我的文档

主题

VLAN 划分与华为交换机配置实操 ​

一、VLAN 概述 ​

VLAN（Virtual LAN，虚拟局域网） 是在二层网络上将一个物理局域网在逻辑上划分成多个广播域的技术，遵循 IEEE 802.1Q 标准。

VLAN 的作用：

  1. 隔离广播域：广播帧只在同一 VLAN 内转发，抑制广播风暴；
  2. 提升安全性：不同 VLAN 的用户二层隔离，无法直接互访；
  3. 灵活管理：按部门/业务划分网络，不受物理位置限制；
  4. 减轻交换机负担：减少广播对 CPU 与带宽的消耗。

802.1Q 帧格式： 在标准以太网帧的源 MAC 之后插入 4 字节 Tag：

字段长度说明
TPID2 字节固定 0x8100，标识 802.1Q 帧
Priority3 bitQoS 优先级（CoS）
CFI1 bit标准格式指示位
VLAN ID12 bitVLAN 编号，0~4095

VLAN ID 中 0 和 4095 保留，可用范围为 1~4094；VLAN 1 为默认 VLAN 且不可删除。

二、VLAN 划分方式 ​

划分方式依据特点适用场景
基于端口交换机物理端口配置最简单、最常用；用户换端口需重新配置桌面接入、位置固定的终端
基于 MAC 地址终端网卡 MAC用户移动无需重新配置；MAC 数量大时维护复杂位置常变的终端（如笔记本）
基于子网IP 网段与 IP 规划一致，管理直观；需依赖三层信息IP 规划规范的网络
基于协议协议类型按协议分流；应用已很少老旧多协议网络
基于策略MAC+IP+端口组合最灵活，安全性最高高安全要求场景

实际工程中基于端口的划分占绝大多数，本文实操均基于此方式。

三、华为交换机端口类型 ​

华为（VRP 平台）交换机支持三种端口链路类型：Access、Trunk、Hybrid。

对比项AccessTrunkHybrid
所属 VLAN仅 1 个（PVID）多个多个
连接对象终端/服务器交换机/路由器既可接终端也可接交换机
发帧是否带 Tag不带（剥 Tag）PVID 不带，其余带由 untagged/tagged 灵活控制
典型场景PC 接入交换机互联服务器多业务、灵活混合接入

收发帧处理规则：

Access 端口：
  收到无 Tag 帧  → 打上 PVID 的 Tag
  收到有 Tag 帧  → Tag = PVID 则接收，否则丢弃
  发送帧         → 一律剥离 Tag 后转发

Trunk 端口：
  收到无 Tag 帧  → 打上 PVID 的 Tag（默认 PVID=1）
  收到有 Tag 帧  → VLAN 在 allow-pass 列表内则接收，否则丢弃
  发送帧         → PVID 剥 Tag，其余 VLAN 保留 Tag

Hybrid 端口：
  收到无 Tag 帧  → 打上 PVID 的 Tag
  发送帧         → untagged VLAN 列表剥 Tag，tagged VLAN 列表保留 Tag

四、基础配置实操 ​

4.1 创建 VLAN ​

text
<HTSw> system-view                          # 进入系统视图
[HTSw] sysname SW1                          # 修改设备名（可选）
[SW1] vlan batch 10 20 30                   # 批量创建 VLAN 10/20/30
Info: This operation may take a few seconds...

[SW1] vlan 10                               # 单独创建并进入 VLAN 视图
[SW1-vlan10] description Sales              # 添加描述（推荐）
[SW1-vlan10] quit

4.2 配置 Access 端口（接终端） ​

text
[SW1] interface GigabitEthernet 0/0/1       # 进入接口视图
[SW1-GigabitEthernet0/0/1] port link-type access      # 链路类型改为 access
[SW1-GigabitEthernet0/0/1] port default vlan 10       # 划入 VLAN 10（即设置 PVID）
[SW1-GigabitEthernet0/0/1] quit

批量配置多个端口（端口组）：

text
[SW1] port-group group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/10
[SW1-port-group] port link-type access
[SW1-port-group] port default vlan 10
[SW1-port-group] quit

注意：接口默认为 hybrid 类型，必须先 port link-type access 再 port default vlan，否则报错 Error: Please configure link-type first。

4.3 配置 Trunk 端口（交换机互联） ​

text
[SW1] interface GigabitEthernet 0/0/24
[SW1-GigabitEthernet0/0/24] port link-type trunk
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20   # 放行 VLAN 10 和 20
[SW1-GigabitEthernet0/0/24] quit

补充命令：

text
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan all        # 放行所有 VLAN（不推荐）
[SW1-GigabitEthernet0/0/24] undo port trunk allow-pass vlan 1     # 移除放行 VLAN 1
[SW1-GigabitEthernet0/0/24] port trunk pvid vlan 100              # 修改 Trunk 口 PVID（两端需一致）

4.4 配置 Hybrid 端口 ​

典型场景：PC 属于 VLAN 20，同时需与语音 VLAN 100 互通，发往 PC 的帧需剥 Tag：

text
[SW1] interface GigabitEthernet 0/0/2
[SW1-GigabitEthernet0/0/2] port link-type hybrid
[SW1-GigabitEthernet0/0/2] port hybrid pvid vlan 20                 # 设置 PVID
[SW1-GigabitEthernet0/0/2] port hybrid untagged vlan 20 100         # 这两个 VLAN 的帧发送时剥 Tag
[SW1-GigabitEthernet0/0/2] quit

4.5 删除与恢复 ​

text
[SW1] undo vlan 30                                            # 删除 VLAN 30
[SW1] interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1] undo port default vlan             # 恢复默认 VLAN 1
[SW1-GigabitEthernet0/0/1] undo port link-type                # 恢复默认 hybrid（需先恢复 VLAN 配置）
[SW1-GigabitEthernet0/0/1] quit
[SW1] display current-configuration | section vlan            # 查看所有 VLAN 配置

删除 VLAN 前需先将该 VLAN 从各端口移除，否则部分型号会提示端口占用无法删除。

五、跨交换机同 VLAN 互通实验 ​

实验拓扑：

text
PC1 ──GE0/0/1[SW1]GE0/0/24 ══ trunk ══ GE0/0/24[SW2]GE0/0/1 ── PC2
PC3 ──GE0/0/2[SW1]                  GE0/0/2[SW2] ── PC4

PC1: 192.168.10.10/24  VLAN 10   PC2: 192.168.10.20/24  VLAN 10
PC3: 192.168.20.10/24  VLAN 20   PC4: 192.168.20.20/24  VLAN 20

目标：PC1 与 PC2 通、PC3 与 PC4 通；PC1 与 PC3/PC4 不通

SW1 完整配置：

text
<HTSw> system-view
[HTSw] sysname SW1
[SW1] vlan batch 10 20

# 终端接入
[SW1] interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1] port link-type access
[SW1-GigabitEthernet0/0/1] port default vlan 10
[SW1-GigabitEthernet0/0/1] quit
[SW1] interface GigabitEthernet 0/0/2
[SW1-GigabitEthernet0/0/2] port link-type access
[SW1-GigabitEthernet0/0/2] port default vlan 20
[SW1-GigabitEthernet0/0/2] quit

# 上联 Trunk
[SW1] interface GigabitEthernet 0/0/24
[SW1-GigabitEthernet0/0/24] port link-type trunk
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20
[SW1-GigabitEthernet0/0/24] quit

SW2 完整配置：

text
<HTSw> system-view
[HTSw] sysname SW2
[SW2] vlan batch 10 20

[SW2] interface GigabitEthernet 0/0/1
[SW2-GigabitEthernet0/0/1] port link-type access
[SW2-GigabitEthernet0/0/1] port default vlan 10
[SW2-GigabitEthernet0/0/1] quit
[SW2] interface GigabitEthernet 0/0/2
[SW2-GigabitEthernet0/0/2] port link-type access
[SW2-GigabitEthernet0/0/2] port default vlan 20
[SW2-GigabitEthernet0/0/2] quit

[SW2] interface GigabitEthernet 0/0/24
[SW2-GigabitEthernet0/0/24] port link-type trunk
[SW2-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20
[SW2-GigabitEthernet0/0/24] quit

验证：

text
PC1> ping 192.168.10.20        # 通：同 VLAN 跨交换机经 Trunk 互通
PC1> ping 192.168.20.10        # 不通：不同 VLAN 二层隔离（正常）

六、VLAN 间路由 ​

VLAN 隔离后不同 VLAN 无法二层互通，需要三层设备实现 VLAN 间路由。两种方案：三层交换机 VLANIF（主流）与单臂路由。

6.1 三层交换机 VLANIF 接口（推荐） ​

在 SW1 上为每个 VLAN 创建 VLANIF 并配置网关 IP：

text
[SW1] vlan batch 10 20
[SW1] interface Vlanif 10
[SW1-Vlanif10] ip address 192.168.10.1 24        # VLAN 10 的网关
[SW1-Vlanif10] quit
[SW1] interface Vlanif 20
[SW1-Vlanif20] ip address 192.168.20.1 24        # VLAN 20 的网关
[SW1-Vlanif20] quit

同时将 PC 的网关分别指向 192.168.10.1 / 192.168.20.1，验证：

text
PC1> ping 192.168.20.10          # 通：经 VLANIF 三层路由转发
PC1> display ip routing-table    # 查看路由表中的直连 VLANIF 网段

6.2 单臂路由（路由器子接口） ​

适用于网络中只有路由器、无三层交换机的场景。

text
# SW1 侧：上联路由器的口配 Trunk
[SW1] interface GigabitEthernet 0/0/24
[SW1-GigabitEthernet0/0/24] port link-type trunk
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20
[SW1-GigabitEthernet0/0/24] quit

# 路由器侧：配置 802.1Q 子接口
<HTAR> system-view
[HTAR] interface GigabitEthernet 0/0/0.10
[HTAR-GigabitEthernet0/0/0.10] dot1q termination vid 10          # 终结 VLAN 10 的 Tag
[HTAR-GigabitEthernet0/0/0.10] ip address 192.168.10.1 24
[HTAR-GigabitEthernet0/0/0.10] arp broadcast enable              # 开启子接口 ARP 广播（华为必配）
[HTAR-GigabitEthernet0/0/0.10] quit
[HTAR] interface GigabitEthernet 0/0/0.20
[HTAR-GigabitEthernet0/0/0.20] dot1q termination vid 20
[HTAR-GigabitEthernet0/0/0.20] ip address 192.168.20.1 24
[HTAR-GigabitEthernet0/0/0.20] arp broadcast enable
[HTAR-GigabitEthernet0/0/0.20] quit

两种方案对比：VLANIF 方案转发走交换芯片、性能高、扩展简单，是企业网主流；单臂路由所有流量走路由器单一物理口，易成为带宽瓶颈，多用于小型网络与教学。

七、常用查看与排错命令 ​

命令作用
display vlan查看所有 VLAN 及端口归属
display vlan 10查看 VLAN 10 详情
display port vlan查看各端口链路类型与放行 VLAN
display port vlan active查看端口 VLAN 生效信息（含动态）
display mac-address查看 MAC 地址表（含 VLAN 归属）
display interface brief查看端口简要状态（up/down）
display current-configuration查看当前全部配置
display this查看当前视图下的配置
display lldp neighbor brief查看邻居设备（配合排线）

排错思路：先看 display port vlan 确认端口类型与放行 VLAN → 再看 display vlan 确认端口归属 → 最后检查两端 Trunk 的 allow-pass 与 pvid 是否一致。

八、常见问题与注意事项 ​

  1. Trunk 忘记放行 VLAN：port trunk allow-pass vlan 默认仅放行 VLAN 1，漏配导致跨交换机不通，这是最高频故障；
  2. 两端 PVID 不一致：Trunk 两端 port trunk pvid 不同会导致收发帧 Tag 处理错位，出现单通或丢包；
  3. VLANIF 状态为 down：该 VLAN 没有任何处于 up 状态的物理端口，VLANIF 不生效；
  4. 直连路由不转发：VLAN 间互通依赖 VLANIF 直连路由，配置了 IP 但 VLAN 未创建会直接失败；
  5. 默认 VLAN 1 安全风险：管理流量与业务流量建议与 VLAN 1 分离，Trunk 口移除 VLAN 1 放行；
  6. Hybrid 口特性混淆：Hybrid 的 untagged/tagged 列表与 Trunk 的 allow-pass 语义不同，混用时按 Hybrid 规则处理帧；
  7. 配置保存：完成配置后执行 save 保存，否则重启后丢失。

九、面试问答 ​

  1. VLAN 的作用？ 隔离广播域、提升安全性、灵活组网管理，基于 802.1Q 在帧中插入 12 bit VLAN ID（1~4094 可用）。
  2. Access、Trunk、Hybrid 的区别？ Access 属一个 VLAN、发帧剥 Tag，接终端；Trunk 属多个 VLAN、发帧按 PVID 剥 Tag 其余保留，接交换机；Hybrid 属多个 VLAN、可通过 untagged/tagged 列表灵活控制发帧是否剥 Tag，接终端和交换机皆可。
  3. 不同 VLAN 之间如何通信？ 需三层设备：主流用三层交换机 VLANIF 网关，也可用路由器子接口（单臂路由，华为需 dot1q termination vid + arp broadcast enable）。
  4. 交换机如何区分不同 VLAN 的帧？ 依据帧内 802.1Q Tag（TPID 0x8100 + VLAN ID）；无 Tag 帧按端口 PVID 处理。
  5. 跨交换机同 VLAN 不通的常见原因？ Trunk 未放行该 VLAN、两端 PVID 不一致、端口归属 VLAN 配错、物理链路 down。
  6. VLAN 1 为什么不建议做业务 VLAN？ VLAN 1 是默认 VLAN 不可删除，Trunk 默认放行，管理面与数据面混用存在安全隐患，工程上业务用其他 VLAN 并从 Trunk 移除 VLAN 1。

十、记忆技巧 ​

  • 端口类型口诀：接终端用 Access，接交换机用 Trunk，混合场景用 Hybrid；
  • Trunk 三要素：link-type trunk、allow-pass 放行、两端 PVID 一致；
  • 单臂路由三连：子接口 → dot1q termination vid → arp broadcast enable；
  • 排错三板斧：display port vlan → display vlan → 查两端 Trunk 一致性。