前阵子去客户现场处理一台华三S5130交换机分区办公网络要调整几十个工位要从一个扁平大二层拆成几个业务VLAN。这类需求算得上是网工日常里最常碰到的场景了但真上手的时候我发现还是有很多人对“华三交换机VLAN配置基于接口划分”这件事的理解停留在“敲几条命令能通就行”的程度一旦加上跨交换机、跨VLAN通信、Trunk链路放通这些条件就开始犯迷糊。这篇文章不打算做那种“复制粘贴命令就完事”的速成教程而是把基于接口划分VLAN这件事从原理到实操、从验证到排错完整地过一遍。不管你是刚接触华三设备的新人还是被VLAN间通信、Trunk链路搞到头大的运维老手这篇都值得你花十几分钟读一遍很多坑和细节我会直接告诉你省得你再去翻手册和踩一遍我踩过的雷。1. 为什么现网里90%的VLAN划分都走接口模式1.1 基于接口划分VLAN到底是什么意思VLAN的全称是Virtual Local Area Network虚拟局域网。它的核心作用是把一个物理交换机或者一台物理交换机上的接口从逻辑上切成多个相互隔离的二层广播域。划VLAN的方式其实不止一种。按接口划分只是其中一种此外还有按MAC地址划分、按IP子网划分、按协议划分。但你在现网里绕一圈就会发现绝大多数项目用的都是接口划分原因非常朴素它够直观、够好管、够稳定。所谓“基于接口划分”就是把交换机的某个物理接口直接绑定到一个VLAN里。比如1/0/1到1/0/8划进VLAN 101/0/9到1/0/16划进VLAN 20。这么一来不管接在这组接口下面的设备换不换IP、换不换MAC它始终属于这个VLAN业务规划从一开始就是清晰且隔离的。1.2 对比其他划分方式接口划分的优势在哪里MAC划分听起来很“高级”按设备MAC固定VLAN好像设备挪到哪里都不变但实际操作中维护成本相当高每加一台终端就要查一次MAC、手动绑定一次排错的时候还得拿着MAC地址表到处核对中小型网络根本没必要这么做。按IP子网划分的问题是IP是逻辑层的东西二层交换机在转发时优先看的是MAC和VLAN标签IP划分容易受到DHCP分配、终端手动改IP等因素影响造成VLAN归属漂移。按协议划分就更“学院派”了实际项目里很少有人用。接口划分的优势在于物理位置和逻辑归属强绑定配置一条port access vlan命令就完事Web界面点几下也能搞定。排错的时候从端口状态和VLAN列表就能一眼看出来问题出在哪这对日常运维来说价值太大了。1.3 VLAN的ID范围与规划习惯华三交换机默认支持VLAN 1到4094。VLAN 1是系统默认VLAN所有接口初始都归属于VLAN 1而且VLAN 1默认不能删除。实际规划中强烈建议不要把业务流量放在VLAN 1里因为默认VLAN往往意味着“什么都没配置、什么流量都可能在里面跑”隔离效果差也不利于安全策略控制。现在主流习惯是VLAN 10用于办公终端VLAN 20用于服务器/打印机VLAN 30用于管理网段VLAN 40用于视频监控。这种VLAN ID分配方式虽然毫无技术含量但它足够清晰——看到ID就能猜到用途比一上来就VLAN 100、VLAN 200、VLAN 999的乱编号习惯好得多。后面我会专门讲一个配置前的规划表格方法这个习惯帮你省下的时间远超你想象。2. 动手前必须吃透的三个接口角色Access、Trunk与PVID2.1 Access口和Trunk口分别解决什么问题在配置VLAN之前必须先把接口的链路类型搞清楚。华三交换机上最常见的接口角色就是Access接入和Trunk干道/中继。Access口从名字就能看出来它主要是用来接终端的。PC、打印机、IP电话这种东西连到交换机上走的就是Access口。Access口的特点是它只能属于一个VLAN收到不带标签的帧Untagged时会打上自己所属VLAN的标签进行转发发出去的时候会把VLAN标签剥掉还原成普通以太网帧发给终端。终端完全感知不到VLAN标签的存在。Trunk口则是用来连接交换机与交换机、交换机与路由器的。它最大的特点是可以在同一条物理链路上同时承载多个VLAN的流量。Trunk口通过“放通列表”permit vlan list来控制哪些VLAN能走这条链路等于一条高速路上同时跑好几条不同颜色的车道各走各的。你可以把Access口理解成小区单元门每户只有一个门禁卡一个VLANTrunk口则是小区主干道各种车辆多个VLAN数据都能上路但需要通过关卡放通列表检查一下哪些车可以进来。2.2 PVID最容易让新手绕进去的坑PVIDPort VLAN ID这个概念我见过很多干了三五年的网工都说不清楚但它恰恰是配置VLAN出问题的高发区。一句话解释PVID就是端口收到“不带VLAN标签”的数据帧时给它打上的默认标签。也就是说所有从Access口或者Trunk口进来的普通帧交换机都会先问一句“你没有标签是吧那我给你贴上PVID对应的标签”。对于Access口PVID和它所属的VLAN必须是同一个这没得商量。对于Trunk口PVID默认是VLAN 1它和Trunk放通列表是两回事。很多人配置Trunk时只顾着port trunk permit vlan 10 20忘了检查PVID结果就会出现一种非常诡异的故障PC能拿到地址但跨交换机互访的时候时通时不通。实际项目里最稳妥的做法是Trunk口两端的PVID设置成一致。如果链路两端都是华三设备通常保持默认的PVID 1不做改动即可如果有特殊需求用port trunk pvid vlan命令显式修改比如热词里有人问到的port trunk pvid vlan 10意思是把Trunk口的默认VLAN标签改成10这让不带标签的帧进来后自动归入VLAN 10。2.3 Tagged和Untagged的底层逻辑再往深一层说Access口和Trunk口的转发差异本质上就是Tagged带标签和Untagged不带标签的处理逻辑差异。端口发帧时的规则很简单Access口发出去之前把标签剥掉永远以Untagged形式转发给终端。Trunk口发帧时如果这个VLAN在放通列表里但是不等于PVID就带着标签Tagged转发如果等于PVID则剥掉标签以Untagged形式转发。数据帧带标签的作用是告诉对端交换机“我是来自VLAN 10的”这样对端交换机收到后就可以根据标签直接把帧送进对应的VLAN转发域而不需要再做一次查表标记。这就是为什么交换机之间的Trunk链路必须带标签因为两台设备之间要并行传输多个VLAN的流量没有标签的话这些帧到了对端就会全部混进PVID那个VLAN里网络直接就乱了。2.4 华三设备接口类型的默认状态第一次拿到华三交换机的朋友默认所有接口都是Access口归属VLAN 1。这一点和很多人的习惯认知有个偏差华为的接口默认也是Access但思科有些设备默认是动态 desirable 或 access不同厂商细节并不完全一致。华三的命令行风格和华为非常接近毕竟同宗同源port link-type、port access vlan、port trunk permit vlan这些命令在两家设备上基本通用。但有个细微差别值得注意华为部分版本支持port link-type hybrid作为默认值Hybrid口华三的Comware操作系统里也支持Hybrid口但入门教程里一般还是以Access和Trunk为主。Hybrid口本质上可以理解为Access和Trunk的混合体既像Access一样可以指定PVID又像Trunk一样可以指定多个VLAN的Tagged/Untagged属性。如果你不需要同时配置“多个VLAN带标签、个别VLAN剥标签”这种复杂需求老老实实用AccessTrunk就够了别为了炫技上Hybrid那玩意儿配置错了我见过太多。3. 实战华三交换机从零到通的完整配置过程3.1 场景设计一台交换机三个业务网段先设定一个最典型的场景避免空谈理论。一台华三S5130-28TP-EI交换机24个千兆电口加4个千兆光口。规划如下VLAN 10办公区终端网段192.168.10.0/24网关192.168.10.254VLAN 20服务器区网段192.168.20.0/24网关192.168.20.254VLAN 30打印机等外设网段192.168.30.0/24网关192.168.30.254接口1/0/1到1/0/10划入VLAN 10接口1/0/11到1/0/20划入VLAN 20接口1/0/21到1/0/24划入VLAN 30光口1/0/25作为上联口连接核心交换机第一步是清空设备已有配置恢复到出厂状态避免旧配置干扰H3Creset saved-configuration H3Creboot这一步做完设备重启后就是干净状态。3.2 创建VLAN并划分接口进入系统视图逐条执行H3Csystem-view [H3C]sysname OTD-S5130-01 [OTD-S5130-01]vlan 10 [OTD-S5130-01-vlan10]description Office_Network [OTD-S5130-01-vlan10]quit [OTD-S5130-01]vlan 20 [OTD-S5130-01-vlan20]description Server_Network [OTD-S5130-01-vlan20]quit [OTD-S5130-01]vlan 30 [OTD-S5130-01-vlan30]description Printer_Network [OTD-S5130-01-vlan30]quit创建完VLAN之后开始把接口划进去。批量配置用接口范围的方式最高效[OTD-S5130-01]interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/10 [OTD-S5130-01-if-range]port link-type access [OTD-S5130-01-if-range]port access vlan 10 [OTD-S5130-01-if-range]quit [OTD-S5130-01]interface range GigabitEthernet 1/0/11 to GigabitEthernet 1/0/20 [OTD-S5130-01-if-range]port link-type access [OTD-S5130-01-if-range]port access vlan 20 [OTD-S5130-01-if-range]quit [OTD-S5130-01]interface range GigabitEthernet 1/0/21 to GigabitEthernet 1/0/24 [OTD-S5130-01-if-range]port link-type access [OTD-S5130-01-if-range]port access vlan 30 [OTD-S5130-01-if-range]quit注意这样一个细节先用port link-type access切换接口类型再执行port access vlan。顺序反了的话很多版本会提示错误或者配置不生效。虽然现代Comware版本已经允许直接指定但养成“先类型后VLAN”的习惯没坏处。3.3 配置上联Trunk口光口1/0/25要上联核心交换机核心侧如果还有别的VLAN流量要过来就必须用Trunk链路[OTD-S5130-01]interface GigabitEthernet 1/0/25 [OTD-S5130-01-GigabitEthernet1/0/25]port link-type trunk [OTD-S5130-01-GigabitEthernet1/0/25]port trunk permit vlan 10 20 30 [OTD-S5130-01-GigabitEthernet1/0/25]quit这里我推荐一个习惯不要用port trunk permit vlan all。生产环境里放通全部VLAN意味着任何新创建的VLAN都会自动穿透这条链路一旦未来有人在设备上乱建VLAN可能绕过访问控制策略存在安全隐患。如果是双交换机级联每个Trunk口都要做同样的放通操作。如果你希望Trunk口也允许不带标签的流量进入并自动归入某个VLAN那就用port trunk pvid vlan设定。但一般场景下保持默认PVID 1就行两端一致即可。3.4 保存配置不保存等于白干配置完成后一定要执行保存操作否则设备一重启所有配置全部丢失OTD-S5130-01save forcesave force在华三设备上表示跳过交互式确认直接保存到启动配置文件里。如果你用的是老版本可能只支持save那就需要手动输入Y确认文件名。保存完之后可以用display saved-configuration看一眼确保文件已经存在。我见过不止一次工程师把配置敲了一上午下午服务器宕机重启交换机一切回到解放前。这属于最惨不忍睹的低级事故希望看完这篇文章的你永远不要重蹈覆辙。4. 单臂路由与VLAN间通信接口划分之后的下一个坎4.1 为什么VLAN划完了PC之间还是ping不通很多人在命令行里敲完了VLAN划分信心满满地接上电脑却发现VLAN 10的PC能通VLAN 20的PC能通但跨VLAN访问就是不通。这太正常了。因为VLAN的核心目的就是隔离二层两个不同的VLAN在二层根本不可见它们之间的通信必须经过三层路由。VLAN划分只是把路修好了但两个村子之间的桥还没搭。要实现VLAN间通信有两种主流方案三层交换机VLAN虚接口VLANIF这是现网最常用的做法。普通二层交换机路由器单臂路由Router-on-a-Stick用于没有三层交换机或只需要小规模互访的场景。4.2 三层交换机的VLANIF接口配置华三的设备上VLAN虚接口的语法是interface Vlan-interface后面的数字就是对应的VLAN ID。在刚才那台S5130上如果这台设备开启了三层功能可以这样配[OTD-S5130-01]interface Vlan-interface 10 [OTD-S5130-01-Vlan-interface10]ip address 192.168.10.254 255.255.255.0 [OTD-S5130-01-Vlan-interface10]quit [OTD-S5130-01]interface Vlan-interface 20 [OTD-S5130-01-Vlan-interface20]ip address 192.168.20.254 255.255.255.0 [OTD-S5130-01-Vlan-interface20]quit [OTD-S5130-01]interface Vlan-interface 30 [OTD-S5130-01-Vlan-interface30]ip address 192.168.30.254 255.255.255.0 [OTD-S5130-01-Vlan-interface30]quit配置完之后PC的网关指向对应VLANIF的地址VLAN间就可以互相访问了。这里有个容易踩坑的地方很多华三的盒式交换机比如S5120、S5130的基础版本出厂时三层路由功能可能没有全局开启或者需要特定命令如vlan 10后进入接口才能配置。如果输入interface Vlan-interface 10报错先检查设备型号和版本是否支持三层功能再检查是否需要在vlan视图下先创建VLAN再配置VLANIF。另外别忘了有些版本需要开启ip routing相关的全局开关新版本默认开启老版本可能要手动确认。还有一种情况经常出现在用模拟器练手的场景中PC的网关配好了但就是ping不通先检查一下PC自己的静态路由或默认网关然后再看交换机的VLANIF是否UP稍后讲验证命令。4.3 单臂路由用小路由器扛起跨VLAN通信对于预算有限、只有二层交换机和一台多口路由器的小型网络单臂路由是经典解法。拓扑是一个路由器出来的物理口接到交换机的一个Trunk口上路由器在这个物理口上创建多个子接口每个子接口对应一个VLAN并终结各VLAN的802.1Q标签。华三路由器上的配置类似这样[R1]interface GigabitEthernet 0/0/0.10 [R1-GigabitEthernet0/0/0.10]dot1q termination vid 10 [R1-GigabitEthernet0/0/0.10]ip address 192.168.10.1 255.255.255.0 [R1-GigabitEthernet0/0/0.10]arp broadcast enable [R1-GigabitEthernet0/0/0.10]quit [R1]interface GigabitEthernet 0/0/0.20 [R1-GigabitEthernet0/0/0.20]dot1q termination vid 20 [R1-GigabitEthernet0/0/0.20]ip address 192.168.20.1 255.255.255.0 [R1-GigabitEthernet0/0/0.20]arp broadcast enable [R1-GigabitEthernet0/0/0.20]quit注意华三路由器子接口配置的两个关键命令dot1q termination vid必须配置明确该子接口终结哪个VLAN的标签。arp broadcast enable建议配置否则子接口可能不响应ARP广播导致终端无法解析网关MAC地址。交换机侧的对应配置就是把连路由器的接口配置为Trunk并放通相关VLAN就是前面讲过的port trunk permit vlan 10 20。单臂路由的性能上限受限于一条物理链路适合小规模互通不适合大流量转发这一点心里要有数。4.4 接入口配置Access后2个PC互通的问题热词里有一条很典型的疑问“交换机接入口配置access后2个PC可以互通”。这里展开说一句如果两台PC都接在同一个交换机的同一个VLAN里都是VLAN 10的Access口那它们当然能够互通。此时交换机的MAC地址表会记录每个接口下学习到的MAC地址数据帧在同一VLAN内直接二层转发。但如果两台PC接在不同的VLAN里那二层转发被VLAN隔离了必须走上一段的三层路由。所以判断“为什么ping不通”之前先搞清楚对方和设备在不在同一个VLAN域里这能帮你跳过一半的无效排错。5. 配置验证、排错与现网高频坑位盘点5.1 用display命令验证配置是否生效配置完VLAN之后不要急着拔线插线先用display命令确认状态。华三交换机的验证命令就这么几条但足够用了。查看VLAN创建情况和对应接口OTD-S5130-01display vlan这个命令输出会列出所有VLAN以及每个VLAN下有哪些端口。看的时候重点关注端口是不是你想划进去的那几个以及有没有莫名其妙的接口出现在VLAN列表里。查看接口的链路类型和PVIDOTD-S5130-01display interface GigabitEthernet 1/0/1输出里会包含Port link-type、PVID、VLAN passing、Last link state change time这些信息。VLAN passing这一行会告诉你这个口当前放通了哪些VLAN有没有Tagged标记。查看所有接口的简明状态OTD-S5130-01display interface brief这个命令会列出所有物理接口的up/down状态、速率、双工模式。排物理层故障的时候这个命令是首选的。查看VLANIF接口状态OTD-S5130-01display interface Vlan-interface 10确认IP地址和up状态。VLANIF接口down最典型的两个原因VLAN里没有接口处于up状态或者VLAN没有创建成功。5.2 华三设备上如何指定源IP去ping热词里有一条“华三怎么指定交换机接口ping”这个需求在验证多个网段连通性的时候特别有用。华三交换机的ping命令支持-a参数指定源地址例如从VLAN 10的网关地址去ping VLAN 20的网关地址OTD-S5130-01ping -a 192.168.10.254 192.168.20.254有些版本还支持-i指定接口比如强制从1/0/25这个接口发包OTD-S5130-01ping -i GigabitEthernet 1/0/25 192.168.20.1这个功能在验证路由是否生效、物理链路是否通的时候非常好使。如果你的ping是从PC上发起的那只能测试整条端到端路径没办法定位到是哪一台设备的哪个方向出了问题。而从交换机上指定源IP或接口去ping能精准判断问题出在本机转发还是远端链路。5.3 高频排错问题清单为什么还是不通我把这些年被问得最多的“配置了VLAN却不通”的情况整理成一个排查顺序表格你按这个顺序走大部分问题都能解决。排查步骤检查内容常见原因解决方式1物理链路状态光口/电口down网线松动光纤收发器故障看端口指示灯display interface brief确认up2端口链路类型Access口配置成Trunk或反之display interface查看Type重新指定3PVID一致性跨交换机Access口PVID不一致两端PVID统一4Trunk放通列表对端交换机Trunk未放通对应VLANport trunk permit vlan 10 20补齐5VLANIF是否存在三层设备上没有创建VLANIF或IP配错创建VLANIF并配置正确网关6PC网关PC上的网关指向错误或没填检查PC的IP配置7生成树阻塞冗余链路导致STP阻塞Trunk口display stp brief查看端口状态8防火墙/ACL交换机或上游设备配置了包过滤策略display acl确认放行策略这里重点说下生成树的问题。很多人在两台交换机之间做了两条Trunk链路互联结果发现第二条链路一直处于阻塞状态就开始怀疑配置有问题。这其实是STPSpanning Tree Protocol在正常工作——物理环路必须被阻塞一个口才能避免广播风暴。如果希望两条链路同时工作并做负载分担需要配置链路聚合Link Aggregation把两个物理口绑成一个逻辑口而不是留着STP让它自动阻塞。热词里“交换机光口是做链路聚合还是主备”问的就是这个方向。5.4 光口与光模块的检查细节华三设备上光口起不来是很常见的故障特别是光模块没插好或者光纤收发接反。查光模块的收发功率可以用这条命令OTD-S5130-01display transceiver diagnosis interface GigabitEthernet 1/0/25输出会给出TxPower发送光功率和RxPower接收光功率。如果RxPower显示为负数但绝对值很大比如-30dBm甚至更低说明接收光功率过低光纤大概率接错或链路衰减严重。如果TxPower为0多半是光模块本身没发光。热词里“h3c交换机查光口光衰命令”说的就是这个场景这条命令在排光纤链路问题时是必备技能。除此之外我还建议每次插拔光模块后执行display transceiver interface GigabitEthernet 1/0/25确认模块的速率、波长和接口协商状态这些信息在故障定位时能提供很大帮助。5.5 模拟器练习环境H3C HCL的VirtualBox API报错如果你是初学者大概率会用华三的HCL模拟器来练习VLAN配置。很多人在HCL启动设备时报错提到VirtualBox API Related。这个报错的根因通常是宿主机上安装的VirtualBox版本与HCL内置要求的版本不兼容或者VirtualBox服务未启动。经验之谈HCL对VirtualBox的版本要求很苛刻太新反而会出问题。如果遇到这报错先卸载现有VirtualBox安装HCL发布时配套的版本一般HCL安装目录或官网下载页面会标明推荐版本装完重启电脑再把HCL以管理员身份运行大概率就能解决。实在不行就换VMware版的模拟镜像或者直接用真机练效果都差不多。6. 接口划分VLAN的几个高级经验与个人习惯6.1 动手前先做一张VLAN规划表这算是我个人的强迫症但也是从多次事故中总结出来的教训。在网络拓扑有任何调整之前先做一张表贴上机柜或者存在网盘里VLAN ID用途IP网段网关接入接口10办公终端192.168.10.0/24192.168.10.254GE1/0/1 - GE1/0/1020服务器192.168.20.0/24192.168.20.254GE1/0/11 - GE1/0/2030打印机/外设192.168.30.0/24192.168.30.254GE1/0/21 - GE1/0/2440视频监控192.168.40.0/24192.168.40.254GE1/0/25 - GE1/0/26别看这张表简单它能防止两类典型事故一是拍脑袋乱分配导致现有网络地址冲突二是几个月后设备交接给同事时完全说不清当初哪些口在哪个VLAN里。我见过有项目因为没有规划表后期扩容时把服务器口划进了办公VLAN业务直接乱了。6.2 Trunk放通列表的最小化原则前面我提过不建议用port trunk permit vlan all这里再展开说说理由。某次我在一个客户现场排障发现核心交换机上一条Trunk链路放通了所有VLAN结果有人在接入交换机上创建了一个VLAN 999准备做测试这个VLAN的广播流量顺着Trunk穿到了整个二层网络导致全网出现周期性的广播风暴。如果一开始就只放通必要的VLAN这个事故根本不会发生。最小化放通原则在安全上还有一个好处就算有终端私自改了VLAN归属只要Trunk链路没有放通那个VLAN跨交换机的访问就是断的天然形成了一道隔离屏障。6.3 Hybrid口什么时候值得用华三的交换机同样支持Hybrid口它比Access和Trunk更灵活。一个Hybrid口可以同时指定哪个VLAN带标签转发、哪个VLAN剥标签转发。它的典型应用场景是同一个物理口既要连接普通终端不需要带标签又要同时承载多个VLAN流量连接下级交换机。举例来说AC无线控制器设备通过一个Hybrid口连接交换机管理VLAN的流量和业务VLAN的流量都要走这条链路但下联AP时需要业务流量不带标签。这种需求用Access和Trunk都别扭Hybrid口就能精准解决。不过日常项目里Hybrid用得确实不多你在学习阶段知道有这个东西存在、能看懂port hybrid vlan相关命令就行了不需要优先掌握它。6.4 华三与华为的命令差异提醒华三和华为设备命令高度相似很多工程师也同时管理两边设备。但有几个坑值得特别注意华三的执行保存命令是save force华为是save部分版本后也支持save直接回车保存。华三的部分设备上配置接口类型可以用port link-type华为同款命令一致但华为的设备在指定接口类型时如果已有VLAN配置可能要先清除。两边Web管理界面的VLAN配置入口略有不同如果客户习惯用Web界面操作前先确认版本和界面布局避免点错。另外华三模拟器HCL和华真机命令高度一致在模拟器上练熟命令到了真机基本无缝切换这点对新手很友好。6.5 最后的建议练好基本功再上模拟器我发现很多新人有个习惯一上来就打开模拟器照着教程敲命令敲完发现ping不通就开始问东问西。问题在于他们跳过了最关键的一步——理解数据帧在Access口和Trunk口之间是怎么流动的。你可以在纸上画一个最简单的拓扑两台交换机各下联一台PC交换机之间用Trunk连接PC分别在VLAN 10和VLAN 20。然后不写任何配置先手动推演一遍PC A发一个帧给PC BMAC查找、VLAN标签、Trunk放通、对端剥离标签每一步发生了什么。能把这个流程画明白再回到命令行你根本不会犯“忘了放通VLAN”这种低级错误。从个人的实际操作体会来说VLAN配置这块最难的不是命令而是对转发逻辑的理解。命令背一个星期就能烂熟于心但帧从进门到出门的每一步处理逻辑值得你在做每一个配置的时候多想一遍。基于接口划分VLAN是这里面最踏实、最稳定的起点把它学扎透了后面再学MUX VLAN、PVLAN那些进阶玩法就都是水到渠成的事。