簡介面向計算機網(wǎng)絡(luò)專業(yè)學(xué)生、網(wǎng)絡(luò)管理員及初學(xué)者的跨交換機VLAN配置實驗資源基于華為eNSP模擬軟件完整呈現(xiàn)復(fù)雜交換式以太網(wǎng)的設(shè)計與驗證流程。實驗內(nèi)容涵蓋設(shè)備連接與IP地址配置、默認VLAN通信驗證、在三臺交換機上創(chuàng)建VLAN并分配接入端口與主干端口、VLAN隔離性測試及IEEE802.1Q幀格式觀察通過結(jié)果對比驗證不同VLAN間的互通限制與同一VLAN內(nèi)的通信過程。壓縮包內(nèi)含1個docx文檔大小約1.98MB文檔系統(tǒng)記錄實驗?zāi)康?、器材清單、操作步驟、數(shù)據(jù)截圖及常見問題排查方法例如報文捕獲失敗時需檢查捕獲功能、過濾器與端口配置可直接作為課程設(shè)計或?qū)嶒瀳蟾娴膮⒖寄０?。已?504人學(xué)習(xí)下載對希望提升網(wǎng)絡(luò)設(shè)備配置、VLAN規(guī)劃與故障排查能力的讀者具有較高實用價值。1. 這個eNSP實驗到底在練什么跨交換機VLAN配置的核心目標如果你剛做完 VLAN 配置卻發(fā)現(xiàn)不同 VLAN 的 PC 之間照樣能 ping 通先別懷疑設(shè)備壞了——大概率是 trunk 端口沒放通或者交換機端口還停在默認的 hybrid 模式。這個跨交換機 VLAN 配置實驗就是華為 eNSP 課程里最經(jīng)典的一套訓(xùn)練三臺交換機、八臺 PC用 VLAN 2 / 3 / 4 把同一網(wǎng)段拆成三個邏輯隔離的廣播域。它練的不是背命令而是三件上手才能真懂的事接入端口和主干端口各自承擔什么角色、IEEE 802.1Q 標簽到底怎么出現(xiàn)在 MAC 幀里、以及同一 VLAN 的終端跨交換機通信時數(shù)據(jù)幀走了哪條路。適合計算機網(wǎng)絡(luò)專業(yè)的學(xué)生、準備華為 HCIA 認證的人、以及剛接觸 eNSP 想找個完整案例練手的新人網(wǎng)工。2. 動手前的拓撲與地址規(guī)劃先把設(shè)備和 IP 擺對2.1 設(shè)備放置與啟動順序?qū)嶒炌負涫堑湫偷娜龑哟薪Y(jié)構(gòu)三臺交換機 LSW1、LSW2、LSW3按順序用千兆口互聯(lián)PC1 到 PC8 分布在三臺交換機下。在 eNSP 里新建工程后從設(shè)備列表里拖出三臺 S5700 交換機S3700 也行命令完全一致和八臺 PC按拓撲連線。連接關(guān)系按實驗表推斷如下設(shè)備端口連接對象LSW1G0/0/4LSW2 的 G0/0/1LSW2G0/0/2LSW3 的 G0/0/4LSW1G0/0/1 ~ 0/0/3PC1、PC2、PC3LSW2G0/0/3 ~ 0/0/4PC5、PC6LSW3G0/0/1 ~ 0/0/3PC4、PC7、PC8連完線先別急著配 VLAN。點工具欄的啟動所有設(shè)備等設(shè)備狀態(tài)燈從紅色變綠色。這一步有個常見現(xiàn)象eNSP 的交換機和 AR 路由器啟動很慢尤其是第一次打開工程可能要等半分鐘到一分鐘。如果某個設(shè)備長時間停在紅色先右鍵單獨重啟這比反復(fù)點停止再啟動整個工程要快得多。設(shè)備沒完全啟動就操作會報連接設(shè)備失敗之類的錯后文避坑章節(jié)會展開說。2.2 PC 端 IP 地址配置同網(wǎng)段但邏輯隔離的前提給八臺 PC 配置 IP 地址全部使用 192.1.1.1 到 192.1.1.8子網(wǎng)掩碼統(tǒng)一 255.255.255.0網(wǎng)關(guān)留空。這個實驗是純二層通信不需要配置網(wǎng)關(guān)這也是很多人忽視的點——在有路由器參與的實驗里才需要網(wǎng)關(guān)這里寫了反而容易讓排查方向跑偏。PCIP 地址所屬交換機按上表PC1192.1.1.1LSW1PC2192.1.1.2LSW1PC3192.1.1.3LSW1PC4192.1.1.4LSW3PC5192.1.1.5LSW2PC6192.1.1.6LSW2PC7192.1.1.7LSW3PC8192.1.1.8LSW3在 eNSP 里雙擊 PC打開終端配置面板在 IPv4 地址欄填表里的地址子網(wǎng)掩碼填 255.255.255.0網(wǎng)關(guān)留空。注意 eNSP 的 PC 終端配置完成后要點應(yīng)用按鈕不是直接關(guān)窗口否則配置不生效。八臺 PC 全部配完后可以在任意一臺 PC 的命令行里用 ipconfig 確認看到 IP 和掩碼就說明配置寫進去了。2.3 劃分 VLAN 前的全網(wǎng)互通驗證配置 VLAN 之前所有交換機端口都屬于默認的 VLAN 1這意味著八臺 PC 在二層是打通的。這一步驗證不是多余的——它用來證明IP 同網(wǎng)段 默認 VLAN 下的物理鏈路沒問題這樣后面 VLAN 劃分導(dǎo)致通信失敗時才能把原因鎖死在 VLAN 配置上而不是去懷疑網(wǎng)線連錯或 IP 配錯。在 PC1 上執(zhí)行 ping 192.1.1.3對應(yīng) PC3再 ping 192.1.1.6對應(yīng) PC6正常情況應(yīng)該是四個 ICMP 請求全部收到回復(fù)。如果這一步就不通說明前面連線或 IP 配置有問題先解決它再往后走。我一般會在這一步順便把 PC2 ping PC5、PC4 ping PC8 也測一遍把初始狀態(tài)記錄清楚后面對比起來非常直觀。3. 讀懂三張 VLAN 端口映射表接入端口與主干端口的角色分配3.1 三張映射表放在一起看實驗給的三張表本質(zhì)是設(shè)計文檔。把它們合到一張圖里看VLAN 的分布邏輯非常清楚交換機VLAN 2 接入端口VLAN 3 接入端口VLAN 4 接入端口主干端口LSW1G0/0/1、G0/0/2無G0/0/3G0/0/4LSW2G0/0/3G0/0/4無G0/0/1、G0/0/2LSW3無G0/0/2、G0/0/3G0/0/1G0/0/4先明確接入端口Access的規(guī)則一個接入端口只能屬于一個 VLAN它連接的是終端設(shè)備收到不帶標簽的普通以太網(wǎng)幀時交換機會把它打上該 VLAN 的標簽再轉(zhuǎn)發(fā)轉(zhuǎn)發(fā)給終端時會先把標簽去掉。主干端口Trunk則相反它連接交換機與交換機默認放行全部 VLAN但實際使用時通常用 allow-pass 顯式指定放行哪些 VLAN。數(shù)據(jù)幀在主干鏈路上傳輸時帶著 802.1Q 標簽這樣對端交換機才能區(qū)分這個幀屬于哪個 VLAN。這個設(shè)計的巧妙之處在于VLAN 2 的成員橫跨 LSW1 和 LSW2VLAN 3 的成員橫跨 LSW2 和 LSW3VLAN 4 的成員橫跨 LSW1 和 LSW3。每兩個交換機之間借由主干鏈路同時透傳多個 VLAN 的數(shù)據(jù)幀一臺物理交換機被邏輯拆成了三臺虛擬交換機這就是 VLAN 在跨設(shè)備場景下最核心的價值。3.2 主干端口布線的規(guī)劃原則這里有個容易忽略的細節(jié)實驗中 LSW2 有兩個主干端口G0/0/1 和 G0/0/2而 LSW1、LSW3 各只有一個。原因是 LSW2 夾在中間既要接收 LSW1 轉(zhuǎn)發(fā)過來的 VLAN 2、VLAN 4 幀又要向 LSW3 轉(zhuǎn)發(fā) VLAN 3、VLAN 4 幀兩條主干鏈路都壓在它身上。規(guī)劃主干端口時有一條通用經(jīng)驗主干端口不要接終端設(shè)備。一旦某個端口被配置成 Trunk它默認放行所有 VLAN終端發(fā)出的不帶標簽幀會被交換機丟棄或錯分終端也讀不懂帶標簽的幀。所以實驗中主干端口全部走交換機互聯(lián)鏈路接入端口全部連 PC職責(zé)清晰不交叉。還要注意一個細節(jié)LSW2 上 VLAN 4 沒有接入端口但它仍然通過 vlan batch 創(chuàng)建了 VLAN 4并且兩個主干端口都放行了 VLAN 4。這是因為 VLAN 4 的成員 PC3在 LSW1和 PC4在 LSW3需要穿越 LSW2 通信LSW2 在這里扮演純粹的轉(zhuǎn)發(fā)節(jié)點。很多新手會漏掉這一步——只在有接入端口的交換機上創(chuàng)建 VLAN結(jié)果跨交換機通信直接失敗。3.3 IEEE 802.1Q 標簽的基本概念I(lǐng)EEE 802.1Q 是 VLAN 的標準化協(xié)議它定義了在傳統(tǒng)以太網(wǎng) MAC 幀中插入一個 4 字節(jié)的 VLAN 標簽。標簽緊跟目的 MAC 地址之后包含兩個主要字段2 字節(jié)的 Tag Protocol Identifier固定值 0x8100標識這是帶 802.1Q 標簽的幀以及 2 字節(jié)的 Tag Control Information其中低 12 位就是 VLAN ID取值范圍 0 到 4095有效范圍是 1 到 4094。默認 VLAN 1 是交換機出廠自帶的所以實驗中實際創(chuàng)建的是 VLAN 2、3、4。理解這個幀結(jié)構(gòu)對排查問題很有用。數(shù)據(jù)幀從接入端口進入交換機時被打上標簽在主干鏈路上帶著標簽跑到達目的交換機后轉(zhuǎn)發(fā)給接入端口時又會被剝離標簽——終端看到的永遠是干凈的普通以太網(wǎng)幀。所以你在 PC 上抓包永遠看不到帶 VLAN 標簽的幀必須到主干端口上抓。這也直接解釋了實驗第 6 步為什么要啟動 LSW1 的 G0/0/4 端口抓包功能。4. 華為 eNSP 上的配置命令從創(chuàng)建 VLAN 到放通 Trunk4.1 交換機 LSW1 配置創(chuàng)建 VLAN 并劃分接入端口在 eNSP 中雙擊 LSW1進入命令行配置界面。先進入系統(tǒng)視圖批量創(chuàng)建 VLANsystem-view sysname LSW1 vlan batch 2 4邏輯說明system-view從用戶視圖進入系統(tǒng)視圖后續(xù)配置都在這層做。sysname LSW1給交換機改名便于分層排查時區(qū)分設(shè)備。vlan batch 2 4一次性創(chuàng)建 VLAN 2 和 VLAN 4中間用空格分隔。這里用 batch 是因為 eNSP 的 VRP 平臺支持批量創(chuàng)建比逐個vlan 2vlan 4省命令效果完全相同。接下來把接入端口劃分到對應(yīng) VLANinterface GigabitEthernet0/0/1 port link-type access port default vlan 2邏輯說明先進入接口視圖port link-type access把端口模式改為 Access然后port default vlan 2把該端口劃入 VLAN 2。Linux 里配置文件重啟生效這里的命令是即時生效的輸完就寫進交換機運行配置。G0/0/2 和 G0/0/3 重復(fù)同樣的操作區(qū)別在于 G0/0/3 劃入 VLAN 4。最后配置主干端口 G0/0/4interface GigabitEthernet0/0/4 port link-type trunk port trunk allow-pass vlan 2 4邏輯說明port link-type trunk把端口模式改為 Trunk。port trunk allow-pass vlan 2 4放行 VLAN 2 和 VLAN 4 的數(shù)據(jù)幀。注意華為交換機的 Trunk 端口默認只放行 VLAN 1所以必須手動加上allow-pass否則即使創(chuàng)建了 VLAN數(shù)據(jù)幀也過不了主干鏈路。有些教程寫port trunk allow-pass vlan all在實驗環(huán)境可以這么做但到真實生產(chǎn)環(huán)境不建議堅持最小放行原則只放需要跨交換機通信的 VLAN。4.2 交換機 LSW2 與 LSW3 配置串行中繼節(jié)點LSW2 的角色是中間轉(zhuǎn)發(fā)節(jié)點兩個雙向主干端口加兩個接入端口system-view sysname LSW2 vlan batch 2 3 4 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 2 3 4 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 2 3 4 interface GigabitEthernet0/0/3 port link-type access port default vlan 2 interface GigabitEthernet0/0/4 port link-type access port default vlan 3邏輯說明LSW2 的兩個 trunk 端口都放行了全部三個 VLAN因為它既要向 LSW1 方向轉(zhuǎn)發(fā) VLAN 2、4 的幀又要向 LSW3 方向轉(zhuǎn)發(fā) VLAN 3、4 的幀。G0/0/3 是 PC5 所在的口屬于 VLAN 2G0/0/4 是 PC6 所在的口屬于 VLAN 3。LSW3 的配置邏輯與 LSW1 對稱只是 VLAN 成員不同system-view sysname LSW3 vlan batch 3 4 interface GigabitEthernet0/0/1 port link-type access port default vlan 4 interface GigabitEthernet0/0/2 port link-type access port default vlan 3 interface GigabitEthernet0/0/3 port link-type access port default vlan 3 interface GigabitEthernet0/0/4 port link-type trunk port trunk allow-pass vlan 3 4邏輯說明LSW3 的接入端口里G0/0/1 屬于 VLAN 4接 PC4G0/0/2 和 G0/0/3 屬于 VLAN 3接 PC7、PC8。G0/0/4 是上聯(lián) LSW2 的主干端口放行 VLAN 3 和 VLAN 4。這里刻意沒有放行 VLAN 2因為 LSW3 下沒有 VLAN 2 的終端放行只會增加無效廣播流量。4.3 配置后的狀態(tài)檢查用 display 命令驗證命令敲完不代表配置對了必須檢查。三臺交換機都配完后在 LSW1 上執(zhí)行display vlan輸出里會列出 VLAN ID、VLAN 描述和端口成員。核對 VLAN 2 包含 G0/0/1、G0/0/2VLAN 4 包含 G0/0/3。再執(zhí)行display port vlan這個命令顯示的是端口類型、所屬 VLAN 和 trunk 放行列表比 display vlan 更適合確認端口級配置。重點看 G0/0/4 這一行端口類型默認 VLAN放行的 VLANG0/0/1access2-G0/0/2access2-G0/0/3access4-G0/0/4trunk12, 4如果 G0/0/4 的放行列表里沒有 VLAN 2、4回接口視圖重新執(zhí)行port trunk allow-pass vlan 2 4然后再次用 display port vlan 確認。這一步是我每次做實驗都會強制走的流程因為它能在 10 秒內(nèi)暴露端口模式錯誤、VLAN 未創(chuàng)建、trunk 放行遺漏這三類最常見問題。5. 隔離性驗證與抓包跨交換機 VLAN 最容易翻車的五個環(huán)節(jié)5.1 驗證矩陣同一 VLAN 能通不同 VLAN 不通配置完成后按 VLAN 成員關(guān)系設(shè)計一個 ping 測試矩陣。同一 VLAN 的終端放在一組不同 VLAN 的終端放在另一組測試動作預(yù)期結(jié)果說明PC1 (192.1.1.1) ping PC2 (192.1.1.2)通同一交換機同一 VLAN 2PC1 (192.1.1.1) ping PC5 (192.1.1.5)通跨交換機VLAN 2 走 trunkPC3 (192.1.1.3) ping PC4 (192.1.1.4)通跨兩臺交換機VLAN 4PC2 (192.1.1.2) ping PC3 (192.1.1.3)不通不同 VLAN二層隔離PC6 (192.1.1.6) ping PC4 (192.1.1.4)不通不同 VLAN二層隔離執(zhí)行時可以打開 PC1 的命令行ping 同一 VLAN 的 PC2 和 PC5觀察結(jié)果再 ping 不同 VLAN 的 PC3。預(yù)期是前兩個通后一個顯示請求超時。這里有個細節(jié)值得說eNSP 的 PC 終端自帶 ping 工具但中文界面下顯示的是請求超時不是英文的 Request timed out很多人第一次用沒認出來以為命令出錯了。如果出現(xiàn)同一 VLAN 不通或者不同 VLAN 竟然通了的情況不要急著懷疑實驗方案先按 5.3 節(jié)的排查清單走一遍。5.2 抓包觀察 802.1Q 幀VLAN ID 怎么出現(xiàn)在 MAC 幀里這是整個實驗最有原來如此感的一步。啟動 LSW1 的 G0/0/4 端口抓包功能在 eNSP 主界面右鍵點擊 LSW1 的 G0/0/4 端口連線選擇抓包eNSP 會自動打開 Wireshark 開始捕獲。注意先開抓包再發(fā)起 ping不要反過來。在 PC1 上 ping PC5因為 PC5 在 LSW2 的 VLAN 2數(shù)據(jù)幀從 PC1 發(fā)出后在 LSW1 的接入端口被打上 VLAN 2 標簽經(jīng) G0/0/4 主干端口轉(zhuǎn)發(fā)。此時抓包列表里應(yīng)該出現(xiàn)若干條 ICMP 報文選中任意一條在 Wireshark 下層的Ethernet II幀結(jié)構(gòu)里能看到目的 MAC 地址之后多了一個 4 字節(jié)的 802.1Q 標簽展開后 VLAN ID 字段顯示為 2。對比同一時刻 PC1 發(fā)的其他未標記幀就能直觀理解接入端口剝標簽、主干端口帶標簽的職責(zé)分工。如果這一步抓包失敗先檢查抓包端口是不是選在了 trunk 口上再看過濾條件。Wireshark 默認的過濾器有時會把廣播幀過濾掉可以先把過濾器清空用icmp只保留 ICMP 報文縮小問題范圍。5.3 避坑跨交換機 VLAN 配置里最常見的五個問題以下全是實操里反復(fù)出現(xiàn)的翻車現(xiàn)場按現(xiàn)象 → 原因 → 解決列出來可以直接對照排查。問題一劃分 VLAN 后不同 VLAN 的 PC 反而能 ping 通現(xiàn)象按表配置完P(guān)C1VLAN 2能 ping 通 PC3VLAN 4。原因端口沒有改成 access保持默認的 hybrid 模式。華為交換機端口默認是 hybrid它允許端口同時屬于多個 VLANPVID 為 1未打標簽的幀默認歸入 VLAN 1相當于所有 PC 還在 VLAN 1 里通信。解決逐個接口執(zhí)行port link-type access和port default vlan x把接入端口全部顯式劃入對應(yīng) VLAN。配置后用display port vlan逐一核對端口模式。問題二trunk 端口沒放通對應(yīng) VLAN同一 VLAN 跨交換機不通現(xiàn)象PC1LSW1VLAN 2ping 不通 PC5LSW2VLAN 2但 PC1 能 ping 通同交換機的 PC2。原因LSW1 的 G0/0/4 trunk 端口沒有執(zhí)行port trunk allow-pass vlan 2 4華為 trunk 默認只放行 VLAN 1VLAN 2 的幀到了 trunk 口直接被丟棄。解決在兩端交換機的 trunk 口執(zhí)行port trunk allow-pass vlan 2 4兩端口放行的 VLAN 必須一致。LSW2 的 G0/0/1 作為對端也要放行 VLAN 2兩邊缺一不可。問題三抓包抓不到 802.1Q 幀現(xiàn)象啟動抓包后PC1 執(zhí)行 ping列表里確實有 ICMP 報文但展開看沒有 VLAN 標簽字段。原因抓包端口抓錯了。如果在 LSW1 的 G0/0/1 接入端口或直接抓 PC 側(cè)的鏈路這時的數(shù)據(jù)幀已經(jīng)剝掉了 VLAN 標簽是干凈的普通以太網(wǎng)幀。必須抓 trunk 端口 G0/0/4 的鏈路。解決在 LSW1 上右鍵 G0/0/4 的連接線啟動抓包先抓包后 ping然后在 Wireshark 里用icmp過濾展開幀結(jié)構(gòu)找 802.1Q 標簽。問題四AR 設(shè)備啟動不了eNSP 報錯誤代碼 40現(xiàn)象實驗不涉及路由器但工程里如果放了 AR 設(shè)備或者你復(fù)用時想加單臂路由啟動時報錯誤代碼 40。原因eNSP 的 AR 設(shè)備依賴 VirtualBox版本不兼容或 VirtualBox 后臺殘留進程導(dǎo)致虛擬設(shè)備無法啟動。解決先打開任務(wù)管理器結(jié)束 VBoxSVC 和 VBoxHeadless 進程再重新啟動設(shè)備。如果還不行以管理員身份重新運行 eNSP 和 VirtualBox檢查 eNSP 安裝路徑是否是純英文目錄中文路徑會造成設(shè)備啟動異常。問題五清空配置重新做實驗時舊配置還在生效現(xiàn)象把交換機上的配置改了重啟后 ping 結(jié)果沒變感覺跟沒改一樣。原因eNSP 的交換機在停止設(shè)備時會保存配置重新啟動后加載的還是舊配置。解決右鍵設(shè)備選擇停止再右鍵選清除配置或直接刪除設(shè)備重新拖一臺新的出來。批量清空所有設(shè)備時先停止全部設(shè)備再統(tǒng)一啟動避免舊配置殘留干擾驗證結(jié)果。6. 把驗證過程固化成一串命令三個能直接抄的小習(xí)慣實驗做完不等于會了真正有用的東西是把驗證變成流程。第一個習(xí)慣是每配完一臺交換機立刻用display port vlan輸出端口狀態(tài)截下來和規(guī)劃表比對不要全配完再回頭查。三臺交換機各自跑一遍這條命令花不了 30 秒?yún)s能攔住 80% 的端口模式錯誤。第二個習(xí)慣是做一個固定的 ping 測試順序。我一般按同交換機同 VLAN → 跨交換機同 VLAN → 跨交換機不同 VLAN三層遞進先驗證局部再驗證全局。批量測試時可以直接在 PC 上用一行循環(huán)命令for /L %i in (1,1,8) do ping -n 1 192.1.1.%i在 PC1 的命令行里執(zhí)行這行會把 192.1.1.1 到 192.1.1.8 各 ping 一遍返回結(jié)果一目了然。邏輯是 Windows 命令行的 for 循環(huán)%i是循環(huán)變量(1,1,8)表示從 1 開始到 8 步長為 1-n 1表示每個地址只發(fā)一個 ICMP 報文省時間。這個腳本最適合做 VLAN 劃分前后的連通性對比VLAN 劃分前八臺全通劃分后只有同一 VLAN 的組內(nèi)通差異直接擺在屏幕上。第三個習(xí)慣也是我做這個實驗最大的收獲抓包一定要先開抓包再發(fā)流量。很多人看到抓不到包就懷疑配置不對折騰半天才發(fā)現(xiàn)是先發(fā)的 pingWireshark 沒抓到早已過去的報文。抓包工具不是黑匣子它只能抓啟動之后流經(jīng)端口的流量啟動時機比過濾器設(shè)置更重要。做完這個實驗?zāi)銜l(fā)現(xiàn)VLAN 隔離不是玄學(xué)而是端口、標簽規(guī)則和轉(zhuǎn)發(fā)路徑共同作用的結(jié)果。從那以后我每次在真機上配跨交換機 VLAN都會強制走一遍配置 → display port vlan → 逐組 ping → 抓包驗證的流程一個環(huán)節(jié)都不跳。這套流程幫我避開了好幾次生產(chǎn)環(huán)境里的低級失誤希望也幫到你。本文還有配套的精品資源點擊獲取