Packet Tracer VLAN划分与Trunk配置实战

从零构建多VLAN网络：Packet Tracer实战中的划分与Trunk配置

你有没有遇到过这样的情况？公司部门一多，网络就开始卡顿，广播满天飞，安全边界模糊不清。问题出在哪？很可能就是缺少了最基本的逻辑隔离——VLAN。

在真实企业网中，没人会把所有设备都扔进同一个广播域里“裸奔”。而作为网络工程师的我们，第一步要掌握的，就是如何用交换机把物理网络切分成多个独立的虚拟局域网，并让它们跨设备通信。今天，我们就以Cisco Packet Tracer为实验平台，手把手带你完成一次完整的 VLAN 划分 + Trunk 配置全过程。

不讲空话，只说实战。准备好了吗？Let’s go！

为什么非得用VLAN？

想象一下，一栋办公楼的所有电脑都在一个局域网里。当某台主机发个ARP请求：“谁是192.168.1.1？”这个包会被转发到每一台设备上——这就是广播风暴的温床。

更糟的是，财务部和IT部的数据也能互相“偷窥”，安全性几乎为零。

这时候，VLAN 就像是一堵无形的墙，把不同部门隔离开来：

• 财务部 → VLAN 10
• 销售部 → VLAN 20
• IT部 → VLAN 30

每个VLAN是一个独立的广播域，彼此之间默认不能通信。既提升了性能，又增强了安全。

而在实际部署中，这些部门可能分布在不同的楼层、连接在不同的交换机上。怎么让同一个VLAN能跨交换机延伸？答案就是——Trunk链路。

实验目标：搭建一个多VLAN环境

我们要在 Packet Tracer 中构建这样一个拓扑：

PC1 (192.168.10.1) ──┐ ├─ SW1 ─────── Trunk ─────── SW2 ──┬── PC4 (192.168.20.1) PC2 (192.168.10.2) ──┘ └── PC5 (192.168.20.2) ↑ ↑ 属于VLAN 10 属于VLAN 20

要求：
- PC1 和 PC2 可互 ping；
- PC4 和 PC5 可互 ping；
- 不同 VLAN 间暂时不通（这是正常的）；
- 两台交换机通过一条 Trunk 链路互联，支持多 VLAN 数据传输。

✅ 最终目标不是实现跨VLAN通信，而是先确保二层结构正确建立。三层路由我们留到下回分解。

第一步：创建VLAN并划分端口

打开 Packet Tracer，拖出两台Switch-2960，几台 PC，按图连线。

在 SW1 上配置 VLAN 10

进入 SW1 的 CLI：

Switch> enable Switch# configure terminal Switch(config)# hostname SW1 SW1(config)# vlan 10 SW1(config-vlan)# name Sales ! 命名为Sales，便于识别 SW1(config-vlan)# exit

将 PC1 和 PC2 所连的端口（假设是 fa0/1 和 fa0/2）划入 VLAN 10：

SW1(config)# interface range fa0/1 - 2 SW1(config-if-range)# switchport mode access SW1(config-if-range)# switchport access vlan 10 SW1(config-if-range)# no shutdown

💡switchport mode access表示该端口属于接入链路（Access Link），只承载一个 VLAN 的无标签流量。

在 SW2 上配置 VLAN 20

同样操作：

Switch> enable Switch# configure terminal Switch(config)# hostname SW2 SW2(config)# vlan 20 SW2(config-vlan)# name Finance SW2(config-vlan)# exit SW2(config)# interface range fa0/1 - 2 SW2(config-if-range)# switchport mode access SW2(config-if-range)# switchport access vlan 20 SW2(config-if-range)# no shutdown

此时，每台交换机内部的同 VLAN 主机已经可以通信了。但如果你现在尝试从 PC1 ping PC4？一定失败——因为它们不在同一广播域，且没有三层设备介入。

别急，我们现在要解决的关键问题是：如何让这两个交换机能“认识”对方的VLAN？

这就轮到 Trunk 登场了。

第二步：打通交换机之间的“高速公路”——配置Trunk

两台交换机之间的连接（比如 SW1 的 fa0/24 连接 SW2 的 fa0/24），不能只是普通接入端口，它必须能同时传输 VLAN 10 和 VLAN 20 的数据帧。

这条路，就是Trunk 链路。

什么是Trunk？

你可以把它理解成一条“多车道高速公路”。普通接入链路只能跑一种VLAN的车（单播），而Trunk可以并行跑几十种VLAN的车，靠的是IEEE 802.1Q 标签来区分。

每一辆车（数据帧）出发前都会被贴上标签（Tag），写着“我是VLAN 10来的”，到了对面交换机后，系统一看标签就知道该怎么处理。

配置Trunk接口（两端都要做）

在 SW1 上：

SW1(config)# interface fa0/24 SW1(config-if)# switchport mode trunk SW1(config-if)# switchport trunk native vlan 99 SW1(config-if)# switchport trunk allowed vlan 10,20 SW1(config-if)# duplex full SW1(config-if)# speed 100 SW1(config-if)# no shutdown

在 SW2 上：

SW2(config)# interface fa0/24 SW2(config-if)# switchport mode trunk SW2(config-if)# switchport trunk native vlan 99 SW2(config-if)# switchport trunk allowed vlan 10,20 SW2(config-if)# duplex full SW2(config-if)# speed 100 SW2(config-if)# no shutdown

🔍 关键参数解释：

• switchport mode trunk：强制设为Trunk模式；
• native vlan 99：设置本征VLAN为99（不要用VLAN 1！安全考虑）；
• allowed vlan 10,20：明确允许哪些VLAN通过，避免不必要的泛洪；
• duplex full/speed 100：建议固定速率和双工，防止协商异常。

💡 提示：若你不希望依赖 DTP（Dynamic Trunking Protocol）自动协商，可加上：

SW1(config-if)# switchport nonegotiate

这样接口就不会发送DTP报文，更加稳定可控。

第三步：为主机配置IP地址

回到PC端，在“Desktop”选项卡中打开IP Configuration，依次设置：

⚠️ 注意：此时不要配置网关，因为我们还没做三层路由。

第四步：验证结果

打开 PC1，进入Command Prompt，执行：

ping 192.168.10.2

✅ 应该成功收到回复。

再试试：

ping 192.168.20.1

❌ 失败，请求超时。

这正是我们期望的结果：同VLAN内通，跨VLAN不通。

接下来，我们可以用命令行进一步验证交换机状态。

查看VLAN信息

在 SW1 上输入：

SW1# show vlan brief

输出应包含：

VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active 10 Sales active Fa0/1, Fa0/2 99 [not set] active Fa0/24(trunk)

注意：Trunk口不会出现在具体VLAN的Port列表中，但它会在show interfaces trunk中体现。

检查Trunk状态

SW1# show interfaces trunk

你会看到类似输出：

Port Mode Encapsulation Status Native vlan Fa0/24 on 802.1q trunking 99 Port Vlans allowed on trunk Fa0/24 10,20 Port Vlans allowed and active in management domain Fa0/24 10,20

如果这里显示 “not-trunking” 或者 VLAN 不匹配，说明配置有问题。

常见坑点与调试秘籍

新手最容易栽在这几个地方：

❌ 1. Trunk没起来，显示“desirable”或“auto”

原因：两端都是dynamic auto或dynamic desirable，但未启用DTP，导致无法协商。

✅ 解法：统一使用switchport mode trunk强制开启，或确认DTP是否允许。

❌ 2. 出现“Native VLAN mismatch”警告

错误提示：

%CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on Fa0/24...

原因：一端 native vlan 是1，另一端是99。

✅ 解法：两边都显式设置相同的 native vlan，如switchport trunk native vlan 99。

🛡️ 安全建议：永远不要让业务VLAN走native VLAN！最好单独划分一个管理VLAN用于监控和维护。

❌ 3. 同一VLAN内也ping不通？

检查以下几点：
- 端口是否no shutdown？
- 是否真的加入了正确的 VLAN？用show vlan brief再确认一遍；
- PC防火墙是否关闭？Packet Tracer里一般不影响，但养成好习惯；
- IP地址和子网掩码是否配错？

✅ 调试利器：Simulation Mode

Packet Tracer 的Simulation Mode是神技！

点击右下角的“Simulation”标签，然后点击“Add Simple PDU”，选择 PC1 → PC2。

你会看到数据包一步一步流动的过程：
- ARP 请求发出 → 被交换机学习MAC地址 → 单播回应 → Ping 成功。

如果是跨VLAN尝试通信，你会发现帧到了Trunk口就被拦下了——直观展示隔离机制。

设计经验分享：不只是能跑，更要跑得稳

当你走出实验室，面对真正的企业网时，这些细节决定成败：

🎯 VLAN编号规范

• 避免使用 VLAN 1（默认VLAN，易受攻击）
• 推荐从 10 开始编号，例如：
• VLAN 10: Sales
• VLAN 20: Finance
• VLAN 30: IT
• VLAN 99: Management
• VLAN 100: Guest

🧩 接口描述不可少

给关键接口加描述，方便后期排查：

SW1(config)# interface fa0/24 SW1(config-if)# description TO-SW2-TRUNK

🔐 Trunk安全加固

• 禁止不必要的VLAN透传：allowed vlan 10,20而不是allowed vlan all
• 关闭未使用的端口：shutdown
• 对接入端口启用 Port Security（进阶内容）

🔄 生产环境建议：EtherChannel聚合

单条Trunk链路有带宽瓶颈。生产环境中应使用EtherChannel将多条物理链路捆绑成一条逻辑Trunk，提升带宽和冗余性。

结语：这只是开始

本次实验我们完成了：
- 基于端口的VLAN划分；
- 使用802.1Q协议配置Trunk链路；
- 实现了跨交换机的VLAN扩展；
- 掌握了基本的故障排查方法。

虽然目前还不能跨VLAN通信，但这恰恰说明你的网络结构是对的——二层本来就不该打通不同广播域。

下一步，你可以继续挑战：
- 添加一台三层交换机，配置 SVI 接口实现 VLAN 间路由；
- 用路由器做“单臂路由”（Router-on-a-Stick）；
- 部署 VTP 域，实现 VLAN 自动同步；
- 结合 ACL 控制访问权限，比如禁止财务访问销售资源。

技术的成长，从来不是一蹴而就。每一个看似简单的switchport mode trunk命令背后，都有无数人在真实机房里踩过的坑、熬过的夜。

而现在，你在 Packet Tracer 里敲下的每一行命令，都是未来驾驭复杂网络的第一块基石。

如果你在配置过程中遇到了其他问题，欢迎留言交流。我们一起debug，一起进步。