VLAN配置实验指南：从基础到高级应用-代码聚汇网

VLAN配置实验指南：从基础到高级应用

佚格麻瓜

1. VLAN实验概述

VLAN（Virtual Local Area Network）是网络工程中一项基础但至关重要的技术。通过VLAN，我们可以在物理网络基础上创建多个逻辑隔离的广播域，就像在一栋大楼里划分不同的楼层。这种技术最早由IEEE 802.1Q标准定义，现已成为企业网络的标准配置。

在实际工作中，我发现很多网络性能问题都源于不合理的VLAN划分。比如去年处理过的一个案例：某公司200多台设备都在同一个广播域，导致ARP广播风暴频发。通过合理规划VLAN，不仅解决了性能问题，还显著提升了网络安全性。

2. 实验环境搭建

2.1 硬件准备

建议使用支持802.1Q协议的交换机进行实验。Cisco 2960系列是理想的入门选择，它的配置命令直观且兼容性强。如果预算有限，也可以使用GNS3或EVE-NG模拟器。

关键硬件参数：

交换机需支持至少8个VLAN
每个VLAN需要独立的IP子网
建议准备4台PC用于测试连通性

2.2 基础网络拓扑

典型的实验拓扑应包含：

code复制[核心交换机]--[接入交换机]--[PC1]
                |
                +--[PC2]
                +--[PC3]

在接入交换机上划分VLAN 10和VLAN 20，PC1和PC2分别属于不同VLAN，PC3用于测试Trunk链路。

3. VLAN配置详解

3.1 创建VLAN

在Cisco交换机上的基础配置命令：

bash复制Switch> enable
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name Sales
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Finance

注意：VLAN 1是默认VLAN，不建议在生产环境使用。许多安全漏洞都针对默认VLAN。

3.2 端口分配

将端口划入VLAN的两种方式：

Access模式（单VLAN）：

bash复制Switch(config)# interface fastEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10

Trunk模式（多VLAN）：

bash复制Switch(config)# interface fastEthernet 0/24
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20

4. 跨VLAN通信实现

4.1 三层交换机配置

要实现VLAN间通信，需要配置SVI（Switch Virtual Interface）：

bash复制Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown

Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# no shutdown

4.2 路由器子接口配置

如果使用路由器实现VLAN间路由：

bash复制Router(config)# interface gigabitEthernet 0/0.10
Router(config-subif)# encapsulation dot1Q 10
Router(config-subif)# ip address 192.168.10.1 255.255.255.0

Router(config)# interface gigabitEthernet 0/0.20
Router(config-subif)# encapsulation dot1Q 20
Router(config-subif)# ip address 192.168.20.1 255.255.255.0

5. 验证与排错

5.1 常用验证命令

bash复制# 查看VLAN信息
show vlan brief

# 检查Trunk配置
show interfaces trunk

# 验证VLAN间路由
show ip route

5.2 常见问题排查

VLAN不生效：
- 检查交换机端口是否已激活（no shutdown）
- 确认终端设备的网卡支持VLAN tagging
跨VLAN无法通信：
- 验证三层设备是否启用ip routing
- 检查ACL是否阻止了VLAN间流量
Trunk链路问题：
- 确保两端交换机使用相同的Native VLAN
- 检查allowed vlan列表是否包含需要的VLAN

6. 高级应用场景

6.1 VLAN Hopping防护

为防止VLAN跳跃攻击，建议：

bash复制Switch(config)# interface fastEthernet 0/24
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk native vlan 999  # 使用不存在的VLAN
Switch(config-if)# switchport nonegotiate

6.2 Private VLAN

实现端口隔离的高级技术：

bash复制Switch(config)# vlan 100
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# private-vlan association 200
Switch(config)# interface fastEthernet 0/5
Switch(config-if)# switchport mode private-vlan host
Switch(config-if)# switchport private-vlan host-association 100 200

7. 实验心得

经过多次VLAN实验，我总结了几个实用技巧：

规划阶段就要确定VLAN ID、名称和IP子网的对应关系，建议使用表格记录
在复杂环境中，先配置单个VLAN测试通过后再添加其他VLAN
使用logging console命令实时查看配置过程中的错误信息
保存配置前务必测试所有VLAN的连通性

一个容易忽视的细节是：当使用光纤连接时，需要特别注意两端交换机的VLAN配置是否同步。有次故障就是因为一端忘记配置允许VLAN通过，导致链路虽然物理连通但逻辑不通。