接入层交换机的 VLAN 配置看起来是网络工程里最基础的操作但大部分现场问题恰恰出在这里PC 口没有规划好业务 VLANAP 上联口没有放行管理 VLAN或者 trunk 口把所有 VLAN 都放过去了。很多人在接入层交换机的端口上反复改配置AP 还是无法上线终端还是获取不到 IP。这篇文章会把接入层交换机的 VLAN 规划、端口类型选择、AP 连接端口的配置方法、验证方式和排查链路完整拆一遍。适合刚接触企业网络维护、需要独立配置接入交换机的网工也适合那些已经配过交换机但总是踩 AP 业务 VLAN 坑的人。1. 接入层交换机的 VLAN 规划先分清用户、管理和业务有些项目文档会给一张 VLAN 分配表标明哪个 VLAN 对应办公网、哪个对应访客网、哪个对应监控网。但真正到了接入层交换机配置现场很多人才发现缺的不是命令而是对整个端口流量模型的理解。这个环节如果没理清后面每一步都是在碰运气。1.1 为什么要用到多个 VLAN而不是一个大二层接入层交换机的 VLAN 划分直接决定了终端上线后能访问哪些资源。办公 PC、访客 Wi-Fi、监控摄像头、门禁系统如果不做 VLAN 隔离广播包会传遍整个二层网络既浪费带宽也带来安全隐患。划分 VLAN 之后广播域被隔开不同业务之间不能直接二层互访必须经过三层网关或安全策略控制。在中小型园区网络里最常见的划分方式是按终端角色分 VLAN。比如VLAN 10办公有线终端VLAN 20办公 Wi-Fi 终端VLAN 30访客 Wi-FiVLAN 40监控、门禁等物联设备VLAN 100AP 管理 VLANVLAN ID 只是一个标记实际怎么分配完全取决于网络规模。有的场景需要把不同楼层、不同部门的终端分开有的场景需要把同一部门但不同类型的设备分开。规划的原则是先按安全边界拆再按业务类型拆最后考虑 IP 网段的连续性。1.2 接入层交换机的端口角色接入层交换机的端口从使用角色上看一般分三类下联终端口连接 PC、打印机、IP 电话、摄像头多数用 Access 模式端口 PVID 就是终端所属业务 VLAN。下联 AP 口连接无线 AP。这个端口既要传 AP 自身的控制流量也要传从 AP 出来的无线终端业务流量所以要看 AP 的工作模式来决定用 Access 还是 Trunk/Hybrid。上联汇聚口连接汇聚交换机或核心交换机。一般用 Trunk 或 Hybrid放行所有需要跨设备传递的 VLAN。很多新手只记住“Access 接终端Trunk 接交换机”一遇到 AP 就卡住了因为 AP 既不是普通终端也不是普通交换机。更准确的理解是连接 AP 的端口要同时处理两类流量一类是 AP 自身的控制流量一类是无线终端的数据流量。这个判断决定了你后续在端口上到底放行哪些 VLAN。1.3 实际规划时可以先问自己四个问题在动手敲命令之前不要纠结 VLAN ID 怎么选先确认四件事管理 VLAN 是多少AP 和 AC 之间的管理流量走哪个网段业务 VLAN 是多少无线终端最终要落到哪个网段AP 是瘦 AP 还是胖 AP瘦 AP 由 AC 下发业务 VLAN端口上可能只需要保证管理 VLAN 通胖 AP 需要自己下发配置端口上一般要放行业务 VLAN 的标签。交换机上联口是否放行了这些 VLAN如果上联口漏放AP 管理 VLAN 和业务 VLAN 都过不去AP 口下面怎么配都是白搭。这四点在配置前确认好后面出问题的概率会小很多。2. 端口配置先从 Access 入手连 PC 和打印机的标准做法先掌握最简单的下联终端口配置再处理 AP 口这是我比较推荐的顺序。很多排错到最后问题其实不在 AP 口反而是 PC 口的 VLAN 配串了导致终端上错网段。2.1 创建 VLAN设置名称以华为交换机为例登录设备后进入系统视图system-view vlan batch 10 20 30 100vlan batch表示一次性创建多个 VLAN。如果环境里不方便批量创建也可以逐个进入 VLAN 视图给 VLAN 起一个有意义的名字方便后续维护vlan 10 name PC quit vlan 20 name WIFI_OFFICE quit vlan 100 name AP_MGMT quit名称不是必须的但名字起得清楚后期查配置会省很多时间。尤其是多人维护的网络环境一个name PC和一个name WIFI_OFFICE能让后来接手的人少猜不少。2.2 Access 端口配置让终端进入对应 VLAN连接 PC 的端口使用 Access 模式PVID 就是业务 VLAN 编号。华为配置如下interface GigabitEthernet0/0/1 port link-type access port default vlan 10port default vlan 10把该端口的 PVID 设为 10同时 Access 端口默认只能属于一个 VLAN。PC 发出的数据帧不带 VLAN 标签交换机收到后打上 PVID 标签进入 VLAN 10。思科或锐捷的类似配置是interface GigabitEthernet0/1 switchport mode access switchport access vlan 10需要注意一个 Access 端口只能属于一个 VLAN不要在一个 Access 口上反复添加多个 VLAN。如果一台终端确实需要同时访问多个 VLAN那属于更复杂的场景通常要用 Trunk 或 Hybrid 配合终端自身支持 802.1Q 来实现普通 PC 很少这么用。2.3 PVID 和 untagged 的关系PVID 这个概念很多入门文档解释得比较绕。用大白话说PVID 就是交换机端口默认给无标签数据帧贴上的 VLAN 编号。Access 端口的特点是数据帧进来时如果没有标签就打上 PVID 标签出去时再把 PVID 标签剥离对终端表现为无标签帧。正因为 Access 端口出去会剥标签所以它适合连接不支持 VLAN 标签的普通终端。在华为、华三、思科、锐捷交换机上PVID 的叫法不太一样有的叫 default vlan有的叫 native vlan但底层机制是一样的。绝大多数接入层 PC 使用 Access 端口就是因为它能自动完成“打标、剥标”的动作终端不用做任何额外配置。3. AP 上联端口的两种做法Access 单业务 VLAN 与放行管理业务AP 连接端口的 VLAN 配置是整个主题里最容易出错的部分。先搞清楚流量模型再上命令不然改来改去很浪费现场调试时间。3.1 AP 上联端口的流量是什么样的在企业无线场景中AC 控制器管理多个 AP。AP 启动后需要先通过交换机端口接入网络获取管理 IP 地址然后与 AC 建立隧道。这个阶段走的是管理 VLAN。终端连接无线 SSID 后AP 需要把无线终端的流量送到交换机。不同厂商、不同转发模式的处理方式不一样本地转发模式AP 把无线终端的数据解封装后以带业务 VLAN 标签的帧从以太口发出交换机需要放行业务 VLAN。集中转发模式终端数据由 AP 封装后走隧道到 AC交换机端口只需要保证管理 VLAN 通业务 VLAN 可能在 AC 侧终结。所以AP 上联端口的配置并不是固定答案。配置前先确认 AC 侧用的是本地转发还是集中转发。不过绝大多数中小型项目默认是本地转发因为这样可以减轻 AC 的转发压力。3.2 方法一Access 模式只放行管理 VLAN适用于集中转发如果 AP 采用集中转发同时 AP 的管理地址就是交换机端口 PVID 对应的网段那端口可以配置为 AccessPVID 设为管理 VLANinterface GigabitEthernet0/0/10 port link-type access port default vlan 100这种情况下AP 能够获取到管理 VLAN 的 IP 地址并与 AC 完成隧道建立。终端业务数据通过隧道到 AC 处理交换机端口不需要单独放行业务 VLAN。3.3 方法二Trunk/Hybrid 模式放行管理业务适用于本地转发如果 AP 采用本地转发或者虽然集中转发但业务 VLAN 需要通过交换机放行那么 AP 上联口必须同时放行管理 VLAN 和业务 VLAN。华为交换机上使用 Hybrid 更常见也可以用 Trunk。先看 Trunk 做法interface GigabitEthernet0/0/10 port link-type trunk port trunk pvid vlan 100 port trunk allow-pass vlan 100 20这个配置的含义是管理 VLAN 100 作为端口的 PVID以无标签方式通过业务 VLAN 20 以带标签方式通过。AP 上联口发的管理流量不带标签或带 PVID 标签终端业务流量带 VLAN 20 标签进入交换机。再看华为更常用的 Hybrid 做法interface GigabitEthernet0/0/10 port link-type hybrid port hybrid pvid vlan 100 port hybrid untagged vlan 100 port hybrid tagged vlan 20Hybrid 模式比 Trunk 灵活的地方在于可以分别指定哪些 VLAN 是 untagged、哪些 VLAN 是 tagged。对 AP 这种“既有管理 VLAN又有业务 VLAN”的双向流量设备Hybrid 模式很好理解管理 VLAN 100 不带标签进出业务 VLAN 20 带标签进出。3.4 如果 AP 本身就需要按厂商模式来定不同厂商的 AP 接入交换机时上联口的默认行为不太一样。有些 AP 上联口默认就是 Trunk会主动把管理 VLAN 和业务 VLAN 都打上标签发送有些 AP 上联口默认是 Access只有改配置后才能发 tagged 帧。接入交换机侧要与 AP 侧的实际行为保持一致。锐捷交换机连接 AP 的类似配置interface GigabitEthernet 0/10 switchport mode trunk switchport trunk native vlan 100 switchport trunk allowed vlan 100,20思科交换机interface GigabitEthernet0/10 switchport mode trunk switchport trunk allowed vlan 20,100 switchport trunk native vlan 100可以看到Trunk 模式下的native vlan思科和锐捷的叫法就是华为的 PVID。这个值一定要和 AP 管理 VLAN 对应否则 AP 在获取管理地址时会出现时通时不通的现象。3.5 哪些情况下不该直接上 trunk这里想特别说一句不要因为 AP 需要同时传管理 VLAN 和业务 VLAN就把所有 AP 口都无脑配成 Trunk再放行所有 VLAN。如果 AP 上联口本身不支持 802.1Q 标签强行配置 Trunk可能造成 AP 收到的都是带标签的管理帧反而导致 AP 无法识别管理 VLAN。最稳妥的做法是先在测试交换机上改一个 AP 口、验证一台 AP再复制到其他端口。4. 上联端口和跨交换机 Trunk别把所有 VLAN 都放通接入层交换机配置完下联口之后不能忽略上联口。如果上联口没有放行相关 VLAN所有下联口配置都白做。这一章主要讲上联口的放行原则和跨交换机场景下的坑。4.1 上联口放行的最小 VLAN 集合上联口连接汇聚或核心交换机时一般配置为 Trunk 或 Hybrid。放行 VLAN 的原则是只放行接入层实际使用的 VLAN以及 AP 管理 VLAN不要直接放行所有 VLAN。华为示例interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 100如果不确定上联口该放行哪些 VLAN先看交换机上已经创建了哪些 VLAN再按列表放行。有些工程师为了省事直接写port trunk allow-pass vlan all这在小型网络里能跑通但一旦网络里有误配置或非法 VLAN 标签故障排查范围会被无限扩大。我通常不建议这么干。4.2 华为和思科在上联口的差异处理华为、华三交换机上联口默认 Trunk 只放行 VLAN 1需要显式追加。思科交换机默认 Trunk 放行所有 VLAN需要显式删除不需要的 VLAN。两种默认策略差异很大跨厂商联调时要特别注意。厂商Trunk 默认放行需要操作Native VLAN 命令华为/华三仅 VLAN 1显式追加允许列表port trunk pvid vlan思科/锐捷所有 VLAN先 remove再 addswitchport trunk native vlan华三交换机上联口配置类似华为interface GigabitEthernet1/0/24 port link-type trunk port trunk permit vlan 10 20 30 100思科上联口示例interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan remove 999-4094 switchport trunk allowed vlan add 10,20,30,100思科加了switchport mode trunk后默认允许所有 VLAN 通过所以先用remove把不需要的 VLAN 范围删掉再用add把需要的加回来。这里要注意不同型号的交换机支持的最大 VLAN 范围可能不同有些老型号只支持到 1005写删除范围之前要先确认型号。4.3 上联口的 PVID 也要统一管理上联口的 PVID 也要一致规划。最好统一用默认 VLAN 或管理 VLAN 作为上联口的 untagged/PVID。如果一台交换机上联口 PVID 是 VLAN 100另一台交换机下联口 PVID 是 VLAN 1那么两边无标签的管理流量就会进入不同的 VLAN导致 AP 无法跨交换机发现 AC。在跨交换机场景中建议把上联口的 untagged/PVID 统一设为管理 VLAN业务 VLAN 都走 tagged。这个约定在刚开始规划 VLAN 时就要定好后面不管接多少台接入层交换机都不会出现“两台设备都配对了但业务 VLAN 还是不通”的情况。5. VLAN 配置完怎么验证命令、输出和连通性测试配置完不等于配好了。VLAN 这类二层配置验证手段很多但最关键的是分两层先看交换机自身状态再看端到端连通性。5.1 交换机侧的状态验证华为交换机查看 VLAN 和端口状态常用这几条display vlan display port vlan display interface brief display trunkbriefdisplay vlan显示所有 VLAN 的 ID、名称、接口列表。重点看业务 VLAN 和管理 VLAN 是否创建对应端口是否出现在列表中。display port vlan可以细看每个端口的 PVID、允许哪些 VLAN 通过、哪些是 tagged、哪些是 untagged。我一般会优先执行这条命令检查 AP 口是否同时放行了管理 VLAN 和业务 VLAN。思科交换机对应命令show vlan brief show interface switchport show interfaces trunkshow interface switchport输出里能看到端口模式、Access VLAN、Trunk 允许 VLAN 列表和 Native VLAN判断 AP 口非常有用。5.2 连通性验证终端的 IP、网关和 AC 状态交换机自身配置没问题不代表端到端通了。建议按以下顺序验证PC 接入交换机端口后能否获取到对应业务 VLAN 网段的 IP 地址。如果 PC 的网关地址、DHCP 服务器地址跨 VLAN还要检查三层接口、VLANIF 地址和 DHCP 配置。AP 连接交换机端口后AP 能否获取到管理 VLAN 网段的 IP 地址。可以通过 AP 日志、面板指示灯或 AC 侧的display ap all查看 AP 是否在线。在 AC 上查看 AP 隧道状态。如果 AP 无法上线优先抓包看隧道报文是否到达 AC。如果 AP 是本地转发模式还要找一台无线终端连接 SSID看终端是否获取到业务 VLAN 的 IP 地址并且能访问网关和互联网。只看到 AP 上线还不够无线终端的业务 VLAN 是否放行是另一层验证。5.3 拔线重启操作的顺序现场调试时我一般会先完成交换机配置下发再插入 AP 网线而不是边插边改端口配置。因为 AP 上电后会立即发送 DHCP 请求如果端口还没有配置好AP 可能会陷入连续重启或无法获取地址的状态。等交换机端口模式、PVID、放行 VLAN 都检查一遍之后再让 AP 上电问题定位会容易很多。如果 AP 从老位置迁移到新端口也要先清除 AP 已有的缓存状态。有些 AP 会记录旧 VLAN ID换端口后仍然尝试使用旧 VLAN 标签。此时最好的办法是让 AP 彻底断电重启同时查看交换机端口有没有 UP、有没有学习到 AP 的 MAC 地址。6. AP 不上线和终端拿不到 IP一套排查链路这一章写给正在现场排查的人。如果 AP 连上交换机后一直不上线或者无线终端可以关联 SSID 但拿不到 IP不要急着改 AP 配置先按下面的顺序排查。6.1 先确认物理层和端口状态看到 AP 端口不亮、指示灯异常先检查网线、POE 供电、端口是否被 shutdown。用display interface brief看端口状态是否为 UP。如果端口一直 DOWN检查 POE 交换机给 AP 的供电功率是否足够。某些企业 AP 是双射频高规格型号前端 POE 供电功率不足时端口会反复 UP/DOWN导致 VLAN 配置一直没机会生效。6.2 再查管理 VLAN 是否通到 ACAP 无法上线大多数情况是管理 VLAN 的问题而不是 AP 硬件问题。在交换机上确认 AP 连到了哪个端口查看该端口 PVID 和管理 VLAN 是否一致。如果不一致AP 会获取到错误网段的 IP自然无法和 AC 建立隧道。同时确认接入层交换机的上联口放行了管理 VLAN。如果上联口只放行业务 VLAN 而漏放了管理 VLANAP 发出的管理流量无法到达 ACAC 侧自然看不到 AP。判断管理 VLAN 通不通的快速方法在 AC 上 ping AP 获取到的管理 IP。如果 AC 能 ping 通说明管理 VLAN 已经通了。注意有些 AP 默认关闭 ICMP 响应ping 不通不代表一定不通还要结合抓包或 AP 日志确认。6.3 再查业务 VLAN 是否放行AP 上线之后无线终端如果获取不到 IP按下面几个点排查AP 上联口是否正确放行了终端业务 VLAN。如果漏放终端发出的 DHCP 请求到了交换机就被丢弃。接入层交换机的上联口是否放行了业务 VLAN。即使 AP 口放行了上联口没放行DHCP 请求也无法到达网关或 DHCP 服务器。DHCP 服务器是否在终端业务 VLAN 对应的网段有地址池。业务 VLAN 配好了但 DHCP 没有对应地址池终端一样获取不到 IP。这里有一个常见误判有些工程师看到无线终端无法获取 IP就认为是交换机端口配置错了反复改 AP 口的 PVID。实际上 DHCP 问题经常不在交换机端口上而在 DHCP relay、VLANIF 接口或地址池上。排查时先看终端能不能获取到 IP再判断交换机端口到底通没通。6.4 如果 VLAN 间无法互访VLAN 间互访通常需要三层交换机或路由器上的 VLANIF 接口。接入层交换机一般是二层设备如果要求跨 VLAN 互通需要在上层设备配置网关interface Vlanif20 ip address 192.168.20.1 255.255.255.0如果 VLAN 20 的 PC 能获取地址但不能访问 VLAN 10 的资源检查上层设备是否有 VLANIF 20 接口、路由表是否完整、ACL 是否允许放行。如果上层设备没有创建 VLANIF 20VLAN 20 的流量就无法找到三层网关VLAN 间互访自然不会通。6.5 日志和抓包的排查顺序如果上面几步都检查完还没找到原因就需要采集更多信息查看交换机端口日志是否有 MAC 地址漂移、环路告警、端口反复 UP/DOWN。查看 AC 上的 AP 日志AP 是否认证失败、序列号不在白名单、版本过旧。在交换机上镜像 AP 口抓取 DHCP 和隧道报文观察 AP 是否发出了 DHCP 请求有没有收到 DHCP Offer隧道报文是否到达 AC。排查原则是先把问题定位到物理层、二层、三层、无线控制面还是 DHCP再针对性处理。不要一上来就修改 VLAN 配置或 AP 参数那样容易把原配置越改越乱。我见过几个现场AP 不上线最终原因是接入层交换机上联口没有放行管理 VLAN但下联 AP 口已经改了很多次甚至连 AP 都换过。其实只要按上面的链路走一遍很多问题都能快速收敛。7. 接入层交换机配置 VLAN 的实战习惯命名、备份和批量下发这一章补充一些项目现场积累的配置习惯。它们不是硬性要求但能明显减少故障时间和维护成本。7.1 提前做好 VLAN 编号和命名规范无论网络规模大小建议提前制定 VLAN 编号规则。比如10 段办公有线20 段办公无线30 段访客无线40 段监控、物联100 段管理网段这样看到 VLAN 100 时立即知道是管理网看到 VLAN 20立即知道是办公无线。如果项目有多个楼栋可以按楼栋再扩展101 是 A 栋管理网201 是 A 栋办公无线。这类规范放在交接文档里后期维护会非常顺畅。7.2 配置变更要留备份和保存华为交换机导出配置可以用display current-configuration save在把配置写入设备之前先备份旧配置。尤其不要在没有任何准备的情况下对在线交换机执行 Trunk 允许 VLAN 的全局批量修改。很多厂商设备支持save命令配置保存后重启不丢失。但要注意save只保存当前生效配置如果设备有“提交”机制而你只改了临时配置没有提交也没有保存重启后一样会丢失。7.3 批量配置接入层交换机前先验证一台接入层交换机的数量往往很多。批量之前把一台交换机当成模板从 VLAN 创建、PC 口、AP 口到上联口全部配置完测试 AP 上线、PC 获取 IP、无线终端正常上网。全部验证通过后再复制到其他交换机同时把 hostname、管理 IP、接口差异单独修改。如果直接用脚本批量下发而忽略差异化内容容易出现所有交换机的 hostname 一样、管理 IP 冲突、上联口放行列表错误等问题。批量网络工程不是把同一份配置复制 N 次那么简单。如果每次改动都能按“先模板、再验证、后批量”的顺序来走接入层交换机的 VLAN 和 AP 口配置基本不会成为项目里最难缠的问题。真到现场遇到 AP 掉线、终端拿不到地址先看管理 VLAN再看业务 VLAN再看上联放行大部分问题都能在半小时内收敛。