华为eNSP跨交换机VLAN配置实验：802.1Q标签与隔离验证

简介这份资源是面向计算机网络专业学生、网络管理员及初学者的跨交换机VLAN配置实验文档基于华为eNSP模拟软件帮助读者掌握复杂交换式以太网的设计流程与VLAN划分方法。内容围绕跨交换机VLAN划分、接入端口与主干端口的功能差异、IEEE802.1Q标准MAC帧格式验证以及同VLAN终端互通、不同VLAN终端隔离的通信测试展开并附有捕获报文失败等常见问题的排查思路。资源包内含1个docx文档大小约1.98MB以实验指导书形式呈现涵盖设备连接、IP地址配置、VLAN与端口映射表、隔离性测试及帧格式观察等完整环节。目前已有2504人学习下载适合需要系统理解VLAN标签机制、提升网络设备配置与问题解决能力的读者参考实践。1. 跨交换机VLAN配置实验为什么同网段IP也ping不通很多人第一次做跨交换机VLAN实验时都会愣住PC1到PC8的IP全部配在192.1.1.0/24里按理说同网段就该通结果划分完VLANPC3能ping通PC4却死活ping不通PC2。这不是玄学而是IEEE802.1Q在数据链路层做的逻辑隔离——IP层看着像一家人二层早就被VLAN ID分到不同房间了。这份华为eNSP跨交换机VLAN配置实验资源核心就是让你亲手复现这个过程三台交换机LSW1、LSW2、LSW3八台PC通过接入端口和主干端口把VLAN2、VLAN3、VLAN4跨设备打通再用抓包验证802.1Q标签。适合正在学实用网络技术实训的学生、准备网络方向面试的从业者以及需要快速搭一套可演示拓扑的网工。下面按我实际拆这套实验的顺序讲能直接抄作业。2. 实验原理与拓扑搭建三台交换机怎么连、端口怎么分2.1 先搞清接入端口和主干端口的本质区别这套实验最容易翻车的地方不是命令记不住而是没理解两种端口的行为差异。接入端口Access只属于一个VLAN收到不带标签的帧就打上该VLAN的PVID发出时剥掉标签终端根本感知不到VLAN存在。主干端口Trunk则允许多个VLAN的帧通过发出时保留802.1Q标签让对端交换机知道这个帧属于哪个VLAN。实验里LSW1的GE0/0/4、LSW2的GE0/0/1和GE0/0/2、LSW3的GE0/0/4都是主干端口它们负责在交换机之间传递带标签的帧。如果误把主干端口配成接入端口跨交换机的同VLAN终端就会断这是最高频的坑。2.2 在eNSP里把拓扑和IP先落地启动eNSP后按实验拓扑放置三台交换机建议选S5700或S3700系列和八台PC连线时注意交换机之间的互联口要预留出来做TrunkPC到交换机的口做Access。连好后先别急着配VLAN把IP配齐验证默认VLAN1下全通这是后面做对比的基线。PC侧配置在eNSP里直接双击PC在基础配置页填PC1: 192.1.1.1 255.255.255.0 PC2: 192.1.1.2 255.255.255.0 PC3: 192.1.1.3 255.255.255.0 PC4: 192.1.1.4 255.255.255.0 PC5: 192.1.1.5 255.255.255.0 PC6: 192.1.1.6 255.255.255.0 PC7: 192.1.1.7 255.255.255.0 PC8: 192.1.1.8 255.255.255.0这里子网掩码统一用255.255.255.0保证八台设备在同一网段。配完后在PC1命令行里ping 192.1.1.3和192.1.1.6默认VLAN1下应该全通。这一步别跳过否则后面VLAN隔离生效时你分不清是配置错了还是本来就不通。2.3 按映射表创建VLAN并分配端口这是整套实验的核心操作。三台交换机的VLAN与端口映射必须严格按表来错一个端口隔离测试就会出意外结果。先看LSW1的配置Huawei system-view [Huawei] sysname LSW1 [LSW1] vlan batch 2 4 [LSW1] interface GigabitEthernet 0/0/1 [LSW1-GigabitEthernet0/0/1] port link-type access [LSW1-GigabitEthernet0/0/1] port default vlan 2 [LSW1-GigabitEthernet0/0/1] quit [LSW1] interface GigabitEthernet 0/0/2 [LSW1-GigabitEthernet0/0/2] port link-type access [LSW1-GigabitEthernet0/0/2] port default vlan 2 [LSW1-GigabitEthernet0/0/2] quit [LSW1] interface GigabitEthernet 0/0/3 [LSW1-GigabitEthernet0/0/3] port link-type access [LSW1-GigabitEthernet0/0/3] port default vlan 4 [LSW1-GigabitEthernet0/0/3] quit [LSW1] interface GigabitEthernet 0/0/4 [LSW1-GigabitEthernet0/0/4] port link-type trunk [LSW1-GigabitEthernet0/0/4] port trunk allow-pass vlan 2 4 [LSW1-GigabitEthernet0/0/4] quit逻辑说明vlan batch 2 4一次创建两个VLAN比逐个创建省事。接入端口用port link-type access加port default vlan X两步绑定。主干端口关键在port trunk allow-pass vlan 2 4只放行需要的VLAN别图省事写allow-pass vlan all那会把无关VLAN也放过去隔离测试就不纯粹了。LSW2的映射更复杂它同时承载VLAN2、VLAN3、VLAN4且有两个主干端口Huawei system-view [Huawei] sysname LSW2 [LSW2] vlan batch 2 3 4 [LSW2] interface GigabitEthernet 0/0/3 [LSW2-GigabitEthernet0/0/3] port link-type access [LSW2-GigabitEthernet0/0/3] port default vlan 2 [LSW2-GigabitEthernet0/0/3] quit [LSW2] interface GigabitEthernet 0/0/4 [LSW2-GigabitEthernet0/0/4] port link-type access [LSW2-GigabitEthernet0/0/4] port default vlan 3 [LSW2-GigabitEthernet0/0/4] quit [LSW2] interface GigabitEthernet 0/0/1 [LSW2-GigabitEthernet0/0/1] port link-type access [LSW2-GigabitEthernet0/0/1] port default vlan 4 [LSW2-GigabitEthernet0/0/1] quit [LSW2] interface GigabitEthernet 0/0/2 [LSW2-GigabitEthernet0/0/2] port link-type access [LSW2-GigabitEthernet0/0/2] port default vlan 4 [LSW2-GigabitEthernet0/0/2] quit [LSW2] interface GigabitEthernet 0/0/1 [LSW2-GigabitEthernet0/0/1] port link-type trunk [LSW2-GigabitEthernet0/0/1] port trunk allow-pass vlan 2 3 4 [LSW2-GigabitEthernet0/0/1] quit [LSW2] interface GigabitEthernet 0/0/2 [LSW2-GigabitEthernet0/0/2] port link-type trunk [LSW2-GigabitEthernet0/0/2] port trunk allow-pass vlan 2 3 4 [LSW2-GigabitEthernet0/0/2] quit注意这里有个容易搞混的点LSW2的GE0/0/1和GE0/0/2在映射表里既是VLAN4的接入端口又是主干端口。实际配置时一个物理口只能有一种link-type所以要么按实验图重新确认端口编号要么把接入和主干分到不同物理口。我一般会先画一张端口分配表再敲命令避免这种冲突。LSW3的配置Huawei system-view [Huawei] sysname LSW3 [LSW3] vlan batch 3 4 [LSW3] interface GigabitEthernet 0/0/2 [LSW3-GigabitEthernet0/0/2] port link-type access [LSW3-GigabitEthernet0/0/2] port default vlan 3 [LSW3-GigabitEthernet0/0/2] quit [LSW3] interface GigabitEthernet 0/0/3 [LSW3-GigabitEthernet0/0/3] port link-type access [LSW3-GigabitEthernet0/0/3] port default vlan 3 [LSW3-GigabitEthernet0/0/3] quit [LSW3] interface GigabitEthernet 0/0/1 [LSW3-GigabitEthernet0/0/1] port link-type access [LSW3-GigabitEthernet0/0/1] port default vlan 4 [LSW3-GigabitEthernet0/0/1] quit [LSW3] interface GigabitEthernet 0/0/4 [LSW3-GigabitEthernet0/0/4] port link-type trunk [LSW3-GigabitEthernet0/0/4] port trunk allow-pass vlan 3 4 [LSW3-GigabitEthernet0/0/4] quit三台配完后用display vlan逐台检查确认每个VLAN下的端口列表和映射表一致。这一步花两分钟能省掉后面半小时的排查。3. 隔离验证与802.1Q抓包怎么确认VLAN真的生效了3.1 用ping做同VLAN通、跨VLAN断的对照测试配置完成后先测同VLAN通信。PC3和PC4都属于VLAN4在PC3上执行PC3 ping 192.1.1.4应该能通。再测跨VLANPC3VLAN4ping PC2VLAN2PC3 ping 192.1.1.2应该超时或显示不可达。同样PC6和PC8同属VLAN3互ping应通PC6VLAN3ping PC4VLAN4应断。这套对照测试是验证隔离性的标准做法四组结果全对说明VLAN划分和Trunk放行都没问题。如果同VLAN不通优先查三处两端接入端口的port default vlan是否一致、路径上所有Trunk口是否allow-pass了该VLAN、物理连线是否接在了正确的端口上。跨VLAN通了反而更麻烦通常是Trunk口写了allow-pass vlan all或者某台交换机漏配了VLAN导致帧被泛洪。3.2 抓802.1Q帧看清VLAN ID到底打在哪实验要求启动LSW1的GE0/0/4抓包观察ping报文里的VLAN标签。在eNSP里右键该端口选择“开始抓包”然后在PC1上ping PC3抓包窗口里应该能看到带802.1Q标签的帧。802.1Q帧的关键结构是在源MAC之后插入4字节标签2字节TPID固定0x8100 2字节TCITCI里高4位是优先级低12位是VLAN ID。抓到的帧里VLAN ID显示为2说明PC1所在VLAN2的流量被正确打标后从Trunk口发出。如果抓不到带标签的帧常见原因是抓包端口选错了——必须抓Trunk口抓Access口是看不到标签的因为Access口发出前已经剥掉了。另外eNSP的抓包有时需要先停止再重新开始才能刷新这个软件层面的小毛病我遇到过不止一次。4. 避坑与排查捕获报文失败、端口冲突这些坑怎么填4.1 抓包失败看不到802.1Q帧现象右键端口启动抓包后ping操作也做了但抓包窗口空白或只有普通以太网帧。原因一是抓包端口选成了Access口标签已被剥离二是eNSP抓包进程没正常启动或者过滤器把802.1Q帧过滤掉了三是ping根本没经过该端口路径不对。解决确认抓的是Trunk口本实验是GE0/0/4检查过滤器是否设为只抓ICMP导致标签信息被简化显示重启抓包功能再试。还不行就在交换机上用display interface GigabitEthernet 0/0/4确认端口up且流量计数在涨。4.2 同一物理口既要做Access又要做Trunk现象按映射表配到一半发现某个口既被标为VLAN的接入端口又被标为主干端口命令敲下去后一个覆盖另一个。原因映射表描述的是逻辑角色但一个物理口的link-type只能是一种。实验图里如果出现这种情况通常是端口编号标注有歧义。解决回到拓扑图逐个口确认实际连线用途PC接的口做Access交换机互联的口做Trunk。实在冲突就换一个空闲口。我一般会在纸上先列“端口号-对端设备-角色-VLAN”四列确认无冲突再上机。4.3 同VLAN跨交换机不通现象PC3和PC4都在VLAN4但一个在LSW1一个在LSW3ping不通。原因中间经过的Trunk口没有放行VLAN4或者某台交换机上根本没创建VLAN4。解决逐台执行display vlan看VLAN4是否存在、端口列表是否包含互联口再执行display port trunk或display interface看Trunk口的allow-pass列表。缺哪个补哪个注意路径上每一跳都要放行。4.4 默认VLAN1没清干净导致隔离失效现象划分VLAN后跨VLAN的PC居然还能ping通。原因某些端口没改link-type仍是默认的Access VLAN1或者Trunk口allow-pass了VLAN1导致流量从VLAN1绕过去了。解决用display vlan 1检查还有哪些端口挂在VLAN1下把不该在的端口改走。Trunk口如果不需要VLAN1用undo port trunk allow-pass vlan 1去掉。4.5 IP配了但ping不通网关外的地址现象同VLAN内能通但想验证跨网段时全断。原因这套实验只做二层VLAN隔离没有配三层接口或路由跨网段本来就不通不是故障。解决明确实验目标只验证二层隔离不要引入三层期望。如果要做VLAN间路由那是另一个实验需要配VLANIF接口或单臂路由。5. 进阶技巧用display命令和端口镜像把验证做扎实这套实验做完一遍只能算“跑通”要真正吃透我习惯加两个动作。第一个是养成用display系列命令自检的习惯别只靠ping。每配完一台交换机依次执行display vlan display interface brief display port vlandisplay vlan看VLAN和端口归属display interface brief确认端口物理状态updisplay port vlan能一次列出所有端口的PVID和允许通过的VLAN比逐个口查快得多。这三条命令组合起来基本能在30秒内定位大部分配置错误。第二个技巧是用端口镜像替代直接抓包。eNSP自带的抓包偶尔不稳定可以在交换机上配镜像口把Trunk口的流量复制到另一个空闲口再在那个口上抓LSW1 system-view [LSW1] observe-port 1 interface GigabitEthernet 0/0/10 [LSW1] interface GigabitEthernet 0/0/4 [LSW1-GigabitEthernet0/0/4] port-mirroring to observe-port 1 both [LSW1-GigabitEthernet0/0/4] quitobserve-port 1定义镜像目的口port-mirroring to observe-port 1 both把GE0/0/4的进出流量都复制过去。这样抓包不影响原链路也不依赖eNSP的右键抓包功能稳定性高不少。参数上both表示双向只看某个方向可以换inbound或outbound。再进阶一点可以把VLAN ID和MAC地址表关联起来看。执行display mac-address vlan 2能看到VLAN2下学习到的MAC和对应端口结合抓包里的源MAC就能完整还原一个帧从PC1进Access口打标、经Trunk口带标签传输、到对端交换机再剥标送到PC的全过程。这个链路走通一遍802.1Q就不再是黑匣子了。最后说个我自己的习惯每次做完VLAN实验我都会把三台交换机的配置用display current-configuration导出来存一份下次搭类似拓扑直接对照改比从头敲快得多。配置这东西后悔药就是提前备份。希望帮到你。本文还有配套的精品资源点击获取