📚 课程目录第3章 VLAN基础与矿山场景映射

3. VLAN基础与矿山场景映射

在矿山工业网络中，交换机如果只做“傻瓜式”转发，所有业务报文都会落在同一个广播域里。视频监控的组播、人员定位的心跳、PLC的周期扫描、办公网的文件共享混在一起，一旦某台设备异常发广播，整张环网都可能被拖慢。VLAN（Virtual Local Area Network，虚拟局域网）要解决的就是这个问题：在物理拓扑不变的前提下，把一台或多台交换机上的端口逻辑地划分成若干广播域，让不同业务之间二层隔离、按需互通。

VLAN原理与802.1Q标签

VLAN的本质是给以太网帧打上“归属标记”。IEEE 802.1Q标准在源MAC地址之后插入4字节标签：2字节TPID（固定0x8100，标识这是一个带标签帧）、2字节TCI。TCI中高3位是优先级PCP（用于QoS），1位DEI，低12位是VLAN ID（VID）。12位VID理论范围0～4095，其中0和4095保留，可用范围1～4094。矿山项目里通常把1作为管理VLAN，把2～1000留给业务，1001以上留作扩展或临时调试。

一台交换机内部维护VLAN表，记录“哪个VID对应哪些端口”。帧进入交换机时，若端口配置为Access，则被打上该端口PVID（Port VLAN ID）的标签；若为Trunk，则按帧是否已带标签决定放行或打PVID。帧离开交换机时，Access端口会剥离标签再发给终端，Trunk端口则保留标签传给对端交换机。理解“进打标、出剥标”这条主线，端口类型就不会混淆。

三种端口类型的区别

Access端口：只属于一个VLAN，收无标签帧打上PVID，发帧剥标签。适合接PLC、摄像头、工控机、定位基站等“不认识VLAN标签”的终端。

Trunk端口：可承载多个VLAN，收帧时带标签的按VID放行、无标签的打PVID，发帧时除PVID对应VLAN外一般保留标签。适合交换机之间的级联链路、环网链路。

Hybrid端口：兼具两者特性，可灵活配置每个VLAN“带标签发出”还是“剥标签发出”，收帧规则与Trunk类似。适合一台端口既要接终端又要透传部分VLAN的场景，例如井下综合分站的复合口。

下面这张图把三种端口的收发处理与矿山业务映射放在一起，便于对照记忆：

矿山场景映射与规划草案

矿山业务划分VLAN，核心原则是“按业务隔离、按安全等级分层、按流量特征分组”。视频监控是典型的大带宽组播业务，单独一个VLAN可以避免组播泛洪冲击控制网；PLC控制对时延和抖动敏感，必须与办公、视频隔离；人员定位和安全监测属于安全类业务，需要与生产控制互通但又要可控。管理VLAN单独划分，便于网管平台统一纳管。

规划时还要考虑地址段与VLAN的对应关系。例如管理VLAN 1用192.168.1.0/24，视频VLAN 10用192.168.10.0/24，定位VLAN 20用192.168.20.0/24，PLC VLAN 30用192.168.30.0/24，安全监测VLAN 40用192.168.40.0/24。这样在配置网关、ACL和故障排查时，看到IP第三段就能大致判断业务归属，减少误操作。

下面给出一份可直接参考的端口配置示例（以某国产工业交换机CLI风格为例，参数为教学示例）：

! 创建业务VLAN
vlan batch 1 10 20 30 40

! 接入摄像头端口：Access，划入VLAN 10
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10

! 级联上行端口：Trunk，放行管理及全部业务VLAN
interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 1 10 20 30 40

! 综合分站复合口：Hybrid，VLAN 20带标签、VLAN 40剥标签
interface GigabitEthernet0/0/12
 port link-type hybrid
 port hybrid tagged vlan 20
 port hybrid untagged vlan 40
 port hybrid pvid vlan 40

配置完成后不能只看“命令没报错”就收工。判断VLAN是否真正生效，要看三点：一是用display vlan确认各VID下挂的端口与预期一致；二是从VLAN 10的摄像头ping同VLAN的NVR应通，ping VLAN 30的PLC应不通（除非配置了三层互通）；三是在Trunk链路上抓包，应能看到带0x8100标签的帧，且VID与规划一致。若发现跨VLAN意外互通，优先检查是否有端口PVID配错或Trunk放行了不该放行的VLAN。

规划草案落地前，建议先在拓扑图上标注每个端口的“端口类型 + PVID + 允许VLAN列表”，再对照现场设备逐一核对。矿山井下设备更换频繁，端口用途变更时同步更新这张表，比事后翻配置更可靠。

需要提醒的是，VLAN只解决二层隔离，跨VLAN通信必须依赖三层网关或路由。矿山网络中通常由核心交换机或工业防火墙承担VLAN间路由，并通过ACL限制“视频→控制”“办公→控制”等非必要访问。把VLAN规划与ACL策略一起设计，才能真正形成分区分域的安全边界，而不是仅仅把广播域切小。