搞網(wǎng)絡的人幾乎都會碰到VLAN這個詞。無論你是在機房里配交換機還是接到某個辦公室的網(wǎng)絡規(guī)劃需求第一步動作往往都是劃分VLAN。VLAN的全稱是Virtual Local Area Network也就是虛擬局域網(wǎng)核心作用就是把一臺物理交換機劃分成多個邏輯隔離的廣播域讓廣播不串門讓不同部門之間的數(shù)據(jù)默認看不見。這個機制是幾乎所有企業(yè)內網(wǎng)的地基。這篇內容適合剛學網(wǎng)絡技術的新手、準備網(wǎng)絡認證的考生以及工作中需要自己動手配置交換機的運維人員。我會按“為什么需要VLAN → 關鍵概念 → 配置實操 → 排障經(jīng)驗 → 練習題”這條線講盡量用大白話把原理和命令都說明白?？赐曛竽銘撃塥毩⑼瓿蓡闻_交換機的VLAN劃分看得懂跨交換機的Trunk鏈路也明白不同VLAN之間怎么三層互通。下面直接進入正文。1. VLAN是什么把一個廣播域拆成多個“虛擬隔離區(qū)”1.1 沒有VLAN時一個廣播域能帶來多大麻煩先想一個最簡單的場景一臺24口交換機24臺電腦全部插在上面。此時交換機默認處于同一個廣播域任何一臺機器發(fā)出的廣播幀交換機都會復制轉發(fā)給其他所有端口。ARP請求就是最典型的廣播電腦開機、訪問網(wǎng)關、找同一臺交換機上另一臺電腦的IP都會先發(fā)一個ARP廣播。24臺設備時還好當網(wǎng)絡擴大到幾百臺設備廣播幀數(shù)量會明顯增加所有設備的CPU都在處理與自己無關的廣播網(wǎng)絡就開始卡頓。除了性能問題更麻煩的是安全隔離。同一個廣播域意味著二層可達同網(wǎng)段下任何兩臺主機之間都可以直接通信和抓包。在一個把財務、人事、研發(fā)都塞進同一臺交換機的辦公環(huán)境里這基本等于把所有人的內網(wǎng)流量都暴露在同一個大房間里。我見過不少小公司就是這種組網(wǎng)表面上能用一旦有人運行抓包軟件整個辦公室的流量幾乎都是透明的密碼、文件內容這些敏感信息全都攔不住。VLAN出現(xiàn)就是為了解決這個問題把一個物理廣播域切成多個邏輯廣播域每個VLAN是一個獨立的廣播域默認不能直接互通廣播也只能在自己的VLAN里擴散。這個切分在邏輯上看不見、摸不著但效果非常實際。在同一個交換機上接在VLAN 10里的PC和接在VLAN 20里的PC雖然物理上挨得很近但二層完全隔離VLAN 10的廣播不會到VLAN 20VLAN 20的主機也看不到VLAN 10的主機。1.2 802.1Q標簽與VLAN ID幀上的門牌號VLAN之所以能在一個物理網(wǎng)絡上區(qū)分不同邏輯網(wǎng)絡靠的是以太網(wǎng)幀上的標簽。IEEE 802.1Q定義了VLAN Tag的格式它在標準以太網(wǎng)幀頭中插入了4個字節(jié)的字段其中包含一個12位的VLAN ID取值范圍是0到4095其中0和4095保留實際可用的業(yè)務VLAN ID是1到4094。需要留意很多剛接觸的人會誤以為VLAN ID范圍是1到4095真到配置的時候VLAN 4095往往創(chuàng)建不了或者行為不符合預期規(guī)規(guī)矩矩用1到4094就不會踩這個問題?？梢园堰@個Tag理解為包裹上的門牌號。數(shù)據(jù)幀進入交換機后交換機看這個門牌號就知道該從哪些端口轉發(fā)、不該從哪些端口轉發(fā)。普通電腦的網(wǎng)卡不識別Tag所以接PC的接口在發(fā)幀之前會把Tag剝掉只有交換機之間的互聯(lián)鏈路才會攜帶Tag傳輸這樣才能在一條物理鏈路上同時承載多個VLAN的流量。這也是為什么一臺交換機上只劃分了10個VLAN但幾臺交換機之間只需要一條物理連接的邏輯基礎。這里特別容易出現(xiàn)一個概念混淆VLAN ID和IP子網(wǎng)不是一回事。VLAN是二層概念IP子網(wǎng)是三層概念。常規(guī)做法是把一個VLAN對應一個網(wǎng)段比如VLAN 10對應192.168.10.0/24VLAN 20對應192.168.20.0/24但這只是設計習慣并不是協(xié)議強制要求。不過強烈建議在生產(chǎn)中采用一VLAN一網(wǎng)段的方式否則排障的時候會非常痛苦。試想一個VLAN里跨了兩個網(wǎng)段大家雖然二層開著三層卻因為網(wǎng)段不同互相訪問不了排查起來很容易懷疑到VLAN配置頭上實際卻是IP規(guī)劃混亂。1.3 幾種VLAN劃分方式為什么工程里幾乎都用靜態(tài)端口VLAN的劃分方式不止一種?；诙丝趧澐质亲顐鹘y(tǒng)的靜態(tài)方式管理員手動把端口分配到某個VLAN直觀、簡單、排障容易目前絕大多數(shù)工程用的都是這種方式。還有基于MAC地址、基于IP子網(wǎng)、基于協(xié)議、基于802.1X認證的動態(tài)劃分方式適合終端頻繁移動或接入認證比較嚴格的場景。動態(tài)劃分的優(yōu)點是靈活缺點是配置和管理復雜。比如基于MAC劃分新增一臺電腦就需要維護MAC與VLAN的對應表基于802.1X雖然能在用戶認證后動態(tài)下發(fā)VLAN但需要部署認證服務器和客戶端。對大多數(shù)中小企業(yè)或教學實驗而言靜態(tài)端口劃分的性價比最高。我的建議是先吃透基于端口的靜態(tài)VLAN其他方式在有具體需求時再學原理完全一樣。提示別把VLAN理解成“給交換機分幾個區(qū)”這么簡單。VLAN的核心價值是隔離廣播域和控制二層互通范圍。理解了這句話后面配置Access、Trunk時的很多選擇都會變得順理成章。2. 配置前的關鍵準備VLAN ID規(guī)劃與端口類型選型2.1 VLAN ID如何規(guī)劃避免以后推倒重來配置VLAN之前最容易忽略的一件事是ID規(guī)劃。很多新手拿到交換機直接建一個VLAN 10就往上加端口再加業(yè)務時又隨手建VLAN 20、VLAN 50最后整個網(wǎng)絡的VLAN ID毫無規(guī)律別人接手時根本不知道每個VLAN是干什么的。規(guī)劃VLAN ID有個基本套路把VLAN 1留給默認和管理類流量業(yè)務VLAN從10、20這種有規(guī)律的數(shù)字開始。比如VLAN 10到19給辦公網(wǎng)絡VLAN 20到29給訪客網(wǎng)絡VLAN 30到39給服務器區(qū)VLAN 100以后留給網(wǎng)絡設備管理。每類業(yè)務預留一段空間后續(xù)擴展時直接在這個范圍里加ID不用全局改編號。推薦在項目開始之前在紙上寫一張VLAN規(guī)劃表至少包含以下字段VLAN ID用途網(wǎng)段/網(wǎng)關允許通過的端口備注1默認/管理不承載業(yè)務管理口盡量不放業(yè)務10辦公192.168.10.0/24網(wǎng)關192.168.10.1GE0/0/1-10員工PC20訪客192.168.20.0/24網(wǎng)關192.168.20.1GE0/0/11-14訪客專用隔離互訪30服務器192.168.30.0/24網(wǎng)關192.168.30.1GE0/0/15-18數(shù)據(jù)庫、文件服務器有了這張表配置時照著敲命令就行不用現(xiàn)場想“這個口該劃到哪”。等網(wǎng)絡規(guī)模變大以后這張表還會成為你排查故障的第一手資料。我見過太多團隊配置文檔缺失最后出了問題只能一臺一臺交換機登上去看效率非常低。2.2 Access、Trunk、Hybrid三種端口怎么選端口類型是VLAN配置里的核心概念。常見的有Access、Trunk、Hybrid三種每種的作用和適用場景都不同。Access口是“終端接入型”端口通常連接PC、打印機、IP電話這類不需要識別VLAN Tag的設備。Access口只能屬于一個VLAN從Access口發(fā)出的幀不帶Tag收到無標簽幀時會打上該端口的PVID也就是默認VLAN ID。如果你把PC接在Access口但這個口的PVID是10那這個PC就自動成為VLAN 10的成員不需要在PC上做任何設置。Trunk口是“鏈路復用型”端口通常連接交換機與交換機、交換機與路由器目的是讓一條物理鏈路同時承載多個VLAN的流量。Trunk口上的幀帶Tag傳輸交換機通過Tag判斷這個幀屬于哪個VLAN。Trunk口默認放行哪些VLAN不同廠商設備行為不同有的默認只放行VLAN 1有的默認放行所有VLAN。最穩(wěn)妥的做法是顯式配置放行列表只放行需要通行的VLAN。Hybrid口是介于兩者之間的靈活類型它既能像Access口一樣無標簽收幀也能像Trunk口一樣支持多個VLAN還能分別指定哪些VLAN發(fā)幀時帶Tag、哪些不帶Tag。某些廠商交換機還用它實現(xiàn)特殊的組網(wǎng)需求但普通場景下不建議新手優(yōu)先使用配置靈活也意味著理解和排障成本更高。下面用表格直接對比端口類型收無標簽幀時發(fā)幀時是否帶Tag典型連接對象適用場景Access打上PVID進入對應VLAN不帶TagPC、打印機、攝像頭接入終端Trunk打上PVID按放行列表轉發(fā)按VLAN決定多數(shù)帶Tag交換機之間、交換機到路由/防火墻跨設備VLAN透傳Hybrid按配置打Tag或直接處理按配置決定每個VLAN是否帶Tag特殊組網(wǎng)、靈活場景需要精細控制Tag時選型邏輯很簡單接終端設備用Access設備與設備之間需要同時傳多VLAN流量時用TrunkHybrid只在明確知道為什么要用的時候才碰。如果拿不準寧可多畫兩張拓撲圖也別隨手配置一個Hybrid然后讓全網(wǎng)猜你的意圖。2.3 PVID與Native VLAN的坑配置前必須理解PVID的全稱是Port VLAN ID它和Access口的默認VLAN有直接關系。在Trunk口上PVID還牽扯到一個叫Native VLAN的概念。收到?jīng)]有Tag的幀時交換機會打上PVID對于PVID對應的那個VLANTrunk口在發(fā)送時通常會把Tag剝掉這個VLAN就叫Native VLAN中文也叫本征VLAN。默認情況下很多設備的Native VLAN是VLAN 1。也就是說Trunk口在發(fā)送VLAN 1的數(shù)據(jù)時是不帶Tag的這讓VLAN 1的流量在Trunk鏈路上“裸奔”。如果兩端設備的Native VLAN配置不一致就會出現(xiàn)在同一臺交換機上互相能通但跨了設備就不通的情況。最典型的是一端Trunk口PVID是1另一端Trunk口PVID被改成10兩端都只配置了Trunk口原本允許的VLAN結果VLAN 1的設備跨交換機全部失聯(lián)而VLAN 10反而一切正常。提示跨交換機配置Trunk時兩端端口的PVID必須保持一致。除非你非常清楚為什么要改否則不要隨意修改Trunk口的PVID。另外VLAN 1承載管理流量很容易成為安全隱患規(guī)規(guī)矩矩的做法是不讓業(yè)務跑在VLAN 1管理VLAN單獨規(guī)劃并在接入層端口上關閉不必要的管理協(xié)議。3. VLAN配置實操單交換機、跨交換機到三層互通3.1 第一步單交換機上創(chuàng)建VLAN并把端口加入下面開始實際操作。我用市面上最常見的企業(yè)級交換機命令行風格演示不同廠商命令略有差異但配置邏輯對所有設備都通用。假設有一臺交換機SW1GE0/0/1到GE0/0/8接辦公PC計劃劃入VLAN 10GE0/0/9到GE0/0/16接訪客終端計劃劃入VLAN 20。進入系統(tǒng)視圖之后第一步創(chuàng)建VLAN?？梢允褂门繛榉绞酵瑫r創(chuàng)建多個VLAN也可以進入單個VLAN視圖做詳細配置system-view sysname SW1 vlan batch 10 20 vlan 10 description Sales_Network quit vlan 20 description Guest_Network quitvlan batch這條命令很實用一次把多個VLAN建好省去逐條創(chuàng)建的時間。description的作用是給VLAN加備注建議每條VLAN都寫上用途。等網(wǎng)絡規(guī)模大了以后沒有備注的VLAN列表看起來就是一堆數(shù)字根本分不清哪個對應哪塊業(yè)務。接下來把端口加入對應VLAN。以GE0/0/1加入VLAN 10為例interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit第二行port link-type access把端口設置為Access模式第三行port default vlan 10把端口默認VLAN設為10。有的初學者只看最后一行的字面意思以為這只是給端口設置了一個默認VLAN號忽略了它同時還完成了端口到VLAN成員關系的綁定。實際上在大多數(shù)設備上這一行配置執(zhí)行以后端口就正式成為VLAN 10的成員端口了。如果有連續(xù)端口需要批量加入可以進入端口組或連續(xù)端口配置。比如把GE0/0/2到GE0/0/8全部加入VLAN 10很多設備支持這樣操作port-group group-member GigabitEthernet0/0/2 to GigabitEthernet0/0/8 port link-type access port default vlan 10 quit配置完成后用display vlan查看。正常情況下可以看到VLAN 10和VLAN 20分別存在所屬端口一欄也列出了對應的接口。如果某個端口的類型或VLAN號配錯了在這一步就能直觀看到異常。3.2 第二步跨交換機Trunk鏈路配置與驗證單臺交換機的VLAN劃分只是熱身實際組網(wǎng)中幾乎所有VLAN都要跨交換機使用。比如兩臺接入交換機SW1和SW2分別接了不同辦公室的PC但要求兩邊屬于VLAN 10的PC能互相通信。此時兩臺交換機之間必須用Trunk鏈路連接并且Trunk口要放行VLAN 10。先看SW1側的配置GE0/0/24作為與SW2互聯(lián)的上聯(lián)口interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quitSW2側做完全相同的配置使用與SW1互聯(lián)的那個端口同樣設置成Trunk并放行VLAN 10和20。需要注意的是port trunk allow-pass vlan 10 20并不是把VLAN 10和20“創(chuàng)建”在交換機上它只表示這個Trunk口允許這兩個VLAN的幀通過。如果SW2上根本沒有VLAN 20這個放行配置本身頂多只是個無效配置不會自動創(chuàng)建VLAN。我遇到過不少初學者在這里翻車明明兩端Trunk都配了跨交換機還是不通用display vlan查看時發(fā)現(xiàn)SW2上連VLAN 10都不存在。原因是他們在SW2上只配了Trunk放行沒有先執(zhí)行vlan 10或vlan batch 10 20創(chuàng)建VLAN。創(chuàng)建VLAN和放行VLAN是兩件獨立的事缺一不可?？缃粨Q機配置完成后可以用display interface trunk或等價的查看命令檢查Trunk口狀態(tài)確認鏈路是up的、放行列表里包含VLAN 10。然后再從PC-A去Ping PC-C如果通了說明跨交換機的VLAN已經(jīng)拉通。如果還不通優(yōu)先查兩端端口是否都是Trunk、放行列表是否一致以及物理鏈路是否正常。3.3 第三步VLAN間路由讓不同VLAN的主機也能通信VLAN默認隔離不同廣播域所以不同VLAN之間默認不能通信。但在實際辦公環(huán)境里研發(fā)和財務雖然屬于不同VLAN它們還是需要訪問同一套服務器或者互相發(fā)郵件。這時候就需要三層設備介入也就是VLAN間路由。常見方案有兩種單臂路由和三層層交換機VLANIF接口。單臂路由的思路是路由器用一個物理口接到交換機上交換機側這個口配置為Trunk路由器側把這個物理口拆成多個子接口每個子接口綁定一個VLAN ID并配置對應VLAN的網(wǎng)關地址。比如在路由器上interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit interface GigabitEthernet0/0/1.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable quitdot1q termination vid 10表示這個子接口只處理帶VLAN 10 Tag的幀arp broadcast enable用于讓設備能夠響應VLAN 10內的ARP廣播請求。單臂路由的缺點是所有跨VLAN流量都要擠在一個物理口上帶寬和性能有限適合小型網(wǎng)絡。實際工程里更常用的是三層交換機。三層交換機可以在內部同時處理二層交換和三層路由。以SW1作為三層設備為例在交換機上創(chuàng)建好VLAN 10和VLAN 20之后分別配置VLANIF接口地址interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quitVLANIF接口就是SVI它是交換機上每個VLAN對應的三層網(wǎng)關。PC的網(wǎng)關地址指向192.168.10.1訪問VLAN 20的流量到達SW1后SW1查路由表發(fā)現(xiàn)192.168.20.0/24是直連網(wǎng)段于是把報文從VLANIF 20轉發(fā)到VLAN 20的對應端口。配置完成之后可以通過display ip routing-table看到兩個網(wǎng)段的直連路由。只要VLAN內PC的網(wǎng)關都指向了VLANIF地址跨VLAN通信立刻就能生效。三層交換機方案與單臂路由最大的區(qū)別在于性能。單臂路由所有流量都過路由器物理口三層交換機的轉發(fā)通常在硬件芯片內完成速度高出幾個量級。所以在預算允許的中型企業(yè)網(wǎng)絡里三層交換機是絕對的主流。3.4 常用驗證命令與我的排障習慣配置VLAN最怕的就是“配完了不知道對不對”。我通常按順序看三樣東西VLAN表、端口VLAN狀態(tài)、Trunk放行列表。display vlan可以看到交換機上所有的VLAN以及每個VLAN的成員端口這是第一道檢查。如果某個端口不在預期的VLAN里說明加入或劃分配置有問題。display port vlan可以查看每個端口當前的鏈路類型、PVID、允許通過的VLAN列表這是第二道檢查。比如一個端口應該配成Access和PVID 10結果PVID顯示20那肯定錯了。display interface trunk或者等價的查看命令用來檢查Trunk口的狀態(tài)。注意看鏈路是否up、放行列表是否包含了所有需要的VLAN以及兩端PVID是否一致。物理層狀態(tài)也很重要。如果端口顯示down優(yōu)先檢查網(wǎng)線、光模塊、對端設備是否通電。我見過一個案例配置全對但光纖跳線接到了另一個未啟用的端口上結果排查了半天才發(fā)現(xiàn)物理鏈路根本沒通。驗證VLAN通斷最直接的方式還是從終端發(fā)起Ping測試讓PC-A Ping PC-C既能驗證二層VLAN也能驗證三層網(wǎng)關一舉兩得。4. VLAN常見故障排查現(xiàn)象、原因與解決步驟4.1 同一VLAN內主機Ping不通先查這四樣A同學曾經(jīng)拿著配置問我VLAN建了端口也加了PC網(wǎng)卡也設了為什么兩臺PC在同一個VLAN里還是Ping不通遇到這種問題我一般讓他按以下順序排查。第一看物理鏈路。端口狀態(tài)是不是up網(wǎng)線是否有松動或損壞。很多人一上來就查VLAN配置結果網(wǎng)線壓根沒插好這是最常見的低級問題。第二看端口類型和PVID。確認兩臺PC接的端口都是Access口并且PVID都是同一個VLAN。如果一臺PC接的端口被配置成了Hybrid或Trunk或者PVID錯位就會導致幀處理方式完全不符合預期。第三看IP地址。兩臺PC在同一個VLAN里IP網(wǎng)段必須相同子網(wǎng)掩碼也要一致。如果PC-A是192.168.10.5/24PC-B是192.168.11.5/24雖然二層互相能看到但IP層會認為對方不在同一網(wǎng)段Ping就會失敗。第四看主機防火墻。Windows自帶的防火墻在某些網(wǎng)絡配置下會攔截ICMP響應不出意外的話這一項很容易被忽略。先ping網(wǎng)關如果網(wǎng)關通、ping另一臺PC不通且前三個都查過沒問題就試試臨時關閉PC防火墻再測一次。提示同一VLAN內Ping不通90%的原因出在物理鏈路或IP地址配置上剩下10%才是端口VLAN配置的問題。不要一開始就懷疑交換機按鏈路、端口、IP、防火墻四步走思路清晰很多。4.2 跨交換機同VLAN斷連Trunk問題排第一位跨交換機VLAN不通排障重點幾乎都在Trunk鏈路上。我把常見原因總結成三類。第一是端口沒有正確配置為Trunk。兩個交換機互聯(lián)口如果一側是Access口另一側是Trunk口Access口只會放行一個VLAN且不帶Tag對端Trunk口收到無標簽幀后打上自己的PVID兩邊VLAN根本對不上。解決辦法是確?；ヂ?lián)兩側都是Trunk。第二是Trunk放行列表不完整。一端放行了VLAN 10和20另一端只放行了VLAN 10那么VLAN 20跨交換機必然不通。用查看命令對比兩端放行列表一目了然。第三是PVID不一致。前面講過Native VLAN的坑如果兩端PVID不同那么PVID對應的本征VLAN流量會出現(xiàn)跨設備失聯(lián)。檢查兩端Trunk口的PVID是否一致。排障時還有個實用技巧先在兩臺交換機上配置管理IP并用管理IP互Ping。管理IP如果通說明二層鏈路和Trunk基本沒問題再繼續(xù)查具體VLAN。管理IP不通問題大概率出在Trunk或物理鏈路上。4.3 不同VLAN意外互通安全隔離去哪了默認情況下不同VLAN是隔離的如果發(fā)現(xiàn)不同VLAN的主機還能直接Ping通那一定是什么地方違背了“默認隔離”這個前提。常見原因有三個。一是三層設備已經(jīng)把路由打通了。比如在三層交換機上配置了VLANIF同時又放了默認路由或靜態(tài)路由本來就能互通。這是預期行為不算故障。如果業(yè)務上明確要求兩個VLAN之間不能互訪那就需要配置ACL過濾而不是疑惑為什么VLAN“失效”。二是有人把端口錯誤地配成了Hybrid或Trunk放行了所有VLAN。比如某個接入端口本應該接一臺PC結果被配置成了Trunk或包含多個VLAN的HybridPC發(fā)出的無標簽幀可能會被誤打上其他PVID或者收到的幀帶了Tag也能進破壞了隔離。查端口配置時注意看鏈路類型和放行列表。三是終端手動設置了雙IP或多余網(wǎng)關。PC上如果配了兩個IP一個在VLAN 10網(wǎng)段一個在VLAN 20網(wǎng)段它會嘗試通過兩個網(wǎng)段通信看起來就像兩個VLAN互通了。這種情況排查終端配置比查交換機更快。4.4 管理VLAN、配置保存這兩個隱形坑VLAN配置過程中有兩個不顯眼但殺傷力極大的坑一個是管理VLAN一個是配置保存。管理VLAN是指網(wǎng)絡設備用于遠程管理Telnet、SSH、Web的VLAN。很多設備默認管理VLAN是VLAN 1如果你把VLAN 1清空或者改了PVID同時業(yè)務VLAN又沒有包含管理地址所在網(wǎng)段遠程管理就會斷掉。我曾經(jīng)在幫朋友調一個網(wǎng)絡時想著把VLAN 1徹底棄用結果一改完交換機的遠程管理立即失聯(lián)最后只能跑現(xiàn)場用Console口救回來。配置保存更常見也更要命。交換機的運行配置默認只存在內存里重啟后全部丟失。很多人配完VLAN、測試都通過了就以為萬事大吉結果設備一重啟所有配置回到初始狀態(tài)。正確的做法是配置完成后立即執(zhí)行保存命令讓配置寫入設備的存儲介質。保存后的配置在設備重啟后仍然生效。提示修改管理VLAN之前必須確認能通過Console口或其他帶外方式訪問設備。如果只有遠程管理一條路一旦改錯就會徹底失聯(lián)非常被動。5. 配套練習題6道題檢驗你的VLAN掌握程度5.1 選擇題廣播域、標簽與端口類型第1題一臺24口交換機不劃分VLAN時處于幾個廣播域將該交換機第1-8口劃入VLAN 10、第9-16口劃入VLAN 20、第17-24口劃入VLAN 30之后整臺交換機處于幾個廣播域A. 1個切分后是3個B. 3個切分后是3個C. 1個切分后是4個D. 4個切分后是4個第2題標準802.1Q幀中VLAN Tag為數(shù)據(jù)幀增加了多少字節(jié)VLAN ID字段占用多少位A. 2字節(jié)10位B. 4字節(jié)12位C. 4字節(jié)16位D. 2字節(jié)12位第3題一臺PC直接接入交換機某一端口PC無法識別VLAN Tag。此時該交換機端口應配置為哪種類型A. Trunk口放行所有VLANB. Hybrid口放行部分VLANC. Access口PVID設為PC所屬VLAND. Trunk口PVID設為所有VLAN第4題兩臺交換機通過Trunk鏈路互聯(lián)需要讓VLAN 10和VLAN 20的幀都能跨交換機傳輸。哪項或哪幾項配置是必須的A. 兩端端口都設置成Access模式B. 兩端端口都設置為Trunk并放行VLAN 10和20C. 兩端端口都設置成Trunk并設置PVID為10D. 兩端設置成Trunk且放行列表空即可第5題關于單臂路由實現(xiàn)VLAN間通信下列描述正確的是A. 路由器物理口直接接一臺PCB. 路由器子接口需要綁定VLAN ID并配置對應網(wǎng)關地址C. 交換機上需要配置VLANIF接口D. 單臂路由不需要路由器5.2 配置題跨交換機VLAN隔離與三層互通假設有這樣的網(wǎng)絡環(huán)境PC-A接SW1的GE0/0/1PC-B接SW1的GE0/0/2PC-C接SW2的GE0/0/3。SW1和SW2通過各自的GE0/0/24互聯(lián)。要求PC-A和PC-C屬于VLAN 10能夠跨交換機二層互通PC-B屬于VLAN 20同時PC-A、PC-B、PC-C需要通過三層網(wǎng)關實現(xiàn)跨VLAN互通三層網(wǎng)關所在設備是SW1。請寫出SW1和SW2的關鍵配置包括VLAN創(chuàng)建、端口類型、Trunk放行以及VLANIF地址配置并說明為什么PC-A Ping PC-C時首先經(jīng)歷二層過程而PC-A Ping PC-B時則必須經(jīng)過三層轉發(fā)。5.3 答案與關鍵解析第1題答案C。不劃分VLAN時整臺交換機就是一個廣播域。劃分3個VLAN后VLAN 1默認仍然存在即使沒有物理端口或空余端口它也算一個廣播域。3個業(yè)務VLAN加上VLAN 1一共4個廣播域。第2題答案B。802.1Q Tag固定增加4字節(jié)其中VLAN ID字段是12位取值范圍0到4095可用業(yè)務范圍1到4094。這個知識點常考同時也解釋了為什么VLAN數(shù)量上限是4094而不是4095。第3題答案C。PC的網(wǎng)卡不支持VLAN Tag接入交換機的端口必須是無標簽模式。Access口可以把無標簽幀打上PVID并加入對應VLANPC無需額外配置。如果用Trunk口接PC幀默認帶Tag普通PC網(wǎng)卡大概率會丟棄這些幀導致無法通信。第4題答案B?？缃粨Q機承載多個VLAN必須使用Trunk口并且放行列表必須顯式包含VLAN 10和20。僅設置PVID并不會自動放行所有VLAN放行列表為空就什么VLAN都過不去。A選項Access只能放行一個VLAN錯誤C選項只解釋了PVID放行列表缺失D選項“放行列表空即可”顯然是錯的。第5題答案B。單臂路由中路由器物理口連接交換機的Trunk口路由器子接口必須通過802.1Q封裝綁定對應VLAN ID并配置該VLAN的網(wǎng)關IP。C選項描述的VLANIF屬于三層交換機方案不是單臂路由。配置題參考實現(xiàn)SW1配置system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quitSW2配置system-view sysname SW2 vlan batch 10 20 interface GigabitEthernet0/0/3 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit解析PC-A和PC-C都屬于VLAN 10數(shù)據(jù)從PC-A到達SW1后SW1查到目的PC-C的MAC地址通過Trunk鏈路學習到于是將幀從Trunk口轉發(fā)到SW2SW2再把幀從GE0/0/3轉發(fā)給PC-C整個過程是二層轉發(fā)不需要路由。PC-A Ping PC-B時發(fā)現(xiàn)目的IP不在同一網(wǎng)段會把報文交給網(wǎng)關192.168.10.1也就是SW1的VLANIF 10接口SW1查路由表發(fā)現(xiàn)192.168.20.0/24是直連網(wǎng)段于是做三層轉發(fā)從VLANIF 20發(fā)出再由二層從GE0/0/2轉發(fā)給PC-B。這也是為什么三層設備必須配置VLANIF地址的原因。第5題易錯點單臂路由和三層交換機的方案容易混。單臂路由的子接口數(shù)量對應VLAN數(shù)量三層交換機是直接在VLANIF上配IP兩者選其一即可。另外無論哪種方案VLAN內PC的網(wǎng)關必須指向對應VLAN的網(wǎng)關地址要不然跨VLAN通信時PC根本不知道把報文交給誰。VLAN配置這部分我個人在實際操作中最深的體會是先規(guī)劃再動手比什么都重要。一張VLAN劃分表、一份端口與VLAN對應關系表能在配置和排障時省下大量時間。另外每配完一臺設備我一定執(zhí)行保存命令這個習慣已經(jīng)幫我避免過好多次設備重啟后配置全丟的尷尬。最后再分享一個小技巧排查VLAN故障時從終端Ping網(wǎng)關入手網(wǎng)關通了說明二層鏈路和接入配置基本沒問題網(wǎng)關不通再逐級往上查交換機端口、Trunk放行列表和管理VLAN思路會清晰很多。