1. 从一个真实场景说起为什么我们需要VLAN很多刚接触网络的朋友都会有这样一个疑问明明交换机插上就能通为什么还要折腾VLAN这么个东西我刚入行那会儿也是这么想的直到有一次帮一个朋友处理他们办公网的故障才真正意识到VLAN的价值。他们公司不大大概六十来号人一台24口千兆交换机接了两台无线路由器当AP用财务、人事、研发、销售全在同一个网段里。问题出在哪儿呢研发部门有个小伙子自己搭了个DHCP服务做测试结果把整个办公室的IP分配全搞乱了财务的电脑拿到了研发测试网段的地址打印机找不到了共享文件夹也访问不了整个下午基本处于瘫痪状态。更尴尬的是销售部门的共享目录里放着报价单理论上财务和研发的人只要扫一下网段就能看到。这个场景其实暴露了两个核心问题广播域的边界失控和二层网络的安全隔离缺失。而VLAN也就是虚拟局域网恰恰就是解决这两类问题的核心技术手段。它做的事情说白了就一句话在一台物理交换机上逻辑地划分出多个互相隔离的二层网络。每个VLAN就是一个独立的广播域VLAN之间的通信必须经过三层设备路由器或三层交换机转发这就天然形成了隔离。这篇文章我打算把VLAN从原理到实操完整地捋一遍。不管你是刚考完网络基础课程的学生还是正在准备面试的运维工程师或者只是想把家里那台可管理交换机用起来的折腾党看完之后应该都能对VLAN有一个比较扎实的理解。我会尽量少堆术语多用类比和实际配置来说明问题同时把我在实际项目中踩过的坑和总结的经验一并分享出来。2. VLAN的核心原理拆解它到底是怎么工作的2.1 广播域与冲突域先搞清楚这两个基础概念要理解VLAN得先把广播域这个概念吃透。你可以把广播域想象成一个会议室在这个会议室里任何一个人大声说话广播帧所有人都能听到。交换机默认的行为就是这样——它收到一个广播帧会从除了接收端口以外的所有端口转发出去。一个24口交换机如果不做任何配置就是一个24口的大会议室任何一台机器发广播其他23台都得听一遍哪怕这个广播跟它们毫无关系。冲突域则是另一个层面的概念它跟CSMA/CD机制有关。不过在现在全双工交换式以太网的环境下每个交换机端口就是一个独立的冲突域这个问题基本已经被解决了。所以我们在讨论VLAN的时候关注的重点是广播域。广播域过大带来的问题主要有三个。第一是带宽浪费广播帧会占用所有端口的带宽资源设备越多广播流量越大。第二是CPU资源消耗每台主机收到广播帧都要交给CPU判断是否需要处理广播多了主机的CPU就被白白消耗。第三是安全风险同一个广播域内的设备可以直接进行二层通信ARP欺骗、MAC泛洪这类攻击的影响范围就是整个广播域。VLAN的做法就是把这个大会议室用隔音玻璃分成若干个小会议室。每个小会议室内部的广播只有自己人听得到跨会议室说话必须走门——也就是三层转发。2.2 VLAN标签802.1Q协议到底在帧里加了什么VLAN能实现隔离核心机制是在以太网帧里插入了一个标签。这个标准叫IEEE 802.1Q它定义了一个4字节的VLAN Tag插入到以太网帧的源MAC地址和类型字段之间。这4个字节的结构是这样的字段长度说明TPID2字节固定值0x8100标识这是一个带802.1Q标签的帧Priority3bit优先级用于QoS取值0-7CFI1bit规范格式指示以太网中通常为0VLAN ID12bitVLAN标识取值0-4095可用范围1-409412bit的VLAN ID意味着理论上最多有4096个VLAN其中0和4095保留不用所以实际可用的是1到4094。这个数量对于绝大多数企业网络来说完全够用但如果你的环境是大型数据中心或者多租户云平台4094个可能就不够了那就需要用到QinQ双层标签技术来扩展。这里有个细节值得注意VLAN ID 1是默认VLAN通常不建议在它上面承载业务流量。原因有两个一是很多厂商的设备默认把所有端口都划到VLAN 1如果不改隔离就无从谈起二是VLAN 1的流量在很多协议中会被特殊处理容易产生意料之外的行为。我在项目中的习惯是从VLAN 10或者VLAN 100开始规划业务VLAN把VLAN 1留作管理或者干脆不用。2.3 Access、Trunk、Hybrid三种端口类型的分工交换机端口对VLAN标签的处理方式不同就产生了三种端口类型。这是VLAN配置中最容易搞混的地方我用一个类比来说明。Access端口就像一扇只通向一个房间的门。接在Access端口上的设备通常是不认识VLAN标签的普通终端比如电脑、打印机、摄像头。交换机收到这些设备发来的无标签帧会打上该端口所属VLAN的标签发送给这些设备的帧会把标签剥掉再发出去。所以对终端来说它根本感知不到VLAN的存在。Trunk端口就像一条连接两栋楼之间的走廊走廊里同时走着多个房间的人每个人身上都带着我是哪个房间的标识。Trunk端口通常用于交换机与交换机之间、交换机与路由器之间的连接它允许多个VLAN的流量通过并且默认情况下除了Native VLAN默认是VLAN 1以外其他VLAN的帧都是带标签传输的。Hybrid端口是某些厂商比如华为、H3C特有的端口类型它可以灵活地指定哪些VLAN的流量带标签发送、哪些不带标签发送。它兼具Access和Trunk的部分特性在连接IP电话、AP这类既需要独立VLAN又可能需要传递多个VLAN的设备时比较有用。思科设备上没有Hybrid端口对应的功能需要通过Voice VLAN等特性来实现。这三种端口类型的对比特性AccessTrunkHybrid接收无标签帧打上PVID打上PVID打上PVID接收带标签帧丢弃通常检查是否允许检查是否允许发送时剥离标签除Native VLAN外带标签可灵活配置典型用途接终端接交换机/路由器接IP电话/AP2.4 PVID端口上那个容易被忽略的关键参数PVIDPort VLAN ID是每个端口都有的一个属性它决定了这个端口收到无标签帧时打上哪个VLAN的标签。Access端口的PVID就是它所属的VLANTrunk端口的PVID默认是1也就是Native VLAN。这里有个坑我踩过两个交换机用Trunk互联如果一端的Native VLAN是1另一端改成了100那么VLAN 1的流量从一端发出时不带标签到了另一端会被打上VLAN 100的标签导致通信异常。所以Trunk两端的Native VLAN必须一致这是排查VLAN间通信故障时首先要检查的点。3. VLAN的四种划分方式与实际选型3.1 基于端口的VLAN最常用也最推荐这是最主流的方式把交换机的物理端口划分到不同的VLAN。比如端口1-8划到VLAN 10端口9-16划到VLAN 20。配置简单直观性能开销最小因为交换机只需要根据端口查表就能决定VLAN归属。缺点是灵活性差一些——如果用户换了工位插到了另一个VLAN的端口上网络配置就得跟着改。但在实际企业环境中工位和部门的对应关系通常比较稳定所以这个问题不算大。我做过的大部分项目都是用的这种方式。3.2 基于MAC地址的VLAN移动办公场景的备选这种方式的思路是不管设备插到哪个端口只要MAC地址在VLAN 10的列表里它就属于VLAN 10。这解决了端口VLAN的移动性问题但带来了新的麻烦——MAC地址表的维护工作量很大而且MAC地址是可以伪造的安全性反而不如端口VLAN。另外交换机需要维护一张MAC到VLAN的映射表对硬件资源有一定消耗。我一般只在一种情况下会考虑这种方式会议室、培训室这类人员流动频繁、设备相对固定的场景。但即便如此现在更常见的做法是用802.1X认证配合动态VLAN比静态MAC绑定要灵活得多。3.3 基于子网的VLAN三层视角的划分这种方式根据帧的源IP地址来判断VLAN归属。听起来很美好但实际用得很少因为它需要交换机检查每个帧的三层信息转发效率会下降而且只对IP流量有效非IP流量就没法处理了。在现在这个三层到接入越来越普遍的时代这种方式基本被淘汰了。3.4 基于协议的VLAN历史遗留方案根据帧的协议类型比如IP、IPX、AppleTalk来划分VLAN。这是上世纪九十年代的产物那时候网络里跑着各种协议栈。现在IP一统天下这种方式基本没有用武之地了了解即可。选型建议很明确除非有特殊需求一律用基于端口的VLAN。简单、高效、好排查这三个优势在实际运维中太重要了。4. 实战配置从零搭建一个多VLAN网络4.1 场景设计与VLAN规划假设我们要给一个小型公司搭建网络需求是这样的研发部30人、销售部20人、财务部5人三个部门需要二层隔离但都要能访问外网和一台公共文件服务器。另外还需要一个管理VLAN用于管理网络设备。VLAN规划如下VLAN ID名称网段用途10RD192.168.10.0/24研发部20Sales192.168.20.0/24销售部30Finance192.168.30.0/24财务部40Server192.168.40.0/24服务器区99Mgmt192.168.99.0/24设备管理网关都放在三层交换机上VLAN 10的网关是192.168.10.1以此类推。VLAN 99用于管理交换机本身不承载业务流量。4.2 二层交换机配置Access与Trunk的落地以一台24口接入交换机为例端口1-12接研发13-20接销售21-24接财务上行口25、26做Trunk连到核心。华为/H3C风格的配置大致是这样# 创建VLAN vlan 10 vlan 20 vlan 30 vlan 99 # 配置Access端口 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # 端口2-12重复上述操作 interface GigabitEthernet0/0/13 port link-type access port default vlan 20 # 端口14-20重复 interface GigabitEthernet0/0/21 port link-type access port default vlan 30 # 端口22-24重复 # 配置Trunk上行口 interface GigabitEthernet0/0/25 port link-type trunk port trunk allow-pass vlan 10 20 30 99思科风格的配置vlan 10 vlan 20 vlan 30 vlan 99 interface range GigabitEthernet0/1-12 switchport mode access switchport access vlan 10 interface range GigabitEthernet0/13-20 switchport mode access switchport access vlan 20 interface range GigabitEthernet0/21-24 switchport mode access switchport access vlan 30 interface GigabitEthernet0/25 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20,30,99这里有个实操细节Trunk口上allow-pass的VLAN列表要精确控制。有些工程师图省事直接写port trunk allow-pass vlan all把所有VLAN都放过去。这样做的问题是如果网络里有其他VLAN比如测试用的流量会不受控地扩散到所有交换机既浪费带宽又增加安全风险。我的习惯是只放通必要的VLAN后续有新增再改。4.3 三层交换机配置VLAN间路由的实现三层交换机上需要配置每个VLAN的网关接口SVI并开启路由功能。# 开启路由功能 ip routing # 配置各VLAN的网关 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 interface Vlanif30 ip address 192.168.30.1 255.255.255.0 interface Vlanif40 ip address 192.168.40.1 255.255.255.0 interface Vlanif99 ip address 192.168.99.1 255.255.255.0配置完成后VLAN 10的主机把网关指向192.168.10.1就能通过三层交换机访问其他VLAN了。三层交换机内部会做一次路由一次、交换多次的处理——第一个包走路由查表后续同一条流量的包直接走硬件交换速度非常快。4.4 用ACL控制VLAN间的访问权限默认情况下VLAN间路由打通后所有VLAN之间都能互相访问。但财务部显然不应该被研发和销售随便访问。这时候就需要用ACL来做访问控制。需求细化一下财务VLAN 30可以被所有人访问文件服务器VLAN 40但研发和销售不能主动访问财务的终端财务可以访问研发和销售的特定服务端口。# 创建高级ACL acl number 3000 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 rule 15 permit ip # 应用到财务VLAN的入方向 interface Vlanif30 traffic-filter inbound acl 3000注意ACL的应用方向。这里的逻辑是从VLAN 30进来的流量也就是财务主动发起的流量做检查拒绝研发和销售网段访问财务。但如果是财务访问研发流量是从VLAN 30出去的不受这个inbound ACL影响。如果要双向控制需要在对应的VLAN接口上也配置ACL。提示ACL规则是有顺序的交换机从上到下匹配匹配到就执行动作不再往下看。所以拒绝规则要放在允许规则前面最后通常跟一条permit ip作为兜底。5. 常见问题排查与避坑经验5.1 VLAN间不通的排查思路这是最常遇到的问题。我一般按这个顺序排查第一步检查物理层和端口状态。display interface brief看一眼端口是不是up的有没有CRC错误。很多时候问题根本不在VLAN配置上而是网线或者光模块的问题。第二步确认Access端口的VLAN划分是否正确。display port vlan可以看到每个端口的PVID和允许通过的VLAN。我遇到过好几次是端口划错了VLAN比如本该划到VLAN 10的划到了VLAN 1。第三步检查Trunk口的allow-pass列表。如果Trunk口没有放通某个VLAN那个VLAN的流量就过不去。display interface GigabitEthernet0/0/25可以看到trunk的配置。第四步确认三层接口的状态。display ip interface brief看Vlanif接口是不是up的。Vlanif接口up的前提是该VLAN下至少有一个物理端口是up的。如果VLAN里一个活跃端口都没有Vlanif就是down的网关自然不通。第五步检查ARP表。display arp看看能不能学到对端的MAC地址。如果ARP学不到说明二层就不通回到前面几步继续查。5.2 Native VLAN不匹配导致的诡异问题前面提过Native VLAN的问题这里展开说一下症状。两个交换机Trunk互联一端Native VLAN是1另一端是100。这时候VLAN 1的流量从A端发出时不带标签B端收到后打上VLAN 100的标签结果VLAN 1的流量跑到了VLAN 100里。症状就是VLAN 1的主机时通时不通或者能ping通网关但访问不了某些资源。排查方法很简单display interface看Trunk口的PVID两端对比一下。解决方法是把两端改成一致或者干脆把Native VLAN改成一个不用的VLAN比如VLAN 999避免业务流量走Native VLAN。5.3 VLAN数量规划与性能考量虽然理论上支持4094个VLAN但实际设备能同时激活的VLAN数量是有限的取决于交换机的硬件规格。低端交换机可能只支持几十个VLAN同时活跃中高端支持几百到上千个。另外VLAN数量多了之后STP生成树协议的收敛时间会变长因为STP是按VLAN计算的PVST或者按实例计算的MSTP。如果网络里有几百个VLANSTP的拓扑变化会消耗大量CPU资源。这时候需要用MSTP把多个VLAN映射到少数几个实例上减少STP的计算量。我的经验是中小企业网络VLAN数量控制在50个以内比较舒服超过这个数量就要考虑用MSTP做优化或者重新审视网络架构是不是该往三层到接入的方向调整了。5.4 常见问题速查表症状可能原因排查命令同VLAN内主机不通端口VLAN划分错误display port vlan跨VLAN不通Trunk未放通VLANdisplay interface trunk跨VLAN不通Vlanif接口downdisplay ip interface brief时通时不通Native VLAN不匹配display interface部分VLAN不通ACL拦截display acl all广播风暴环路或VLAN过大display mac-address6. 进阶话题VLAN在实际网络中的延伸应用6.1 Voice VLANIP电话的部署方式企业里部署IP电话时通常希望电话和电脑共用一个墙面端口但电话的流量和电脑的流量要分开处理。做法是把端口配成Hybrid或者用Voice VLAN特性电话的流量打上Voice VLAN的标签电脑的流量走数据VLAN。这样电话可以获得独立的QoS策略和DHCP地址池同时只需要一根网线。配置上华为设备可以用voice-vlan命令思科设备用switchport voice vlan。核心思路是让交换机识别电话发出的带标签帧把它归到Voice VLAN里。6.2 VLAN与无线网络的结合无线AP通常需要管理流量和业务流量分离。AP本身的管理地址放在一个VLAN无线用户根据SSID不同放到不同的业务VLAN。AP的上行口配成Trunk放通管理VLAN和所有业务VLAN。无线控制器AC上配置不同的SSID映射到不同的VLAN用户连接不同的SSID就进入不同的二层网络。这种架构下VLAN的规划要和无线SSID的规划对齐。比如员工SSID对应VLAN 10访客SSID对应VLAN 200IoT设备SSID对应VLAN 300。访客VLAN通常要做更严格的ACL只允许访问互联网不允许访问内网任何资源。6.3 QinQ突破4094个VLAN的限制在运营商网络或者大型多租户环境中4094个VLAN可能不够用。QinQ技术通过在原有802.1Q标签外面再套一层标签把VLAN空间从12bit扩展到24bit理论上支持4094×4094个VLAN。QinQ的典型应用是运营商给每个客户分配一个外层VLANS-VLAN客户内部可以自由使用内层VLANC-VLAN运营商的网络只根据外层VLAN转发不关心内层。这样既实现了租户隔离又让客户保留了自己的VLAN规划自由。配置上华为设备用qinq enable思科设备用switchport mode dot1q-tunnel。需要注意的是QinQ会增加帧的长度MTU需要相应调整否则大包可能被丢弃。7. 我在实际项目中的几点体会做了这么多年网络关于VLAN我有几个比较深的体会分享出来供参考。第一VLAN规划要趁早。网络刚建的时候VLAN规划得好后面扩展就轻松。我见过太多项目是边用边加VLAN最后VLAN ID乱七八糟10、20、30、100、200混着用文档也没有接手的人一脸懵。建议一开始就定好规划表VLAN ID按部门或者楼层分段留出扩展空间。第二文档比配置重要。配置敲错了可以改文档丢了就麻烦了。每个VLAN的用途、网段、网关、对应的端口范围这些信息一定要有记录。我现在的习惯是用一个Excel表格维护VLAN规划每次变更都更新交接的时候直接给表格比口头说清楚多了。第三不要过度设计。有些工程师喜欢把VLAN划得很细一个部门里每个小组一个VLAN结果VLAN间路由的流量大增ACL规则也复杂得难以维护。VLAN的粒度要跟管理需求匹配如果两个小组之间本来就不需要隔离划在一个VLAN里也没什么问题。第四测试环境先验证。VLAN的配置变更影响面比较大尤其是Trunk口的allow-pass列表调整搞不好就把某个VLAN的流量断了。我的做法是先在测试环境验证确认没问题再上生产变更窗口尽量选在业务低峰期。第五监控要跟上。VLAN配好不是就完事了日常要监控各VLAN的流量、广播包比例、STP状态。广播包比例如果超过总流量的5%就说明广播域可能太大了需要考虑进一步划分。这些数据用SNMP采集配合监控平台做告警能提前发现很多问题。最后再分享一个小技巧如果你不确定某个端口当前属于哪个VLAN除了看配置还可以用display mac-address看这个端口学到了哪些MAC地址再对照VLAN的网段规划基本就能判断出来。这个方法在排查配置和实际不符的问题时特别好用因为有时候配置是对的但实际流量走的是另一回事MAC地址表不会骗人。