五个橘核我见过不少人，拿着教材能把VLAN的概念背得滚瓜烂熟，一到实际配置交换机就翻车。这不是在嘲讽谁，而是因为VLAN这套知识有个特点：光靠看真的学不会。你只有亲手敲一遍命令，最好再故意配错几次，才能真正理解802.1Q的Tag是怎么在链路上给数据帧标身份的，Trunk口的PVID被改掉会引发什么连锁反应。
所以我把最近在eNSP里做的一整套VLAN实验记录整理成了这篇攻略。内容从单交换机VLAN划分开始，一路做到跨交换机Trunk通信、VLAN间路由、基于IP子网的VLAN划分、VLAN Pool、IPSG源防攻击和管理VLAN，基本把VLAN相关的主流实验都覆盖了。适合刚开始学网络、准备华为认证实验，或者工作中正被VLAN问题折磨的朋友。每一步都有命令、有验证、有坑位提醒，照着做就能搭完。
1. 实验前的思路：VLAN到底在解决什么，这轮实验要验证什么
1.1 一个不划分VLAN的网络会怎样
很多人学VLAN时第一个疑问是：交换机不就能转发数据吗，为什么非要多此一举搞出个VLAN？最好的回答是看反面教材。
假设公司只有一台交换机，财务部、行政部、研发部几十台电脑全接在上面。不划VLAN，所有人都在同一个广播域里。某个员工电脑中招后疯狂发ARP广播，整台交换机上所有端口都会收到这些广播帧，局域网直接卡成PPT。更麻烦的是安全隔离形同虚设，财务部共享文件夹里的数据，研发部也能访问，领导问起来你拿不出任何隔离手段。
VLAN（Virtual Local Area Network，虚拟局域网）做的事情，就是在一个物理局域网里切出多个逻辑隔离的广播域。VLAN 10里的广播帧永远不会进入VLAN 20，跨VLAN通信必须经过三层设备，这样你才有位置做ACL等访问控制。这个机制听着简单，但它是一切园区网、数据中心网络的基础。这也是为什么我说它是网络工程师第一个值得认真对待的实验。
1.2 这轮实验要验证的四个核心结论
实验不能盲目敲命令，每个实验都要对应一个明确的结论。我这轮给自己定的验证目标如下：
- 二层隔离：不同VLAN之间的广播不可达，同VLAN内二层互通。
- 端口收发模型：Access口只承载一个VLAN的untagged流量，Trunk口承载多个VLAN并区分tagged和untagged。
- 三层介入：VLAN间通信必须经过路由器或三层交换机的VLANIF接口。
- 动态划分：VLAN不一定要绑定端口，还可以基于IP子网、基于用户接入动态分配。
后面每个实验都是围绕这些结论展开的。
1.3 eNSP实验环境与设备选型
模拟器用华为eNSP，这套实验在eNSP上跑非常顺手。设备选型建议如下：
| 设备角色 | 型号 | 用途 |
|---|---|---|
| 接入交换机 | S5700 | 做VLAN划分、Access/Trunk实验 |
| 路由器 | AR2220 | 单臂路由实验 |
| 终端 | PC（eNSP自带） | 测试连通性、修改IP和网关 |
版本上，S5700对VLANIF三层功能支持得比S3700好，VLAN间通信实验需要它。环境搭建时有个小提醒：模拟器设备启动慢或者启动后一直显示"#"，十有八九是Windows防火墙或WinPcap/Npcap驱动的问题。先把防火墙关掉，把抓包软件重装一遍再启动设备，能省掉很多不必要的折腾。
另外一个基础概念先摆出来：华为交换机默认所有端口都在VLAN 1里，接口默认链路类型是Hybrid，并不是很多人以为的Access。所以做配置实验时，每个端口都要显式指定link-type，不要依赖默认值。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 单交换机VLAN划分实验：Access端口的归属逻辑
2.1 拓扑设计与IP规划
第一个实验用一台S5700加四台PC。端口规划如下：
- G0/0/1接PC1，划入VLAN 10，IP为192.168.10.1/24。
- G0/0/2接PC2，划入VLAN 10，IP为192.168.10.2/24。
- G0/0/3接PC3，划入VLAN 20，IP为192.168.20.1/24。
- G0/0/4接PC4，划入VLAN 20，IP为192.168.20.2/24。
实验目标是验证：PC1和PC2能互通，PC3和PC4能互通，但VLAN 10和VLAN 20之间不能互通。
2.2 华为交换机VLAN划分配置命令
在S5700上执行下面的命令序列：
code复制system-view
sysname SW1
vlan batch 10 20
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
interface GigabitEthernet0/0/2
port link-type access
port default vlan 10
interface GigabitEthernet0/0/3
port link-type access
port default vlan 20
interface GigabitEthernet0/0/4
port link-type access
port default vlan 20
return
解释一下几个关键点。vlan batch 10 20是一次性创建两个VLAN，比逐个vlan 10、vlan 20省事。port link-type access把端口设为Access模式，Access口的特点就是整个端口只属于一个VLAN，连接PC这类终端设备再合适不过。port default vlan 10则指定这个Access口归属的VLAN。
华为不同系列交换机在基础命令上是一致的，S5700、S3700、S12700这些都能直接用。但不同版本软件可能在高级特性上有差异，比如MUX VLAN、基于组策略的VLAN分配，实验时以自己设备的文