺序要求先确认要加入 VLAN 的端口当前业务是否受影响再把端口从旧 VLAN 中移出。S5700 的端口同时只能有一个 PVID把一个接口从 access VLAN 10 改成 access VLAN 20不需要先 undo直接覆盖即可。但如果这个口在 trunk 或 hybrid 模式下直接敲 port link-type access 会把原来的 trunk 配置覆盖掉属于不可逆操作。建议先 display current-configuration 看一眼再动。注意display vlan 里显示的 VLAN 状态如果是 static说明是手工创建如果是 dynamic说明是 GVRP 或其他协议学习来的。S5700 上如果之前跑过 GVRP动态 VLAN 会出现在表里这类 VLAN 不会保存到配置文件重启后会消失。规划时不要把动态 VLAN 当成静态业务 VLAN 来引用。2.2 VLAN ID 规划从 vlan batch 到命名可维护VLAN ID 的规划没有绝对标准但有个原则留出规律方便 display 和抓包。常见做法是把办公终端放在 10-20监控放在 30-40服务器放在 100 段管理 VLAN 放在 1000 段。这样一张表就能说清业务边界。S5700 的 VLAN 范围是 1-4094但接入和汇聚定位的设备不建议把 VLAN ID 规划到 3000 以上因为一些老型号 S5700 对高 VLAN 的 ACL 匹配有限制。system-view vlan batch 10 20 30 40 to 44 100 vlan 10 description Office_192.168.10.0 vlan 20 description IPCAM_192.168.20.0 vlan 30 description Server_192.168.30.0vlan batch 支持跳跃式和连续式混合写法40 to 44 会创建 40、41、42、43、44 这 5 个 VLAN。description 不是必填但强烈建议写。业务多起来之后单靠 VLAN ID 记不住用途display vlan 时 description 会直接显示在表里能省很多排查时间。这里要补几个参数细节vlan batch 里的 VLAN ID 不能是 1因为 VLAN 1 已经存在重复创建不会报错但不会覆盖原 description如果 description 写错了可以进 vlan 后重新敲 description 覆盖不需要 undo。删除用 undo vlan batch 10 20但只能删除没有被端口引用的 VLAN否则会提示 VLAN 正在端口上使用。这时候要先清理端口或者用 force 参数我不建议在生产环境用 force 删 VLAN很容易把业务配置连坐删除。2.3 端口类型选型Access、Trunk、Hybrid 分别用在哪个位置端口类型选错是 VLAN 配置里最典型的“黑匣子”问题。S5700 的三种端口类型本质上是在决定两件事进入的帧怎么打标签出去的帧带不带标签。access 最简单端口只能属于一个 VLAN收到无标签帧就打上 default vlan 的标签trunk 做多 VLAN 透传hybrid 则把“打标签/不打标签”分开管理。如果你只接 PC 和摄像头access 是最好理解的。但 S5700 默认端口不是 access而是 hybrid。很多人从命令行敲 port link-type access 来切换这没有问题。可如果某天发现一个口配置了 access但收到对端交换机发来的带标签帧那这个帧如果 VLAN 正好等于 default vlan会被接收如果不等于会被丢弃所以不能拿 access 口去接交换机。trunk 适合交换机之间的互联也适合从接入交换机往汇聚交换机传多个 VLAN。S5700 的 trunk 口对 PVID 对应的 VLAN 默认不带标签发送对其他 allow-pass 的 VLAN 带标签发送。这个默认行为后面会细讲选型阶段只要记住跨设备的端口用 trunk接终端的端口用 access特殊情况才用 hybrid。interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 100 quit interface GigabitEthernet0/0/3 port link-type hybrid port hybrid tagged vlan 10 20 port hybrid untagged vlan 30 quitport default vlan 10 是 access 口指定所属 VLANtrunk 口必须配 allow-pass 才能让多个 VLAN 通过hybrid 口同时维护 tagged 和 untagged 两个列表。注意 hybrid 的 untagged vlan 30 表示 VLAN 30 的帧从这个口出去时不带标签而 tagged vlan 10 20 表示 VLAN 10、20 带着标签出去。这个口如果接一个普通 PCPC 收到了带标签的 VLAN 10 帧会直接丢弃所以很多人配了 hybrid 后 PC 不能上网问题就在这。我一般会把端口用途做成表比如“上联口 G0/0/24 trunk 允许 10/20/100接入口 G0/0/1 access 10”配完后逐个核一遍。网上那些“华为交换机命令大全”里最常被抄错的也是这三种类型所以说选型比命令本身更重要。3. 跨交换机打透 VLANTrunk 链路配置与 PVID 边界单台 S5700 划 VLAN 一般不会出大事一出事就是两台交换机对接。VLAN 10 在接入交换机上能通连到汇聚交换机就丢包或者 PC 能访问同一台接入交换机上的设备但访问不了汇聚交换机背后的服务器。这些通常不是硬件故障而是 Trunk 链路上的标签规则没有对齐。这一章把 Trunk 的配置和判别方法讲清楚。3.1 Trunk 端口配置port trunk allow-pass vlan 的生效范围interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 100 port trunk pvid vlan 10在 S5700 上port trunk allow-pass vlan 10 20 100 的作用是让 VLAN 10、20、100 的帧可以通过这个 Trunk 口。这里“通过”只对带 802.1Q 标签的帧生效。如果对端发来不带标签的普通以太网帧交换机查不到 VLAN 标签就会给这个帧打上本端口 PVID 的标签然后再查 allow-pass 列表。所以 PVID 必须同时出现在 allow-pass 列表里否则无标签帧会被当作“不欢迎的 VLAN”丢弃。port trunk pvid vlan 10 把 PVID 从默认的 1 改成 10。很多教程会让你把两端 PVID 改成一样这是最常见的收敛方式。但要注意PVID 只是处理无标签帧它不会把有标签帧变成无标签帧。如果你希望 VLAN 10 的帧从 Trunk 口出去时不带标签不能靠 PVID 解决要看端口对 VLAN 10 是不是 untagged。默认配置下Trunk 口对 PVID 的 VLAN 是 untagged对其他 allow-pass 的 VLAN 是 tagged所以 VLAN 10 作为 PVID 会不带标签出去VLAN 20、100 带标签出去。两端 S5700 对接时我习惯把对端的配置也检查一遍。常见做法是两台设备都配 trunk都 allow-pass 同样的 VLAN 列表两端的 PVID 保持一致。如果一边是 trunk 一边是 access即使 allow-pass 写了对端 access 口收到带标签帧也会因为 VLAN 不匹配而丢包。所以要养成一条命令看两端的习惯display port vlan两端对着同一列看。Trunk 口还有一种容易翻车的情况只写了 port link-type trunk没有敲 allow-pass。此时 S5700 的默认策略是只有 VLAN 1 能通过VLAN 10 和 20 会被拦截但接口状态是 UPdisplay interface 也看不出错误。所以 Trunk 建完一定要显式放行所需 VLAN别指望默认放行。3.2 多 VLAN 与默认 VLAN 的边界PVID、allowed、tagged 的关系端口类型无标签帧进入带标签帧进入无标签帧出去带标签帧出去Access打上 default vlan 标签仅 VIDdefault vlan 时接收否则丢弃剥离标签后发送不会带标签发送Trunk打上 PVID 标签查 allow-pass 列表在则接收不在则丢弃PVID 对应 VLAN 默认不带标签发送其他 allow-pass VLAN 带标签发送Hybrid打上 PVID 标签查 tagged 和 untagged 列表任一存在则接收untagged 列表中的 VLAN 剥离标签发送tagged 列表中的 VLAN 带标签发送从这张表能看出PVID 是“无标签帧进入时贴上的标签”allowed/tagged 是“哪些 VLAN 允许通过”而 untagged 是“出去时撕掉标签”。三者是三个开关不是一回事。跨交换机的 Trunk 链路如果两端 PVID 不一样带标签帧不会受影响因为标签里已经携带了 VLAN ID受影响的是无标签帧比如交换机发出的协议报文。这就是为什么接入交换机的管理 VLAN 要特别关注 PVID。另外S5700 支持在一根物理链路上传递多个 VLAN但要是这个口还接了电脑建议别用 trunk。只要电脑网卡不支持 802.1Q收到带标签帧直接丢弃现象就是“这台电脑只能上内网一部分”。遇到这种情况先查端口类型再看 PVID最后看终端网卡要不要配 VLAN。3.3 用一条命令看清端口 VLAN 状态display port vlan 输出解读配置完之后不要凭记忆判断直接使用 display port vlan。输出里会列出所有物理口和 Eth-Trunk 口的端口类型、PVID、允许通过的 VLAN 列表。如果对端配置了同样的 VLAN 但还是不通用 display mac-address vlan 10 看对端设备的 MAC 有没有学到。display port vlan输出大致是Port Link Type PVID Trunk/Vlan allowed GigabitEthernet0/0/1 access 10 - GigabitEthernet0/0/24 trunk 10 10,20,100 Eth-Trunk1 trunk 10 10,20,100从这个输出能直接发现两类问题一是 access 口 PVID 和预期不一致二是 trunk 口 allowed 列表少 VLAN。S5700 还有一条 display vlan 10能看到 VLAN 10 下每个接口的 tagging 状态Tagged 还是 Untagged。如果 PC 接在 Trunk 口下面VLAN 10 显示为 Tagged那 PC 收不到不带标签的帧访问会失败。这种情况下要么把 PC 口改成 access要么在 hybrid 口把该 VLAN 设为 untagged。如果你要确认帧在链路上到底带没带标签最直接的办法是镜像抓包。S5700 上配置本地端口镜像思路是先定义观察口再把业务口镜像过去observe-port 1 interface GigabitEthernet0/0/20 interface GigabitEthernet0/0/24 port-mirroring to observe-port 1 both然后在 Wireshark 里过滤 vlan 或 vlan.id 10。这里有一个常见陷阱Windows 网卡默认开启 VLAN offload抓包时 802.1Q 标签被网卡剥离你什么都看不到。解决办法是在网卡高级属性里把 VLAN offload 关闭再重开抓包。如果是笔记本接镜像口也要确认内网环境允许这么做不要直接在生产核心上长期开镜像。4. VLANIF 三层网关让不同 VLAN 的主机互通含 DHCP 联动VLAN 划好之后二层通了但 VLAN 10 和 VLAN 20 之间还是隔离的。要让它们互相访问就需要一个三层网关。S5700 是典型的华为三层交换机每建一个 VLANIF 就相当于在这个 VLAN 里放了一个路由接口。这一章讲 VLANIF 的配置、跨 VLAN 转发和 DHCP 联动。4.1 VLANIF 是什么在 S5700 上建网关VLANIF 不是物理口是绑定在 VLAN 上的逻辑三层接口。在 S5700 上进入 interface Vlanif10配一个 IP这个 IP 就是 VLAN 10 的网关地址。但 VLANIF 的 Up/Down 状态取决于两件事VLAN 存在并且 VLAN 内至少有一个物理接口是 Up 状态。如果 VLAN 是空的或者里面端口都被 shutdownVLANIF 会显示 downPC 拿这个网关地址做默认网关也 ping 不通。system-view interface Vlanif10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.1 255.255.255.0 quitip address 后面先写 IP 再写掩码不能写成 192.168.10.1/24 这种 CIDR 形式VRP 系统不认。配完之后用 display ip interface brief 看 Vlanif10 和 Vlanif20 的状态。如果状态是 down回去查端口和 VLAN如果是 up说明三层接口就绪。VLANIF 的 IP 地址应该与终端手动配置或 DHCP 分配的网段相同并且是这个 VLAN 内的第一个可用地址。不要和 VLAN 内某个终端 IP 冲突否则会出现间歇性丢包这是经典的“网关被别人占用”问题。S5700 的 VRP 允许你配置冲突地址不会提示只有故障出现后才慢慢发现。4.2 跨 VLAN 互访与静态回程路由S5700 的转发路径同一个 S5700 上的 VLAN 10 和 VLAN 20配置 VLANIF 之后可以直接互通。原因是交换机路由表里已经有了 Vlanif10 和 Vlanif20 对应的两条直连路由。PC-A 访问 PC-B 时把报文发给网关 192.168.10.1S5700 查路由表发现 192.168.20.0/24 直连在 Vlanif20于是把报文从 Vlanif20 转出去。这个过程不需要额外配置也没有默认拒绝。如果两个 VLAN 本来就不允许互通需要配置 ACL 或者把端口隔离打开而不是通过不配置 VLANIF 来“挡住”因为不配置网关会导致上网中断。display ip routing-table输出里能看到 192.168.10.0/24 和 192.168.20.0/24 都标记为 Direct说明这两个网段就在本机上。如果还有上级网络比如办公网在 S5700 上面还有一台防火墙VLAN 10 的用户要访问互联网就需要在 S5700 上写一条默认路由。ip route-static 0.0.0.0 0.0.0.0 192.168.100.254这里的 192.168.100.254 是防火墙与 S5700 互联接口的 IP不是防火墙的网关。很多人在做完这一步后VLAN 内能上网但外部访问不了 VLAN 里的服务器。原因不在 S5700而在上级设备缺少回程路由。防火墙或路由器上要加两条静态路由去 192.168.10.0/24 和 192.168.20.0/24下一跳都指向 S5700 的互联地址比如 192.168.100.1。这个回程路由漏配的概率非常高属于必查项。如果 S5700 同时要支撑 WLAN AC、监控平台等设备还要注意 VLANIF 之间是否启用了其他过滤。我一般在开局阶段先把所有 VLANIF 建好再结合业务需求通过 ACL 收紧互访而不是漏建 VLANIF。4.3 DHCP 与 VLAN 联动VLANIF 上开 DHCPS5700 可以在 VLANIF 上直接做 DHCP 服务器这在小项目里非常实用省一台服务器。配置分两步全局打开 DHCP再在 VLANIF 下选择接口模式。system-view dhcp enable interface Vlanif10 dhcp select interface dhcp server dns-list 223.5.5.5 114.114.114.114 dhcp server excluded-ip-address 192.168.10.1 192.168.10.100 dhcp server lease day 1 hour 0 minute 0 quitdhcp select interface 表示地址池就用 Vlanif10 的网段192.168.10.2 到 192.168.10.254 都能分配但 .1 是网关必须排除否则可能分配给终端。excluded-ip-address 可以指定多个比如给打印机和服务器保留 192.168.10.100-200。dns-list 是为了让终端能解析域名内网有 DNS 服务器就写内网地址。S5700 的 DHCP 默认租期是一天lease 命令可以改。如果 VLAN 20 也需要 DHCP在 Vlanif20 下重复同样的配置地址池自动按接口网段变化。记住一条接口模式 DHCP 的地址池网段跟着 VLANIF IP 走你改了 VLANIF 的 IP可用地址池会同步变化。PC 连着 access 口却拿不到 IP 时常见做法是先看 Vlanif10 的状态。如果 Vlanif10 downDHCP 就不会响应如果 Vlanif10 up再用 display dhcp server ip-in-use 看目前分出去多少地址。还有一个容易踩的坑S5700 上开 DHCP 后下发地址时会占用 ARP 表项如果终端数量很大需要检查 ARP 表必要时调大 arp aging 时间否则部分终端会“掉线”。5. S5700 VLAN 设置的五个翻车现场避坑与排查清单前面章节讲的是正确路径这一章直说要踩的坑。以下都是我在真机和 eNSP 上遇到过的问题每一条都按“现象、原因、解决”写排查顺序也尽量贴近现场。看完这五条再回去看配置你会觉得很多“玄学”故障其实都有明确原因。5.1 现象VLAN 建了PC 却拿不到 IPPC 通过网线接到 S5700 交换口VLAN 也创建了但终端一直显示未识别的网络拿不到 IP 地址。用 ipconfig 看网卡是 169.254.x.x 的自动地址明显是 DHCP 请求没得到回应。原因有两个常见可能第一PC 所在端口没有划进对应 VLAN还在默认的 VLAN 1 里第二VLAN 存在但 VLANIF 没有配置或状态是 down。很多新手建了 VLAN 就以为端口自动归属了实际上 access 口要单独指定 default vlanVLANIF 也要单独创建。解决方法是按顺序排查先用 display port vlan 看端口归属再用 display vlan 10 看 VLAN 10 里有没有物理口最后用 display ip interface brief 看 Vlanif10 的状态。如果 VLANIF down回 VLAN 里找有没有 Up 的物理口。如果物理口 Up 但 VLANIF Down多半是 VLAN 里没有端口或者端口都被 shutdown。这个顺序能排除 80% 的“拿不到 IP”问题。5.2 现象Trunk 配了但还是不通两台 S5700 对接两端都敲了 port link-type trunk也都写了 allow-pass vlan 10 20但 VLAN 10 的 PC 访问对端设备时通时不通甚至完全不通。查看两端接口状态都是 Up物理链路看着没问题。原因通常是两台交换机 allow-pass 列表不一致或者一端 PVID 是 10、另一端 PVID 是 1。带标签帧的转发只看 allow-pass但无标签帧进端口时会打上本端 PVID如果两台设备的 PVID 不一致无标签帧就被送进了不同 VLAN。另外如果 allow-pass 漏了某个 VLAN带标签帧会被直接丢弃接口也不报错。解决方法是两台设备都执行 display port vlan并排对比 PVID 和 allowed 列表。我要求两边列表完全一致。如果确实需要不同 PVID必须确认该链路上不存在无标签业务。否则把 PVID 统一到同一个管理 VLAN 或业务 VLAN。你要是还怀疑链路本身可以临时在这个 Trunk 口上配一个 access 测试口能通就说明问题还是在 VLAN 透传参数上。5.3 现象抓包看不到 VLAN 标签为了排查 VLAN 10 是否在 Trunk 链路上正确透传你把 S5700 的镜像口配置好后用 Wireshark 抓包结果发现抓到的报文里只有 IP 报文看不到 802.1Q 标签。你以为交换机配置错了甚至怀疑镜像口没用。原因有两个。第一Windows 网卡驱动默认开启 VLAN offload网卡收到带 802.1Q 标签的帧后会把标签剥离掉再交给 Wireshark所以你在抓包里看不到 VLAN ID。第二镜像口可能只配了入方向而出方向的报文没被镜像到。解决方法是先关掉网卡的 VLAN offload再换成抓 both 方向。S5700 镜像配置写成 port-mirroring to observe-port 1 both。如果还看不到换一个物理网卡或者检查电脑网卡驱动是不是有节能策略。不要把抓包结果直接当结论先确认标签是否被网卡剥离。Wireshark 里的过滤可以用 vlan.id 10没标签自然是空的。5.4 现象划了 VLAN 后设备管理找不到了S5700 原来能通过 telnet 或 SSH 远程管理你给上联口配上 trunk 并放行业务 VLAN 后管理终端立刻 ping 不通交换机远程连接断开。你以为是交换机死了跑到现场发现 console 还能进。原因通常是交换机的管理 IP 默认在 VLAN 1 上但你给上联口配置 trunk 时没有放行 VLAN 1。S5700 的 trunk 口默认只放行 VLAN 1如果你手动写了 allow-pass vlan 10 20并且没有把 1 加进去管理 VLAN 就会被阻断。还有一种情况是管理 VLAN 改到了 VLAN 100但上联口没放行 100。解决方法是把管理 VLAN 显式加入所有上联 trunk 的 allow-pass 列表例如 port trunk allow-pass vlan 1 10 20。如果管理 VLAN 在上联链路中不想透传可以单独用一个互联 VLAN把交换机和核心设备的上联口都划进同一个 access VLAN管理地址写在对应的 VLANIF 上。这样管理和业务隔离也不容易出现“远程配置完掉线”的意外。5.5 现象配置 VLANIF 后掉线人还在办公室远程连交换机准备给一个已有业务 VLAN 加网关。敲了 interface Vlanif10ip address 192.168.10.254结果远程连接立刻断开再 ping 交换机就 ping 不通了。原因是你把 VLANIF 地址配成了和原网关 192.168.10.1 不同的地址而上一级网络设备还在用旧地址访问交换机或者你配置的地址和另一台设备的接口地址冲突。S5700 的命令行不会因为地址冲突而拒绝下发但网络会在几秒内中断。解决方法是配置前先 display current-configuration | include vlanif看看现有 VLANIF 地址。如果已经掉线用 console 线连接设备进系统视图后 undo ip address 回退。这一条提醒我所有涉及 VLANIF 地址的变更必须先开一个 console 会话不能只依赖远程连接。远程配置三层地址一旦写错连后悔药都吃不上。6. 用验证、聚合和备份把 VLAN 配置收敛成可交付状态6.1 先在 eNSP 上把 VLAN 全流程跑一遍eNSP 模拟 S5700 的命令和真机基本一致。做 VLAN 变更前我会先把配置在 eNSP 里复现建 VLAN、划端口、配 trunk、配 VLANIF、开 DHCP再放两台虚拟 PC 验证互通。eNSP 的坑是模拟器版本和真机 VRP 版本有差异但 VLAN 这部分命令差异很小至少能帮你规避低级错误。真机上如果预算允许建议开局前先拿一台 S5700 做测试机把端口类型和 PVID 的预期行为都验证一遍再批量下发。6.2 用 Eth-Trunk 把多链路收敛减少 VLAN 路径不一致两台 S5700 之间如果有多根物理链路不聚合就是环路STP 会阻塞多余端口等于只用了其中一根。把物理口加入 Eth-Trunk 后VLAN 配置统一写在 Eth-Trunk 口上物理口只需要绑定即可这样两个设备之间的 VLAN 路径就只剩一个逻辑口排查时少看很多项。interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 100 quit interface GigabitEthernet0/0/23 eth-trunk 1 quit interface GigabitEthernet0/0/24 eth-trunk 1 quit配置完 Eth-Trunk用 display eth-trunk 1 看成员口状态用 display port vlan 看 Trunk 口是否允许对应 VLAN。聚合成员的物理口不要再单独配置 port link-type否则会冲突。这个做法对后续 VLAN 扩容非常有用加 VLAN 只改 Eth-Trunk1不用逐物理口改。6.3 保存配置与设备测试验证完一切后记得 save。S5700 的 save 是直接保存到当前配置文件重启后还在。如果要留后悔药可以用 display current-configuration 把配置导出来存成文本文件名带日期比如 s5700_l2_vlan_20250614.cfg。也要注意不要在 S5700 上乱敲 erase flash一旦执行整台设备会回到出厂状态这种翻车没有后悔药。这几年经手的 S5700 项目我有一个习惯所有 VLAN 改动都要先记录旧配置再打开一个 console 会话最后才动手。这个习惯帮我避免过很多次“远程配置完掉线”的尴尬。VLAN 配置本身不难难的是把每条命令的结果想清楚再敲。希望帮到你。本文还有配套的精品资源点击获取