常见的VLAN划分方式和示例场景

未完成的歌~

已于 2025-04-21 18:11:33 修改

阅读量412

点赞数 4

文章标签：网络 VLAN

于 2025-04-17 18:04:21 首次发布

本文链接：https://blog.csdn.net/qq_43531669/article/details/147283614

版权

1. 基于端口的VLAN配置（Port-Based VLAN）

使用频率：最高（占80%以上场景）

定义：根据交换机的物理端口划分VLAN，每个端口固定归属到某个VLAN。

适用设备：所有支持VLAN的交换机（二层/三层）。

特点：

配置简单，易于管理。
设备移动时需重新配置端口。

适用场景：设备位置固定且网络结构稳定的环境（如办公室固定工位）。

示例：将交换机的1-8号端口划入VLAN 10，9-16号端口划入VLAN 20

Cisco交换机配置：

Switch> enable    # 输入命令后，可能需要输入特权密码（若有设置）
Switch# configure terminal  # 进入全局配置模式
Switch(config)# vlan 10                 # 创建VLAN 10
Switch(config-vlan)# name Sales         # 命名VLAN（可选）
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Engineering
Switch(config-vlan)# exit

Switch(config)# interface range gig0/1-8   # 进入1-8号端口
Switch(config-if-range)# switchport mode access   # 设置为接入模式
Switch(config-if-range)# switchport access vlan 10  # 绑定到VLAN 10
Switch(config-if-range)# exit

Switch(config)# interface range gig0/9-16  # 同理配置9-16号端口
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 20

华为交换机配置：

<Huawei> system-view  # 从用户视图切换到系统视图（配置模式）
[Huawei] vlan batch 10 20       # 批量创建VLAN 10和20
[Huawei] interface gigabitethernet 0/0/1 to 0/0/8  # 进入端口1-8的接口范围视图
[Huawei-interface-range] port link-type access   # 设置为接入模式
[Huawei-interface-range] port default vlan 10    # 绑定到VLAN 10
[Huawei-interface-range] quit
[Huawei] interface gigabitethernet 0/0/9 to 0/0/16
[Huawei-interface-range] port link-type access
[Huawei-interface-range] port default vlan 20

验证命令：

Cisco: show vlan brief
华为: display vlan

2. 基于子网的VLAN（Subnet-Based VLAN）

使用频率：次高（需三层交换机支持）

定义：根据设备的IP地址或子网划分VLAN。

适用设备：适用设备：三层交换机（如Cisco 3560、华为S5700）。

特点：

基于三层网络信息，适合按部门或业务划分网络。
需要交换机支持三层功能。

适用场景：按IP地址段隔离不同部门（如财务部使用192.168.10.0/24，市场部使用192.168.20.0/24）。

示例：子网192.168.10.0/24对应VLAN 10，192.168.20.0/24对应VLAN 20。

Cisco交换机配置

Switch(config)# vlan 10  # 创建VLAN 10（若已存在则直接进入配置模式）
Switch(config-vlan)# exit
Switch(config)# interface vlan 10         # 创建VLAN接口
Switch(config-if)# ip address 192.168.10.1 255.255.255.0  # 配置VLAN的网关IP
Switch(config-if)# exit

Switch(config)# vlan 20
Switch(config-vlan)# exit
Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# exit

Switch(config)# ip routing   # 启用三层路由功能

华为交换机配置

[Huawei] vlan batch 10 20
[Huawei] interface vlanif 10          # 进入VLAN接口
[Huawei-Vlanif10] ip address 192.168.10.1 24  # 配置网关
[Huawei-Vlanif10] quit
[Huawei] interface vlanif 20
[Huawei-Vlanif20] ip address 192.168.20.1 24
[Huawei-Vlanif20] quit
[Huawei] ip route-static 0.0.0.0 0.0.0.0 192.168.1.1  # 配置默认路由（可选）

验证命令

Cisco: show mac-address-table vlan 30

华为: display mac-vlan

3. 基于策略的VLAN（Policy-Based VLAN）

使用频率：快速增长（尤其重视安全的场景）

定义：结合多种条件（如MAC地址、IP地址、端口、用户身份等）动态划分VLAN。

适用设备：支持RADIUS和802.1X的交换机（如Cisco ISE、华为AC6605）。

特点：

灵活性高，安全性强。
需要支持高级策略的交换机（如Cisco ISE、802.1X认证）。

适用场景：对安全要求高的环境（如企业内网按角色隔离访问权限）。

示例：通过802.1X认证的用户根据AD组策略动态加入对应VLAN。

Cisco交换机配置

Switch(config)# aaa new-model  # 启用AAA（认证、授权、计费）服务，这是进行任何AAA相关配置的前提
Switch(config)# radius server RADIUS_SERVER  # 创建名为RADIUS_SERVER的RADIUS服务器配置并进入其配置模式
Switch(config-radius-server)# address ipv4 10.1.1.100 auth-port 1812  # 指定RADIUS服务器的IPv4地址为10.1.1.100，认证端口使用标准1812端口
Switch(config-radius-server)# key MySecretKey  # 配置与RADIUS服务器通信的共享密钥为"MySecretKey"，需与RADIUS服务器配置一致
Switch(config-radius-server)# exit  # 退出RADIUS服务器配置模式，返回全局配置模式

Switch(config)# aaa authentication dot1x default group radius  # 为802.1X认证配置默认方法：使用RADIUS服务器组进行认证
Switch(config)# interface gig0/1  # 进入千兆以太网接口0/1的配置模式
Switch(config-if)# switchport mode access  # 将接口设置为访问模式（非Trunk），适用于连接终端设备
Switch(config-if)# dot1x port-control auto  # 启用802.1X认证，并将端口控制模式设为auto（需认证成功后才允许网络访问）
Switch(config-if)# authentication event fail retry 3  # 配置认证失败事件的重试次数为3次，超过后用户将被锁定需等待

华为交换机配置;

[Huawei] aaa
[Huawei-aaa] authentication-scheme DOT1X
[Huawei-aaa-authen-dot1x] authentication-mode radius  # 认证模式为RADIUS
[Huawei-aaa-authen-dot1x] quit
[Huawei-aaa] accounting-scheme DOT1X
[Huawei-aaa-accounting-dot1x] accounting-mode radius
[Huawei-aaa-accounting-dot1x] quit
[Huawei-aaa] quit

[Huawei] radius-server template RADIUS
[Huawei-radius-RADIUS] radius-server shared-key MySecretKey
[Huawei-radius-RADIUS] radius-server authentication 10.1.1.100 1812  # 服务器地址
[Huawei-radius-RADIUS] quit

[Huawei] interface gigabitethernet 0/0/1
[Huawei-GigabitEthernet0/0/1] dot1x enable      # 启用802.1X
[Huawei-GigabitEthernet0/0/1] dot1x authentication-method eap  # 认证方式

验证命令

Cisco: show dot1x all

华为: display dot1x

4. 基于MAC地址的VLAN（MAC-Based VLAN）

定义：根据设备的MAC地址动态划分VLAN。

适用设备：所有支持VLAN的交换机（二层/三层）。

特点：

设备移动时无需重新配置，自动跟随MAC地址加入对应VLAN。
需要维护MAC地址与VLAN的映射表。

适用场景：移动设备较多且位置频繁变动的环境（如会议室、无线终端）。

示例：MAC地址为00:1A:2B:3C:4D:5E的设备动态加入VLAN 30。

Cisco交换机配置

Switch(config)# vlan 30    # 创建VLAN 30
Switch(config-vlan)# exit  # 退出VLAN配置模式
Switch(config)# mac-address-table static 001A.2B3C.4D5E vlan 30  # 绑定MAC到VLAN
Switch(config)# interface gig0/1
Switch(config-if)# switchport mode dynamic auto   # 启用动态VLAN

华为交换机配置

[Huawei] vlan 30
[Huawei-vlan30] quit
[Huawei] mac-vlan mac-address 001A-2B3C-4D5E   # 创建MAC-VLAN映射
[Huawei] interface gigabitethernet 0/0/1 #进入设备的接口视图，指定要配置的接口为编号 0/0/1 的千兆以太网接口。
[Huawei-GigabitEthernet0/0/1] mac-vlan enable    # 启用MAC-VLAN功能
[Huawei-GigabitEthernet0/0/1] port hybrid untagged vlan 30  # 允许VLAN 30通过

验证命令

Cisco: show mac-address-table vlan 30

华为: display mac-vlan