华为eNSP跨交换机VLAN实验：同网段为何ping不通？Access与Trunk配置详解

简介资源为一份基于华为eNSP的跨交换机VLAN配置实验完整报告docx格式共1个文件压缩包约1.98MB适合计算机网络专业学生、网络管理员及对网络技术感兴趣的初学者使用。内容完整记录从设备连接、IP规划、默认VLAN通信验证到三台交换机中VLAN创建、接入端口/主干端口划分再到IEEE802.1Q帧格式观察与跨VLAN隔离测试的全过程并配有明确的VLAN与端口映射表。文中对实验中的常见问题如捕获报文失败给出了具体排查思路包括捕获功能、过滤器设置和端口配置检查。已有2504人学习下载。通过学习本实验读者可掌握复杂交换式以太网的设计流程理解接入端口与主干端口的功能差异并通过实际抓包认识802.1Q标签在数据帧中的携带方式提升网络配置与排错能力。1. 跨交换机VLAN实验同一网段、八台PC为什么有的能通有的不能把 8 台 PC 全部配成 192.1.1.1~192.1.1.8、掩码 255.255.255.0然后告诉你其中一部分 PC 彼此 ping 不通。这不是网络坏了而是跨交换机 VLAN 划分之后的正常现象——同一物理网络里二层广播域被切成了几块IP 地址相同网段已经不能决定谁和谁通信。这个基于华为 eNSP 的实验就是让你亲手把「VLAN 划分、Access 口、Trunk 口、802.1Q 标签」这一整套东西从概念变成看得见摸得着的报文。它适合网络工程专业做实训课作业的学生、正在准备 eNSP 综合实验或毕业设计的从业者以及刚接手交换机配置、想搞清 VLAN 隔离原理的运维新人。做完这个实验你会得到一套能复现的三层交换机配置命令、一份可用的端口规划表以及抓包失败时最快的排查顺序。2. 搭环境先于写命令拓扑、IP规划与默认VLAN里的第一次ping2.1 三台交换机、八台PC的拓扑怎么接在 eNSP 里新建拓扑核心是搞清楚「交换机之间的口」和「PC 接入的口」这两类端口不要一上来就敲命令。实验用到 LSW1、LSW2、LSW3 三台交换机以及 PC1~PC8 共 8 台终端。交换机之间的互联线在后续配置里要成为 Trunk 口PC 接的那些口是 Access 口。我一般会先把设备拖出来按「LSW1 在左、LSW2 在中、LSW3 在右」的方式横向摆放然后先连交换机之间的线再接 PC。连线这一步有个很实用的习惯在 eNSP 里给每条交换机互联线标注一下对端端口号例如「LSW1-GE0/0/4 连 LSW2-GE0/0/1」这样后面配置 Trunk 时不会找不到端口。实验指导书里给出的主干端口分别是 LSW1 的 GE0/0/4、LSW2 的 GE0/0/1、LSW3 的 GE0/0/4其余的交换机端口全部作为 PC 接入端口使用。不同版本的指导书端口编号可能有出入但原则是一致的交换机之间用哪根线哪个口就是 TrunkPC 插在哪个口哪个口就是 Access。端口编号的具体对应关系以你打开拓扑图后看到的实际连线为准。设备放好后全部选中并点击启动。这里有一个值得注意的细节eNSP 里设备启动需要一段时间如果启动后立刻做配置命令行可能提示连接超时。等待设备图标从灰色变成绿色、命令行能正常回车响应之后再进行下一步。2.2 IP地址配置网关为什么必须留空PC1~PC8 的 IP 地址从 192.1.1.1 排到 192.1.1.8子网掩码统一是 255.255.255.0。在 eNSP 里双 击 PC进入「基础配置」页签填写 IP 和掩码即可。这里特别强调一点不要填网关。这个实验是纯二层实验VLAN 之间的隔离正是要在二层就切断通信一旦给 PC 配上网关ping 不通的时候新手会不自觉地把问题引向「网关没配对」「三层路由没写」而实际上实验要验证的就是「同网段、不同 VLAN二层就是不通」。所以这里有一个强制要求所有 PC 的网关留空。操作上8 台 PC 逐台点开配 IP 比较花时间我的习惯是配完一台就顺手把「PC 编号 — IP — 所属交换机端口」做成一张表贴在旁边。例如 PC1192.1.1.1、接入 LSW1 的 GE0/0/1PC2192.1.1.2、接入 LSW1 的 GE0/0/2。注意PC 编号与端口的对应关系以你拓扑图里的实际连线为准但核心规则是端口-VLAN 映射表里写了「VLAN2 接入端口 1,2」你就把属于 VLAN2 的两台 PC 插在 LSW1 的 GE0/0/1 和 GE0/0/2 上IP 则按 PC1~PC8 的顺序去配不要跳号。2.3 默认VLAN下的通信验证划分VLAN前先确认链路是好的刚完成拓扑搭建和 IP 配置时三台交换机里还没有手动创建任何 VLAN所有端口都属于默认的 VLAN1。此时 PC1~PC8 处于同一个广播域彼此应当全部可以互通。这一步非常关键它是一份「后悔药」划分 VLAN 之前先把物理链路和 IP 配置的基线验证一遍后面 ping 不通时才能把锅甩给 VLAN 配置而不是怀疑线路没连好。操作方法是打开 PC1 的命令行输入ping 192.1.1.3测试与 PC3 的通信再输入ping 192.1.1.6测试与 PC6 的通信。如果两个 ping 都通说明物理链路、IP 地址、交换机默认状态都没有问题。这一步我在第一次做实验时偷懒跳过了直接划 VLAN结果后面某个 PC 怎么都不通排查了半天才发现是 eNSP 里那台 PC 的网卡没启动属于典型的「先翻车再后悔」。所以这个基线测试不要省三台交换机上各找一两台 PC 交叉 ping 一遍把「划分 VLAN 之前全网互通」这个结论先坐实。3. 华为eNSP里的VLAN划分与Trunk配置命令、参数与转发逻辑3.1 Access端口与Trunk端口的职责边界在敲命令之前先把两类端口的分工说清楚否则后面看到报文抓出来了、VLAN ID 也对却不理解为什么是这个样子。Access 端口是连接终端的端口它只属于一个 VLAN处理帧时做两件事从 PC 收到不带标签的帧打上这个端口 PVID 的标签进入交换机内部从交换机内部要向 PC 发帧时把标签剥掉再发出去。所以 PC 永远看不到 802.1Q 标签这也意味着在接入端口上抓包是抓不到 VLAN ID 的。Trunk 端口是连接交换机的端口它允许一个或多个 VLAN 的帧带着标签穿过。Trunk 口默认的 PVID 是 VLAN1但它真正干活的是port trunk allow-pass vlan这一条命令——只有被允许放行的 VLAN其帧才能在交换机之间传递。默认情况下华为交换机端口的链路类型是 hybrid不是 access 也不是 trunk新手敲port link-type access之前如果不记得改类型配置会一直报错或者行为诡异。这一点放到后面的避坑章节讲这里先有个意识。3.2 LSW1的配置创建VLAN、分配接入端口、设置Trunk放行LSW1 的端口角色是GE0/0/1、GE0/0/2 属于 VLAN2GE0/0/3 属于 VLAN4GE0/0/4 作为 Trunk 口放行 VLAN2/3/4。在 LSW1 上执行以下配置system-view sysname LSW1 vlan batch 2 3 4 interface GigabitEthernet0/0/1 port link-type access port default vlan 2 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 2 quit interface GigabitEthernet0/0/3 port link-type access port default vlan 4 quit interface GigabitEthernet0/0/4 port link-type trunk port trunk allow-pass vlan 2 3 4 quitvlan batch 2 3 4是华为交换机批量创建 VLAN 的写法一次建三个 VLAN比逐条vlan 2、vlan 3、vlan 4省事。port link-type access把端口类型设为 Accessport default vlan 2把该端口的 PVID 设为 2也就是从该口进入的终端帧会被打上 VLAN2 的标签。GE0/0/4 上用port link-type trunk改成 Trunk再用port trunk allow-pass vlan 2 3 4放行全部实验 VLAN。注意一个细节Trunk 口的port trunk allow-pass只是「允许携带这些 VLAN 标签的帧穿越本口」它不等于「把本口加入这些 VLAN」。Trunk 口本身不在任何一个具体 VLAN 内它只负责搬运。如果只设了链路类型、忘了放行 VLANTrunk 口上默认只放行 VLAN1VLAN2/3/4 的帧会在该端口被直接丢弃这是跨交换机 VLAN 实验里最常见的翻车点之一。3.3 LSW2与LSW3的配置同一套命令不同的端口编号LSW2 的角色分配是与 LSW1 互联的端口设为 Trunk其他端口作为接入端口按实验指导的映射表VLAN2 的接入端口是 GE0/0/3VLAN3 的接入端口是 GE0/0/4VLAN4 的接入端口是 GE0/0/1、GE0/0/2但 GE0/0/1 又与 LSW1 互联所以我把互联口单独拎出来作为 Trunk。实际动手时遇到这种「一个端口既写接入又写主干」的表格优先保证互联链路为 Trunk接入端口用剩余的口。system-view sysname LSW2 vlan batch 2 3 4 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 2 3 4 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 4 quit interface GigabitEthernet0/0/3 port link-type access port default vlan 2 quit interface GigabitEthernet0/0/4 port link-type access port default vlan 3 quitLSW3 的配置同理GE0/0/4 作为 TrunkGE0/0/1 属于 VLAN4GE0/0/2、GE0/0/3 属于 VLAN3。system-view sysname LSW3 vlan batch 2 3 4 interface GigabitEthernet0/0/1 port link-type access port default vlan 4 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 3 quit interface GigabitEthernet0/0/3 port link-type access port default vlan 3 quit interface GigabitEthernet0/0/4 port link-type trunk port trunk allow-pass vlan 2 3 4 quit三台交换机的配置模式完全一致创建 VLAN、把 PC 端口设为 Access 并指定 PVID、把互联端口设为 Trunk 并放行全部实验 VLAN。区别只在于端口编号。这里要额外提醒如果拓扑里 LSW2 与 LSW3 之间还有互联线把对应的连线端口也配置成 Trunk 并放行 VLAN 2/3/4如果三台交换机成环STP 会自动阻塞其中一个端口来防环不影响功能验证但这条阻塞链路在抓包时可能看不到流量看到某个端口状态为 Discarding 是正常现象不要当成故障去查。3.4 配置核对display vlan、display port vlan、display stp brief配置完成后不要急着去点 ping先用查询命令确认现状。在任意一台交换机上执行display vlan能看到 VLAN2、VLAN3、VLAN4 的编号、描述和端口成员列表检查每个 VLAN 下挂的端口是否和映射表一致。再用display port vlan查看每个物理端口的链路类型、PVID 和允许通过的 VLAN 列表。这一条是排查跨交换机通信问题的核心命令Trunk 口显示的结果应当类似于GE0/0/4 的链路类型为 trunkPVID 为 1VLAN 允许列表包含 2、3、4。最后用display stp brief查看三台交换机组成环形拓扑后 STP 的端口状态确认哪些端口是 Forwarding、哪些是 Discarding。这一步能避免后期抓包时对着一个被阻塞的端口白等半天。查询命令的花费不到一分钟却能砍掉后面一大半无头绪的排查属于成本最低的配置复核手段。4. 验证通信隔离ping通与ping不通背后的数据帧路径4.1 同VLAN通信成功的完整数据帧路径PC3 → PC4VLAN 划分完成后先测一组应当成功的场景PC3 属于 VLAN4、接在 LSW1 的 GE0/0/3 上PC4 属于 VLAN4、接在 LSW2 的接入端口上。在 PC3 上执行ping 192.1.1.4预期结果是通。这一步验证的是「同一 VLAN 的终端可以跨交换机通信」。数据帧的路程是这样的PC3 发出一个不带标签的 ICMP 请求帧到达 LSW1 的 GE0/0/3。该端口是 Access 口PVID 为 4交换机给这个帧打上 802.1Q 标签、VLAN ID4然后查 MAC 地址表发现目的 MAC 对应的出接口是 GE0/0/4。GE0/0/4 是 Trunk 口且allow-pass vlan里包含了 4于是这个带 VLAN4 标签的帧被原样转发到链路上。对端交换机从 Trunk 口收到这个帧识别出标签里的 VID4查自己的 MAC 表找到目的 PC4 所在的接入端口把帧的标签剥掉从接入口发给 PC4。PC4 回包走的是完全对称的路径。整个过程里802.1Q 标签只在两台交换机的 Trunk 链路上存在PC 看到的永远是没有标签的普通以太网帧。这里有个理解上的关键点MAC 地址表是「MAC VLAN」联合索引的。同一台 PC 的 MAC 地址在不同 VLAN 里会被记录成不同的表项。所以后面查 MAC 表时如果你看到一个 MAC 对应了多个端口先确认是不是查的时候没带 VLAN 条件。4.2 跨VLAN通信失败的原因拆解PC3 → PC2再测一组应当失败的场景PC3 属于 VLAN4PC2 属于 VLAN2而且 PC2 也在 LSW1 上、接在 GE0/0/2。在 PC3 上执行ping 192.1.1.2预期结果是超时。这个案例最具有迷惑性因为两台 PC 在同一个交换机上、IP 又同属 192.1.1.0/24 网段很多人第一反应是「这不就该通吗」。实际路径是这样的PC3 发出不带标签的 ICMP 请求帧进入 LSW1 的 GE0/0/3被打上 VLAN4 标签。交换机查 MAC 地址表看到 PC2 的 MAC 记录在「VLAN2 出接口 GE0/0/2」这个表项里。当前帧的标签是 VID4与表项里的 VID2 不匹配交换机直接丢弃这个帧不进二层转发逻辑。反过来PC2 向 PC3 发请求也是一样的结果PC2 的帧带 VLAN2 标签目的 PC3 的 MAC 记录在 VLAN4 里VLAN 不匹配丢弃。所以这个场景下 ping 不通不是 IP 层面的事不是因为路由器缺路由而是交换机的二层转发在 VLAN 这一步就把帧拦住了。把这个失败案例和 PC3→PC4 的成功案例放在一起对比就能得出一个反直觉的结论跨交换机、远处的主机可以通同一台交换机上、隔壁端口的主机反而不通。VLAN 隔离与地理位置无关完全由端口所属的 VLAN 决定。4.3 结合抓包结果反推帧的流向与VLAN标签在 LSW1 的 GE0/0/4 这个 Trunk 口上开启数据抓包然后从 PC1 执行一次ping 192.1.1.3。抓包结果里应当能看到 ICMP 请求和应答报文并且每个以太网帧的头部会携带 VLAN ID 为 2 的标签。这个 VLAN ID 不是配置出来的而是 PC1 所在的接入端口 PVID 自动打上去的——PC1 接在 LSW1 的 GE0/0/1该端口属于 VLAN2所以从 PC1 进来的帧都被打上 VID2。这个抓包结果是整个实验里最有价值的证据它直接证明了三件事。第一同一 VLAN 的终端通信时帧确实穿越了 Trunk 链路第二穿越 Trunk 链路的帧确实带了 802.1Q 标签第三接入端口负责打标签和剥标签Trunk 端口负责搬运带标签的帧。如果你抓到的帧里看不到任何 VLAN ID先去检查是不是抓错了端口——Access 口发出去的帧剥掉了标签自然看不到 VLAN 信息。5. 避坑eNSP抓包失败、端口加不进VLAN、同网段ping不通的排查记录这一章把我做这个实验以及带人做这个实验时遇到的高频问题整理成排查记录全部按「现象 → 原因 → 解决」的顺序写。这些问题不解决配置步骤再正确也看不到预期结果。现象一端口上开启了数据抓包抓包窗口也弹出来了但执行 ping 后窗口里一片空白一个报文都没有。原因最常见的是操作顺序错了。eNSP 的数据抓包功能只捕获「抓包窗口打开之后」经过该端口的报文如果先执行 ping、再打开抓包窗口历史流量不会回放。另一个常见原因是抓包窗口的过滤器里残留了条件例如输入了vlan或某个端口号把 ICMP 报文过滤掉了。解决先打开抓包窗口确认窗口左上角的过滤器为空或只填icmp再去 PC 命令行执行 ping。养成「先抓包、后 ping」的习惯这个操作顺序比任何配置都重要。现象二抓包窗口有报文但帧里看不到 802.1Q 标签也没有 VLAN ID 字段。原因抓错端口了。抓的是 Access 口Access 口向 PC 方向发送帧时会剥掉 802.1Q 标签PC 收到的是纯净的以太网帧自然也抓不到 VLAN 信息。要观察 802.1Q 标签必须抓交换机之间的 Trunk 口。解决在拓扑里点选 Trunk 链路所对应的交换机端口再开启抓包例如 LSW1 的 GE0/0/4。抓包窗口里应当能看到 Type 字段为 0x8100 的帧展开后就是 VLAN ID。现象三配置 Trunk 口时提示无法加入 VLAN或者某个端口同时被分配到了接入端口列表和主干端口列表配置互相冲突。原因实验指导书的端口映射表里个别端口的角色存在重叠例如 LSW2 的 GE0/0/1 既被写成 VLAN4 的接入端口又被写成主干端口。一个端口无法同时以 Access 和 Trunk 两种角色使用强行配置会被设备拒绝。解决优先把互联端口设为 Trunk接入端口往后顺延。VLAN 的接入端口个数不是死规定只要 VLAN2/3/4 的终端都插在对应 VLAN 的接入端口上实验结果就不会变。现象四VLAN 划完之后同一个 VLAN、跨交换机的 PC 之间 ping 不通display vlan看端口成员也在Trunk 配置也敲了。原因优先怀疑 Trunk 口两端的allow-pass vlan列表不一致或者其中一台交换机的互联端口链路类型被改成了别的。VLAN 帧从一端 Trunk 进来另一端的 Trunk 没有放行对应 VLAN帧就会在入口被丢弃。另一个可能原因是环形拓扑下 STP 把这条链路阻塞了端口状态是 Discarding虽然配置正确但数据不走这条链路。解决在两端交换机分别执行display port vlan核对链路类型和允许通过的 VLAN 列表确保两边都是 trunk 且都放行 2/3/4。再执行display stp brief看端口状态被阻塞的端口不用处理换个方向验证即可。现象五所有配置都核对过同一 VLAN 的 ping 还是不通而且 PC 的 IP 明明在同一个网段。原因检查是否把网关误配了或者 PC 的网卡在 eNSP 里处于未启动状态。网关在这个实验里必须留空一旦配了网关PC 发出的跨 VLAN 帧会先尝试走网关而不是走二层这会让验证结果变得不可解释。PC 网卡未启动时命令行里 ping 会直接报错或超时现象上很像配置故障。解决双 击 PC 检查网卡状态确认 IP、掩码正确且网关为空。用同交换机同 VLAN 的 PC 先做一次 ping 基线测试如果基线都测不通问题一定在拓扑或设备状态而不是 VLAN 配置。6. 802.1Q帧怎么快速看懂把抓包验证变成固定动作6.1 802.1Q帧结构速查TPID、PCP、VID抓到带 VLAN 的报文后很多人对着 Wireshark 的帧头一脸茫然因为 802.1Q 标签是插在传统以太网帧头里面的。标准以太网帧头是「目的 MAC 源 MAC Type0x0800」802.1Q 标签插入在源 MAC 之后、原 Type 字段之前。具体字段如下字段长度含义本实验中的值目的 MAC6 字节接收方 MACPC 的 MAC源 MAC6 字节发送方 MACPC 的 MACTPID2 字节标签协议标识固定 0x81000x8100TCI2 字节包含 PCP、DEI、VID 三部分VID2/3/4原 Type2 字节上层协议类型0x0800IPv4TCI 里PCP 占 3 比特是优先级字段普通实验里是 0 VID 占 12 比特是 VLAN ID本实验中最大用到 4。在 Wireshark 里展开帧头看到 Type 字段的值是 0x8100就能确认这是一个 802.1Q 帧再往下展开就能看到 VLAN ID 的具体数值。如果看到的是 0x88a8那是运营商级的 QinQ 外层标签本实验不会出现别混淆。6.2 一套可复用的验证顺序做这个实验最大的收获不是三条配置命令而是固定下来一套验证顺序。我后来每次做 VLAN 相关配置不管是在 eNSP 里还是在真机上都强制走这个流程第一步划分 VLAN 之前全网 ping 通确认物理链路和 IP 规划正确。第二步划分 VLAN 后同一交换机上同一 VLAN 的 PC 互 ping确认单交换机 VLAN 转发正常。第三步跨交换机的同一 VLAN PC 互 ping确认 Trunk 链路和 VLAN 放行正常。第四步不同 VLAN 的 PC 互 ping确认隔离生效、结果应为超时。第五步在 Trunk 口抓包确认帧带 802.1Q 标签、VLAN ID 与 PC 所属 VLAN 一致。第六步在 Access 口抓包确认 PC 看到的帧不带标签。这套顺序的价值在于每一步都在缩小排查范围。如果第一步就不通问题在拓扑和 IP如果第三步才不通问题在 Trunk如果第五步抓不到标签问题在抓包端口选择或过滤器。把「从现象定位到配置层」的时间压缩到几分钟内。6.3 真机迁移时要注意的三个差异eNSP 里的命令和真实华为交换机基本一致但三个差异要心里有数。真机上端口默认也是 hybrid但很多老设备固件版本对 trunk 的默认行为略有不同配置后务必用display port vlan确认实际生效的链路类型。真机上 Trunk 口的allow-pass vlan不在现场调试时很容易漏配因为设备默认放行 VLAN1多个 VLAN 只有一个能通的时候稍不注意就误判为「只是慢」。还有一点eNSP 里 PC 直接接交换机真机上如果中间隔了一台傻瓜交换机VLAN 标签会被末端交换机正确处理但如果中间设备不支持 802.1Q跨交换机 VLAN 会直接失效。我第一次在真机上做类似配置时三台交换机配完同一 VLAN 的 PC 怎么都 ping 不通查了一个下午最后发现是其中一条 Trunk 链路的对端端口忘了敲port trunk allow-pass vlan设备默认只放行了 VLAN1。从那以后我每次配完交换机都会强制走一遍「先基线 ping、再划 VLAN、再查 display port vlan、最后抓包看 VID」的完整验证顺序再没在同样的坑里翻过车。这套流程连同配置命令就是这个实验里最值得带走的东西希望帮到你。本文还有配套的精品资源点击获取