![[ 网络协议篇 ] vlan 详解之 vlan if 实战：从二层隔离到三层互通的网关配置](http://pic.xiahunao.cn/yaotu/[ 网络协议篇 ] vlan 详解之 vlan if 实战：从二层隔离到三层互通的网关配置)
1. VLAN基础概念与二层隔离原理在企业网络中广播风暴就像办公室里的全员群发邮件——当某个员工发送全员通知时所有人的邮箱都会被塞满。VLAN技术正是为了解决这个问题而诞生的网络划分方案。通过给数据帧打上标签VLAN Tag我们可以把一台物理交换机虚拟成多个独立的迷你交换机。想象一下这样的场景市场部和技术部共用同一台交换机但他们的网络流量就像两个平行宇宙。市场部的打印机VLAN 10不会出现在技术部的网络邻居里技术部的代码服务器VLAN 20也对市场部隐身。这种隔离是通过802.1Q协议实现的每个数据帧头部增加的4字节Tag里就藏着关键的VLAN ID1-4094。华为交换机上有三种处理这些标签的门卫Access端口像公司前台只认一个部门的访客VLAN外来人员必须换成访客卡添加PVIDTrunk端口如同部门间的走廊允许带工牌的多部门人员多VLAN标签通过Hybrid端口类似智能闸机可以自定义哪些部门需要查验证件保留标签哪些直接放行剥离标签# 查看交换机上的VLAN划分情况 [SW1] display vlan summary VLAN ID: 10, 20 # 已创建的两个部门VLAN2. VLANIF的三层网关本质当市场部的小王需要给技术部老张发方案时问题出现了——二层隔离让他们的电脑根本看不见对方。这时候就需要VLANIF接口扮演部门联络员的角色。这个虚拟接口的神奇之处在于它没有物理形态却可以配置IP地址它像路由器接口一样工作但性能比传统路由器高10倍它能自动学习直连路由就像部门联络员天然知道本部门所有成员三层交换机内部的ASIC芯片是这个魔术的关键收到第一个跨VLAN数据包时CPU会像老练的邮局分拣员先查路由表确定路径之后的数据包就直接走快速通道硬件转发表实现一次路由多次交换# 创建VLANIF接口并配置IP市场部网关 [SW1] interface Vlanif 10 [SW1-Vlanif10] ip address 192.168.10.1 24 [SW1-Vlanif10] undo shutdown3. 企业网络实战配置假设我们有以下需求市场部VLAN 10网段192.168.10.0/24技术部VLAN 20网段192.168.20.0/24核心交换机Huawei S5730配置步骤分解VLAN创建与端口划分# 批量创建VLAN [SW1] vlan batch 10 20 # 配置市场部接入端口G0/0/1 [SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 # 配置技术部接入端口G0/0/2 [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20VLANIF网关配置# 配置市场部网关 [SW1] interface Vlanif 10 [SW1-Vlanif10] ip address 192.168.10.1 24 # 配置技术部网关 [SW1] interface Vlanif 20 [SW1-Vlanif20] ip address 192.168.20.1 24验证配置# 查看VLANIF接口状态 [SW1] display ip interface brief Vlanif10 192.168.10.1/24 up up Vlanif20 192.168.20.1/24 up up # 测试跨VLAN连通性 [SW1] ping -a 192.168.10.1 192.168.20.1 PING 192.168.20.1: 56 data bytes, press CTRL_C to break Reply from 192.168.20.1: bytes56 Sequence1 ttl255 time1 ms4. 数据包旅行日记让我们跟踪一个从市场部PC192.168.10.100到技术部服务器192.168.20.200的数据包旅程出发准备源PC发现目标IP不在同网段把数据包交给网关192.168.10.1ARP协议获取网关MAC地址封装源MACPC和目标MACVLANIF 10交换机处理接入端口G0/0/1收到数据帧打上VLAN 10标签交换机发现目标MAC是VLANIF 10触发三层转发查询路由表找到192.168.20.0/24对应VLANIF 20华丽变身源MAC替换为VLANIF 20的MAC目标MAC替换为服务器MAC通过ARP获取VLAN标签改为20从G0/0/2端口剥离标签后发出到达终点服务器看到合法以太网帧完成通信# 查看MAC地址表关键学习点 [SW1] display mac-address MAC address table of slot 0: ---------------------------------------------------------------------- MAC Address VLAN/VSI/BD Learned-From Type ---------------------------------------------------------------------- 5489-98b1-1010 10/-/- GE0/0/1 dynamic 5489-98c2-2020 20/-/- GE0/0/2 dynamic5. 常见排错指南问题1VLAN间无法通信检查项# 确认VLANIF状态 [SW1] display interface Vlanif 10 # 检查路由表 [SW1] display ip routing-table # 验证ARP学习 [SW1] display arp all典型故障忘记undo shutdown接口或子网掩码配置错误问题2部分主机无法上网排查步骤确认主机网关指向VLANIF IP检查端口VLAN划分是否正确测试同VLAN内其他主机是否正常问题3Trunk链路不通关键命令# 检查Trunk允许的VLAN [SW1] display port vlan GigabitEthernet 0/0/24 # 修正命令示例 [SW1] interface GigabitEthernet 0/0/24 [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 206. 高级应用场景场景1企业多部门互访控制# 通过ACL限制市场部只能访问技术部WEB服务80端口 [SW1] acl 3000 [SW1-acl-adv-3000] rule permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.200 0 destination-port eq 80 [SW1-acl-adv-3000] rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 # 应用ACL到VLANIF [SW1] interface Vlanif 10 [SW1-Vlanif10] traffic-filter outbound acl 3000场景2结合DHCP自动分配IP# 为市场部配置DHCP [SW1] dhcp enable [SW1] interface Vlanif 10 [SW1-Vlanif10] dhcp select interface [SW1-Vlanif10] dhcp server dns-list 8.8.8.8实际项目中曾遇到一个典型案例某企业财务部突然无法访问ERP服务器。排查发现是交换机固件升级后Hybrid端口的VLAN标签处理策略被重置。通过抓包分析发现服务器收到的数据帧携带了错误VLAN标签最终用以下命令修复[SW1] interface GigabitEthernet 0/0/5 [SW1-GigabitEthernet0/0/5] port hybrid tagged vlan 30
[ 网络协议篇 ] vlan 详解之 vlan if 实战：从二层隔离到三层互通的网关配置
发布时间：2026/7/15 9:18:55
1. VLAN基础概念与二层隔离原理在企业网络中广播风暴就像办公室里的全员群发邮件——当某个员工发送全员通知时所有人的邮箱都会被塞满。VLAN技术正是为了解决这个问题而诞生的网络划分方案。通过给数据帧打上标签VLAN Tag我们可以把一台物理交换机虚拟成多个独立的迷你交换机。想象一下这样的场景市场部和技术部共用同一台交换机但他们的网络流量就像两个平行宇宙。市场部的打印机VLAN 10不会出现在技术部的网络邻居里技术部的代码服务器VLAN 20也对市场部隐身。这种隔离是通过802.1Q协议实现的每个数据帧头部增加的4字节Tag里就藏着关键的VLAN ID1-4094。华为交换机上有三种处理这些标签的门卫Access端口像公司前台只认一个部门的访客VLAN外来人员必须换成访客卡添加PVIDTrunk端口如同部门间的走廊允许带工牌的多部门人员多VLAN标签通过Hybrid端口类似智能闸机可以自定义哪些部门需要查验证件保留标签哪些直接放行剥离标签# 查看交换机上的VLAN划分情况 [SW1] display vlan summary VLAN ID: 10, 20 # 已创建的两个部门VLAN2. VLANIF的三层网关本质当市场部的小王需要给技术部老张发方案时问题出现了——二层隔离让他们的电脑根本看不见对方。这时候就需要VLANIF接口扮演部门联络员的角色。这个虚拟接口的神奇之处在于它没有物理形态却可以配置IP地址它像路由器接口一样工作但性能比传统路由器高10倍它能自动学习直连路由就像部门联络员天然知道本部门所有成员三层交换机内部的ASIC芯片是这个魔术的关键收到第一个跨VLAN数据包时CPU会像老练的邮局分拣员先查路由表确定路径之后的数据包就直接走快速通道硬件转发表实现一次路由多次交换# 创建VLANIF接口并配置IP市场部网关 [SW1] interface Vlanif 10 [SW1-Vlanif10] ip address 192.168.10.1 24 [SW1-Vlanif10] undo shutdown3. 企业网络实战配置假设我们有以下需求市场部VLAN 10网段192.168.10.0/24技术部VLAN 20网段192.168.20.0/24核心交换机Huawei S5730配置步骤分解VLAN创建与端口划分# 批量创建VLAN [SW1] vlan batch 10 20 # 配置市场部接入端口G0/0/1 [SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 # 配置技术部接入端口G0/0/2 [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20VLANIF网关配置# 配置市场部网关 [SW1] interface Vlanif 10 [SW1-Vlanif10] ip address 192.168.10.1 24 # 配置技术部网关 [SW1] interface Vlanif 20 [SW1-Vlanif20] ip address 192.168.20.1 24验证配置# 查看VLANIF接口状态 [SW1] display ip interface brief Vlanif10 192.168.10.1/24 up up Vlanif20 192.168.20.1/24 up up # 测试跨VLAN连通性 [SW1] ping -a 192.168.10.1 192.168.20.1 PING 192.168.20.1: 56 data bytes, press CTRL_C to break Reply from 192.168.20.1: bytes56 Sequence1 ttl255 time1 ms4. 数据包旅行日记让我们跟踪一个从市场部PC192.168.10.100到技术部服务器192.168.20.200的数据包旅程出发准备源PC发现目标IP不在同网段把数据包交给网关192.168.10.1ARP协议获取网关MAC地址封装源MACPC和目标MACVLANIF 10交换机处理接入端口G0/0/1收到数据帧打上VLAN 10标签交换机发现目标MAC是VLANIF 10触发三层转发查询路由表找到192.168.20.0/24对应VLANIF 20华丽变身源MAC替换为VLANIF 20的MAC目标MAC替换为服务器MAC通过ARP获取VLAN标签改为20从G0/0/2端口剥离标签后发出到达终点服务器看到合法以太网帧完成通信# 查看MAC地址表关键学习点 [SW1] display mac-address MAC address table of slot 0: ---------------------------------------------------------------------- MAC Address VLAN/VSI/BD Learned-From Type ---------------------------------------------------------------------- 5489-98b1-1010 10/-/- GE0/0/1 dynamic 5489-98c2-2020 20/-/- GE0/0/2 dynamic5. 常见排错指南问题1VLAN间无法通信检查项# 确认VLANIF状态 [SW1] display interface Vlanif 10 # 检查路由表 [SW1] display ip routing-table # 验证ARP学习 [SW1] display arp all典型故障忘记undo shutdown接口或子网掩码配置错误问题2部分主机无法上网排查步骤确认主机网关指向VLANIF IP检查端口VLAN划分是否正确测试同VLAN内其他主机是否正常问题3Trunk链路不通关键命令# 检查Trunk允许的VLAN [SW1] display port vlan GigabitEthernet 0/0/24 # 修正命令示例 [SW1] interface GigabitEthernet 0/0/24 [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 206. 高级应用场景场景1企业多部门互访控制# 通过ACL限制市场部只能访问技术部WEB服务80端口 [SW1] acl 3000 [SW1-acl-adv-3000] rule permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.200 0 destination-port eq 80 [SW1-acl-adv-3000] rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 # 应用ACL到VLANIF [SW1] interface Vlanif 10 [SW1-Vlanif10] traffic-filter outbound acl 3000场景2结合DHCP自动分配IP# 为市场部配置DHCP [SW1] dhcp enable [SW1] interface Vlanif 10 [SW1-Vlanif10] dhcp select interface [SW1-Vlanif10] dhcp server dns-list 8.8.8.8实际项目中曾遇到一个典型案例某企业财务部突然无法访问ERP服务器。排查发现是交换机固件升级后Hybrid端口的VLAN标签处理策略被重置。通过抓包分析发现服务器收到的数据帧携带了错误VLAN标签最终用以下命令修复[SW1] interface GigabitEthernet 0/0/5 [SW1-GigabitEthernet0/0/5] port hybrid tagged vlan 30
