在实际网络工程中我们经常需要将一个物理网络在逻辑上划分为多个独立的广播域以实现安全隔离、流量控制和简化管理。VLANVirtual Local Area Network虚拟局域网技术正是实现这一目标的核心手段。而要让交换机能够识别和处理来自不同VLAN的数据帧VLAN标签VLAN Tag就扮演了至关重要的角色。理解VLAN标签的格式、工作原理及其在华为设备上的配置是掌握华为HCIA、HCIP乃至HCIE数通认证知识体系的基础。很多初学者在配置VLAN时常常混淆PVID和VLAN ID或者在跨交换机通信、三层交换路由时遇到问题其根源往往在于对VLAN标签的转发机制理解不透彻。本文将深入解析IEEE 802.1Q标准定义的VLAN标签结构阐述交换机接口对标签的添加、移除和识别过程并通过华为ENSP模拟器的实验演示如何配置基于接口、基于MAC地址等VLAN划分方式最终实现跨VLAN的三层通信。无论你是备考华为认证还是解决实际项目中的网络隔离与互通问题掌握VLAN标签的底层逻辑都是不可或缺的一步。1. 理解VLAN与VLAN标签的核心概念1.1 为什么需要VLAN从物理隔离到逻辑隔离在传统的局域网中所有设备都处于同一个广播域。这意味着任何一台设备发出的广播帧如ARP请求都会被同一网段内的所有其他设备接收到。随着网络规模扩大广播流量会急剧增加消耗大量带宽并可能引发广播风暴导致网络性能下降甚至瘫痪。此外将所有设备置于同一网段也带来了严重的安全和管理问题例如财务部门的流量可能被研发部门的主机嗅探到。物理隔离使用多台独立的交换机可以解决广播和安全问题但成本高昂且不灵活。VLAN技术应运而生它允许网络管理员在一台或多台物理交换机上创建多个逻辑上独立的局域网。每个VLAN都是一个独立的广播域和IP子网。VLAN内的设备可以相互通信而不同VLAN间的设备在二层数据链路层是隔离的通信必须经过三层设备路由器或三层交换机进行路由。1.2 VLAN标签数据帧的“身份证”交换机如何知道一个数据帧属于哪个VLAN呢这就是VLAN标签的作用。它是一种添加到标准以太网帧头部的标识字段遵循IEEE 802.1Q协议标准。一个没有VLAN标签的帧被称为“Untagged帧”或“普通以太网帧”。当交换机需要标记一个帧的VLAN归属时就会在源MAC地址字段和类型/长度字段之间插入一个4字节32位的802.1Q标签。这个标签就像是给数据帧贴上了一张写明其所属VLAN ID的“身份证”交换机根据这个ID来决定如何转发该帧。关键点VLAN标签是在数据帧穿越交换机网络时由交换机添加和处理的。对于终端设备如PC、服务器而言它们通常发送和接收的都是不带标签的普通帧除非网卡支持并配置了VLAN如服务器网卡配VLAN的场景。因此VLAN的“标记”和“去标记”过程主要发生在交换机的端口上。1.3 802.1Q标签的详细结构理解标签结构有助于后续理解PVID、Native VLAN等概念。一个802.1Q标签包含以下字段TPIDTag Protocol Identifier标签协议标识符2字节固定值0x8100用于标识这是一个带有802.1Q标签的帧。TCITag Control Information标签控制信息2字节包含以下子字段Priority3位用于定义帧的优先级0-7应用于QoS服务质量。CFICanonical Format Indicator规范格式指示位1位在以太网中通常为0。VLAN ID12位这是标签的核心部分用于标识VLAN的编号。取值范围为1-40940和4095保留。这是我们配置时最常打交道的数字。当交换机插入标签后帧的总长度会增加4字节但上层协议如IP感知不到这个变化。2. 交换机接口类型与VLAN标签处理行为交换机的接口端口根据其对VLAN标签的处理方式主要分为三种类型Access、Trunk和Hybrid。这是华为认证考试和实际配置中的重点和难点。2.1 Access接口连接终端设备的“单车道”Access接口通常用于连接不需要识别VLAN标签的终端设备如PC、打印机、服务器普通模式。接收方向Receiving收到一个Untagged帧交换机会给这个帧打上该Access接口的PVIDPort VLAN ID端口默认VLAN ID作为VLAN标签。收到一个Tagged帧默认情况下交换机会直接丢弃该帧。因为Access接口预期只接收来自终端的无标签帧。发送方向Sending在将帧发送出去之前交换机会检查帧的VLAN ID是否与该接口的PVID相同。如果相同则剥离Remove该帧的VLAN标签将其变为Untagged帧再发送出去。如果不同理论上在Access接口不应该发生则丢弃。配置示例将接口GigabitEthernet 0/0/1配置为Access类型并划入VLAN 10。[SW] interface GigabitEthernet 0/0/1 [SW-GigabitEthernet0/0/1] port link-type access [SW-GigabitEthernet0/0/1] port default vlan 10执行以上命令后该接口的PVID就被设置为10。连接在此接口的PC发送的帧进入交换机后会被标记为VLAN 10交换机发往该PC的VLAN 10的帧在出接口时会被去掉标签。2.2 Trunk接口连接交换机之间的“多车道高速公路”Trunk接口用于交换机之间的互联允许承载多个VLAN的流量。接收方向收到Untagged帧打上该Trunk接口的PVID默认是VLAN 1作为标签。收到Tagged帧检查该帧的VLAN ID是否在接口允许通过的VLAN列表中由port trunk allow-pass vlan命令控制。如果在则接收并处理如果不在则丢弃。发送方向在发送帧时检查帧的VLAN ID。如果VLAN ID等于该Trunk接口的PVID则剥离标签后发送Untagged。如果VLAN ID不等于PVID但在允许通过的VLAN列表中则携带标签发送Tagged。如果VLAN ID不在允许列表中则丢弃。这里引出了一个重要概念Native VLAN本征VLAN。在华为设备中Trunk接口的PVID对应的VLAN就是该接口的Native VLAN。Native VLAN的流量在Trunk链路上以Untagged形式传输这是为了兼容一些不理解802.1Q标签的老式网络设备。配置示例将接口GigabitEthernet 0/0/24配置为Trunk类型允许VLAN 10, 20, 30通过并设置Native VLAN为VLAN 1默认。[SW] interface GigabitEthernet 0/0/24 [SW-GigabitEthernet0/0/24] port link-type trunk [SW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30 # 如果需要修改Native VLAN例如改为VLAN 99 [SW-GigabitEthernet0/0/24] port trunk pvid vlan 992.3 Hybrid接口灵活可控的“智能车道”Hybrid接口是华为设备的特色接口类型它兼具Access和Trunk接口的特点可以灵活地控制哪些VLAN的流量带标签发送哪些不带标签发送。接收方向处理逻辑与Trunk接口类似。对Untagged帧打上PVID标签对Tagged帧检查VLAN ID是否在接口允许通过的VLAN列表中port hybrid tagged/untagged vlan命令指定。发送方向这是Hybrid接口灵活性的体现。管理员可以针对每个VLAN单独指定其出接口时是“带标签”tagged还是“不带标签”untagged。port hybrid tagged vlan指定这些VLAN的帧以Tagged形式发送。port hybrid untagged vlan指定这些VLAN的帧以Untagged形式发送。Hybrid接口常用于连接需要识别多个VLAN的服务器服务器网卡配VLAN或一些特殊的网络设备。配置示例将接口GigabitEthernet 0/0/1配置为Hybrid类型。该接口连接一台服务器服务器需要以Tagged形式接收VLAN 10和20的流量同时以Untagged形式接收VLAN 30的流量服务器网卡只配一个IP属于VLAN 30。[SW] interface GigabitEthernet 0/0/1 [SW-GigabitEthernet0/0/1] port link-type hybrid [SW-GigabitEthernet0/0/1] port hybrid pvid vlan 30 [SW-GigabitEthernet0/0/1] port hybrid untagged vlan 30 [SW-GigabitEthernet0/0/1] port hybrid tagged vlan 10 20这样配置后从该接口发出的VLAN 10和20的帧带标签VLAN 30的帧不带标签。服务器网卡需要配置支持802.1Q并创建VLAN 10和20的虚拟接口。2.4 PVID与VLAN ID的区别与联系这是常见的困惑点通过下表可以清晰区分特性PVID (Port VLAN ID)VLAN ID (在802.1Q标签中)定义端口的属性表示端口默认所属的VLAN。数据帧的属性表示该帧所属的VLAN。作用对象交换机端口。流经网络的数据帧。何时使用当端口收到一个Untagged帧时交换机用端口的PVID给该帧打标签。当端口发送帧时用于判断是否剥离标签Trunk/Hybrid接口。交换机根据帧内的VLAN ID来查询MAC地址表决定将其从哪些属于该VLAN的端口转发出去。配置命令Access:port default vlan idTrunk:port trunk pvid vlan idHybrid:port hybrid pvid vlan id在创建VLAN时定义vlan id。数据帧的VLAN ID由入端口的PVID对Untagged帧或帧自身携带的标签决定。关系PVID决定了入方向Untagged帧的初始VLAN ID。一个端口只有一个PVID。一个端口可以允许多个VLAN ID的帧通过Trunk/Hybrid。数据帧的VLAN ID决定了它的转发路径。简单记忆PVID是端口的“默认值”VLAN ID是数据帧的“当前值”。端口用PVID给无标签的帧赋“初始值”然后根据帧的“当前值”VLAN ID进行转发。3. 实验使用ENSP实现跨交换机的VLAN通信我们通过华为ENSP模拟器搭建一个典型的两层网络拓扑来实践VLAN的配置和标签的流转过程。3.1 实验拓扑与目标拓扑两台交换机SW1和SW2通过G0/0/24口相连。SW1的G0/0/1口连接PC1VLAN10G0/0/2口连接PC2VLAN20。SW2的G0/0/1口连接PC3VLAN10G0/0/2口连接PC4VLAN20。 目标实现同VLANPC1与PC3PC2与PC4可以互通不同VLANPC1与PC2/PC4不能互通。3.2 基础配置步骤第一步在SW1和SW2上创建VLAN# 在SW1上操作 SW1 system-view [SW1] vlan batch 10 20vlan batch命令用于批量创建VLAN。第二步配置SW1连接PC的接口为Access并加入对应VLAN[SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20第三步配置SW1与SW2互联的接口为Trunk并允许VLAN 10和20通过[SW1] interface GigabitEthernet 0/0/24 [SW1-GigabitEthernet0/0/24] port link-type trunk [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20默认Trunk接口的PVID是VLAN 1由于我们的业务VLAN是10和20所以VLAN 1的帧会以Untagged形式传输但这不影响实验。第四步在SW2上重复第二步和第三步的配置配置逻辑完全相同将G0/0/1加入VLAN 10G0/0/2加入VLAN 20互联口G0/0/24配置为Trunk并放通VLAN 10和20。第五步配置PC的IP地址PC1: 192.168.10.1/24PC2: 192.168.20.1/24PC3: 192.168.10.2/24PC4: 192.168.20.2/243.3 数据流分析与验证PC1 ping PC3 (同VLAN通信)PC1发送一个目标IP为192.168.10.2的ICMP请求封装成目标MAC为未知的以太网帧需要ARP我们先看单播帧这是一个Untagged帧。帧到达SW1的G0/0/1口AccessPVID10。SW1给该帧打上VLAN 10的标签。SW1查询MAC地址表发现去往PC3的路径需要通过G0/0/24口Trunk且VLAN 10在允许列表中。SW1检查出接口G0/0/24的PVIDVLAN 1与帧的VLAN ID10不同因此保留标签将带有VLAN 10标签的帧从G0/0/24发出。SW2从G0/0/24口收到一个Tagged帧VLAN ID10。检查VLAN 10在允许列表中接收该帧。SW2查询MAC地址表发现去往PC3需要从G0/0/1口AccessPVID10转发。在从G0/0/1口发出前SW2检查帧的VLAN ID10与端口的PVID10相同于是剥离标签将Untagged帧发送给PC3。PC3回复流程对称。通信成功。PC1 ping PC2 (不同VLAN通信)PC1发送的Untagged帧进入SW1后被打上VLAN 10标签。SW1查询MAC地址表发现没有在VLAN 10中找到去往PC2属于VLAN 20的路径。二层交换机不会将VLAN 10的帧转发到属于VLAN 20的端口。因此即使PC1和PC2连接在同一台交换机上由于处于不同VLAN二层通信被阻断。ping失败。验证命令在交换机上查看VLAN信息display vlan查看接口的VLAN类型和状态display port vlan查看MAC地址表特别注意VLAN列display mac-address4. 实现VLAN间通信三层交换与VLANIF接口上述实验实现了二层隔离。如果想让VLAN 10和VLAN 20的设备相互通信就需要引入三层网络层路由功能。这可以通过路由器或三层交换机实现。三层交换机通过VLANIF接口逻辑三层接口为每个VLAN提供网关。4.1 配置三层交换机路由功能假设SW1是一台三层交换机如S5735系列我们在其基础上进行配置。第一步创建VLAN并配置Access接口同上第二步创建VLANIF接口并配置IP地址作为各VLAN的网关[SW1] interface Vlanif 10 [SW1-Vlanif10] ip address 192.168.10.254 24 [SW1-Vlanif10] quit [SW1] interface Vlanif 20 [SW1-Vlanif20] ip address 192.168.20.254 24此时SW1就具备了在VLAN 10和VLAN 20之间路由的能力。第三步修改PC的网关配置PC1和PC3的网关设置为192.168.10.254PC2和PC4的网关设置为192.168.20.2544.2 VLAN间通信流程分析PC1 ping PC2PC1192.168.10.1判断目标PC2192.168.20.1与自己不在同一网段于是将数据包发往自己的网关192.168.10.254。PC1发送目标MAC为VLANIF 10接口MAC地址的ARP请求广播SW1回复后PC1封装帧目标MAC是SW1的VLANIF 10 MAC。该Untagged帧进入SW1的G0/0/1口被打上VLAN 10标签。SW1作为三层交换机收到这个目标是自身VLANIF 10接口MAC的帧上交到三层处理。SW1解封装数据包查看目标IP是192.168.20.1。它查询路由表发现192.168.20.0/24网段直连在VLANIF 20上。SW1需要将数据包从VLAN 20转发出去。它首先需要知道PC2的MAC地址于是通过VLANIF 20接口发送ARP请求在VLAN 20内广播。PC2回复ARPSW1获得PC2的MAC地址。SW1重新封装数据包源MAC改为VLANIF 20的MAC目标MAC改为PC2的MAC并将该帧打上VLAN 20的标签。SW1查询MAC地址表将带有VLAN 20标签的帧从G0/0/2口AccessPVID20转发出去在出接口前剥离标签PC2收到Untagged帧。PC2回复流程对称。至此VLAN间通信完成。关键点数据包在穿越三层交换机时VLAN标签发生了改变从VLAN 10变为VLAN 20源/目的MAC地址也发生了改变。这体现了三层路由的特征。5. 常见问题排查与配置要点在实际配置和华为认证考试中以下几个问题是高频故障点。5.1 同VLAN内主机无法通信问题现象可能原因检查命令与排查思路解决方案同一交换机上同VLAN主机ping不通。1. 主机IP地址或子网掩码配置错误。2. 交换机端口未正确加入VLAN。3. 端口被shutdown。4. 主机防火墙阻止。1.display ip interface brief查看端口状态。2.display port vlan确认端口链路类型和VLAN信息。3.display vlan确认VLAN已创建且端口在Active状态。4. 检查主机IP配置。1. 修正IP配置。2. 使用port link-type access和port default vlan id正确配置。3. 使用undo shutdown开启端口。跨交换机同VLAN主机ping不通。1. 互联链路未配置为Trunk或Hybrid。2. Trunk接口未允许该VLAN通过。3. 两端Trunk接口的PVIDNative VLAN不一致导致VLAN 1或其他Native VLAN的帧被错误处理。1. 在两端互联接口执行display this检查port link-type。2. 检查port trunk allow-pass vlan列表是否包含业务VLAN。3. 检查两端port trunk pvid vlan是否一致。1. 将互联接口改为Trunkport link-type trunk。2. 放行业务VLANport trunk allow-pass vlan id_list。3. 确保两端Native VLAN一致或避免使用Native VLAN传输业务。5.2 VLAN间无法通信问题现象可能原因检查命令与排查思路解决方案配置了VLANIF但不同VLAN主机仍无法ping通。1. VLANIF接口IP地址配置错误或未启用。2. 主机网关指向错误。3. 三层交换机的IP路由功能未开启默认开启。4. ACL或防火墙策略拦截。1.display ip interface brief查看Vlanif接口状态和IP。2.display ip routing-table查看是否有到达目标网段的路由应为直连。3. 检查主机网关配置。1. 正确配置Vlanif接口IP并undo shutdown。2. 修正主机网关地址。3. 确认路由表存在目标网段路由。5.3 关于华为交换机SSH认证失败的延伸问题热搜词中提到了“华为s5735远程连接ssh提示认证失败”。虽然这不直接是VLAN问题但属于设备管理常见故障。可能原因包括未生成RSA密钥对SSH服务依赖密钥。使用rsa local-key-pair create生成。未启用SSH服务stelnet server enable。未配置SSH用户和认证方式ssh user username authentication-type password并ssh user username service-type stelnet。VLAN接口IP配置或路由问题确保管理VLAN的VLANIF接口配置了IP并且网络可达。ACL限制检查是否配置了只允许特定IP通过Telnet/SSH的ACL。5.4 配置清单与最佳实践在进行VLAN配置前建议遵循以下清单规划清晰提前规划好VLAN ID、IP网段、网关地址、接口类型。先创建VLAN使用vlan batch批量创建所需VLAN。配置接入层连接终端的端口配置为Access并port default vlan。配置汇聚/核心层交换机间互联端口配置为Trunk并使用port trunk allow-pass vlan精确放行业务VLAN避免使用默认的all。建议显式配置一致的Native VLAN非业务VLAN如4094。配置三层网关在三层交换机上为每个VLAN创建VLANIF接口并配置IP地址。验证display vlan验证VLAN和端口映射。display port vlan验证接口类型和PVID。在同VLAN内主机间ping测试二层连通性。在不同VLAN主机间ping测试三层路由。文档化记录VLAN规划表和端口配置表便于后续维护和排错。理解VLAN标签是掌握现代交换网络的基础。从数据帧进入交换机端口时被打上PVID标签到在Trunk链路上携带标签传输最后在到达目标接入端口前被剥离标签整个过程体现了二层网络逻辑隔离的精髓。而通过三层交换或路由器实现VLAN间通信则完成了从二层到三层的跨越。在华为网络设备上熟练运用Access、Trunk、Hybrid接口类型以及VLANIF接口是构建稳定、可控、易维护的网络架构的关键技能。在更复杂的场景中如MUX VLAN、QinQ、与生成树协议配合等对VLAN标签的理解将更加重要。建议在学习理论后多在ENSP等模拟环境中进行实验观察数据包的流转从而形成深刻且实用的认知。 
长河君 · 2026/8/7 13:04:37 · 阅读 1.2k 华为交换机VLAN标签原理与配置实战：从802.1Q到三层通信
在实际网络工程中我们经常需要将一个物理网络在逻辑上划分为多个独立的广播域以实现安全隔离、流量控制和简化管理。VLANVirtual Local Area Network虚拟局域网技术正是实现这一目标的核心手段。而要让交换机能够识别和处理来自不同VLAN的数据帧VLAN标签VLAN Tag就扮演了至关重要的角色。理解VLAN标签的格式、工作原理及其在华为设备上的配置是掌握华为HCIA、HCIP乃至HCIE数通认证知识体系的基础。很多初学者在配置VLAN时常常混淆PVID和VLAN ID或者在跨交换机通信、三层交换路由时遇到问题其根源往往在于对VLAN标签的转发机制理解不透彻。本文将深入解析IEEE 802.1Q标准定义的VLAN标签结构阐述交换机接口对标签的添加、移除和识别过程并通过华为ENSP模拟器的实验演示如何配置基于接口、基于MAC地址等VLAN划分方式最终实现跨VLAN的三层通信。无论你是备考华为认证还是解决实际项目中的网络隔离与互通问题掌握VLAN标签的底层逻辑都是不可或缺的一步。1. 理解VLAN与VLAN标签的核心概念1.1 为什么需要VLAN从物理隔离到逻辑隔离在传统的局域网中所有设备都处于同一个广播域。这意味着任何一台设备发出的广播帧如ARP请求都会被同一网段内的所有其他设备接收到。随着网络规模扩大广播流量会急剧增加消耗大量带宽并可能引发广播风暴导致网络性能下降甚至瘫痪。此外将所有设备置于同一网段也带来了严重的安全和管理问题例如财务部门的流量可能被研发部门的主机嗅探到。物理隔离使用多台独立的交换机可以解决广播和安全问题但成本高昂且不灵活。VLAN技术应运而生它允许网络管理员在一台或多台物理交换机上创建多个逻辑上独立的局域网。每个VLAN都是一个独立的广播域和IP子网。VLAN内的设备可以相互通信而不同VLAN间的设备在二层数据链路层是隔离的通信必须经过三层设备路由器或三层交换机进行路由。1.2 VLAN标签数据帧的“身份证”交换机如何知道一个数据帧属于哪个VLAN呢这就是VLAN标签的作用。它是一种添加到标准以太网帧头部的标识字段遵循IEEE 802.1Q协议标准。一个没有VLAN标签的帧被称为“Untagged帧”或“普通以太网帧”。当交换机需要标记一个帧的VLAN归属时就会在源MAC地址字段和类型/长度字段之间插入一个4字节32位的802.1Q标签。这个标签就像是给数据帧贴上了一张写明其所属VLAN ID的“身份证”交换机根据这个ID来决定如何转发该帧。关键点VLAN标签是在数据帧穿越交换机网络时由交换机添加和处理的。对于终端设备如PC、服务器而言它们通常发送和接收的都是不带标签的普通帧除非网卡支持并配置了VLAN如服务器网卡配VLAN的场景。因此VLAN的“标记”和“去标记”过程主要发生在交换机的端口上。1.3 802.1Q标签的详细结构理解标签结构有助于后续理解PVID、Native VLAN等概念。一个802.1Q标签包含以下字段TPIDTag Protocol Identifier标签协议标识符2字节固定值0x8100用于标识这是一个带有802.1Q标签的帧。TCITag Control Information标签控制信息2字节包含以下子字段Priority3位用于定义帧的优先级0-7应用于QoS服务质量。CFICanonical Format Indicator规范格式指示位1位在以太网中通常为0。VLAN ID12位这是标签的核心部分用于标识VLAN的编号。取值范围为1-40940和4095保留。这是我们配置时最常打交道的数字。当交换机插入标签后帧的总长度会增加4字节但上层协议如IP感知不到这个变化。2. 交换机接口类型与VLAN标签处理行为交换机的接口端口根据其对VLAN标签的处理方式主要分为三种类型Access、Trunk和Hybrid。这是华为认证考试和实际配置中的重点和难点。2.1 Access接口连接终端设备的“单车道”Access接口通常用于连接不需要识别VLAN标签的终端设备如PC、打印机、服务器普通模式。接收方向Receiving收到一个Untagged帧交换机会给这个帧打上该Access接口的PVIDPort VLAN ID端口默认VLAN ID作为VLAN标签。收到一个Tagged帧默认情况下交换机会直接丢弃该帧。因为Access接口预期只接收来自终端的无标签帧。发送方向Sending在将帧发送出去之前交换机会检查帧的VLAN ID是否与该接口的PVID相同。如果相同则剥离Remove该帧的VLAN标签将其变为Untagged帧再发送出去。如果不同理论上在Access接口不应该发生则丢弃。配置示例将接口GigabitEthernet 0/0/1配置为Access类型并划入VLAN 10。[SW] interface GigabitEthernet 0/0/1 [SW-GigabitEthernet0/0/1] port link-type access [SW-GigabitEthernet0/0/1] port default vlan 10执行以上命令后该接口的PVID就被设置为10。连接在此接口的PC发送的帧进入交换机后会被标记为VLAN 10交换机发往该PC的VLAN 10的帧在出接口时会被去掉标签。2.2 Trunk接口连接交换机之间的“多车道高速公路”Trunk接口用于交换机之间的互联允许承载多个VLAN的流量。接收方向收到Untagged帧打上该Trunk接口的PVID默认是VLAN 1作为标签。收到Tagged帧检查该帧的VLAN ID是否在接口允许通过的VLAN列表中由port trunk allow-pass vlan命令控制。如果在则接收并处理如果不在则丢弃。发送方向在发送帧时检查帧的VLAN ID。如果VLAN ID等于该Trunk接口的PVID则剥离标签后发送Untagged。如果VLAN ID不等于PVID但在允许通过的VLAN列表中则携带标签发送Tagged。如果VLAN ID不在允许列表中则丢弃。这里引出了一个重要概念Native VLAN本征VLAN。在华为设备中Trunk接口的PVID对应的VLAN就是该接口的Native VLAN。Native VLAN的流量在Trunk链路上以Untagged形式传输这是为了兼容一些不理解802.1Q标签的老式网络设备。配置示例将接口GigabitEthernet 0/0/24配置为Trunk类型允许VLAN 10, 20, 30通过并设置Native VLAN为VLAN 1默认。[SW] interface GigabitEthernet 0/0/24 [SW-GigabitEthernet0/0/24] port link-type trunk [SW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30 # 如果需要修改Native VLAN例如改为VLAN 99 [SW-GigabitEthernet0/0/24] port trunk pvid vlan 992.3 Hybrid接口灵活可控的“智能车道”Hybrid接口是华为设备的特色接口类型它兼具Access和Trunk接口的特点可以灵活地控制哪些VLAN的流量带标签发送哪些不带标签发送。接收方向处理逻辑与Trunk接口类似。对Untagged帧打上PVID标签对Tagged帧检查VLAN ID是否在接口允许通过的VLAN列表中port hybrid tagged/untagged vlan命令指定。发送方向这是Hybrid接口灵活性的体现。管理员可以针对每个VLAN单独指定其出接口时是“带标签”tagged还是“不带标签”untagged。port hybrid tagged vlan指定这些VLAN的帧以Tagged形式发送。port hybrid untagged vlan指定这些VLAN的帧以Untagged形式发送。Hybrid接口常用于连接需要识别多个VLAN的服务器服务器网卡配VLAN或一些特殊的网络设备。配置示例将接口GigabitEthernet 0/0/1配置为Hybrid类型。该接口连接一台服务器服务器需要以Tagged形式接收VLAN 10和20的流量同时以Untagged形式接收VLAN 30的流量服务器网卡只配一个IP属于VLAN 30。[SW] interface GigabitEthernet 0/0/1 [SW-GigabitEthernet0/0/1] port link-type hybrid [SW-GigabitEthernet0/0/1] port hybrid pvid vlan 30 [SW-GigabitEthernet0/0/1] port hybrid untagged vlan 30 [SW-GigabitEthernet0/0/1] port hybrid tagged vlan 10 20这样配置后从该接口发出的VLAN 10和20的帧带标签VLAN 30的帧不带标签。服务器网卡需要配置支持802.1Q并创建VLAN 10和20的虚拟接口。2.4 PVID与VLAN ID的区别与联系这是常见的困惑点通过下表可以清晰区分特性PVID (Port VLAN ID)VLAN ID (在802.1Q标签中)定义端口的属性表示端口默认所属的VLAN。数据帧的属性表示该帧所属的VLAN。作用对象交换机端口。流经网络的数据帧。何时使用当端口收到一个Untagged帧时交换机用端口的PVID给该帧打标签。当端口发送帧时用于判断是否剥离标签Trunk/Hybrid接口。交换机根据帧内的VLAN ID来查询MAC地址表决定将其从哪些属于该VLAN的端口转发出去。配置命令Access:port default vlan idTrunk:port trunk pvid vlan idHybrid:port hybrid pvid vlan id在创建VLAN时定义vlan id。数据帧的VLAN ID由入端口的PVID对Untagged帧或帧自身携带的标签决定。关系PVID决定了入方向Untagged帧的初始VLAN ID。一个端口只有一个PVID。一个端口可以允许多个VLAN ID的帧通过Trunk/Hybrid。数据帧的VLAN ID决定了它的转发路径。简单记忆PVID是端口的“默认值”VLAN ID是数据帧的“当前值”。端口用PVID给无标签的帧赋“初始值”然后根据帧的“当前值”VLAN ID进行转发。3. 实验使用ENSP实现跨交换机的VLAN通信我们通过华为ENSP模拟器搭建一个典型的两层网络拓扑来实践VLAN的配置和标签的流转过程。3.1 实验拓扑与目标拓扑两台交换机SW1和SW2通过G0/0/24口相连。SW1的G0/0/1口连接PC1VLAN10G0/0/2口连接PC2VLAN20。SW2的G0/0/1口连接PC3VLAN10G0/0/2口连接PC4VLAN20。 目标实现同VLANPC1与PC3PC2与PC4可以互通不同VLANPC1与PC2/PC4不能互通。3.2 基础配置步骤第一步在SW1和SW2上创建VLAN# 在SW1上操作 SW1 system-view [SW1] vlan batch 10 20vlan batch命令用于批量创建VLAN。第二步配置SW1连接PC的接口为Access并加入对应VLAN[SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20第三步配置SW1与SW2互联的接口为Trunk并允许VLAN 10和20通过[SW1] interface GigabitEthernet 0/0/24 [SW1-GigabitEthernet0/0/24] port link-type trunk [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20默认Trunk接口的PVID是VLAN 1由于我们的业务VLAN是10和20所以VLAN 1的帧会以Untagged形式传输但这不影响实验。第四步在SW2上重复第二步和第三步的配置配置逻辑完全相同将G0/0/1加入VLAN 10G0/0/2加入VLAN 20互联口G0/0/24配置为Trunk并放通VLAN 10和20。第五步配置PC的IP地址PC1: 192.168.10.1/24PC2: 192.168.20.1/24PC3: 192.168.10.2/24PC4: 192.168.20.2/243.3 数据流分析与验证PC1 ping PC3 (同VLAN通信)PC1发送一个目标IP为192.168.10.2的ICMP请求封装成目标MAC为未知的以太网帧需要ARP我们先看单播帧这是一个Untagged帧。帧到达SW1的G0/0/1口AccessPVID10。SW1给该帧打上VLAN 10的标签。SW1查询MAC地址表发现去往PC3的路径需要通过G0/0/24口Trunk且VLAN 10在允许列表中。SW1检查出接口G0/0/24的PVIDVLAN 1与帧的VLAN ID10不同因此保留标签将带有VLAN 10标签的帧从G0/0/24发出。SW2从G0/0/24口收到一个Tagged帧VLAN ID10。检查VLAN 10在允许列表中接收该帧。SW2查询MAC地址表发现去往PC3需要从G0/0/1口AccessPVID10转发。在从G0/0/1口发出前SW2检查帧的VLAN ID10与端口的PVID10相同于是剥离标签将Untagged帧发送给PC3。PC3回复流程对称。通信成功。PC1 ping PC2 (不同VLAN通信)PC1发送的Untagged帧进入SW1后被打上VLAN 10标签。SW1查询MAC地址表发现没有在VLAN 10中找到去往PC2属于VLAN 20的路径。二层交换机不会将VLAN 10的帧转发到属于VLAN 20的端口。因此即使PC1和PC2连接在同一台交换机上由于处于不同VLAN二层通信被阻断。ping失败。验证命令在交换机上查看VLAN信息display vlan查看接口的VLAN类型和状态display port vlan查看MAC地址表特别注意VLAN列display mac-address4. 实现VLAN间通信三层交换与VLANIF接口上述实验实现了二层隔离。如果想让VLAN 10和VLAN 20的设备相互通信就需要引入三层网络层路由功能。这可以通过路由器或三层交换机实现。三层交换机通过VLANIF接口逻辑三层接口为每个VLAN提供网关。4.1 配置三层交换机路由功能假设SW1是一台三层交换机如S5735系列我们在其基础上进行配置。第一步创建VLAN并配置Access接口同上第二步创建VLANIF接口并配置IP地址作为各VLAN的网关[SW1] interface Vlanif 10 [SW1-Vlanif10] ip address 192.168.10.254 24 [SW1-Vlanif10] quit [SW1] interface Vlanif 20 [SW1-Vlanif20] ip address 192.168.20.254 24此时SW1就具备了在VLAN 10和VLAN 20之间路由的能力。第三步修改PC的网关配置PC1和PC3的网关设置为192.168.10.254PC2和PC4的网关设置为192.168.20.2544.2 VLAN间通信流程分析PC1 ping PC2PC1192.168.10.1判断目标PC2192.168.20.1与自己不在同一网段于是将数据包发往自己的网关192.168.10.254。PC1发送目标MAC为VLANIF 10接口MAC地址的ARP请求广播SW1回复后PC1封装帧目标MAC是SW1的VLANIF 10 MAC。该Untagged帧进入SW1的G0/0/1口被打上VLAN 10标签。SW1作为三层交换机收到这个目标是自身VLANIF 10接口MAC的帧上交到三层处理。SW1解封装数据包查看目标IP是192.168.20.1。它查询路由表发现192.168.20.0/24网段直连在VLANIF 20上。SW1需要将数据包从VLAN 20转发出去。它首先需要知道PC2的MAC地址于是通过VLANIF 20接口发送ARP请求在VLAN 20内广播。PC2回复ARPSW1获得PC2的MAC地址。SW1重新封装数据包源MAC改为VLANIF 20的MAC目标MAC改为PC2的MAC并将该帧打上VLAN 20的标签。SW1查询MAC地址表将带有VLAN 20标签的帧从G0/0/2口AccessPVID20转发出去在出接口前剥离标签PC2收到Untagged帧。PC2回复流程对称。至此VLAN间通信完成。关键点数据包在穿越三层交换机时VLAN标签发生了改变从VLAN 10变为VLAN 20源/目的MAC地址也发生了改变。这体现了三层路由的特征。5. 常见问题排查与配置要点在实际配置和华为认证考试中以下几个问题是高频故障点。5.1 同VLAN内主机无法通信问题现象可能原因检查命令与排查思路解决方案同一交换机上同VLAN主机ping不通。1. 主机IP地址或子网掩码配置错误。2. 交换机端口未正确加入VLAN。3. 端口被shutdown。4. 主机防火墙阻止。1.display ip interface brief查看端口状态。2.display port vlan确认端口链路类型和VLAN信息。3.display vlan确认VLAN已创建且端口在Active状态。4. 检查主机IP配置。1. 修正IP配置。2. 使用port link-type access和port default vlan id正确配置。3. 使用undo shutdown开启端口。跨交换机同VLAN主机ping不通。1. 互联链路未配置为Trunk或Hybrid。2. Trunk接口未允许该VLAN通过。3. 两端Trunk接口的PVIDNative VLAN不一致导致VLAN 1或其他Native VLAN的帧被错误处理。1. 在两端互联接口执行display this检查port link-type。2. 检查port trunk allow-pass vlan列表是否包含业务VLAN。3. 检查两端port trunk pvid vlan是否一致。1. 将互联接口改为Trunkport link-type trunk。2. 放行业务VLANport trunk allow-pass vlan id_list。3. 确保两端Native VLAN一致或避免使用Native VLAN传输业务。5.2 VLAN间无法通信问题现象可能原因检查命令与排查思路解决方案配置了VLANIF但不同VLAN主机仍无法ping通。1. VLANIF接口IP地址配置错误或未启用。2. 主机网关指向错误。3. 三层交换机的IP路由功能未开启默认开启。4. ACL或防火墙策略拦截。1.display ip interface brief查看Vlanif接口状态和IP。2.display ip routing-table查看是否有到达目标网段的路由应为直连。3. 检查主机网关配置。1. 正确配置Vlanif接口IP并undo shutdown。2. 修正主机网关地址。3. 确认路由表存在目标网段路由。5.3 关于华为交换机SSH认证失败的延伸问题热搜词中提到了“华为s5735远程连接ssh提示认证失败”。虽然这不直接是VLAN问题但属于设备管理常见故障。可能原因包括未生成RSA密钥对SSH服务依赖密钥。使用rsa local-key-pair create生成。未启用SSH服务stelnet server enable。未配置SSH用户和认证方式ssh user username authentication-type password并ssh user username service-type stelnet。VLAN接口IP配置或路由问题确保管理VLAN的VLANIF接口配置了IP并且网络可达。ACL限制检查是否配置了只允许特定IP通过Telnet/SSH的ACL。5.4 配置清单与最佳实践在进行VLAN配置前建议遵循以下清单规划清晰提前规划好VLAN ID、IP网段、网关地址、接口类型。先创建VLAN使用vlan batch批量创建所需VLAN。配置接入层连接终端的端口配置为Access并port default vlan。配置汇聚/核心层交换机间互联端口配置为Trunk并使用port trunk allow-pass vlan精确放行业务VLAN避免使用默认的all。建议显式配置一致的Native VLAN非业务VLAN如4094。配置三层网关在三层交换机上为每个VLAN创建VLANIF接口并配置IP地址。验证display vlan验证VLAN和端口映射。display port vlan验证接口类型和PVID。在同VLAN内主机间ping测试二层连通性。在不同VLAN主机间ping测试三层路由。文档化记录VLAN规划表和端口配置表便于后续维护和排错。理解VLAN标签是掌握现代交换网络的基础。从数据帧进入交换机端口时被打上PVID标签到在Trunk链路上携带标签传输最后在到达目标接入端口前被剥离标签整个过程体现了二层网络逻辑隔离的精髓。而通过三层交换或路由器实现VLAN间通信则完成了从二层到三层的跨越。在华为网络设备上熟练运用Access、Trunk、Hybrid接口类型以及VLANIF接口是构建稳定、可控、易维护的网络架构的关键技能。在更复杂的场景中如MUX VLAN、QinQ、与生成树协议配合等对VLAN标签的理解将更加重要。建议在学习理论后多在ENSP等模拟环境中进行实验观察数据包的流转从而形成深刻且实用的认知。