企业官网建设流程全解析

简介：这份资源是面向计算机网络专业学生、网络管理员及初学者的跨交换机VLAN配置实验文档，基于华为eNSP模拟软件，帮助读者掌握复杂交换式以太网的设计流程与VLAN划分方法。内容围绕接入端口与主干端口的区别、IEEE802.1Q标准MAC帧格式验证、同VLAN终端通信与不同VLAN隔离测试等核心知识点展开，并附有捕获报文失败等常见问题的排查思路。资源包内含1个docx文档，约1.98MB，以图文步骤形式呈现实验全过程，便于对照操作与复盘。目前已有2504人学习下载，适合需要系统训练VLAN配置、理解跨VLAN通信原理并提升实际排错能力的读者参考使用。

1. 跨交换机 VLAN 配置：为什么你的 PC 能 ping 通却上不了网关

同一个 VLAN 里的两台 PC，接在不同交换机上，IP 配在同一网段，ping却时通时不通；或者干脆不通，但把两台机器插到同一台交换机上就立刻好了。这个现象在 eNSP 里做 VLAN 实验的人几乎都遇到过，玄学程度堪比“重启一下就好了”。问题基本不在 IP 层，而在二层——跨交换机的 VLAN 到底有没有真正打通，Trunk 链路上允许了哪些 VLAN，PVID 有没有对齐，这三件事任何一件没做对，通信隔离就会以各种奇怪的方式表现出来。

这篇笔记讲的就是基于华为 eNSP 的跨交换机 VLAN 划分与通信隔离实践。核心目标很明确：把两台交换机之间的链路配成 Trunk，让同一个 VLAN 的终端跨设备互通，同时让不同 VLAN 之间严格隔离。适合正在学网络工程、准备做 VLAN 实验、或者被 Trunk 和 PVID 绕晕的从业者。下面从拓扑设计一路写到排错，每一步都能在 eNSP 里直接复现。

2. 拓扑设计与 VLAN 划分：先把隔离边界画清楚

2.1 为什么选两台交换机加四台 PC 的最小拓扑

做跨交换机 VLAN 实验，拓扑不需要复杂，但必须能体现“跨设备”这个关键点。我一般用两台交换机（SW1、SW2）加四台 PC 的经典结构：SW1 接 PC1、PC2，SW2 接 PC3、PC4，两台交换机之间用一条链路互联。VLAN 规划上，VLAN 10 放 PC1 和 PC3，VLAN 20 放 PC2 和 PC4。这样设计的好处是，同一个 VLAN 的终端分布在两台交换机上，必须经过 Trunk 链路才能通信，隔离和互通两个需求都能验证到。

如果只在一台交换机上划 VLAN，那叫本地 VLAN 实验，验证不了跨设备场景。而如果一上来就搞三台交换机加冗余链路，STP 收敛和 Trunk 允许列表会互相干扰，新手很容易在排错时分不清是 VLAN 没通还是 STP 把口阻塞了。所以最小可用拓扑就是两台交换机、一条互联链路、四台 PC，先把这一层跑通，再往上加复杂度。

在 eNSP 里拖出两台 S5700 或 S3700 都行，PC 用默认的 PC 设备。连线时注意：PC 到交换机用 Copper 线，交换机之间也用 Copper 线。连完之后先别急着配，把每台 PC 的 IP 和子网掩码规划好，后面配 VLAN 的时候直接对照。

2.2 VLAN 划分与接口类型：Access 和 Trunk 到底怎么选

VLAN 划分的本质是把物理接口逻辑上分到不同的广播域。华为交换机上接口类型主要有三种：Access、Trunk、Hybrid。这个实验里只会用到前两种。Access 口用来接终端，只属于一个 VLAN；Trunk 口用来接交换机，可以允许多个 VLAN 通过。

具体到接口分配：SW1 的 GE0/0/1 接 PC1，划到 VLAN 10，配成 Access；GE0/0/2 接 PC2，划到 VLAN 20，配成 Access；GE0/0/3 接 SW2，配成 Trunk，允许 VLAN 10 和 20 通过。SW2 对称配置：GE0/0/1 接 PC3 划 VLAN 10，GE0/0/2 接 PC4 划 VLAN 20，GE0/0/3 配 Trunk 允许 VLAN 10 和 20。

这里有个容易翻车的点：Trunk 口默认只允许 VLAN 1 通过，如果你不手动放行 VLAN 10 和 20，跨交换机的同 VLAN 通信直接断掉。很多人配完 Access 口发现本地能通、跨设备不通，就是卡在这里。所以 Trunk 口上的port trunk allow-pass vlan是必须写的，不能省。

2.3 完整配置命令与逐段说明

先配 SW1。进入系统视图，创建 VLAN 10 和 20，然后把接口逐个配好。

<SW1> system-view [SW1] vlan batch 10 20 [SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1-GigabitEthernet0/0/1] quit [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20 [SW1-GigabitEthernet0/0/2] quit [SW1] interface GigabitEthernet 0/0/3 [SW1-GigabitEthernet0/0/3] port link-type trunk [SW1-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20 [SW1-GigabitEthernet0/0/3] quit

vlan batch 10 20一次创建两个 VLAN，比逐个创建省事。Access 口上port default vlan 10表示这个口收到的无标签帧打上 VLAN 10 的标签，发出去的时候剥掉标签。Trunk 口上port trunk allow-pass vlan 10 20是放行列表，只有在这个列表里的 VLAN 才能通过这条链路。注意华为交换机 Trunk 口的 PVID 默认是 VLAN 1，这个实验里不需要改，因为两端 PVID 一致，不会产生 VLAN 跳变。

SW2 的配置对称，只是接口编号对应不同的 PC。

<SW2> system-view [SW2] vlan batch 10 20 [SW2] interface GigabitEthernet 0/0/1 [SW2-GigabitEthernet0/0/1] port link-type access [SW2-GigabitEthernet0/0/1] port default vlan 10 [SW2-GigabitEthernet0/0/1] quit [SW2] interface GigabitEthernet 0/0/2 [SW2-GigabitEthernet0/0/2] port link-type access [SW2-GigabitEthernet0/0/2] port default vlan 20 [SW2-GigabitEthernet0/0/2] quit [SW2] interface GigabitEthernet 0/0/3 [SW2-GigabitEthernet0/0/3] port link-type trunk [SW2-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20 [SW2-GigabitEthernet0/0/3] quit

配完之后用display vlan看 VLAN 里包含哪些接口，用display port vlan看接口的 PVID 和允许列表。这两个命令是后面排错的主要依据，建议配完就查一遍，别等 ping 不通了再回头找。

PC 端的 IP 规划：PC1 和 PC3 配 192.168.10.1/24 和 192.168.10.2/24，PC2 和 PC4 配 192.168.20.1/24 和 192.168.20.2/24。eNSP 里 PC 的 IP 在基础配置页签里填，填完记得点应用。然后从 PC1 ping PC3，应该通；从 PC1 ping PC2 或 PC4，应该不通。这就是通信隔离的验证标准。

3. 通信隔离验证与 Trunk 链路排查：ping 不通时先看这三处

3.1 用 ping 和 display 命令定位隔离是否生效

验证分两步：先验互通，再验隔离。互通验证就是 PC1 ping PC3、PC2 ping PC4，这两对应通。隔离验证是 PC1 ping PC2、PC1 ping PC4、PC3 ping PC2、PC3 ping PC4，这四对应全部不通。如果互通对不通，说明 Trunk 或 Access 配置有问题；如果隔离对反而通了，说明 VLAN 划分没生效，可能所有口都在默认 VLAN 1 里。

在 eNSP 里 ping 的时候注意，第一次 ping 可能会丢一两个包，这是 ARP 解析的正常现象，别急着改配置。等 ARP 表项建立之后，后续 ping 应该稳定。如果持续丢包或者时通时不通，那才是配置问题。

排查顺序我一般是这样：先在 SW1 上display vlan 10，确认 GE0/0/1 和 GE0/0/3 都在 VLAN 10 里；再display port vlan看 GE0/0/3 的 trunk 允许列表里有没有 10 和 20；然后去 SW2 上重复同样的检查。两端都对了，再看 PC 的 IP 和网关（这个实验不需要网关，同网段直接二层转发）。三步走完，基本能定位到具体哪台设备的哪个口有问题。

3.2 Trunk 允许列表和 PVID 不一致会怎样

Trunk 允许列表不一致是最常见的跨交换机故障。比如 SW1 的 GE0/0/3 允许了 VLAN 10 和 20，但 SW2 的 GE0/0/3 只允许了 VLAN 10，那 VLAN 20 的流量在 SW2 入口就被丢弃了。现象是 PC2 能 ping 通 SW2 上的 PC4，但 ping 不通 SW1 上的 PC2（如果 PC2 在 SW1 侧）。这种“半边通”的情况，八成是两端 Trunk 允许列表不对称。

PVID 不一致是另一个坑。华为交换机 Trunk 口的 PVID 默认是 1，如果一端改成了 10，另一端还是 1，那么不带标签的帧在两端会被打到不同的 VLAN 里。这个实验里终端都是 Access 口，发出来的帧已经带了 VLAN 标签，所以 PVID 不影响。但如果 Trunk 链路上有未标记帧（比如某些厂商设备互联），PVID 不一致就会导致 VLAN 跳变，流量跑到错误的 VLAN 里去。稳妥做法是两端 Trunk 口的 PVID 保持一致，要么都用默认 1，要么都改成同一个值。

3.3 用 display interface trunk 看链路实际放行状态

display interface GigabitEthernet 0/0/3能看到接口的物理状态和 trunk 信息，但更直接的是display port vlan或者display interface trunk。在 S5700 上，display port vlan会列出每个接口的 PVID、允许通过的 VLAN 列表、以及接口类型。这个输出比display current-configuration更直观，因为后者是配置回显，前者是实际生效状态。

如果发现 Trunk 口允许列表里没有某个 VLAN，但配置里明明写了，那可能是 VLAN 没创建。华为交换机上，如果 VLAN 不存在，port trunk allow-pass vlan会报错或者不生效。所以顺序很重要：先vlan batch创建 VLAN，再配接口。如果顺序反了，补一条vlan batch再重新配接口就行。

还有一个细节：eNSP 里交换机的接口默认是 up 状态，但如果你连线的时候选错了接口类型（比如用了 Serial 线），接口协议状态可能不对。确认连线是 Copper 且接口指示灯变绿，再开始配。

4. 避坑与常见问题：五个让实验翻车的细节

4.1 现象：PC1 能 ping 通 PC3，但 PC2 ping 不通 PC4

原因：SW2 的 GE0/0/2 没有划到 VLAN 20，或者划错了 VLAN。也可能是 SW2 的 Trunk 口没有允许 VLAN 20 通过。

解决：在 SW2 上display vlan 20，确认 GE0/0/2 在 VLAN 20 里；再display port vlan看 GE0/0/3 的允许列表有没有 20。缺哪个补哪个。

4.2 现象：所有 PC 都能互相 ping 通，隔离完全失效

原因：接口没有配port link-type access和port default vlan，所有口都在默认的 VLAN 1 里。或者 Trunk 口配成了 Access，导致 VLAN 标签被剥掉。

解决：逐个接口检查display port vlan，确认 Access 口的 PVID 是对应 VLAN，Trunk 口的类型是 trunk。如果 Trunk 口误配成 Access，改成port link-type trunk再放行 VLAN。

4.3 现象：配置看起来都对，但跨交换机就是不通

原因：Trunk 链路的物理连接有问题，或者 eNSP 里接口没有启动。也可能是两端 Trunk 的允许列表都写了，但 VLAN 没有实际创建。

解决：先display interface GigabitEthernet 0/0/3看物理状态是不是 up。如果是 down，检查连线。如果 up 但不通，display vlan确认 VLAN 存在，display port vlan确认允许列表生效。

4.4 现象：ping 第一个包通，后面全丢

原因：ARP 表项老化或者 eNSP 模拟器的 ARP 处理有延迟。也可能是 PC 的防火墙或 eNSP 的 PC 配置没点应用。

解决：在 PC 上重新点一次应用，或者在交换机上display arp看 ARP 表项有没有学到。eNSP 里 PC 的 ARP 行为有时不太稳定，多 ping 几次通常能恢复。如果持续这样，重启 eNSP 的 PC 设备。

4.5 现象：Trunk 口配置报错“Error: The VLAN does not exist”

原因：VLAN 没有提前创建，直接配port trunk allow-pass vlan 10会报这个错。

解决：先vlan batch 10 20创建 VLAN，再配接口。如果已经配了接口但 VLAN 没建，补建 VLAN 后重新执行 allow-pass 命令。

5. 进阶技巧：用 Hybrid 口做更细的隔离和验证

Hybrid 口是华为交换机上比 Trunk 更灵活的一种接口类型，它能控制出方向是否带标签，适合做更细粒度的 VLAN 隔离。比如你想让某个 VLAN 的流量在 Trunk 链路上不带标签通过，或者想让一个接口同时属于多个 VLAN 且出方向标签策略不同，Hybrid 就能派上用场。

配置 Hybrid 口的关键命令是port hybrid pvid vlan X和port hybrid untagged vlan X Y或port hybrid tagged vlan X Y。untagged表示出方向剥掉标签，tagged表示出方向保留标签。跨交换机互联时，如果两端都配 Hybrid，可以做到一端 tagged、一端 untagged，但这样容易乱，我一般两端保持一致，都用 tagged。

验证 Hybrid 配置是否生效，除了display port vlan，还可以用display vlan看接口在哪些 VLAN 里。Hybrid 口的允许列表不像 Trunk 那样有单独的 allow-pass 命令，而是通过 tagged/untagged 列表隐式放行。所以排查的时候要看display port vlan里的 tagged 和 untagged 列。

一个实用技巧：在 eNSP 里做 VLAN 实验时，打开“数据包捕获”功能，抓 Trunk 链路上的包，能看到 VLAN 标签的实际值。如果标签是 10 或 20，说明 Access 口打标正确；如果看不到标签，说明 Trunk 口把标签剥了，或者流量根本没进 Trunk。这个抓包方法比反复 ping 更直接，尤其适合排查“配置都对但就是不通”的玄学问题。

我自己的习惯是，每配完一个接口就display port vlan看一眼，不等到最后一起查。VLAN 实验的配置量不大，但接口之间的依赖关系容易出错，边配边验比事后排错省时间。另外，eNSP 的配置保存和恢复不太可靠，配完记得在交换机上save，不然下次打开可能回到初始状态。希望帮到你。

本文还有配套的精品资源，点击获取