3. VLAN核心概念

在工业网络中，交换机往往同时承载PLC控制、HMI监控、视频回传、办公终端等多种业务。如果所有设备都处于同一个广播域，广播报文会无差别地扩散到每个端口，既浪费带宽，也带来安全隐患。VLAN（Virtual Local Area Network，虚拟局域网）正是解决这一问题的核心技术：它把一个物理交换机在逻辑上切分成多个相互隔离的广播域，让不同业务各走各的通道。

一、VLAN的定义与作用

VLAN 是在二层交换机上通过软件配置划分出的逻辑网络。同一 VLAN 内的设备可以像连接在同一台交换机上一样直接通信；不同 VLAN 之间在二层被完全隔离，必须借助三层设备（路由器或三层交换机）才能互通。其核心作用可以归纳为四点：

  • 抑制广播风暴：广播帧只在所属 VLAN 内泛洪，不再扩散到全网。
  • 增强安全性：不同 VLAN 默认不可见，控制网与办公网天然隔离。
  • 灵活组网：设备按业务而非物理位置划分，跨机柜、跨楼层也能同属一个 VLAN。
  • 简化管理：按部门或功能规划 VLAN，故障定位和策略下发更清晰。
在工业现场，典型做法是把 PLC 与 IO 设备划入 VLAN 10（控制网），摄像头划入 VLAN 20（视频网），工程师站划入 VLAN 30（管理网），从而避免视频大流量冲击控制报文。

二、标签机制与802.1Q标准

VLAN 的实现依赖“打标签”。IEEE 802.1Q 标准定义了在以太网帧的源 MAC 地址之后插入一个 4 字节的 VLAN Tag，使帧在交换机之间传递时能够携带 VLAN 身份信息。这个 Tag 的结构如下：

字段长度说明
TPID2 字节固定为 0x8100，标识这是一个 802.1Q 帧
PCP3 bit优先级，取值 0～7，供 QoS 使用
DEI1 bit丢弃 eligible 指示，通常为 0
VID12 bitVLAN ID，取值 0～4095

当帧进入交换机时，若端口配置为 Access 且属于某 VLAN，交换机会为无标签帧打上该 VLAN 的 Tag；当帧从 Access 口发出时，又会剥离 Tag，使终端收到普通以太网帧。而在 Trunk 链路上，帧通常带着 Tag 传输，以便对端交换机识别其归属。

三、VLAN ID 范围

VID 由 12 位表示，理论范围 0～4095，但实际可用范围有明确划分：

  • VLAN 0：仅用于优先级标记，不代表真实 VLAN。
  • VLAN 1：默认 VLAN，所有端口初始都属于它，通常不建议承载业务。
  • VLAN 2～1001：标准可用范围，工业交换机普遍支持。
  • VLAN 1002～1005：保留给令牌环和 FDDI，不可用于以太网。
  • VLAN 1006～4094：扩展范围，需交换机支持，常用于大型网络。
  • VLAN 4095：保留，不可使用。
规划 VLAN 时应避开 VLAN 1 和保留号段，并统一编号规则，例如按“业务类型+区域”编号，避免不同交换机上同一 VLAN ID 含义冲突。

四、端口类型：Access、Trunk 与 Hybrid

端口类型决定了交换机如何处理进出帧的标签，是 VLAN 配置的关键。常见三种类型对比如下：

端口类型接收无标签帧接收带标签帧发送帧典型用途
Access打上本口 PVID丢弃（默认）剥离标签连接终端、PLC、摄像头
Trunk打上本口 PVID按 Tag 转发PVID 帧剥离，其余带标签交换机互联、上行链路
Hybrid打上本口 PVID按 Tag 转发可灵活配置哪些 VLAN 带标签兼顾终端与级联的复杂场景

下面是一段典型的华为/华三风格配置，用于把端口划入 VLAN 并配置 Trunk：

# 创建 VLAN
vlan 10
 description Control_Network
vlan 20
 description Video_Network

# 配置 Access 端口
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10

# 配置 Trunk 端口
interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20
 port trunk pvid vlan 1

五、场景案例：控制网与视频网隔离

某工厂一台接入交换机连接 3 台 PLC、2 台摄像头和 1 台上行汇聚交换机。规划 VLAN 10 为控制网、VLAN 20 为视频网。配置时，连接 PLC 的端口设为 Access VLAN 10，连接摄像头的端口设为 Access VLAN 20，上行口设为 Trunk 并放行 VLAN 10、20。这样，PLC 的广播不会传到摄像头，视频流也不会占用控制网带宽；若需要工程师站跨网访问 PLC，则在三层交换机上配置 VLAN 间路由与 ACL 策略即可。

六、常见误区与复盘

  • 误区一：认为配了 VLAN 就能互通。不同 VLAN 默认隔离，必须有三层路由或网关。
  • 误区二：Trunk 两端 allow-pass 不一致。一端放行 VLAN 20、另一端未放行，会导致该 VLAN 业务中断。
  • 误区三：PVID 配置错误。Access 口 PVID 与规划不符，终端会被划入错误广播域。
  • 误区四：滥用 VLAN 1。默认 VLAN 易被攻击且难以排查，应尽量迁移业务。
排障口诀：先看端口类型，再看 PVID，最后核对 Trunk 放行列表。三步确认，多数 VLAN 不通问题都能快速定位。
802.1Q 标签机制与端口转发行为 PLC 终端 无标签帧 摄像头 无标签帧 工业交换机 Access 口 PVID = 10 Access 口 PVID = 20 Trunk 口 放行 10,20 802.1Q 帧结构 DA SA Tag Type 汇聚交换机 Trunk 上行 带标签 Access 口：收无标签帧打 PVID，发帧剥离标签 Trunk 口：按 Tag 转发，放行指定 VLAN Tag 含 TPID(0x8100) + PCP + DEI + VID(12bit) 不同 VLAN 二层隔离，需三层设备互通

理解 VLAN 的定义、标签机制、ID 范围与端口类型，是后续配置 VLAN 划分、Trunk 链路和 VLAN 间路由的基础。只有把“帧怎么打标签、端口怎么处理标签”这条链路想清楚，配置时才能做到心中有数、排障有据可依。

← 上一章 📖 返回目录 下一章 →