一张网切成 N 张：VLAN 是我给甲方省的第一笔钱

文章目录

一、开场：一台财务电脑“中毒”，全公司跟着断网

前年接了个小公司，二十来号人，全在一个大网段、一个 VLAN 里，图省事从来没切过。

那天下午，整个公司突然集体断网、网页转圈，交换机灯又开始齐刷刷地狂闪。我赶到一查，是财务那台电脑不知装了什么带毒软件，网卡疯狂往外发广播包，一秒上千个，把链路直接打满。

更要命的是，老板凑过来问了一句让我后背发凉的话：“我在自己电脑上，怎么能看到财务电脑的共享文件夹？”

我当时就明白，这网不切不行了。

排查时我先在交换机上看了端口流量，财务那台口的广播速率几乎顶到了百兆，把它的网线一拔，全网立刻恢复——印证了判断。可光靠拔网线治标不治本，只要大家还挤在一个广播域、财务数据还裸露着，下次换台电脑出事，照样重演。

后来按部门和安全等级，把办公、财务、访客、设备管理切成了四个 VLAN。效果立竿见影：

  • 财务再发广播，只在财务那个 VLAN 里打转，办公区纹丝不动；
  • 老板的电脑再也看不到财务的共享，除非专门授权；
  • 外来访客插上网线，只能上个互联网，摸不到内网。

老板一开始还嘀咕：“不就上上网吗，至于切这么多网？” 等他搞懂“一个广播包能让全公司陪绑、财务数据在裸奔”，再也不说这话了。

这一课，就把 VLAN 这门“切网”的手艺讲透：为什么切、怎么切、Access 口怎么配、编号怎么规划。

二、VLAN 是什么：给大开间隔上玻璃墙

1. 类比：把开放式大办公室隔成几个独立房间

VLAN（虚拟局域网）最好的理解，是玻璃隔断墙：

  • 不切 VLAN 时，整个办公区是一个大开间，谁喊一嗓子，全楼都听得见（广播），财务桌上的东西谁路过都能瞟一眼；
  • 隔上玻璃墙之后，物理上还是那层楼、还是同一台交换机，但逻辑上变成了几个独立房间，各房间说话互不干扰，外人也看不见屋里；
  • 这堵“墙”是逻辑上的，不用真拉一根线、砌一块砖，全靠交换机软件实现。

2. 切 VLAN 到底图什么

切 VLAN 解决三个实打实的问题：

目的不切的后果切了之后
隔离广播域一台设备发广播/中病毒，全网一起卡广播风暴被锁在一个 VLAN 内
安全隔离财务、访客、办公互相可见各 VLAN 默认二层互不可达
灵活组网人换工位要重新布线、改网段改一下端口的 VLAN 即可，线不用动

记住第 22 课那句：一个 VLAN 就是一个广播域。交换机不隔离广播，但 VLAN 能把一张大网切成一个个小广播域，把“爆炸半径”控制住。

图1：物理上同一台交换机，逻辑上切成办公/财务/访客/管理四个互不相干的广播域

为什么广播风暴能把全网拖垮？

交换机对广播帧要往一个 VLAN 里所有端口发。如果广播包产生的速度超过链路带宽，就会形成恶性循环：网卡收到广播可能再回应，回应又产生新广播，链路被这些“喊叫声”占满，正常业务数据反而挤不进去，设备 CPU 也可能被高广播率拉高。这就是为什么一台中毒电脑能让二十多人同时断网——不是网线断了，是“嗓门”太大，把路堵死了。把 VLAN 切开，等于给每个房间装了隔音门，一台设备再吵，也只吵它自己那个房间。

3. 802.1Q 与 VLAN 号

VLAN 遵循 IEEE 802.1Q 标准，它在以太网帧里插一个 4 字节的标签，里面就有 VLAN 编号（具体标签结构下一课细讲）。

  • VLAN 号是 12 位，范围 1～4094；
  • VLAN 1 是默认 VLAN，所有口出厂都在 VLAN 1，生产环境不建议业务长期用它；
  • 4095 保留，不能用；
  • 一个端口能“看见”哪些 VLAN，取决于它的链路类型和放行配置。

三、Access 口：给终端用的“带门禁的门”

1. 类比：门口贴了“默认房间号”

接终端（电脑、打印机）的口，一般配成 Access 口。

  • 每个 Access 口只属于一个 VLAN，就像一扇门只通向一个房间；
  • 门上贴个门牌号，叫 PVID（端口默认 VLAN）。电脑发的帧是不带标签的，从这扇门进来，交换机就照着 PVID 给它盖上对应房间的章；
  • 帧要从这扇门出去给电脑时，再把标签撕掉——因为电脑网卡只认无标签的帧。

所以 Access 口的收发规则就两句话：

  • 进：无标签帧 → 打上 PVID 的标签；
  • 出：剥掉标签 → 发给终端。

2. Access 口收发流程

电脑发出无标签帧

进入Access口

按PVID打上VLAN标签

在该VLAN内查表转发

从Access口发出

剥掉标签, 电脑收到无标签帧

3. 一张图看清规划

图2：办公 VLAN10、财务 VLAN20、访客 VLAN30、AP管理 VLAN99，每个 Access 口按 PVID 归类

四、命令落点：建 VLAN、划 Access 口、查结果

下面是华为 VRP 完整链路，从进系统视图到保存，可直接复制。

1. 批量创建 VLAN 并命名

<SW> system-view
[SW] vlan batch 10 20 30 99                    # 一次性批量创建多个VLAN
[SW] vlan 10
[SW-vlan10] description Office                 # 给VLAN加说明，便于维护
[SW-vlan10] quit
[SW] vlan 20
[SW-vlan20] description Finance
[SW-vlan20] quit

2. 把端口划进对应 VLAN（Access 口）

[SW] interface GigabitEthernet0/0/1
[SW-GigabitEthernet0/0/1] port link-type access        # 设为Access口
[SW-GigabitEthernet0/0/1] port default vlan 10         # 划入VLAN10（PVID自动变成10）
[SW-GigabitEthernet0/0/1] quit
[SW] interface GigabitEthernet0/0/6
[SW-GigabitEthernet0/0/6] port link-type access
[SW-GigabitEthernet0/0/6] port default vlan 20         # 财务口划入VLAN20
[SW-GigabitEthernet0/0/6] quit
[SW] return
<SW> save

小技巧：接入交换机端口多，可配合 port-group 批量配置，把一组口一起划进 VLAN，省得一个口一个口敲：

[SW] port-group group-access10
[SW-port-group-group-access10] group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/5
[SW-port-group-group-access10] port link-type access
[SW-port-group-group-access10] port default vlan 10

这样 1 到 5 口一次性全部划进 VLAN10，在几十、上百个接入端口的项目里，能省下大量重复敲命令的功夫，也减少了个别口配错的概率。

3. 验证结果

<SW> display vlan

正常回显（关键看每个 VLAN 下挂了哪些端口）：

The total number of vlans is : 4
VLAN ID Type  Ports
10 common  UT:GE0/0/1 ...
20 common  UT:GE0/0/6 ...
30 common
99 common
  • UT 表示该口在这个 VLAN 里是**无标签（Untag）**收发，Access 口正是如此；
  • 也可以 display port vlan 或在接口下 display this，确认 Port Link Type=ACCESS、PVID=对应VLAN。

4. 异常与排查

现象命令看到什么判断动作
端口划不进 VLANdisplay vlan报错或划完不显示VLAN 没创建先 vlan batch 建 VLAN 再划口
同 VLAN 两台电脑不通display port vlan两端口不在同一 VLAN划错口或 IP 网段不同统一 VLAN、确认 IP 同网段
划了 VLAN 还能互相访问查中间设备中间有三层设备在转发有 VLANIF/路由器（属正常）这是第 26 课内容，按需控制
删了 VLAN 后口不亮display vlan端口变 Inactive端口所属 VLAN 被删重建 VLAN 或把口改到有效 VLAN
想清空重配undo vlan 20VLAN 被删注意端口会受影响先把端口迁走再删 VLAN

思科对照

动作华为 VRP思科 IOS
建 VLANvlan batch 10 20vlan 10 / name Office
设 Accessport link-type accessswitchport mode access
划 VLANport default vlan 10switchport access vlan 10
看 VLANdisplay vlan / display port vlanshow vlan brief
删 VLANundo vlan 10no vlan 10

五、VLAN 编号怎么规划

编号这事儿，最忌讳一边配一边想。动工前先花十分钟把“哪个业务用哪个号、对应哪个网段”列成一张表，全网都照着走，后面无论加人、加楼层还是排障，都能对号入座，省下来的是大量返工的时间。

图3：园区 VLAN 编号模板，按部门/业务/安全等级划分并预留编号

编号别乱拍，给你一套能直接套用的园区模板：

业务区域建议 VLAN说明
办公网10普通员工，可按楼层再细分 11/12
财务网20重点隔离，单独授权
访客网30仅能上互联网
设备管理99交换机、AP 管理
语音100IP 电话（下一课 Voice VLAN）
监控200摄像头、门禁

一个 VLAN 对应一个网段

规划时记住一条铁律：一个 VLAN 通常对应一个 IP 网段。比如 VLAN10 用 192.168.10.0/24、VLAN20 用 192.168.20.0/24。VLAN 是二层隔离，网段是三层标识，两者一一对应，排障时才不会乱。

为什么要这样？VLAN 切的是二层广播域，而设备之间要靠三层 IP 通信。把 VLAN 编号和网段第三段对齐（VLAN10 对应 192.168.10.x、VLAN20 对应 192.168.20.x），以后看到 IP 就知道它在哪个 VLAN，看到 VLAN 就知道该用什么网段，省心又不容易错。IP 地址和子网划分的详细算法在第 33 课讲，这里先把“一个 VLAN 一个网段”的对应关系立住。

三条规划原则：

  1. 按部门或业务划分，别按“谁先来谁先占号”；
  2. 按安全等级隔离，财务、访客、管理单独切；
  3. 编号留间隔，比如办公用 10、20、30 而不是 1、2、3，方便以后加楼层、加部门随时插号。

VLAN 划分的几个常见坑

  • 业务长期留在 VLAN 1：出厂所有口都在 VLAN 1，省事但不安全、广播范围大，建议业务一上来就迁走；
  • 一个 VLAN 塞太多人：上千终端挤一个广播域，一旦有风暴照样全网瘫痪，要按规模细分；
  • 编号不规划、随手编：今天用 2、明天用 5、后天用 100，维护时全靠猜，后期加部门没号插；
  • 所有口都配成 Trunk：接入口没必要放过多 VLAN，反而扩大广播和安全风险，接终端就用 Access；
  • 只划了 VLAN 却没想好怎么互通：VLAN 切了之后业务该怎么访问，要提前规划（第 26 课讲）。

六、🔧 运维视角 & 📐 设计视角

🔧 运维视角：

  • 一网段、全网卡、灯狂闪，先查是不是广播/病毒，再看 VLAN 有没有隔离，切 VLAN 是把故障范围锁死的最快手段；
  • 配完口一定 display vlan 核对，别只看命令敲完了；
  • 终端挪工位，改的是端口 VLAN，不用重新布线，这是 VLAN 最省事的地方。

📐 设计视角：

  • 项目开工就先把 VLAN 编号规划表做出来，写进设计文档，全网统一，别让每个工程师各编各的；
  • 广播域别贪大，一个 VLAN 里终端数量控制在合理范围（常见几百以内），大园区按楼层/部门细分；
  • 管理、访客、财务、监控这类安全敏感区域，从规划阶段就单独切，别等出了事再补。

七、小结与命令速查表

  • VLAN 是逻辑上的“玻璃隔断墙”，把一张大网切成多个小广播域，隔离广播、隔离安全、灵活组网；
  • 802.1Q 标准，VLAN 号 1～4094，VLAN 1 默认、4095 保留；
  • Access 口接终端，只属一个 VLAN：进打 PVID 标签、出剥标签；
  • 规划靠 vlan batch，划口靠 port link-type access + port default vlan，核对靠 display vlan；
  • 编号按业务/安全划分并留间隔。

本篇命令速查表（华为 VRP）：

目的华为命令思科对照
批量建 VLANvlan batch 10 20 30 99vlan 10
加说明vlan 10 → description Officename Office
设 Accessport link-type accessswitchport mode access
划入口port default vlan 10switchport access vlan 10
看 VLANdisplay vlan / display port vlanshow vlan brief
删 VLANundo vlan 10no vlan 10

八、思考题 & 评论区站队

💬 站队题（欢迎评论区亮明你的选择）：

一个 200 人左右的公司，你会怎么划 VLAN？
A. 全员一个 VLAN 就够了，省事；B. 划 5 个左右（办公、财务、访客、管理、监控）；C. 划得更细，每个部门、每个楼层都单独一个。
选 A、B、C 的都来评论区站个队，说说你的理由，我也会给出我的建议和一个 200 人公司的参考方案。

我的参考（200 人公司）：我倾向 B，按业务和安全切 5～7 个 VLAN——办公按楼层切 2～3 个（如 10、11）、财务单独 20、访客 30、设备管理 99、语音 100、监控 200。这样广播域够小、安全隔离到位，又不至于 VLAN 太多、管理负担重。A 方案在 200 人规模风险太大，一次风暴全员陪绑；C 方案更适合有专职网管、安全合规要求高的单位。

系列导航：

我是你们的老网工。这一课我们学会了把一张大网切成几段，Access 口和 PVID 也搞明白了。但你可能会问：多台交换机之间，一根线要同时传好几个 VLAN，怎么办？ 下一课 Trunk 和 802.1Q 登场，顺便聊聊“Trunk 配完不通，90% 都栽在 PVID 和放行列表上”是怎么回事。我们下一课见。

Logo
DAMO开发者矩阵

DAMO开发者矩阵，由阿里巴巴达摩院和中国互联网协会联合发起，致力于探讨最前沿的技术趋势与应用成果，搭建高质量的交流与分享平台，推动技术创新与产业应用链接，围绕“人工智能与新型计算”构建开放共享的开发者生态。

更多推荐

cover

AI 客服答到一半忘词：多轮对话断片的五步排查

avatar DAMO开发者矩阵
cover

机器人什么时候该认怂：转人工的四个触发信号设计

avatar DAMO开发者矩阵
cover

AgenticRoboRL：将“编程智能体”后训练引入智能体化机器人领域

avatar DAMO开发者矩阵