VLAN三步走：先创建、再入组，配上网关才算隔离又互通

导语：这篇把VLAN配置拆成三步：创建VLAN、端口入组、给VLAN配网关，再讲交换机之间怎么串、配完怎么验，以及新手最容易栽的两个坑。

监控和办公挤在一个网段里，摄像头一多，整层网络卡得像早高峰。

把所有设备塞进一个大网段图省事，这笔账迟早要还。

同一台交换机上，监控、办公、访客要互相隔开，部分业务又得能互访，这是VLAN最经典的用法。下面用最简化的两网段模型讲：两台电脑分别属于VLAN10和VLAN20，网段如192.168.10.x和192.168.20.x，接在交换机的两个端口上。

01 为什么要分：广播域越大越乱

同一个网段里的设备共享一个广播域，一台设备喊一声，所有设备都得听。几十台设备时感觉不到，几百台摄像头、电脑、打印机挤在一起，广播和未知流量就会把交换机和终端拖慢。

分了VLAN，等于把一层大开间隔成几间办公室，各说各的话。某个网段里有设备中毒乱发包，影响也被关在自己那一间里。

分VLAN是先分开，配网关才是再连上。

02 第一步：创建VLAN

动手之前，先在纸上规划好：哪个业务用哪个VLAN号、对应哪个网段、网关地址是多少。规划清楚再进交换机，比边配边想少出错。

进入交换机配置界面，命令行或网页后台都行，创建VLAN10和VLAN20。具体命令各品牌写法不同，以设备手册为准，思路是一样的。交换机出厂时所有端口通常都在默认VLAN里，业务尽量别继续用默认VLAN，再单独留一个管理VLAN给交换机自己的后台，日常排查会清爽很多。

03 第二步：端口入组

把端口1设为Access类型、划入VLAN10，端口2设为Access类型、划入VLAN20。Access口只属于一个VLAN，接电脑、摄像头这类终端用它。

如果是两台交换机级联，互联口要设成Trunk，并放行需要经过的VLAN。Trunk和Access别混配：对端是终端用Access，对端是交换机才用Trunk。互联口漏放某个VLAN，现象就是那个业务过了这台交换机就断。两端互联口的本征VLAN也要保持一致，一头一个样，容易出现流量串到别的网段的怪现象。

到这一步，两台电脑已经隔离，广播互不可见，但也互相访问不了。

04 第三步：给VLAN配网关

在三层交换机上给VLAN10配网关地址，如192.168.10.1，给VLAN20配如192.168.20.1。各品牌叫法不同，有的叫VLAN接口，有的叫三层虚接口。两台电脑的默认网关分别指向自己VLAN的网关，跨网段流量由交换机三层转发，隔离又互通就成立了。

要注意，纯二层交换机做不了这一步，需要三层交换机或路由器来承担网关。默认情况下各VLAN之间全通，如果访客网不该碰监控网，还要再加访问控制策略。

网关填错，就像门牌写成了隔壁楼。

三步的关系见下图。

技术关系示意：创建VLAN、端口入组、配置网关三步的先后关系（非真实命令界面）。

05 配完验证，再留档

新手最常栽的两个坑：

• 只建VLAN不配网关：只有隔离没有互通，业务部门马上来找；
• 终端网关填错：电脑网关必须填自己VLAN的网关，填成对端网段地址就是不通。

只建VLAN不配网关，隔离就成了断网。

验证分两头：不同VLAN的终端互相ping，能通；同一VLAN内的广播不会串到别的VLAN。两样都验过，才算配完。如果ping不通，按顺序查：端口是不是划进了对的VLAN，互联口有没有放行，网关接口是不是已经启用，终端的掩码和网关有没有填对。一层一层往下排，比反复重启设备靠谱得多。

最后记得保存配置。配完不保存，重启一次就回到原点。 端口、VLAN号、网段、网关的对应关系写进网络台账，后面的人接手不用再一个口一个口去试。

决策示意：监控、办公、访客分属不同VLAN，经三层网关按策略互通（非真实项目）。

你们现场是监控、办公各走一个VLAN，还是还在一个大二层里跑？下次改网络前，先把VLAN和端口的对应关系写在纸上。

— 鑫禾智城

关注鑫禾智城，弱电现场的坑，提前帮你想明白。