📚 课程目录第3章 VLAN与服务器多网卡接入

3. VLAN与服务器多网卡接入

在服务器接入园区或数据中心的场景中，一台服务器往往配置多块物理网卡，分别承载管理流量、业务前端流量、业务后端流量、存储流量和备份流量。如果这些流量全部落在同一个二层广播域里，广播报文、ARP 请求和未知单播会互相干扰，既浪费带宽，也带来安全隐患。VLAN 的核心价值，就是在同一台交换机上把物理端口划分成多个逻辑广播域，让不同业务流量在二层彼此隔离，同时通过三层设备或网关实现必要的互通。

本节围绕三个关键点展开：VLAN 的两种划分方式（基于端口、基于协议）、Trunk 与 Hybrid 端口的配置差异，以及服务器多网卡接入不同业务 VLAN 后如何做到隔离与互通。

一、基于端口与基于协议的VLAN划分

基于端口的 VLAN（Port-Based VLAN）是最常用的方式。管理员把交换机的某个物理端口划入指定 VLAN，该端口收到的未打标签帧就归属这个 VLAN。例如把 GigabitEthernet1/0/1 划入 VLAN 10，那么服务器管理网卡接在这个端口上，其流量就属于管理 VLAN。这种方式配置直观、转发效率高，缺点是端口位置固定，服务器换端口就要重新配置。

基于协议的 VLAN（Protocol-Based VLAN）则根据帧的协议类型来划分。交换机识别以太网帧的 EtherType 或 LLC/SNAP 封装，把 IP、IPX、AppleTalk 等不同协议报文映射到不同 VLAN。例如把 IPv4 报文映射到 VLAN 20，把 IPv6 报文映射到 VLAN 30。这种方式适合一台服务器同时运行多种协议栈、又希望按协议隔离的场景，但配置复杂、维护成本高，实际工程中使用较少，更多出现在早期多协议共存的网络中。

两种方式可以共存，但同一端口上基于协议的划分优先级通常高于基于端口的默认 VLAN。理解这一点，有助于排查“端口明明划了 VLAN 10，为什么部分流量跑到了 VLAN 20”这类问题。

二、Trunk与Hybrid端口

服务器多网卡接入交换机时，交换机侧端口需要承载多个 VLAN 的流量，这就用到 Trunk 或 Hybrid 端口。

Trunk 端口的特点是：只允许一个 Native VLAN（默认 VLAN 1）的帧不带标签发送，其余 VLAN 的帧都带 802.1Q 标签。它通常用于交换机与交换机之间，也用于服务器网卡支持 802.1Q 标签、需要单网卡承载多 VLAN 的场景。

Hybrid 端口更灵活：它可以为每个 VLAN 单独指定“发送时是否带标签”。也就是说，同一个 Hybrid 端口上，VLAN 10 可以带标签发出，VLAN 20 可以不带标签发出。这种特性非常适合服务器多网卡接入——服务器不同网卡对标签的支持能力不同，Hybrid 可以按需适配。

下面是一段典型的 Hybrid 端口配置示例，用于服务器多网卡接入：

#
vlan 10
 description Management
vlan 20
 description Business-Front
vlan 30
 description Storage
#
interface GigabitEthernet1/0/1
 port link-type hybrid
 port hybrid vlan 10 untagged
 port hybrid pvid vlan 10
#
interface GigabitEthernet1/0/2
 port link-type hybrid
 port hybrid vlan 20 untagged
 port hybrid pvid vlan 20
#
interface GigabitEthernet1/0/3
 port link-type hybrid
 port hybrid vlan 30 untagged
 port hybrid pvid vlan 30
#
interface GigabitEthernet1/0/24
 port link-type trunk
 port trunk permit vlan 10 20 30
 port trunk pvid vlan 1
#

这里 GigabitEthernet1/0/1 到 1/0/3 分别连接服务器的管理网卡、业务网卡和存储网卡，采用 Hybrid 的 untagged 方式，服务器网卡无需支持 802.1Q 即可直接通信。而 1/0/24 作为上行 Trunk，允许 VLAN 10、20、30 带标签通过，把流量送到核心交换机或网关。

三、服务器多网卡接入的隔离与互通

隔离是天然的：VLAN 10、20、30 属于不同广播域，服务器管理网卡发出的广播不会进入业务 VLAN，业务网卡也看不到存储 VLAN 的流量。互通则需要三层转发。通常在上行核心交换机上为每个 VLAN 配置 VLAN 接口（VLANIF）作为网关，例如 VLANIF 10 配 192.168.10.1/24，VLANIF 20 配 192.168.20.1/24。服务器各网卡分别配置对应网段的 IP 和网关，跨 VLAN 通信时由核心交换机做三层转发。

如果希望某些 VLAN 之间完全隔离、不允许互通，可以通过 ACL 在 VLANIF 上过滤，或者干脆不配置对应的 VLANIF。这样既保留了物理链路的冗余，又实现了业务流量的安全隔离。

四、配置要点与结果判断

配置完成后，可以通过以下方式判断是否达到预期：

在接入交换机上执行 display vlan，确认 VLAN 10、20、30、40 已创建，且各 Hybrid 端口正确加入对应 VLAN。
执行 display port hybrid 或 display interface brief，确认端口 PVID 与 untagged VLAN 设置一致。
在服务器上分别 ping 同 VLAN 网关（如 192.168.10.1、192.168.20.1），应能通；ping 其他 VLAN 的服务器 IP，若未配置互通策略则不通，说明隔离生效。
在核心交换机上执行 display ip interface brief，确认各 VLANIF 接口状态 Up、IP 地址正确。

服务器多网卡接入时，建议每块网卡对应一个独立 VLAN，并在接入交换机上使用 Hybrid untagged 方式，避免服务器网卡驱动对 802.1Q 标签支持不一致导致通信异常。上行链路统一用 Trunk 带标签传输，保持 VLAN 信息在整网一致。

注意 PVID 与 untagged VLAN 的匹配关系：Hybrid 端口收到 untagged 帧时会打上 PVID 标签。如果 PVID 配错，服务器流量可能被错误地划入其他 VLAN，造成“能通但走错网段”的隐蔽故障。修改 PVID 后建议重新检查一遍端口 VLAN 成员关系。

总结来说，基于端口的 VLAN 划分简单高效，是服务器多网卡接入的首选；基于协议的 VLAN 适合多协议共存场景但维护复杂。Hybrid 端口凭借“按 VLAN 灵活控制标签”的能力，成为服务器接入侧最实用的端口类型；Trunk 则承担上行汇聚。隔离由 VLAN 天然提供，互通由核心交换机 VLANIF 加 ACL 策略控制，二者配合即可实现服务器多网卡接入不同业务 VLAN 的通信隔离与按需互通。