Packet Tracer使用教程：交换机VLAN划分操作指南

Packet Tracer实战：手把手教你玩转交换机VLAN划分

你有没有遇到过这样的场景？公司网络里几十台电脑挤在一个局域网中，一开机广播包满天飞，网络卡得像蜗牛；更头疼的是销售部和财务部的设备能互相访问，安全隐患太大。这时候，VLAN（虚拟局域网）就是你的救星。

今天我们就用Cisco Packet Tracer这款神器，带你从零开始，真正搞懂并动手实现交换机的VLAN划分。不是照本宣科念命令，而是像老师傅带徒弟一样，把每个步骤背后的“为什么”都讲清楚。

为什么非要用VLAN？别再让广播风暴拖垮你的网络

想象一下，一个大办公室里所有人同时说话——这就是传统局域网的真实写照。所有设备都在同一个广播域里，一台主机发个ARP请求：“IP是192.168.1.100的设备在吗？”整个网络里的设备都得听一遍。设备一多，这种无谓的通信会严重消耗带宽。

而VLAN的作用，就是把这个大办公室按部门隔成几个独立的小会议室：

• 销售部在一个房间（VLAN 10）
• 人事部在另一个房间（VLAN 20）
• 财务部单独一间高安全等级的房间（VLAN 30）

每个房间内部可以自由交流，但想跨房间说话？必须经过门口的“保安”——也就是路由器或三层交换机来审批转发。

✅ 关键认知升级：
VLAN的本质不是“分IP”，而是“分广播域”。即使两台PC在同一子网，只要被划入不同VLAN，默认也无法通信。

这个技术基于IEEE 802.1Q标准，简单说就是在以太网帧头上加4个字节的“身份证”——VLAN标签（Tag），里面写着这台数据属于哪个VLAN。交换机看到这个标签，就知道该往哪里送、能不能送。

动手前先搞明白这几个核心概念

在你敲下第一条命令之前，请务必理解这些“行话”：

📌 特别提醒：
-VLAN 1 是出厂默认VLAN，所有端口初始状态都属于它。
- 出于安全考虑，不要用VLAN 1承载业务流量，最好把它从Trunk中移除。
- 如果没配置三层路由，哪怕两台主机IP地址在同一网段，只要在不同VLAN，照样ping不通！

单台交换机VLAN配置：5步搞定基础隔离

我们先从最简单的场景开始：一台交换机，两个部门。

场景设定

• PC0 → F0/1 → 划入 Sales (VLAN 10)
• PC1 → F0/2 → 划入 HR (VLAN 20)

下面是完整的操作流程，我会逐行解释每条命令的意义。

Switch> enable # 进入特权模式（相当于管理员权限） Switch# configure terminal # 进入全局配置模式，准备改配置了

第一步：创建VLAN并命名（让配置可读性强）

Switch(config)# vlan 10 Switch(config-vlan)# name Sales Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name HR Switch(config-vlan)# exit

💡 为什么要命名？
虽然设备只认VLAN ID，但name Sales能让半年后回来维护的人一眼看懂这是哪个部门的网络，避免误操作。

第二步：配置接入端口（告诉交换机“谁属于哪个组”）

Switch(config)# interface fastEthernet 0/1 Switch(config-if)# switchport mode access # 明确声明这是接入端口 Switch(config-if)# switchport access vlan 10 # 把这个口划给VLAN 10 Switch(config-if)# no shutdown # 激活接口（很多新手忘了这步！） Switch(config-if)# exit

同理配置F0/2给HR部门：

Switch(config)# interface fastEthernet 0/2 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 20 Switch(config-if)# no shutdown Switch(config-if)# exit

⚠️ 注意陷阱：
如果不手动设置switchport mode access，某些旧型号交换机会自动启用DTP（动态中继协议）尝试协商端口类型，可能引发安全风险。稳妥做法是显式指定模式，并关闭协商：

Switch(config-if)# switchport nonegotiate

第三步：验证配置结果（别猜，要看！）

配完千万别直接测试连通性，先检查配置对不对：

Switch# show vlan brief

你会看到类似输出：

VLAN Name Status Ports ---- -------------- --------- ------------------------ 1 default active Fa0/3, Fa0/4, ..., Fa0/24 10 Sales active Fa0/1 20 HR active Fa0/2

如果F0/1出现在VLAN 10下面，说明成功了一半。

再看看接口状态：

Switch# show interfaces status

确保对应端口的Vlan列显示正确ID，且状态为connected。

多交换机级联怎么搞？Trunk链路配置详解

现实中哪有只用一台交换机的情况？我们来看看跨设备VLAN如何打通。

经典拓扑结构

PC0 ──→ SW0(Fa0/1)───────(Fa0/24)↔(Fa0/24)←───────(Fa0/1)←── PC2 [VLAN 10] Trunk Link [VLAN 10] PC1 ──→ SW0(Fa0/2) PC3 [VLAN 20] [VLAN 20]

目标很明确：
- PC0 和 PC2 能通（同属VLAN 10）
- PC1 和 PC3 能通（同属VLAN 20）
- 销售部和人事部之间不能互访（除非走路由）

配置要点拆解

1. 两边交换机都要创建相同的VLAN

这点最容易忽略！SW0上建了VLAN 10，SW1也得建，否则数据到了对面没人认。

2. 中间链路必须设为Trunk模式

在SW0上执行：

Switch(config)# interface fastEthernet 0/24 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20 Switch(config-if)# no shutdown Switch(config-if)# end

SW1做同样配置。

🔍 解释关键命令：
-switchport mode trunk：强制设为干道模式，不玩自动协商那一套。
-allowed vlan 10,20：白名单机制，只允许这两个VLAN跑这条线，既安全又省资源。

你可以用以下命令查看Trunk状态：

Switch# show interfaces trunk

正常输出应包含：
- 端口列为Fa0/24
- 封装方式为802.1q
- 允许VLAN列表含10和20
- 本地VLAN最好是修改过的（比如改成999），而不是默认的1

常见问题排查指南：这些坑我都替你踩过了

❌ 问题1：同VLAN的PC互相ping不通？

别急着重配，按顺序查这几项：

1. 物理连接对不对？
   - 在Packet Tracer里看连线颜色：绿色=通，红色=断。
   - 交换机间要用交叉线（Cross-over Cable），虽然新版软件能自动识别，但老版本会出错。

2. Trunk起来了没？

bash Switch# show interfaces trunk
如果没出现在列表里，说明Trunk没起来。常见原因是两端模式不一致，一边是trunk一边还是access。

3. VLAN ID两边一致吗？
   SW0上叫VLAN 10，SW1上别不小心建成了VLAN 11。

4. 接口被shutdown了吗？
   很多人配完忘了no shutdown，结果接口一直是administratively down。

❌ 问题2：广播还是满天飞？

说明VLAN没起作用。重点检查：
- 接入端口是否真的设置了switchport mode access？
- 是否所有非Trunk口都被正确划分到业务VLAN？剩下的都在VLAN 1也是隐患。

建议做完后进入Simulation模式，发一个ARP请求，观察它的传播范围。理想情况下，只应在同一VLAN内的端口间跳动。

实战应用：模拟企业网络规划

假设你要给一家小公司搭网络：

设计思路

1. 每个VLAN对应独立子网，便于后期路由和策略控制；
2. 使用三层交换机或路由器做VLAN间路由；
3. 财务VLAN可结合ACL限制仅特定主机访问；
4. 监控系统单独成VLAN，防止被攻击者利用作为跳板。

Packet Tracer高效技巧分享

1. 善用模拟模式（Simulation Mode）
   点击右下角⚡图标，选择事件过滤器（Edit Filters），只看ICMP或ARP，直观看到数据走向。

2. 查看MAC地址表
   bash Switch# show mac address-table
   看看交换机学到了哪些MAC地址，对应哪个端口和VLAN，判断转发逻辑是否正常。

3. 添加端口描述
   bash Switch(config-if)# description TO-PC0-SALES
   后期维护时一眼就知道每个口接的是什么设备。

4. 定期保存.pkt文件
   别等到断电重启才发现没保存！养成Ctrl+S的习惯。

写在最后：VLAN只是网络进阶的第一步

当你成功让PC0和PC2通信、同时阻断它们与PC1的连接时，你就已经掌握了现代网络构建的核心逻辑——逻辑分离优于物理分割。

但这还远远不够。接下来你可以继续挑战：

🔧单臂路由（Router-on-a-Stick）
用一台路由器实现多个VLAN间的受控通信。

🚀三层交换机SVI接口
配置interface vlan 10并配上IP地址，瞬间获得高速内网路由能力。

🛡️ACL访问控制列表
精确控制“人事部可以访问打印机，但不能访问财务服务器”。

🔒Private VLAN（私有VLAN）
进一步细分同一VLAN内的设备权限，适合酒店、公寓等场景。

Packet Tracer最大的优势是什么？零成本试错。你可以随意拔线、删配置、制造环路，看生成树协议怎么自救，这种实践机会在真实设备上可遇不可求。

所以，别再停留在“我看过教程”的层面了。打开你的Packet Tracer，现在就去新建一个.pkt文件，亲手完成一次完整的VLAN划分。只有手指敲过那些命令，你才算真正拥有了这项技能。

如果你在实操中遇到了奇怪的问题，欢迎留言讨论——毕竟每一个报错信息，都是通往精通之路的路标。