端口模式詳解：Access、Trunk、Hybrid與VLAN配置實(shí)戰(zhàn))
1. 先別急著敲命令VLAN標(biāo)簽和PVID才是理解三種端口模式的前提做了這么多年網(wǎng)絡(luò)實(shí)施我發(fā)現(xiàn)很多人配置華為交換機(jī)端口時喜歡“背命令”access該配什么、trunk該配什么背得滾瓜爛熟但一旦拓?fù)渖晕⒆円幌鲁霈F(xiàn)“這個口到底是打標(biāo)簽還是剝標(biāo)簽”的疑問立刻卡殼。這不是記性不好而是底層概念沒打通。要真正吃透access、trunk、hybrid三種端口模式第一步得先把VLAN標(biāo)簽和PVID這兩件事搞清楚。1.1 交換機(jī)能區(qū)分不同VLAN靠的是幀里的802.1Q標(biāo)簽VLAN的作用是在一臺物理交換機(jī)上把一個大的二層廣播域切成多個互不相通的邏輯廣播域。A部門的廣播幀不會傳到B部門這中間靠的就是交換機(jī)對“幀屬于哪個VLAN”的判斷。這個判斷依據(jù)是什么就是數(shù)據(jù)幀里有沒有帶802.1Q的VLAN Tag以及帶的是哪個VLAN ID。802.1Q標(biāo)準(zhǔn)的Tag一共4個字節(jié)其中VLAN ID占12個bit所以取值范圍是0到4095實(shí)際可用的是1到4094。這也是為什么一個交換機(jī)最多能規(guī)劃四千多個VLAN而實(shí)際項(xiàng)目中通常用不到兩位數(shù)。這里要特別區(qū)分一個概念帶Tag的幀和不帶Tag的幀。從PC、打印機(jī)、攝像頭這些終端出來的普通以太網(wǎng)幀默認(rèn)是不帶VLAN Tag的因?yàn)樵诮K端網(wǎng)卡的視角里它根本不知道交換機(jī)內(nèi)部還分了VLAN。而交換機(jī)之間、交換機(jī)與路由器尤其是子接口場景之間傳的幀為了讓對端知道這個幀屬于哪個VLAN就必須在二層頭部打上Tag。所以交換機(jī)的端口本質(zhì)上就是一個“標(biāo)簽處理崗”進(jìn)來的幀要么給它打上標(biāo)簽要么檢查標(biāo)簽后決定收不收出去的幀要么帶著標(biāo)簽走要么把標(biāo)簽剝掉再交給終端。access、trunk、hybrid的區(qū)別只不過是對這個“打標(biāo)簽/剝標(biāo)簽/放行”流程的不同規(guī)則組合。1.2 PVID就是端口的“默認(rèn)歸屬”處理無標(biāo)簽幀全靠它PVIDPort VLAN ID端口缺省VLAN ID是第二個必須搞懂的概念。它解決的是這樣一個問題當(dāng)一個無Tag的幀從某個端口進(jìn)來時交換機(jī)怎么知道它屬于哪個VLAN答案就是交給PVID去判斷。交換機(jī)收到一個不帶Tag的幀會在這個幀上打上接收端口PVID對應(yīng)的VLAN ID然后按這個VLAN去做轉(zhuǎn)發(fā)。你可以把PVID理解成“端口的默認(rèn)戶籍”——進(jìn)來的無標(biāo)簽幀一律按這個戶籍登記。我經(jīng)常用一個快遞的類比來解釋VLAN Tag相當(dāng)于快遞單上的區(qū)域編號PVID相當(dāng)于快遞柜默認(rèn)投放格口。如果包裹單上沒有寫區(qū)域編號投遞員就按投放口的默認(rèn)設(shè)置來處理。三種端口模式的差別其實(shí)就是“對不同包裹單的處理規(guī)則不同”。還有一個概念在華為交換機(jī)上經(jīng)常一起出現(xiàn)就是Tagged和Untagged的列表。稍微預(yù)告一下trunk端口和hybrid端口在“出去”的方向會各自維護(hù)一個處理規(guī)則確定哪些VLAN的幀保留Tag、哪些VLAN的幀剝掉Tag。這正是我們在第3、4節(jié)要展開的核心內(nèi)容。2. Access端口接入終端的“單VLAN出入口”行為邏輯要背熟Access端口大概是三種模式里最簡單的但正因?yàn)楹唵畏炊菀妆蝗溯p視導(dǎo)致在接終端時選錯模式。先把它的行為規(guī)則看透。2.1 Access端口的收發(fā)規(guī)則與適用邊界Access端口有三個非常明確的特征第一它只能屬于一個VLAN也就是只能設(shè)置一個PVID。你可以用port default vlan把它的PVID改成任何已創(chuàng)建的VLAN但改完它還是只有一個歸屬。第二入方向的處理規(guī)則是收到無Tag幀打上PVID對應(yīng)的VLAN標(biāo)簽收到帶Tag幀如果Tag里的VLAN ID和PVID一致就接收如果和PVID不一致直接丟棄。第三出方向的處理規(guī)則是交換機(jī)向這個端口轉(zhuǎn)發(fā)幀時會把幀的VLAN Tag剝掉再發(fā)出去因?yàn)榻K端網(wǎng)卡不認(rèn)識Tag帶著Tag出去的幀PC基本都會當(dāng)作無效數(shù)據(jù)丟棄。正是這三個特征決定了access端口的適用場景非常清晰用來連接不需要感知VLAN的終端設(shè)備比如PC、打印機(jī)、攝像頭、服務(wù)器網(wǎng)卡。這些設(shè)備發(fā)出的幀沒有Tag交換機(jī)給它打上PVID登記歸屬交換機(jī)轉(zhuǎn)發(fā)回來的幀剝掉Tag再交給終端終端收到的就是干干凈凈的普通以太網(wǎng)幀。一定要記住一個邊界access口無法同時承載多個VLAN。如果終端需要同時訪問多個VLAN靠的是上層網(wǎng)關(guān)和路由而不是把a(bǔ)ccess口改成“同時屬于兩個VLAN”——邏輯上就不存在這種用法。2.2 Access端口配置命令與驗(yàn)證方法在華為S5720、S5730這些常見型號上配置access口非常簡單system-view vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10先創(chuàng)建VLAN然后把端口鏈路類型改為access再用port default vlan 10把PVID設(shè)置成VLAN 10。這就是全部配置。這里有個新手容易忽略的細(xì)節(jié)port default vlan 10這條命令在access口上會同時完成兩件事一是把端口PVID設(shè)成10二是把VLAN 10加入該端口的untagged列表。所以access口不需要再單獨(dú)配置什么“允許哪個VLAN”默認(rèn)就只處理PVID這一個VLAN處理方式就是進(jìn)方向打Tag、出方向剝Tag。配置完之后的驗(yàn)證最常用的是display port vlan這條命令的輸出會列出每個端口的鏈路類型、PVID、以及歸屬的VLAN情況。還有一種驗(yàn)證思路如果PC能正常獲取到IP、能和同VLAN內(nèi)其他主機(jī)互通也側(cè)面說明端口處理標(biāo)簽的規(guī)則沒有問題。實(shí)際項(xiàng)目中我見過有人把接服務(wù)器的口配成access然后死活不通查了半天發(fā)現(xiàn)服務(wù)器網(wǎng)卡上手動開了802.1Q并打了別的VLAN Tag。這時候access口走的是“入方向Tag和PVID不一致就丟棄”的規(guī)則幀根本進(jìn)不來。這種場景其實(shí)更適合用hybrid后面第4節(jié)會講到。3. Trunk端口交換機(jī)之間的主干鏈路allow-pass是命門如果說access是給終端用的那trunk就是給交換機(jī)之間、以及交換機(jī)和路由器/防火墻之間用的“主干鏈路”。它可以同時承載多個VLAN的幀但代價是你要理解它的標(biāo)簽處理規(guī)則尤其是PVID和allow-pass之間的關(guān)系。3.1 Trunk端口的收發(fā)規(guī)則與默認(rèn)行為Trunk端口的行為可以拆成兩個方向來看入方向收到無Tag幀同樣打上PVID對應(yīng)的標(biāo)簽收到帶Tag幀檢查這個VLAN是否在允許通過列表里如果在就接收不在就丟棄。出方向這是trunk和access最本質(zhì)的區(qū)別。trunk口在轉(zhuǎn)發(fā)幀出去時并不是所有VLAN都剝標(biāo)簽。規(guī)則是如果幀的VLAN等于這個端口的PVID就剝掉Tag再發(fā)如果幀的VLAN不等于PVID但又在allow-pass放行列表里就保留Tag原樣發(fā)出去。所以trunk口的PVID實(shí)際上承擔(dān)了“本征VLAN”的角色也就是Cisco概念里的Native VLAN。鏈路兩端的trunk口PVID必須一致這個PVID對應(yīng)的VLAN幀在鏈路上是“裸奔”的不帶Tag。一旦兩端PVID不一致就會出大問題這一點(diǎn)放到第3.2節(jié)細(xì)說。還有一個必須強(qiáng)調(diào)的默認(rèn)行為華為交換機(jī)上當(dāng)你把端口鏈路類型改成trunk之后缺省情況下這個trunk口只放通VLAN 1。也就是說如果你只改了link-type沒有配置allow-pass那么VLAN 10、VLAN 20的幀在這個trunk口上全都會被丟棄。這一點(diǎn)和很多人潛意識里“trunk默認(rèn)放行所有VLAN”的認(rèn)知不一樣。實(shí)際配置時一定要顯式執(zhí)行allow-pass把需要跨鏈路傳輸?shù)腣LAN都加進(jìn)去。3.2 Trunk配置命令與PVID兩端不一致的典型故障一個標(biāo)準(zhǔn)的trunk口配置是這樣的interface GigabitEthernet0/0/24 port link-type trunk port trunk pvid vlan 10 port trunk allow-pass vlan 10 20 30port trunk allow-pass vlan 10 20 30是放行列表配置這條是trunk口能否傳多個VLAN的關(guān)鍵。如果你寫的是port trunk allow-pass vlan all雖然省事但我不推薦在生產(chǎn)環(huán)境這么干。原因有兩個一是未來新增VLAN時會不知不覺被這個口放通排障時很難判斷某個VLAN到底該不該從這條鏈路走二是一旦鏈路被非法設(shè)備接入所有VLAN都可能暴露安全上不劃算。PVID的配置命令是port trunk pvid vlan 10。這條命令的真實(shí)作用是把VLAN 10設(shè)為該trunk口的本征VLAN出方向VLAN 10的幀剝Tag入方向無標(biāo)簽幀打上VLAN 10。如果鏈路兩端交換機(jī)trunk口的PVID不一致會發(fā)生一個非常隱蔽的故障A交換機(jī)發(fā)出VLAN 10的幀時把Tag剝掉B交換機(jī)收到無Tag幀后按自己的PVID比如VLAN 20給它打上標(biāo)簽結(jié)果這個幀在B交換機(jī)里變成了VLAN 20。表現(xiàn)出來就是“A交換機(jī)的VLAN 10主機(jī)和B交換機(jī)的VLAN 10主機(jī)二層不通”而兩邊單獨(dú)看各自交換機(jī)的VLAN配置都沒問題。排查這類問題最直接的命令還是display port vlan把鏈路兩端的trunk口都看一遍重點(diǎn)對比PVID和allow-pass列表。另外display trunkport可以查看trunk口是哪一個display current-configuration interface GigabitEthernet0/0/24可以看到端口下的完整配置用來確認(rèn)allow-pass和pvid是否和預(yù)期一致。4. Hybrid端口華為特色模式它的靈活度遠(yuǎn)超前兩者Hybrid是華為主導(dǎo)的一種端口模式在其他廠家的交換機(jī)上很少看到同等分量的存在。它的設(shè)計(jì)目標(biāo)很簡單在一個端口上同時支持“某些VLAN帶Tag走、某些VLAN不帶Tag走”的混合場景。理解它之后你會發(fā)現(xiàn)很多網(wǎng)絡(luò)點(diǎn)位其實(shí)用hybrid才是最優(yōu)解。4.1 Hybrid端口和Access、Trunk的本質(zhì)差異Hybrid端口在入方向上的行為和trunk幾乎一樣無Tag幀打PVID帶Tag幀在允許列表內(nèi)就接收、不在就丟棄。真正的差異在出方向。Trunk口出方向只能有兩種處理PVID對應(yīng)VLAN剝Tag其他放行VLAN保留Tag。而hybrid口允許你針對每一個VLAN單獨(dú)指定出方向是剝Tag還是保留Tag。這就是它的核心能力也是華為文檔里經(jīng)常出現(xiàn)的“tagged列表”和“untagged列表”的含義加入port hybrid untagged vlan列表的VLAN出方向發(fā)幀時剝掉Tag加入port hybrid tagged vlan列表的VLAN出方向發(fā)幀時保留Tag一個VLAN可以同時出現(xiàn)在兩個列表嗎當(dāng)然不行一個VLAN要么tagged要么untagged不能既剝又不剝。從這個角度再回頭看三種模式可以用一句話概括access是“出方向全剝Tag的單VLAN口”trunk是“只對PVID剝Tag的多VLAN口”hybrid是“出方向可以按VLAN粒度自由定制Tag處理規(guī)則的多VLAN口”。還有一個特別容易忽略的點(diǎn)華為交換機(jī)的端口默認(rèn)鏈路類型就是hybrid。新交換機(jī)插上電所有端口默認(rèn)都是hybridPVID為1untagged列表里默認(rèn)有VLAN 1。所以設(shè)備直接插在默認(rèn)端口上是能互通VLAN 1的。很多初學(xué)者上來就配port hybrid tagged vlan 20然后發(fā)現(xiàn)不生效往往不是命令寫錯而是VLAN 20沒創(chuàng)建或者忘記配置port hybrid pvid和port hybrid untagged導(dǎo)致VLAN的untagged方向沒對齊。4.2 Hybrid端口配置實(shí)例IP電話和PC串接的經(jīng)典場景講一個我在辦公網(wǎng)項(xiàng)目里經(jīng)常用到的真實(shí)點(diǎn)位一個工位上只有一根網(wǎng)線需要同時接一臺辦公PC和一部IP電話。業(yè)務(wù)要求是PC屬于VLAN 10IP電話屬于VLAN 20但電話只有一個上行口PC只能串在電話后面。這個場景用access和trunk都不夠漂亮。用access口只能選一個VLANPC和電話會被強(qiáng)行劃到同一個VLAN用trunk口出方向除了PVID之外都保留TagPC收到帶Tag的幀大概率丟棄而PVID又只能有一個。正確做法是用hybridinterface GigabitEthernet0/0/2 port link-type hybrid port hybrid pvid vlan 10 port hybrid untagged vlan 10 port hybrid tagged vlan 20解釋一下這段配置的完整邏輯PVID是VLAN 10所以從PC上來無Tag的幀打上VLAN 10的標(biāo)簽交換機(jī)把VLAN 10的幀從該口轉(zhuǎn)發(fā)出去時因?yàn)閂LAN 10在untagged列表里所以剝掉TagPC收到的是普通幀能正常識別。而VLAN 20的幀在出方向因?yàn)樽叩氖莟agged列表所以保留TagIP電話如果支持802.1Q并配置了VLAN 20就能正確解析。這個例子雖然簡單但它把hybrid“同一端口雙VLAN、不同類型終端各取所需”的靈活度體現(xiàn)得淋漓盡致。同樣的思路也可以用于一個下聯(lián)口同時接無標(biāo)簽終端和小型交換機(jī)、接入交換機(jī)上聯(lián)同時給路由器子接口和本機(jī)管理VLAN傳幀等場景。在華為設(shè)備上當(dāng)你發(fā)現(xiàn)一個端口的需求是“既要又要”的時候優(yōu)先想想hybrid。5. 三種模式橫向?qū)Ρ扰c選型不要背規(guī)則要理解行為到了實(shí)戰(zhàn)階段很多人在選擇端口模式時還是靠“感覺”好像接交換機(jī)就用trunk接PC就用access其他情況隨機(jī)應(yīng)變。這種經(jīng)驗(yàn)主義偶爾能蒙對但遇到邊界場景就會翻車。下面我用一張表把三種模式的行為差異列清楚再給出一套可執(zhí)行的選型思路。5.1 三種端口模式行為對比對比項(xiàng)AccessTrunkHybrid可承載VLAN數(shù)量1個多個多個入方向無Tag幀打PVID打PVID打PVID入方向帶Tag幀僅接收與PVID一致的幀允許列表內(nèi)接收允許列表內(nèi)接收出方向Tag處理全部剝掉PVID對應(yīng)VLAN剝掉其余保留按tagged/untagged列表逐個VLAN定制典型連接對象PC、打印機(jī)、攝像頭、服務(wù)器交換機(jī)級聯(lián)口、路由器子接口、防火墻需要混合標(biāo)簽處理的可變場景缺省行為PVIDVLAN 1只放通VLAN 1PVIDVLAN 1untagged列表默認(rèn)含VLAN 1這張表里最值得記住的是第三行和第四行。第三行體現(xiàn)了“入方向規(guī)則三種模式是一致的都是無Tag打PVID”所以PVID這個概念貫穿了所有配置第四行則是它們出現(xiàn)分化的地方也是排障時最需要回頭看的位置。5.2 選型建議與幾個典型錯誤選型我的選型建議只有三條接到終端設(shè)備默認(rèn)選access直到你確認(rèn)這臺終端需要處理VLAN Tag否則不要輕易換成hybrid 交換機(jī)之間、以及到路由器或防火墻的多VLAN鏈路選trunk并且顯式配置allow-passPVID兩端保持一致 同一個物理端口需要同時承載“需要Tag的幀”和“不能帶Tag的幀”時選hybrid。容易翻車的錯誤選型我也總結(jié)了幾類第一上游交換機(jī)用trunk下游接入交換機(jī)卻用access口做上聯(lián)。結(jié)果就是VLAN 10、VLAN 20的幀在上聯(lián)口處被access口強(qiáng)制剝Tag并打上PVID只剩一個VLAN能通其他VLAN全部“消失”。第二trunk口PVID配了但兩端不一致。這個問題我在3.2節(jié)已經(jīng)詳細(xì)拆解過屬于“配置看著都對二是卻不通”的典型。第三把一條連接PC的線誤配成trunk口。如果PVID恰好匹配PC所在VLANPC可能能通一個VLAN但其他VLAN的幀帶著Tag到PC網(wǎng)卡網(wǎng)卡不認(rèn)Tag直接丟棄整個通訊就是時通時不通。遇到這種問題先看端口模式八成就是它。6. 真實(shí)項(xiàng)目實(shí)戰(zhàn)5個部門5個子網(wǎng)的華為交換機(jī)完整配置理論講再多還是要落到項(xiàng)目上。下面用一家中型公司的組網(wǎng)需求完整演示一遍從VLAN規(guī)劃到接入交換機(jī)和核心交換機(jī)配置的全過程。這個場景我做過很多次基本能覆蓋access、trunk、hybrid三種模式在真實(shí)項(xiàng)目里的全部用法。6.1 網(wǎng)絡(luò)規(guī)劃部門人數(shù)、VLAN、IP地址和子網(wǎng)掩碼需求是這樣的公司一共5個部門A部門100人、B部門50人、C部門20人、D部門10人、E部門8人。每個部門要劃分獨(dú)立子網(wǎng)部門之間后續(xù)還要做訪問控制。核心設(shè)備用華為三層交換機(jī)比如S5720或S5730系列作為各子網(wǎng)的網(wǎng)關(guān)。根據(jù)人數(shù)把VLAN和IP網(wǎng)段規(guī)劃如下部門VLAN網(wǎng)段子網(wǎng)掩碼可用主機(jī)數(shù)A部門VLAN 10192.168.10.0/25255.255.255.128126B部門VLAN 20192.168.20.0/26255.255.255.19262C部門VLAN 30192.168.30.0/27255.255.255.22430D部門VLAN 40192.168.40.0/28255.255.255.24014E部門含管理網(wǎng)段VLAN 50192.168.50.0/28255.255.255.24014規(guī)模最大的A部門用/25B部門用/26C部門用/27D和E部門人數(shù)少用/28。這樣地址空間不浪費(fèi)每個子網(wǎng)的廣播域也控制得很好。如果你傾向于連續(xù)地址規(guī)劃也可以把它們合并成192.168.10.0內(nèi)的連續(xù)地址塊但對于初學(xué)者這種按VLAN隔離的寫法更直觀。6.2 核心三層交換機(jī)配置VLANIF網(wǎng)關(guān)、下行口與出口路由登錄核心交換機(jī)后先創(chuàng)建所有VLAN并配置VLANIF地址讓三層交換機(jī)承擔(dān)各部門的網(wǎng)關(guān)角色system-view sysname Core-Switch vlan batch 10 20 30 40 50 interface Vlanif10 ip address 192.168.10.1 255.255.255.128 interface Vlanif20 ip address 192.168.20.1 255.255.255.192 interface Vlanif30 ip address 192.168.30.1 255.255.255.224 interface Vlanif40 ip address 192.168.40.1 255.255.255.240 interface Vlanif50 ip address 192.168.50.1 255.255.255.240VLANIF地址就是各部門終端的網(wǎng)關(guān)地址。配置完之后不同VLAN之間的流量就能通過三層交換機(jī)進(jìn)行路由轉(zhuǎn)發(fā)不需要額外加路由器。接著配置下行口核心交換機(jī)下面如果直接掛服務(wù)器或網(wǎng)管終端用access口interface GigabitEthernet0/0/1 port link-type access port default vlan 50核心交換機(jī)對上聯(lián)出口路由器或者防火墻的口如果跑的是單臂路由/子接口就要用trunk口并放通所有業(yè)務(wù)VLANinterface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50如果出口設(shè)備上配置了子接口比如interface GigabitEthernet0/0/1.10、dot1q termination vid 10那么核心交換機(jī)這個trunk口的PVID建議保持默認(rèn)的VLAN 1不要改成某個業(yè)務(wù)VLAN避免無標(biāo)簽流量在出口處被錯誤歸類。訪問外網(wǎng)需要默認(rèn)路由。假設(shè)出口路由器或者防火墻的內(nèi)網(wǎng)地址是192.168.50.254在核心交換機(jī)上配一條默認(rèn)路由ip route-static 0.0.0.0 0.0.0.0 192.168.50.254同時記得在出口路由器或防火墻上配回程路由指向核心交換機(jī)也就是把192.168.10.0/25、192.168.20.0/26等網(wǎng)段都指向192.168.50.1。兩邊路由都到位部門間的互訪和上網(wǎng)才能完整跑通。6.3 接入交換機(jī)配置Access接入部門終端Trunk上聯(lián)核心以A部門為例假設(shè)現(xiàn)場有兩臺接入交換機(jī)一臺在1號機(jī)柜一臺在3號機(jī)柜總共覆蓋100個工位。登錄接入交換機(jī)后先創(chuàng)建所有VLAN因?yàn)樯下?lián)口需要承載所有VLANsystem-view sysname Access-SW-A1 vlan batch 10 20 30 40 50接入交換機(jī)下聯(lián)口接終端用access口批量配置。華為交換機(jī)支持端口組批量下發(fā)配置非常實(shí)用port-group group1 group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/24 port link-type access port default vlan 10這里有一個非常容易踩的坑如果你把24個口全批量配置成了access vlan 10而其中某個口其實(shí)是上聯(lián)口那么上聯(lián)口也會被同時配置成access導(dǎo)致多個VLAN無法跨交換機(jī)傳輸。所以我的習(xí)慣是先單獨(dú)配置上聯(lián)口再批量配置下聯(lián)口或者批量配置時排除上聯(lián)口。接著配置上聯(lián)口interface GigabitEthernet0/0/25 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50如果上聯(lián)鏈路需要冗余或帶寬擴(kuò)展還可以把兩條物理口先綁定成Eth-Trunk再做成trunk這個屬于進(jìn)階玩法這里不展開。配置完成后用下面命令驗(yàn)證display vlan display port vlan分別確認(rèn)VLAN 10下的端口成員、以及上聯(lián)trunk口的PVID和allow-pass是否符合預(yù)期。6.4 實(shí)際點(diǎn)位里的Hybrid用法一個口解決兩類終端的接入在A部門工位中有幾個特殊點(diǎn)位需要同時接PC和網(wǎng)絡(luò)打印機(jī)但網(wǎng)絡(luò)打印機(jī)要單獨(dú)劃分VLAN做安全隔離而工位墻上只有一個網(wǎng)口。這時我給現(xiàn)場采用的是hybrid方案把一個下聯(lián)口同時承載兩個VLANinterface GigabitEthernet0/0/20 port link-type hybrid port hybrid pvid vlan 10 port hybrid untagged vlan 10 port hybrid tagged vlan 30PC接在這個端口上收到的VLAN 10幀被剝掉Tag正常工作打印機(jī)如果支持802.1Q并配置了VLAN 30就能收到帶Tag的幀。兩者互不干擾這正好是hybrid存在的最典型意義。如果你在這種場景下誤用了access口那VLAN 30的打印機(jī)流量只能靠上層路由繞還是一樣能被隔離但同一個口下的PC和打印機(jī)之間就無法做到“同口不同VLAN”的二層隔離了隔離效果打折扣。這也是為什么我說遇到“既要又要”的接入場景先想到hybrid。7. 配置中高頻故障與排查思路從現(xiàn)象反推根因最后這部分我想把實(shí)際運(yùn)維中最高頻的VLAN端口故障和排查鏈路完整寫出來。這些坑我?guī)缀趺看谓o客戶做培訓(xùn)都會強(qiáng)調(diào)因?yàn)樗鼈兊墓餐攸c(diǎn)是配置頁面上看著沒什么問題但網(wǎng)絡(luò)就是不通。7.1 四個高頻故障現(xiàn)象與根因?qū)φ展收犀F(xiàn)象大概率根因優(yōu)先排查方向跨交換機(jī)同VLAN終端互不通trunk口忘配allow-pass或兩端PVID不一致看兩端的display port vlan終端只能通一個VLAN其他VLAN不通端口使用trunk/hybrid但untagged方向沒配對看端口鏈路類型與tagged/untagged列表同一交換機(jī)不同VLAN之間無法互訪VLANIF網(wǎng)關(guān)沒配或三層轉(zhuǎn)發(fā)未生效看display ip interface brief路由器子接口掛了業(yè)務(wù)VLAN卻不通trunk口沒放通對應(yīng)VLAN或子接口封裝dot1q的VLAN不匹配看trunk放行列表與子接口配置這張表里的每一條我都真實(shí)遇到過至少一次。尤其是第一行和第四行幾乎占了跨交換機(jī)VLAN故障的70%以上。7.2 排查命令的實(shí)際用法不要一上來就懷疑線纜遇到VLAN二層不通我的排查順序固定是“端口模式 → PVID → allow-pass → VLANIF”不要一上來就懷疑網(wǎng)線或者光模塊。常用命令的作用如下display vlan查看VLAN是否存在、VLAN內(nèi)有哪些端口成員這是第一步。如果VLAN本身都是空的后面查再多也沒意義。display port vlan這是排查端口問題最核心的命令能一次性看到端口鏈路類型、PVID、tagged/untagged列表?？缃粨Q機(jī)排查時兩個交換機(jī)都跑一遍重點(diǎn)對比上聯(lián)口的PVID和allow-pass。display interface GigabitEthernet0/0/24確認(rèn)端口狀態(tài)是UP排除物理層問題。有時候光纖松動、協(xié)商失敗也會造成“配置全對但就是不通”。display mac-address查看MAC表項(xiàng)判斷交換機(jī)有沒有學(xué)到終端MAC。如果一直學(xué)不到問題基本在二層轉(zhuǎn)發(fā)路徑上如果能學(xué)到卻ping不通網(wǎng)關(guān)問題可能在三層。用ping -a從指定源地址發(fā)起測試可以更準(zhǔn)確地驗(yàn)證某臺終端的連通性ping -a 192.168.10.10 192.168.10.1這條命令在核心交換機(jī)上執(zhí)行能從VLAN 10的網(wǎng)關(guān)角度探測到終端是否可達(dá)。7.3 真實(shí)排障案例跨交換機(jī)VLAN 10不通的完整定位過程最后分享一個標(biāo)準(zhǔn)化排障過程。現(xiàn)場拓?fù)浜芎唵谓尤虢粨Q機(jī)Access-SW-A1上有一臺A部門PC192.168.10.10上聯(lián)核心交換機(jī)Core-SwitchPC的網(wǎng)關(guān)是核心交換機(jī)VLANIF10192.168.10.1。故障現(xiàn)象是PC ping不通網(wǎng)關(guān)。我的排查過程如下登錄Access-SW-A1先確認(rèn)PC所在端口在VLAN 10里display vlan 10結(jié)果VLAN 10的端口列表只有GigabitEthernet0/0/1沒問題。再查PC的ARP狀況排除終端側(cè)因素后直接看核心交換機(jī)的VLANIF10是否存在display ip interface briefVLANIF10地址正常說明網(wǎng)關(guān)配置沒問題?；氐浇尤虢粨Q機(jī)重點(diǎn)查上聯(lián)口display port vlan結(jié)果發(fā)現(xiàn)上聯(lián)口GigabitEthernet0/0/25雖然鏈路類型是trunk但allow-pass列表里只有VLAN 1根本沒有VLAN 10。這就是根因上聯(lián)口沒放行VLAN 10VLAN 10的幀在接入交換機(jī)的上聯(lián)口就被丟棄了自然到不了核心交換機(jī)。修復(fù)interface GigabitEthernet0/0/25 port trunk allow-pass vlan 10 20 30 40 50再次ping網(wǎng)關(guān)立刻通了。這個案例看著簡單但它是“配置看著都對、就是不通”的典型代表。很多人遇到跨交換機(jī)VLAN不通第一反應(yīng)是跑到遠(yuǎn)端機(jī)房去換光模塊或者重啟交換機(jī)損失大量時間。其實(shí)只要養(yǎng)成分層排查的習(xí)慣先端口模式、再PVID、再allow-pass、最后網(wǎng)關(guān)大部分問題幾分鐘之內(nèi)就能定位。做完這么多項(xiàng)目我個人的體會是access、trunk、hybrid本質(zhì)上沒有誰優(yōu)誰劣它們只是交換機(jī)在不同連接場景下的三套標(biāo)簽處理規(guī)則。你在配置時多問自己一句“這個口出去的幀對端能不能正確處理”很多所謂的疑難問題其實(shí)當(dāng)場就能想明白。最后再分享一個小技巧每次做完交換機(jī)配置記得把display current-configuration導(dǎo)出備份尤其是trunk和hybrid口的PVID、allow-pass這類關(guān)鍵參數(shù)出問題的時候?qū)φ栈€配置排查效率會高很多。 華為交換機(jī)端口模式詳解：Access、Trunk、Hybrid與VLAN配置實(shí)戰(zhàn)
1. 先別急著敲命令VLAN標(biāo)簽和PVID才是理解三種端口模式的前提做了這么多年網(wǎng)絡(luò)實(shí)施我發(fā)現(xiàn)很多人配置華為交換機(jī)端口時喜歡“背命令”access該配什么、trunk該配什么背得滾瓜爛熟但一旦拓?fù)渖晕⒆円幌鲁霈F(xiàn)“這個口到底是打標(biāo)簽還是剝標(biāo)簽”的疑問立刻卡殼。這不是記性不好而是底層概念沒打通。要真正吃透access、trunk、hybrid三種端口模式第一步得先把VLAN標(biāo)簽和PVID這兩件事搞清楚。1.1 交換機(jī)能區(qū)分不同VLAN靠的是幀里的802.1Q標(biāo)簽VLAN的作用是在一臺物理交換機(jī)上把一個大的二層廣播域切成多個互不相通的邏輯廣播域。A部門的廣播幀不會傳到B部門這中間靠的就是交換機(jī)對“幀屬于哪個VLAN”的判斷。這個判斷依據(jù)是什么就是數(shù)據(jù)幀里有沒有帶802.1Q的VLAN Tag以及帶的是哪個VLAN ID。802.1Q標(biāo)準(zhǔn)的Tag一共4個字節(jié)其中VLAN ID占12個bit所以取值范圍是0到4095實(shí)際可用的是1到4094。這也是為什么一個交換機(jī)最多能規(guī)劃四千多個VLAN而實(shí)際項(xiàng)目中通常用不到兩位數(shù)。這里要特別區(qū)分一個概念帶Tag的幀和不帶Tag的幀。從PC、打印機(jī)、攝像頭這些終端出來的普通以太網(wǎng)幀默認(rèn)是不帶VLAN Tag的因?yàn)樵诮K端網(wǎng)卡的視角里它根本不知道交換機(jī)內(nèi)部還分了VLAN。而交換機(jī)之間、交換機(jī)與路由器尤其是子接口場景之間傳的幀為了讓對端知道這個幀屬于哪個VLAN就必須在二層頭部打上Tag。所以交換機(jī)的端口本質(zhì)上就是一個“標(biāo)簽處理崗”進(jìn)來的幀要么給它打上標(biāo)簽要么檢查標(biāo)簽后決定收不收出去的幀要么帶著標(biāo)簽走要么把標(biāo)簽剝掉再交給終端。access、trunk、hybrid的區(qū)別只不過是對這個“打標(biāo)簽/剝標(biāo)簽/放行”流程的不同規(guī)則組合。1.2 PVID就是端口的“默認(rèn)歸屬”處理無標(biāo)簽幀全靠它PVIDPort VLAN ID端口缺省VLAN ID是第二個必須搞懂的概念。它解決的是這樣一個問題當(dāng)一個無Tag的幀從某個端口進(jìn)來時交換機(jī)怎么知道它屬于哪個VLAN答案就是交給PVID去判斷。交換機(jī)收到一個不帶Tag的幀會在這個幀上打上接收端口PVID對應(yīng)的VLAN ID然后按這個VLAN去做轉(zhuǎn)發(fā)。你可以把PVID理解成“端口的默認(rèn)戶籍”——進(jìn)來的無標(biāo)簽幀一律按這個戶籍登記。我經(jīng)常用一個快遞的類比來解釋VLAN Tag相當(dāng)于快遞單上的區(qū)域編號PVID相當(dāng)于快遞柜默認(rèn)投放格口。如果包裹單上沒有寫區(qū)域編號投遞員就按投放口的默認(rèn)設(shè)置來處理。三種端口模式的差別其實(shí)就是“對不同包裹單的處理規(guī)則不同”。還有一個概念在華為交換機(jī)上經(jīng)常一起出現(xiàn)就是Tagged和Untagged的列表。稍微預(yù)告一下trunk端口和hybrid端口在“出去”的方向會各自維護(hù)一個處理規(guī)則確定哪些VLAN的幀保留Tag、哪些VLAN的幀剝掉Tag。這正是我們在第3、4節(jié)要展開的核心內(nèi)容。2. Access端口接入終端的“單VLAN出入口”行為邏輯要背熟Access端口大概是三種模式里最簡單的但正因?yàn)楹唵畏炊菀妆蝗溯p視導(dǎo)致在接終端時選錯模式。先把它的行為規(guī)則看透。2.1 Access端口的收發(fā)規(guī)則與適用邊界Access端口有三個非常明確的特征第一它只能屬于一個VLAN也就是只能設(shè)置一個PVID。你可以用port default vlan把它的PVID改成任何已創(chuàng)建的VLAN但改完它還是只有一個歸屬。第二入方向的處理規(guī)則是收到無Tag幀打上PVID對應(yīng)的VLAN標(biāo)簽收到帶Tag幀如果Tag里的VLAN ID和PVID一致就接收如果和PVID不一致直接丟棄。第三出方向的處理規(guī)則是交換機(jī)向這個端口轉(zhuǎn)發(fā)幀時會把幀的VLAN Tag剝掉再發(fā)出去因?yàn)榻K端網(wǎng)卡不認(rèn)識Tag帶著Tag出去的幀PC基本都會當(dāng)作無效數(shù)據(jù)丟棄。正是這三個特征決定了access端口的適用場景非常清晰用來連接不需要感知VLAN的終端設(shè)備比如PC、打印機(jī)、攝像頭、服務(wù)器網(wǎng)卡。這些設(shè)備發(fā)出的幀沒有Tag交換機(jī)給它打上PVID登記歸屬交換機(jī)轉(zhuǎn)發(fā)回來的幀剝掉Tag再交給終端終端收到的就是干干凈凈的普通以太網(wǎng)幀。一定要記住一個邊界access口無法同時承載多個VLAN。如果終端需要同時訪問多個VLAN靠的是上層網(wǎng)關(guān)和路由而不是把a(bǔ)ccess口改成“同時屬于兩個VLAN”——邏輯上就不存在這種用法。2.2 Access端口配置命令與驗(yàn)證方法在華為S5720、S5730這些常見型號上配置access口非常簡單system-view vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10先創(chuàng)建VLAN然后把端口鏈路類型改為access再用port default vlan 10把PVID設(shè)置成VLAN 10。這就是全部配置。這里有個新手容易忽略的細(xì)節(jié)port default vlan 10這條命令在access口上會同時完成兩件事一是把端口PVID設(shè)成10二是把VLAN 10加入該端口的untagged列表。所以access口不需要再單獨(dú)配置什么“允許哪個VLAN”默認(rèn)就只處理PVID這一個VLAN處理方式就是進(jìn)方向打Tag、出方向剝Tag。配置完之后的驗(yàn)證最常用的是display port vlan這條命令的輸出會列出每個端口的鏈路類型、PVID、以及歸屬的VLAN情況。還有一種驗(yàn)證思路如果PC能正常獲取到IP、能和同VLAN內(nèi)其他主機(jī)互通也側(cè)面說明端口處理標(biāo)簽的規(guī)則沒有問題。實(shí)際項(xiàng)目中我見過有人把接服務(wù)器的口配成access然后死活不通查了半天發(fā)現(xiàn)服務(wù)器網(wǎng)卡上手動開了802.1Q并打了別的VLAN Tag。這時候access口走的是“入方向Tag和PVID不一致就丟棄”的規(guī)則幀根本進(jìn)不來。這種場景其實(shí)更適合用hybrid后面第4節(jié)會講到。3. Trunk端口交換機(jī)之間的主干鏈路allow-pass是命門如果說access是給終端用的那trunk就是給交換機(jī)之間、以及交換機(jī)和路由器/防火墻之間用的“主干鏈路”。它可以同時承載多個VLAN的幀但代價是你要理解它的標(biāo)簽處理規(guī)則尤其是PVID和allow-pass之間的關(guān)系。3.1 Trunk端口的收發(fā)規(guī)則與默認(rèn)行為Trunk端口的行為可以拆成兩個方向來看入方向收到無Tag幀同樣打上PVID對應(yīng)的標(biāo)簽收到帶Tag幀檢查這個VLAN是否在允許通過列表里如果在就接收不在就丟棄。出方向這是trunk和access最本質(zhì)的區(qū)別。trunk口在轉(zhuǎn)發(fā)幀出去時并不是所有VLAN都剝標(biāo)簽。規(guī)則是如果幀的VLAN等于這個端口的PVID就剝掉Tag再發(fā)如果幀的VLAN不等于PVID但又在allow-pass放行列表里就保留Tag原樣發(fā)出去。所以trunk口的PVID實(shí)際上承擔(dān)了“本征VLAN”的角色也就是Cisco概念里的Native VLAN。鏈路兩端的trunk口PVID必須一致這個PVID對應(yīng)的VLAN幀在鏈路上是“裸奔”的不帶Tag。一旦兩端PVID不一致就會出大問題這一點(diǎn)放到第3.2節(jié)細(xì)說。還有一個必須強(qiáng)調(diào)的默認(rèn)行為華為交換機(jī)上當(dāng)你把端口鏈路類型改成trunk之后缺省情況下這個trunk口只放通VLAN 1。也就是說如果你只改了link-type沒有配置allow-pass那么VLAN 10、VLAN 20的幀在這個trunk口上全都會被丟棄。這一點(diǎn)和很多人潛意識里“trunk默認(rèn)放行所有VLAN”的認(rèn)知不一樣。實(shí)際配置時一定要顯式執(zhí)行allow-pass把需要跨鏈路傳輸?shù)腣LAN都加進(jìn)去。3.2 Trunk配置命令與PVID兩端不一致的典型故障一個標(biāo)準(zhǔn)的trunk口配置是這樣的interface GigabitEthernet0/0/24 port link-type trunk port trunk pvid vlan 10 port trunk allow-pass vlan 10 20 30port trunk allow-pass vlan 10 20 30是放行列表配置這條是trunk口能否傳多個VLAN的關(guān)鍵。如果你寫的是port trunk allow-pass vlan all雖然省事但我不推薦在生產(chǎn)環(huán)境這么干。原因有兩個一是未來新增VLAN時會不知不覺被這個口放通排障時很難判斷某個VLAN到底該不該從這條鏈路走二是一旦鏈路被非法設(shè)備接入所有VLAN都可能暴露安全上不劃算。PVID的配置命令是port trunk pvid vlan 10。這條命令的真實(shí)作用是把VLAN 10設(shè)為該trunk口的本征VLAN出方向VLAN 10的幀剝Tag入方向無標(biāo)簽幀打上VLAN 10。如果鏈路兩端交換機(jī)trunk口的PVID不一致會發(fā)生一個非常隱蔽的故障A交換機(jī)發(fā)出VLAN 10的幀時把Tag剝掉B交換機(jī)收到無Tag幀后按自己的PVID比如VLAN 20給它打上標(biāo)簽結(jié)果這個幀在B交換機(jī)里變成了VLAN 20。表現(xiàn)出來就是“A交換機(jī)的VLAN 10主機(jī)和B交換機(jī)的VLAN 10主機(jī)二層不通”而兩邊單獨(dú)看各自交換機(jī)的VLAN配置都沒問題。排查這類問題最直接的命令還是display port vlan把鏈路兩端的trunk口都看一遍重點(diǎn)對比PVID和allow-pass列表。另外display trunkport可以查看trunk口是哪一個display current-configuration interface GigabitEthernet0/0/24可以看到端口下的完整配置用來確認(rèn)allow-pass和pvid是否和預(yù)期一致。4. Hybrid端口華為特色模式它的靈活度遠(yuǎn)超前兩者Hybrid是華為主導(dǎo)的一種端口模式在其他廠家的交換機(jī)上很少看到同等分量的存在。它的設(shè)計(jì)目標(biāo)很簡單在一個端口上同時支持“某些VLAN帶Tag走、某些VLAN不帶Tag走”的混合場景。理解它之后你會發(fā)現(xiàn)很多網(wǎng)絡(luò)點(diǎn)位其實(shí)用hybrid才是最優(yōu)解。4.1 Hybrid端口和Access、Trunk的本質(zhì)差異Hybrid端口在入方向上的行為和trunk幾乎一樣無Tag幀打PVID帶Tag幀在允許列表內(nèi)就接收、不在就丟棄。真正的差異在出方向。Trunk口出方向只能有兩種處理PVID對應(yīng)VLAN剝Tag其他放行VLAN保留Tag。而hybrid口允許你針對每一個VLAN單獨(dú)指定出方向是剝Tag還是保留Tag。這就是它的核心能力也是華為文檔里經(jīng)常出現(xiàn)的“tagged列表”和“untagged列表”的含義加入port hybrid untagged vlan列表的VLAN出方向發(fā)幀時剝掉Tag加入port hybrid tagged vlan列表的VLAN出方向發(fā)幀時保留Tag一個VLAN可以同時出現(xiàn)在兩個列表嗎當(dāng)然不行一個VLAN要么tagged要么untagged不能既剝又不剝。從這個角度再回頭看三種模式可以用一句話概括access是“出方向全剝Tag的單VLAN口”trunk是“只對PVID剝Tag的多VLAN口”hybrid是“出方向可以按VLAN粒度自由定制Tag處理規(guī)則的多VLAN口”。還有一個特別容易忽略的點(diǎn)華為交換機(jī)的端口默認(rèn)鏈路類型就是hybrid。新交換機(jī)插上電所有端口默認(rèn)都是hybridPVID為1untagged列表里默認(rèn)有VLAN 1。所以設(shè)備直接插在默認(rèn)端口上是能互通VLAN 1的。很多初學(xué)者上來就配port hybrid tagged vlan 20然后發(fā)現(xiàn)不生效往往不是命令寫錯而是VLAN 20沒創(chuàng)建或者忘記配置port hybrid pvid和port hybrid untagged導(dǎo)致VLAN的untagged方向沒對齊。4.2 Hybrid端口配置實(shí)例IP電話和PC串接的經(jīng)典場景講一個我在辦公網(wǎng)項(xiàng)目里經(jīng)常用到的真實(shí)點(diǎn)位一個工位上只有一根網(wǎng)線需要同時接一臺辦公PC和一部IP電話。業(yè)務(wù)要求是PC屬于VLAN 10IP電話屬于VLAN 20但電話只有一個上行口PC只能串在電話后面。這個場景用access和trunk都不夠漂亮。用access口只能選一個VLANPC和電話會被強(qiáng)行劃到同一個VLAN用trunk口出方向除了PVID之外都保留TagPC收到帶Tag的幀大概率丟棄而PVID又只能有一個。正確做法是用hybridinterface GigabitEthernet0/0/2 port link-type hybrid port hybrid pvid vlan 10 port hybrid untagged vlan 10 port hybrid tagged vlan 20解釋一下這段配置的完整邏輯PVID是VLAN 10所以從PC上來無Tag的幀打上VLAN 10的標(biāo)簽交換機(jī)把VLAN 10的幀從該口轉(zhuǎn)發(fā)出去時因?yàn)閂LAN 10在untagged列表里所以剝掉TagPC收到的是普通幀能正常識別。而VLAN 20的幀在出方向因?yàn)樽叩氖莟agged列表所以保留TagIP電話如果支持802.1Q并配置了VLAN 20就能正確解析。這個例子雖然簡單但它把hybrid“同一端口雙VLAN、不同類型終端各取所需”的靈活度體現(xiàn)得淋漓盡致。同樣的思路也可以用于一個下聯(lián)口同時接無標(biāo)簽終端和小型交換機(jī)、接入交換機(jī)上聯(lián)同時給路由器子接口和本機(jī)管理VLAN傳幀等場景。在華為設(shè)備上當(dāng)你發(fā)現(xiàn)一個端口的需求是“既要又要”的時候優(yōu)先想想hybrid。5. 三種模式橫向?qū)Ρ扰c選型不要背規(guī)則要理解行為到了實(shí)戰(zhàn)階段很多人在選擇端口模式時還是靠“感覺”好像接交換機(jī)就用trunk接PC就用access其他情況隨機(jī)應(yīng)變。這種經(jīng)驗(yàn)主義偶爾能蒙對但遇到邊界場景就會翻車。下面我用一張表把三種模式的行為差異列清楚再給出一套可執(zhí)行的選型思路。5.1 三種端口模式行為對比對比項(xiàng)AccessTrunkHybrid可承載VLAN數(shù)量1個多個多個入方向無Tag幀打PVID打PVID打PVID入方向帶Tag幀僅接收與PVID一致的幀允許列表內(nèi)接收允許列表內(nèi)接收出方向Tag處理全部剝掉PVID對應(yīng)VLAN剝掉其余保留按tagged/untagged列表逐個VLAN定制典型連接對象PC、打印機(jī)、攝像頭、服務(wù)器交換機(jī)級聯(lián)口、路由器子接口、防火墻需要混合標(biāo)簽處理的可變場景缺省行為PVIDVLAN 1只放通VLAN 1PVIDVLAN 1untagged列表默認(rèn)含VLAN 1這張表里最值得記住的是第三行和第四行。第三行體現(xiàn)了“入方向規(guī)則三種模式是一致的都是無Tag打PVID”所以PVID這個概念貫穿了所有配置第四行則是它們出現(xiàn)分化的地方也是排障時最需要回頭看的位置。5.2 選型建議與幾個典型錯誤選型我的選型建議只有三條接到終端設(shè)備默認(rèn)選access直到你確認(rèn)這臺終端需要處理VLAN Tag否則不要輕易換成hybrid 交換機(jī)之間、以及到路由器或防火墻的多VLAN鏈路選trunk并且顯式配置allow-passPVID兩端保持一致 同一個物理端口需要同時承載“需要Tag的幀”和“不能帶Tag的幀”時選hybrid。容易翻車的錯誤選型我也總結(jié)了幾類第一上游交換機(jī)用trunk下游接入交換機(jī)卻用access口做上聯(lián)。結(jié)果就是VLAN 10、VLAN 20的幀在上聯(lián)口處被access口強(qiáng)制剝Tag并打上PVID只剩一個VLAN能通其他VLAN全部“消失”。第二trunk口PVID配了但兩端不一致。這個問題我在3.2節(jié)已經(jīng)詳細(xì)拆解過屬于“配置看著都對二是卻不通”的典型。第三把一條連接PC的線誤配成trunk口。如果PVID恰好匹配PC所在VLANPC可能能通一個VLAN但其他VLAN的幀帶著Tag到PC網(wǎng)卡網(wǎng)卡不認(rèn)Tag直接丟棄整個通訊就是時通時不通。遇到這種問題先看端口模式八成就是它。6. 真實(shí)項(xiàng)目實(shí)戰(zhàn)5個部門5個子網(wǎng)的華為交換機(jī)完整配置理論講再多還是要落到項(xiàng)目上。下面用一家中型公司的組網(wǎng)需求完整演示一遍從VLAN規(guī)劃到接入交換機(jī)和核心交換機(jī)配置的全過程。這個場景我做過很多次基本能覆蓋access、trunk、hybrid三種模式在真實(shí)項(xiàng)目里的全部用法。6.1 網(wǎng)絡(luò)規(guī)劃部門人數(shù)、VLAN、IP地址和子網(wǎng)掩碼需求是這樣的公司一共5個部門A部門100人、B部門50人、C部門20人、D部門10人、E部門8人。每個部門要劃分獨(dú)立子網(wǎng)部門之間后續(xù)還要做訪問控制。核心設(shè)備用華為三層交換機(jī)比如S5720或S5730系列作為各子網(wǎng)的網(wǎng)關(guān)。根據(jù)人數(shù)把VLAN和IP網(wǎng)段規(guī)劃如下部門VLAN網(wǎng)段子網(wǎng)掩碼可用主機(jī)數(shù)A部門VLAN 10192.168.10.0/25255.255.255.128126B部門VLAN 20192.168.20.0/26255.255.255.19262C部門VLAN 30192.168.30.0/27255.255.255.22430D部門VLAN 40192.168.40.0/28255.255.255.24014E部門含管理網(wǎng)段VLAN 50192.168.50.0/28255.255.255.24014規(guī)模最大的A部門用/25B部門用/26C部門用/27D和E部門人數(shù)少用/28。這樣地址空間不浪費(fèi)每個子網(wǎng)的廣播域也控制得很好。如果你傾向于連續(xù)地址規(guī)劃也可以把它們合并成192.168.10.0內(nèi)的連續(xù)地址塊但對于初學(xué)者這種按VLAN隔離的寫法更直觀。6.2 核心三層交換機(jī)配置VLANIF網(wǎng)關(guān)、下行口與出口路由登錄核心交換機(jī)后先創(chuàng)建所有VLAN并配置VLANIF地址讓三層交換機(jī)承擔(dān)各部門的網(wǎng)關(guān)角色system-view sysname Core-Switch vlan batch 10 20 30 40 50 interface Vlanif10 ip address 192.168.10.1 255.255.255.128 interface Vlanif20 ip address 192.168.20.1 255.255.255.192 interface Vlanif30 ip address 192.168.30.1 255.255.255.224 interface Vlanif40 ip address 192.168.40.1 255.255.255.240 interface Vlanif50 ip address 192.168.50.1 255.255.255.240VLANIF地址就是各部門終端的網(wǎng)關(guān)地址。配置完之后不同VLAN之間的流量就能通過三層交換機(jī)進(jìn)行路由轉(zhuǎn)發(fā)不需要額外加路由器。接著配置下行口核心交換機(jī)下面如果直接掛服務(wù)器或網(wǎng)管終端用access口interface GigabitEthernet0/0/1 port link-type access port default vlan 50核心交換機(jī)對上聯(lián)出口路由器或者防火墻的口如果跑的是單臂路由/子接口就要用trunk口并放通所有業(yè)務(wù)VLANinterface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50如果出口設(shè)備上配置了子接口比如interface GigabitEthernet0/0/1.10、dot1q termination vid 10那么核心交換機(jī)這個trunk口的PVID建議保持默認(rèn)的VLAN 1不要改成某個業(yè)務(wù)VLAN避免無標(biāo)簽流量在出口處被錯誤歸類。訪問外網(wǎng)需要默認(rèn)路由。假設(shè)出口路由器或者防火墻的內(nèi)網(wǎng)地址是192.168.50.254在核心交換機(jī)上配一條默認(rèn)路由ip route-static 0.0.0.0 0.0.0.0 192.168.50.254同時記得在出口路由器或防火墻上配回程路由指向核心交換機(jī)也就是把192.168.10.0/25、192.168.20.0/26等網(wǎng)段都指向192.168.50.1。兩邊路由都到位部門間的互訪和上網(wǎng)才能完整跑通。6.3 接入交換機(jī)配置Access接入部門終端Trunk上聯(lián)核心以A部門為例假設(shè)現(xiàn)場有兩臺接入交換機(jī)一臺在1號機(jī)柜一臺在3號機(jī)柜總共覆蓋100個工位。登錄接入交換機(jī)后先創(chuàng)建所有VLAN因?yàn)樯下?lián)口需要承載所有VLANsystem-view sysname Access-SW-A1 vlan batch 10 20 30 40 50接入交換機(jī)下聯(lián)口接終端用access口批量配置。華為交換機(jī)支持端口組批量下發(fā)配置非常實(shí)用port-group group1 group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/24 port link-type access port default vlan 10這里有一個非常容易踩的坑如果你把24個口全批量配置成了access vlan 10而其中某個口其實(shí)是上聯(lián)口那么上聯(lián)口也會被同時配置成access導(dǎo)致多個VLAN無法跨交換機(jī)傳輸。所以我的習(xí)慣是先單獨(dú)配置上聯(lián)口再批量配置下聯(lián)口或者批量配置時排除上聯(lián)口。接著配置上聯(lián)口interface GigabitEthernet0/0/25 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50如果上聯(lián)鏈路需要冗余或帶寬擴(kuò)展還可以把兩條物理口先綁定成Eth-Trunk再做成trunk這個屬于進(jìn)階玩法這里不展開。配置完成后用下面命令驗(yàn)證display vlan display port vlan分別確認(rèn)VLAN 10下的端口成員、以及上聯(lián)trunk口的PVID和allow-pass是否符合預(yù)期。6.4 實(shí)際點(diǎn)位里的Hybrid用法一個口解決兩類終端的接入在A部門工位中有幾個特殊點(diǎn)位需要同時接PC和網(wǎng)絡(luò)打印機(jī)但網(wǎng)絡(luò)打印機(jī)要單獨(dú)劃分VLAN做安全隔離而工位墻上只有一個網(wǎng)口。這時我給現(xiàn)場采用的是hybrid方案把一個下聯(lián)口同時承載兩個VLANinterface GigabitEthernet0/0/20 port link-type hybrid port hybrid pvid vlan 10 port hybrid untagged vlan 10 port hybrid tagged vlan 30PC接在這個端口上收到的VLAN 10幀被剝掉Tag正常工作打印機(jī)如果支持802.1Q并配置了VLAN 30就能收到帶Tag的幀。兩者互不干擾這正好是hybrid存在的最典型意義。如果你在這種場景下誤用了access口那VLAN 30的打印機(jī)流量只能靠上層路由繞還是一樣能被隔離但同一個口下的PC和打印機(jī)之間就無法做到“同口不同VLAN”的二層隔離了隔離效果打折扣。這也是為什么我說遇到“既要又要”的接入場景先想到hybrid。7. 配置中高頻故障與排查思路從現(xiàn)象反推根因最后這部分我想把實(shí)際運(yùn)維中最高頻的VLAN端口故障和排查鏈路完整寫出來。這些坑我?guī)缀趺看谓o客戶做培訓(xùn)都會強(qiáng)調(diào)因?yàn)樗鼈兊墓餐攸c(diǎn)是配置頁面上看著沒什么問題但網(wǎng)絡(luò)就是不通。7.1 四個高頻故障現(xiàn)象與根因?qū)φ展收犀F(xiàn)象大概率根因優(yōu)先排查方向跨交換機(jī)同VLAN終端互不通trunk口忘配allow-pass或兩端PVID不一致看兩端的display port vlan終端只能通一個VLAN其他VLAN不通端口使用trunk/hybrid但untagged方向沒配對看端口鏈路類型與tagged/untagged列表同一交換機(jī)不同VLAN之間無法互訪VLANIF網(wǎng)關(guān)沒配或三層轉(zhuǎn)發(fā)未生效看display ip interface brief路由器子接口掛了業(yè)務(wù)VLAN卻不通trunk口沒放通對應(yīng)VLAN或子接口封裝dot1q的VLAN不匹配看trunk放行列表與子接口配置這張表里的每一條我都真實(shí)遇到過至少一次。尤其是第一行和第四行幾乎占了跨交換機(jī)VLAN故障的70%以上。7.2 排查命令的實(shí)際用法不要一上來就懷疑線纜遇到VLAN二層不通我的排查順序固定是“端口模式 → PVID → allow-pass → VLANIF”不要一上來就懷疑網(wǎng)線或者光模塊。常用命令的作用如下display vlan查看VLAN是否存在、VLAN內(nèi)有哪些端口成員這是第一步。如果VLAN本身都是空的后面查再多也沒意義。display port vlan這是排查端口問題最核心的命令能一次性看到端口鏈路類型、PVID、tagged/untagged列表?？缃粨Q機(jī)排查時兩個交換機(jī)都跑一遍重點(diǎn)對比上聯(lián)口的PVID和allow-pass。display interface GigabitEthernet0/0/24確認(rèn)端口狀態(tài)是UP排除物理層問題。有時候光纖松動、協(xié)商失敗也會造成“配置全對但就是不通”。display mac-address查看MAC表項(xiàng)判斷交換機(jī)有沒有學(xué)到終端MAC。如果一直學(xué)不到問題基本在二層轉(zhuǎn)發(fā)路徑上如果能學(xué)到卻ping不通網(wǎng)關(guān)問題可能在三層。用ping -a從指定源地址發(fā)起測試可以更準(zhǔn)確地驗(yàn)證某臺終端的連通性ping -a 192.168.10.10 192.168.10.1這條命令在核心交換機(jī)上執(zhí)行能從VLAN 10的網(wǎng)關(guān)角度探測到終端是否可達(dá)。7.3 真實(shí)排障案例跨交換機(jī)VLAN 10不通的完整定位過程最后分享一個標(biāo)準(zhǔn)化排障過程。現(xiàn)場拓?fù)浜芎唵谓尤虢粨Q機(jī)Access-SW-A1上有一臺A部門PC192.168.10.10上聯(lián)核心交換機(jī)Core-SwitchPC的網(wǎng)關(guān)是核心交換機(jī)VLANIF10192.168.10.1。故障現(xiàn)象是PC ping不通網(wǎng)關(guān)。我的排查過程如下登錄Access-SW-A1先確認(rèn)PC所在端口在VLAN 10里display vlan 10結(jié)果VLAN 10的端口列表只有GigabitEthernet0/0/1沒問題。再查PC的ARP狀況排除終端側(cè)因素后直接看核心交換機(jī)的VLANIF10是否存在display ip interface briefVLANIF10地址正常說明網(wǎng)關(guān)配置沒問題?；氐浇尤虢粨Q機(jī)重點(diǎn)查上聯(lián)口display port vlan結(jié)果發(fā)現(xiàn)上聯(lián)口GigabitEthernet0/0/25雖然鏈路類型是trunk但allow-pass列表里只有VLAN 1根本沒有VLAN 10。這就是根因上聯(lián)口沒放行VLAN 10VLAN 10的幀在接入交換機(jī)的上聯(lián)口就被丟棄了自然到不了核心交換機(jī)。修復(fù)interface GigabitEthernet0/0/25 port trunk allow-pass vlan 10 20 30 40 50再次ping網(wǎng)關(guān)立刻通了。這個案例看著簡單但它是“配置看著都對、就是不通”的典型代表。很多人遇到跨交換機(jī)VLAN不通第一反應(yīng)是跑到遠(yuǎn)端機(jī)房去換光模塊或者重啟交換機(jī)損失大量時間。其實(shí)只要養(yǎng)成分層排查的習(xí)慣先端口模式、再PVID、再allow-pass、最后網(wǎng)關(guān)大部分問題幾分鐘之內(nèi)就能定位。做完這么多項(xiàng)目我個人的體會是access、trunk、hybrid本質(zhì)上沒有誰優(yōu)誰劣它們只是交換機(jī)在不同連接場景下的三套標(biāo)簽處理規(guī)則。你在配置時多問自己一句“這個口出去的幀對端能不能正確處理”很多所謂的疑難問題其實(shí)當(dāng)場就能想明白。最后再分享一個小技巧每次做完交換機(jī)配置記得把display current-configuration導(dǎo)出備份尤其是trunk和hybrid口的PVID、allow-pass這類關(guān)鍵參數(shù)出問題的時候?qū)φ栈€配置排查效率會高很多。