思科交换机中的VLAN（虚拟局域网）配置是企业网络中实现网络分段、提升安全性和管理效率的核心技术，通过将一个物理网络划分为多个逻辑上的VLAN，可以有效隔离广播域，控制流量流向，并增强网络的安全性，在思科设备上，VLAN的配置主要通过一系列命令行完成，以下将详细介绍相关命令的使用方法、步骤及注意事项。
VLAN的基本概念与作用
VLAN是一种将物理局域网设备划分成多个逻辑组的技术,每个VLAN形成一个独立的广播域，不同VLAN之间的通信需要通过三层设备（如路由器或三层交换机）进行路由，VLAN的主要作用包括：隔离广播流量（减少不必要的广播包对网络性能的影响）、提高安全性（通过VLAN隔离不同部门或用户组，防止未经授权的访问）、增强网络灵活性（用户位置变动时，只需将其端口划入相应VLAN，无需重新布线）以及简化网络管理（通过VLAN结构化组织网络，便于故障排查和策略部署）。
VLAN的配置命令详解
在思科交换机上,VLAN的配置通常在全局配置模式下进行，涉及创建VLAN、分配端口、配置中继链路等操作。
创建VLAN
使用vlan命令进入VLAN配置模式，并指定VLAN ID，VLAN ID的取值范围为1-4094，其中VLAN 1是默认VLAN，不能被删除或修改。
Switch> enable Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name Sales Switch(config-vlan)# exit
上述命令创建了VLAN 10，并将其命名为“Sales”，同样，可以继续创建其他VLAN，例如VLAN 20命名为“Marketing”：
Switch(config)# vlan 20 Switch(config-vlan)# name Marketing Switch(config-vlan)# exit
将端口分配到VLAN
端口分为接入端口（Access Port）和中继端口（Trunk Port），接入端口仅属于一个VLAN，用于连接终端设备（如PC、打印机）；中继端口可以承载多个VLAN的流量，通常用于连接交换机或路由器。
配置接入端口：
进入接口配置模式，使用switchport mode access将端口设置为接入模式，再使用switchport access vlan命令将端口划入指定VLAN。
Switch(config)# interface fastethernet 0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10 Switch(config-if)# exit
上述命令将FastEthernet 0/1端口划入VLAN 10。
配置中继端口：
进入接口配置模式，使用switchport mode trunk将端口设置为中继模式，并使用switchport trunk allowed vlan命令允许指定的VLAN通过中继链路。
Switch(config)# interface gigabitethernet 0/1 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20 Switch(config-if)# exit
上述命令允许VLAN 10和VLAN 20的流量通过GigabitEthernet 0/1端口，默认情况下，中继端口允许所有VLAN通过，可以通过switchport trunk allowed vlan remove命令移除不需要的VLAN。
配置VLAN中继协议（VTP）
VTP（VLAN Trunking Protocol）用于在交换机之间同步VLAN信息，减少手动配置的工作量，VTP有三种工作模式：服务器模式（Server）、客户端模式（Client）和透明模式（Transparent）。
- 服务器模式：创建、修改和删除VLAN，并同步信息给其他交换机。
- 客户端模式：同步服务器的VLAN信息，但不能创建或修改VLAN。
- 透明模式：不参与VTP同步，但可以本地创建VLAN。
配置VTP域名和模式：
Switch(config)# vtp domain example.com Switch(config)# vtp mode server Switch(config)# vtp version 2
上述命令将交换机设置为VTP服务器模式,域名为“example.com”，使用VTP版本2（版本1不支持私有VLAN）。
验证VLAN配置
配置完成后,可以使用以下命令验证VLAN的配置状态：
show vlan brief：显示所有VLAN及其对应的端口。show interface switchport：显示端口的VLAN模式（Access/Trunk）和所属VLAN。show vtp status：显示VTP的配置信息（域名、模式、版本等）。
查看VLAN摘要信息：
Switch# show vlan brief
输出结果可能如下表所示：
| VLAN Name | Status | Ports |
|---|---|---|
| 1 active Fa0/2, Fa0/3, Gi0/1 | ||
| 10 active Fa0/1 | ||
| 20 active | ||
| 1002 active | ||
| 1003 active |
VLAN配置的注意事项
- VLAN 1的特殊性：VLAN 1是默认VLAN，所有端口默认均属于VLAN 1，建议避免使用VLAN 1进行业务隔离，以提高安全性。
- 中继链路配置：中继两端的端口必须同时设置为Trunk模式，并确保允许的VLAN列表一致。
- VTP的安全性：VTP通过域名验证交换机之间的同步信息，建议设置复杂的VTP域名和密码，防止恶意VLAN信息同步。
- 三层交换机的VLAN接口：在三层交换机上，需要为VLAN创建虚拟接口（SVI）以实现VLAN间路由，命令为
interface vlan <vlan_id>，并配置IP地址作为网关。
相关问答FAQs
问题1：如何在思科交换机上删除已创建的VLAN？
解答：删除VLAN需要先从所有端口中移除该VLAN的关联，然后在全局配置模式下使用no vlan <vlan_id>命令删除，删除VLAN 10的步骤如下：
- 进入所有属于VLAN 10的端口，将其划入默认VLAN 1或删除VLAN关联：
Switch(config)# interface range fa0/1-10 Switch(config-if-range)# no switchport access vlan 10
- 退出接口模式,删除VLAN：
Switch(config)# no vlan 10
注意：VLAN 1和已删除的VLAN不能被删除，且删除VLAN后，该VLAN下的端口将划入默认VLAN 1。
问题2：为什么配置了Trunk端口后，某些VLAN的流量无法通过？
解答：可能的原因有以下几点：
- Trunk端口未允许特定VLAN：默认情况下，Trunk端口仅允许VLAN 1通过，需要手动添加允许的VLAN列表，使用
switchport trunk allowed vlan add <vlan_id>命令添加VLAN。 - VTP同步问题：如果交换机处于VTP客户端模式，且服务器端未创建该VLAN，则客户端无法同步该VLAN，导致流量被丢弃。
- 端口模式错误：确保端口已正确设置为
switchport mode trunk，而非switchport mode access。 - Native VLAN不匹配：Trunk端口的Native VLAN（默认VLAN 1）在两端必须一致，否则可能导致流量异常，可以使用
switchport trunk native vlan <vlan_id>命令修改Native VLAN。
通过以上步骤和注意事项,可以顺利完成思科交换机的VLAN配置，实现高效、安全的网络分段管理。
