您好，欢迎访问飞畅科技官网！
服务热线:+086 0571-87007055/56/57 EN

English

首页

工业以太网交换机VLAN配置完全指南

光通信与工业互联网方案专家

EXPERT IN OPTICAL COMMUNICATION & INDUSTRIAL INTERNET SOLUTIONS

产品快速选型 搜索说明： 产品名优先；空格 = 同时(与逻辑)，| = 任选(或逻辑)，! = 排除(非逻辑)

服务支持

SErvice support

联系我们CONTACT US

全国咨询热线

0571-87007055/56/57/75

传真：0571-87007140

手机：15306818230（微信）

QQ ：2355416925

定制设计:18072828031(微信)

或给我们留言

在线留言

工业以太网交换机VLAN怎样配置：PVID、标签、跨网与验收

浏览次数： 飞畅科技原创 作者：飞畅科技技术团队

把生产控制、视频监控和维护电脑接在同一台工业交换机上，并不意味着它们必须处于同一个二层网络。虚拟局域网VLAN通过逻辑分组划分广播域：设备仍共享交换机和部分上联，但交换机按组别决定帧可以从哪些端口转发。要配置正确，关键不是记住几条命令，而是看清“入口怎样归类、链路怎样携带组别、出口怎样交付”。

一、VLAN解决什么问题，不能解决什么问题

广播帧通常会在所属VLAN内按转发规则复制，不直接跨到另一个VLAN。这样可以把控制设备与摄像机的二层广播范围分开，帮助管理地址、变更和故障影响。未知单播与组播也受VLAN及相关转发策略约束，不能理解为任何帧都能在一个广播域中畅行无阻。

VLAN不会使设备停止产生广播，也不会增加上联带宽。共享出口仍可能拥塞，错误的闭合二层环路仍可能导致风暴；业务分组需配合容量规划与防环机制。它是逻辑隔离，不是物理分网，更不等于加密或防火墙。不同组之间如果设置了路由，就可能互通，是否允许应由访问策略明确约束。

二、VLAN编号、标签和PVID各自表示什么

常规可分配的VLAN标识符VID一般为1至4094，设备能同时支持多少组、哪些编号受保留规则限制，要查型号资料。VID为0用于优先级标记语义，并不是可以照常创建的普通VLAN；4095为保留值。不能把旧型号的特殊保留范围、默认VLAN行为或厂商协议限制当作所有设备的统一规则。

IEEE 802.1Q标签在以太网帧源MAC字段后增加4字节信息。其中包含标签协议识别字段TPID和标签控制信息TCI；TCI中有优先级、丢弃资格及VID等部分。标签表达该帧在带标签链路上的逻辑归属，不是另一个IP地址，也不是加密封装。交换机内部可以维护VLAN元数据，不要求在所有内部处理阶段都实际附加外部线缆格式的标签。

端口VLAN标识PVID主要用于按配置把接收到的无标签帧归入某个VLAN。收到带标签帧时，需要核对所带VID及入口接收、成员和过滤规则。出口是否带标签，是另一组规则决定的；PVID等于某VLAN，不足以证明该VLAN在该出口必定去标签。入口归类和出口标记应分别记录，避免两端默认规则不一致。

PLC无标签帧进入交换机按PVID归类，经带802.1Q标签的上联到另一台交换机，按出口规则交给HMI
图1：通用原理示意。同一个VLAN10业务经过接入、带标签上联及无标签交付；入口归类不等于出口标记规则。帧字段未按比例，非真实设备内部照片或实测。

三、接入与上联：端口模式名称不如规则重要

连接不识别标签的PLC或普通终端时，常用接入端口Access，把无标签入帧归到指定VLAN，并对该业务以无标签方式交付。连接交换机、支持标签的服务器或路由器时，常用Trunk承载多个VLAN。对端需理解相应标签，并在链路两端允许所需组别。

一些设备使用Hybrid或General等模式，可以分别设置不同VLAN的出口带标签状态。各厂商模式、默认值和接收限制并不完全一致：有的上联允许一个无标签业务，有的可以要求只接收带标签帧。因而不能仅写“端口是Trunk”就认为配置已经明确。应把允许的VID、无标签入口归属和逐VLAN出口标记写出来，并核对两端。

四、跨交换机与跨VLAN是两件事

同一个VLAN可以沿正确配置的上联跨越多台交换机，不需要因为跨了机箱就做IP路由。但路径上的每个转发节点及上联都必须具备该VLAN的成员和标记配置。若本机两个端口可以通信，而跨交换机不通，常见检查方向是上联允许列表、VID、出口标记及对端分类，不应先随意修改终端地址。

不同VLAN之间通常需要三层交换机、路由器或安全网关完成IP转发。一般规划中，一个VLAN配一个IP子网便于管理；这是一种常用设计，不应变成所有特殊设计的绝对定律。只改IP子网不能替代二层VLAN分组，而只创建VLAN也不能自动生成网关、路由或访问许可。

二层交换机在VLAN10内转发与广播限制，以及跨VLAN业务经外部网关进行IP路由和访问策略检查
图2：通用机制示意。二层广播不直接跨组；被允许的跨网业务经过外部网关。绿色虚线表示逻辑转发顺序，不是额外线缆；两个方向均通过所示Trunk。颜色表示逻辑归属，不代表独立物理硬件，也不代表自动加密或安全许可。

五、一个可核对的工业网络示例

以下是教学规划，不是客户案例：PLC与HMI使用VLAN10，摄像机使用VLAN20，设备管理使用单独规划的VLAN100。两台交换机各自的终端端口按业务分类；交换机之间的一条上联仅放行所需VLAN，并明确其中是否存在无标签业务。示例编号不是必需编号，更不意味着任何设备默认支持这些配置。

先完成一组控制设备的同VLAN通信，再测试跨交换机路径，随后验证摄像机与管理访问。业务需要跨组时，再由网关配置明确的路径和访问策略，例如只允许指定维护端点访问指定管理服务。不要为了让所有测试通过而临时放通全部组别；验收应同时验证应当通的业务和应当被阻止的访问。

飞畅产品中心的一款管理型导轨交换机详情列出了IEEE 802.1Q VLAN功能以及电、光接口配置，可作为核对实际产品的入口。支持VLAN不证明一定具有任意厂商命令、三层路由、动态认证或安全特性。具体订货版本与固件应以对应手册为准。本文不把旧文中的第三方命令标成飞畅通用配置，也不提供未经核验的命令照抄模板。

六、端口划分以外的分类方式，需按型号确认

部分设备能够根据MAC地址、协议或认证结果将接入设备分到不同VLAN。这些属于具体实现或配套系统能力，不能从“网管交换机”自然推导。按MAC分类不是可靠身份认证的替代；动态分配还要核对策略来源、异常处理和设备移动后的行为。IP组播组也不等于一个VLAN，组播成员管理与二层广播域划分是不同机制。

把一个VLAN延伸到很远的多个接入点可以满足特定需求，但同时扩展了故障域和维护范围；局部划分也不是必须限定在一个机架内。应根据业务流向、网关位置、冗余设计和运维责任选择边界，而不是用“本地一定好、端到端一定坏”的口号代替规划。

七、上线前检查与安全排障

变更前备份配置、端口表和管理接入方式，准备本地维护或恢复路径，并安排维护窗口。先在测试链路确认规则，避免一改管理VLAN就失去远程连接。保存配置后，按手册检查持久化状态；必要的重启验证在维护窗口完成，不影响正在运行的生产业务。

不通时依次检查：链路与端口状态、无标签入口归属、VID和成员、出口是否带标签、上联允许范围，以及生成树或其他防环状态。再核对MAC是否学到预期端口、IP与网关是否正确、路由和访问策略是否放行。不要为排障直接关闭防环或删除安全规则。能ping通只说明一种测试路径通过，还应验证真实业务、预期隔离和错误计数。

资料与图示说明

资料依据包括IEEE 802.1Q桥接网络与VLAN说明、Cisco接口VLAN规则说明及飞畅管理型导轨交换机详情。第三方资料用于核对通用机制，不证明飞畅的命令或功能支持。原理图为教学示意，实际端口规则、规格及验收以型号说明和项目要求为准。

返回