很多企业的网络是这么长出来的：先买一台路由器上网，人多了加一台交换机，部门多了再串一台，监控和门禁也随手插在空闲口上。等到某天全网卡顿、IP 冲突、财务的共享盘被实习生看到，才发现根本没有”网络规划”这回事。
VLAN 不是配着好看的技术名词，它解决的是三件很实际的事：缩小广播域、隔离故障与安全域、让地址和端口有据可查。下面按实际施工顺序讲一遍——从分区、编号、地址，到配置骨架、内外网隔离和验收，都是现场能直接照做的。
一、先划边界：把网络拆成几个”安全域”
不要一上来就想 VLAN 号，先列清楚”谁需要访问谁”。中小企业的弱电+IT 混合网络，通常可以拆成下面几块，这个模型覆盖 90% 的项目：
- 管理域：交换机、AP、NVR、门禁控制器、UPS 网卡的管理地址。只允许运维终端访问，其他一律拒绝。
- 办公域：员工 PC、打印机、文件服务器，是人数最多、最不可信的一块。
- 服务器域：ERP、OA、数据库、监控平台。对外只开必要端口，纵向访问一律经过策略控制。
- 物联网/设备域：IPC 摄像机、门禁读头、广播终端、BA 控制器。这类设备固件老旧、几乎不打补丁，是勒索软件最喜欢的东西，必须单独关起来。
- 无线域：员工 WiFi 和访客 WiFi 分开，访客只放行到出口。
- 外联/互联域：专线、VPN、运营商链路落地，以及三层设备之间的互联段。
拆完你会发现一个规律：同一个 VLAN 里的设备，应该是”互相信任、故障会一起挂”的设备。摄像机和生产办公 PC 混在一个广播域，就是典型的错配——几十路摄像机的 ARP 和组播足以让办公网变慢。
二、VLAN 编号与地址规划：留白比精确更重要
编号建议按”每 10 个一号”来排，中间留空位，后期加分区不用重排：
- VLAN 10 —— 网络设备管理（交换机/AP 管理地址）
- VLAN 20 —— 办公（有线 PC、打印）
- VLAN 30 —— 服务器 / 业务系统
- VLAN 40 —— 视频监控（IPC、NVR 上联）
- VLAN 50 —— 门禁一卡通、梯控
- VLAN 60 —— 员工无线
- VLAN 70 —— 访客无线
- VLAN 80 —— IP 电话 / 广播（有需要再启用）
- VLAN 99 —— 三层设备互联段
- VLAN 999 —— 未使用的 Native VLAN（丢弃用）
地址段用私网 10.x 或 172.16.x，按”楼层/区域”分第二段，例如 10.20.1.0/24 是一楼办公、10.20.2.0/24 是二楼办公，一眼就能定位终端在哪。每个 VLAN 一个 /24，网关固定用 .1，DHCP 池从 .100 开始，服务器和打印机用 .2–.99 做静态。
三个数字要提前算好：
- 单 VLAN 主机数控制在 200 台以内。超过就再切一个段，别指望 /23 解决问题——广播域越大，故障排查越像大海捞针。
- 地址预留至少 50%。今天 60 人的办公室，两年后可能 120 人，重新规划地址的代价远高于当初留几段空。
- 管理地址单独成段，不要和业务共用网关。管理 VLAN 一断，你还得跑到机房插 console 线。
三、DHCP 与 DNS 的细节，最容易被忽略
VLAN 划完最常见的故障不是不通，而是”能拿到 IP 但上不了网”，八成出在 DHCP 上。
- 三层交换机上给每个 VLAN 建 DHCP 地址池，网关、DNS、租期一起下发；租期办公网 8 小时、访客 1 小时、监控设备建议静态或长租期。
- 跨网段的 DHCP 请求靠 DHCP Relay（dhcp relay server-ip），别在接入交换机上开一堆 DHCP 服务器，否则容易出现两个 DHCP 抢着发地址。
- 监控、门禁这类设备优先静态 IP，并在台账里登记 MAC。DHCP 分给摄像机，租期一过 IP 变了，NVR 就掉线，这是售后电话的第一大来源。
- DNS 一定要下发内网 DNS，否则内部系统域名解析不了，用户只会说”网断了”。
四、交换机配置骨架：Trunk 只放该放的 VLAN
以华为 VRP / H3C Comware 这一类命令风格为例，核心是三条纪律：Trunk 白名单、Native VLAN 改掉、接入口不打标签。
1）上联口（Trunk）：只允许本楼实际使用的 VLAN 通过，不要图省事写 allow-pass vlan all。
port link-type trunk
port trunk allow-pass vlan 10 20 30 40 50 60 70 99
port trunk pvid vlan 999
undo port trunk allow-pass vlan 1
2）接入口（Access）：一个口一个 VLAN，写清楚用途标签，配边缘端口。
port link-type access
port default vlan 20
stp edged-port enable
（全局）bpdu-protection
3）管理 VLAN：给交换机配管理地址，只允许运维网段访问，并关闭不需要的服务（HTTP、Telnet 一律换 SSH）。
interface Vlanif 10
ip address 10.10.1.2 255.255.255.0
4）防环与防私接：接入端口开 STP 边缘 + BPDU 保护，防止员工把家用路由器 LAN 口插进墙盒造成环路；有条件再开 DHCP Snooping（上联口设为信任口）和 IP Source Guard，能挡掉一半的”私接路由器发地址”事故。
五、内外网隔离：三种做法，别选错
方案 A：物理隔离（两套设备、两套线缆）
适用：生产车间、涉密办公、财务专网、以及甲方明确要求”内外网不能有任何物理连接”的项目。做法是内外网各一套交换机和布线，终端用双网卡或两台机器，中间不设任何路由。成本最高，但审计最干净。
方案 B：防火墙做边界，VLAN 做内部分区（推荐大多数企业）
内部用三层交换机跑 VLAN 间路由，出口放防火墙，防火墙与核心之间走独立的互联 VLAN（如 VLAN 99）。所有跨安全域的访问——特别是”办公 → 服务器””访客 → 任何内网”——都送到防火墙做策略，才能有状态检测、日志和入侵防护。三层交换机上的 ACL 是无状态的，管不住回包，只能做粗粒度隔离。
方案 C：纯 ACL 隔离（预算极紧时）
在三层交换机上用 ACL 把访客、物联网设备与办公网隔开，只允许它们访问网关和必要的服务器端口。能用，但要清楚它的短板：无状态、难排错、日志少。至少把”访客 → 内网”这条彻底断掉，只留出外网。
无论哪种方案，有两条红线：物联网设备（摄像机、门禁、广播）不得主动访问办公网段；访客网络只能到互联网出口。需要跨域取流的场景（比如办公 PC 看监控画面），用”NVR 双网口”或”监控平台前置机”来解决，而不是把整个监控 VLAN 放开。
六、ACL 与策略写法：几个必须避开的坑
- 别忘了放行 DNS 和 DHCP。策略写得太干净，用户上不了网，最后只能全放开。
- 方向别搞反。三层交换机上
traffic-filter inbound是”进入该接口的流量”，在 VLANIF 上应用时针对的是该网段发往其他网段的流量，先在测试 VLAN 验证再上线。 - 拒绝要写在允许之后还是之前？ACL 自上而下匹配，先写精细的 permit，再写兜底 deny，最后一定要有
rule deny ip收尾，否则默认放行等于白配。 - 不要用”any any permit”图省事，尤其是在访客 VLAN 上。
- 无线访客要开 AP 内隔离（client isolation），否则访客之间能互相扫描，比访问内网还危险。
七、无线与 VLAN 的对应关系
AP 管理地址放在管理 VLAN（10），业务 SSID 用隧道或本地转发映射到 VLAN 60，访客 SSID 映射到 VLAN 70 并开启隔离。注意两点：AP 上联口必须是 Trunk，且允许管理 VLAN 与业务 VLAN 通过；如果 AP 是 PoE 供电，确认交换机端口功率和 VLAN 配置同时到位——很多”AP 上线了但拿不到业务地址”的问题，就是上联口漏了 allow-pass。
八、现场最容易踩的 8 个坑
- 所有口都在 VLAN 1。等于没规划，一次广播风暴全网瘫。
- Trunk 写 all。广播域被打通，VLAN 只剩”逻辑上的心理安慰”。
- Native VLAN 没改。VLAN 跳跃攻击的入口，也是双标签故障的来源。
- 监控和办公混用。几十路 4K 摄像机的组播和 ARP 会把办公网拖垮。
- 网关地址冲突。多个 VLAN 用了同一个 .1，或者和运营商光猫的 192.168.1.1 撞车。
- 没有端口台账。半年后没人知道 3 楼弱电箱第 7 口是哪个 VLAN，只能一个个拔线试。
- 管理 VLAN 和业务共用。业务网被攻击时，连交换机都登不上。
- 改完不保存。断电重启回到解放前，这类事故在小型项目里出奇地多。
九、上线验收清单（建议逐条打勾）
- VLAN 编号表、IP 地址表、端口对应表已出图，贴在机柜门内侧
- 每个 VLAN 网关可 ping 通，DHCP 能正常下发地址、网关、DNS
- 同 VLAN 内互通、跨 VLAN 按策略放行/拒绝，均实测验证
- 访客网络无法访问任何内网地址，仅能出公网
- 物联网 VLAN 无法访问办公网段，仅能访问指定服务器端口
- 拔掉一台接入交换机，其余网络不受影响（无环、无广播风暴）
- 接入端口已开边缘端口 + BPDU 保护，私接路由器不会引发环路
- 所有设备配置已保存并导出备份，管理口令已改默认值
- NVR、门禁、广播等平台跨网段访问正常，画面与开门响应无异常
做完整套规划，一个 100 人左右的办公室通常只需要半天配置时间，但能省下未来两年的排障时间。真正难的不是敲命令，而是先想清楚谁该和谁通——这句话想明白了，VLAN 号只是把结论写进设备里。
武汉立铭科技：专注安防监控、综合布线、门禁一卡通、机房建设、楼宇自控等弱电工程，提供方案设计/施工/7×24 售后全流程服务。
