做路由交换实验VLAN虚拟局域网几乎是所有人绕不过去的第一道坎。这个实验看着简单就是把一台交换机的端口划分到不同的逻辑网络里但真正操作下来你会发现广播域分割、Access链路、Trunk链路、802.1Q标签、VLAN间路由这些概念全挤在一起任何一个细节没搞懂就会出现“配置看起来都对但就是ping不通”的尴尬局面。这篇内容想聊聊VLAN实验怎么做才算做透适合理清二层交换原理的网络学习者、准备网络认证的考生也适合已经入行但想回头补一补底层功底的运维朋友。1. 实验设计思路与核心原理拆解1.1 为什么要用VLAN做路由交换实验VLAN的全称是Virtual Local Area Network虚拟局域网。它最核心的存在意义是分割广播域。一台没有做任何划分的交换机默认所有端口都在同一个二层广播域里任何一个端口发出的广播帧都会被泛洪到其他所有端口。设备数量少的时候还能忍一旦网络里接了几十上百台设备ARP广播、NetBIOS广播、各类发现协议产生的广播流量就会把链路带宽和终端CPU消耗掉一大部分网络反应会明显变慢。更麻烦的是安全隔离。同一个广播域里任何两台设备从二层看都是“可见”的虽然不能直接偷看到数据内容但抓包、ARP欺骗、二层攻击的暴露面会大很多。把不同用途的设备混在一起等于一栋楼里所有房间都敞着门出问题是迟早的事。VLAN做的事情相当于在一台物理交换机上虚拟出多台“逻辑交换机”。端口划分到VLAN 10对外就像在一台独立的交换机上端口划分到VLAN 20又像在另一台单独的交换机上。广播只在自己的VLAN里传播跨VLAN的流量必须经过三层设备转发。这样一来广播域被缩小管理上也灵活——员工换座位不需要重新布线只要把端口改到对应VLAN就行。在路由交换的完整知识体系里VLAN还是后面很多高级特性的地基。链路聚合、生成树、VRRP、ACL、QoS策略很多都建立在这套VLAN机制之上。如果这个实验只是照着文档敲完命令就关掉后面学再多技术都会觉得浮在空中。1.2 802.1QVLAN跨设备通信的基础单台交换机内部划分VLAN很容易交换芯片根据端口和VLAN表就能区分数据该往哪转发。但真实的网络不可能只有一台交换机两台交换机互联时接收方怎么知道收到的某个帧属于哪个VLAN光看传统以太网帧头是看不出来的必须额外加一个标识。这个标识就是802.1Q标准做的事情。它会在以太网帧的源MAC地址和类型字段之间插入一个4字节的Tag。Tag里最重要的部分是12位的VIDVLAN ID取值范围是0到4095其中0和4095保留使用实际可用的VLAN ID范围是1到4094。插入了Tag之后帧长从传统的1518字节变成1522字节这在绝大多数现代网络设备上不是问题但如果你在做一些老旧设备对接或者链路MTU严格限制的极端场景就需要留意这个字节数变化。打个比方普通以太网帧就像没贴房间号的快递包裹在局域网里只能靠配送员的记忆来送。802.1Q的Tag相当于在包裹上贴了一张带房间号的标签任何交换机拿到这个包裹看一眼标签就能决定送到哪个VLAN区域。理解802.1Q之后再做抓包实验会有一种“原来如此”的感觉。你会看到在帧到达Trunk链路时中间确实多出了4个字节里面清清楚楚写着VID。很多人在实验里死活想不通“为什么Trunk口上抓包能看到VLAN信息接电脑的口上就看不到”原因就在这里Access口发出的是去掉标签的帧Trunk口发出的是带标签的帧。1.3 Access与Trunk两种链路模式到底差在哪端口模式是VLAN实验里最容易混淆的部分。Access口和Trunk口的核心区别在于能不能同时承载多个VLAN的数据。Access口通常用来连接终端设备比如PC、打印机、服务器网卡。这些设备大部分不识别VLAN标签所以Access口发出的帧必须去掉标签也就是untagged。一个Access口只能属于一个VLAN要么VLAN 10要么VLAN 20不能同时属于多个。配置逻辑很简单改端口模式为Access再指定所属VLAN。Trunk口通常用来连接交换机之间或者交换机到路由器、防火墙等需要承载多个VLAN的链路。Trunk口可以同时放行多个VLAN的帧并且这些帧在链路上是带标签传输的。配置逻辑一般分两步把端口模式改为Trunk再设置允许通过的VLAN列表。还有一个容易忽略的概念是PVID也就是端口的默认VLAN ID。Access口的PVID通常就是它所属的VLAN无法分开。Trunk口则复杂一些它有一个本征VLANNative VLAN的概念本征VLAN的帧在Trunk上传输时不带标签用来兼容一些不支持802.1Q的老设备或者特殊场景。实验中经常出现的坑是两台交换机Trunk口的PVID配置不一致结果明明划分了VLAN却出现VLAN间帧串扰、管理地址失联之类的怪现象。越是基础的配置越要细心。2. 实验环境搭建与拓扑设计2.1 设备与软件选型模拟器还是真机做VLAN实验不一定需要整套机柜。我见过很多人在学习阶段被“凑齐真实设备”这件事劝退其实完全可以用网络模拟器来完成绝大部分验证。模拟器的好处是随便折腾配置错了删掉重来成本几乎为零抓包也特别方便能直观看到帧结构里的Tag变化。缺点也很明显模拟器里的链路稳定得不像话真实环境里的线缆松动、端口协商失败、光纤收发器故障这类问题在模拟器里完全体会不到。如果条件允许建议两手都抓先用模拟器把配置逻辑和验证方法跑通再找两台二手交换机搭一个真实环境哪怕是最入门的二层交换机只要能支持VLAN和Trunk就行。真实环境里加电、连线、看端口指示灯、通过Console口登录这些操作本身就是一种经验积累后面排查问题时会有用。设备数量上做单交换机VLAN实验需要一台三层交换机加上两台PC用真实电脑或者模拟器里的虚拟终端都可以。做跨交换机实验需要两台交换机再加一台路由器和一台三层交换机用来做VLAN间路由对比。如果手头设备有限先把单交换机的实验做扎实再逐步加设备不要一上来就搭一个复杂的多台设备拓扑出了问题反而难定位。2.2 拓扑规划与IP地址规划先把实验地图画清楚一个标准的VLAN实验拓扑可以这样设计两台交换机分别叫SW1和SW2SW1上接PC-A和PC-BSW2上接PC-C和PC-DSW1和SW2之间用一条Trunk链路互联。PC-A和PC-C划分到VLAN 10PC-B和PC-D划分到VLAN 20。这样既能验证同一台交换机上不同VLAN的隔离效果也能验证同一VLAN跨交换机通信还能在后面接路由器或三层交换机做VLAN间路由。IP地址规划建议直接用表列清楚不同VLAN使用不同网段。比如VLAN 10的设备都使用192.168.10.0/24网段VLAN 20的设备都使用192.168.20.0/24网段。网关IP后面要做VLAN间路由实验时再规划一般VLAN 10网关是192.168.10.254VLAN 20网关是192.168.20.254。设备所在VLANIP地址默认网关后续实验配置PC-AVLAN 10192.168.10.1/24192.168.10.254PC-BVLAN 20192.168.20.1/24192.168.20.254PC-CVLAN 10192.168.10.2/24192.168.10.254PC-DVLAN 20192.168.20.2/24192.168.20.254这样的划分尽量把“VLAN ID”和“IP网段”对应起来方便记忆也符合实际工程的习惯。不要用同一个网段去对应两个不同VLAN那样实验逻辑会乱而且在后面的路由实验里很容易迷惑。2.3 配置前的连通性基线验证不做这一步后面容易踩坑很多人在交换机上直接开配VLAN配完发现ping不通第一反应是查VLAN配置查了半天没发现错最后才意识到是物理链路或者IP配置的问题。这中间浪费的时间就是省略了基线验证的代价。基线验证很简单在还没有创建任何VLAN的时候也就是所有端口都处于默认VLAN通常是VLAN 1状态下先把所有PC的IP地址配好然后逐个ping一遍。PC-A应该能ping通PC-B、PC-C、PC-D因为它们都在同一个二层广播域里。如果这时候就有不通的优先检查网线、接口状态、IP配置千万别急着往下走。这一步相当于工程里的“先点亮链路再做配置”。确认物理层和数据链路层没问题之后再开始修改VLAN配置后面排查起来思路就清爽很多。忘掉这个步骤的人经常会在实验里被“配置错了还是通了”“没配置反而不通了”之类的问题绕进死胡同。3. 核心实验过程与配置细节3.1 单交换机VLAN隔离实验先把基础逻辑跑通先从最简单的单台交换机开始。操作分成三步创建VLAN、把端口划入VLAN、验证连通性。第一步在交换机上创建VLAN 10和VLAN 20。这个动作相当于在交换机内部生成了两个虚拟网络。第二步把接PC-A的端口划到VLAN 10接PC-B的端口划到VLAN 20。第三步回到PC上用ping做验证。命令的语法在不同厂商设备上略有差异但逻辑是一致的# 这是通用配置逻辑不同厂商的命令行格式略有差别 vlan 10 vlan 20 interface gigabitethernet 0/0/1 port link-type access port default vlan 10 interface gigabitethernet 0/0/2 port link-type access port default vlan 20验证结果应该是PC-A和PC-C如果第四口也划到VLAN 10的话可以互通PC-A去ping PC-B不通。不通的原因不是IP层面拒绝而是PC-A发出的ARP广播请求根本不会被转发到VLAN 20的端口上。交换机在二层只会把广播帧在同一个VLAN内泛洪不同VLAN之间天然隔离。这个实验做完建议顺手用查看命令确认一下端口归属比如查看VLAN和端口对应关系的命令。很多配置错误都是“以为自己划了其实端口还在默认VLAN里”。养成配置完必检查的习惯能在后面的实验里省下大量排查时间。3.2 跨交换机同VLAN通信实验Trunk链路是主角单台交换机上的VLAN隔离验证通过之后把两台交换机加进来考验就来了。如果你在SW2上接PC-C和PC-D但不对SW1和SW2之间的互联链路做任何配置那么PC-A大概率ping不通PC-C因为SW1的VLAN 10信息根本没法通过普通Access口传到SW2。这时候需要Trunk链路登场。互联端口在两台交换机上都要修改为Trunk模式并且明确允许VLAN 10和VLAN 20通过。注意这里的细节有些设备的Trunk默认允许所有VLAN通过图省事的话确实能通但建议显式地写出允许列表一方面能帮你理清链路承载范围另一方面也符合实际项目里的最小权限原则。# SW1和SW2互联端口均按此思路配置实际命令以设备型号为准 interface gigabitethernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20验证方法很简单PC-A去ping PC-C应该通PC-B去ping PC-D应该通PC-A去ping PC-B还是不通。这就说明同VLAN的数据可以跨交换机正确流转而不同VLAN的二层隔离在跨交换机场景下依然生效。如果你用的是模拟器可以在SW1和SW2之间的Trunk链路上抓包你会发现VLAN 10的帧和VLAN 20的帧都带着各自的802.1Q标签。而在Access口的抓包里看不到任何标签。这个对比印象一旦建立起来再看后面各种网络现象就有依据了。3.3 广播隔离效果验证别只信ping通还要看广播泛洪范围前面的ping验证能证明联通性但VLAN对广播域的隔离效果最好单独做一次验证。最直观的方法是看ARP广播的传播范围。在PC-A上ping一个不存在的地址或者直接发起一次ARP请求然后在PC-B、PC-C、PC-D上观察是否收到这个广播帧。正常情况下PC-B不应该收到因为它在VLAN 20PC-C应该收到因为和PC-A同在VLAN 10。如果PC-B也能收到说明你的VLAN划分或者Trunk配置有问题广播域的隔离没有生效。没有抓包条件的时候也可以看交换机上的MAC地址表变化。终端在发出数据后交换机会记录源MAC和端口、VLAN的关系。通过观察MAC表条目你能确定某个VLAN的设备到底从哪个端口进来。这个过程会让你对“二层转发依赖MAC地址表”这件事有更实在的感知。广播域被VLAN缩小之后冲突域自然也随之缩小。二层网络里最怕的就是广播风暴VLAN就是隔离风暴范围的第一道闸门。这个验证步骤虽然简单却值得认真做一遍它能回答一个很多人嘴上会背但心里没底的问题VLAN到底是怎么让网络“变干净”的。4. VLAN间路由实验4.1 单臂路由方案一台路由器打通VLAN间通信VLAN隔离做好之后下一个需求很自然就来了不同VLAN的PC如果就是要互相通信怎么办二层解决不了必须引入三层——路由器。单臂Router on a Stick是一种经典做法。交换机的Trunk口接到路由器的某个物理口上然后在这个物理口上划分多个子接口每个子接口绑定一个VLAN配置对应的网关IP。这样从VLAN 10发过来的带标签数据帧路由器会根据标签内容交给对应的子接口处理路由之后再从另一个子接口发回交换机交换机再把帧转发给VLAN 20里的设备。配置逻辑大致是进入路由器物理接口视图把物理口启用并保持开启状态创建子接口例如0/0/1.10在子接口上启用802.1Q封装关联VLAN 10配置IP 192.168.10.254/24创建子接口0/0/1.20关联VLAN 20配置IP 192.168.20.254/24一个经常遇到的坑是子接口默认的ARP广播处理在某些设备上是关闭或受限的。PC希望通过网关MAC地址来转发跨VLAN的数据但如果路由器子接口不回应ARP请求第一次ping就会失败。遇到了也不用慌在子接口上打开ARP广播功能再试即可。子接口配完后PC的默认网关要指向对应VLAN的子接口IP。PC-A的网关是192.168.10.254PC-B的网关是192.168.20.254然后从PC-A去ping PC-B应该能通。整个过程的路径是PC-A把帧发给网关路由器剥离VLAN 10标签查路由表再打上VLAN 20标签发给交换机交换机再交给PC-B。4.2 VLANIF方案三层交换机的高效玩法单臂路由能解决问题但性能瓶颈很明显所有跨VLAN流量都挤在一条物理链路和路由器上。实际工程里更常用的是三层交换机自带的VLANIF接口。VLANIF看起来像一个虚拟出的三层接口但它绑定的是整个VLAN。你只需要在三层交换机上创建VLAN 10和VLAN 20然后分别为它们配置IP地址。这个IP就是对应VLAN内所有PC的默认网关。设备内部查路由表直接完成转发不再需要把流量送出去绕一圈。配置逻辑大致是创建VLAN 10建立VLANIF 10配置IP 192.168.10.254/24创建VLAN 20建立VLANIF 20配置IP 192.168.20.254/20验证时同样把PC网关指向对应的VLANIF IPPC-A ping PC-B应该通。抓包你会发现同VLAN内部的通信仍然是二层交换走的还是MAC地址表跨VLAN通信才被交给三层转发。这就是常说的“一次路由多次交换”——同一个数据流只需要路由一次后续报文直接在二层转发表里命中速度很快。4.3 两种方案怎么选性能与场景对比单臂路由和VLANIF方案不是二选一的竞争关系它们对应不同场景。我整理过一个简单的对照思路对比维度单臂路由VLANIF三层交换所需设备路由器二层交换机三层交换机转发性能取决于路由器CPU瓶颈明显多为硬件转发性能更高配置复杂度子接口封装步骤多易出错创建VLANIF并配IP更简洁适用场景实验学习、小型网络、复用已有路由器园区网、企业核心、大中型网络对学习者来说两个方案都亲手搭一遍收益很大。单臂路由能帮你理解VLAN标签和子接口的关系VLANIF能帮你建立“三层网关在交换机内部”的工程直觉。知道两者之间的差额在哪里后面判断网络设计就更有底气。5. 常见故障与排查技巧实录5.1 “配置了VLAN还是全通”是怎么回事按道理VLAN划分后不同VLAN应该不通但现实中经常有人跑来问“我明明配置了VLAN为什么PC还是能互相ping通”排查这个问题的关键是检查端口到底有没有真的划到对应VLAN。最常见的低级失误是VLAN创建了但端口没有成功加入所有端口还在默认的VLAN 1里。这种情况下VLAN 10和VLAN 20都只是“存在”而已实际流量依然全在同一个广播域里自然全通。还有一种情况是交换机上联口接了一个路由口或者有人在中途接入了家用路由器、无线AP的LAN口这些设备可能把不同网段桥在一起导致二层隔离被绕开。网络拓扑一旦出现不该出现的桥接路径“VLAN不通”反而会成为另一种要排查的故障。这个现象背后的认知是VLAN割裂的是二层广播域如果两台PC的IP还在同一个网段并且二层确实被隔离ping应该是失败的。如果成功了说明要么端口归属没生效要么拓扑里有额外的二层路径。从配置和拓扑两个方向排查很快能定位。5.2 跨交换机ping不通时按这个顺序排查跨交换机VLAN实验里最头疼的问题是PC-A能ping通PC-C但PC-B就死活ping不通PC-D或者反过来全都不通。我习惯按固定顺序排查效率比乱试高得多。第一步看物理层。交换机端口状态是不是up线缆是不是松动接口协商速率和双工是不是正常。别看这个问题太初级实际排障里相当比例的“疑难杂症”最后都栽在物理层。第二步看端口VLAN归属。用查看命令确认每个终端口到底在哪个VLAN。你打算把PC-B划到VLAN 20实际可能因为复制配置时忘了改VLAN号它还在VLAN 10里。第三步看Trunk状态。互联端口模式是不是Trunk允许列表里有没有包含要跨交换机通信的VLAN两端配置是否一致。一个很常见的现象是SW1的Trunk允许列表只放行了VLAN 10忘了放行VLAN 20结果就是VLAN 20跨交换机不通而VLAN 10正常。第四步看生成树。在某些场景下Trunk链路所在的端口可能因为生成树计算被阻塞。如果配置正确但链路不通生成树状态是值得检查的一项。第五步看网关和ARP。跨VLAN通信场景里PC如果没有正确配置默认网关或者网关IP配置到了错误的VLANIF上都会导致ping失败。在PC上查ARP表看网关MAC是否解析出来能快速判断问题出在二层还是三层。第六步才是抓包。前几步都没发现异常就该抓包看帧走向了。哪个方向有ARP请求有没有回应帧上带的是什么VLAN ID这些信息能把问题从“猜”变成“看”。5.3 常用故障速查表与排障心得把实践中遇到的高频问题整理成一张速查表排查时能少走很多弯路故障现象可能原因优先排查方向同一VLAN跨交换机不通Trunk未放行该VLANTrunk允许列表、两端配置一致性不同VLAN互相能通端口仍在默认VLAN / 有二层桥接路径端口VLAN归属、拓扑检查跨VLAN第一次ping不通后续通子接口ARP广播受限子接口ARP广播功能配置Trunk后管理地址失联本征VLAN/管理VLAN被改动PVID配置、管理接口位置时通时不通物理链路不稳定 / 网线接触不良端口up/down记录、CRC错误计数再分享几个排障心得。第一个是固定模板。每一次实验都提前把拓扑、IP、VLAN分配画出来贴在旁边配置时对照着来不要凭记忆。第二个是一次只改一个变量。很多学习者排障失败是因为一次改了三条配置结果问题解决了却不知道是哪条配置解决的问题没解决也不知道该回退哪个。第三个是画出数据转发路径。心里把PC-A到PC-B的每一跳画出来每一跳的VLAN标签是什么、MAC地址是多少、在哪里做路由决策整条链路梳理一遍问题基本就现形了。我个人在实际操作里的另一个体会是做实验不能停留在“能ping通就行”的层面。建议每次实验后把拓扑图、配置片段、验证结果、踩过的坑整理成自己的排障手册。这个习惯在真实网络维护里特别有用很多看似新的问题翻一翻记录就能找到相似的解法。VLAN实验做完之后再上手ACL、VXLAN、网络虚拟化这些进阶内容时你会明显感觉底层逻辑是通的。
做路由交换实验VLAN虚拟局域网几乎是所有人绕不过去的第一道坎。这个实验看着简单就是把一台交换机的端口划分到不同的逻辑网络里但真正操作下来你会发现广播域分割、Access链路、Trunk链路、802.1Q标签、VLAN间路由这些概念全挤在一起任何一个细节没搞懂就会出现“配置看起来都对但就是ping不通”的尴尬局面。这篇内容想聊聊VLAN实验怎么做才算做透适合理清二层交换原理的网络学习者、准备网络认证的考生也适合已经入行但想回头补一补底层功底的运维朋友。1. 实验设计思路与核心原理拆解1.1 为什么要用VLAN做路由交换实验VLAN的全称是Virtual Local Area Network虚拟局域网。它最核心的存在意义是分割广播域。一台没有做任何划分的交换机默认所有端口都在同一个二层广播域里任何一个端口发出的广播帧都会被泛洪到其他所有端口。设备数量少的时候还能忍一旦网络里接了几十上百台设备ARP广播、NetBIOS广播、各类发现协议产生的广播流量就会把链路带宽和终端CPU消耗掉一大部分网络反应会明显变慢。更麻烦的是安全隔离。同一个广播域里任何两台设备从二层看都是“可见”的虽然不能直接偷看到数据内容但抓包、ARP欺骗、二层攻击的暴露面会大很多。把不同用途的设备混在一起等于一栋楼里所有房间都敞着门出问题是迟早的事。VLAN做的事情相当于在一台物理交换机上虚拟出多台“逻辑交换机”。端口划分到VLAN 10对外就像在一台独立的交换机上端口划分到VLAN 20又像在另一台单独的交换机上。广播只在自己的VLAN里传播跨VLAN的流量必须经过三层设备转发。这样一来广播域被缩小管理上也灵活——员工换座位不需要重新布线只要把端口改到对应VLAN就行。在路由交换的完整知识体系里VLAN还是后面很多高级特性的地基。链路聚合、生成树、VRRP、ACL、QoS策略很多都建立在这套VLAN机制之上。如果这个实验只是照着文档敲完命令就关掉后面学再多技术都会觉得浮在空中。1.2 802.1QVLAN跨设备通信的基础单台交换机内部划分VLAN很容易交换芯片根据端口和VLAN表就能区分数据该往哪转发。但真实的网络不可能只有一台交换机两台交换机互联时接收方怎么知道收到的某个帧属于哪个VLAN光看传统以太网帧头是看不出来的必须额外加一个标识。这个标识就是802.1Q标准做的事情。它会在以太网帧的源MAC地址和类型字段之间插入一个4字节的Tag。Tag里最重要的部分是12位的VIDVLAN ID取值范围是0到4095其中0和4095保留使用实际可用的VLAN ID范围是1到4094。插入了Tag之后帧长从传统的1518字节变成1522字节这在绝大多数现代网络设备上不是问题但如果你在做一些老旧设备对接或者链路MTU严格限制的极端场景就需要留意这个字节数变化。打个比方普通以太网帧就像没贴房间号的快递包裹在局域网里只能靠配送员的记忆来送。802.1Q的Tag相当于在包裹上贴了一张带房间号的标签任何交换机拿到这个包裹看一眼标签就能决定送到哪个VLAN区域。理解802.1Q之后再做抓包实验会有一种“原来如此”的感觉。你会看到在帧到达Trunk链路时中间确实多出了4个字节里面清清楚楚写着VID。很多人在实验里死活想不通“为什么Trunk口上抓包能看到VLAN信息接电脑的口上就看不到”原因就在这里Access口发出的是去掉标签的帧Trunk口发出的是带标签的帧。1.3 Access与Trunk两种链路模式到底差在哪端口模式是VLAN实验里最容易混淆的部分。Access口和Trunk口的核心区别在于能不能同时承载多个VLAN的数据。Access口通常用来连接终端设备比如PC、打印机、服务器网卡。这些设备大部分不识别VLAN标签所以Access口发出的帧必须去掉标签也就是untagged。一个Access口只能属于一个VLAN要么VLAN 10要么VLAN 20不能同时属于多个。配置逻辑很简单改端口模式为Access再指定所属VLAN。Trunk口通常用来连接交换机之间或者交换机到路由器、防火墙等需要承载多个VLAN的链路。Trunk口可以同时放行多个VLAN的帧并且这些帧在链路上是带标签传输的。配置逻辑一般分两步把端口模式改为Trunk再设置允许通过的VLAN列表。还有一个容易忽略的概念是PVID也就是端口的默认VLAN ID。Access口的PVID通常就是它所属的VLAN无法分开。Trunk口则复杂一些它有一个本征VLANNative VLAN的概念本征VLAN的帧在Trunk上传输时不带标签用来兼容一些不支持802.1Q的老设备或者特殊场景。实验中经常出现的坑是两台交换机Trunk口的PVID配置不一致结果明明划分了VLAN却出现VLAN间帧串扰、管理地址失联之类的怪现象。越是基础的配置越要细心。2. 实验环境搭建与拓扑设计2.1 设备与软件选型模拟器还是真机做VLAN实验不一定需要整套机柜。我见过很多人在学习阶段被“凑齐真实设备”这件事劝退其实完全可以用网络模拟器来完成绝大部分验证。模拟器的好处是随便折腾配置错了删掉重来成本几乎为零抓包也特别方便能直观看到帧结构里的Tag变化。缺点也很明显模拟器里的链路稳定得不像话真实环境里的线缆松动、端口协商失败、光纤收发器故障这类问题在模拟器里完全体会不到。如果条件允许建议两手都抓先用模拟器把配置逻辑和验证方法跑通再找两台二手交换机搭一个真实环境哪怕是最入门的二层交换机只要能支持VLAN和Trunk就行。真实环境里加电、连线、看端口指示灯、通过Console口登录这些操作本身就是一种经验积累后面排查问题时会有用。设备数量上做单交换机VLAN实验需要一台三层交换机加上两台PC用真实电脑或者模拟器里的虚拟终端都可以。做跨交换机实验需要两台交换机再加一台路由器和一台三层交换机用来做VLAN间路由对比。如果手头设备有限先把单交换机的实验做扎实再逐步加设备不要一上来就搭一个复杂的多台设备拓扑出了问题反而难定位。2.2 拓扑规划与IP地址规划先把实验地图画清楚一个标准的VLAN实验拓扑可以这样设计两台交换机分别叫SW1和SW2SW1上接PC-A和PC-BSW2上接PC-C和PC-DSW1和SW2之间用一条Trunk链路互联。PC-A和PC-C划分到VLAN 10PC-B和PC-D划分到VLAN 20。这样既能验证同一台交换机上不同VLAN的隔离效果也能验证同一VLAN跨交换机通信还能在后面接路由器或三层交换机做VLAN间路由。IP地址规划建议直接用表列清楚不同VLAN使用不同网段。比如VLAN 10的设备都使用192.168.10.0/24网段VLAN 20的设备都使用192.168.20.0/24网段。网关IP后面要做VLAN间路由实验时再规划一般VLAN 10网关是192.168.10.254VLAN 20网关是192.168.20.254。设备所在VLANIP地址默认网关后续实验配置PC-AVLAN 10192.168.10.1/24192.168.10.254PC-BVLAN 20192.168.20.1/24192.168.20.254PC-CVLAN 10192.168.10.2/24192.168.10.254PC-DVLAN 20192.168.20.2/24192.168.20.254这样的划分尽量把“VLAN ID”和“IP网段”对应起来方便记忆也符合实际工程的习惯。不要用同一个网段去对应两个不同VLAN那样实验逻辑会乱而且在后面的路由实验里很容易迷惑。2.3 配置前的连通性基线验证不做这一步后面容易踩坑很多人在交换机上直接开配VLAN配完发现ping不通第一反应是查VLAN配置查了半天没发现错最后才意识到是物理链路或者IP配置的问题。这中间浪费的时间就是省略了基线验证的代价。基线验证很简单在还没有创建任何VLAN的时候也就是所有端口都处于默认VLAN通常是VLAN 1状态下先把所有PC的IP地址配好然后逐个ping一遍。PC-A应该能ping通PC-B、PC-C、PC-D因为它们都在同一个二层广播域里。如果这时候就有不通的优先检查网线、接口状态、IP配置千万别急着往下走。这一步相当于工程里的“先点亮链路再做配置”。确认物理层和数据链路层没问题之后再开始修改VLAN配置后面排查起来思路就清爽很多。忘掉这个步骤的人经常会在实验里被“配置错了还是通了”“没配置反而不通了”之类的问题绕进死胡同。3. 核心实验过程与配置细节3.1 单交换机VLAN隔离实验先把基础逻辑跑通先从最简单的单台交换机开始。操作分成三步创建VLAN、把端口划入VLAN、验证连通性。第一步在交换机上创建VLAN 10和VLAN 20。这个动作相当于在交换机内部生成了两个虚拟网络。第二步把接PC-A的端口划到VLAN 10接PC-B的端口划到VLAN 20。第三步回到PC上用ping做验证。命令的语法在不同厂商设备上略有差异但逻辑是一致的# 这是通用配置逻辑不同厂商的命令行格式略有差别 vlan 10 vlan 20 interface gigabitethernet 0/0/1 port link-type access port default vlan 10 interface gigabitethernet 0/0/2 port link-type access port default vlan 20验证结果应该是PC-A和PC-C如果第四口也划到VLAN 10的话可以互通PC-A去ping PC-B不通。不通的原因不是IP层面拒绝而是PC-A发出的ARP广播请求根本不会被转发到VLAN 20的端口上。交换机在二层只会把广播帧在同一个VLAN内泛洪不同VLAN之间天然隔离。这个实验做完建议顺手用查看命令确认一下端口归属比如查看VLAN和端口对应关系的命令。很多配置错误都是“以为自己划了其实端口还在默认VLAN里”。养成配置完必检查的习惯能在后面的实验里省下大量排查时间。3.2 跨交换机同VLAN通信实验Trunk链路是主角单台交换机上的VLAN隔离验证通过之后把两台交换机加进来考验就来了。如果你在SW2上接PC-C和PC-D但不对SW1和SW2之间的互联链路做任何配置那么PC-A大概率ping不通PC-C因为SW1的VLAN 10信息根本没法通过普通Access口传到SW2。这时候需要Trunk链路登场。互联端口在两台交换机上都要修改为Trunk模式并且明确允许VLAN 10和VLAN 20通过。注意这里的细节有些设备的Trunk默认允许所有VLAN通过图省事的话确实能通但建议显式地写出允许列表一方面能帮你理清链路承载范围另一方面也符合实际项目里的最小权限原则。# SW1和SW2互联端口均按此思路配置实际命令以设备型号为准 interface gigabitethernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20验证方法很简单PC-A去ping PC-C应该通PC-B去ping PC-D应该通PC-A去ping PC-B还是不通。这就说明同VLAN的数据可以跨交换机正确流转而不同VLAN的二层隔离在跨交换机场景下依然生效。如果你用的是模拟器可以在SW1和SW2之间的Trunk链路上抓包你会发现VLAN 10的帧和VLAN 20的帧都带着各自的802.1Q标签。而在Access口的抓包里看不到任何标签。这个对比印象一旦建立起来再看后面各种网络现象就有依据了。3.3 广播隔离效果验证别只信ping通还要看广播泛洪范围前面的ping验证能证明联通性但VLAN对广播域的隔离效果最好单独做一次验证。最直观的方法是看ARP广播的传播范围。在PC-A上ping一个不存在的地址或者直接发起一次ARP请求然后在PC-B、PC-C、PC-D上观察是否收到这个广播帧。正常情况下PC-B不应该收到因为它在VLAN 20PC-C应该收到因为和PC-A同在VLAN 10。如果PC-B也能收到说明你的VLAN划分或者Trunk配置有问题广播域的隔离没有生效。没有抓包条件的时候也可以看交换机上的MAC地址表变化。终端在发出数据后交换机会记录源MAC和端口、VLAN的关系。通过观察MAC表条目你能确定某个VLAN的设备到底从哪个端口进来。这个过程会让你对“二层转发依赖MAC地址表”这件事有更实在的感知。广播域被VLAN缩小之后冲突域自然也随之缩小。二层网络里最怕的就是广播风暴VLAN就是隔离风暴范围的第一道闸门。这个验证步骤虽然简单却值得认真做一遍它能回答一个很多人嘴上会背但心里没底的问题VLAN到底是怎么让网络“变干净”的。4. VLAN间路由实验4.1 单臂路由方案一台路由器打通VLAN间通信VLAN隔离做好之后下一个需求很自然就来了不同VLAN的PC如果就是要互相通信怎么办二层解决不了必须引入三层——路由器。单臂Router on a Stick是一种经典做法。交换机的Trunk口接到路由器的某个物理口上然后在这个物理口上划分多个子接口每个子接口绑定一个VLAN配置对应的网关IP。这样从VLAN 10发过来的带标签数据帧路由器会根据标签内容交给对应的子接口处理路由之后再从另一个子接口发回交换机交换机再把帧转发给VLAN 20里的设备。配置逻辑大致是进入路由器物理接口视图把物理口启用并保持开启状态创建子接口例如0/0/1.10在子接口上启用802.1Q封装关联VLAN 10配置IP 192.168.10.254/24创建子接口0/0/1.20关联VLAN 20配置IP 192.168.20.254/24一个经常遇到的坑是子接口默认的ARP广播处理在某些设备上是关闭或受限的。PC希望通过网关MAC地址来转发跨VLAN的数据但如果路由器子接口不回应ARP请求第一次ping就会失败。遇到了也不用慌在子接口上打开ARP广播功能再试即可。子接口配完后PC的默认网关要指向对应VLAN的子接口IP。PC-A的网关是192.168.10.254PC-B的网关是192.168.20.254然后从PC-A去ping PC-B应该能通。整个过程的路径是PC-A把帧发给网关路由器剥离VLAN 10标签查路由表再打上VLAN 20标签发给交换机交换机再交给PC-B。4.2 VLANIF方案三层交换机的高效玩法单臂路由能解决问题但性能瓶颈很明显所有跨VLAN流量都挤在一条物理链路和路由器上。实际工程里更常用的是三层交换机自带的VLANIF接口。VLANIF看起来像一个虚拟出的三层接口但它绑定的是整个VLAN。你只需要在三层交换机上创建VLAN 10和VLAN 20然后分别为它们配置IP地址。这个IP就是对应VLAN内所有PC的默认网关。设备内部查路由表直接完成转发不再需要把流量送出去绕一圈。配置逻辑大致是创建VLAN 10建立VLANIF 10配置IP 192.168.10.254/24创建VLAN 20建立VLANIF 20配置IP 192.168.20.254/20验证时同样把PC网关指向对应的VLANIF IPPC-A ping PC-B应该通。抓包你会发现同VLAN内部的通信仍然是二层交换走的还是MAC地址表跨VLAN通信才被交给三层转发。这就是常说的“一次路由多次交换”——同一个数据流只需要路由一次后续报文直接在二层转发表里命中速度很快。4.3 两种方案怎么选性能与场景对比单臂路由和VLANIF方案不是二选一的竞争关系它们对应不同场景。我整理过一个简单的对照思路对比维度单臂路由VLANIF三层交换所需设备路由器二层交换机三层交换机转发性能取决于路由器CPU瓶颈明显多为硬件转发性能更高配置复杂度子接口封装步骤多易出错创建VLANIF并配IP更简洁适用场景实验学习、小型网络、复用已有路由器园区网、企业核心、大中型网络对学习者来说两个方案都亲手搭一遍收益很大。单臂路由能帮你理解VLAN标签和子接口的关系VLANIF能帮你建立“三层网关在交换机内部”的工程直觉。知道两者之间的差额在哪里后面判断网络设计就更有底气。5. 常见故障与排查技巧实录5.1 “配置了VLAN还是全通”是怎么回事按道理VLAN划分后不同VLAN应该不通但现实中经常有人跑来问“我明明配置了VLAN为什么PC还是能互相ping通”排查这个问题的关键是检查端口到底有没有真的划到对应VLAN。最常见的低级失误是VLAN创建了但端口没有成功加入所有端口还在默认的VLAN 1里。这种情况下VLAN 10和VLAN 20都只是“存在”而已实际流量依然全在同一个广播域里自然全通。还有一种情况是交换机上联口接了一个路由口或者有人在中途接入了家用路由器、无线AP的LAN口这些设备可能把不同网段桥在一起导致二层隔离被绕开。网络拓扑一旦出现不该出现的桥接路径“VLAN不通”反而会成为另一种要排查的故障。这个现象背后的认知是VLAN割裂的是二层广播域如果两台PC的IP还在同一个网段并且二层确实被隔离ping应该是失败的。如果成功了说明要么端口归属没生效要么拓扑里有额外的二层路径。从配置和拓扑两个方向排查很快能定位。5.2 跨交换机ping不通时按这个顺序排查跨交换机VLAN实验里最头疼的问题是PC-A能ping通PC-C但PC-B就死活ping不通PC-D或者反过来全都不通。我习惯按固定顺序排查效率比乱试高得多。第一步看物理层。交换机端口状态是不是up线缆是不是松动接口协商速率和双工是不是正常。别看这个问题太初级实际排障里相当比例的“疑难杂症”最后都栽在物理层。第二步看端口VLAN归属。用查看命令确认每个终端口到底在哪个VLAN。你打算把PC-B划到VLAN 20实际可能因为复制配置时忘了改VLAN号它还在VLAN 10里。第三步看Trunk状态。互联端口模式是不是Trunk允许列表里有没有包含要跨交换机通信的VLAN两端配置是否一致。一个很常见的现象是SW1的Trunk允许列表只放行了VLAN 10忘了放行VLAN 20结果就是VLAN 20跨交换机不通而VLAN 10正常。第四步看生成树。在某些场景下Trunk链路所在的端口可能因为生成树计算被阻塞。如果配置正确但链路不通生成树状态是值得检查的一项。第五步看网关和ARP。跨VLAN通信场景里PC如果没有正确配置默认网关或者网关IP配置到了错误的VLANIF上都会导致ping失败。在PC上查ARP表看网关MAC是否解析出来能快速判断问题出在二层还是三层。第六步才是抓包。前几步都没发现异常就该抓包看帧走向了。哪个方向有ARP请求有没有回应帧上带的是什么VLAN ID这些信息能把问题从“猜”变成“看”。5.3 常用故障速查表与排障心得把实践中遇到的高频问题整理成一张速查表排查时能少走很多弯路故障现象可能原因优先排查方向同一VLAN跨交换机不通Trunk未放行该VLANTrunk允许列表、两端配置一致性不同VLAN互相能通端口仍在默认VLAN / 有二层桥接路径端口VLAN归属、拓扑检查跨VLAN第一次ping不通后续通子接口ARP广播受限子接口ARP广播功能配置Trunk后管理地址失联本征VLAN/管理VLAN被改动PVID配置、管理接口位置时通时不通物理链路不稳定 / 网线接触不良端口up/down记录、CRC错误计数再分享几个排障心得。第一个是固定模板。每一次实验都提前把拓扑、IP、VLAN分配画出来贴在旁边配置时对照着来不要凭记忆。第二个是一次只改一个变量。很多学习者排障失败是因为一次改了三条配置结果问题解决了却不知道是哪条配置解决的问题没解决也不知道该回退哪个。第三个是画出数据转发路径。心里把PC-A到PC-B的每一跳画出来每一跳的VLAN标签是什么、MAC地址是多少、在哪里做路由决策整条链路梳理一遍问题基本就现形了。我个人在实际操作里的另一个体会是做实验不能停留在“能ping通就行”的层面。建议每次实验后把拓扑图、配置片段、验证结果、踩过的坑整理成自己的排障手册。这个习惯在真实网络维护里特别有用很多看似新的问题翻一翻记录就能找到相似的解法。VLAN实验做完之后再上手ACL、VXLAN、网络虚拟化这些进阶内容时你会明显感觉底层逻辑是通的。
知识建站
内容驱动
阅读友好版式
SEO 精细化
线索转化