VLAN與Trunk技術(shù)這個(gè)詞很多剛接觸網(wǎng)絡(luò)的朋友都會(huì)覺得有點(diǎn)虛。說白了VLAN就是在一臺(tái)交換機(jī)上把一個(gè)大的二層廣播域切成多個(gè)小房間Trunk就是在這臺(tái)交換機(jī)和另一臺(tái)交換機(jī)之間拉一根管子把這幾個(gè)小房間的流量都搬到對(duì)面去。這篇文章不打算抄教材我想按實(shí)際項(xiàng)目里“從設(shè)計(jì)到落地再到排障”的順序把VLAN和Trunk掰開揉碎講一遍適合剛?cè)腴T想搞懂二層交換原理的人也適合那些配過交換機(jī)但遇到VLAN不通就頭大的運(yùn)維同學(xué)。1. VLAN與Trunk的整體設(shè)計(jì)思路1.1 先搞明白VLAN到底在解決什么問題VLANVirtual Local Area Network虛擬局域網(wǎng)這個(gè)詞翻譯成“虛擬局域網(wǎng)”其實(shí)挺容易讓人誤解好像跟“虛擬化”有什么關(guān)系。實(shí)際上它解決的是一個(gè)很實(shí)在的痛點(diǎn)二層廣播域太大。在一個(gè)沒有任何隔離的交換網(wǎng)絡(luò)里所有接在交換機(jī)上的設(shè)備都在同一個(gè)廣播域。但凡有一臺(tái)設(shè)備發(fā)出ARP廣播去找網(wǎng)關(guān)整個(gè)廣播域的設(shè)備都要收一遍。如果業(yè)務(wù)網(wǎng)段和數(shù)據(jù)網(wǎng)段混在一起廣播報(bào)文滿天飛網(wǎng)絡(luò)稍大一點(diǎn)就開始卡頓。更麻煩的是二層網(wǎng)絡(luò)里如果出現(xiàn)了環(huán)路廣播幀會(huì)在交換機(jī)之間反復(fù)轉(zhuǎn)發(fā)直接打滿交換機(jī)CPU整個(gè)網(wǎng)絡(luò)癱瘓。我見過不止一次因?yàn)樵O(shè)備接錯(cuò)口導(dǎo)致廣播風(fēng)暴的情況那種全員斷網(wǎng)的酸爽經(jīng)歷過的人都懂。VLAN的做法就是在一臺(tái)交換機(jī)上把端口劃分到不同的廣播域里。從主機(jī)的角度看它感知不到VLAN的存在它只知道自己的網(wǎng)卡連了一根網(wǎng)線但交換機(jī)會(huì)根據(jù)端口所屬的VLAN來決定幀往哪里轉(zhuǎn)發(fā)。VLAN 10里的廣播只會(huì)到達(dá)VLAN 10的端口不會(huì)干擾VLAN 20。不同VLAN之間默認(rèn)是二層隔離的。這個(gè)“邏輯隔離”的思路非常關(guān)鍵。它不需要額外的物理設(shè)備不用重新拉線改一下交換機(jī)配置就能把原來的一個(gè)大網(wǎng)切成多個(gè)小房間。每個(gè)小房間就是一個(gè)小廣播域廣播被限制在房間內(nèi)部性能和安全都上來了。這也是VLAN能成為所有交換機(jī)基本功的原因。1.2 Trunk是給一條物理鏈路“開多條通道”VLAN解決了隔離問題但新的問題馬上出現(xiàn)公司里有十幾臺(tái)交換機(jī)不同交換機(jī)上的設(shè)備如果屬于同一個(gè)VLAN它們之間怎么通信舉個(gè)例子你的工位在二樓接入交換機(jī)是A同事的工位在三樓接入交換機(jī)是B。你們兩個(gè)都屬于研發(fā)部都在VLAN 10。A和B之間只有一根網(wǎng)線連著這根網(wǎng)線上要跑VLAN 10的流量可能還要同時(shí)跑財(cái)務(wù)的VLAN 20和管理員VLAN 99的流量。一根線怎么區(qū)分這些不同的流量答案就是給每個(gè)幀“打標(biāo)簽”。Trunk端口在發(fā)送某個(gè)VLAN的幀時(shí)會(huì)在以太網(wǎng)幀頭里插入一個(gè)4字節(jié)的標(biāo)簽里面用12個(gè)比特記錄這個(gè)幀屬于哪個(gè)VLAN。接收端交換機(jī)一看標(biāo)簽里的VLAN號(hào)就知道該把這個(gè)幀丟到哪個(gè)廣播域去處理。所以Trunk的定義可以理解為一條可以承載多個(gè)VLAN流量、并且通過標(biāo)簽來區(qū)分幀所屬VLAN的鏈路。它通常用于交換機(jī)與交換機(jī)之間或者交換機(jī)與路由器之間。相對(duì)于一個(gè)端口只屬于一個(gè)VLAN的Access口Trunk口更像是“多條虛擬線路的集合體”。還記得我第一次配Trunk的時(shí)候就簡(jiǎn)單把它當(dāng)成“把鏈路兩端的口都設(shè)成Trunk”就完事了。后來才發(fā)現(xiàn)完全不是這樣Trunk口的放行列表、native VLAN、標(biāo)簽處理規(guī)則哪個(gè)沒想清楚都會(huì)出問題。這部分后面細(xì)說。1.3 為什么說VLAN和Trunk必須一起設(shè)計(jì)很多人學(xué)這兩個(gè)概念是分開學(xué)的覺得一個(gè)是劃分邏輯隔離域一個(gè)是鏈路封裝協(xié)議各學(xué)各的。但在實(shí)際項(xiàng)目里這兩個(gè)東西從來都是綁定在一起設(shè)計(jì)的。你劃分VLAN的邊界在哪Trunk鏈路口就要把哪些VLAN放行過去。VLAN劃分決定了部門之間、網(wǎng)段之間的訪問控制粒度Trunk決定了這些隔離后的流量能不能跨設(shè)備自由流動(dòng)。設(shè)計(jì)一個(gè)網(wǎng)絡(luò)時(shí)VLAN的規(guī)劃表要跟物理拓?fù)鋱D放在一起看哪個(gè)口屬于哪個(gè)VLAN哪條鏈路要Trunk哪些VLAN全得揉在一起考慮。舉個(gè)例子某公司的接入層只有兩臺(tái)交換機(jī)每臺(tái)交換機(jī)下面接了幾十個(gè)終端。如果只是把研發(fā)放VLAN 10、財(cái)務(wù)放VLAN 20但中間Trunk上沒有放行業(yè)務(wù)那兩棟樓里的研發(fā)同事之間根本ping不通。反過來如果Trunk把全部VLAN都放行了本來想隔離的兩個(gè)部門又會(huì)互相可見。所以要真正掌控網(wǎng)絡(luò)就得把VLAN規(guī)劃和Trunk設(shè)計(jì)當(dāng)成一個(gè)整體來做這也是本文后面實(shí)操部分想重點(diǎn)講清楚的事情。2. 核心細(xì)節(jié)解析與實(shí)操要點(diǎn)2.1 VLAN ID的分配與規(guī)劃VLAN 1要慎用VLAN ID一共12個(gè)比特范圍從0到4095但真正能用的只有1到4094。其中VLAN 0和4095是保留的VLAN 1002到1005是給令牌環(huán)、FDDI這些老古董用的。如果手動(dòng)創(chuàng)建VLAN時(shí)用了一個(gè)超出范圍的ID交換機(jī)會(huì)直接報(bào)錯(cuò)這一點(diǎn)新手要注意。日常規(guī)劃上最常見也最穩(wěn)妥的做法是VLAN 1留給管理用或者干脆不用業(yè)務(wù)VLAN從10、20、30開始按部門或用途遞增。為什么不要把所有東西都堆在VLAN 1很現(xiàn)實(shí)的原因VLAN 1是交換機(jī)的默認(rèn)VLAN所有端口默認(rèn)都在VLAN 1里。如果不加區(qū)分地使用等于默認(rèn)把所有設(shè)備放進(jìn)了同一個(gè)廣播域跟沒做VLAN沒區(qū)別。另外不少默認(rèn)配置和協(xié)議報(bào)文都跟VLAN 1有關(guān)把業(yè)務(wù)流量放進(jìn)去容易出幺蛾子。我自己習(xí)慣的規(guī)劃是這樣VLAN 10放辦公終端VLAN 20放服務(wù)器VLAN 99放設(shè)備管理。每個(gè)VLAN對(duì)應(yīng)一個(gè)網(wǎng)段網(wǎng)關(guān)在三層交換機(jī)上。規(guī)劃前先把未來幾年會(huì)有多少臺(tái)設(shè)備、會(huì)不會(huì)擴(kuò)容想清楚留出足夠的VLAN編號(hào)空間別到時(shí)候編號(hào)用滿了再改配置那絕對(duì)是災(zāi)難。2.2 Access口和Trunk口的轉(zhuǎn)發(fā)邏輯用一張表說清楚很多人分不清Access口和Trunk口的區(qū)別其實(shí)它們的區(qū)別不在物理形態(tài)而在對(duì)“帶標(biāo)簽幀”和“不帶標(biāo)簽幀”的處理策略上。Access口屬于某一個(gè)VLAN。它收到不帶標(biāo)簽的幀會(huì)打上自己所屬VLAN的標(biāo)簽收到帶標(biāo)簽的幀如果標(biāo)簽就是這個(gè)VLAN就接收否則直接丟棄。它往外發(fā)包時(shí)會(huì)把標(biāo)簽剝掉以普通以太網(wǎng)幀形式發(fā)給終端。所以Access口連接的是那類“不懂VLAN標(biāo)簽”的設(shè)備電腦、打印機(jī)、IP電話等。Trunk口則不同。它默認(rèn)承載多個(gè)VLAN發(fā)送幀時(shí)可以帶標(biāo)簽也可以不帶標(biāo)簽這個(gè)取決于是不是native VLAN。它收到帶標(biāo)簽的幀只有在放行列表里才接收收到不帶標(biāo)簽的幀會(huì)按native VLAN來收。所謂native VLAN就是這條Trunk鏈路上不用打標(biāo)簽的那個(gè)VLAN兩端必須保持一致否則就會(huì)出問題。我把兩者的區(qū)別整理成了一張表方便對(duì)照理解端口類型收到不帶標(biāo)簽幀收到帶標(biāo)簽幀發(fā)送幀時(shí)的標(biāo)簽典型用途Access打上PVID對(duì)應(yīng)的VLAN標(biāo)簽并接收標(biāo)簽等于PVID則接收否則丟棄剝離標(biāo)簽后發(fā)送連接終端設(shè)備Trunk按native VLAN默認(rèn)VLAN 1接收放行列表中存在則接收否則丟棄非native VLAN打標(biāo)簽native VLAN不打標(biāo)簽交換機(jī)之間互聯(lián)這里有個(gè)特別容易踩的坑Trunk的native VLAN如果兩端不一致兩邊設(shè)備之間的標(biāo)簽處理邏輯就會(huì)錯(cuò)亂輕則某一個(gè)VLAN通信異常重則整個(gè)Trunk鏈路都不穩(wěn)定。這個(gè)在后面的排障部分我會(huì)結(jié)合案例細(xì)講。2.3 802.1Q標(biāo)簽并不是“改了幀頭”而是“插了一段說明”既然Trunk要用標(biāo)簽來區(qū)分VLAN那標(biāo)簽到底加在幀的哪個(gè)位置、格式是什么值得花幾分鐘講清楚。普通以太網(wǎng)幀的結(jié)構(gòu)是目的MAC6字節(jié)、源MAC6字節(jié)、類型/長(zhǎng)度字段2字節(jié)、載荷。802.1Q在這個(gè)基礎(chǔ)上往類型/長(zhǎng)度字段前面插入了4個(gè)字節(jié)的標(biāo)簽。插入的4字節(jié)包括兩段內(nèi)容前2個(gè)字節(jié)是TPIDTag Protocol Identifier固定為0x8100表示這是802.1Q標(biāo)簽后2個(gè)字節(jié)是TCITag Control Information里面又拆成幾個(gè)部分PCP占3個(gè)比特用于優(yōu)先級(jí)0到7DEI占1個(gè)比特VID占12個(gè)比特用于存VLAN ID。為什么要在幀里插入這么一段因?yàn)榻粨Q機(jī)在Trunk口上轉(zhuǎn)發(fā)幀的時(shí)候本質(zhì)上是看不懂業(yè)務(wù)數(shù)據(jù)內(nèi)容的它只關(guān)心這個(gè)幀屬于哪個(gè)VLAN所以把VLAN號(hào)寫成一個(gè)數(shù)字塞在顯眼的位置轉(zhuǎn)發(fā)時(shí)可以單獨(dú)提取。有個(gè)細(xì)節(jié)平時(shí)經(jīng)常被忽略以太網(wǎng)幀的最大長(zhǎng)度是1518字節(jié)加了4字節(jié)標(biāo)簽后就變成了1522字節(jié)。很多老舊的抓包工具或者網(wǎng)卡如果不支持接收大幀抓到的帶標(biāo)簽幀就會(huì)被認(rèn)為是異常幀。另外交換機(jī)內(nèi)部轉(zhuǎn)發(fā)時(shí)這個(gè)4字節(jié)標(biāo)簽始終存在發(fā)到Access口外的時(shí)候才剝掉。也就是說標(biāo)簽是只在網(wǎng)絡(luò)設(shè)備之間傳遞的“內(nèi)部說明”終端是看不見的。這一點(diǎn)對(duì)理解抓包結(jié)果特別有用。3. 實(shí)操過程與核心環(huán)節(jié)實(shí)現(xiàn)3.1 一個(gè)能跑通的小型組網(wǎng)示例空談概念太虛咱們直接以一個(gè)常見的小型園區(qū)網(wǎng)絡(luò)為例把VLAN和Trunk從頭到尾配一遍。假設(shè)現(xiàn)在有兩臺(tái)接入交換機(jī)Switch A和Switch B接到一臺(tái)核心交換機(jī)。A下面接了研發(fā)部的幾臺(tái)電腦B下面接了財(cái)務(wù)部的幾臺(tái)電腦。我打算把研發(fā)部劃到VLAN 10網(wǎng)段192.168.10.0/24財(cái)務(wù)部劃到VLAN 20網(wǎng)段192.168.20.0/24設(shè)備管理放VLAN 99網(wǎng)段192.168.99.0/24。A和B分別通過一條Trunk鏈路接到核心交換機(jī)上核心交換機(jī)上再做VLAN間路由讓研發(fā)和財(cái)務(wù)可以按策略互相訪問。位置設(shè)備端口所屬VLAN說明接入層ASwitch AG0/0/1-G0/0/10VLAN 10研發(fā)終端接入層ASwitch AG0/0/24Trunk上聯(lián)核心接入層BSwitch BG0/0/1-G0/0/8VLAN 20財(cái)務(wù)終端接入層BSwitch BG0/0/24Trunk上聯(lián)核心核心層Core Switch對(duì)應(yīng)接口Trunk/VLAN間路由三層網(wǎng)關(guān)這是一個(gè)非常典型的“二層接入、三層匯聚”結(jié)構(gòu)。接入交換機(jī)只做VLAN劃分和Trunk透?jìng)骱诵慕粨Q機(jī)既做二層中繼又承擔(dān)三層網(wǎng)關(guān)職責(zé)。3.2 從零開始的配置步驟我以主流企業(yè)級(jí)交換機(jī)為例講講關(guān)鍵配置思路。不同廠商的命令風(fēng)格略有不同但原理完全一致。第一步在接入交換機(jī)上創(chuàng)建VLAN。假設(shè)我們登錄的是Switch A。vlan batch 10 20 99這條命令一次性創(chuàng)建了三個(gè)VLAN。實(shí)際上如果只有研發(fā)終端接在A上A上只需要VLAN 10和99但為了方便后續(xù)擴(kuò)展先統(tǒng)一創(chuàng)建也沒問題。第二步把連接研發(fā)終端的端口配成Access口并劃入VLAN 10。interface GigabitEthernet 0/0/1 port link-type access port default vlan 10這里有個(gè)習(xí)慣要說一下大多數(shù)交換機(jī)端口默認(rèn)是Access口默認(rèn)屬于VLAN 1。我這邊習(xí)慣把鏈路類型顯式寫出來避免因?yàn)槟J(rèn)配置不同造成后續(xù)排查困難。每個(gè)終端端口都這么配只是VLAN號(hào)不同而已。第三步配置上聯(lián)口為Trunk口。interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 99這條命令的關(guān)鍵在于“允許通過的VLAN列表”。默認(rèn)情況下Trunk口只放行VLAN 1其他VLAN即使創(chuàng)建了也不會(huì)通過。所以如果忘了執(zhí)行allow-pass業(yè)務(wù)流量是傳不過去的。我見過不少新手配Trunk時(shí)只改了link-type忘了加放行列表結(jié)果兩邊的VLAN 10完全不通配置文件刷了好幾遍都找不到原因。Switch B的配置思路完全一樣只是終端口劃到VLAN 20。第四步配置核心交換機(jī)。核心交換機(jī)與接入交換機(jī)相連的口也要設(shè)成Trunk放行同樣的VLAN。然后給VLAN接口配上IP地址啟用三層網(wǎng)關(guān)功能。interface Vlanif10 ip address 192.168.10.254 255.255.255.0interface Vlanif20 ip address 192.168.20.254 255.255.255.0到這里VLAN 10和VLAN 20的設(shè)備通過網(wǎng)關(guān)就能跨VLAN通信了。如果用的是外置路由器而不是三層交換機(jī)那就得在路由器上配子接口也就是常說的單臂路由原理一樣只是把網(wǎng)關(guān)挪到了路由器上。3.3 配置完成后的驗(yàn)證動(dòng)作別偷懶配置完不是結(jié)束驗(yàn)證才是重頭戲。我每次配置完都會(huì)按順序做幾個(gè)檢查。第一步查看VLAN信息確認(rèn)端口和VLAN的對(duì)應(yīng)關(guān)系正確。display vlan這個(gè)命令能看到所有VLAN的ID、名稱、端口成員。如果某個(gè)端口沒有出現(xiàn)在預(yù)期VLAN下說明端口沒劃進(jìn)去。第二步查看Trunk口的放行狀態(tài)。display interface GigabitEthernet 0/0/24重點(diǎn)看端口類型是否真的是Trunk放行VLAN列表是否包含所有業(yè)務(wù)VLAN以及native VLAN是幾。第三步用兩臺(tái)終端的IP做連通性測(cè)試。從一臺(tái)接在VLAN 10的電腦ping另一臺(tái)VLAN 10的電腦通的話說明二層VLAN隔離和轉(zhuǎn)發(fā)正常再?gòu)难邪l(fā)的電腦ping財(cái)務(wù)的網(wǎng)關(guān)192.168.20.254通的話說明三層路由也起來了。抓包驗(yàn)證的時(shí)候在核心交換機(jī)Trunk口上抓能看到帶802.1Q標(biāo)簽的幀里面的VID字段會(huì)明確標(biāo)出10或20。能看到這個(gè)標(biāo)簽說明標(biāo)簽打剝邏輯是正常的。一個(gè)偷懶小技巧如果身邊沒有兩臺(tái)電腦可以直接用交換機(jī)上的兩個(gè)VLAN接口互相ping來驗(yàn)證三層轉(zhuǎn)發(fā)能通就說明VLAN和路由配置基本沒問題。4. 常見問題與排查技巧實(shí)錄4.1 “VLAN不通”的排查順序VLAN和Trunk相關(guān)問題在我接觸的網(wǎng)絡(luò)故障里出現(xiàn)頻率相當(dāng)高。我把最常見的幾種原因整理了一下。現(xiàn)象可能原因排查方向同一交換機(jī)同VLAN設(shè)備ping不通端口沒劃入VLAN終端IP網(wǎng)段不對(duì)display vlan 查看端口歸屬跨交換機(jī)同VLAN ping不通Trunk沒有放行該VLANnative VLAN不一致查看Trunk放行列表和native配置帶標(biāo)簽的幀能通但終端上不了網(wǎng)Access口發(fā)出去了帶標(biāo)簽幀終端不支持檢查端口類型確認(rèn)Access口會(huì)剝標(biāo)簽?zāi)承￢LAN時(shí)通時(shí)不通鏈路兩端Trunk放行列表不一致或物理鏈路不穩(wěn)定對(duì)比兩端配置檢查端口狀態(tài)三層VLAN間訪問失敗沒有配置VLAN網(wǎng)關(guān)或路由策略不允許檢查Vlanif接口和路由表排障的思路我是這樣堅(jiān)持的先通物理再查二層最后看三層。物理層面先看端口Up/Down、光模塊收發(fā)光是否正常二層看VLAN劃分和Trunk放行列表三層再檢查網(wǎng)關(guān)、路由和防火墻策略。如果一上來就懷疑三層往往浪費(fèi)時(shí)間。4.2 最容易忽略的三個(gè)“隱藏坑”排障排得多了有些坑是配置里根本看不出來的我想單獨(dú)拎出來講。第一個(gè)是native VLAN不一致。Trunk鏈路上native VLAN對(duì)應(yīng)的流量是不打標(biāo)簽的。如果A交換機(jī)把native VLAN配成了99B交換機(jī)還默認(rèn)是1那么A發(fā)出來的管理流量在B那里會(huì)被當(dāng)成VLAN 1的流量B發(fā)過來的無標(biāo)簽幀在A那里又會(huì)被歸到VLAN 99。兩邊的認(rèn)知完全不同出問題的時(shí)候特別詭異?，F(xiàn)在很多廠商已經(jīng)允許修改native VLAN我建議要么統(tǒng)一保持默認(rèn)VLAN 1要么在規(guī)劃階段就把所有Trunk兩端的native VLAN明確寫成同一個(gè)值寫進(jìn)文檔里。第二個(gè)是Trunk放行列表被漏配。剛才實(shí)操部分已經(jīng)提過Trunk默認(rèn)只放行VLAN 1。所以給Trunk添加某個(gè)VLAN后一定要檢查是否放行。有一種很隱蔽的情況配置人員用放行全部VLAN的方式來圖省事結(jié)果所有VLAN都透?jìng)鬟^去了跟當(dāng)初做的隔離規(guī)劃完全相反。這種問題在審計(jì)網(wǎng)絡(luò)策略時(shí)才會(huì)被發(fā)現(xiàn)。第三個(gè)是接入交換機(jī)的VLAN范圍限制。有些低端接入交換機(jī)默認(rèn)只有部分VLAN ID可以通過Trunk超過范圍的VLAN需要額外開啟擴(kuò)展功能。如果你發(fā)現(xiàn)配置都對(duì)但某個(gè)VLAN就是不通查一下交換機(jī)型號(hào)和VLAN范圍限制往往答案就在這里。4.3 讓排障更高效的兩個(gè)習(xí)慣最后分享兩個(gè)讓日常維護(hù)輕松不少的好習(xí)慣。一是給端口做描述。不管是Access口還是Trunk口都寫上連接對(duì)端和VLAN用途比如“Trunk-to-Core-Allow-10-20-99”。這樣排障時(shí)不用翻文檔一看配置就知道這根線是干嘛的省下大量時(shí)間。團(tuán)隊(duì)協(xié)作時(shí)尤其重要?jiǎng)e人接手你的配置也不會(huì)一臉懵。二是定期備份配置并整理文檔。VLAN架構(gòu)這東西時(shí)間一長(zhǎng)就很難有人說得清當(dāng)年為什么這么劃。我見過一個(gè)項(xiàng)目某公司核心交換機(jī)上幾十個(gè)VLAN沒人知道哪些是廢棄的哪些還在用。后來我們按端口和VLAN用途整理了一張總表把Trunk放行列表和native VLAN也標(biāo)上去后面無論擴(kuò)容還是排障有了這份地圖都從容得多。從個(gè)人經(jīng)驗(yàn)來說VLAN和Trunk看起來是基礎(chǔ)中的基礎(chǔ)但恰恰是這些基礎(chǔ)能力決定了你在一個(gè)大型網(wǎng)絡(luò)里能不能穩(wěn)得住。把這些細(xì)節(jié)想透了再看更復(fù)雜的VXLAN這些技術(shù)會(huì)發(fā)現(xiàn)底層邏輯是相通的。最后再說一個(gè)小技巧配Trunk之前先在紙上把兩端的VLAN規(guī)劃、native VLAN、放行列表畫出來再動(dòng)手敲命令出錯(cuò)率會(huì)直線下降。希望對(duì)你有用。