VLAN與Trunk技術這個詞很多剛接觸網絡的朋友都會覺得有點虛。說白了VLAN就是在一臺交換機上把一個大的二層廣播域切成多個小房間Trunk就是在這臺交換機和另一臺交換機之間拉一根管子把這幾個小房間的流量都搬到對面去。這篇文章不打算抄教材我想按實際項目里“從設計到落地再到排障”的順序把VLAN和Trunk掰開揉碎講一遍適合剛入門想搞懂二層交換原理的人也適合那些配過交換機但遇到VLAN不通就頭大的運維同學。1. VLAN與Trunk的整體設計思路1.1 先搞明白VLAN到底在解決什么問題VLANVirtual Local Area Network虛擬局域網這個詞翻譯成“虛擬局域網”其實挺容易讓人誤解好像跟“虛擬化”有什么關系。實際上它解決的是一個很實在的痛點二層廣播域太大。在一個沒有任何隔離的交換網絡里所有接在交換機上的設備都在同一個廣播域。但凡有一臺設備發(fā)出ARP廣播去找網關整個廣播域的設備都要收一遍。如果業(yè)務網段和數(shù)據(jù)網段混在一起廣播報文滿天飛網絡稍大一點就開始卡頓。更麻煩的是二層網絡里如果出現(xiàn)了環(huán)路廣播幀會在交換機之間反復轉發(fā)直接打滿交換機CPU整個網絡癱瘓。我見過不止一次因為設備接錯口導致廣播風暴的情況那種全員斷網的酸爽經歷過的人都懂。VLAN的做法就是在一臺交換機上把端口劃分到不同的廣播域里。從主機的角度看它感知不到VLAN的存在它只知道自己的網卡連了一根網線但交換機會根據(jù)端口所屬的VLAN來決定幀往哪里轉發(fā)。VLAN 10里的廣播只會到達VLAN 10的端口不會干擾VLAN 20。不同VLAN之間默認是二層隔離的。這個“邏輯隔離”的思路非常關鍵。它不需要額外的物理設備不用重新拉線改一下交換機配置就能把原來的一個大網切成多個小房間。每個小房間就是一個小廣播域廣播被限制在房間內部性能和安全都上來了。這也是VLAN能成為所有交換機基本功的原因。1.2 Trunk是給一條物理鏈路“開多條通道”VLAN解決了隔離問題但新的問題馬上出現(xiàn)公司里有十幾臺交換機不同交換機上的設備如果屬于同一個VLAN它們之間怎么通信舉個例子你的工位在二樓接入交換機是A同事的工位在三樓接入交換機是B。你們兩個都屬于研發(fā)部都在VLAN 10。A和B之間只有一根網線連著這根網線上要跑VLAN 10的流量可能還要同時跑財務的VLAN 20和管理員VLAN 99的流量。一根線怎么區(qū)分這些不同的流量答案就是給每個幀“打標簽”。Trunk端口在發(fā)送某個VLAN的幀時會在以太網幀頭里插入一個4字節(jié)的標簽里面用12個比特記錄這個幀屬于哪個VLAN。接收端交換機一看標簽里的VLAN號就知道該把這個幀丟到哪個廣播域去處理。所以Trunk的定義可以理解為一條可以承載多個VLAN流量、并且通過標簽來區(qū)分幀所屬VLAN的鏈路。它通常用于交換機與交換機之間或者交換機與路由器之間。相對于一個端口只屬于一個VLAN的Access口Trunk口更像是“多條虛擬線路的集合體”。還記得我第一次配Trunk的時候就簡單把它當成“把鏈路兩端的口都設成Trunk”就完事了。后來才發(fā)現(xiàn)完全不是這樣Trunk口的放行列表、native VLAN、標簽處理規(guī)則哪個沒想清楚都會出問題。這部分后面細說。1.3 為什么說VLAN和Trunk必須一起設計很多人學這兩個概念是分開學的覺得一個是劃分邏輯隔離域一個是鏈路封裝協(xié)議各學各的。但在實際項目里這兩個東西從來都是綁定在一起設計的。你劃分VLAN的邊界在哪Trunk鏈路口就要把哪些VLAN放行過去。VLAN劃分決定了部門之間、網段之間的訪問控制粒度Trunk決定了這些隔離后的流量能不能跨設備自由流動。設計一個網絡時VLAN的規(guī)劃表要跟物理拓撲圖放在一起看哪個口屬于哪個VLAN哪條鏈路要Trunk哪些VLAN全得揉在一起考慮。舉個例子某公司的接入層只有兩臺交換機每臺交換機下面接了幾十個終端。如果只是把研發(fā)放VLAN 10、財務放VLAN 20但中間Trunk上沒有放行業(yè)務那兩棟樓里的研發(fā)同事之間根本ping不通。反過來如果Trunk把全部VLAN都放行了本來想隔離的兩個部門又會互相可見。所以要真正掌控網絡就得把VLAN規(guī)劃和Trunk設計當成一個整體來做這也是本文后面實操部分想重點講清楚的事情。2. 核心細節(jié)解析與實操要點2.1 VLAN ID的分配與規(guī)劃VLAN 1要慎用VLAN ID一共12個比特范圍從0到4095但真正能用的只有1到4094。其中VLAN 0和4095是保留的VLAN 1002到1005是給令牌環(huán)、FDDI這些老古董用的。如果手動創(chuàng)建VLAN時用了一個超出范圍的ID交換機會直接報錯這一點新手要注意。日常規(guī)劃上最常見也最穩(wěn)妥的做法是VLAN 1留給管理用或者干脆不用業(yè)務VLAN從10、20、30開始按部門或用途遞增。為什么不要把所有東西都堆在VLAN 1很現(xiàn)實的原因VLAN 1是交換機的默認VLAN所有端口默認都在VLAN 1里。如果不加區(qū)分地使用等于默認把所有設備放進了同一個廣播域跟沒做VLAN沒區(qū)別。另外不少默認配置和協(xié)議報文都跟VLAN 1有關把業(yè)務流量放進去容易出幺蛾子。我自己習慣的規(guī)劃是這樣VLAN 10放辦公終端VLAN 20放服務器VLAN 99放設備管理。每個VLAN對應一個網段網關在三層交換機上。規(guī)劃前先把未來幾年會有多少臺設備、會不會擴容想清楚留出足夠的VLAN編號空間別到時候編號用滿了再改配置那絕對是災難。2.2 Access口和Trunk口的轉發(fā)邏輯用一張表說清楚很多人分不清Access口和Trunk口的區(qū)別其實它們的區(qū)別不在物理形態(tài)而在對“帶標簽幀”和“不帶標簽幀”的處理策略上。Access口屬于某一個VLAN。它收到不帶標簽的幀會打上自己所屬VLAN的標簽收到帶標簽的幀如果標簽就是這個VLAN就接收否則直接丟棄。它往外發(fā)包時會把標簽剝掉以普通以太網幀形式發(fā)給終端。所以Access口連接的是那類“不懂VLAN標簽”的設備電腦、打印機、IP電話等。Trunk口則不同。它默認承載多個VLAN發(fā)送幀時可以帶標簽也可以不帶標簽這個取決于是不是native VLAN。它收到帶標簽的幀只有在放行列表里才接收收到不帶標簽的幀會按native VLAN來收。所謂native VLAN就是這條Trunk鏈路上不用打標簽的那個VLAN兩端必須保持一致否則就會出問題。我把兩者的區(qū)別整理成了一張表方便對照理解端口類型收到不帶標簽幀收到帶標簽幀發(fā)送幀時的標簽典型用途Access打上PVID對應的VLAN標簽并接收標簽等于PVID則接收否則丟棄剝離標簽后發(fā)送連接終端設備Trunk按native VLAN默認VLAN 1接收放行列表中存在則接收否則丟棄非native VLAN打標簽native VLAN不打標簽交換機之間互聯(lián)這里有個特別容易踩的坑Trunk的native VLAN如果兩端不一致兩邊設備之間的標簽處理邏輯就會錯亂輕則某一個VLAN通信異常重則整個Trunk鏈路都不穩(wěn)定。這個在后面的排障部分我會結合案例細講。2.3 802.1Q標簽并不是“改了幀頭”而是“插了一段說明”既然Trunk要用標簽來區(qū)分VLAN那標簽到底加在幀的哪個位置、格式是什么值得花幾分鐘講清楚。普通以太網幀的結構是目的MAC6字節(jié)、源MAC6字節(jié)、類型/長度字段2字節(jié)、載荷。802.1Q在這個基礎上往類型/長度字段前面插入了4個字節(jié)的標簽。插入的4字節(jié)包括兩段內容前2個字節(jié)是TPIDTag Protocol Identifier固定為0x8100表示這是802.1Q標簽后2個字節(jié)是TCITag Control Information里面又拆成幾個部分PCP占3個比特用于優(yōu)先級0到7DEI占1個比特VID占12個比特用于存VLAN ID。為什么要在幀里插入這么一段因為交換機在Trunk口上轉發(fā)幀的時候本質上是看不懂業(yè)務數(shù)據(jù)內容的它只關心這個幀屬于哪個VLAN所以把VLAN號寫成一個數(shù)字塞在顯眼的位置轉發(fā)時可以單獨提取。有個細節(jié)平時經常被忽略以太網幀的最大長度是1518字節(jié)加了4字節(jié)標簽后就變成了1522字節(jié)。很多老舊的抓包工具或者網卡如果不支持接收大幀抓到的帶標簽幀就會被認為是異常幀。另外交換機內部轉發(fā)時這個4字節(jié)標簽始終存在發(fā)到Access口外的時候才剝掉。也就是說標簽是只在網絡設備之間傳遞的“內部說明”終端是看不見的。這一點對理解抓包結果特別有用。3. 實操過程與核心環(huán)節(jié)實現(xiàn)3.1 一個能跑通的小型組網示例空談概念太虛咱們直接以一個常見的小型園區(qū)網絡為例把VLAN和Trunk從頭到尾配一遍。假設現(xiàn)在有兩臺接入交換機Switch A和Switch B接到一臺核心交換機。A下面接了研發(fā)部的幾臺電腦B下面接了財務部的幾臺電腦。我打算把研發(fā)部劃到VLAN 10網段192.168.10.0/24財務部劃到VLAN 20網段192.168.20.0/24設備管理放VLAN 99網段192.168.99.0/24。A和B分別通過一條Trunk鏈路接到核心交換機上核心交換機上再做VLAN間路由讓研發(fā)和財務可以按策略互相訪問。位置設備端口所屬VLAN說明接入層ASwitch AG0/0/1-G0/0/10VLAN 10研發(fā)終端接入層ASwitch AG0/0/24Trunk上聯(lián)核心接入層BSwitch BG0/0/1-G0/0/8VLAN 20財務終端接入層BSwitch BG0/0/24Trunk上聯(lián)核心核心層Core Switch對應接口Trunk/VLAN間路由三層網關這是一個非常典型的“二層接入、三層匯聚”結構。接入交換機只做VLAN劃分和Trunk透傳核心交換機既做二層中繼又承擔三層網關職責。3.2 從零開始的配置步驟我以主流企業(yè)級交換機為例講講關鍵配置思路。不同廠商的命令風格略有不同但原理完全一致。第一步在接入交換機上創(chuàng)建VLAN。假設我們登錄的是Switch A。vlan batch 10 20 99這條命令一次性創(chuàng)建了三個VLAN。實際上如果只有研發(fā)終端接在A上A上只需要VLAN 10和99但為了方便后續(xù)擴展先統(tǒng)一創(chuàng)建也沒問題。第二步把連接研發(fā)終端的端口配成Access口并劃入VLAN 10。interface GigabitEthernet 0/0/1 port link-type access port default vlan 10這里有個習慣要說一下大多數(shù)交換機端口默認是Access口默認屬于VLAN 1。我這邊習慣把鏈路類型顯式寫出來避免因為默認配置不同造成后續(xù)排查困難。每個終端端口都這么配只是VLAN號不同而已。第三步配置上聯(lián)口為Trunk口。interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 99這條命令的關鍵在于“允許通過的VLAN列表”。默認情況下Trunk口只放行VLAN 1其他VLAN即使創(chuàng)建了也不會通過。所以如果忘了執(zhí)行allow-pass業(yè)務流量是傳不過去的。我見過不少新手配Trunk時只改了link-type忘了加放行列表結果兩邊的VLAN 10完全不通配置文件刷了好幾遍都找不到原因。Switch B的配置思路完全一樣只是終端口劃到VLAN 20。第四步配置核心交換機。核心交換機與接入交換機相連的口也要設成Trunk放行同樣的VLAN。然后給VLAN接口配上IP地址啟用三層網關功能。interface Vlanif10 ip address 192.168.10.254 255.255.255.0interface Vlanif20 ip address 192.168.20.254 255.255.255.0到這里VLAN 10和VLAN 20的設備通過網關就能跨VLAN通信了。如果用的是外置路由器而不是三層交換機那就得在路由器上配子接口也就是常說的單臂路由原理一樣只是把網關挪到了路由器上。3.3 配置完成后的驗證動作別偷懶配置完不是結束驗證才是重頭戲。我每次配置完都會按順序做幾個檢查。第一步查看VLAN信息確認端口和VLAN的對應關系正確。display vlan這個命令能看到所有VLAN的ID、名稱、端口成員。如果某個端口沒有出現(xiàn)在預期VLAN下說明端口沒劃進去。第二步查看Trunk口的放行狀態(tài)。display interface GigabitEthernet 0/0/24重點看端口類型是否真的是Trunk放行VLAN列表是否包含所有業(yè)務VLAN以及native VLAN是幾。第三步用兩臺終端的IP做連通性測試。從一臺接在VLAN 10的電腦ping另一臺VLAN 10的電腦通的話說明二層VLAN隔離和轉發(fā)正常再從研發(fā)的電腦ping財務的網關192.168.20.254通的話說明三層路由也起來了。抓包驗證的時候在核心交換機Trunk口上抓能看到帶802.1Q標簽的幀里面的VID字段會明確標出10或20。能看到這個標簽說明標簽打剝邏輯是正常的。一個偷懶小技巧如果身邊沒有兩臺電腦可以直接用交換機上的兩個VLAN接口互相ping來驗證三層轉發(fā)能通就說明VLAN和路由配置基本沒問題。4. 常見問題與排查技巧實錄4.1 “VLAN不通”的排查順序VLAN和Trunk相關問題在我接觸的網絡故障里出現(xiàn)頻率相當高。我把最常見的幾種原因整理了一下?，F(xiàn)象可能原因排查方向同一交換機同VLAN設備ping不通端口沒劃入VLAN終端IP網段不對display vlan 查看端口歸屬跨交換機同VLAN ping不通Trunk沒有放行該VLANnative VLAN不一致查看Trunk放行列表和native配置帶標簽的幀能通但終端上不了網Access口發(fā)出去了帶標簽幀終端不支持檢查端口類型確認Access口會剝標簽某些VLAN時通時不通鏈路兩端Trunk放行列表不一致或物理鏈路不穩(wěn)定對比兩端配置檢查端口狀態(tài)三層VLAN間訪問失敗沒有配置VLAN網關或路由策略不允許檢查Vlanif接口和路由表排障的思路我是這樣堅持的先通物理再查二層最后看三層。物理層面先看端口Up/Down、光模塊收發(fā)光是否正常二層看VLAN劃分和Trunk放行列表三層再檢查網關、路由和防火墻策略。如果一上來就懷疑三層往往浪費時間。4.2 最容易忽略的三個“隱藏坑”排障排得多了有些坑是配置里根本看不出來的我想單獨拎出來講。第一個是native VLAN不一致。Trunk鏈路上native VLAN對應的流量是不打標簽的。如果A交換機把native VLAN配成了99B交換機還默認是1那么A發(fā)出來的管理流量在B那里會被當成VLAN 1的流量B發(fā)過來的無標簽幀在A那里又會被歸到VLAN 99。兩邊的認知完全不同出問題的時候特別詭異?，F(xiàn)在很多廠商已經允許修改native VLAN我建議要么統(tǒng)一保持默認VLAN 1要么在規(guī)劃階段就把所有Trunk兩端的native VLAN明確寫成同一個值寫進文檔里。第二個是Trunk放行列表被漏配。剛才實操部分已經提過Trunk默認只放行VLAN 1。所以給Trunk添加某個VLAN后一定要檢查是否放行。有一種很隱蔽的情況配置人員用放行全部VLAN的方式來圖省事結果所有VLAN都透傳過去了跟當初做的隔離規(guī)劃完全相反。這種問題在審計網絡策略時才會被發(fā)現(xiàn)。第三個是接入交換機的VLAN范圍限制。有些低端接入交換機默認只有部分VLAN ID可以通過Trunk超過范圍的VLAN需要額外開啟擴展功能。如果你發(fā)現(xiàn)配置都對但某個VLAN就是不通查一下交換機型號和VLAN范圍限制往往答案就在這里。4.3 讓排障更高效的兩個習慣最后分享兩個讓日常維護輕松不少的好習慣。一是給端口做描述。不管是Access口還是Trunk口都寫上連接對端和VLAN用途比如“Trunk-to-Core-Allow-10-20-99”。這樣排障時不用翻文檔一看配置就知道這根線是干嘛的省下大量時間。團隊協(xié)作時尤其重要別人接手你的配置也不會一臉懵。二是定期備份配置并整理文檔。VLAN架構這東西時間一長就很難有人說得清當年為什么這么劃。我見過一個項目某公司核心交換機上幾十個VLAN沒人知道哪些是廢棄的哪些還在用。后來我們按端口和VLAN用途整理了一張總表把Trunk放行列表和native VLAN也標上去后面無論擴容還是排障有了這份地圖都從容得多。從個人經驗來說VLAN和Trunk看起來是基礎中的基礎但恰恰是這些基礎能力決定了你在一個大型網絡里能不能穩(wěn)得住。把這些細節(jié)想透了再看更復雜的VXLAN這些技術會發(fā)現(xiàn)底層邏輯是相通的。最后再說一個小技巧配Trunk之前先在紙上把兩端的VLAN規(guī)劃、native VLAN、放行列表畫出來再動手敲命令出錯率會直線下降。希望對你有用。