思科设备中划分VLAN（虚拟局域网）是网络管理中一项基础且重要的操作，通过VLAN可以将一个物理网络划分为多个逻辑网络，实现广播域隔离、提升网络安全性及优化流量管理，以下是思科设备划分VLAN的详细命令操作步骤及相关注意事项，内容基于Cisco IOS（如Catalyst交换机）和Cisco Nexus系列（NX-OS）两种主流操作系统展开，并附实际场景示例和常见问题解答。

VLAN基础概念与规划

在配置前需明确VLAN的规划,例如VLAN 10用于研发部门，VLAN 20用于市场部门，VLAN 100用于管理流量等，VLAN ID范围通常为1-4094，其中VLAN 1是默认VLAN（建议避免在生产环境中使用），VLAN 1002-1005为Token Ring和FDDI保留。

Cisco IOS（传统交换机）VLAN划分命令

Cisco IOS是思科传统交换机（如Catalyst 2960、3560等）的操作系统，划分VLAN主要通过全局配置模式和接口配置模式完成。

进入全局配置模式

Switch> enable
Switch# configure terminal
Switch(config)#

创建VLAN并命名

Switch(config)# vlan 10
Switch(config-vlan)# name R&D
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Marketing
Switch(config-vlan)# exit

说明：vlan <ID>用于创建VLAN，name <VLAN名称>为VLAN命名（可选但推荐，便于管理），若需删除VLAN，使用no vlan <ID>。

将端口划入VLAN

（1）接入端口（Access Port，连接终端设备）

假设将FastEthernet 0/1至0/5划入VLAN 10，GigabitEthernet 1/0/1划入VLAN 20：

Switch(config)# interface range fastEthernet 0/1 - 5
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10
Switch(config-if-range)# exit
Switch(config)# interface gigabitEthernet 1/0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20

参数说明：

• switchport mode access：将端口设置为接入模式，仅属于单一VLAN。
• switchport access vlan <ID>：将端口划入指定VLAN。

（2）中继端口（Trunk Port，连接交换机）

若两台交换机间需传输多个VLAN流量,需将端口配置为Trunk模式，并允许通过特定VLAN：

Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20,100  // 允许VLAN 10、20、100通过
Switch(config-if)# switchport trunk encapsulation dot1q  // 封装协议（默认为ISL，新设备建议dot1q）

说明：switchport trunk allowed vlan add <ID>可动态添加允许的VLAN；no switchport trunk allowed vlan则清除所有允许的VLAN。

验证VLAN配置

Switch# show vlan brief  // 查看所有VLAN及其包含端口
Switch# show interface switchport  // 查看端口模式及所属VLAN
Switch# show running-config | include vlan  // 查看VLAN配置部分

Cisco Nexus（NX-OS）VLAN划分命令

Nexus系列交换机（如Nexus 9000、7000）使用NX-OS操作系统，VLAN配置命令与IOS略有差异，但核心逻辑一致。

进入全局配置模式

switch# configure terminal
switch(config)#

创建VLAN并命名

switch(config)# vlan 10
switch(config-vlan)# description R&D Department  // 使用description替代name
switch(config-vlan)# state active  // 设置VLAN状态（active/suspend，默认active）
switch(config-vlan)# exit
switch(config)# vlan 20
switch(config-vlan)# description Marketing Department
switch(config-vlan)# exit

端口划入VLAN

（1）接入端口

switch(config)# interface ethernet 1/1/1
switch(config-if)# switchport mode access
switch(config-if)# switchport access vlan 10
switch(config-if)# no shutdown  // 启用端口

（2）中继端口

switch(config)# interface ethernet 1/1/2
switch(config-if)# switchport mode trunk
switch(config-if)# switchport trunk allowed vlan 10,20,100
switch(config-if)# switchport trunk native vlan 1  // 本征VLAN（默认为1，建议修改为 unused VLAN）

验证VLAN配置

switch# show vlan brief
switch# show interface ethernet 1/1/1 switchport
switch# show vlan name R&D  // 通过名称查询VLAN

VLAN间路由实现

划分VLAN后,不同VLAN间通信需通过三层设备（路由器或三层交换机），以三层交换机为例，配置SVI（交换虚拟接口）实现VLAN间路由：

创建SVI并配置IP地址

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# no shutdown

启用IP路由功能

Switch(config)# ip routing  // 三层交换机默认关闭，需手动开启

验证路由

Switch# show ip route  // 查看路由表
Switch# ping 192.168.20.1  // 测试VLAN 10与VLAN 20互通性

VLAN配置注意事项

1. 默认VLAN处理：VLAN 1为默认VLAN，建议将所有接入端口从VLAN 1移除，避免未授权设备访问。
2. 中继端口安全：Trunk端口需明确允许的VLAN列表，防止VLAN跳跃攻击（switchport trunk allowed vlan remove <ID>可移除多余VLAN）。
3. 端口状态：配置完成后需使用no shutdown启用端口，否则端口处于down状态。
4. 配置保存：配置完成后执行write memory或copy running-config startup-config保存配置，避免设备重启丢失。

相关问答FAQs

问题1：如何批量修改多个端口的VLAN成员？
答：在Cisco IOS中，可使用interface range命令批量选择端口，例如将FastEthernet 0/1至0/10划入VLAN 30：

Switch(config)# interface range fastEthernet 0/1 - 10
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 30

在NX-OS中，类似操作为：

switch(config)# interface range ethernet 1/1/1-10
switch(config-if-range)# switchport access vlan 30

若端口已配置为接入模式,可直接执行switchport access vlan <ID>跳过模式修改步骤。

问题2：VLAN配置后，同一VLAN内的设备无法通信，如何排查？
答：可按以下步骤排查：

1. 检查端口VLAN成员：使用show interface switchport确认端口是否正确划入目标VLAN。
2. 检查端口状态：确认端口是否为up/up状态（show interface查看物理层和链路层状态）。
3. 检查Trunk配置：若通过交换机互联，确认Trunk端口是否允许目标VLAN通过（show interface trunk查看允许的VLAN列表）。
4. 检查MAC地址表：使用show mac-address-table确认设备MAC地址是否正确学习到对应VLAN的端口。
5. 检查ACL或安全策略：确认是否有访问控制列表或端口安全策略阻止流量（show access-lists、show port-security）。
6. 测试连通性：使用ping和traceroute定位故障点，例如在VLAN 10的设备上ping网关地址（SVI IP），再ping其他VLAN设备。