企业官网建设流程全解析

1. 项目概述：为什么VLAN配置是网络工程师绕不开的第一道门槛

“华为eNSP实验——VLAN配置”这八个字，看似只是某次课堂作业或自学打卡的标题，但背后藏着网络工程实操能力的分水岭。我带过不少刚从学校出来的新人，也辅导过转行考HCIA的职场人，发现一个高度一致的现象：能顺利配通RIP、OSPF甚至BGP的人，常常在VLAN划分上卡住两三天——不是命令输错，而是根本没想清楚“为什么这里要打trunk”“为什么PC1和PC2明明连在同一台交换机上却ping不通”。这不是手生，是逻辑断层。

VLAN（Virtual Local Area Network）的本质，是用软件逻辑把物理上连在一起的设备，重新划成若干个互不干扰的广播域。它不像IP地址那样肉眼可见，也不像网线插拔那样有物理反馈，而是一套运行在交换机芯片内部的转发策略。eNSP（Enterprise Network Simulation Platform）作为华为官方推出的免费仿真平台，恰恰提供了零硬件成本、零布线风险的沙盒环境，让初学者能在5分钟内完成一次完整的VLAN创建→端口划分→跨交换机通信→验证排错的闭环训练。它不替代真机，但能帮你把“VLAN是干啥的”“trunk和access区别在哪”“native VLAN怎么影响通信”这些抽象概念，变成屏幕上跳动的ping包和实时更新的MAC地址表。

这个实验适合三类人：一是正在备考华为认证（HCIA-Datacom）的考生，VLAN是必考项，且实操题占分比重高；二是高校网络课程的学生，教材讲原理，eNSP补实操；三是中小企业的IT运维人员，日常维护中常需快速隔离访客网络、财务专网或监控系统，VLAN是最轻量、最经济的实现方式。你不需要懂ASIC芯片怎么查表，但必须清楚：当一台交换机收到一个数据帧时，它先看帧头里的802.1Q标签，再查本机VLAN数据库，最后决定是泛洪、转发还是丢弃。整个过程不到1毫秒，而你的配置，就是给这毫秒级决策写规则说明书。

2. 实验整体设计与思路拆解：从“画拓扑”到“想通逻辑”的三步跃迁

2.1 拓扑结构选择：为什么必须包含跨交换机场景？

很多新手第一次做VLAN实验，只用一台S5700交换机接4台PC，划分VLAN 10和20，然后测试同VLAN互通、跨VLAN隔离。这能验证基础功能，但漏掉了VLAN最核心的实战价值——跨物理设备的逻辑组网。真实环境中，一个部门的电脑不可能全插在同一台交换机上，必然涉及多台接入层交换机上联到汇聚层。如果只做单交换机实验，你会误以为“只要端口划进同一个VLAN就自动通”，而忽略trunk链路的关键作用。

因此，本实验采用经典三层结构：2台接入交换机（SW1、SW2）分别连接2台PC（PC1、PC2在SW1；PC3、PC4在SW2），再通过一条链路上联到核心交换机（SW3）。其中PC1与PC3同属VLAN 10（如行政部），PC2与PC4同属VLAN 20（如技术部）。这样设计，强制你面对三个真实问题：

• 接入交换机如何识别并标记不同PC的流量？（access端口配置）
• SW1与SW3之间、SW2与SW3之间的链路，怎样同时承载VLAN 10和VLAN 20的流量？（trunk端口配置）
• 核心交换机SW3作为VLAN间路由节点，如何让VLAN 10和VLAN 20的设备能互相访问？（三层接口+SVI配置）

提示：eNSP里SW3必须启用三层功能（即开启路由模式），否则即使配置了SVI（Switch Virtual Interface），也无法实现VLAN间路由。这是新手最容易忽略的隐性前提。

2.2 设备选型逻辑：为什么坚持用S5700系列而非路由器或云平台？

eNSP支持多种设备模拟，包括AR系列路由器、USG防火墙、CloudEngine数据中心交换机等。但VLAN配置实验，必须锁定S5700系列交换机（如S5700-28C-EI），原因有三：
第一，S5700是华为现网最普及的盒式接入/汇聚交换机，其CLI命令体系（如port link-type access、port trunk allow-pass vlan）与真实设备完全一致，学完就能直接上手现网设备。而AR路由器虽能配VLANIF，但其定位是边界网关，VLAN处理逻辑更侧重于子接口绑定，容易混淆初学者对“纯二层交换”和“三层路由”的认知边界。
第二，S5700的Web界面和CLI双模支持，方便对照学习。比如在CLI中输入display vlan看到VLAN信息后，切到Web界面的“VLAN > VLAN管理”页签，能直观看到相同数据，强化理解。
第三，资源占用低。一台i5笔记本跑3台S5700+4台PC，CPU占用率稳定在35%以下；若换成CE6800系列，模拟1台就会卡顿。这对学生党或家用电脑用户极其友好——你不需要为一次实验专门配一台工作站。

2.3 验证方法设计：为什么Ping不是万能的，而display命令才是灵魂？

很多学员做完配置，第一反应是疯狂ping：“PC1 ping PC3通了！成功！”但这种验证极不可靠。我见过太多案例：ping通了，但实际业务跑不通。因为ping只验证ICMP层可达，而VLAN问题常发生在数据链路层（如标签丢失、MAC地址学习失败）。真正有效的验证，必须分层推进：

• 物理层：display interface GigabitEthernet 0/0/1查看端口up/down状态、双工模式、速率，确认链路物理连通；
• 数据链路层：display vlan确认VLAN已创建、端口已正确加入；display mac-address查看MAC地址是否按预期学习（如PC1的MAC应在SW1的VLAN 10下，SW3的VLAN 10 SVI接口下也应有该MAC）；
• 网络层：display ip routing-table确认SVI接口已生成直连路由（如192.168.10.0/24 via Vlanif10）；
• 应用层：最后才用ping或telnet测试端到端连通性。

这种分层验证法，不是为了炫技，而是把“网络不通”这个模糊问题，精准定位到具体协议层。就像修车不能一上来就换发动机，得先听异响、查油液、读故障码。

3. 核心细节解析与实操要点：命令背后的硬件逻辑与配置陷阱

3.1 VLAN创建：数字范围、命名规范与资源消耗真相

在S5700上创建VLAN，最简命令是vlan 10，回车即创建。但这里藏着三个易被忽视的细节：
第一，VLAN ID的有效范围。标准802.1Q协议定义VLAN ID为1-4094，但华为设备默认保留VLAN 1（默认VLAN）、VLAN 4095（预留）、以及4064-4079（私有VLAN，需特殊许可）。实际可用范围是2-4063和4080-4094。我曾帮某公司排查故障，发现他们用VLAN 4090做监控网段，结果与设备内部管理VLAN冲突，导致SNMP无法采集。所以生产环境强烈建议：常规业务VLAN用100-1000，避免靠近边界值。

第二，VLAN命名不是可选项，而是管理刚需。命令vlan 10后立即跟name HR-Dept，看似多此一举，但在大型网络中，当你执行display vlan summary看到几十个VLAN时，“VLAN 10”和“HR-Dept”带来的认知效率差异是数量级的。更关键的是，eNSP的拓扑图中，鼠标悬停在交换机图标上会显示VLAN名称，比记数字直观十倍。

第三，VLAN创建本身不消耗CPU，但关联端口才触发资源分配。S5700的VLAN表是TCAM（Ternary Content-Addressable Memory）硬件实现，创建VLAN只是写入控制面，不占转发面资源；只有当执行port link-type access并将端口加入VLAN后，交换机才在TCAM中为该VLAN分配匹配条目。这意味着：你可以提前创建VLAN 10-50共41个，只要不绑定端口，设备性能毫无影响。这个特性在规划多租户网络时非常实用——先预置VLAN池，按需启用。

3.2 Access端口配置：为什么port default vlan 10比port access vlan 10更安全？

在接入交换机SW1上，将G0/0/1端口划入VLAN 10，有两种写法：

# 方式A（推荐） interface GigabitEthernet 0/0/1 port link-type access port default vlan 10

# 方式B（不推荐） interface GigabitEthernet 0/0/1 port link-type access port access vlan 10

表面看效果一样，但底层逻辑天壤之别。port default vlan 10是华为的增强命令，它不仅把端口设为access模式并加入VLAN 10，还强制该端口只接收/发送无标签帧，并在出方向自动剥离802.1Q标签。而port access vlan 10是传统命令，在某些固件版本中可能遗留兼容性逻辑，导致端口异常接收带标签帧。

更致命的是安全风险：假设某员工私自将PC换成带VLAN功能的IP电话，电话发出带VLAN 20标签的帧，如果端口用的是port access vlan 10，交换机可能错误地将其转发到VLAN 10，造成跨VLAN信息泄露。而port default vlan 10会直接丢弃所有带标签帧，守住安全底线。

注意：port default vlan命令在S5700 V200R010C00及以后版本全面支持，eNSP默认镜像即满足。执行后，用display port vlan可验证端口PVID（Port VLAN ID）是否为10，且Ingress/Egress均为Untagged。

3.3 Trunk端口配置：allow-pass的精确性与nonegotiate的必要性

Trunk链路是VLAN跨交换机的生命线，其配置精度直接决定整个网络的健壮性。以SW1上联到SW3的G0/0/24端口为例：

interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 port trunk allow-pass vlan 10 to 20 # 等效写法

关键点在于allow-pass参数必须显式声明，而非依赖默认。S5700的trunk端口默认只允许VLAN 1通过，如果你忘记加allow-pass，VLAN 10/20的流量会被静默丢弃，且不会报错——这是最折磨人的故障：物理链路up，但业务全断。

更隐蔽的坑是DTP（Dynamic Trunking Protocol）协商。eNSP默认开启DTP，试图自动协商trunk模式。但在真实网络中，DTP可能被中间设备（如旧款思科交换机）干扰，导致协商失败，端口卡在access模式。因此，生产环境必须关闭DTP：

interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 undo port trunk negotiate enable # 关键！禁用DTP

执行后，用display interface GigabitEthernet 0/0/24查看，应显示Trunk Negotiation: Disable，且Port Link-type: trunk。此时端口不再等待对端响应，坚定以trunk模式工作，稳定性提升一个数量级。

3.4 Native VLAN：那个沉默的“默认通道”如何偷走你的流量？

Native VLAN是trunk链路上的隐形规则：当trunk端口收到无标签帧时，将其归入native VLAN；当发送属于native VLAN的帧时，不打标签。S5700默认native VLAN是1，这带来两个严重隐患：

• 安全漏洞：如果SW1的G0/0/24端口native VLAN=1，而PC1（VLAN 10）误发了一个无标签帧（如某些老旧网卡驱动bug），该帧会被SW1当作VLAN 1流量转发，经trunk到达SW3后，又因SW3的G0/0/24 native VLAN也是1，被错误转发到VLAN 1的设备，绕过所有VLAN隔离策略。
• 管理混乱：VLAN 1通常承载设备管理流量（SSH、SNMP），若业务流量混入，会导致管理通道拥塞甚至被攻击。

解决方案是显式重置native VLAN：

interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 port trunk pvid vlan 10 # 将native VLAN改为10（与业务VLAN一致）

注意：port trunk pvid vlan 10不是设置“默认VLAN”，而是设置trunk端口的PVID（Port VLAN ID），即无标签帧的归属VLAN。这样，所有无标签帧都被导向VLAN 10，与业务逻辑统一，且VLAN 1彻底清空，仅用于设备初始化阶段。

4. 实操过程与核心环节实现：从零开始的完整配置流水线

4.1 环境准备与拓扑搭建：eNSP中的“物理布线”艺术

启动eNSP后，第一步不是敲命令，而是构建一张干净、可复现的拓扑图。我的标准操作流程如下：

1. 设备拖拽：从左侧设备栏依次拖入2台S5700-28C-EI（命名为SW1、SW2）、1台S5700-52C-EI（命名为SW3）、4台PC（命名为PC1-PC4）。注意：S5700-28C-EI有24个电口，足够接PC；S5700-52C-EI有48口，适合作为汇聚核心。

2. 链路连接：用“连线工具”连接：

   • PC1 → SW1的G0/0/1（直连）
   • PC2 → SW1的G0/0/2（直连）
   • PC3 → SW2的G0/0/1（直连）
   • PC4 → SW2的G0/0/2（直连）
   • SW1的G0/0/24 → SW3的G0/0/1（上联）
   • SW2的G0/0/24 → SW3的G0/0/2（上联）

   提示：eNSP中，直连PC用“自动连接”即可；交换机间上联必须用“手动连接”，并选择“GE”类型，否则速率协商失败。

3. 设备启动与IP规划：右键每台设备→“启动”，待状态灯全绿后，进入PC配置IP：

   • PC1：192.168.10.10/24，网关192.168.10.1
   • PC2：192.168.20.10/24，网关192.168.20.1
   • PC3：192.168.10.20/24，网关192.168.10.1
   • PC4：192.168.20.20/24，网关192.168.20.1
     网关IP对应SW3上VLANIF接口的IP，这是VLAN间路由的基础。

4. 保存快照：点击eNSP顶部“文件→保存拓扑”，命名为“VLAN-Base.topo”。这是你的“安全锚点”——任何配置失误，一键恢复，避免从头搭拓扑的烦躁。

4.2 SW1与SW2的接入层配置：逐台固化，拒绝复制粘贴

配置必须按设备逐台进行，严禁复制SW1配置到SW2后简单改名。因为端口编号、物理位置、甚至固件微版本都可能不同。以下是SW1的完整配置（SW2同理，仅端口和VLAN号镜像）：

# 进入系统视图 <Huawei> system-view [Huawei] sysname SW1 # 创建VLAN并命名 [SW1] vlan batch 10 20 [SW1] vlan 10 [SW1-vlan10] name Admin-Dept [SW1-vlan10] quit [SW1] vlan 20 [SW1-vlan20] name Tech-Dept [SW1-vlan20] quit # 配置接入端口（PC1、PC2） [SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1-GigabitEthernet0/0/1] quit [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20 [SW1-GigabitEthernet0/0/2] quit # 配置上联trunk端口（到SW3） [SW1] interface GigabitEthernet 0/0/24 [SW1-GigabitEthernet0/0/24] port link-type trunk [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 [SW1-GigabitEthernet0/0/24] undo port trunk negotiate enable [SW1-GigabitEthernet0/0/24] port trunk pvid vlan 10 [SW1-GigabitEthernet0/0/24] quit # 保存配置（关键！） [SW1] save The current configuration will be written to the device. Are you sure to continue? [Y/N]:y

执行后，立即验证：

• display vlan：确认VLAN 10/20存在，且G0/0/1在VLAN 10的Untagged列表，G0/0/24在VLAN 10/20的Tagged列表；
• display interface GigabitEthernet 0/0/1：确认Port link-type为access，PVID为10；
• display interface GigabitEthernet 0/0/24：确认Port link-type为trunk，Trunk Negotiation为Disable。

SW2配置同理，只需将VLAN 10改为VLAN 10（PC3），VLAN 20改为VLAN 20（PC4），上联端口改为G0/0/24→SW3的G0/0/2。

4.3 SW3的核心层配置：SVI接口与三层路由的激活

SW3是整个VLAN网络的“心脏”，其配置决定VLAN间能否通信。重点在于激活三层功能并创建SVI：

<Huawei> system-view [Huawei] sysname SW3 # 启用三层路由功能（S5700默认二层，必须显式开启） [SW3] ip route-static 0.0.0.0 0.0.0.0 192.168.100.1 # 若需上公网，此处配默认路由 [SW3] vlan batch 10 20 # 创建VLANIF接口（即SVI） [SW3] interface Vlanif 10 [SW3-Vlanif10] ip address 192.168.10.1 24 [SW3-Vlanif10] quit [SW3] interface Vlanif 20 [SW3-Vlanif20] ip address 192.168.20.1 24 [SW3-Vlanif20] quit # 配置上联trunk端口（接收SW1/SW2的流量） [SW3] interface GigabitEthernet 0/0/1 [SW3-GigabitEthernet0/0/1] port link-type trunk [SW3-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 [SW3-GigabitEthernet0/0/1] undo port trunk negotiate enable [SW3-GigabitEthernet0/0/1] port trunk pvid vlan 10 [SW3-GigabitEthernet0/0/1] quit [SW3] interface GigabitEthernet 0/0/2 [SW3-GigabitEthernet0/0/2] port link-type trunk [SW3-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 20 [SW3-GigabitEthernet0/0/2] undo port trunk negotiate enable [SW3-GigabitEthernet0/0/2] port trunk pvid vlan 10 [SW3-GigabitEthernet0/0/2] quit # 保存配置 [SW3] save

验证要点：

• display ip interface brief：确认Vlanif10和Vlanif20状态为up，IP地址正确；
• display ip routing-table：应看到两条直连路由：
  192.168.10.0/24 Direct 0 0 Vlanif10
192.168.20.0/24 Direct 0 0 Vlanif20
  若无此条目，说明SVI未激活或IP未生效，需检查interface Vlanif命令是否遗漏quit。

4.4 全网连通性验证与分层诊断：一份可执行的排错清单

配置完成后，按以下顺序执行验证，每步失败即停，定位问题层：
Step 1：同VLAN本地连通性（验证接入层）

• PC1 ping PC2？应失败（不同VLAN）
• PC1 ping PC3？应失败（跨交换机，但尚未验证trunk）
• PC1 ping SW1的VLANIF？—— SW1未配SVI，此步跳过，直接测PC1→PC3

Step 2：跨VLAN基础连通性（验证trunk与SVI）

• PC1 ping 192.168.10.1（SW3的Vlanif10）？应成功（证明SW1→SW3的VLAN 10 trunck通，且SW3 SVI生效）
• PC2 ping 192.168.20.1（SW3的Vlanif20）？应成功（同理）
• 若此步失败，立即在SW1执行display mac-address，看PC1的MAC是否学习到VLAN 10下；若无，则问题在PC1→SW1链路（检查网线、PC IP、SW1 access端口配置）

Step 3：VLAN间路由验证（最终目标）

• PC1 ping PC3（同VLAN 10）？应成功
• PC1 ping PC2（跨VLAN）？应失败（正常，因未配路由）
• PC1 ping PC4（VLAN 10→VLAN 20）？应成功
  若失败，执行display arp在SW3上查看：PC1和PC4的ARP表项是否完整？若PC4的ARP缺失，说明PC4未向SW3发送ARP请求，问题在PC4→SW2→SW3的VLAN 20路径。

Step 4：终极压力测试

• 在PC1上执行tracert 192.168.20.20（PC4），应显示路径：PC1→192.168.10.1（SW3）→192.168.20.20（PC4），跳数为2，证明三层路由生效。

实操心得：我习惯在每台交换机配置完成后，立即执行display this命令，将当前配置复制到文本编辑器，形成《SW1配置快照.txt》《SW3配置快照.txt》。当全网不通时，直接对比快照，3分钟内定位哪台设备少了一行port trunk allow-pass——比逐行检查高效十倍。

5. 常见问题与排查技巧实录：那些年我们踩过的VLAN深坑

5.1 “Ping通但业务不通”：MAC地址表的老鼠洞

现象：PC1能ping通PC4，但FTP上传失败，或者网页打不开。
根因分析：Ping使用ICMP，对网络质量要求低；而FTP、HTTP需要TCP三次握手，对延迟、丢包更敏感。VLAN配置中，最易被忽略的是MAC地址老化时间。S5700默认MAC老化时间为300秒（5分钟），若PC长时间无流量，MAC表项被清除，后续首包需广播ARP，增加延迟。

解决方案：

# 在SW3上延长MAC老化时间（全局生效） [SW3] mac-address aging-time 1800 # 改为30分钟

同时，检查display mac-address输出中，PC1和PC4的MAC是否始终存在。若频繁消失，说明链路存在瞬时中断（如eNSP虚拟网卡驱动不稳定），可尝试重启eNSP或更换PC模拟器为“CloudEngine S5735”。

5.2 “Trunk链路Up但VLAN不通”：标签剥离的无声谋杀

现象：display interface显示G0/0/24状态为up，display vlan显示VLAN 10/20已允许通过，但PC1仍无法访问SW3的Vlanif10。
深度排查：

1. 在SW1上执行display port vlan，确认G0/0/24的Egress属性为Tagged（应为Tagged，表示发送带标签帧）；
2. 在SW3上执行display port vlan，确认G0/0/1的Ingress属性为Tagged（应为Tagged，表示接收带标签帧）；
3. 若SW3的Ingress为Untagged，说明SW3端口被误配为access模式，需重新执行port link-type trunk。

最隐蔽的陷阱是两端native VLAN不一致。例如SW1的G0/0/24 native VLAN=10，而SW3的G0/0/1 native VLAN=1，则SW1发出的VLAN 10无标签帧，被SW3当作VLAN 1处理，永远进不了VLAN 10。解决方案：两端统一执行port trunk pvid vlan 10。

5.3 “PC获取不到IP地址”：DHCP中继的缺席与救赎

现象：PC1配置为DHCP，但始终获取不到IP，ipconfig显示169.254.x.x。
原因：DHCP Discover包是广播帧，VLAN天然隔离广播域。PC1在VLAN 10发出的DHCP请求，无法穿越trunk到达VLAN 10的DHCP服务器（假设服务器在SW3上）。

解决路径有二：

• 方案A（推荐，适合实验）：在PC上手动配置静态IP（如192.168.10.10），绕过DHCP，聚焦VLAN验证；
• 方案B（生产必备）：在SW3上配置DHCP中继：

  [SW3] dhcp enable [SW3] interface Vlanif 10 [SW3-Vlanif10] dhcp select relay [SW3-Vlanif10] dhcp relay server-ip 192.168.100.100 # DHCP服务器IP [SW3-Vlanif10] quit

  此时SW3会将VLAN 10内的DHCP请求，以单播形式转发给指定服务器，再将响应单播回PC。

5.4 “eNSP卡死或设备启动失败”：资源超限的温柔警告

现象：添加第3台S5700后，eNSP界面卡顿，设备状态灯长时间黄色，日志显示“Insufficient memory”。
本质：eNSP是Windows桌面应用，其虚拟化基于QEMU，内存分配固定。默认单设备内存为512MB，3台S5700+4台PC需至少2GB内存。

急救措施：

1. 关闭eNSP，右键快捷方式→“属性→兼容性→更改高DPI设置→勾选‘替代高DPI缩放行为’”，避免UI渲染卡顿；
2. 在eNSP中，点击“工具→选项→设备→内存”，将每台S5700内存从512MB调至256MB（够用），PC调至128MB；
3. 终极方案：卸载eNSP，改用华为新平台iMaster NCE-Campus@Cloud的在线实验室，完全免安装，但需注册华为云账号。

踩坑总结：我曾因在eNSP中同时运行Wireshark抓包+3台交换机+4台PC，导致笔记本蓝屏。后来固定一套“轻量实验组合”：1台S5700（SW3）+2台PC+1台AR路由器，专攻VLAN+路由综合实验，稳定性100%。记住：仿真平台是工具，不是目的，能验证逻辑，何必追求满配？

6. 实验延伸与能力跃迁：从VLAN配置到网络架构师思维

完成基础VLAN实验只是起点。真正的价值，在于把这次配置升华为可迁移的架构能力。以下是三个自然延伸方向，无需额外设备，仅在eNSP中调整配置即可：

延伸1：VLAN间访问控制（ACL）
在SW3上添加高级ACL，禁止VLAN 10访问VLAN 20的FTP端口（21），但允许HTTP（80）：

[SW3] acl number 3000 [SW3-acl-adv-3000] rule 5 deny tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 destination-port eq 21 [SW3-acl-adv-3000] rule 10 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 destination-port eq 80 [SW3-acl-adv-3000] quit [SW3] interface Vlanif 10 [SW3-Vlanif10] traffic-filter outbound acl 3000 [SW3-Vlanif10] quit

验证：PC1用浏览器访问PC4的网页成功，但FTP客户端连接失败。这让你第一次触摸到“策略即网络”的核心思想。

延伸2：Super VLAN（VLAN聚合）
为解决IP地址浪费问题，将VLAN 10和VLAN 20聚合为一个Super VLAN 100，共享网关192.168.100.1：

[SW3] vlan 100 [SW3-vlan100] supervlan [SW3-vlan100] quit [SW3] vlan 10 [SW3-vlan10] subvlan 10 [SW3-vlan10] quit [SW3] vlan 20 [SW3-vlan20] subvlan 20 [SW3-vlan20] quit [SW3] interface Vlanif 100 [SW3-Vlanif100] ip address 192.168.100.1 24 [SW3-Vlanif100] quit

此时PC1/PC2/PC3/PC4全部使用192.168.100.0/24网段IP，但依然保持VLAN隔离。这是大型园区网节省IP的标配技术。

延伸3：VLAN与MSTP结合防环
在SW1-SW2-SW3构成三角拓扑时，启用MSTP（多生成树协议）防止二层环路：

[SW3] stp region-configuration [SW3-mst-region] region-name Region1 [SW3-mst-region] instance 1 vlan 10 [SW3-mst-region] instance 2 vlan 20 [SW3-mst-region] active region-configuration [SW3-mst-region] quit [SW3] stp mode mstp

执行后，display stp brief会显示不同VLAN的根桥角色，理解“一个VLAN一棵树”的负载分担逻辑。

这些延伸不是炫技，而是把VLAN从“隔离工具”升级为“网络操作系统”的起点。当你能熟练驾驭VLAN+ACL+Super VLAN+