VLAN 深度优化：划分策略、路由实现与 Trunk 排错
VLAN 这东西，说白了就是把一个物理交换机切成多个逻辑网络。很多刚入行的朋友觉得 VLAN 就是配个 Access 口、打个 Tag 完事。但我在项目里见过太多因为 VLAN 划分不合理导致的广播风暴、路由环路，甚至整网瘫痪。今天咱们就好好聊聊 VLAN 的深度优化，从划分策略到路由实现，再到 Trunk 排错，一步到位。
VLAN 划分策略：别让广播域变成灾难现场
VLAN 的核心价值是隔离广播域。但怎么划？按部门？按功能？还是按 IP 子网？我个人的习惯是：先看流量模型，再定划分粒度。
核心原则：同一 VLAN 内的流量尽量本地化，跨 VLAN 流量尽量少。说白了，就是把经常互相通信的设备放在一个 VLAN 里，减少三层转发的压力。
常见的划分策略对比
| 策略 | 适用场景 | 优点 | 缺点 |
|---|---|---|---|
| 按部门划分 | 中小企业、办公网 | 管理直观，权限清晰 | 部门扩张时需重新规划 |
| 按功能划分 | 数据中心、服务器区 | 流量隔离好，安全等级分明 | 配置复杂，需配合 ACL |
| 按 IP 子网划分 | 大型园区网、教育网 | 路由聚合方便，扩展性强 | 初期规划工作量大 |
| 按物理位置划分 | 楼宇、楼层汇聚 | 故障域小，排错简单 | 跨位置通信需三层转发 |
我曾经在一个金融客户那里遇到过一个问题：他们把所有服务器都放在 VLAN 100 里，结果一次病毒爆发，整个服务器区全挂了。后来我建议他们按功能拆成 Web VLAN、DB VLAN、管理 VLAN，再配合防火墙策略，才彻底解决。你想想看，如果数据库和 Web 服务器在同一个广播域，一个 ARP 欺骗就能让整个业务瘫痪，多可怕。
我的建议：VLAN 数量不是越多越好。每个 VLAN 的广播域大小控制在 200-300 个终端以内比较合理。超过这个数，广播包就会开始影响性能。
VLAN 间路由：三种实现方式，各有千秋
VLAN 隔离了广播域，但不同 VLAN 之间怎么通信？这就得靠三层路由了。常见的实现方式有三种：单臂路由、三层交换、VLANIF 接口。我一个个说。
1. 单臂路由（Router-on-a-Stick）
这是最古老的方式。用一台路由器，通过一个物理接口连接交换机，然后在路由器上划分子接口，每个子接口对应一个 VLAN。我记得刚入行那会儿，公司穷，买不起三层交换机，就用一台 2600 系列路由器做单臂路由，带 50 多个 VLAN，那叫一个酸爽。
# 路由器子接口配置示例
interface GigabitEthernet0/0.10
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
encapsulation dot1Q 20
ip address 192.168.20.1 255.255.255.0注意：单臂路由的瓶颈在路由器的物理接口带宽。所有 VLAN 的流量都挤在一个物理链路上，很容易成为性能瓶颈。我见过有人用百兆口带 200 个 VLAN，结果延迟高到离谱。
2. 三层交换（SVI + 路由功能）
三层交换机才是正经的 VLAN 间路由方案。它把交换机的线速转发能力和路由器的三层功能结合在一起。说白了，就是硬件做转发，软件做控制。我现在的项目里，核心层清一色三层交换机，性能杠杠的。
# 三层交换机 VLANIF 配置示例
vlan batch 10 20 30
interface Vlanif10
ip address 192.168.10.254 255.255.255.0
interface Vlanif20
ip address 192.168.20.254 255.255.255.0
interface Vlanif30
ip address 192.168.30.254 255.255.255.0
# 启用 IP 路由
ip routing3. VLANIF 接口（纯三层接口）
这个其实和三层交换的 SVI 类似，但更强调接口的三层属性。在一些高端交换机上，你可以直接把物理接口配成三层口，然后配 IP 地址，相当于把交换机当路由器用。嗯，这里要注意：VLANIF 接口是逻辑接口，而三层物理接口是物理的，两者适用场景不同。
| 实现方式 | 转发性能 | 配置复杂度 | 适用场景 |
|---|---|---|---|
| 单臂路由 | 低（软件转发） | 低 | 小型网络、实验环境 |
| 三层交换 | 高（硬件转发） | 中 | 园区网、数据中心 |
| VLANIF 接口 | 高（硬件转发） | 中高 | 大型网络、核心层 |
VLAN Trunking 协议：802.1Q 与 ISL
Trunk 是 VLAN 跨交换机通信的命脉。没有 Trunk，VLAN 就只能在一个交换机内部玩。Trunk 协议有两种：802.1Q（标准）和 ISL（思科私有）。
802.1Q vs ISL 对比
| 特性 | 802.1Q | ISL |
|---|---|---|
| 标准 | IEEE 标准 | 思科私有 |
| 封装方式 | 内部标记（插入帧头） | 外部封装（整个帧加头） |
| VLAN 范围 | 1-4094 | 1-1005 |
| 兼容性 | 多厂商 | 仅思科 |
| MTU 影响 | 增加 4 字节 | 增加 30 字节 |
我个人强烈建议：能用 802.1Q 就别用 ISL。为什么？因为 ISL 是私有的，而且 MTU 增加 30 字节，容易导致巨型帧问题。我曾经在一个混合厂商的网络里排错，发现思科和华为的 Trunk 对不上，最后发现是 ISL 和 802.1Q 不兼容。从那以后，我所有项目都统一用 802.1Q。
Trunk 配置示例
# 思科交换机 802.1Q Trunk 配置
interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk allowed vlan 10,20,30-50
# 华为交换机 802.1Q Trunk 配置
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 30 to 50Trunk 排错三板斧
Trunk 出问题，最常见的症状就是 VLAN 不通。我总结了一套排错流程，屡试不爽：
- 检查物理层：先看端口状态是不是 up/up。别笑，我见过有人配了半天 Trunk，结果网线没插好。
- 检查封装协议：两端必须一致。一端 802.1Q，一端 ISL，肯定不通。
- 检查允许 VLAN 列表：Trunk 口默认只允许 VLAN 1 通过。你得手动添加需要的 VLAN。
避坑指南：我曾经遇到过一个奇葩问题：Trunk 两端都配好了，VLAN 10 能通，VLAN 20 死活不通。最后发现是 VLAN 20 在交换机 A 上没创建。记住：VLAN 必须在两端交换机上都存在，Trunk 才能转发该 VLAN 的流量。
知识体系总览
下面这张图把本章的核心逻辑串起来了。你可以看到 VLAN 划分是基础，Trunk 是桥梁，VLAN 间路由是出口。三者缺一不可。
实战总结
VLAN 深度优化不是一蹴而就的事。我做了这么多年网络，最大的体会就是：规划比配置重要，排错比部署考验人。划分策略决定了网络的扩展性，Trunk 决定了 VLAN 的连通性，路由决定了跨 VLAN 的性能。这三块都做好了，你的网络才能跑得稳、跑得快。
嗯，今天就聊到这儿。记住：别贪多，一个 VLAN 一个 VLAN 地优化，慢慢来，比较快。