VLAN划分后依然互通？这些常见“误配置”是罪魁祸首

号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

你明明建了 VLAN10、VLAN20，把不同部门的设备分别放进去，还特意做了接口隔离。结果对方还能 ping，你傻眼了，客户也纳闷。

别慌，这事儿不一定是设备坏了，很可能是配置细节出了错。

VLAN 的本质是逻辑隔离，但实际工程中却经常出现「VLAN明明分了，终端还是能互通」的诡异场景。

今天就从实战出发，把这些常见的“隔离失败”误配置统统挑出来，让你排障快准狠。

一、误配置1：Access口接了Trunk口，VLAN漏标识

现象：

某台终端本该属于 VLAN10，接到交换机 Access 口，但对侧设备是 Trunk 口，且没做 VLAN 过滤，导致 VLAN20 的广播/数据也混进来了。

分析：

• Access 接口虽然只允许一个 VLAN，但 Trunk 如果不做限制，可以传所有 VLAN。

• 若中间链路未做 VLAN 抑制，可能导致广播泛滥 + 数据串流。

正确做法：

• Trunk 接口要加 port trunk allow-pass vlan 10 等限制；

• 非必要不要 Access 接 Trunk，接口模式要一一核对；

• 管理面、AP、IP电话要特别注意。

---

二、误配置2：交换机开启了“缺省 VLAN 互通”

现象：

划分了多个 VLAN，终端确实在不同 VLAN，但依旧可以互 ping。

分析：

部分设备默认在 VLAN 接口上开启了“VLAN间互访”功能，尤其是三层交换机，默认可能起了多个 VLANIF 且未做 ACL 控制。

正确做法：

• 检查 VLANIF 接口配置，是否起了多个 IP 且默认路由开启；

• 要做 ACL 控制，例如：

  acl number 3000
   rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
  interface Vlanif10
   traffic-filter outbound acl 3000
  

---

三、误配置3：核心设备自动起了三层转发

现象：

汇聚或核心交换机设备，默认开启了三层功能，且自动建立 VLANIF + 配置了网关地址。

分析：

很多华为设备在默认情况下创建 VLAN 后，系统可能自动启用对应的 Vlanif 接口并开启 IP Forward 功能，导致自动实现了路由转发。

正确做法：

• 删除未使用的 Vlanif；

• 核查是否配置了 ip routing；

• 禁止默认互通，可以在汇聚上加 ACL 控制；

• 考虑用 VRF 或虚拟域严格隔离不同 VLAN 的三层能力。

---

四、误配置4：交换机被接入了“网关旁路”

现象：

两台终端明明不同 VLAN，却可以访问彼此服务或共享数据。

分析：

存在一台服务器/旁路设备（如无线路由器）连接两个交换机接口，可能同时启用了 DHCP 和转发服务，相当于起到了“伪网关”的作用，打通了 VLAN。

正确做法：

• 禁止终端私设网关或 NAT 服务；

• 在接入交换机开启 端口隔离：

  interface GigabitEthernet0/0/1
   port-isolate enable
  

• 做 BPDU 防护，防止用户私接交换设备；

• 所有上联、下联端口打标签，清晰标识用途。

---

五、误配置5：AP/AP管理口连通多个VLAN未做隔离

现象：

无线终端不同 VLAN，仍可互访。

分析：

AP 或 WAC 管理口未区分业务 VLAN，或无线控制器使用了统一网段下发地址，导致隔离失效。

正确做法：

• AP 使用 hybrid 模式精确绑定 VLAN：

  interface GigabitEthernet0/0/2
   port link-type hybrid
   port hybrid pvid vlan 10
   port hybrid untagged vlan 10
  

• 管理 VLAN 和业务 VLAN分开；

• 无线控制器配置不同 VLAN SSID + DHCP 策略分发。

---

总结一下：

划了 VLAN，不等于就“隔离成功”了。

这几个点你必须确认清楚：

---

如果你也遇到过 “明明分 VLAN 了还是能通” 的诡异场景，可以把你的环境贴上来，大家一起帮你定位分析。

原创：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部