二层交换机配置

二层交换机配置的核心是 通过VLAN划分、端口类型配置和链路聚合实现广播域隔离与带宽扩展，其配置难点不在于命令记忆，而在于 网络拓扑的清晰规划，正确的配置顺序应当是：先规划VLAN与端口归属，再配置VLAN接口与Trunk链路，最后调试生成树与安全策略。任何跳过规划直接敲命令的行为都会为后续故障埋下隐患。

二层交换机配置前的规划要点

在登录设备之前,必须完成三项基础决策：

• VLAN划分逻辑：按部门划分（如财务、研发、行政）还是按业务类型划分（如语音、数据、管理）？建议为管理VLAN单独分配一个专用VLAN（如VLAN 100）,避免用户流量与管理流量互相干扰。
• 端口角色定义：连接终端的端口设为Access口，连接交换机之间或交换机与路由器/防火墙的端口设为Trunk口。如果端口误配为Trunk口，可能引发VLAN Hopping攻击；如果Access口PVID配置错误，则会导致VLAN间通信异常。
• 链路冗余策略：是否需要配置链路聚合（Eth-Trunk）？聚合链路不仅能提高带宽，还能避免STP阻塞备用链路导致的带宽浪费，对于服务器双网卡接入交换机的情况,建议使用动态LACP模式而非静态手动聚合。

基础配置步骤详解

第一步：设备初始化与远程管理配置

首次登录通过Console线完成基础配置,推荐配置顺序：

system-view
sysname Core-SW1
vlan batch 10 20 30 100
interface vlanif 100
  ip address 192.168.100.1 24
quit
interface GigabitEthernet0/0/1
  port link-type access
  port default vlan 100
quit
stelnet server enable

关键点：管理IP必须配置在VLANIF 100上，且该VLAN的端口只允许网管终端接入，开启SSH而非Telnet,避免明文密码泄露。

第二步：用户端口的Access配置

以接入VLAN 10的办公终端为例：

interface GigabitEthernet0/0/2
  port link-type access
  port default vlan 10
quit

• 若需限制端口接入终端数量，可开启端口安全：port-security enable,并设置最大MAC地址数。
• 为防止广播风暴，建议在连接终端的端口开启风暴控制：broadcast-suppression 20。
• 经验案例：某客户将全部办公室终端接入同一VLAN，导致ARP广播占满带宽，公司财务系统频繁超时，我们通过将办公网络按楼层划分为VLAN 10/20/30后，广播域缩小为原来的三分之一，同时启用storm-control，问题彻底解决。这一案例说明VLAN规划直接决定了广播域的大小，配置命令只是落地手段。

第三步：Trunk链路的配置

交换机之间的互联端口必须透传多个VLAN,配置如下：

interface GigabitEthernet0/0/24
  port link-type trunk
  port trunk allow-pass vlan 10 20 30 100
  port trunk pvid vlan 100
quit

注意三个细节：

• Trunk端口默认会放通Native VLAN（通常为VLAN 1），建议手动修改PVID为管理VLAN，且不要将管理VLAN配置为Native VLAN的默认值，避免VLAN 1被用于非法访问。
• 对于华为交换机，使用port trunk allow-pass vlan all要谨慎，这会透传所有VLAN，包括未来新增的VLAN，但若未配套设置VLAN过滤策略,会扩大广播域。



• 若两台交换机之间有多条物理链路，务必先配置链路聚合再放通VLAN,否则STP可能临时阻塞端口。

第四步：生成树协议与环路防护

二层网络必须开启STP/RSTP避免环路导致广播风暴：

stp mode rstp
stp priority 4096

• 核心交换机应设置较低优先级（如4096）成为根桥。
• 在接入层交换机上开启STP边缘端口：stp edged-port enable，并配置BPDU保护,防止有人非法接入交换机发送BPDU篡改网络拓扑。
• 经验案例：我们为某融媒体中心部署网络时，由于现场存在大量临时拉线的网线，用户误将两台接入交换机串接形成环路，RSTP在500ms内完成了端口阻塞，业务无感知，但若最初未开启RSTP，默认STP需要30-50秒收敛，直播推流必然中断。这一案例表明默认配置的STP并不能适应高实时性业务，必须手动调整模式与优先级。

高级配置与排错指南

VLAN间路由的常见误区

二层交换机无法完成VLAN间路由，必须借助三层交换机或路由器，若使用单臂路由，需要在路由器子接口上封装Dot1q，但子接口的物理链路带宽会成为瓶颈,推荐使用三层交换机配置VLANIF完成通信。

常用排错命令

display vlan
display port vlan
display interface trunk
display stp brief
display mac-address

• 当终端无法获取IP时,先检查Access端口PVID与DHCP服务器所在VLAN是否匹配。
• 当跨交换机VLAN不通时，用display port vlan确认Trunk链路已经放通对应VLAN,再检查Physical端口状态是否Up。

安全加固建议

• 关闭不用的端口：shutdown或配置为port link-type access并放入黑洞VLAN。
• 启用DHCP Snooping防私接小路由：dhcp snooping enable并将连接合法DHCP服务器的端口配置为信任口。
• 启用IP源防护：基于DHCP Snooping的表项自动绑定IP与MAC,阻止源地址欺骗。

相关问答模块

问：交换机的Access口和Trunk口能否配置同一个PVID？
答：不建议，Access口的PVID即该端口所属VLAN，Trunk口的PVID用于接收未打标签的帧，且该帧会在Trunk链路上以Native VLAN的标签转发，若两者使用相同PVID，会造成管理框架混乱，尤其当Native VLAN被修改时，可能产生VLAN跳变风险，实际部署中应使Access口的PVID与Trunk口的Native VLAN保持隔离，至少不用VLAN 1。

问：二层交换机配置好VLAN后，为什么终端依然通信失败？
答：排错路径依次为：物理层（网线指示灯是否亮）、数据链路层（端口链路类型是否匹配）、网络层（网关是否配置、VLANIF是否创建），最常见原因是终端所属VLAN的网关所在VLANIF未配置IP，或Trunk链路只放通了部分VLAN，请依次检查：display vlan确认VLAN存在，display interface trunk确认放通状态，再检查终端IP配置与网关是否同一网段，如果DHCP失败，还要检查DHCP Snooping是否拦截了请求。

您在二层交换机配置中是否遇到过更棘手的问题？欢迎在评论区描述您的场景，我们将结合具体设备型号给出针对性方案，关注酷番云，获取更多网络运维实战干货。