1.1 VLAN 定义#

VLAN（Virtual Local Area Network，虚拟局域网）是将一个物理 LAN 在逻辑上划分为多个相互隔离的广播域的技术。每个 VLAN 是一个独立的广播域，不同 VLAN 之间二层隔离，需要通过三层设备（路由器或三层交换机）实现互通。

1.2 VLAN 优势#

• 隔离广播域：广播报文被限制在单个 VLAN 内部，减少广播风暴风险
• 提高安全性：不同 VLAN 间二层隔离，需三层路由才能互通，可配合 ACL 控制
• 简化管理：同一 VLAN 内的主机可以分布在不同物理位置，方便灵活组网
• 节省成本：无需额外硬件即可实现网络隔离

1.3 VLAN 范围#

1.4 IEEE 802.1Q 标签#

802.1Q Tag（VLAN Tag）插入在源 MAC 和 Type 字段之间，共 4 字节：

2.1 四种接口类型对比#

2.2 Access 接口#

收方向：

• 收到不带 Tag 的报文 → 打上 PVID（本接口 Access VLAN），转发
• 收到带 Tag 的报文 → 检查 VLAN ID 是否等于 PVID，是则接收，否则丢弃

发方向：

• 剥离 VLAN Tag，以不带 Tag 的形式发送

Access 接口只属于一个 VLAN，报文只能在该 VLAN 内转发。

2.3 Trunk 接口#

收方向：

• 收到不带 Tag 的报文 → 打上 PVID，检查 PVID 是否在允许通过的 VLAN 列表中，是则转发
• 收到带 Tag 的报文 → 检查 VLAN ID 是否在允许通过的 VLAN 列表中，是则接收

发方向：

• VLAN ID = PVID → 剥离 Tag 发送
• VLAN ID ≠ PVID → 保留 Tag 发送

PVID（Port VLAN ID）： 接口在 VLAN 内的默认 VLAN ID。Trunk 口默认 PVID = 1。

Native VLAN（本征VLAN）： Trunk 接口 PVID 的别称，两端 PVID 需一致，否则出现 VLAN 跳跃。

2.4 Hybrid 接口#

最灵活的接口类型，可以像 Access 一样连接终端，也可以像 Trunk 一样连接交换机。

收方向：

• 收到不带 Tag 的报文 → 打上 PVID
• 收到带 Tag 的报文 → 检查 VLAN 是否允许通过

发方向：

• 通过 port hybrid tagged vlan / port hybrid untagged vlan 命令独立控制每个 VLAN 发送时是否带 Tag

Hybrid 接口可以实现：同一接口下，部分 VLAN 带 Tag，部分 VLAN 不带 Tag。

2.5 QinQ（双层 Tag）接口#

• 收到带 Tag 报文 → 外层再封装一个 Tag（外 VLAN Tag + 内 VLAN Tag）
• 外 VLAN Tag（S-VLAN = Service VLAN）用于运营商转发
• 内 VLAN Tag（C-VLAN = Customer VLAN）为用户私有 VLAN
• 实现用户 VLAN 透明传输

4.1 原理#

Super-VLAN（VLAN 聚合）将多个 Sub-VLAN 聚合为一个 Super-VLAN：

• Super-VLAN：仅包含三层接口（VLANIF），不包含物理端口，作为所有 Sub-VLAN 的共享网关
• Sub-VLAN：包含物理端口，用于连接用户。Sub-VLAN 之间二层隔离
• 不同 Sub-VLAN 的主机通过 ARP 代理实现三层互通

1
Super-VLAN 100 (VLANIF 100: 192.168.1.254/24)
2
  ├── Sub-VLAN 10（用户组A）
3
  ├── Sub-VLAN 20（用户组B）
4
  └── Sub-VLAN 30（用户组C）

4.2 核心优势#

• 节省 IP 地址：所有 Sub-VLAN 共用一个网关 IP（Super-VLAN 的 VLANIF），无需每个子 VLAN 单独配置网关
• 二层隔离 + 三层互通：Sub-VLAN 间二层天然隔离，通过 ARP 代理实现受控的三层通信

4.3 配置命令#

1
# 创建 Super-VLAN
2
vlan 100
3
  aggregate-vlan          # 配置为 Super-VLAN
4
  access-vlan 10 20 30    # 添加 Sub-VLAN
5
  quit
6

7
# Super-VLAN 的三层接口
8
interface Vlanif 100
9
  ip address 192.168.1.254 255.255.255.0
10
  arp-proxy inter-sub-vlan-proxy enable   # 开启Sub-VLAN间ARP代理
11
  quit
12

13
# Sub-VLAN 仅包含二层端口
14
vlan 10
15
  quit
16
vlan 20
17
  quit
18
vlan 30
19
  quit

5.1 概念#

MUX VLAN（Multiplex VLAN）提供了一种通过一个 VLAN 实现多种接口隔离需求的机制。

• Principal VLAN（主VLAN）：与所有从 VLAN 互通
• Group VLAN（互通型从VLAN）：组内成员互通，可与主 VLAN 通信
• Separate VLAN（隔离型从VLAN）：组内成员完全隔离，仅可与主 VLAN 通信

5.2 MUX VLAN 结构图#

注：虚线红色表示隔离型 VLAN 内 VLAN 间二层不通

5.3 配置命令#

1
# 创建 MUX VLAN
2
vlan 10
3
  mux-vlan                      # 配置为主VLAN
4
  subordinate group 20          # 添加互通型从VLAN
5
  subordinate separate 30       # 添加隔离型从VLAN
6
  quit
7

8
# 接口加入VLAN
9
interface GigabitEthernet0/0/1
10
  port link-type access
11
  port default vlan 10
12
  port mux-vlan enable          # 启用MUX VLAN
13
  quit
14

15
interface GigabitEthernet0/0/2
16
  port link-type access
17
  port default vlan 20
18
  port mux-vlan enable
19
  quit

6.1 基本 QinQ（802.1Q-in-802.1Q）#

在用户原始 VLAN Tag（C-VLAN）外层再封装一个运营商 VLAN Tag（S-VLAN）：

1
基本QinQ报文结构：
2
┌─────────┬─────────┬──────────────┬───────────┬─────────┬──────┐
3
│ DMAC    │ SMAC    │ 外Tag(S-VLAN)│ 内Tag(C-VLAN) │ Type  │ Payload│
4
└─────────┴─────────┴──────────────┴───────────┴─────────┴──────┘
5
                             ↑ 0x8100, S-VLAN ID   ↑ 0x8100, C-VLAN ID

• 配置简单：所有用户 VLAN 统一封装为同一个外层 VLAN
• 缺点：无法区分不同用户 VLAN

6.2 灵活 QinQ（VLAN Mapping）#

根据内层 VLAN ID 或优先级等信息，映射到不同的外层 VLAN：

6.3 应用场景#

• 运营商城域网：用户 VLAN 透传，不同用户通过外层 VLAN 隔离
• 数据中心：租户间 VLAN 隔离
• 企业 VPN：分支机构 VLAN 二层透明传输

6.4 配置命令#

1
# 基本QinQ配置
2
interface GigabitEthernet0/0/1
3
  port link-type dot1q-tunnel
4
  port default vlan 100    # 外层VLAN
5
  quit
6

7
# 灵活QinQ配置
8
interface GigabitEthernet0/0/1
9
  port link-type hybrid
10
  qinq vlan-translation enable
11
  port vlan-mapping vlan 100 map-vlan 1000   # 内层VLAN 100 → 外层VLAN 1000
12
  port vlan-mapping vlan 200 map-vlan 2000   # 内层VLAN 200 → 外层VLAN 2000
13
  quit
14

15
# 查看QinQ配置
16
display port vlan
17
display qinq information

7.1 协议概述#

GVRP 基于 GARP（Generic Attribute Registration Protocol），用于 VLAN 属性的自动注册和注销，实现 VLAN 的自动分发。

7.2 消息类型#

• Join 消息：注册 VLAN 属性
• Leave 消息：注销 VLAN 属性
• LeaveAll 消息：触发全网重新注册

7.3 注册模式#

7.4 配置命令#

1
# 全局开启 GVRP
2
gvrp
3

4
# 接口开启 GVRP
5
interface GigabitEthernet0/0/1
6
  port link-type trunk
7
  port trunk allow-pass vlan all
8
  gvrp
9
  gvrp registration normal    # 设置注册模式
10
  quit

8.1 创建 VLAN#

1
# 单个创建
2
vlan 10
3
  description "研发部VLAN"
4
  quit
5

6
# 批量创建
7
vlan batch 10 20 30
8
vlan batch 100 to 200

8.2 Access 接口配置#

1
interface GigabitEthernet0/0/1
2
  port link-type access
3
  port default vlan 10
4
  quit

8.3 Trunk 接口配置#

1
interface GigabitEthernet0/0/1
2
  port link-type trunk
3
  port trunk allow-pass vlan 10 20 30    # 允许通过的VLAN
4
  port trunk pvid vlan 10                # 设置PVID
5
  undo port trunk allow-pass vlan 1      # 删除默认VLAN
6
  quit

8.4 Hybrid 接口配置#

1
interface GigabitEthernet0/0/1
2
  port link-type hybrid
3
  port hybrid pvid vlan 10
4
  port hybrid untagged vlan 10 20        # 发送时剥离Tag
5
  port hybrid tagged vlan 30 40          # 发送时保留Tag
6
  quit

8.5 VLAN 聚合配置#

1
vlan 100
2
  aggregate-vlan
3
  access-vlan 10 20 30
4
  quit
5

6
interface Vlanif 100
7
  ip address 10.1.1.254 255.255.255.0
8
  arp-proxy inter-sub-vlan-proxy enable
9
  quit

8.6 MUX VLAN 配置#

1
vlan 10
2
  mux-vlan
3
  subordinate group 20
4
  subordinate separate 30
5
  quit
6

7
interface GigabitEthernet0/0/1
8
  port link-type access
9
  port default vlan 10
10
  port mux-vlan enable
11
  quit

8.7 QinQ 配置#

1
# 基本QinQ
2
interface GigabitEthernet0/0/1
3
  port link-type dot1q-tunnel
4
  port default vlan 100
5
  quit
6

7
# 灵活QinQ
8
interface GigabitEthernet0/0/1
9
  port link-type hybrid
10
  qinq vlan-translation enable
11
  port vlan-mapping vlan 100 map-vlan 1000
12
  quit

9.1 VLAN 间无法通信#

9.2 Trunk 链路 VLAN 不通#

1
# 检查接口允许的 VLAN
2
display port vlan
3

4
# 检查 Trunk 接口信息
5
display port vlan active
6

7
# 检查 PVID（Native VLAN）
8
display interface GigabitEthernet0/0/1
9

10
# 查看 VLAN 信息
11
display vlan 10

9.3 常用诊断命令#

1
display vlan                           # 查看所有 VLAN
2
display vlan 10 verbose                # 查看 VLAN 10 详细信息
3
display port vlan                       # 查看接口 VLAN 信息
4
display interface brief                 # 接口简要信息
5
display current-configuration interface GigabitEthernet0/0/1

关键知识点总结：

• Access = 单VLAN，Untagged 收发
• Trunk = 多VLAN，PVID 剥离 Tag，其他保留
• Hybrid = 最灵活，发送 Tag/Untag 独立控制
• Super-VLAN = 共享网关，节省 IP
• MUX VLAN = 组内隔离/互通 + 主VLAN
• QinQ = 双层 Tag，运营商场景