1. VLAN基础概念与实验背景
在传统局域网环境中，所有设备都处于同一个广播域。这意味着当一台主机发送广播帧时，整个网络中的所有设备都会收到这个帧。随着网络规模扩大，广播流量会显著增加，导致网络性能下降，这就是所谓的"广播风暴"问题。
VLAN（Virtual Local Area Network）技术通过在数据链路层（OSI第二层）创建逻辑隔离的网络分段，有效解决了这个问题。它允许网络管理员将一个物理网络划分为多个逻辑网络，每个VLAN形成一个独立的广播域。这种划分不依赖于物理位置，而是基于端口、MAC地址或协议等逻辑标准。
提示：虽然VLAN是逻辑划分，但不同VLAN间的通信必须通过三层设备（如路由器或三层交换机）才能实现，这是网络安全和流量管理的基础原则。
我在实际网络工程中发现，VLAN配置中最常见的误解是认为只要交换机支持VLAN功能就能自动隔离流量。实际上，VLAN的实现需要正确配置三个关键要素：
- 交换机端口的VLAN成员关系（Access/Truck模式）
- VLAN间的路由配置
- 跨交换机时的VLAN中继协议（如802.1Q）
2. 实验环境搭建与拓扑设计
2.1 硬件设备选型建议
对于基础VLAN实验，建议使用以下设备组合：
- 2台支持802.1Q协议的可管理交换机（如Cisco 2960系列）
- 4台终端设备（PC或笔记本）
- 1台具备路由功能的三层交换机或路由器（用于VLAN间路由实验）
- 直连网线若干
如果预算有限，也可以使用网络模拟器完成实验。我个人推荐：
- Cisco Packet Tracer（适合初学者）
- GNS3（支持真实镜像，功能更全面）
- EVE-NG（企业级模拟环境）
2.2 基础拓扑设计
我们采用双交换机互联的经典拓扑：
code复制[PC1]--[SW1]----[SW2]--[PC3]
[PC2] [PC4]
其中：
- PC1、PC2连接SW1
- PC3、PC4连接SW2
- SW1与SW2通过千兆端口互联
这个设计可以验证以下VLAN特性：
- 同一VLAN跨交换机的通信
- 不同VLAN间的隔离
- 中继链路的必要性
3. VLAN配置实战步骤
3.1 创建VLAN与端口分配
以Cisco交换机为例，基础配置流程如下：
cisco复制! 进入特权模式
Switch> enable
Switch# configure terminal
! 创建VLAN 10和VLAN 20
Switch(config)# vlan 10
Switch(config-vlan)# name Sales
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Engineering
Switch(config-vlan)# exit
! 配置端口模式
Switch(config)# interface fastEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# exit
Switch(config)# interface fastEthernet 0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
关键点说明：
switchport mode access将端口设置为接入模式switchport access vlan X将端口划入指定VLAN- VLAN 1是默认VLAN，通常建议保留用于管理流量
3.2 配置中继链路
连接两台交换机的端口需要配置为中继模式：
cisco复制Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20
Switch(config-if)# exit
注意：不同厂商的trunk配置命令可能不同。华为使用
port link-type trunk，H3C则需要同时配置port link-mode trunk和port trunk permit vlan all。
4. 常见问题排查与验证
4.1 连通性测试方法
验证VLAN配置是否生效的步骤：
-
同一VLAN内测试：
- PC1(192.168.10.1/24) ping PC3(192.168.10.2/24) 应该通
- PC2(192.168.20.1/24) ping PC4(192.168.20.2/24) 应该通
-
不同VLAN间测试：
- PC1 ping PC2 应该不通
- PC3 ping PC4 应该不通
-
中继链路验证：
- 在交换机上执行
show interfaces trunk查看中继状态 - 确认所需VLAN出现在允许列表中
- 在交换机上执行
4.2 典型故障处理
问题1：同一VLAN跨交换机不通
排查步骤：
- 检查两端交换机的trunk配置
- 确认
show vlan brief中VLAN已创建 - 验证
show interfaces switchport端口模式正确
问题2：误将管理VLAN划入业务VLAN
解决方案：
cisco复制! 将管理接口移回VLAN 1
interface vlan 1
ip address 192.168.1.1 255.255.255.0
no shutdown
5. 高级应用与安全实践
5.1 VLAN间路由配置
实现VLAN间通信的三层交换机配置示例：
cisco复制Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.254 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit
Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.254 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit
! 启用IP路由功能
Switch(config)# ip routing
5.2 安全增强措施
-
Native VLAN修改：
cisco复制interface gigabitEthernet 0/1 switchport trunk native vlan 999将native VLAN改为非默认值，避免VLAN跳跃攻击
-
VLAN ACL应用：
cisco复制vlan access-map Sales-Filter 10 match ip address 100 action drop vlan filter Sales-Filter vlan-list 10限制特定VLAN的访问权限
-
私有VLAN隔离：
cisco复制vlan 100 private-vlan community vlan 101 private-vlan isolated vlan 102 private-vlan primary private-vlan association 100,101实现同一VLAN内的端口隔离
6. 实验报告撰写要点
一份完整的VLAN实验报告应包含：
-
实验目标：
- 验证VLAN的广播隔离特性
- 掌握跨交换机VLAN配置方法
- 理解VLAN间路由原理
-
实验拓扑图：
- 使用Visio或Draw.io绘制清晰拓扑
- 标注各设备IP、VLAN归属
-
配置过程记录：
- 关键配置命令及解释
- 配置顺序对结果的影响
-
测试结果分析：
- 连通性测试截图
- 异常现象及解决方法
-
思考题：
- 如果忘记配置trunk的allowed vlan列表会怎样？
- 为什么建议禁用VLAN 1作为管理VLAN？
我在实际教学中发现，学生最容易忽视的是测试环节的完整性。建议采用以下测试矩阵：
| 测试项 | 源设备 | 目标设备 | 预期结果 | 实际结果 |
|---|---|---|---|---|
| 同VLAN | PC1(VLAN10) | PC3(VLAN10) | 通 | |
| 跨VLAN | PC1(VLAN10) | PC2(VLAN20) | 不通 | |
| 中继验证 | SW1 | SW2 | VLAN10,20可通过 |
这种结构化的记录方式能有效提升实验报告的专业性。