VLAN 划分原则与落地：按功能隔离、地址规划与 Trunk 收口

VLAN（虚拟局域网）把二层广播域切小，让同一交换机上不同 VLAN 的主机默认互不通信，既隔离广播又便于按部门/区域管理。划分方式常见按端口、按 MAC、按子网，工程中用得最多的是基于端口的静态划分。

一、Access 与 Trunk

Access 口归属单一 VLAN，接终端（PC、打印机）。配置：port link-type access 后 port default vlan 10。接口多时用一个一个配太累，用端口组批量：port-group 1 → group-member g0/0/3 to g0/0/4 → 统一设 access 与默认 VLAN。Trunk 口用于交换机互联，可透传多个 VLAN，靠 IEEE 802.1Q 在帧头打 VLAN 标签区分；两端 Trunk 允许的 VLAN 列表要一致，否则某些 VLAN 不通。

二、一个最小实验

需求：PC1、PC3 属 VLAN10，PC2、PC4 属 VLAN20，同 VLAN 互访、跨 VLAN 隔离。做法：两交换机上各 vlan batch 10 20；连接 PC 的接口配 access 并分别划入 10/20；交换机互联口配 trunk 放行 10、20。验证：同 VLAN 两 PC 能 ping 通，跨 VLAN 默认不通（要通需加三层路由/单臂路由）。注意交换机 VLAN 总数 4096，0 和 4095 保留。

三、工程要点

VLAN 规划要留余量，管理 VLAN、业务 VLAN、设备互联 VLAN 分开；Trunk 少放不必要的 VLAN 缩小广播面；跨 VLAN 通信必须借助三层（SVI 或路由器），别指望二层 VLAN 自己打通。

三、VLAN 划分落地 Checklist

• 按功能隔离 → 监控/办公/访客/设备网分 VLAN，广播域收敛、故障不串。
• 地址规划 → 每 VLAN 独立子网，网关落三层交换机或防火墙。
• Trunk 收口 → 上联口配 Trunk 放通所需 VLAN，禁止放通 all。

常见坑：Trunk 放通 vlan all 把不该互通的网段打通、或 VLAN 间没做 ACL 导致监控网被办公网直访；划分后实测跨 VLAN 不通、同 VLAN 通。