eNSP实战：从零到一构建隔离网络，详解交换机VLAN配置

1. 为什么需要VLAN隔离办公网络想象一下这样的场景在一个开放式办公环境中研发部和市场部的电脑都连接在同一台交换机上。如果没有VLAN划分所有设备都处于同一个广播域中。这意味着当市场部的同事在使用视频会议时产生的广播流量会毫无必要地占用研发部工程师的带宽更严重的是任何一台电脑中毒都可能通过广播风暴影响整个网络。我去年就遇到过这样的真实案例——某公司财务部的电脑因为误点钓鱼邮件导致ARP病毒在整个办公网络蔓延所有部门网络瘫痪了整整半天。VLAN技术正是为了解决这类问题而生。通过将物理上连接在同一台交换机上的设备逻辑划分到不同的虚拟局域网中我们可以实现广播隔离每个VLAN形成一个独立的广播域广播流量只在所属VLAN内传播安全隔离不同部门的设备即使物理连接相同也无法直接通信灵活管理人员部门调整时只需修改VLAN配置而无需更改物理布线2. 实验环境搭建与初始验证2.1 eNSP模拟器准备华为eNSPEnterprise Network Simulation Platform是目前最接近真实设备的网络模拟器。安装时有个小技巧建议使用VirtualBox 6.0.24版本配合eNSP 1.3.00这个组合在我测试中稳定性最好。安装完成后首次启动需要加载AR路由器基础镜像这个过程可能需要10-15分钟具体时间取决于电脑配置。2.2 构建基础拓扑我们模拟一个典型的小型办公网络1台S5700系列交换机实际工作中最常见的接入层交换机4台PCPC1/PC2属于研发部PC3/PC4属于市场部所有PC通过直通线连接到交换机具体IP分配如下表设备IP地址子网掩码所属部门PC110.10.1.1255.255.255.0研发部PC210.10.1.2255.255.255.0研发部PC310.10.1.3255.255.255.0市场部PC410.10.1.4255.255.255.0市场部2.3 初始连通性测试在未配置VLAN前所有设备默认属于VLAN1。我们通过ping测试验证连通性# 在PC1上执行 PC ping 10.10.1.2 # 通 PC ping 10.10.1.3 # 通 PC ping 10.10.1.4 # 通 # 其他PC测试结果相同这个阶段所有主机都能互通验证了物理连接的正确性也为后续VLAN隔离效果提供了对比基准。3. VLAN配置全流程详解3.1 创建VLAN并命名在交换机CLI界面执行以下命令HUAWEI system-view # 进入系统视图 [HUAWEI] sysname LSW1 # 重命名交换机 [LSW1] vlan batch 10 20 # 批量创建VLAN [LSW1] vlan 10 [LSW1-vlan10] description RD # 给VLAN添加描述 [LSW1-vlan10] quit [LSW1] vlan 20 [LSW1-vlan20] description Marketing这里有个实用技巧给VLAN添加描述信息是个好习惯。当网络规模扩大后看到RD比只看VLAN ID 10要直观得多。我曾经接手过一个客户的网络VLAN编号从10到150都没有描述排查问题时不得不逐个查看IP分配表效率极低。3.2 配置Access端口将PC1/PC2划入研发部VLAN10PC3/PC4划入市场部VLAN20# 配置PC1接口G0/0/1 [LSW1] interface GigabitEthernet 0/0/1 [LSW1-GigabitEthernet0/0/1] port link-type access [LSW1-GigabitEthernet0/0/1] port default vlan 10 [LSW1-GigabitEthernet0/0/1] undo negotiation auto # 关闭自协商 [LSW1-GigabitEthernet0/0/1] speed 100 # 固定速率 [LSW1-GigabitEthernet0/0/1] quit # 同样方式配置其他端口 [LSW1] interface GigabitEthernet 0/0/2 [LSW1-GigabitEthernet0/0/2] port link-type access [LSW1-GigabitEthernet0/0/2] port default vlan 10 ...PC3/PC4配置类似vlan改为20关键点说明undo negotiation autospeed 100组合可以避免某些老旧网卡的自协商问题Access端口就像公司的部门专属电梯只能到达指定楼层VLAN实际项目中建议先shutdown端口配置完成后再undo shutdown避免中间状态导致异常3.3 配置Trunk端口如果网络中存在多台交换机需要通过Trunk端口互联。假设LSW1需要连接另一台交换机[LSW1] interface GigabitEthernet 0/0/24 # 通常用最后一个端口做上行 [LSW1-GigabitEthernet0/0/24] port link-type trunk [LSW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 # 放行所需VLAN [LSW1-GigabitEthernet0/0/24] port trunk pvid vlan 1 # 设置默认VLANTrunk端口相当于公司里的公共电梯可以到达多个楼层传输多个VLAN流量。其中pvid设置特别重要——它决定了未打标签的流量归属哪个VLAN。曾经有个客户因为pvid配置错误导致所有无线终端无法获取IP地址排查了整整一天。4. 效果验证与排错技巧4.1 基础连通性测试配置完成后我们期望的结果是同部门内主机互通PC1↔PC2PC3↔PC4跨部门主机不通研发部↮市场部测试示例# 在PC1上测试 PC ping 10.10.1.2 # 应该通同VLAN10 PC ping 10.10.1.3 # 应该不通跨VLAN # 在PC3上测试 PC ping 10.10.1.4 # 应该通同VLAN20 PC ping 10.10.1.1 # 应该不通跨VLAN4.2 查看VLAN配置验证配置是否正确[LSW1] display vlan # 查看VLAN划分 [LSW1] display port vlan # 查看端口VLAN状态4.3 常见问题排查问题1同VLAN主机无法互通检查物理连接状态display interface brief确认端口未误配为Trunkdisplay this interface验证端口VLAN IDdisplay port vlan问题2所有主机完全不通检查交换机全局配置display current-configuration确认端口未禁用display interface brief看Status列测试基础网络尝试ping交换机管理IP去年我遇到过一个典型案例客户反映VLAN划分后所有电脑都无法上网。最终发现是核心交换机上的ACL规则没有更新仍然阻止了新VLAN的访问。这提醒我们网络变更后需要检查所有相关设备的安全策略。5. VLAN技术的进阶应用5.1 基于MAC地址的VLAN对于移动办公场景可以使用MAC-VLAN实现设备随人走[LSW1] vlan 10 [LSW1-vlan10] mac-vlan mac-address 5489-98b3-1a2c # 绑定设备MAC这样无论笔记本电脑连接到哪个端口都会自动划入研发部VLAN。不过要注意维护MAC地址表新设备接入时需要预先登记。5.2 VLAN间通信实现默认情况下VLAN间不能通信但实际业务中常有跨部门访问需求。有三种实现方式单臂路由在交换机上创建子接口[LSW1] interface Eth-Trunk 1.10 # 子接口 [LSW1-Eth-Trunk1.10] dot1q termination vid 10 [LSW1-Eth-Trunk1.10] ip address 10.10.10.1 24三层交换机SVI接口[LSW1] interface Vlanif 10 [LSW1-Vlanif10] ip address 10.10.10.1 24防火墙策略路由更安全的方案可以细化访问控制5.3 VLAN与安全策略结合在企业网络中VLAN通常与以下安全措施配合使用端口安全限制端口最大MAC数量防私接设备[LSW1-GigabitEthernet0/0/1] port-security enable [LSW1-GigabitEthernet0/0/1] port-security max-mac-num 2802.1X认证对接入设备进行身份验证ACL访问控制精细控制VLAN间访问权限记得有次审计时发现某部门员工通过修改网卡MAC地址进入了管理VLAN。后来我们通过组合使用端口安全802.1X彻底解决了这个问题。