常见的VLAN划分方式和示例场景

1. 基于端口的VLAN配置Port-Based VLAN使用频率最高占80%以上场景定义根据交换机的物理端口划分VLAN每个端口固定归属到某个VLAN。适用设备所有支持VLAN的交换机二层/三层。特点配置简单易于管理。设备移动时需重新配置端口。适用场景设备位置固定且网络结构稳定的环境如办公室固定工位。示例将交换机的1-8号端口划入VLAN 109-16号端口划入VLAN 20Cisco交换机配置Switchenable# 输入命令后可能需要输入特权密码若有设置Switch# configure terminal # 进入全局配置模式Switch(config)# vlan 10 # 创建VLAN 10Switch(config-vlan)# name Sales # 命名VLAN可选Switch(config-vlan)# exitSwitch(config)# vlan 20Switch(config-vlan)# name EngineeringSwitch(config-vlan)# exitSwitch(config)# interface range gig0/1-8 # 进入1-8号端口Switch(config-if-range)# switchport mode access # 设置为接入模式Switch(config-if-range)# switchport access vlan 10 # 绑定到VLAN 10Switch(config-if-range)# exitSwitch(config)# interface range gig0/9-16 # 同理配置9-16号端口Switch(config-if-range)# switchport mode accessSwitch(config-if-range)# switchport access vlan 20华为交换机配置Huaweisystem-view# 从用户视图切换到系统视图配置模式[Huawei]vlan batch1020# 批量创建VLAN 10和20[Huawei]interface gigabitethernet0/0/1 to0/0/8# 进入端口1-8的接口范围视图[Huawei-interface-range]port link-type access# 设置为接入模式[Huawei-interface-range]port default vlan10# 绑定到VLAN 10[Huawei-interface-range]quit[Huawei]interface gigabitethernet0/0/9 to0/0/16[Huawei-interface-range]port link-type access[Huawei-interface-range]port default vlan20验证命令Cisco: show vlan brief 华为: display vlan2. 基于子网的VLANSubnet-Based VLAN使用频率次高需三层交换机支持定义根据设备的IP地址或子网划分VLAN。适用设备适用设备三层交换机如Cisco 3560、华为S5700。特点基于三层网络信息适合按部门或业务划分网络。需要交换机支持三层功能。适用场景按IP地址段隔离不同部门如财务部使用192.168.10.0/24市场部使用192.168.20.0/24。示例子网192.168.10.0/24对应VLAN 10192.168.20.0/24对应VLAN 20。Cisco交换机配置Switch(config)# vlan 10 # 创建VLAN 10若已存在则直接进入配置模式Switch(config-vlan)# exitSwitch(config)# interface vlan 10 # 创建VLAN接口Switch(config-if)# ip address 192.168.10.1 255.255.255.0 # 配置VLAN的网关IPSwitch(config-if)# exitSwitch(config)# vlan 20Switch(config-vlan)# exitSwitch(config)# interface vlan 20Switch(config-if)# ip address 192.168.20.1 255.255.255.0Switch(config-if)# exitSwitch(config)# ip routing # 启用三层路由功能华为交换机配置[Huawei]vlan batch1020[Huawei]interface vlanif10# 进入VLAN接口[Huawei-Vlanif10]ipaddress192.168.10.124# 配置网关[Huawei-Vlanif10]quit[Huawei]interface vlanif20[Huawei-Vlanif20]ipaddress192.168.20.124[Huawei-Vlanif20]quit[Huawei]iproute-static0.0.0.00.0.0.0192.168.1.1# 配置默认路由可选验证命令Cisco: show mac-address-table vlan30华为: display mac-vlan3. 基于策略的VLANPolicy-Based VLAN使用频率快速增长尤其重视安全的场景定义结合多种条件如MAC地址、IP地址、端口、用户身份等动态划分VLAN。适用设备支持RADIUS和802.1X的交换机如Cisco ISE、华为AC6605。特点灵活性高安全性强。需要支持高级策略的交换机如Cisco ISE、802.1X认证。适用场景对安全要求高的环境如企业内网按角色隔离访问权限。示例通过802.1X认证的用户根据AD组策略动态加入对应VLAN。Cisco交换机配置Switch(config)# aaa new-model # 启用AAA认证、授权、计费服务这是进行任何AAA相关配置的前提Switch(config)# radius server RADIUS_SERVER # 创建名为RADIUS_SERVER的RADIUS服务器配置并进入其配置模式Switch(config-radius-server)# address ipv4 10.1.1.100 auth-port 1812 # 指定RADIUS服务器的IPv4地址为10.1.1.100认证端口使用标准1812端口Switch(config-radius-server)# key MySecretKey # 配置与RADIUS服务器通信的共享密钥为MySecretKey需与RADIUS服务器配置一致Switch(config-radius-server)# exit # 退出RADIUS服务器配置模式返回全局配置模式Switch(config)# aaa authentication dot1x default group radius # 为802.1X认证配置默认方法使用RADIUS服务器组进行认证Switch(config)# interface gig0/1 # 进入千兆以太网接口0/1的配置模式Switch(config-if)# switchport mode access # 将接口设置为访问模式非Trunk适用于连接终端设备Switch(config-if)# dot1x port-control auto # 启用802.1X认证并将端口控制模式设为auto需认证成功后才允许网络访问Switch(config-if)# authentication event fail retry 3 # 配置认证失败事件的重试次数为3次超过后用户将被锁定需等待华为交换机配置;[Huawei]aaa[Huawei-aaa]authentication-scheme DOT1X[Huawei-aaa-authen-dot1x]authentication-mode radius# 认证模式为RADIUS[Huawei-aaa-authen-dot1x]quit[Huawei-aaa]accounting-scheme DOT1X[Huawei-aaa-accounting-dot1x]accounting-mode radius[Huawei-aaa-accounting-dot1x]quit[Huawei-aaa]quit[Huawei]radius-server template RADIUS[Huawei-radius-RADIUS]radius-server shared-key MySecretKey[Huawei-radius-RADIUS]radius-server authentication10.1.1.1001812# 服务器地址[Huawei-radius-RADIUS]quit[Huawei]interface gigabitethernet0/0/1[Huawei-GigabitEthernet0/0/1]dot1xenable# 启用802.1X[Huawei-GigabitEthernet0/0/1]dot1x authentication-method eap# 认证方式验证命令Cisco: show dot1x all 华为: display dot1x4. 基于MAC地址的VLANMAC-Based VLAN定义根据设备的MAC地址动态划分VLAN。适用设备所有支持VLAN的交换机二层/三层。特点设备移动时无需重新配置自动跟随MAC地址加入对应VLAN。需要维护MAC地址与VLAN的映射表。适用场景移动设备较多且位置频繁变动的环境如会议室、无线终端。示例MAC地址为00:1A:2B:3C:4D:5E的设备动态加入VLAN 30。Cisco交换机配置Switch(config)# vlan 30 # 创建VLAN 30Switch(config-vlan)# exit # 退出VLAN配置模式Switch(config)# mac-address-table static 001A.2B3C.4D5E vlan 30 # 绑定MAC到VLANSwitch(config)# interface gig0/1Switch(config-if)# switchport mode dynamic auto # 启用动态VLAN华为交换机配置[Huawei]vlan30[Huawei-vlan30]quit[Huawei]mac-vlan mac-address 001A-2B3C-4D5E# 创建MAC-VLAN映射[Huawei]interface gigabitethernet0/0/1#进入设备的接口视图指定要配置的接口为编号 0/0/1 的千兆以太网接口。[Huawei-GigabitEthernet0/0/1]mac-vlanenable# 启用MAC-VLAN功能[Huawei-GigabitEthernet0/0/1]port hybrid untagged vlan30# 允许VLAN 30通过验证命令Cisco: show mac-address-table vlan30华为: display mac-vlan