3. VLAN基础与配置：VLAN技术原理与作用、Access接口与Trunk接口的区别、创建VLAN并将端口划分到VLAN、使用Ping测试VLAN间隔离
3.1 VLAN技术原理与作用
VLAN，说白了就是虚拟局域网。它能把一台物理交换机，从逻辑上切成多个相互隔离的“小交换机”。
我刚开始接触网络时，觉得这东西有点玄乎。后来在项目里遇到一个场景：一个公司财务部和研发部在同一台交换机上，财务数据被研发同事抓包抓到了……嗯，从那以后我就再也不敢小看VLAN了。
VLAN的核心作用：
- 广播隔离：默认情况下，广播帧只在同一个VLAN内传播，不会跨VLAN。
- 安全隔离：不同VLAN之间默认不能直接通信，相当于物理上隔开了。
- 灵活组网：不用改物理布线，改个配置就能把用户划到不同网络。
你想想看，如果没有VLAN，一个广播域里几百台设备，ARP广播满天飞，网络性能能好吗？
3.2 Access接口与Trunk接口的区别
这是VLAN配置里最容易搞混的地方。我见过不少新手，把Access口和Trunk口接反了，结果全网不通。
咱们先看一张对比表，一目了然：
| 接口类型 | 用途 | 帧格式 | 典型连接对象 |
|---|---|---|---|
| Access接口 | 连接终端设备（PC、打印机、服务器） | 不带VLAN Tag的普通以太网帧 | PC、IP电话、摄像头 |
| Trunk接口 | 连接交换机之间或交换机与路由器 | 带802.1Q VLAN Tag的帧 | 交换机互联、路由器子接口 |
我的经验：Access口就像小区单元门，只认一个楼栋号；Trunk口就像主干道，上面跑着各种车牌的车（多个VLAN的帧）。
具体来说：
- Access口：收到不带Tag的帧，打上PVID对应的VLAN Tag；发送时去掉Tag，还原成普通帧。
- Trunk口：允许指定的一组VLAN通过，帧始终带着Tag在链路上传输。
我曾经踩过的坑：两台交换机互联，两边Trunk口允许的VLAN列表不一致，结果VLAN 10的设备能通，VLAN 20的设备死活不通。排查了半天，才发现是Trunk口没放行VLAN 20。
3.3 创建VLAN并将端口划分到VLAN
咱们直接上实战。假设有一台华为交换机，我要创建VLAN 10和VLAN 20，把端口G0/0/1和G0/0/2分别划进去。
我个人习惯先清空配置，再从头来一遍，这样心里有底。
<Huawei> system-view
[Huawei] vlan batch 10 20
[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 10
[Huawei-GigabitEthernet0/0/1] quit
[Huawei] interface GigabitEthernet 0/0/2
[Huawei-GigabitEthernet0/0/2] port link-type access
[Huawei-GigabitEthernet0/0/2] port default vlan 20
[Huawei-GigabitEthernet0/0/2] quit配置完成后，可以用 display vlan 查看：
[Huawei] display vlan
-------------------------------------------------------------------------------
VLAN ID Name Status Ports
-------------------------------------------------------------------------------
1 default active GigabitEthernet0/0/3 to GigabitEthernet0/0/24
10 VLAN 0010 active GigabitEthernet0/0/1
20 VLAN 0020 active GigabitEthernet0/0/2
-------------------------------------------------------------------------------看到没？端口已经乖乖待在对应的VLAN里了。
3.4 使用Ping测试VLAN间隔离
配置完VLAN，咱们得验证一下效果。最简单的办法就是Ping。
假设：
- PC1（IP: 192.168.10.1/24）接在G0/0/1，属于VLAN 10
- PC2（IP: 192.168.20.1/24）接在G0/0/2，属于VLAN 20
在PC1上Ping PC2：
C:\> ping 192.168.20.1
正在 Ping 192.168.20.1 具有 32 字节的数据:
请求超时。
请求超时。
请求超时。结果就是不通。这就是VLAN隔离的效果——不同VLAN之间默认无法通信。
为什么不通？因为PC1发出的ARP请求广播帧，只在VLAN 10内广播，PC2在VLAN 20里根本收不到。没有ARP，就没有MAC地址，IP包自然发不出去。
反过来，在PC1上Ping同VLAN的另一台PC（比如192.168.10.2），应该是通的。这说明VLAN内部通信正常，隔离也生效了。
我的建议：测试时别只Ping一次。多Ping几次，确认不是偶然丢包。另外，可以用 display mac-address 看看交换机学到了哪些MAC，辅助判断。
3.5 VLAN知识体系总览
下面这张图，把VLAN的核心知识点串起来了。我每次培训都拿它当开场白。
这张图把VLAN的原理、接口类型、配置验证串在了一起。你把它记牢了，后面学VLAN间路由、Hybrid接口什么的，就轻松多了。
最后提醒一句：VLAN隔离只是第一步。如果业务需要跨VLAN通信，就得靠三层设备（路由器或三层交换机）来做VLAN间路由。那是后面章节的内容，咱们先把基础打牢。