【网络工程实战】从零到一：VLAN配置与三层交换实战指南
1. VLAN基础与企业网络实战场景
第一次接触VLAN时，我也被那些专业术语搞得晕头转向。直到接手一个真实的企业网络改造项目才明白，VLAN本质上就是给交换机"分房间"的技术。想象一下，公司里财务部、研发部、市场部的电脑如果都混在同一个网络里，就像把所有部门的文件都堆在一个会议室——既不方便管理，又存在安全隐患。
在实际项目中，我们最常遇到这样的需求：某中型企业有市场部（VLAN10）、研发部（VLAN20）和财务部（VLAN30），要求三个部门网络隔离但又能有限互通。这时候就需要三层交换机出场了，它就像个智能门卫，既能把不同部门隔开，又能让有权限的人跨部门交流。
先看个典型配置案例：
# 创建基础VLAN Switch(config)# vlan 10 Switch(config-vlan)# name Marketing Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name R&D2. 单交换机VLAN配置实战
2.1 端口模式选择策略
新手最容易搞混的就是Access和Trunk模式。去年我给一家奶茶连锁店部署网络时就踩过坑：把收银机的端口误设为Trunk模式，结果所有分店的交易数据都能互相看到。记住这个原则：
- Access端口：就像专属快递柜，只服务一个VLAN（比如财务部的打印机）
- Trunk端口：像快递中转站，可以传输多个VLAN的数据（交换机之间的连接）
实操时建议这样配置：
# 将端口划入VLAN10（市场部） Switch(config)# interface fastEthernet 0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10 Switch(config-if)# no shutdown2.2 广播域隔离验证
配置完成后一定要做这个测试：在同一个VLAN的两台电脑上ping通后，打开Wireshark抓包，你会看到ARP请求只在同VLAN内传播。这比单纯看连通性更有说服力，我去年审计时就靠这个方法发现了一个配置错误的端口。
3. 跨交换机VLAN中继配置
3.1 Trunk配置的坑点实录
给某学校机房部署网络时，遇到过两个经典问题：
- 交换机之间用光纤连接但VLAN不通，最后发现是两端Trunk允许的VLAN列表不一致
- 视频监控画面卡顿，原因是没配置本地VLAN（Native VLAN）
正确的Trunk配置应该是：
Switch(config)# interface gigabitEthernet 0/1 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20,30 Switch(config-if)# switchport trunk native vlan 99 # 管理VLAN Switch(config-if)# no shutdown3.2 802.1Q标签的玄机
用协议分析仪抓包时，你会看到Trunk链路上的数据帧都带着"小标签"，这就是802.1Q协议在起作用。曾经有家公司的视频会议系统总是断线，就是因为第三方设备不支持标签处理，后来通过调整Native VLAN解决了问题。
4. 三层交换机实现VLAN间路由
4.1 SVI接口配置详解
三层交换机的魔法在于它能创建虚拟接口（SVI）。给医院部署网络时，我这样配置各科室的互通：
# 创建VLAN虚拟接口 Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config)# interface vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0 # 启用IP路由 Switch(config)# ip routing4.2 访问控制实战技巧
允许市场部访问研发部的文件服务器，但禁止反向访问，可以这样配置ACL：
Switch(config)# access-list 110 permit ip 192.168.10.0 0.0.0.255 192.168.20.5 0.0.0.0 Switch(config)# access-list 110 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 Switch(config)# interface vlan 20 Switch(config-if)# ip access-group 110 in5. 企业级部署的进阶技巧
5.1 VLAN扩展最佳实践
当企业有分支机构时，建议采用这些策略：
- 采用一致的VLAN编号方案（比如总部用100-199，分部用200-299）
- 使用VTP协议时要特别小心，我有次误操作导致整个网络的VLAN信息被覆盖
- 重要部门建议采用Private VLAN进一步隔离
5.2 排错工具箱
这些命令能帮你快速定位问题：
# 查看VLAN信息 show vlan brief # 检查Trunk配置 show interfaces trunk # 验证三层路由 show ip route # 检查ACL生效情况 show access-lists最近给物流仓库部署网络时，就是靠show interface trunk发现有个端口协商成了access模式，导致跨交换机的AGV控制系统通信异常。