为什么你的 VLAN 妄想总在”救火”

上周去一祖传媒公司排查网络故障,他们的 VLAN 划分让我哭笑不得——市场部、、财务部、、聚会室、、打印机所有塞在 VLAN 10 里,网工小哥振振有词:”横竖都能互通,省得贫困。。。”效果显而易见:视频聚会卡成 PPT,财务电脑被勒索病毒横向渗透,整栋楼断网三小时。。。

这不是个例。。。我经手的项目中,凌驾六成的网络故障泉源都在 VLAN 妄想失控。。。要么是当初设计太随意,营业扩张后积重难返;要么是听了”三十二层 VLAN 足够用”的鬼话,效果 AP 和 IP Phone 抢地点忙成一锅粥。。。今天把这十多年踩过的坑、、系统化的要领论、、尚有 Cisco 和华为的详细设置,一次性说清晰。。。

妄想逻辑:先分层,再分区,最后定址

许多工程师做 VLAN 妄想,上来就问”需要几个 VLAN”,这是本末倒置。。。准确顺序应该是:先明确营业架构,再决议清静界线,最后才是编号和地点分配。。。

我们通常参考 ISO/IEC 7498-4 的分层头脑,把企业网络笼统成三个平面:生产平面(焦点营业)、、治理平面(装备管控)、、清静平面(访客/隔离区)。。。每个平面内部再按部分或营业系统笔直切分。。。好比制造业工厂,生产网、、办公网、、监控网必需物理隔离或至少 VLAN 隔离,这是工控清静的底线。。。

地点妄想要配合子网掩码,建议统一使用 /24,特殊情形用 /25 或 /26 应对。。。VLAN 编号和 IP 网段建议建设对应表,好比 VLAN 40 对应 172.16.40.0/24,一目了然,运维时少翻一半文档。。。

三个经典坑:语音、、视频、、IoT 装备

这三个场景是 VLAN 妄想的重灾区,也是最容易让网工三更被叫醒的原因。。。

坑一:IP Phone 和 PC 混插统一端口。。：Ｐ矶嘀行∑笠低际∈,把 IP Phone 当通俗交流机用,Phone 后面串一台 PC。。。语音和数据共用 VLAN,效果电话通话质量差、、延迟高,抓包一看——Packets 混在一起,QoS 基础无法生效。。。准确做法是语音走自力 VLAN,使用 802.1Q trunk 口的 voice VLAN 功效,让语音流量打上更高优先级的 DSCP 值。。。

坑二:视频监控的私有协议。。：：？？、、大华的摄像头喜欢用 554 端口的 RTSP 流,许多网工默认放行全端口,效果把整个办公网段袒露给摄像头网络。。：：诓抢锷ǖ饺蹩诹钌阆裢肪湍芎嵯蚪旃,去年某智慧社区项目就是这么被勒索的。。。建议摄像头单唯一个 VLAN,只允许 NVR 的 IP 会见治理端口,其他端口一律 deny。。。

坑三:IoT 装备 DHCP 的糟心事。。。智能照明、、传感器、、温控面板这类装备,上电后往往通过 DHCP 获取 IP,但它们不支持 Option 43/60,经常占满办公网的地点池,新员工入职电脑插上网线却分不到 IP。。。我通常唬
；岣 IoT 单独划 VLAN,并启用 DHCP Snooping 防止私接路由器广播。。。

Cisco 和华为:双厂商设置示例

在北京的企业情形里,Cisco 和华为装备混用是常态。。：Ｐ矶嗫突Щ坷镉芯 Cisco 2960/3750,新上线的焦点用的是华为 S5720-SI,这种”混搭风”对网工来说既是现实也是挑战。。。下面给出一套经典场景的设置模板——语音 VLAN 和办公 VLAN 通过 trunk 口透传,并启用 QoS 包管语音流量。。。

Cisco IOS 交流机设置:

! 建设 VLAN
vlan 20
 name Office_Data
!
vlan 40
 name Voice_VLAN
!
! 设置接入端口 - IP Phone + PC 场景
interface GigabitEthernet0/1
 description "IP Phone + PC Access Port"
 switchport mode access
 switchport access vlan 20
 switchport voice vlan 40
 spanning-tree portfast
 spanning-tree bpduguard enable
!
! 设置 trunk 口 - 上联焦点
interface GigabitEthernet0/24
 description "Uplink to Core"
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 20,40
!
! QoS 战略 - 语音优先
mls qos
policy-map VOICE-POLICY
 class class-default
  set dscp ef
!
interface GigabitEthernet0/1
 service-policy output VOICE-POLICY

华为 VRP 交流机设置:

<!-- 华为设置示例 -->
# 建设 VLAN
vlan batch 20 40

# 设置语音 VLAN (LLDP 方式自动发明)
vlan 40
 description Voice_VLAN
#
vlan 20
 description Office_Data
#
# 接入端口设置
interface GigabitEthernet0/0/1
 description "IP Phone + PC Access Port"
 port link-type hybrid
 port hybrid pvid vlan 20
 port hybrid tagged vlan 40
 port hybrid untagged vlan 20
 voice-vlan enable
 voice-vlan qos 46
 stp edgedport enable
#
# 上联 trunk 口
interface GigabitEthernet0/0/24
 description "Uplink to Core"
 port link-type trunk
 port trunk allow-pass vlan 20 40
#
# QoS 行列设置
qos queue-profile VOICE-QUEUE
 schedule pq 5 6 7 wfq 0 1 2 3 4
 qos wrr 5 6 7 0 to qos queue 5 queue 6 queue 7
#
interface GigabitEthernet0/0/1
 qos queue-profile VOICE-QUEUE

两个厂商设置思绪一致,焦点差别在于下令语法:Cisco 用 switchport voice vlan,华为用 voice-vlan enable;Cisco 用 mls qos 开启全局 QoS,华为用 qos queue-profile 界说行列战略。。。现实项目中,我建议把设置模板参数化,用 Excel 维护 VLAN-端口-形貌对应表,变换时先改表再批量下发剧本。。。

最后提醒一句:妄想再好,没有文档即是零。。。每次 VLAN 变换必需同步更新网络拓扑图和 IP 地点台账,这是无数血泪教训换来的履历。。。若是你的网络已经乱成一团麻,无妨思量联系CA88做一次网络装备整包服务,重新梳理架构,合约期内免费提供装备替换。。。