金宇澄VLAN的配置实验
很多人在华为交换机上第一次做VLAN配置实验，以为把端口划进VLAN就完事了，结果两台PC明明配了同一个网段的IP，怎么都ping不通；或者VLAN建了一堆，Trunk也配置了，跨交换机之后流量直接就丢了。我当年在eNSP里搭VLAN配置实验环境的时候，这些坑一个都没少踩。后来带新人、做项目割接，才发现VLAN看着简单，但Access、Trunk、Hybrid三种端口类型各自的行为规则，以及VLAN间通信的几种实现方式，如果不在实验里亲手跑一遍，真到了现网排障的时候会非常被动。这篇文章我就从最基础的VLAN划分实验说起，一步步带你做完单交换机VLAN隔离、跨交换机Trunk透传、VLAN间通信（单臂路由和三层交换机VLANIF）、再到Hybrid端口和基于IP子网的VLAN划分实验，最后把排错思路也一起梳理清楚。适合刚接触数通、准备考华为认证，或者工作中需要自己动手配交换机但又没多少实操机会的朋友。
1. 实验环境准备：为什么选择eNSP，以及VLAN标签的基本规则
1.1 用eNSP而不是真机做实验的理由
很多朋友纠结要不要买一台真机来学VLAN。真机当然好，但成本高、接口有限，而且做实验的时候一旦配置错了，恢复起来比模拟器麻烦得多。eNSP是华为官方的网络模拟器，完全免费，能模拟S5700交换机、AR路由器、AC、AP等常见设备，命令行和真实设备几乎一致。你在这上面练会的命令，到真机上可以直接复用，不需要重新适应。
不过eNSP本身有一个常见的坑：装好之后第一次启动设备，状态栏卡在Start不动，通常是因为VirtualBox版本和eNSP不匹配，或者没有以管理员身份运行。我一般是先卸载旧VirtualBox，再装eNSP自带的配套版本，基本都能解决。另外，实验做完记得保存配置，否则eNSP关闭后所有配置都会丢失，这个后面细说。
1.2 实验前必须搞懂：VLAN Tag和端口类型的关系
VLAN（Virtual Local Area Network）本质上是在以太网帧头里插入4字节的VLAN Tag，其中用12比特的VID来标识这个帧属于哪个VLAN。VID范围是0到4095，但0和4095被保留，实际可用的是1到4094。交换机根据接口类型和PVID（Port VLAN ID，端口默认VLAN）来决定怎么处理带Tag和不带Tag的帧，这就是整个VLAN配置实验的底层逻辑。
三种端口类型的行为规则，我建议你直接记下面这个表格，实验的时候遇到问题对照着看，非常有用：
| 端口类型 | 入方向处理（收到帧时） | 出方向处理（发送帧时） | 适用场景 |
|---|---|---|---|
| Access | 不带Tag的帧打上PVID；带Tag的帧如果VLAN等于PVID则接收，否则丢弃 | 不管帧属于哪个VLAN，一律剥掉Tag再发送 | 接PC、打印机、服务器等终端 |
| Trunk | 不带Tag的帧打上PVID；带Tag的帧如果VLAN在允许列表内则接收，否则丢弃 | 帧的VLAN等于PVID（Native VLAN）时剥Tag发送，其他VLAN带Tag发送 | 交换机与交换机之间、交换机与路由器之间 |
| Hybrid | 不带Tag的帧打上PVID；带Tag的帧如果VLAN在允许列表内则接收，否则丢弃 | 帧的VLAN在untagged列表里则剥Tag发送，否则带Tag发送 | 华为私有类型，特殊组网需求 |
可以把VLAN Tag理解成快递包裹上的标签。Access口就像普通住户，只收发自己楼栋的包裹，收到包裹后会撕掉标签再交给你；Trunk口就像转运中心，包裹上贴着标签才能正确分拣，但如果包裹本来就是转运中心本地的，也可以不贴标签直接送。搞懂这个逻辑，后面所有实验的排错思路就都围绕它展开了。
1.3 初始实验拓扑与VLAN规划
第一个实验先不要搞复杂拓扑。一台交换机S5700，两台PC，就够了：
| 设备 | 接口 | 所属VLAN | IP地址 |
|---|---|---|---|
| PC1 | SW1的GE0/0/1 | VLAN10 | 192.168.10.10/24 |
| PC2 | SW1的GE0/0/2 | VLAN20 | 192.168.20.10/24 |
为什么要把两台PC分到不同VLAN？VLAN的核心作用就是隔离广播域，同时实现安全隔离和灵活管理。比如财务电脑和办公电脑即使接在同一台交换机上，业务上也不希望互相访问，就可以用VLAN隔开。后面我们再做VLAN间通信实验，把隔离和互通这两个需求串起来看，整个VLAN的价值就清楚了。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 第一组实验：在单台交换机上完成VLAN划分
2.1 创建VLAN并把接口划进去
打开eNSP，拖一台S5700交换机和两台PC，用网线连好，启动设备。然后进入命令行：
code复制system-view
vlan batch 10 20
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
interface GigabitEthernet0/0/2
port link-type access
port default vlan 20
这里逐条解释一下每条命令做了什么：
vlan batch 10 20：一次性创建VLAN10和VLAN20。如果VLAN比较多，用batch比一条条vlan 10、vlan 20省事得多。port link-type access：把端口类型改成Access。这是很多新手第一个翻车点——华为交换机端口默认是Hybrid类型，不是Access。如果你不修改端口类型，直接敲port default vlan 10