简介这是一份面向计算机网络专业学生、网络管理员及初学者的跨交换机VLAN配置实验文档基于华为eNSP模拟器开展。资源包共1个docx文件体积1.98MB内容完整覆盖实验目的、拓扑搭建、IP地址规划、VLAN划分与隔离性验证等环节可直接用于课内实训或自学参考。文档从默认VLAN下的连通性检查入手逐步介绍在三台交换机上创建VLAN并分配接入端口与主干端口的过程通过Ping测试验证同VLAN终端互通、跨VLAN终端隔离同时借助端口报文捕获观察IEEE802.1Q帧中的VLAN ID体会标准MAC帧格式的实际作用。文档还整理了实验常见问题如捕获报文失败时的过滤器检查、端口配置核实等排错思路有助于读者独立完成配置并加深对跨交换机VLAN通信原理的理解。资料已在CSDN上被2504人学习适合需要动手练习VLAN划分、熟悉接入/主干端口差异或准备网络实验报告的读者下载使用。1. 跨交换机VLAN实验不是点两下就能通的配置活很多人在网络工程毕设里选了华为eNSP的VLAN综合实验觉得无非是创建几个VLAN、把端口加进去两台交换机一连就能各自隔离。真动手才发现单交换机里PING得通的VLAN跨了交换机就变成黑匣子——要么广播全通隔离了个寂寞要么两边都PING不通查了一圈命令也看不出毛病。这个实验真正的分水岭不是VLAN怎么划分而是VLAN标签怎么在交换机之间“穿过去”Access口负责打标签和摘标签Trunk口负责带着标签跑两台交换机还要在PVID和放行列表上达成一致。这篇文章就把这条链路从头拆到尾从原理讲到eNSP里的完整命令再把你大概率会踩的坑提前摆出来。2. 先搞清标签怎么穿Access与Trunk的分工和PVID那道坎2.1 为什么单交换机VLAN很简单跨交换机就变复杂单台交换机上划分VLAN本质是给端口分组。数据帧从Access口进来交换机根据端口的PVID打上对应的VLAN ID然后只在相同VLAN的端口之间转发。这个过程在交换芯片内部完成帧出了设备就恢复原样你甚至感觉不到标签的存在。跨交换机时问题就来了PC-A接了交换机SW1的Access口属于VLAN 10PC-B接了交换机SW2的Access口同样属于VLAN 10。PC-A要把帧送到PC-B这个帧必须先从SW1出来再从SW2进去。问题是SW1和SW2之间的链路端口既不属于VLAN 10也不属于VLAN 20它是一根公共的管道。如果你把这个互联端口设成Access并划到VLAN 10那VLAN 20的流量就完全过不去。这时候就需要Trunk口。Trunk口允许帧带着VLAN标签在链路上传输SW1发出去的帧是带Tag的SW2收到后根据Tag决定往哪个VLAN的Access口送。整个过程一句话概括Access口管“进出”Trunk口管“运输”。但“运输”里有几个细节很容易含糊PVID就是最大的那个坎。2.2 PVID不等于VLAN ID不配好它帧会走错门PVID和VLAN ID的区别是热词里搜索量很高的一个问题也确实是最容易搞混的点。VLAN ID是帧身上带着的标签表示“我属于哪个VLAN”PVID是端口的一个属性表示“没有标签的帧进了这个口我给它打上哪个VLAN的标签”。两者大多数时候数值一样但含义完全不同。一个Access口只能属于一个VLAN所以它的PVID必须等于该VLAN ID否则进来的无标签帧会被打上错误的标签。一个Trunk口默认PVID是VLAN 1它允许承载多个带标签的VLAN帧同时也会处理无标签帧——比如接了路由器或者PC的Trunk口要跑Hybrid场景时。在华为交换机上有个命令组合很容易让人迷惑interface GigabitEthernet0/0/1 port link-type trunk port trunk pvid vlan 10 port trunk allow-pass vlan 10 20这段命令的逻辑是把G0/0/1设置为Trunk口PVID设为VLAN 10允许携带VLAN 10和VLAN 20的标签帧通过。这里的port trunk pvid vlan 10并不是把端口划入VLAN 10而是告诉交换机这个Trunk口收到的无标签帧我按VLAN 10来处理。如果对端交换机这个口的PVID也是VLAN 10两台设备之间无标签的管理流量或特定协议帧就能正常工作如果两边PVID不一致帧进入对端时会被重新打上对端的PVID标签结果就是数据进了错误的VLAN。2.3 帧在跨交换机链路上的完整旅程为了把过程讲透这里用一个典型拓扑两台PC分别接两台交换机PC-A属于VLAN 10PC-B属于VLAN 20SW1和SW2之间用一条Trunk链路互联。PC-A向PC-B发一个PING的ICMP请求。第一步PC-A发出无标签以太网帧从SW1的Access口进入。SW1查到该端口的PVID是VLAN 10给帧打上802.1Q标签Tag值为10。第二步交换芯片做转发决策目的MAC是PC-B不在SW1的MAC表里于是向所有允许通过VLAN 10的端口泛洪。G0/0/1是Trunk口且允许列表里有VLAN 10帧从G0/0/1带着Tag 10出去。第三步SW2的G0/0/1收到带Tag 10的帧检查自己的Trunk允许列表发现VLAN 10在列表中接收下来。第四步SW2查MAC表或泛洪发现目的口是连接PC-B的Access口且该Access口的PVID正好是VLAN 20。此时帧上带的Tag是10不能直接从一个PVID为20的Access口发出去因为Access口强制剥掉标签后这个无标签帧会被当成VLAN 20的流量。结果就是这个PING包被丢弃或者更糟糕——被错误送进VLAN 20的设备。这个例子想说明跨交换机通信的前提是两端VLAN规划对称交换机只认标签和端口的PVID不认“PC-A想和PC-B通信”这个业务诉求。提示做跨交换机VLAN实验时先用display vlan确认两台交换机上VLAN 10和VLAN 20都创建了再用display port vlan确认Trunk口放行了哪些VLAN最后才去PC上PING。排查顺序反了会浪费时间。3. 用eNSP把两台交换机搭起来拓扑、设备选型与端口规划3.1 网络工程毕设里最常用的设备选型组合华为eNSP的模拟器里交换机型号集中在S3700和S5700两个系列。做跨交换机VLAN实验建议直接用S5700原因很现实S3700在模拟器里的端口数量和命令行细节跟真实设备差异稍大S5700的接口命名、VLAN配置命令、Trunk相关参数更接近现网常见的S5720、S5735毕业后写进简历或做网络工程毕业论文里的拓扑说明面试官一眼能看懂。具体选型上两台S5700加两台PC就够了不需要三层交换机因为实验目标是二层VLAN隔离和跨交换机透传引入三层接口反而干扰判断。拓扑上SW1和SW2用GigabitEthernet0/0/1互联PC-A接SW1的G0/0/2PC-B接SW1的G0/0/3PC-C接SW2的G0/0/2PC-D接SW2的G0/0/3。这个规划的讲究在于两台交换机上都同时存在VLAN 10和VLAN 20的终端这样才能完整验证“VLAN 10跨交换机互通、VLAN 10和VLAN 20跨交换机隔离”两个结论而不是只验证了单个VLAN的透传失去了实验说服力。3.2 IP规划与端口角色对照表PC的IP地址规划要跟VLAN一一对应子网掩码统一用24位。VLAN 10的网段是192.168.10.0/24VLAN 20的网段是192.168.20.0/24。这里有一个很多人犯过的错把两台PC的IP配成同一个网段以为VLAN隔离靠的是IP不同结果VLAN 10和VLAN 20之间能PING通还反过来怀疑Trunk配置有问题。VLAN隔离作用于二层三层上两个不同VLAN如果同网段ARP广播会被隔离但如果你在交换机上开了VLAN间路由或配置了SVI接口同网段地址反而可能产生诡异路由。跨交换机实验里不同VLAN必须配不同网段。设备接口所在交换机端口角色所属VLANIP地址PC-A无SW1 G0/0/2AccessVLAN 10192.168.10.10/24PC-B无SW1 G0/0/3AccessVLAN 20192.168.20.10/24PC-C无SW2 G0/0/2AccessVLAN 10192.168.10.20/24PC-D无SW2 G0/0/3AccessVLAN 20192.168.20.20/24SW1-SW2互联G0/0/1两端各一台Trunk放行VLAN 10、20无3.3 eNSP启动顺序与初始检查eNSP有个设备启动的“玄学”问题不是配置写错而是启动顺序影响实验结果。常见现象是交换机启动到一半你就开始敲命令配置是敲进去了但设备进程没完全起来PING测试时通时不通。我一般会按这个顺序来启动STUDENT设备前先把所有设备拖到拓扑里然后逐台启动每启动一台等命令行窗口出现Huawei提示符再继续下一台。全部启动完后在SW1上执行一次reset saved-configuration输入Y确认再reboot让设备回到干净状态。这一步虽然多花一分钟但能避免你拿着别人遗留的配置做实验尤其是毕设演示前设备配置不干净是很尴尬的一件事。启动完成后先看端口状态display interface brief这个命令输出所有接口的物理状态和协议状态。在eNSP里只要线缆连了端口物理状态就是UP协议状态也应该是UP。如果你看到某个接口的协议状态是DOWN先检查线缆连接其次检查两端交换机端口是否都被正常识别最后才考虑是不是配置把端口shutdown了。链路层没起来就去配VLAN等于白配。4. 一步步配通跨交换机VLANVLAN划分与Trunk放行的完整命令4.1 SW1上的基础配置创建VLAN、端口划入与Trunk放行先登录SW1进入系统视图开始配置。这组命令完成三个动作创建VLAN、把Access口划进对应VLAN、把互联口改成Trunk并放行。system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/3 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit参数说明vlan batch 10 20表示同时创建VLAN 10和VLAN 20比逐条vlan 10、vlan 20更高效。端口划入Access之后port default vlan的值等同这个端口的PVID进来的无标签帧会被打上这个标签。这里有个细节很多人没意识到port default vlan不仅影响无标签帧的Tag标记还会影响从这个口出去的帧是否带标签——Access口出去的帧一律剥离标签。Trunk口上的port trunk allow-pass vlan 10 20只写了放行列表没有写PVID。这里有一个坑华为设备Trunk口默认PVID是VLAN 1如果你不给它指定PVID那么从对端Trunk口收到的所有无标签帧SW1都会当成VLAN 1的流量。在跨交换机配置里如果两台交换机互联口之间有管理VLAN或协商协议帧默认PVID是没问题的但如果你的业务里有无标签帧要跨交换机走就必须用port trunk pvid vlan来指定。4.2 SW2上的配置镜像SW1还是刻意制造差异SW2的配置逻辑和SW1一致但端口规划要跟多一步思考。如果SW2的G0/0/2划入VLAN 10、G0/0/3划入VLAN 20、G0/0/1作为Trunk放行VLAN 10和20那这个实验就是对称拓扑验证结论最直观。另一种做法是把SW2的两个Access口所属VLAN调换比如G0/0/2划入VLAN 20、G0/0/3划入VLAN 10制造非对称拓扑。两种做法都能验证跨交换机VLAN透传第一种更适合入门第二种适合毕设里体现思考深度。我建议第一次做实验用对称拓扑先配最基本的概念验证。配完后如果想体现差异性再改端口角色重新测一轮这样整个实验就有对比数据可写。system-view sysname SW2 vlan batch 10 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/3 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit这段配置和SW1唯一的差别是sysname。这里不偷懒的原因在于毕设或实验报告里要展示两端独立配置的过程如果直接复制粘贴然后只改设备名答辩时被问到“你完全理解这段命令吗”会很难收场。我建议你自己手动敲一遍SW1敲完一遍SW2再敲一遍敲的过程中想一下每个命令的作用。提示华为eNSP支持快捷键Tab自动补全也能用查看参数。配置完成后务必执行display current-configuration逐项核对重点检查Trunk口的allow-pass列表有没有被后续命令覆盖。4.3 端口加入多个VLAN什么时候需要、怎么配热词里有“华为交换机一个端口加入多个vlan”这个需求在跨交换机实验中很容易被误解成“Trunk口加入多个VLAN”。实际上一个端口加入多个VLAN有两种正确姿势一是Trunk口通过allow-pass承载多个VLAN的标签帧二是Hybrid口在华为设备上可以同时指定多个VLAN的标签处理规则。如果实验需求是让同一台PC同时访问VLAN 10和VLAN 20的服务器那这个PC的接入端口就不能是Access要用Hybrid或Trunk。区别在于Trunk口多数情况下连交换机Hybrid口既可以连交换机也可以连终端而且华为默认所有端口就是Hybrid模式。你之前配的port link-type access只是把端口从默认Hybrid改成了Access。interface GigabitEthernet0/0/5 port link-type hybrid port hybrid pvid vlan 10 port hybrid untagged vlan 10 20这个配置的意思是G0/0/5作为Hybrid口PVID是VLAN 10发出的VLAN 10和VLAN 20帧都剥离标签untagged。接在它下面的设备不需要支持802.1Q就能同时访问两个VLAN。这个技巧在部分毕设场景里很有用比如一台服务器要同时被VLAN 10和VLAN 20的客户端访问但你不想给服务器配VLAN子接口。4.4 验证通信隔离PING、display命令和MAC表三件套配置完成后先做正向验证再做隔离验证。正向验证是PC-A PING PC-C二者都属于VLAN 10跨交换机应该通。隔离验证是PC-A PING PC-B二者虽然在同一台交换机上但属于不同VLAN应该不通PC-A PING PC-D也一样跨交换机加不同VLAN双重隔离。PC-A的IP是192.168.10.10PC-C是192.168.10.20命令行里执行ping 192.168.10.20通了说明VLAN 10的帧成功从SW1穿越Trunk链路到SW2并且被SW2正确送到了VLAN 10的Access口。然后ping 192.168.20.10不通是预期结果。如果这个PING通了说明VLAN隔离失效最可能的原因是两台交换机的Trunk口配置成了Access且划入了同一个VLAN或者Trunk口的allow-pass列表写成了vlan all。验证命令上display vlan能看到VLAN 10和VLAN 20的端口成员列表display mac-address能看到各VLAN对应的MAC地址学习情况。有个小技巧在SW1上查看MAC表如果PC-A的MAC出现在VLAN 10条目下且出接口是G0/0/2而PC-C的MAC也出现在VLAN 10条目下且出接口是G0/0/1说明SW1已经完全学习到了跨交换机路径转发决策不依赖泛洪实验结果是可信的。5. 避坑实录跨交换机VLAN实验里最常翻车的五个现场5.1 同VLAN跨交换机PING不通Trunk口却没放行现象PC-A和PC-C属于VLAN 10两台交换机也都创建了VLAN 10但PING不通。检查连通性物理链路UPAccess口所属VLAN正确。原因SW2上的Trunk口没有执行port trunk allow-pass vlan 10 20或者只写了port trunk allow-pass vlan 10漏了另一个VLAN。帧从SW1带着Tag 10到达SW2SW2发现自己Trunk口的放行列表里没有VLAN 10直接丢弃。解决在SW2的G0/0/1下执行port trunk allow-pass vlan 10 20然后重新PING。排查命令用display port vlan interface GigabitEthernet0/0/1输出里会明确显示Trunk口放行了哪些VLAN以及PVID是多少。5.2 跨交换机VLAN隔离失效所有PC互相PING通现象VLAN 10和VLAN 20的设备全部能互相PING通完全看不到隔离效果。原因大概率是你在配置交换机间互联端口时没有改成Trunk口而是保留默认Hybrid模式并且两端PVID一致、untagged列表都包含两个VLAN。华为默认Hybrid口会对所有VLAN的帧剥离标签发送导致两台交换机之间的链路本身就不区分VLAN成了一个大广播域。解决把互联端口改成Trunk。如果你想保留Hybrid也行但必须明确设置port hybrid tagged vlan 10 20让帧带标签穿越链路同时对端也要做同样配置。我一般直接用Trunk配置语义更清晰排查也更快。血泪经验做VLAN隔离实验时互联链路绝对不能用默认配置必须显式设置链路类型。5.3 配置完Trunk后整个网络不通连管理面都丢了现象给交换机间链路配置Trunk并放行VLAN后原本能通的流量全断了甚至连Telnet管理都进不去。原因Trunk口的默认PVID是VLAN 1而多数管理流量比如Telnet、SNMP走的是VLAN 1。如果两台交换机互联之前是Access口管理流量还能通过改成Trunk后如果管理终端所在的交换机端口属于VLAN 1且Access口发出无标签帧Trunk口会把这个帧按PVID为VLAN 1处理本身应该能通。实际翻车往往是因为你还额外配了port trunk pvid vlan 10无标签的管理帧被划进了VLAN 10管理终端却在VLAN 1自然就读不到。解决用console口登录交换机查看Trunk口配置。如果有port trunk pvid vlan且数值不是1先删除这条配置或改回VLAN 1。管理平面和控制平面不要随便挪PVID这是网络工程里一个不成文的规矩。5.4 eNSP模拟器里PING通但抓包看不到带Tag的帧现象所有VLAN实验都成功但用Wireshark在PC侧或交换机端口上抓包看不到任何802.1Q标签。原因wireshark抓带VLAN的报文必须在交换机端口上抓而不是在PC上抓。PC网卡发出去的帧不带标签因为Access口已经剥掉了。模拟器里还有一个特殊性eNSP的PC是虚拟设备它的网卡不处理VLAN Tag如果你把PC直接改成Trunk口接入交换机PC反而可能直接丢帧或无法通信。解决在eNSP里要抓带Tag的帧可以右键交换机端口开启抓包或者在链路中间串接一个“交换机间互联”的观察点——开启某个Trunk接口的抓包功能后发起PINGWireshark窗口里能看到以太网帧头部多了802.1Q Virtual LAN字段。不要试图在PC侧验证Tag的存在那是违反802.1Q模型的行为。5.5 一台交换机上多个端口加入VLAN后端口之间竟然不通现象同一台交换机上三个端口都划入VLAN 10但其中两个端口之间PING不通。原因这三个端口的链路类型或PVID配置不一致。比如一个是Access口PVID为VLAN 10另一个是Hybrid口但untagged列表里没包含VLAN 10第三个是Trunk口但放行列表里没写VLAN 10。交换机只在同VLAN内转发但“同VLAN”的判断标准对Access、Trunk、Hybrid不同Access看port default vlanTrunk看允许列表里是否有对应TagHybrid看untagged或tagged列表。解决统一用display port vlan查看所有端口的VLAN属性和PVID把涉及VLAN 10的端口统一成相同链路类型。做实验最忌讳在验证阶段还混用三种链路类型初学阶段建议先用清一色Access加Trunk做验证等隔离和互通都验证通过后再单独拿Hybrid做进阶测试。6. 让实验结论更有说服力Wireshark抓Tag与telnet脚本化验证跨交换机VLAN实验做完基础验证后如果想在毕设、课程报告或面试讲解中拿出更有说服力的证据有两条进阶路径值得做。第一条是用Wireshark抓包证明VLAN Tag的完整生命周期。具体操作是在eNSP中右键SW1的G0/0/1接口选择抓包然后从PC-A PING PC-C。抓包结果里能看到SW1发出去的帧携带802.1Q字段VLAN ID是10。然后在SW2的G0/0/2接PC-C的Access口抓包能看到的是无标签帧。这一组对比能直观说明Trunk口带标签跑Access口剥标签交付。实验报告里贴这两张抓包截图比任何文字描述都有力。注意抓包时eNSP会有短暂卡顿PING的超时时间稍调大一点建议使用ping -c 5这类带数量限制的命令避免一直PING导致抓包文件过大。第二条是用Python脚本批量验证。eNSP模拟器的交换机支持Telnet登录你可以用Python的telnetlib库写一个自动化巡检脚本逐个登录两台交换机执行display vlan、display port vlan、display mac-address把输出保存到文件再人工核对。写起来不算复杂但能让整个实验过程具备可复现性——这是网络工程毕设里很加分的一项能力。核心命令大致是import telnetlib import time host 127.0.0.1 port 2002 # eNSP中交换机映射的本地端口 tn telnetlib.Telnet(host, port) tn.read_until(bUsername:) tn.write(badmin\n) time.sleep(1) tn.read_until(bPassword:) tn.write(badmin\n) time.sleep(1) tn.write(bdisplay vlan\n) time.sleep(1) tn.write(bdisplay port vlan\n) time.sleep(1) output tn.read_very_eager() print(output.decode(utf-8)) tn.close()逻辑说明eNSP中每台设备会映射一个本机端口号这个端口模拟了真实设备的Console或Telnet接口你用Telnet连接后进入的就是设备的命令行界面。read_until等待设备返回特定字符串避免模拟器响应慢导致命令发送过早被丢弃。write用于发送命令后面加换行符表示回车执行。read_very_eager抓取缓冲区里已有的全部输出适合在命令执行完后再统一读取但注意time.sleep的时长要够否则输出可能没完全到达。这段脚本要落地到你的实验环境需要先确认设备端开了Telnet服务并在VTY视图里配置了密码不同eNSP版本端口映射方式略有差异需要以你的拓扑中实际显示的映射端口为准。我的习惯是主验证用PING和display命令证据用Wireshark抓包自动化帮助复核。做完这三层验证跨交换机VLAN这个实验就不只是“配通了”而是能讲清楚每一跳的行为、每一个Tag的去向。这个习惯也一直留到了我后来做真实设备调试希望帮到你。本文还有配套的精品资源点击获取