AI Agent 删了 Trace 怎么办？Harness 防篡改架构设计
2026/10/15 15:14:24
一、应用场景
某小型企业只有一个办公区，所有员工电脑都接在同一台交换机上。起初大家都能正常通信，但随着部门增多，问题逐渐出现：财务部的电脑能直接访问技术部的共享文件夹，广播报文在整个网络中传播，个别员工随意更改 IP 地址就能接入其他部门网络。出于安全和管理的需要，企业希望把不同部门的设备在二层上隔离开来，即使接在同一台交换机上，也不能直接通信。
VLAN（虚拟局域网）正是解决这一问题的技术。它可以把一台物理交换机在逻辑上划分为多个相互隔离的广播域，每个 VLAN 相当于一个独立的二层网络。同一 VLAN 内的设备可以直接通信，不同 VLAN 之间的设备则必须经过三层设备（路由器或三层交换机）才能互通。
本实验模拟该企业办公区，在一台交换机上创建两个 VLAN，把不同部门的 PC 划分到不同 VLAN 中，验证同 VLAN 互通、跨 VLAN 隔离的效果。
二、配置目标
- 理解 VLAN 的概念、作用以及“一个 VLAN 一个广播域”的含义。
- 掌握在华为交换机上创建 VLAN 的方法。
- 掌握 Access 端口的配置方法，理解 Access 端口“只属于一个 VLAN”的特点。
- 完成两台 PC 的 IP 地址配置，并划分到不同 VLAN。
- 验证同一 VLAN 内的 PC 可以互通，不同 VLAN 的 PC 无法直接通信。
- 掌握查看 VLAN 信息、查看接口 VLAN 归属的方法。
- 理解交换机物理接口与 VLANIF 接口的区别，掌握为交换机配置管理 IP 的方法。
三、重要概念说明
3.1 VLAN
VLAN 的全称是 Virtual Local Area Network，中文叫“虚拟局域网”。它通过在以太网帧中插入 VLAN 标签（Tag），把一台物理交换机在逻辑上划分为多个相互隔离的二层网络。每个 VLAN 拥有独立的广播域，VLAN 内的设备可以直接通信，VLAN 之间的设备默认不能直接通信。
华为交换机默认存在一个 VLAN 1，所有接口默认都属于 VLAN 1。在没有配置 VLAN 之前，交换机的所有端口都在同一个广播域中。
3.2 Access 端口
Access 端口是交换机上最常见的端口类型，通常用于连接终端设备（如 PC、服务器、打印机）。Access 端口只属于一个 VLAN，从该端口进入交换机的数据帧会被打上对应 VLAN 的标签，从该端口发出的数据帧则会剥离 VLAN 标签，以普通以太网帧的形式发送给终端设备。
配置 Access 端口的基本命令：
[SW1]interface GigabitEthernet0/0/1[SW1-GigabitEthernet0/0/1]port link-type access[SW1-GigabitEthernet0/0/1]port default vlan103.3 VLANIF 接口
VLANIF 接口是交换机上的三层逻辑接口，用于给 VLAN 配置 IP 地址，实现 VLAN 间的三层通信，或者为交换机提供管理 IP。VLANIF 接口的编号与 VLAN 编号对应，例如 VLANIF 10 对应 VLAN 10。
本实验只涉及用 VLANIF 接口为交换机配置管理 IP，VLAN 间通信将在后续实验中使用路由器或三层交换机实现。
四、实验拓扑
本实验采用一台交换机连接两台 PC 的拓扑，两台 PC 分别属于不同 VLAN。
接口与 IP 地址规划表：
| 设备 | 接口 | IP 地址 | 子网掩码 | VLAN | 对端设备 |
|---|---|---|---|---|---|
| PC1 | 以太网 | 192.168.10.2 | 255.255.255.0 | 10 | SW1 GE0/0/1 |
| PC2 | 以太网 | 192.168.20.2 | 255.255.255.0 | 20 | SW1 GE0/0/2 |
| SW1 | GE0/0/1 | — | — | 10 | PC1 |
| SW1 | GE0/0/2 | — | — | 20 | PC2 |
注意：PC 的默认网关暂时不需要配置，因为本实验只验证二层隔离效果，不涉及跨 VLAN 通信。
五、实验步骤
5.1 配置 PC 的 IP 地址
双击 PC1，进入“基础配置”选项卡：
| 配置项 | 值 |
|---|---|
| IPv4 地址 | 192.168.10.2 |
| 子网掩码 | 255.255.255.0 |
双击 PC2，进入“基础配置”选项卡：
| 配置项 | 值 |
|---|---|
| IPv4 地址 | 192.168.20.2 |
| 子网掩码 | 255.255.255.0 |
配置完成后，分别在两台 PC 的命令行中使用ipconfig确认。
注意：两台 PC 的 IP 地址处于不同网段，这是为了直观体现“不同 VLAN 属于不同二层网络”的特点。即使把两台 PC 配成同一网段，只要它们属于不同 VLAN，也无法直接通信。
5.2 创建 VLAN
双击 SW1，进入命令行，执行以下配置：
<Huawei>system-view[Huawei]sysname SW1[SW1]vlan10[SW1-vlan10]description Finance[SW1-vlan10]quit[SW1]vlan20[SW1-vlan20]description Technology[SW1-vlan20]quit配置说明：
| 命令 | 作用 |
|---|---|
vlan 10 | 创建 VLAN 10，并进入 VLAN 视图 |
description Finance | 为 VLAN 添加描述，便于识别，可选 |
quit | 退出 VLAN 视图 |
创建完成后，查看 VLAN 信息：
[SW1]display vlan输出中可以看到 VLAN 1、VLAN 10、VLAN 20 三个 VLAN。VLAN 1 是默认存在的，VLAN 10 和 VLAN 20 是刚创建的，此时还没有任何接口加入。
5.3 配置 Access 端口
将 GE0/0/1 划入 VLAN 10，将 GE0/0/2 划入 VLAN 20：
[SW1]interface GigabitEthernet0/0/1[SW1-GigabitEthernet0/0/1]port link-type access[SW1-GigabitEthernet0/0/1]port default vlan10[SW1-GigabitEthernet0/0/1]quit[SW1]interface GigabitEthernet0/0/2[SW1-GigabitEthernet0/0/2]port link-type access[SW1-GigabitEthernet0/0/2]port default vlan20[SW1-GigabitEthernet0/0/2]quit配置完成后，再次查看 VLAN 信息：
[SW1]display vlan此时可以看到 VLAN 10 中包含 GE0/0/1，VLAN 20 中包含 GE0/0/2。
也可以查看某个接口的 VLAN 归属：
[SW1]display port vlan输出中会列出每个接口的链路类型、默认 VLAN 和允许通过的 VLAN。
5.4 验证同 VLAN 互通与跨 VLAN 隔离
- 验证跨 VLAN 隔离
在 PC1 上 ping PC2：
PC1>ping192.168.20.2应该无法 ping 通。这是因为 PC1 属于 VLAN 10，PC2 属于 VLAN 20，二者处于不同的广播域，二层无法直接通信。
- 验证同 VLAN 互通
为了验证同 VLAN 内可以互通，可以临时将 PC2 的网线从 GE0/0/2 改接到 GE0/0/1 所在 VLAN 的另一个空闲端口（如果交换机有多个端口），或者把 GE0/0/2 的配置改为 VLAN 10：
[SW1]interface GigabitEthernet0/0/2[SW1-GigabitEthernet0/0/2]port default vlan10[SW1-GigabitEthernet0/0/2]quit此时再把 PC2 的 IP 改为 192.168.10.3/24，然后在 PC1 上 ping PC2：
PC1>ping192.168.10.3应该能够 ping 通。验证完成后，把 GE0/0/2 改回 VLAN 20，PC2 的 IP 改回 192.168.20.2。
5.5 查看 MAC 地址表
在 SW1 上执行：
[SW1]display mac-address可以看到 PC1 和 PC2 的 MAC 地址分别学习在 VLAN 10 和 VLAN 20 中。MAC 地址表中的 VLAN 字段直观体现了“不同 VLAN 属于不同广播域”这一特点。
5.6 扩展任务：为交换机配置管理 IP
交换机的物理接口工作在二层，不能直接配置 IP 地址。如果要远程管理交换机，需要创建 VLANIF 接口并配置 IP 地址。
假设使用 VLAN 10 作为管理 VLAN，配置如下：
[SW1]interface Vlanif10[SW1-Vlanif10]ipaddress192.168.10.124[SW1-Vlanif10]quit此时，PC1 的网关可以设置为 192.168.10.1，然后从 PC1 ping 交换机的管理地址：
PC1>ping192.168.10.1应该能够 ping 通。这说明交换机通过 VLANIF 10 接口拥有了三层地址，可以参与 IP 通信。
说明：VLANIF 接口要处于 up 状态，VLAN 内至少需要有一个物理接口处于 up。本实验中 GE0/0/1 属于 VLAN 10 且已连接 PC1，因此 VLANIF 10 状态为 up。
5.7 保存配置
在 SW1 上执行保存命令：
<SW1>save按提示输入y确认。
六、思考
- VLAN 的作用是什么？为什么需要 VLAN？
- Access 端口和 Trunk 端口有什么区别？本实验中为什么使用 Access 端口？
- 同一 VLAN 内的 PC 可以互通，不同 VLAN 的 PC 不能互通。这个“不能互通”是二层隔离还是三层隔离？
- 如果两台 PC 属于不同 VLAN，但 IP 地址在同一网段，它们能 ping 通吗？为什么？
- 交换机的物理接口为什么不能直接配置 IP 地址？VLANIF 接口的作用是什么？
- 在 SW1 上执行
display vlan，观察 VLAN 10 和 VLAN 20 中包含哪些接口。如果某个接口没有加入任何 VLAN，它默认属于哪个 VLAN？ - 如果删除 VLAN 10，原本属于 VLAN 10 的接口会怎样？
本实验是 VLAN 部分的入门实验，重点在于理解“一个 VLAN 一个广播域”和“Access 端口只属于一个 VLAN”这两个核心概念。建议在完成基本验证后，尝试修改 PC 的 IP 地址或 VLAN 归属，观察通信状态的变化，加深对二层隔离的理解。扩展任务中的交换机管理 IP 配置，也为后续远程登录交换机的实验做好了准备。