★ FEATURED ARTICLE 1. VLAN综合实验概述在中小型企业网络架构中VLAN虚拟局域网技术是实现逻辑网络隔离的基础手段。本次实验通过华为eNSP模拟器搭建典型的三层网络架构包含三台交换机和一台路由器演示从VLAN创建到跨VLAN通信的完整配置流程。这个实验特别适合正在备考HCIP认证的网络工程师以及需要实际部署企业级VLAN方案的运维人员。实验拓扑采用经典的核心-汇聚-接入三层结构其中SW3模拟核心层交换机SW1和SW2作为接入层交换机。通过配置802.1Q Trunk链路、VLANIF三层接口和DHCP服务最终实现不同VLAN间的终端能够互通。这种架构在实际办公网络中非常常见比如将市场部、财务部的设备划分到不同VLAN既保证部门间必要的通信又能实现广播域隔离。2. 实验环境准备2.1 设备选型与拓扑搭建实验使用华为eNSP模拟器设备型号选择与实际企业环境匹配的接入层S5700系列交换机SW1、SW2核心层S6700系列交换机SW3路由器AR2200系列R1物理连接遵循以下原则接入交换机之间不直连所有跨交换机通信必须经过核心层交换机与路由器之间使用千兆以太网接口终端设备使用百兆接口连接接入层交换机注意实际生产环境中建议在核心层部署冗余交换机本实验为简化拓扑只使用单台核心交换机。2.2 IP地址规划采用192.168.0.0/16私有地址段进行子网划分VLAN 10192.168.1.0/24市场部VLAN 20192.168.2.0/24财务部VLAN 30192.168.3.0/24服务器区VLAN 36192.168.36.0/24特殊业务每个子网的第一个可用IP如192.168.1.1作为该VLAN的网关地址最后一个可用IP如192.168.1.254保留备用。3. VLAN基础配置3.1 创建VLAN在所有交换机上统一创建需要的VLAN保持VLAN ID的一致性# 在SW1、SW2、SW3上执行相同配置 system-view vlan batch 10 20 30 36创建VLAN时有两个关键细节VLAN ID范围1-4094其中1是默认VLAN通常保留给管理用途批量创建命令vlan batch比逐个创建效率更高特别在大规模部署时3.2 端口划分接入层交换机端口划分遵循一个端口一个VLAN的原则SW1配置示例interface GigabitEthernet0/0/1 port link-type access port default vlan 10 description Connect_to_Marketing_PC interface GigabitEthernet0/0/2 port link-type access port default vlan 20 description Connect_to_Finance_PCSW2配置示例interface GigabitEthernet0/0/3 port link-type access port default vlan 30 description Connect_to_Server interface GigabitEthernet0/0/4 port link-type access port default vlan 36 description Connect_to_Special_Device关键点access端口收到不带VLAN标签的帧时会打上PVID端口VLAN ID再进行处理发送时会剥离VLAN标签。4. Trunk链路配置4.1 交换机互联配置所有交换机之间的互联链路都需要配置为Trunk模式允许多个VLAN流量通过# 以SW1连接SW3的接口为例 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all description Uplink_to_SW3实际生产环境中更安全的做法是明确指定允许通过的VLANport trunk allow-pass vlan 10 20 30 364.2 Native VLAN设置华为交换机默认Native VLAN是VLAN1建议修改为不使用的VLAN ID增强安全性port trunk pvid vlan 999 port trunk allow-pass vlan 10 20 30 36经验当两端交换机的Native VLAN不一致时会导致VLAN跳跃攻击风险务必确保Trunk链路两端的Native VLAN配置相同。5. 三层交换与路由配置5.1 VLANIF接口配置在核心交换机SW3上配置VLANIF接口作为各VLAN的网关interface Vlanif10 ip address 192.168.1.1 24 description Gateway_for_Marketing interface Vlanif20 ip address 192.168.2.1 24 description Gateway_for_Finance interface Vlanif30 ip address 192.168.3.1 24 description Gateway_for_Servers5.2 路由器DHCP配置在路由器R1上为VLAN 36配置DHCP服务ip pool vlan_36 network 192.168.36.0 mask 255.255.255.0 gateway-list 192.168.36.1 dns-list 8.8.8.8 8.8.4.4 excluded-ip-address 192.168.36.1 lease day 3 hour 0 minute 0然后在接口上启用DHCP全局模式interface GigabitEthernet0/0/0 ip address 192.168.36.1 24 dhcp select global6. 验证与排错6.1 基础连通性测试同VLAN内通信测试ping 192.168.1.2 # 在VLAN10内的PC上测试同网段连通性跨VLAN通信测试ping 192.168.2.2 # 从VLAN10测试访问VLAN206.2 常见故障排查现象1同VLAN无法通信排查步骤检查端口是否划分到正确的VLAN确认端口链路类型access/trunk配置正确检查物理连接是否正常现象2跨VLAN无法通信排查步骤检查Trunk链路是否允许目标VLAN通过验证VLANIF接口状态和IP配置检查路由表是否有对应网段路由6.3 实用诊断命令display vlan # 查看VLAN划分情况 display port vlan # 查看端口VLAN成员 display interface brief # 查看接口状态 display ip routing-table # 查看路由表7. 高级配置技巧7.1 VLAN聚合Super VLAN当需要节省IP地址时可以使用Super VLAN技术vlan 100 aggregate-vlan access-vlan 10 20 interface Vlanif100 ip address 192.168.100.1 167.2 私有VLAN实现同一VLAN内的端口隔离vlan 50 private-vlan primary private-vlan secondary 51 interface GigabitEthernet0/0/5 port private-vlan host 517.3 QoS标记在Trunk端口上为特定VLAN流量设置优先级interface GigabitEthernet0/0/24 qos priority 5 outbound vlan 308. 安全加固建议禁用未使用的端口interface range GigabitEthernet0/0/15 to 0/0/23 shutdown开启端口安全interface GigabitEthernet0/0/1 port-security enable port-security max-mac-num 2配置VLAN ACLacl number 3000 rule 5 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 vlan filter 3000 vlan 109. 性能优化方案调整生成树协议优先级stp instance 0 priority 4096 # 设置核心交换机为根桥开启端口快速转发interface GigabitEthernet0/0/24 stp edged-port enable配置VLAN负载均衡interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 port trunk load-balance src-dst-mac10. 生产环境部署建议文档管理维护详细的VLAN规划表包含VLAN ID、名称、用途、IP段记录每个端口的VLAN分配情况变更管理任何VLAN配置变更前进行影响评估在非业务高峰时段实施变更监控方案配置SNMP监控各VLAN流量设置VLAN接口状态告警阈值备份策略定期备份交换机配置文件保存不同时间点的配置版本在实际部署中我通常会先在一个测试环境中验证所有VLAN配置特别是涉及跨交换机通信的部分。曾经遇到过因为Trunk链路两端允许的VLAN列表不一致导致某些VLAN无法通信的问题后来养成了在配置完成后立即用display interface trunk命令核对两端配置的习惯。
阅读完成 · 觉得有帮助？
