1. VLAN实验概述
VLAN（Virtual Local Area Network）是网络工程中的一项基础技术，它允许管理员在物理网络基础上创建逻辑隔离的广播域。通过VLAN划分，可以实现网络资源的灵活分配、安全隔离和流量优化。本次实验将使用企业级交换机设备，演示VLAN的完整配置流程和实际应用场景。
关键概念：一个VLAN就是一个独立的广播域，即使设备物理连接在同一台交换机上，不同VLAN的设备也无法直接通信，除非通过三层设备路由。
2. 实验环境准备
2.1 硬件设备清单
- Cisco 2960系列交换机（或华为S5700等同级设备）2台
- 普通PC 4台（2台用于VLAN 10，2台用于VLAN 20）
- 直连网线6条（4条用于PC连接，2条用于交换机互联）
- Console线1条（用于初始配置）
2.2 拓扑设计
code复制[PC1]---[SW1]----[SW2]---[PC3]
| |
[PC2] [PC4]
- PC1、PC2划分到VLAN 10
- PC3、PC4划分到VLAN 20
- SW1与SW2之间配置Trunk链路
3. 基础配置步骤
3.1 交换机初始化
bash复制Switch> enable
Switch# configure terminal
Switch(config)# hostname SW1
SW1(config)# no ip domain-lookup
SW1(config)# line console 0
SW1(config-line)# logging synchronous
3.2 VLAN创建与端口分配
bash复制SW1(config)# vlan 10
SW1(config-vlan)# name Sales
SW1(config-vlan)# exit
SW1(config)# vlan 20
SW1(config-vlan)# name Finance
SW1(config)# interface fastEthernet 0/1
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
SW1(config-if)# no shutdown
SW1(config)# interface fastEthernet 0/2
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
3.3 Trunk链路配置
bash复制SW1(config)# interface gigabitEthernet 0/1
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk allowed vlan 10,20
SW1(config-if)# no shutdown
4. 验证与排错
4.1 基础验证命令
bash复制# 查看VLAN列表
SW1# show vlan brief
# 检查Trunk端口状态
SW1# show interfaces trunk
# 验证端口VLAN分配
SW1# show interfaces fastEthernet 0/1 switchport
4.2 常见问题排查
-
VLAN间无法通信
- 检查是否配置了三层路由
- 确认Trunk链路允许了相关VLAN通过
- 使用
show spanning-tree查看是否有端口被阻塞
-
PC获取不到IP地址
- 验证DHCP服务器是否位于正确VLAN
- 检查交换机端口是否处于
err-disabled状态
-
Trunk链路不生效
- 确认两端交换机都配置为Trunk模式
- 检查
switchport trunk allowed vlan是否包含所需VLAN
5. 高级应用场景
5.1 VLAN间路由
bash复制# 配置SVI接口（需三层交换机）
SW1(config)# interface vlan 10
SW1(config-if)# ip address 192.168.10.1 255.255.255.0
SW1(config-if)# no shutdown
SW1(config)# interface vlan 20
SW1(config-if)# ip address 192.168.20.1 255.255.255.0
SW1(config-if)# no shutdown
5.2 私有VLAN应用
bash复制# 配置隔离端口
SW1(config)# vlan 100
SW1(config-vlan)# private-vlan isolated
SW1(config-vlan)# exit
# 配置主VLAN关联
SW1(config)# vlan 200
SW1(config-vlan)# private-vlan primary
SW1(config-vlan)# private-vlan association 100
6. 安全最佳实践
-
禁用未使用端口
bash复制
SW1(config)# interface range fastEthernet 0/3-24 SW1(config-if-range)# shutdown SW1(config-if-range)# switchport mode access SW1(config-if-range)# switchport access vlan 999 -
配置VLAN ACL
bash复制
SW1(config)# access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 SW1(config)# access-list 100 permit ip any any SW1(config)# vlan access-map FILTER 10 SW1(config-access-map)# match ip address 100 SW1(config-access-map)# action drop -
启用端口安全
bash复制
SW1(config)# interface fastEthernet 0/1 SW1(config-if)# switchport port-security SW1(config-if)# switchport port-security maximum 1 SW1(config-if)# switchport port-security violation restrict
7. 企业级部署建议
-
VLAN规划原则
- 按部门/功能划分（如财务、研发、访客）
- 预留扩展VLAN号段（建议以100为间隔）
- 为管理流量保留专用VLAN
-
IP地址分配策略
markdown复制
| VLAN ID | 网段 | 用途 | 网关 | |---------|----------------|------------|-------------| | 10 | 192.168.10.0/24| 销售部 | 192.168.10.1| | 20 | 192.168.20.0/24| 财务部 | 192.168.20.1| | 999 | 192.168.99.0/24| 隔离区 | N/A | -
文档管理要点
- 维护VLAN-ID与物理端口的对应表
- 记录Trunk链路的允许VLAN列表
- 标注特殊配置（如语音VLAN）
8. 实验扩展思考
-
QinQ技术实现
- 适用于服务提供商的多层VLAN标签场景
- 配置示例：
bash复制
SW1(config)# interface gigabitEthernet 0/1 SW1(config-if)# switchport mode dot1q-tunnel
-
VTP协议优化
- 统一管理多台交换机的VLAN数据库
- 建议配置为Transparent模式避免意外同步
-
SDN环境下的VLAN
- 通过OpenFlow实现动态VLAN分配
- 基于策略的自动化VLAN配置
通过本次实验，我们不仅掌握了VLAN的基础配置方法，还深入了解了企业网络中的实际应用场景。建议在实际工作中，结合网络监控工具（如SolarWinds）定期检查VLAN状态，确保网络隔离策略持续有效。