划分vlan详细步骤,VLAN 划分步骤

题图来自Unsplash，基于CC0协议

导读

VLAN技术是现代网络中至关重要的组成部分，它允许我们将一个物理网络划分为多个逻辑独立的广播域，从而提高网络性能、安全性和管理效率。在交换机上正确地划分VLAN，是构建这些逻辑网络的关键步骤。虽然不同品牌和型号的交换机配置界面（Console/Telnet/SSH/Web界面/命令行）和具体命令可能有所不同，但核心步骤通常遵循以下逻辑：

首先，明确划分VLAN的目的和标准。常见的划分标准包括：

• 基于物理位置（房间号、楼层）
• 基于部门或工作组（财务部、研发部、Marketing部）
• 基于功能或应用程序（服务器、工作站、打印机、IP电话）
• 基于安全需求（DMZ区域、敏感数据区域）
• 基于IP子网（通常推荐的方式）

完成规划后，下一步就是进行配置。一般需要访问到交换机的管理界面。常见的方法包括：

• 直接通过控制台端口连接。
• 远程登录（Telnet或SSH，取决于交换机设置）。
• 通过Web管理界面（如果交换机支持且已开启）。
• 发送配置文件。

进入交换机的配置模式后，主要会进行以下步骤：

这里的“在接口上”通常指的是接口模式。在接口模式下可以配置很多接口相关属性，比如如何加入VLAN，这是VLAN最关键的一个操作。例如，将接口配置为access模式并加入特定VLAN，或者trunk模式允许经过多个VLAN的流量。

创建访问接口属于的是Access端口，即只属于一个VLAN的端口。例如，将若干用于连接终端设备的接口配置为只属于“VLAN 10”（例如连接财务部电脑），另一个接口配置为只属于“VLAN 20”（例如连接市场部电脑）。所有的交换机端口都需要配置为Access或Trunk模式，无法不配置。

有些交换机也支持基于802.1x认证进行VLAN划分，或者基于IP地址（通过IP Source Guard或使用第二层协议如GVRP等的简化方式），但这通常比基于MAC地址或接口方式更复杂。基于接口的方法是VLAN划分最常用和最基础的方式。

创建VLAN后，通常需要将交换机上的端口（接口）分配给相应的VLAN。这可以通过在接口配置模式下进行。

将创建好的VLAN应用到主干链路，确保不同VLAN之间通过Trunk链路跨交换机连接和通信，同时将不必要的广播流量隔离在单个VLAN内。

将物理接口重新定义为属于多个VLAN。这要求交换机支持中继功能，最高可以支持多少个VLAN（通常是256或更多）。例如，一条Trunk线缆连接到另一个交换机，可以传输包含VLAN10、VLAN20、VLAN50等多种标记信息。

一旦配置完成，并且网络服务（如DHCP、路由）可能需要为VLAN分配独立的子网和网关。如果VLAN较多，考虑VLAN管理。将交换机上的接口模式从默认的（通常是access）更改为trunk模式。

确认VLAN列表，以及每个接口所属哪个VLAN，并保存配置。如果不保存，重启交换机后配置通常会回退到出厂状态或不可用。例如，华为、思科等交换机使用wr或copy running-config startup-config命令保存配置。

VLAN划分也常用于控制IP广播域（例如，通过划分VLAN隔离网段，减少OSPF/BGP广播风暴），这也是VLAN划分的主要目的之一。可以考虑划分VLAN的命名，以便于管理和识别。一个简单的策略，如“按照标准先创建VLAN但不应用到线卡接口，并确认VLAN状态”，是值得推荐的。

为了避免骨干（Trunk）上允许不必要的其他VLAN（例如，可能的攻击或误配置访问点），或者VLAN ID使用的顺序混乱等，也会重复提及VLAN的创建命令。

遵循良好的设计原则，为每个VLAN设定唯一的IP子网，并且使用RIP、OSPF等路由协议来确保VLAN之间的路由可达（如果需要的话）。即使在同一交换上，良好的VLAN规划也涉及VLAN编号范围（通常1-1005/1006-10010为标准VLAN/扩展VLAN，具体看交换机类型）。

一个常见的场景是在所有vlan.dat文件未配置多层VLAN应用并将交换机恢复到初始状态，并确保新的配置能被隔离访问，是配置时容易忽略但关键的点。

每个步骤都可能需要反复验证，确保网络设备支持这些操作，并根据网络设备的限制来调整实施细节。通过上述七个核心步骤，你就可以在你的网络交换机上有效地创建和配置VLAN，将物理网络按照需求分割成有意义的逻辑网络段。