华为交换机VLAN+Trunk实战：部门网络隔离与ACL安全配置-北京尧图网络

行政部财务那边突然打来电话说整层楼电脑集体掉线过去一看技术部新来的同事为了测试环境拿一台笔记本在公司网线口上开了DHCP服务。不到十分钟行政部几十台机器全拿到了错误的IP地址。这种事在混合办公网络里太常见了——技术部要灵活行政部要稳定财务部要安全三个诉求挤在一台交换机上早晚出事。后来我用了华为交换机的VLANTrunk方案把整个办公网按部门拆成独立的广播域同时用Trunk把多台交换机串联起来行政部、技术部各走各的VLAN三层交换机上再做访问控制这个问题才算彻底解决。这篇文章就从需求分析、VLAN原理、华为交换机具体配置命令到排错验证把整个实战过程完整记录下来。1. 为什么行政部与技术部必须隔离先想清楚需求再动手很多人一听到网络隔离第一反应就是把VLAN配上就完事了。但如果不把需求梳理清楚配置做完了也会发现一堆问题要么该通的业务不通了要么不该通的还通着最后还得返工。所以动手配置之前我会先花半天时间把网络现状、部门规模和业务依赖摸清楚。1.1 一个典型的中型公司网络现状以我这次实施的项目为例公司大概300人规模5个主要部门行政部、技术部、财务部、人事部、销售部。其中行政部约100台终端技术部约50台终端财务部约20台终端其他部门加起来还有几十台。全公司原来就靠一台48口的二层交换机和几台小交换机凑合着组网所有部门都在同一个二层广播域里。这种网络的痛点很明显广播风暴影响面大一台机器发ARP广播全网所有机器都能收到终端数量多了以后网络性能明显下降。DHCP冲突无解谁只要接一台开了DHCP服务的设备进网全网都可能拿到错误地址这也是开头那个事故的根因。安全隐患突出技术部的测试机器和行政部的财务电脑在同一网络里任何人都可以直接访问共享文件夹没有任何边界。故障排查困难网络一卡你很难判断是哪个部门、哪台设备引起的因为所有流量混在一起。1.2 隔离的本质广播域隔离与访问边界控制网络隔离要解决两个层面的问题。第一层是二层隔离也就是广播域隔离——让行政部的广播帧不会传到技术部去反过来也一样。VLAN干的第一件事就是这个。第二层是三层访问控制——部门之间如果需要通信比如技术部要访问公司服务器或者行政部要访问财务系统你必须能控制谁可以访问谁不可以访问这是ACL访问控制列表和防火墙干的事。很多人会忽略第二层以为配了VLAN就隔离了。实际上VLAN之间只要有三层接口VLANIF就可以互相路由通信如果不在三层做限制隔离等于白做。我这次方案里就是先用VLAN把广播域切碎再用ACL把跨部门的流量卡住两层配合才算是真正意义上的安全隔离。1.3 VLAN规划前的部门规模梳理在敲定VLAN ID之前我建议把每个部门的终端数量、IP打印设备数量、是否有服务器访问需求都列一张表。这个表就是后面所有配置的依据。部门预估终端数VLAN ID子网网关访问需求行政部10010192.168.10.0/24192.168.10.254互联网、OA、共享文件技术部5020192.168.20.0/24192.168.20.254互联网、服务器区、测试环境财务部2030192.168.30.0/24192.168.30.254财务系统、互联网访问范围最小人事部2040192.168.40.0/24192.168.40.254OA、互联网服务器区若干50192.168.50.0/24192.168.50.254仅接受业务端口访问VLAN ID我习惯从10开始编留出1到9给管理用途或者后续特殊需求。子网统一用24位掩码每个部门一个C段这样后续配ACL规则时直接用网段做匹配条件清晰又不费脑。IP地址规划是整套网络的地基这一步千万别偷懒。2. VLAN与Trunk工作机制理解802.1Q才能少走弯路说实话VLAN命令本身不难难的是理解数据帧在交换机里到底是怎么走的。很多初学者配完命令发现不通往往就是没搞懂Access口和Trunk口对VLAN标签的处理逻辑。这里我用最直白的方式把802.1Q和PVID讲透。2.1 Access口一根线对应一个VLANAccess口也叫接入端口专门用来连接终端设备电脑、打印机、IP电话。它的逻辑很简单一个Access口只能属于一个VLAN从终端收到不带标签的数据帧后交换机给它打上这个VLAN的标签往终端发送数据时把标签剥离掉再发出去。也就是说终端感知不到VLAN标签的存在它只知道自己在一个普通的二层网络里。这也是为什么配置Access口的时候只需要告诉交换机这个口属于VLAN 10命令就一行port default vlan 10。2.2 Trunk口一根线承载多个VLANTrunk口正好相反它通常是交换机和交换机之间的级联口或者交换机连接路由器/防火墙的口。Trunk口允许多个VLAN的数据帧通过而且数据帧带着802.1Q的VLAN标签在链路上跑到了对端交换机后根据标签判断该转发到哪个VLAN。打个比方Access口就像每户人家的大门只对应一户Trunk口就像楼里的主干管道里面同时跑着各家各户的水管每根水管上贴了标签到了楼下再分流到对应住户。802.1Q标签就是这个管道上贴的门牌号。2.3 PVID与Native VLAN华为配置里最容易踩的坑PVIDPort VLAN ID是端口的默认VLAN ID。当Trunk口收到一个不带VLAN标签的数据帧时交换机会默认把它归类到PVID对应的VLAN里。在华为交换机上手动配置Trunk时你会看到这样的命令port trunk pvid vlan 10这条命令的意思是这个Trunk端口的Native VLAN本征VLAN是10。Native VLAN的数据帧在Trunk链路上传输时不打标签因为两端交换机都默认这个VLAN是本征的不需要标签也能识别。这个机制在实际项目中非常容易出问题。如果Trunk两端交换机的PVID配置不一致——比如一边是VLAN 10另一边是VLAN 20——那么不带标签的帧到了对端就会被划分到错误的VLAN里直接导致看着链路是通的但数据就是到不了的诡异现象。我的习惯是所有Trunk口两端统一把PVID设置为主管理VLAN并且保持一致避免任何歧义。2.4 VLAN间通信为什么需要三层设备同一台交换机上VLAN 10和VLAN 20之间默认是不通的因为它们是两个独立的二层广播域。如果这两个VLAN里的终端需要互相访问就必须走三层路由。华为交换机里配置了VLANIF接口后交换机就变成了三层交换机——VLANIF接口就是每个VLAN对应的虚拟三层口给它配上IP地址它就是该VLAN内所有终端的网关。终端发往其他VLAN的流量会先到达本VLAN的网关然后由交换机根据路由表决定转发到目标VLAN。这也就是标题里安全隔离的关键地带要在这个转发路径上做访问控制才能做到可控的互通。3. 华为交换机核心配置实战VLAN创建、Access划分、Trunk放通下面进入正题用华为S5735系列交换机的命令把整个过程走一遍。这套命令在S5730、S5735、S5700系列上都是通用的老款S5700可能需要微调个别语法但核心逻辑一致。3.1 设备选型与登录准备项目里我用了一台华为S5735S-L24T4X作为核心三层交换机另外两台S1730S-L24T作为接入交换机。为什么这样选S5735S支持三层路由、ACL、DHCP Server等功能可以作为全网的核心网关S1730S是纯二层交换机价格便宜放在楼层弱电间做接入层把服务器和终端接进来就够了。登录交换机的方式有两种Console线直连或者配置管理IP后用Telnet/SSH登录。第一次调试我都是用Console进入命令行后先配置管理VLAN的IPsystem-view sysname SW-Core vlan batch 10 20 30 40 50 interface Vlanif 1 ip address 192.168.1.254 255.255.255.0 quit interface GigabitEthernet0/0/1 port link-type access port default vlan 1 quit如果后续要通过SSH远程管理得先给交换机配一个管理IP和SSH服务。我习惯把管理地址放在专门的VLAN里不跟业务网段混在一起后面讲安全加固时会展开。3.2 创建VLAN与Access端口划分核心交换机上创建全部VLAN命令很直接vlan batch 10 20 30 40 50vlan batch可以一次创建多个VLAN比逐个vlan 10方便得多。接下来把连接终端的端口划分到对应VLAN。比如行政部有48个工位接入交换机的前40个口给行政部电脑用interface GigabitEthernet0/0/1 port link-type access port default vlan 10这里有个批量操作的小技巧。如果端口很多用快捷键逐个配置效率太低了可以用端口组批量配置port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/40 port link-type access port default vlan 10华为的port-group支持连续的端口范围一条命令就能把1到40口全部划进VLAN 10非常高效。技术部在另一台接入交换机上同理interface GigabitEthernet0/0/1 port link-type access port default vlan 20注意一个Access口只能属于一个VLAN如果终端接错口或者交换机的端口分配和工位对应关系搞错就出现这台机器怎么上不了网的排查故事了。所以划分完以后一定要打标签贴机柜端口编号这是全网运维的第一道保险。3.3 Trunk链路配置与PVID设置接入交换机需要把上行口连接核心交换机的口配置为Trunk并且放行所有业务VLANinterface GigabitEthernet0/0/24 port link-type trunk port trunk pvid vlan 10 port trunk allow-pass vlan 10 20 30 40 50核心交换机连接接入交换机的下行口同样配置interface GigabitEthernet0/0/24 port link-type trunk port trunk pvid vlan 10 port trunk allow-pass vlan 10 20 30 40 50命令里的port trunk pvid vlan 10把Trunk口的Native VLAN设置为VLAN 10两端必须一致否则就会出现前面说的PVID不匹配问题。port trunk allow-pass用来指定允许通过Trunk的VLAN列表。这里提醒一下华为交换机默认Trunk口是放行所有VLAN的但在实际项目中我从来不用默认值因为一旦后续新增了VLAN或者某台交换机忘了同步排查起来非常痛苦。显式地列出允许的VLAN列表能让配置状态一目了然。3.4 VLANIF接口配置与部门间路由核心交换机作为全网的三层网关需要给每个VLAN配置VLANIF接口并分配IP地址interface Vlanif 10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.254 255.255.255.0 quit interface Vlanif 30 ip address 192.168.30.254 255.255.255.0 quit interface Vlanif 40 ip address 192.168.40.254 255.255.255.0 quit interface Vlanif 50 ip address 192.168.50.254 255.255.255.0 quit配置完成后各VLAN内的终端把网关指向对应的VLANIF地址VLAN之间就具备了三层路由能力。写个静态路由配合互联网出口ip route-static 0.0.0.0 0.0.0.0 192.168.1.1这里192.168.1.1是出口路由器的内网接口地址。到了这一步VLAN之间的通信已经通了但这还不是我们要的安全隔离状态接下来用ACL把这个通道管起来。4. 三层VLANIF与ACL让部门间通信按规矩走VLAN配上之后如果你不做任何限制技术部依然可以直接访问行政部的电脑——因为它们之间的路由是通的。安全隔离的最后一公里是在三层转发路径上部署ACL规则做到按需互通。4.1 隔离不等于完全不通关键是按需放开很多人一听到隔离两个字就把所有VLAN之间的访问全部deny掉结果业务跑不起来又被投诉。实际上行政部和技术部的大部分业务都不需要互相访问但有一些场景是例外的技术部需要访问服务器区VLAN 50的测试服务器。比如开发人员要SSH到测试服务器上改代码就得允许VLAN 20访问VLAN 50。行政部可能需要访问财务部的某个共享服务但人事部就不需要。所有部门都需要访问互联网这个通过NAT在出口路由器上处理不涉及交换机ACL。所以我的规划思路是默认拒绝跨部门直接访问只放开有明确业务需求的路径。这是安全隔离的核心原则。4.2 华为ACL规则配置实例华为交换机上用高级ACL编号3000-3999来过滤IP流量。先看需求技术部VLAN 20可以访问服务器区VLAN 50但不能访问行政部VLAN 10和财务部VLAN 30。配置如下acl 3000 rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 rule 15 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.50.0 0.0.0.255然后在VLANIF接口的入方向应用ACLinterface Vlanif 20 traffic-filter inbound acl 3000这段配置的逻辑所有从VLAN 20进入三层网关的流量先经过ACL 3000过滤技术部访问行政部10网段和财务部30网段的包被丢弃访问服务器区50网段的包放行。注意华为ACL规则默认匹配顺序规则号小的先匹配匹配到以后就不再继续往后匹配了。所以通常把deny规则放在前面把permit规则放后面。我这里的rule 15其实可以不写因为在华为ACL里如果没有匹配到任何规则默认是permit的——但华为也有隐含的deny规则取决于ACL的默认动作。为了保险起见我在配置中显式添加permit规则并且在ACL末尾加一条全局permit兜底rule 20 permit ip这样即使有漏网的合法流量也能通过避免配了ACL以后某台机器莫名其妙上不了网的经典事故。顺序上deny在5和10permit ip在20实际效果是技术部对行政部、财务部的访问被拒其他流量全部放行。4.3 安全加固用MAC绑定和DHCP Snooping管住接入层VLAN和ACL解决的是网络结构问题但很多内网安全问题出在接入层管理上。比如陌生设备插到工位网口就自动获得了IP可以访问所在VLAN内的资源。在这方面我加了两个手段。第一个是MAC地址绑定。把终端MAC和IP绑定后即使有人手动配置IP也无法使用。在华为交换机上做IP-MAC绑定常见做法是全局模式user-bind static ip-address 192.168.10.100 mac-address xxxx-xxxx-xxxx但这个方案管理成本不低——100台终端就要绑定100条所以我通常只对服务器和财务部等敏感终端做绑定其他普通办公终端用DHCP Snooping控制。第二个是DHCP Snooping这是目前对抗内网私接DHCP最有效的手段。开启后交换机会信任连接合法DHCP服务器的端口通常是核心交换机连接服务器的口其余端口收到的DHCP Offer全部丢弃。这样即使有人在工位上插一台路由器也没办法下发错误IP从源头上解决了开头那场网络事故。华为的配置如下dhcp enable dhcp snooping enable interface GigabitEthernet0/0/24 dhcp snooping trusteddhcp snooping trusted配置在连接DHCP服务器的上行口其他端口默认是不信任状态。这个配置在2018年以后的企业网络改造里我基本每个项目都会加成本极低收益巨大。5. 配置验证与故障排查用命令和抓包定位问题的完整思路配置命令敲完不代表万事大吉真正的考验在验证和排错阶段。这部分我把常用的验证命令和实际踩过的坑梳理一遍可以说是本篇文章最实用的一段。5.1 用display命令做完整巡检配置完成后先别急着插网线而是逐条检查配置状态。我通常按这个顺序来display vlan这条命令会显示所有VLAN的ID、名称和端口成员列表。核对每个VLAN下挂的Access口是不是和规划一致有没有端口被划到错误的VLAN里。display port vlan这条命令以端口为维度展示端口类型和PVID可以快速发现哪个口类型配置错了。比如某个应该接终端的口被误配成了Trunk或者PVID是1而不是预设的10。display trunkport专门查看Trunk口的状态和允许通过的VLAN列表。检查两端交换机的PVID和allow-pass列表是否一致这是Trunk链路排查第一优先级的条目。再检查VLANIF接口display ip interface brief查看每个VLANIF接口的IP地址配置和物理/协议状态确认接口是Up状态地址没有配错。最后用ping做连通性测试。在核心交换机上分别ping各个VLANIF的网关地址ping 192.168.10.254 ping 192.168.20.254命令行ping通了说明三层没问题。再用接入交换机到核心交换机之间的链路做ping包验证能通就说明Trunk链路和VLAN路由都没问题。5.2 抓包确认VLAN标签PC网卡的坑怎么绕过有时候配置看起来都对但实际业务就是不通。这时候就要抓包看数据帧里到底带没带VLAN标签。但是有个很关键的问题普通PC网卡默认会丢弃带802.1Q标签的数据帧而且驱动也会把VLAN标签剥离掉再交给抓包软件所以你在Wireshark里可能根本看不到VLAN信息。我在项目里验证Trunk链路时通常用两种方法。第一种是在华为交换机上用display mac-address查看某个VLAN的MAC表项display mac-address vlan 20如果能看到终端的MAC地址说明Trunk链路和VLAN配置基本正常。热词列表里的dis mac | in broad就是在用display mac-address配合过滤条件查找广播相关的MAC这在定位广播泛洪问题时非常实用。第二种方法是接一台支持VLAN标签剥离的交换机镜像口抓包。把Trunk口的流量镜像到另一个口这个口接的抓包PC如果能识别VLAN标签Wireshark里就能看到802.1Q协议层。Intel网卡在高级属性里可以选择VLAN ID手动指定后网卡就不再丢弃带标签的帧可以抓到完整的802.1Q数据。不过这个方法对硬件有要求不是所有网卡都支持所以我更常用display命令加终端ping的验证组合。5.3 常见故障与完整排查链路配置后的第一个真实故障往往出在你最意想不到的地方。这里列几个我实际遇到过的问题和排查步骤。故障一终端获取不到IP地址终端插上网线后一直是未识别的网络无法获取IP。我先在终端上ping网关不通。然后检查交换机上对应端口状态display interface GigabitEthernet0/0/1看端口是不是Up有没有错误包。如果端口Up且没错误包再检查这个口是不是被正确划到VLAN里display port vlan GigabitEthernet0/0/1常见原因端口被划错VLAN或者接入交换机的上行口Trunk没有放行对应VLAN。解决方法是把VLAN加入Trunk的allow-pass列表。故障二VLAN之间能互相访问这不该通有时候默认三层路由是全部放通的做了ACL之后测试发现技术部还是能访问行政部。排查思路先确认ACL是否应用到了正确的接口和方向display acl 3000查看规则的匹配次数display acl 3000如果deny规则的匹配计数一直在涨说明ACL生效了可能是终端有缓存或者走了别的路径。如果计数是0说明ACL没匹配到流量大概率是配置应用错了接口或者方向反了。traffic-filter inbound是过滤进入VLANIF的流量如果技术部访问行政部流量是从VLAN 20进入VLAN 10的网关所以ACL应该应用在Vlanif 20的inbound方向这是最容易搞错的地方。故障三Trunk链路通但跨交换机不通两台交换机之间的VLAN 20不通但VLAN 10通。排查步骤在两台交换机上分别display vlan 20看端口成员再display trunkport看Trunk口是否放行了VLAN 20。如果配置一致问题大概率出在PVID上——一台的PVID是10另一台是20导致VLAN 20的native帧在链路上被错误识别。统一两端的PVID后问题解决。5.4 环路问题STP绝不是可有可无企业网络里还有一个非常隐蔽的坑冗余链路导致的二层环路。很多项目为了可靠性接入交换机会用两条线分别连接两台核心交换机这时候如果没有启用STP/RSTP广播帧会在环路里无限转发直接打爆整台设备。华为交换机的STP默认是开启的但如果你改动了配置或者某些型号默认关闭了一定要确认display stp确认STP模式是MSTP/RSTP而且所有交换机都开启了。否则一旦有人往交换机上多插一根跳线全网瘫痪只是时间问题。这是个平时看不见一遇就致命的配置项。写在最后的几点积累这套VLANTrunk方案我在多个企业项目里实施过稳定运行了很长时间回访时再也没有出现过开头那种DHCP干扰事故。有几条经验想分享给正在做同样项目的朋友。第一VLAN规划前一定要和各部门确认好实际终端数量宁可预留多不预留少。行政部当时说就50台电脑结果半年后团队扩张到100人最后重新调整端口划分和交换机分配折腾了很久。预留20%-30%的余量是合理的。第二华为交换机的display系列命令是排查故障的好帮手display vlan、display port vlan、display trunkport、display acl这几条命令一定要熟练。很多远程问题不需要到现场远程看一眼配置状态就能判断出七八成。第三ACL规则的顺序强烈建议按先deny后permit来处理并且每条规则配好注释方便后续维护。网络工程师换了一茬又一茬注释写清楚后面的人才能看懂当年的设计意图。第四有条件的话把DHCP Snooping和STP检查纳入每次网络变更后的标准流程。这两个功能一个管住了非法DHCP源一个管住了物理环路都是典型的花小钱办大事的安全措施。这套方案的核心思路就是用VLAN切广播域用Trunk串交换机用VLANIF做三层网关用ACL控制跨部门访问。逻辑理顺了华为交换机的配置命令其实就那么几十条关键是想清楚每一步为什么这么做。

华为交换机VLAN+Trunk实战：部门网络隔离与ACL安全配置

相关推荐

高效部署AnolisOS：虚拟机镜像导入与配置实战

STM32CubeIDE Attach 在线调试：不下载不复位的现场排查指南

用 Genkit compat_oai 包构建 OpenAI 兼容插件：从零实现多提供商模型接入

更多资讯

GitLab CI/CD实现测试左移的DevOps实践

Home Assistant 中 Snooz 白噪音机关闭过渡（transition_off）动作完整指南

Spring Boot依赖管理：starter-parent与dependencies对比

PyWxDump：一封律师函下的微信数据库解密项目，3 步核实仓库现状

Lightdash 组织级 Limits 深度解析：查询行数与 CSV/Excel 导出单元格上限的组织级覆盖机制

k-skill 项目 korean-character-count 技能深度解析：基于 Intl.Segmenter 的确定性韩文计数合同与 NEIS 兼容字节计算

今日更新

AWS无服务器应用开发指南：从Lambda到SAM的架构与实践

SpringBoot+Vue人事系统实战：解决HR数据断点与事务一致性

MATLAB手写紧束缚模型计算石墨烯能带结构

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？