搞網(wǎng)絡(luò)的人幾乎都會(huì)碰到VLAN這個(gè)詞。無(wú)論你是在機(jī)房里配交換機(jī)還是接到某個(gè)辦公室的網(wǎng)絡(luò)規(guī)劃需求第一步動(dòng)作往往都是劃分VLAN。VLAN的全稱是Virtual Local Area Network也就是虛擬局域網(wǎng)核心作用就是把一臺(tái)物理交換機(jī)劃分成多個(gè)邏輯隔離的廣播域讓廣播不串門讓不同部門之間的數(shù)據(jù)默認(rèn)看不見。這個(gè)機(jī)制是幾乎所有企業(yè)內(nèi)網(wǎng)的地基。這篇內(nèi)容適合剛學(xué)網(wǎng)絡(luò)技術(shù)的新手、準(zhǔn)備網(wǎng)絡(luò)認(rèn)證的考生以及工作中需要自己動(dòng)手配置交換機(jī)的運(yùn)維人員。我會(huì)按“為什么需要VLAN → 關(guān)鍵概念 → 配置實(shí)操 → 排障經(jīng)驗(yàn) → 練習(xí)題”這條線講盡量用大白話把原理和命令都說(shuō)明白?？赐曛竽銘?yīng)該能獨(dú)立完成單臺(tái)交換機(jī)的VLAN劃分看得懂跨交換機(jī)的Trunk鏈路也明白不同VLAN之間怎么三層互通。下面直接進(jìn)入正文。1. VLAN是什么把一個(gè)廣播域拆成多個(gè)“虛擬隔離區(qū)”1.1 沒(méi)有VLAN時(shí)一個(gè)廣播域能帶來(lái)多大麻煩先想一個(gè)最簡(jiǎn)單的場(chǎng)景一臺(tái)24口交換機(jī)24臺(tái)電腦全部插在上面。此時(shí)交換機(jī)默認(rèn)處于同一個(gè)廣播域任何一臺(tái)機(jī)器發(fā)出的廣播幀交換機(jī)都會(huì)復(fù)制轉(zhuǎn)發(fā)給其他所有端口。ARP請(qǐng)求就是最典型的廣播電腦開機(jī)、訪問(wèn)網(wǎng)關(guān)、找同一臺(tái)交換機(jī)上另一臺(tái)電腦的IP都會(huì)先發(fā)一個(gè)ARP廣播。24臺(tái)設(shè)備時(shí)還好當(dāng)網(wǎng)絡(luò)擴(kuò)大到幾百臺(tái)設(shè)備廣播幀數(shù)量會(huì)明顯增加所有設(shè)備的CPU都在處理與自己無(wú)關(guān)的廣播網(wǎng)絡(luò)就開始卡頓。除了性能問(wèn)題更麻煩的是安全隔離。同一個(gè)廣播域意味著二層可達(dá)同網(wǎng)段下任何兩臺(tái)主機(jī)之間都可以直接通信和抓包。在一個(gè)把財(cái)務(wù)、人事、研發(fā)都塞進(jìn)同一臺(tái)交換機(jī)的辦公環(huán)境里這基本等于把所有人的內(nèi)網(wǎng)流量都暴露在同一個(gè)大房間里。我見過(guò)不少小公司就是這種組網(wǎng)表面上能用一旦有人運(yùn)行抓包軟件整個(gè)辦公室的流量幾乎都是透明的密碼、文件內(nèi)容這些敏感信息全都攔不住。VLAN出現(xiàn)就是為了解決這個(gè)問(wèn)題把一個(gè)物理廣播域切成多個(gè)邏輯廣播域每個(gè)VLAN是一個(gè)獨(dú)立的廣播域默認(rèn)不能直接互通廣播也只能在自己的VLAN里擴(kuò)散。這個(gè)切分在邏輯上看不見、摸不著但效果非常實(shí)際。在同一個(gè)交換機(jī)上接在VLAN 10里的PC和接在VLAN 20里的PC雖然物理上挨得很近但二層完全隔離VLAN 10的廣播不會(huì)到VLAN 20VLAN 20的主機(jī)也看不到VLAN 10的主機(jī)。1.2 802.1Q標(biāo)簽與VLAN ID幀上的門牌號(hào)VLAN之所以能在一個(gè)物理網(wǎng)絡(luò)上區(qū)分不同邏輯網(wǎng)絡(luò)靠的是以太網(wǎng)幀上的標(biāo)簽。IEEE 802.1Q定義了VLAN Tag的格式它在標(biāo)準(zhǔn)以太網(wǎng)幀頭中插入了4個(gè)字節(jié)的字段其中包含一個(gè)12位的VLAN ID取值范圍是0到4095其中0和4095保留實(shí)際可用的業(yè)務(wù)VLAN ID是1到4094。需要留意很多剛接觸的人會(huì)誤以為VLAN ID范圍是1到4095真到配置的時(shí)候VLAN 4095往往創(chuàng)建不了或者行為不符合預(yù)期規(guī)規(guī)矩矩用1到4094就不會(huì)踩這個(gè)問(wèn)題。可以把這個(gè)Tag理解為包裹上的門牌號(hào)。數(shù)據(jù)幀進(jìn)入交換機(jī)后交換機(jī)看這個(gè)門牌號(hào)就知道該從哪些端口轉(zhuǎn)發(fā)、不該從哪些端口轉(zhuǎn)發(fā)。普通電腦的網(wǎng)卡不識(shí)別Tag所以接PC的接口在發(fā)幀之前會(huì)把Tag剝掉只有交換機(jī)之間的互聯(lián)鏈路才會(huì)攜帶Tag傳輸這樣才能在一條物理鏈路上同時(shí)承載多個(gè)VLAN的流量。這也是為什么一臺(tái)交換機(jī)上只劃分了10個(gè)VLAN但幾臺(tái)交換機(jī)之間只需要一條物理連接的邏輯基礎(chǔ)。這里特別容易出現(xiàn)一個(gè)概念混淆VLAN ID和IP子網(wǎng)不是一回事。VLAN是二層概念I(lǐng)P子網(wǎng)是三層概念。常規(guī)做法是把一個(gè)VLAN對(duì)應(yīng)一個(gè)網(wǎng)段比如VLAN 10對(duì)應(yīng)192.168.10.0/24VLAN 20對(duì)應(yīng)192.168.20.0/24但這只是設(shè)計(jì)習(xí)慣并不是協(xié)議強(qiáng)制要求。不過(guò)強(qiáng)烈建議在生產(chǎn)中采用一VLAN一網(wǎng)段的方式否則排障的時(shí)候會(huì)非常痛苦。試想一個(gè)VLAN里跨了兩個(gè)網(wǎng)段大家雖然二層開著三層卻因?yàn)榫W(wǎng)段不同互相訪問(wèn)不了排查起來(lái)很容易懷疑到VLAN配置頭上實(shí)際卻是IP規(guī)劃混亂。1.3 幾種VLAN劃分方式為什么工程里幾乎都用靜態(tài)端口VLAN的劃分方式不止一種。基于端口劃分是最傳統(tǒng)的靜態(tài)方式管理員手動(dòng)把端口分配到某個(gè)VLAN直觀、簡(jiǎn)單、排障容易目前絕大多數(shù)工程用的都是這種方式。還有基于MAC地址、基于IP子網(wǎng)、基于協(xié)議、基于802.1X認(rèn)證的動(dòng)態(tài)劃分方式適合終端頻繁移動(dòng)或接入認(rèn)證比較嚴(yán)格的場(chǎng)景。動(dòng)態(tài)劃分的優(yōu)點(diǎn)是靈活缺點(diǎn)是配置和管理復(fù)雜。比如基于MAC劃分新增一臺(tái)電腦就需要維護(hù)MAC與VLAN的對(duì)應(yīng)表基于802.1X雖然能在用戶認(rèn)證后動(dòng)態(tài)下發(fā)VLAN但需要部署認(rèn)證服務(wù)器和客戶端。對(duì)大多數(shù)中小企業(yè)或教學(xué)實(shí)驗(yàn)而言靜態(tài)端口劃分的性價(jià)比最高。我的建議是先吃透基于端口的靜態(tài)VLAN其他方式在有具體需求時(shí)再學(xué)原理完全一樣。提示別把VLAN理解成“給交換機(jī)分幾個(gè)區(qū)”這么簡(jiǎn)單。VLAN的核心價(jià)值是隔離廣播域和控制二層互通范圍。理解了這句話后面配置Access、Trunk時(shí)的很多選擇都會(huì)變得順理成章。2. 配置前的關(guān)鍵準(zhǔn)備VLAN ID規(guī)劃與端口類型選型2.1 VLAN ID如何規(guī)劃避免以后推倒重來(lái)配置VLAN之前最容易忽略的一件事是ID規(guī)劃。很多新手拿到交換機(jī)直接建一個(gè)VLAN 10就往上加端口再加業(yè)務(wù)時(shí)又隨手建VLAN 20、VLAN 50最后整個(gè)網(wǎng)絡(luò)的VLAN ID毫無(wú)規(guī)律別人接手時(shí)根本不知道每個(gè)VLAN是干什么的。規(guī)劃VLAN ID有個(gè)基本套路把VLAN 1留給默認(rèn)和管理類流量業(yè)務(wù)VLAN從10、20這種有規(guī)律的數(shù)字開始。比如VLAN 10到19給辦公網(wǎng)絡(luò)VLAN 20到29給訪客網(wǎng)絡(luò)VLAN 30到39給服務(wù)器區(qū)VLAN 100以后留給網(wǎng)絡(luò)設(shè)備管理。每類業(yè)務(wù)預(yù)留一段空間后續(xù)擴(kuò)展時(shí)直接在這個(gè)范圍里加ID不用全局改編號(hào)。推薦在項(xiàng)目開始之前在紙上寫一張VLAN規(guī)劃表至少包含以下字段VLAN ID用途網(wǎng)段/網(wǎng)關(guān)允許通過(guò)的端口備注1默認(rèn)/管理不承載業(yè)務(wù)管理口盡量不放業(yè)務(wù)10辦公192.168.10.0/24網(wǎng)關(guān)192.168.10.1GE0/0/1-10員工PC20訪客192.168.20.0/24網(wǎng)關(guān)192.168.20.1GE0/0/11-14訪客專用隔離互訪30服務(wù)器192.168.30.0/24網(wǎng)關(guān)192.168.30.1GE0/0/15-18數(shù)據(jù)庫(kù)、文件服務(wù)器有了這張表配置時(shí)照著敲命令就行不用現(xiàn)場(chǎng)想“這個(gè)口該劃到哪”。等網(wǎng)絡(luò)規(guī)模變大以后這張表還會(huì)成為你排查故障的第一手資料。我見過(guò)太多團(tuán)隊(duì)配置文檔缺失最后出了問(wèn)題只能一臺(tái)一臺(tái)交換機(jī)登上去看效率非常低。2.2 Access、Trunk、Hybrid三種端口怎么選端口類型是VLAN配置里的核心概念。常見的有Access、Trunk、Hybrid三種每種的作用和適用場(chǎng)景都不同。Access口是“終端接入型”端口通常連接PC、打印機(jī)、IP電話這類不需要識(shí)別VLAN Tag的設(shè)備。Access口只能屬于一個(gè)VLAN從Access口發(fā)出的幀不帶Tag收到無(wú)標(biāo)簽幀時(shí)會(huì)打上該端口的PVID也就是默認(rèn)VLAN ID。如果你把PC接在Access口但這個(gè)口的PVID是10那這個(gè)PC就自動(dòng)成為VLAN 10的成員不需要在PC上做任何設(shè)置。Trunk口是“鏈路復(fù)用型”端口通常連接交換機(jī)與交換機(jī)、交換機(jī)與路由器目的是讓一條物理鏈路同時(shí)承載多個(gè)VLAN的流量。Trunk口上的幀帶Tag傳輸交換機(jī)通過(guò)Tag判斷這個(gè)幀屬于哪個(gè)VLAN。Trunk口默認(rèn)放行哪些VLAN不同廠商設(shè)備行為不同有的默認(rèn)只放行VLAN 1有的默認(rèn)放行所有VLAN。最穩(wěn)妥的做法是顯式配置放行列表只放行需要通行的VLAN。Hybrid口是介于兩者之間的靈活類型它既能像Access口一樣無(wú)標(biāo)簽收幀也能像Trunk口一樣支持多個(gè)VLAN還能分別指定哪些VLAN發(fā)幀時(shí)帶Tag、哪些不帶Tag。某些廠商交換機(jī)還用它實(shí)現(xiàn)特殊的組網(wǎng)需求但普通場(chǎng)景下不建議新手優(yōu)先使用配置靈活也意味著理解和排障成本更高。下面用表格直接對(duì)比端口類型收無(wú)標(biāo)簽幀時(shí)發(fā)幀時(shí)是否帶Tag典型連接對(duì)象適用場(chǎng)景Access打上PVID進(jìn)入對(duì)應(yīng)VLAN不帶TagPC、打印機(jī)、攝像頭接入終端Trunk打上PVID按放行列表轉(zhuǎn)發(fā)按VLAN決定多數(shù)帶Tag交換機(jī)之間、交換機(jī)到路由/防火墻跨設(shè)備VLAN透?jìng)鱄ybrid按配置打Tag或直接處理按配置決定每個(gè)VLAN是否帶Tag特殊組網(wǎng)、靈活場(chǎng)景需要精細(xì)控制Tag時(shí)選型邏輯很簡(jiǎn)單接終端設(shè)備用Access設(shè)備與設(shè)備之間需要同時(shí)傳多VLAN流量時(shí)用TrunkHybrid只在明確知道為什么要用的時(shí)候才碰。如果拿不準(zhǔn)寧可多畫兩張拓?fù)鋱D也別隨手配置一個(gè)Hybrid然后讓全網(wǎng)猜你的意圖。2.3 PVID與Native VLAN的坑配置前必須理解PVID的全稱是Port VLAN ID它和Access口的默認(rèn)VLAN有直接關(guān)系。在Trunk口上PVID還牽扯到一個(gè)叫Native VLAN的概念。收到?jīng)]有Tag的幀時(shí)交換機(jī)會(huì)打上PVID對(duì)于PVID對(duì)應(yīng)的那個(gè)VLANTrunk口在發(fā)送時(shí)通常會(huì)把Tag剝掉這個(gè)VLAN就叫Native VLAN中文也叫本征VLAN。默認(rèn)情況下很多設(shè)備的Native VLAN是VLAN 1。也就是說(shuō)Trunk口在發(fā)送VLAN 1的數(shù)據(jù)時(shí)是不帶Tag的這讓VLAN 1的流量在Trunk鏈路上“裸奔”。如果兩端設(shè)備的Native VLAN配置不一致就會(huì)出現(xiàn)在同一臺(tái)交換機(jī)上互相能通但跨了設(shè)備就不通的情況。最典型的是一端Trunk口PVID是1另一端Trunk口PVID被改成10兩端都只配置了Trunk口原本允許的VLAN結(jié)果VLAN 1的設(shè)備跨交換機(jī)全部失聯(lián)而VLAN 10反而一切正常。提示跨交換機(jī)配置Trunk時(shí)兩端端口的PVID必須保持一致。除非你非常清楚為什么要改否則不要隨意修改Trunk口的PVID。另外VLAN 1承載管理流量很容易成為安全隱患規(guī)規(guī)矩矩的做法是不讓業(yè)務(wù)跑在VLAN 1管理VLAN單獨(dú)規(guī)劃并在接入層端口上關(guān)閉不必要的管理協(xié)議。3. VLAN配置實(shí)操單交換機(jī)、跨交換機(jī)到三層互通3.1 第一步單交換機(jī)上創(chuàng)建VLAN并把端口加入下面開始實(shí)際操作。我用市面上最常見的企業(yè)級(jí)交換機(jī)命令行風(fēng)格演示不同廠商命令略有差異但配置邏輯對(duì)所有設(shè)備都通用。假設(shè)有一臺(tái)交換機(jī)SW1GE0/0/1到GE0/0/8接辦公PC計(jì)劃劃入VLAN 10GE0/0/9到GE0/0/16接訪客終端計(jì)劃劃入VLAN 20。進(jìn)入系統(tǒng)視圖之后第一步創(chuàng)建VLAN?？梢允褂门繛榉绞酵瑫r(shí)創(chuàng)建多個(gè)VLAN也可以進(jìn)入單個(gè)VLAN視圖做詳細(xì)配置system-view sysname SW1 vlan batch 10 20 vlan 10 description Sales_Network quit vlan 20 description Guest_Network quitvlan batch這條命令很實(shí)用一次把多個(gè)VLAN建好省去逐條創(chuàng)建的時(shí)間。description的作用是給VLAN加備注建議每條VLAN都寫上用途。等網(wǎng)絡(luò)規(guī)模大了以后沒(méi)有備注的VLAN列表看起來(lái)就是一堆數(shù)字根本分不清哪個(gè)對(duì)應(yīng)哪塊業(yè)務(wù)。接下來(lái)把端口加入對(duì)應(yīng)VLAN。以GE0/0/1加入VLAN 10為例interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit第二行port link-type access把端口設(shè)置為Access模式第三行port default vlan 10把端口默認(rèn)VLAN設(shè)為10。有的初學(xué)者只看最后一行的字面意思以為這只是給端口設(shè)置了一個(gè)默認(rèn)VLAN號(hào)忽略了它同時(shí)還完成了端口到VLAN成員關(guān)系的綁定。實(shí)際上在大多數(shù)設(shè)備上這一行配置執(zhí)行以后端口就正式成為VLAN 10的成員端口了。如果有連續(xù)端口需要批量加入可以進(jìn)入端口組或連續(xù)端口配置。比如把GE0/0/2到GE0/0/8全部加入VLAN 10很多設(shè)備支持這樣操作port-group group-member GigabitEthernet0/0/2 to GigabitEthernet0/0/8 port link-type access port default vlan 10 quit配置完成后用display vlan查看。正常情況下可以看到VLAN 10和VLAN 20分別存在所屬端口一欄也列出了對(duì)應(yīng)的接口。如果某個(gè)端口的類型或VLAN號(hào)配錯(cuò)了在這一步就能直觀看到異常。3.2 第二步跨交換機(jī)Trunk鏈路配置與驗(yàn)證單臺(tái)交換機(jī)的VLAN劃分只是熱身實(shí)際組網(wǎng)中幾乎所有VLAN都要跨交換機(jī)使用。比如兩臺(tái)接入交換機(jī)SW1和SW2分別接了不同辦公室的PC但要求兩邊屬于VLAN 10的PC能互相通信。此時(shí)兩臺(tái)交換機(jī)之間必須用Trunk鏈路連接并且Trunk口要放行VLAN 10。先看SW1側(cè)的配置GE0/0/24作為與SW2互聯(lián)的上聯(lián)口interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quitSW2側(cè)做完全相同的配置使用與SW1互聯(lián)的那個(gè)端口同樣設(shè)置成Trunk并放行VLAN 10和20。需要注意的是port trunk allow-pass vlan 10 20并不是把VLAN 10和20“創(chuàng)建”在交換機(jī)上它只表示這個(gè)Trunk口允許這兩個(gè)VLAN的幀通過(guò)。如果SW2上根本沒(méi)有VLAN 20這個(gè)放行配置本身頂多只是個(gè)無(wú)效配置不會(huì)自動(dòng)創(chuàng)建VLAN。我遇到過(guò)不少初學(xué)者在這里翻車明明兩端Trunk都配了跨交換機(jī)還是不通用display vlan查看時(shí)發(fā)現(xiàn)SW2上連VLAN 10都不存在。原因是他們?cè)赟W2上只配了Trunk放行沒(méi)有先執(zhí)行vlan 10或vlan batch 10 20創(chuàng)建VLAN。創(chuàng)建VLAN和放行VLAN是兩件獨(dú)立的事缺一不可?？缃粨Q機(jī)配置完成后可以用display interface trunk或等價(jià)的查看命令檢查Trunk口狀態(tài)確認(rèn)鏈路是up的、放行列表里包含VLAN 10。然后再?gòu)腜C-A去Ping PC-C如果通了說(shuō)明跨交換機(jī)的VLAN已經(jīng)拉通。如果還不通優(yōu)先查兩端端口是否都是Trunk、放行列表是否一致以及物理鏈路是否正常。3.3 第三步VLAN間路由讓不同VLAN的主機(jī)也能通信VLAN默認(rèn)隔離不同廣播域所以不同VLAN之間默認(rèn)不能通信。但在實(shí)際辦公環(huán)境里研發(fā)和財(cái)務(wù)雖然屬于不同VLAN它們還是需要訪問(wèn)同一套服務(wù)器或者互相發(fā)郵件。這時(shí)候就需要三層設(shè)備介入也就是VLAN間路由。常見方案有兩種單臂路由和三層層交換機(jī)VLANIF接口。單臂路由的思路是路由器用一個(gè)物理口接到交換機(jī)上交換機(jī)側(cè)這個(gè)口配置為Trunk路由器側(cè)把這個(gè)物理口拆成多個(gè)子接口每個(gè)子接口綁定一個(gè)VLAN ID并配置對(duì)應(yīng)VLAN的網(wǎng)關(guān)地址。比如在路由器上interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit interface GigabitEthernet0/0/1.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable quitdot1q termination vid 10表示這個(gè)子接口只處理帶VLAN 10 Tag的幀arp broadcast enable用于讓設(shè)備能夠響應(yīng)VLAN 10內(nèi)的ARP廣播請(qǐng)求。單臂路由的缺點(diǎn)是所有跨VLAN流量都要擠在一個(gè)物理口上帶寬和性能有限適合小型網(wǎng)絡(luò)。實(shí)際工程里更常用的是三層交換機(jī)。三層交換機(jī)可以在內(nèi)部同時(shí)處理二層交換和三層路由。以SW1作為三層設(shè)備為例在交換機(jī)上創(chuàng)建好VLAN 10和VLAN 20之后分別配置VLANIF接口地址interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quitVLANIF接口就是SVI它是交換機(jī)上每個(gè)VLAN對(duì)應(yīng)的三層網(wǎng)關(guān)。PC的網(wǎng)關(guān)地址指向192.168.10.1訪問(wèn)VLAN 20的流量到達(dá)SW1后SW1查路由表發(fā)現(xiàn)192.168.20.0/24是直連網(wǎng)段于是把報(bào)文從VLANIF 20轉(zhuǎn)發(fā)到VLAN 20的對(duì)應(yīng)端口。配置完成之后可以通過(guò)display ip routing-table看到兩個(gè)網(wǎng)段的直連路由。只要VLAN內(nèi)PC的網(wǎng)關(guān)都指向了VLANIF地址跨VLAN通信立刻就能生效。三層交換機(jī)方案與單臂路由最大的區(qū)別在于性能。單臂路由所有流量都過(guò)路由器物理口三層交換機(jī)的轉(zhuǎn)發(fā)通常在硬件芯片內(nèi)完成速度高出幾個(gè)量級(jí)。所以在預(yù)算允許的中型企業(yè)網(wǎng)絡(luò)里三層交換機(jī)是絕對(duì)的主流。3.4 常用驗(yàn)證命令與我的排障習(xí)慣配置VLAN最怕的就是“配完了不知道對(duì)不對(duì)”。我通常按順序看三樣?xùn)|西VLAN表、端口VLAN狀態(tài)、Trunk放行列表。display vlan可以看到交換機(jī)上所有的VLAN以及每個(gè)VLAN的成員端口這是第一道檢查。如果某個(gè)端口不在預(yù)期的VLAN里說(shuō)明加入或劃分配置有問(wèn)題。display port vlan可以查看每個(gè)端口當(dāng)前的鏈路類型、PVID、允許通過(guò)的VLAN列表這是第二道檢查。比如一個(gè)端口應(yīng)該配成Access和PVID 10結(jié)果PVID顯示20那肯定錯(cuò)了。display interface trunk或者等價(jià)的查看命令用來(lái)檢查Trunk口的狀態(tài)。注意看鏈路是否up、放行列表是否包含了所有需要的VLAN以及兩端PVID是否一致。物理層狀態(tài)也很重要。如果端口顯示down優(yōu)先檢查網(wǎng)線、光模塊、對(duì)端設(shè)備是否通電。我見過(guò)一個(gè)案例配置全對(duì)但光纖跳線接到了另一個(gè)未啟用的端口上結(jié)果排查了半天才發(fā)現(xiàn)物理鏈路根本沒(méi)通。驗(yàn)證VLAN通斷最直接的方式還是從終端發(fā)起Ping測(cè)試讓PC-A Ping PC-C既能驗(yàn)證二層VLAN也能驗(yàn)證三層網(wǎng)關(guān)一舉兩得。4. VLAN常見故障排查現(xiàn)象、原因與解決步驟4.1 同一VLAN內(nèi)主機(jī)Ping不通先查這四樣A同學(xué)曾經(jīng)拿著配置問(wèn)我VLAN建了端口也加了PC網(wǎng)卡也設(shè)了為什么兩臺(tái)PC在同一個(gè)VLAN里還是Ping不通遇到這種問(wèn)題我一般讓他按以下順序排查。第一看物理鏈路。端口狀態(tài)是不是up網(wǎng)線是否有松動(dòng)或損壞。很多人一上來(lái)就查VLAN配置結(jié)果網(wǎng)線壓根沒(méi)插好這是最常見的低級(jí)問(wèn)題。第二看端口類型和PVID。確認(rèn)兩臺(tái)PC接的端口都是Access口并且PVID都是同一個(gè)VLAN。如果一臺(tái)PC接的端口被配置成了Hybrid或Trunk或者PVID錯(cuò)位就會(huì)導(dǎo)致幀處理方式完全不符合預(yù)期。第三看IP地址。兩臺(tái)PC在同一個(gè)VLAN里IP網(wǎng)段必須相同子網(wǎng)掩碼也要一致。如果PC-A是192.168.10.5/24PC-B是192.168.11.5/24雖然二層互相能看到但I(xiàn)P層會(huì)認(rèn)為對(duì)方不在同一網(wǎng)段Ping就會(huì)失敗。第四看主機(jī)防火墻。Windows自帶的防火墻在某些網(wǎng)絡(luò)配置下會(huì)攔截ICMP響應(yīng)不出意外的話這一項(xiàng)很容易被忽略。先ping網(wǎng)關(guān)如果網(wǎng)關(guān)通、ping另一臺(tái)PC不通且前三個(gè)都查過(guò)沒(méi)問(wèn)題就試試臨時(shí)關(guān)閉PC防火墻再測(cè)一次。提示同一VLAN內(nèi)Ping不通90%的原因出在物理鏈路或IP地址配置上剩下10%才是端口VLAN配置的問(wèn)題。不要一開始就懷疑交換機(jī)按鏈路、端口、IP、防火墻四步走思路清晰很多。4.2 跨交換機(jī)同VLAN斷連Trunk問(wèn)題排第一位跨交換機(jī)VLAN不通排障重點(diǎn)幾乎都在Trunk鏈路上。我把常見原因總結(jié)成三類。第一是端口沒(méi)有正確配置為Trunk。兩個(gè)交換機(jī)互聯(lián)口如果一側(cè)是Access口另一側(cè)是Trunk口Access口只會(huì)放行一個(gè)VLAN且不帶Tag對(duì)端Trunk口收到無(wú)標(biāo)簽幀后打上自己的PVID兩邊VLAN根本對(duì)不上。解決辦法是確?；ヂ?lián)兩側(cè)都是Trunk。第二是Trunk放行列表不完整。一端放行了VLAN 10和20另一端只放行了VLAN 10那么VLAN 20跨交換機(jī)必然不通。用查看命令對(duì)比兩端放行列表一目了然。第三是PVID不一致。前面講過(guò)Native VLAN的坑如果兩端PVID不同那么PVID對(duì)應(yīng)的本征VLAN流量會(huì)出現(xiàn)跨設(shè)備失聯(lián)。檢查兩端Trunk口的PVID是否一致。排障時(shí)還有個(gè)實(shí)用技巧先在兩臺(tái)交換機(jī)上配置管理IP并用管理IP互Ping。管理IP如果通說(shuō)明二層鏈路和Trunk基本沒(méi)問(wèn)題再繼續(xù)查具體VLAN。管理IP不通問(wèn)題大概率出在Trunk或物理鏈路上。4.3 不同VLAN意外互通安全隔離去哪了默認(rèn)情況下不同VLAN是隔離的如果發(fā)現(xiàn)不同VLAN的主機(jī)還能直接Ping通那一定是什么地方違背了“默認(rèn)隔離”這個(gè)前提。常見原因有三個(gè)。一是三層設(shè)備已經(jīng)把路由打通了。比如在三層交換機(jī)上配置了VLANIF同時(shí)又放了默認(rèn)路由或靜態(tài)路由本來(lái)就能互通。這是預(yù)期行為不算故障。如果業(yè)務(wù)上明確要求兩個(gè)VLAN之間不能互訪那就需要配置ACL過(guò)濾而不是疑惑為什么VLAN“失效”。二是有人把端口錯(cuò)誤地配成了Hybrid或Trunk放行了所有VLAN。比如某個(gè)接入端口本應(yīng)該接一臺(tái)PC結(jié)果被配置成了Trunk或包含多個(gè)VLAN的HybridPC發(fā)出的無(wú)標(biāo)簽幀可能會(huì)被誤打上其他PVID或者收到的幀帶了Tag也能進(jìn)破壞了隔離。查端口配置時(shí)注意看鏈路類型和放行列表。三是終端手動(dòng)設(shè)置了雙IP或多余網(wǎng)關(guān)。PC上如果配了兩個(gè)IP一個(gè)在VLAN 10網(wǎng)段一個(gè)在VLAN 20網(wǎng)段它會(huì)嘗試通過(guò)兩個(gè)網(wǎng)段通信看起來(lái)就像兩個(gè)VLAN互通了。這種情況排查終端配置比查交換機(jī)更快。4.4 管理VLAN、配置保存這兩個(gè)隱形坑VLAN配置過(guò)程中有兩個(gè)不顯眼但殺傷力極大的坑一個(gè)是管理VLAN一個(gè)是配置保存。管理VLAN是指網(wǎng)絡(luò)設(shè)備用于遠(yuǎn)程管理Telnet、SSH、Web的VLAN。很多設(shè)備默認(rèn)管理VLAN是VLAN 1如果你把VLAN 1清空或者改了PVID同時(shí)業(yè)務(wù)VLAN又沒(méi)有包含管理地址所在網(wǎng)段遠(yuǎn)程管理就會(huì)斷掉。我曾經(jīng)在幫朋友調(diào)一個(gè)網(wǎng)絡(luò)時(shí)想著把VLAN 1徹底棄用結(jié)果一改完交換機(jī)的遠(yuǎn)程管理立即失聯(lián)最后只能跑現(xiàn)場(chǎng)用Console口救回來(lái)。配置保存更常見也更要命。交換機(jī)的運(yùn)行配置默認(rèn)只存在內(nèi)存里重啟后全部丟失。很多人配完VLAN、測(cè)試都通過(guò)了就以為萬(wàn)事大吉結(jié)果設(shè)備一重啟所有配置回到初始狀態(tài)。正確的做法是配置完成后立即執(zhí)行保存命令讓配置寫入設(shè)備的存儲(chǔ)介質(zhì)。保存后的配置在設(shè)備重啟后仍然生效。提示修改管理VLAN之前必須確認(rèn)能通過(guò)Console口或其他帶外方式訪問(wèn)設(shè)備。如果只有遠(yuǎn)程管理一條路一旦改錯(cuò)就會(huì)徹底失聯(lián)非常被動(dòng)。5. 配套練習(xí)題6道題檢驗(yàn)?zāi)愕腣LAN掌握程度5.1 選擇題廣播域、標(biāo)簽與端口類型第1題一臺(tái)24口交換機(jī)不劃分VLAN時(shí)處于幾個(gè)廣播域?qū)⒃摻粨Q機(jī)第1-8口劃入VLAN 10、第9-16口劃入VLAN 20、第17-24口劃入VLAN 30之后整臺(tái)交換機(jī)處于幾個(gè)廣播域A. 1個(gè)切分后是3個(gè)B. 3個(gè)切分后是3個(gè)C. 1個(gè)切分后是4個(gè)D. 4個(gè)切分后是4個(gè)第2題標(biāo)準(zhǔn)802.1Q幀中VLAN Tag為數(shù)據(jù)幀增加了多少字節(jié)VLAN ID字段占用多少位A. 2字節(jié)10位B. 4字節(jié)12位C. 4字節(jié)16位D. 2字節(jié)12位第3題一臺(tái)PC直接接入交換機(jī)某一端口PC無(wú)法識(shí)別VLAN Tag。此時(shí)該交換機(jī)端口應(yīng)配置為哪種類型A. Trunk口放行所有VLANB. Hybrid口放行部分VLANC. Access口PVID設(shè)為PC所屬VLAND. Trunk口PVID設(shè)為所有VLAN第4題兩臺(tái)交換機(jī)通過(guò)Trunk鏈路互聯(lián)需要讓VLAN 10和VLAN 20的幀都能跨交換機(jī)傳輸。哪項(xiàng)或哪幾項(xiàng)配置是必須的A. 兩端端口都設(shè)置成Access模式B. 兩端端口都設(shè)置為Trunk并放行VLAN 10和20C. 兩端端口都設(shè)置成Trunk并設(shè)置PVID為10D. 兩端設(shè)置成Trunk且放行列表空即可第5題關(guān)于單臂路由實(shí)現(xiàn)VLAN間通信下列描述正確的是A. 路由器物理口直接接一臺(tái)PCB. 路由器子接口需要綁定VLAN ID并配置對(duì)應(yīng)網(wǎng)關(guān)地址C. 交換機(jī)上需要配置VLANIF接口D. 單臂路由不需要路由器5.2 配置題跨交換機(jī)VLAN隔離與三層互通假設(shè)有這樣的網(wǎng)絡(luò)環(huán)境PC-A接SW1的GE0/0/1PC-B接SW1的GE0/0/2PC-C接SW2的GE0/0/3。SW1和SW2通過(guò)各自的GE0/0/24互聯(lián)。要求PC-A和PC-C屬于VLAN 10能夠跨交換機(jī)二層互通PC-B屬于VLAN 20同時(shí)PC-A、PC-B、PC-C需要通過(guò)三層網(wǎng)關(guān)實(shí)現(xiàn)跨VLAN互通三層網(wǎng)關(guān)所在設(shè)備是SW1。請(qǐng)寫出SW1和SW2的關(guān)鍵配置包括VLAN創(chuàng)建、端口類型、Trunk放行以及VLANIF地址配置并說(shuō)明為什么PC-A Ping PC-C時(shí)首先經(jīng)歷二層過(guò)程而PC-A Ping PC-B時(shí)則必須經(jīng)過(guò)三層轉(zhuǎn)發(fā)。5.3 答案與關(guān)鍵解析第1題答案C。不劃分VLAN時(shí)整臺(tái)交換機(jī)就是一個(gè)廣播域。劃分3個(gè)VLAN后VLAN 1默認(rèn)仍然存在即使沒(méi)有物理端口或空余端口它也算一個(gè)廣播域。3個(gè)業(yè)務(wù)VLAN加上VLAN 1一共4個(gè)廣播域。第2題答案B。802.1Q Tag固定增加4字節(jié)其中VLAN ID字段是12位取值范圍0到4095可用業(yè)務(wù)范圍1到4094。這個(gè)知識(shí)點(diǎn)?？纪瑫r(shí)也解釋了為什么VLAN數(shù)量上限是4094而不是4095。第3題答案C。PC的網(wǎng)卡不支持VLAN Tag接入交換機(jī)的端口必須是無(wú)標(biāo)簽?zāi)Ｊ?。Access口可以把無(wú)標(biāo)簽幀打上PVID并加入對(duì)應(yīng)VLANPC無(wú)需額外配置。如果用Trunk口接PC幀默認(rèn)帶Tag普通PC網(wǎng)卡大概率會(huì)丟棄這些幀導(dǎo)致無(wú)法通信。第4題答案B?？缃粨Q機(jī)承載多個(gè)VLAN必須使用Trunk口并且放行列表必須顯式包含VLAN 10和20。僅設(shè)置PVID并不會(huì)自動(dòng)放行所有VLAN放行列表為空就什么VLAN都過(guò)不去。A選項(xiàng)Access只能放行一個(gè)VLAN錯(cuò)誤C選項(xiàng)只解釋了PVID放行列表缺失D選項(xiàng)“放行列表空即可”顯然是錯(cuò)的。第5題答案B。單臂路由中路由器物理口連接交換機(jī)的Trunk口路由器子接口必須通過(guò)802.1Q封裝綁定對(duì)應(yīng)VLAN ID并配置該VLAN的網(wǎng)關(guān)IP。C選項(xiàng)描述的VLANIF屬于三層交換機(jī)方案不是單臂路由。配置題參考實(shí)現(xiàn)SW1配置system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quitSW2配置system-view sysname SW2 vlan batch 10 20 interface GigabitEthernet0/0/3 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit解析PC-A和PC-C都屬于VLAN 10數(shù)據(jù)從PC-A到達(dá)SW1后SW1查到目的PC-C的MAC地址通過(guò)Trunk鏈路學(xué)習(xí)到于是將幀從Trunk口轉(zhuǎn)發(fā)到SW2SW2再把幀從GE0/0/3轉(zhuǎn)發(fā)給PC-C整個(gè)過(guò)程是二層轉(zhuǎn)發(fā)不需要路由。PC-A Ping PC-B時(shí)發(fā)現(xiàn)目的IP不在同一網(wǎng)段會(huì)把報(bào)文交給網(wǎng)關(guān)192.168.10.1也就是SW1的VLANIF 10接口SW1查路由表發(fā)現(xiàn)192.168.20.0/24是直連網(wǎng)段于是做三層轉(zhuǎn)發(fā)從VLANIF 20發(fā)出再由二層從GE0/0/2轉(zhuǎn)發(fā)給PC-B。這也是為什么三層設(shè)備必須配置VLANIF地址的原因。第5題易錯(cuò)點(diǎn)單臂路由和三層交換機(jī)的方案容易混。單臂路由的子接口數(shù)量對(duì)應(yīng)VLAN數(shù)量三層交換機(jī)是直接在VLANIF上配IP兩者選其一即可。另外無(wú)論哪種方案VLAN內(nèi)PC的網(wǎng)關(guān)必須指向?qū)?yīng)VLAN的網(wǎng)關(guān)地址要不然跨VLAN通信時(shí)PC根本不知道把報(bào)文交給誰(shuí)。VLAN配置這部分我個(gè)人在實(shí)際操作中最深的體會(huì)是先規(guī)劃再動(dòng)手比什么都重要。一張VLAN劃分表、一份端口與VLAN對(duì)應(yīng)關(guān)系表能在配置和排障時(shí)省下大量時(shí)間。另外每配完一臺(tái)設(shè)備我一定執(zhí)行保存命令這個(gè)習(xí)慣已經(jīng)幫我避免過(guò)好多次設(shè)備重啟后配置全丟的尷尬。最后再分享一個(gè)小技巧排查VLAN故障時(shí)從終端Ping網(wǎng)關(guān)入手網(wǎng)關(guān)通了說(shuō)明二層鏈路和接入配置基本沒(méi)問(wèn)題網(wǎng)關(guān)不通再逐級(jí)往上查交換機(jī)端口、Trunk放行列表和管理VLAN思路會(huì)清晰很多。