注册
登录控制台
VLAN（Virtual Local Area Network）技术通过在二层交换机上划分逻辑网络，实现同一物理网络中的不同设备之间相互隔离。在服务器环境中配置VLAN支持，可以使一台物理服务器同时接入多个逻辑网络，广泛应用于多租户隔离、业务网络分离和安全管理。本文以CentOS 9 Stream为例，介绍VLAN配置的完整流程。
▶一、VLAN原理与标准
VLAN遵循IEEE 802.1Q标准，通过在以太网帧头插入4字节的VLAN标签（Tag）标识帧所属的VLAN ID（范围1-4094）。Access端口只承载一个VLAN的未标记流量（Untagged），Trunk端口承载多个VLAN的标记流量（Tagged）。理解Access和Trunk的区别是配置VLAN的基础。
▶二、Linux VLAN子接口配置
# 加载8021q内核模块
modprobe 8021q
echo "8021q" >> /etc/modules-load.d/8021q.conf
# 创建VLAN子接口
ip link add link eth0 name eth0.100 type vlan id 100
ip link add link eth0 name eth0.200 type vlan id 200
# 配置VLAN接口IP
ip addr add 192.168.100.1/24 dev eth0.100
ip addr add 192.168.200.1/24 dev eth0.200
# 启用VLAN接口
ip link set eth0.100 up
ip link set eth0.200 up
# 查看VLAN信息
cat /proc/net/vlan/config
ip -d link show eth0.100▶三、使用ifcfg配置文件（CentOS/RHEL）
# /etc/sysconfig/network-scripts/ifcfg-eth0.100
DEVICE=eth0.100
BOOTPROTO=static
ONBOOT=yes
IPADDR=192.168.100.1
NETMASK=255.255.255.0
VLAN=yes
# /etc/sysconfig/network-scripts/ifcfg-eth0.200
DEVICE=eth0.200
BOOTPROTO=static
ONBOOT=yes
IPADDR=192.168.200.1
NETMASK=255.255.255.0
VLAN=yes▶四、Netplan配置VLAN
# /etc/netplan/01-vlan.yaml
network:
version: 2
ethernets:
eth0:
dhcp4: no
vlans:
vlan.100:
id: 100
link: eth0
addresses: [192.168.100.1/24]
vlan.200:
id: 200
link: eth0
addresses: [192.168.200.1/24]
netplan apply▶五、交换机端VLAN配置
服务器连接交换机的端口通常配置为Trunk模式，允许多个VLAN的标记流量通过。以Cisco交换机为例：interface GigabitEthernet1/0/1配置为switchport mode trunk，并指定allowed VLAN列表。华为交换机使用port link-type trunk和port trunk allow-pass vlan命令。
▶六、VLAN间路由
# 启用IP转发
sysctl -w net.ipv4.ip_forward=1
# 配置VLAN间路由（使用iptables NAT或直接路由）
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o eth0.200 -j MASQUERADE
# 添加VLAN间的路由规则
ip route add 192.168.200.0/24 via 192.168.100.254
ip route add 192.168.300.0/24 via 192.168.100.254
# 或者使用策略路由控制VLAN间访问
iptables -A FORWARD -i eth0.100 -o eth0.200 -j DROP
iptables -A FORWARD -i eth0.200 -o eth0.100 -j ACCEPT▶七、结合网桥的VLAN配置
# 创建网桥并加入VLAN子接口
brctl addbr br-mgmt
brctl addif br-mgmt eth0.100
ip link set br-mgmt up
brctl addbr br-data
brctl addif br-data eth0.200
ip link set br-data up
# KVM虚拟机使用VLAN网桥
virsh attach-interface vm1 --type bridge --source br-mgmt --model virtio --config▶八、Proxmox VE的VLAN支持
Proxmox VE的虚拟机网卡可以直接指定VLAN标签。在虚拟机配置中将网卡的VLAN Tag设置为所需值，Proxmox会自动为该虚拟机流量添加对应的VLAN标签。对于容器（LXC），同样支持VLAN配置。Proxmox还支持VLAN感知模式（VLAN aware），单个网桥可承载所有VLAN流量。
▶九、VLAN安全最佳实践
VLAN本身不是安全隔离的绝对保障，存在VLAN跳跃攻击（VLAN Hopping）等安全风险。建议措施：禁用未使用的Trunk端口、限制allowed VLAN列表、使用专用VLAN ID用于管理网络、部署802.1X端口认证、结合ACL实现VLAN间访问控制、定期审查VLAN划分方案。
▶十、VLAN排障与调试
VLAN问题排查步骤：先查看物理接口和VLAN子接口的link状态，再用tcpdump在交换机Trunk端口抓包确认VLAN标签是否正确，然后验证不同VLAN间的通信是否正常。常见问题包括MTU不一致（VLAN头增加4字节）、Trunk端口未允许对应VLAN、STP收敛导致临时不通等。
▶十一、私有VLAN技术实现端口级隔离
私有VLAN（PVLAN）在标准VLAN基础上增加了端口级隔离能力，将同一个VLAN内的端口划分为主端口、隔离端口和群体端口。隔离端口只能与主端口通信不能与其他隔离端口通信，适用于多租户环境。群体端口可以相互通信也能与主端口通信。PVLAN特别适合IDC和云平台的租户隔离场景，在不增加VLAN数量的情况下实现精细隔离。
▶十二、VLAN与SDN融合方案
在软件定义网络架构中，VLAN仍然是基础的网络隔离手段。SDN控制器通过OpenFlow协议动态配置交换机的VLAN设置，实现自动化VLAN分配和迁移。结合VXLAN（VXLAN Network Identifier）技术，可以突破传统VLAN的4096个ID限制，在数据中心内创建数百万个隔离的虚拟网络。
▶十三、VLAN数据中心网络分层设计
现代数据中心网络采用叶脊架构，服务器直连叶子交换机，叶子连接到所有脊交换机。VLAN在接入层实现服务器端口级隔离。叶脊架构中VLAN需要预分配每个叶子的范围避免冲突。微隔离技术是VLAN的进化方向，在Overlay网络中通过分布式防火墙实现虚拟机级别隔离，每个虚拟机有独立的网络策略，管理粒度从端口级提升到应用和用户级别。
微隔离结合零信任架构可以实现比传统VLAN更精细的安全隔离。在Overlay网络中通过分布式防火墙实现虚拟机级别的网络隔离策略，每个虚拟机有独立的策略不受物理位置限制。整体合规和安全效果比传统VLAN方案更加优秀灵活。
