波仔
🌐 第六章 路由
📄 一句话概括

VLAN 把"改网络"从工程问题变成了配置问题。过去网络结构焊死在铜缆和桥架上——挪个部门就要拉线、加设备、停业务；现在 VLAN 的归属由端口配置与帧上的标签裁决（不看插在哪根线上），于是挪人、扩楼、改结构这三件事都只需在控制台敲几行配置，不动一根线、不加一台设备。而这条红利的物理前提，正是 6.15 的 802.1Q 标记：一根主干承载全部 VLAN，扩网只需在已有主干上"放行"一个 VLAN ID。

📝 本节和前面几节的关系

VLAN 这条线到这里收口：6.13 讲怎么切（Access 口按端口划 VLAN）、6.14 讲切了赚什么（广播域、隔离、位置自由、省钱）、6.15 讲切开的两半怎么在半路认亲（Trunk 与 802.1Q 标签），本节回答"这一切到底换来了什么本事"——网络结构成了可编辑的对象。同时它把二层的账引回三层：改 VLAN 就是改广播域，往往牵动 IP 子网、SVI 网关（6.12）与路由（6.7），所以"不动线"绝不等于"不用管"。

一、先看清旧世界的贵：网络结构焊死在物理上

没有 VLAN 之前，IP 网段与物理位置是强绑定的：

于是三类最常见的需求，全都变成工程项目：

需求 没有 VLAN 时要做的事
挪人（换工位、换部门） 要么让网跟着线走（人在新位置、网还是老网段，往往不想要），要么重新拉线到新工位
扩楼（新楼层要进原网段） 从原交换机拉一根长线过去，或干脆再买一台设备单独组网
改结构（部门合并、拆分） 改配线架跳线、重新规划端口，牵一发动全身

共同点：搬得动人，搬不动网。网络结构被铜缆、桥架、配线架钉死了，任何调整都要动硬件、要停业务、要花钱请人。

二、VLAN 换了"裁决权"：归属由配置决定，不由位置决定（第一张配图）

VLAN 做的事，本质是把"我属于哪个网"的裁决权，从物理位置收回到配置里：

这就是标题那句"无须添加设备或更改线路即可修改网络"的完整含义：改的不是线，是配置。图里对比得很清楚——传统改法三步全在动硬件（拉线、加设备、改跳线），VLAN 改法三步全在控制台。

📌 一句要刻进脑子的话：VLAN 把网络结构变成了可编辑的对象。它改的不是"哪个口接哪个口"，而是"哪个口属于哪个网"。

三、三种典型改动，各自只需要一行配置（第二张配图）

1. 挪人：改端口所属的 VLAN

把一个端口从 VLAN 10 划到 VLAN 20，就完成了"这个工位从技术部搬到销售部"：

interface GigabitEthernet0/0/5
 port default vlan 20        # 华为 / H3C
 switchport access vlan 20   # 思科

⚠️ 这里有个必须配套的账：改了 VLAN 就换了广播域，通常也换了 IP 网段。终端要重新拿地址——DHCP 会按新 VLAN 的作用域发新网段的 IP。所以用户会感到"断了一下网"，生产环境要挑窗口做。

2. 扩楼：在主干上放行 VLAN

新楼层要接进原网段，做法是接一台交换机 + 主干放行：

interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10    # 允许 VLAN 10 从这根主干过去

📌 allow-pass 这个放行列表，本质上是这个主干允许承载哪些 VLAN 的名单，也是一道安全边界——多余的一律不放行。

3. 改结构：重排端口分组

部门合并、拆分、换大楼布局，在 VLAN 视角下就是重排端口分组、改 VLAN 名：

vlan 30
 name sales          # 给 VLAN 起个说得清的用途名，方便几年后还认得

4. 无线侧同理：换个 SSID 就换了网段

无线网络把这套机制用得更顺——SSID ↔ VLAN 映射：

四、前提：为什么没有"标记"就做不到

这套红利完全依赖 802.1Q 标记（6.15）：

所以标题里的三个"不"（不添加设备、不更改线路、不额外布线）是同一件事的三个侧面，它们的物理基础就是那 4 字节标签。

五、红利背后的边界：三条必须看清的账

"只改配置"很容易让人以为改网络变成零成本的事——恰恰相反，成本没有消失，只是从体力活换成了脑力活。

① 二层的账清了，三层的账还在。 改 VLAN 只是改了广播域，配套要跟着动的东西不少：

"不动线"绝不等于"不用管"。 只改二层忘了三层，症状往往是"IP 拿不到""能 ping 通同 VLAN、跨 VLAN 不通"。

② 配错比线接错更难发现。 线接错了，网不通，一眼就能顺着线查；VLAN 配错了，可能看起来一切正常（比如本该隔离的两个 VLAN 被误放行到同一主干上，隔离静默失效）。所以变更要有记录、有验证手段——配完立刻在同一 VLAN 与跨 VLAN 各试一次连通性（第二张图的 Demo）。

③ 逻辑隔离不等于安全隔离。 6.14 已说清：VLAN 只隔广播域，同 VLAN 内的横向攻击（ARP 欺骗、扫描）照旧，要另外上端口安全、私有 VLAN、DHCP Snooping。别把 VLAN 当防火墙用。

六、动手 Demo（Demo86）

目标：亲手做一次"只改配置就改掉网络结构"的完整操作，并亲眼看到它的效果与它带来的中断。

A. 有交换机账号（生产/实验室设备）

display vlan                       # 先看现状：各 VLAN 有哪些成员口
display port vlan                  # 看每个口的类型（access / trunk）与所属 VLAN

interface GigabitEthernet0/0/5
 port default vlan 20              # 把 5 号口从原 VLAN 改到 VLAN 20
display vlan                       # 再看：成员列表里，5 号口换到 VLAN 20 名下

用户侧同时做对账：

ipconfig /all                      # Windows：看 IP 与默认网关有没有跟着换网段

看到什么算成功：display vlan 里那个端口换到了新 VLAN；用户机的 IP 从旧网段变成新网段（或至少掉线后重新申请到新地址）。

看到什么说明不对： - 端口改了、用户 IP 没变 → 终端没释放旧租约（ipconfig /release + /renew，或重连一次）； - 端口改了、但用户彻底拿不到地址 → 新 VLAN 的 DHCP 作用域/中继没配好（这就是"三层的账"）。

B. 没有设备（模拟器/家里）

C. 对比实验（30 秒想清楚）

同一件事——"让某个工位的电脑从技术部网换到销售部网"：

一个要动身、动线、可能停工；一个动手指。这就是本节的全部意义。

七、常见误区

八、动手自测

点开自测（先自己答，再展开） 1. 为什么说"过去改网络是工程问题，现在是配置问题"？变化的根子是什么？ 2. 判 VLAN 归属的依据，前后有什么不同？"位置即身份"和"配置即身份"各指什么？ 3. "挪人"在交换机上对应什么操作？为什么改完用户会断一下网？ 4. "扩楼"时为什么不用从核心拉专线？关键配置是什么？ 5. 为什么说没有 802.1Q 标记，"不加线改网络"就做不到？ 6. 改 VLAN 之后，三层上要跟着动哪几样东西？ 7. 为什么说"配错比线接错更难发现"？工程上怎么防？ 8. `allow-pass` 放行列表除了功能，还有什么意义？ 9. 无线侧的 SSID 映射和 VLAN 是什么关系？为什么说它更"配置化"？ 10. VLAN 能否替代防火墙/物理隔离？为什么？

答案：① 因为 VLAN 把"我属于哪个网"的裁决权从物理位置收回到配置里，网络结构从"焊死在硬件上"变成"存在配置文件里"，于是调整不再需要动硬件。② 没有 VLAN 时看帧从哪个端口进来（位置即身份）；有 VLAN 后看端口所属 VLAN 与帧上的标签（配置即身份）。③ 对应 port default vlan XX（思科是 switchport access vlan XX）；因为换了 VLAN 就换了广播域，通常也换了 IP 网段，终端要重新通过 DHCP 拿新地址，这期间会中断。④ 因为两台交换机之间已有主干（Trunk），只需在这根已有线路上 allow-pass 放行目标 VLAN，原网段就顺着主干延伸过去了。⑤ 没有标记，跨交换机连通一个 VLAN 就得占一根专门的线（N 个 VLAN = N 根线），扩网仍然要动线加口；有了标记，一根主干承载全部 VLAN，新增 VLAN 只是"放行一个 ID"。⑥ 至少四样：IP 子网与地址规划、网关（SVI / 子接口）、DHCP 作用域（含中继）、路由与必要的 ACL。⑦ 因为线接错会表现为不通，容易顺着物理链路查；VLAN 配错可能"看起来正常"却让隔离静默失效。防法：变更留记录 + 改完在同 VLAN 与跨 VLAN 两侧都验证。⑧ 它是这个主干允许承载哪些 VLAN 的名单，同时也是一道安全边界——放行越多，广播域与故障影响面越大。⑨ SSID 关联到 VLAN，进哪个 SSID 就是进哪个 VLAN，也就决定拿哪个网段的地址；改策略只需改 AP/控制器的映射，不改任何布线，所以更"配置化"。⑩ 不能。VLAN 只隔离广播域，不防同 VLAN 内的横向攻击，也不提供物理隔离。

九、下一步学什么

相关笔记