交换机划分了 VLAN，不同 VLAN 还能互访？隔离失效的三个检查位

上篇：隔离失效的三种典型成因

企业局域网做了 VLAN 划分，本意是财务一个段、办公一个段、访客一个段，彼此隔离。但运维中常遇到甲方来问：“我明明划分了 VLAN，怎么两台电脑还是能互相访问？“更奇怪的一种是：同一台交换机上，端口明明划进了不同 VLAN，流量却照样通。隔离失效不是玄学，原因基本落在三个检查位上。

第一个检查位：端口根本没划进去。这是出现频率最高的一类。华为系交换机的端口默认是 hybrid 模式，如果只敲了 vlan batch 10 20 创建 VLAN，却没有把端口用 port link-type access 加 port default vlan 10 真正归属进去，端口仍然在默认 VLAN 1 里——看起来"配置过了”，实际上两台电脑还在同一个广播域里。检查方法很简单：display port vlan 或 display vlan 10，看端口列表里有没有那个口，没有就是没生效。

第二个检查位：PVID 与 VLAN 归属错位。trunk 口上，如果两端的 PVID（native VLAN）配置不一致，带 tag 与不带 tag 的流量就会"错轨”——A 侧发出的 untag 流量被打上 VLAN 10 的 tag，B 侧却按 VLAN 20 收进来，轻则不通，重则出现跨 VLAN 意外互通的怪象。判断时先看两端的 port trunk pvid 是否一致，再看放行列表 port trunk permit vlan 是否覆盖了业务 VLAN。

第三个检查位：上层路由"好心"兜底。这是最容易被忽略的：VLAN 隔离只隔离二层广播域，只要有三层设备（核心交换机的 VLANIF、路由器子接口、甚至某台服务器开了路由转发）在两个 VLAN 之间配了路由并放行了 ICMP/端口，互通就是"设计如此"而非故障。很多单位的隔离需求其实发生在三层，那正确的做法不是折腾 VLAN，而是在三层设备上下发 ACL 或者用防火墙做域间策略。

下篇：一套排查顺序，把隔离做实

建议按"先二层、再三层、后策略"的顺序走一遍。

第一步，核端口归属：逐台交换机导出端口 VLAN 表，对照设计文档核对 access 口归属与 trunk 放行清单，重点查"以为配了其实没配"的默认 VLAN 1 端口。第二步，核 PVID 与放行：所有 trunk 互联链路两端逐一比对 PVID 与放行 VLAN，修掉不对称配置。第三步，查三层路径：在测试机上 tracert 对端地址，如果第一跳直接跳到网关 VLANIF 而不是"不可达"，说明三层在转发——去网关设备上查路由与 ACL，把不该通的业务段在三层掐掉，而不是指望二层隔离自己生效。第四步，做回归验证：隔离策略变更后，用"通/不通"双向测试矩阵（每个 VLAN 对互 ping 加业务端口探测）验收一次，把结果留档。

最后提两个工程习惯：一是管理 VLAN 与业务 VLAN 分开，交换机自身管理地址不要落在业务段里，避免隔离被管理面绕开；二是访客 VLAN 除了隔离还要限制其对内网网段的路由可达，不然隔离只是"二层隔了，三层照走"。

VLAN 是企业网最基础的隔离手段，但要做实，靠的是配置核对纪律和三层策略配合。如果你的单位正在做网络改造、想梳理隔离策略或者排查内网互通怪象，可以联系贵州诚鑫致达科技有限公司，我们长期为客户提供网络建设、交换机配置实施与网络维护服务。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。