您好，欢迎访问飞畅科技官网！
服务热线:+086 0571-87007055/56/57 EN

English

首页

工业以太网交换机VLAN配置完全指南

光通信与工业互联网方案专家

EXPERT IN OPTICAL COMMUNICATION & INDUSTRIAL INTERNET SOLUTIONS

产品快速选型 搜索说明： 产品名优先；空格 = 同时(与逻辑)，| = 任选(或逻辑)，! = 排除(非逻辑)

新闻中心

NEWS

联系我们CONTACT US

全国咨询热线

0571-87007055/56/57/75

传真：0571-87007140

手机：15306818230（微信）

QQ ：2355416925

定制设计:18072828031(微信)

或给我们留言

在线留言

工业以太网交换机VLAN配置完全指南

浏览次数：发布时间：2026-05-25

本文要点

前言 VLAN（虚拟局域网）是工业网络隔离的核心技术。合理划分VLAN，不仅能提升网络性能，还能增强安全性、简化管理。本文用实战案例，手把手教你配置工业交换机的VLAN。一、VLAN基础：为什么要用VLAN？

  • 前言
  • 一、VLAN基础：为什么要用VLAN？
  • 没有VLAN的问题
  • 使用VLAN后的效果
工业以太网交换机VLAN配置完全指南技术应用与选型信息图
工业以太网交换机VLAN配置完全指南技术应用与选型要点（文章专属信息图）
工业以太网交换机冗余光纤环网拓扑示意图
工业交换机通过冗余光纤链路连接现场设备的拓扑示意（示意图，具体端口与参数以实际设备为准）

 

前言

VLAN（虚拟局域网）是工业网络隔离的核心技术。合理划分VLAN，不仅能提升网络性能，还能增强安全性、简化管理。

本文用实战案例，手把手教你配置工业交换机的VLAN。

一、VLAN基础：为什么要用VLAN？

没有VLAN的问题


[交换机] 连接 100+ 设备

├── 生产设备（50台）

├── 办公电脑（30台）

├── 监控摄像头（20台）

├── 门禁系统（5台）

└── 访客WiFi（若干）

​

问题：

❌ 所有设备在同一广播域，广播风暴

❌ 安全隐患，任何设备可访问任何设备

❌ 网络拥塞，速度慢

❌ 管理混乱，无法区分业务

使用VLAN后的效果


[交换机] VLAN划分后

├── VLAN 10 - 生产网络（生产设备）

├── VLAN 20 - 办公网络（办公电脑）

├── VLAN 30 - 安防网络（摄像头+门禁）

└── VLAN 40 - 访客网络（访客WiFi）

​

优势：

✅ 广播域隔离，流量减少

✅ 安全隔离，互不干扰

✅ 逻辑分组，管理简单

✅ 灵活调整，无需物理布线

二、VLAN基本概念

VLAN ID

  • 范围：1-4094（IEEE 802.1Q标准）

  • VLAN 1：默认VLAN，不可删除

  • 推荐规划：10/20/30... 便于记忆和扩展

端口类型

交换机端口在VLAN场景下分为三种类型，各有不同的数据处理规则：

  • Access端口：属于某个唯一VLAN，连接终端设备（PLC/HMI/电脑）。收到数据帧打上该VLAN标签，发送数据帧剥离标签。配置简单，即插即用，是接入终端设备的标准方式

  • Trunk端口：可承载多个VLAN，连接交换机之间或交换机与路由器。收到数据帧按PVID打默认标签（未标签帧）或保留原标签（已标签帧），发送数据帧保留标签（除PVID对应的VLAN剥标）。多VLAN数据在一根链路上传输的核心机制

  • Hybrid端口：同时具备Access和Trunk特性，可自定义哪些VLAN的数据帧带标签、哪些不带标签。灵活性最高，适合特殊场景如语音+数据合一端口、与非标准设备对接

PVID vs Tagged

PVID（端口VLAN ID）和Tagged VLAN是理解VLAN工作机制的核心概念：

  • PVID（Port VLAN ID）：端口的默认VLAN，通常PVID=该端口所属的VLAN。接收无标签帧时打上PVID标签，发送时通常剥掉PVID对应的标签。Access端口PVID固定为其所属VLAN

  • Tagged VLAN（带标签VLAN）：Trunk端口上允许通过并保留标签的VLAN列表。数据帧已带标签，交换机原样转发不修改。一个Trunk端口可同时通过多个Tagged VLAN

  • Untagged VLAN（无标签VLAN）：发送时剥掉标签的VLAN，通常=PVID。接收时如无标签帧则打上PVID标签。保证终端设备（不识别VLAN标签）能正常通信

  • 典型场景：Access端口PVID=10，Untagged VLAN 10；Trunk端口PVID=100（管理VLAN），Tagged VLAN 10,20,30

三、实战配置：三种常见场景

场景一：简单VLAN划分（两网隔离）

需求：将办公网络和生产网络物理隔离

网络拓扑：


[VLAN 10: 办公网段 192.168.10.0/24]

[办公电脑] ←Access→ [SW1端口1-12] ←Trunk→ [SW2端口1-12] ←Access→ [办公电脑]

​

[VLAN 20: 生产网段 192.168.20.0/24]

[生产设备] ←Access→ [SW1端口13-24] ←Trunk→ [SW2端口13-24] ←Access→ [生产设备]

飞畅交换机配置步骤：


Step 1: 创建VLAN

[SW1] vlan batch 10 20

​

Step 2: 配置Access端口（连接终端）

[SW1] interface GigabitEthernet 0/0/1

[SW1-GigabitEthernet0/0/1] port link-type access

[SW1-GigabitEthernet0/0/1] port default vlan 10

[SW1-GigabitEthernet0/0/1] quit

​

# 配置端口2-24类似...

​

Step 3: 配置Trunk端口（连接上级交换机）

[SW1] interface GigabitEthernet 0/0/25

[SW1-GigabitEthernet0/0/25] port link-type trunk

[SW1-GigabitEthernet0/0/25] port trunk allow-pass vlan 10 20

[SW1-GigabitEthernet0/0/25] quit

场景二：跨交换机VLAN（IEEE 802.1Q Trunk）

需求：3台交换机之间传递VLAN 10和VLAN 20

网络拓扑：


[核心交换机 Core]

     |Trunk

     |

[汇聚交换机 Dist1]----[汇聚交换机 Dist2]

  [接入SW1]            [接入SW2]

核心交换机配置：


[Core] vlan batch 10 20 30 100

​

# 配置上行Trunk端口

[Core] interface GigabitEthernet 0/0/1

[Core-GigabitEthernet0/0/1] port link-type trunk

[Core-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 30

[Core-GigabitEthernet0/0/1] quit

​

# 配置VLANIF三层接口（实现VLAN间路由）

[Core] interface Vlanif 10

[Core-Vlanif10] ip address 192.168.10.1 255.255.255.0

[Core-Vlanif10] quit

​

[Core] interface Vlanif 20

[Core-Vlanif20] ip address 192.168.20.1 255.255.255.0

[Core-Vlanif20] quit

汇聚交换机配置：


[Dist1] vlan batch 10 20 30

​

# 上行Trunk到核心

[Dist1] interface GigabitEthernet 0/0/1

[Dist1-GigabitEthernet0/0/1] port link-type trunk

[Dist1-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 30

[Dist1-GigabitEthernet0/0/1] quit

​

# 下行Access到接入交换机

[Dist1] interface GigabitEthernet 0/0/2

[Dist1-GigabitEthernet0/0/2] port link-type trunk

[Dist1-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 20

[Dist1-GigabitEthernet0/0/2] port trunk pvid vlan 100

[Dist1-GigabitEthernet0/0/2] quit

场景三：工业网络VLAN规划

需求：某工厂需要将网络分为生产网、管理网、视频监控网

VLAN规划表：

  • VLAN 10（生产控制网）：IP网段192.168.10.0/24，连接PLC/机器人/伺服/传感器/HMI。端口1-12，Access类型。最高安全级别，禁止访问互联网

  • VLAN 20（生产管理网）：IP网段192.168.20.0/24，连接MES终端/SCADA服务器/数据库。端口13-20，Access类型。可访问VLAN10，禁止访问VLAN30

  • VLAN 30（视频监控网）：IP网段192.168.30.0/24，连接IP摄像头/NVR/视频服务器。端口21-24，Access类型。大带宽，仅允许访问NVR，禁止访问其他VLAN

  • VLAN 100（管理VLAN）：IP网段192.168.100.0/24，连接交换机/AP/网管系统。端口25（Trunk），管理专用。仅网管系统可访问

飞畅工业交换机配置模板：


# ================= VLAN配置模板 =================

​

# 1. 创建所有VLAN

vlan batch 10 20 30 100

​

# 2. 批量配置Access端口（生产网）

port-group vlan10

 group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/12

#

interface range GigabitEthernet 0/0/1 to GigabitEthernet 0/0/12

 port link-type access

 port default vlan 10

 stp edgedport enable

 quit

​

# 3. 批量配置Access端口（办公网）

port-group vlan20

 group-member GigabitEthernet 0/0/13 to GigabitEthernet 0/0/24

#

interface range GigabitEthernet 0/0/13 to GigabitEthernet 0/0/24

 port link-type access

 port default vlan 20

 stp edgedport enable

 quit

​

# 4. 配置Trunk端口（连接核心交换机）

interface GigabitEthernet 0/0/25

 port link-type trunk

 port trunk allow-pass vlan 10 20 30 100

 port trunk pvid vlan 100

 undo negotiation auto

 speed 1000

 duplex full

 quit

​

# 5. 配置端口隔离（可选）

# 生产网和办公网不能互访，但都能访问服务器

port-isolate enable group 1

#

interface range GigabitEthernet 0/0/1 to GigabitEthernet 0/0/12

 port-isolate enable group 1

 quit

四、VLAN间路由配置

方法1：交换机内置路由（推荐小型网络）


# 在三层交换机或路由器上配置

[Core] interface Vlanif 10

[Core-Vlanif10] ip address 192.168.10.1 255.255.255.0



[Core] interface Vlanif 20

[Core-Vlanif20] ip address 192.168.20.1 255.255.255.0



[Core] interface Vlanif 30

[Core-Vlanif30] ip address 192.168.30.1 255.255.255.0



# 启用路由功能

[Core] ip enable

方法2：单臂路由（适合旧网络改造）


# 路由器配置

[Router] interface GigabitEthernet 0/0/1.10

[Router-GigabitEthernet0/0/1.10] vlan-type dot1q vid 10

[Router-GigabitEthernet0/0/1.10] ip address 192.168.10.1 255.255.255.0

[Router-GigabitEthernet0/0/1.10] quit



[Router] interface GigabitEthernet 0/0/1.20

[Router-GigabitEthernet0/0/1.20] vlan-type dot1q vid 20

[Router-GigabitEthernet0/0/1.20] ip address 192.168.20.1 255.255.255.0

五、VLAN安全配置

1. 限制未授权VLAN


# 禁止学习未知VLAN

[Switch] vlan reserved all



# 配置VLAN映射（可选）

vlan mapping 10 remark "生产控制"

vlan mapping 20 remark "办公网络"

2. 端口安全


# 启用端口安全

[Switch] interface GigabitEthernet 0/0/1

[Switch-GigabitEthernet0/0/1] port security

[Switch-GigabitEthernet0/0/1] port security max-mac-num 5

[Switch-GigabitEthernet0/0/1] port security protect-action restrict

3. DHCP Snooping（防私接路由器）


[Switch] dhcp snooping enable

[Switch] vlan 10

[Switch-vlan10] dhcp snooping enable

[Switch-vlan10] dhcp snooping trusted interface GigabitEthernet 0/0/25

六、常见故障排查

故障1：同一VLAN无法通信

同一VLAN内设备无法通信的常见原因及排查方法：

  • 端口VLAN配置错误或端口被shutdown：现象为端口指示灯正常但ping不通。排查方法：display port vlan检查端口VLAN配置，display interface brief确认端口状态不是Administratively DOWN

  • 端口隔离功能启用：现象为同一VLAN端口之间ping不通，但都能ping通网关。排查方法：display port-isolate group检查端口隔离配置，移除不必要的隔离组配置

  • STP端口被阻塞（discarding状态）：现象为端口指示灯正常但无数据转发。排查方法：display stp brief确认端口状态，检查是否存在环路导致STP将端口阻塞

故障2：跨交换机VLAN不通

跨交换机VLAN通信失败的排查步骤：

  • Trunk链路未放行对应VLAN：现象为本地VLAN正常，跨交换机VLAN全部不通。排查方法：display port vlan检查Trunk端口的allow-pass vlan列表是否包含该VLAN ID，确认两端配置一致

  • 两端Trunk端口PVID不一致：现象为部分VLAN通、部分不通，无规律。排查方法：display port vlan检查两端Trunk端口的PVID配置，确认两端PVID值一致

  • 生成树根桥选举导致环网端口被阻塞：现象为网络刚启动时正常，运行一段时间后部分VLAN不通。排查方法：display stp brief检查STP拓扑，确认根桥位置合理，没有将核心交换机之间的Trunk链路阻塞

七、配置检查命令汇总

配置工作完成后的验证命令清单：

  • display vlan：查看所有VLAN及其包含的端口。确认VLAN已正确创建，检查端口归属是否符合预期

  • display port vlan：查看端口VLAN详细配置（Access/Trunk/Hybrid、PVID、Tagged/Untagged）。逐端口核对关键端口的VLAN模式设置

  • display interface brief：查看所有端口状态（UP/DOWN/Administratively DOWN）。确认关键链路端口为UP状态，速率和双工模式正确

  • display stp brief：查看生成树协议端口状态（FORWARDING/DISCARDING/LEARNING）。确认根端口和指定端口处于FORWARDING状态，备用端口正常丢弃

  • display mac-address vlan [VLAN-ID]：查看指定VLAN的MAC地址表。确认终端设备的MAC地址已学习到正确的端口上，无漂移

  • display dhcp snooping：查看DHCP Snooping配置和绑定表。确认信任端口配置正确，非信任端口无非法DHCP服务器

  • display logbuffer：查看系统日志缓冲区，关注Error/Warning级别日志。检查是否有端口反复UP/DOWN或STP拓扑变化的异常告警

  • ping [目标IP]：从交换机ping目标设备IP，验证三层连通性。分别从不同VLAN的网关接口ping该VLAN内设备，逐VLAN验证

总结

VLAN配置的核心要点可以归纳为三个方面：

  • 规划先行：VLAN ID采用10/20/30等间隔编号便于扩展，IP网段与VLAN一一对应，不同业务系统（生产/办公/监控）严格隔离。好的VLAN规划让后续扩容和维护事半功倍

  • 端口分类：Access端口连终端（即插即用，简单可靠），Trunk端口连交换机（承载多VLAN），Hybrid端口用于特殊需求。PVID和Tagged VLAN的概念是理解VLAN工作原理的钥匙

  • 安全加固：限制Trunk端口只放行必要的VLAN，启用端口安全防止非法接入，使用DHCP Snooping防止私接路由器。VLAN不仅是性能优化手段，更是网络安全的第一道防线

 

 

上一篇：管理型 vs 非管理型交换机：到底怎么选？

下一篇：没有了

返回