企业官网建设流程全解析

1. 基于端口的VLAN配置（Port-Based VLAN）

使用频率：最高（占80%以上场景）

定义：根据交换机的物理端口划分VLAN，每个端口固定归属到某个VLAN。

适用设备：所有支持VLAN的交换机（二层/三层）。

特点：

• 配置简单，易于管理。
• 设备移动时需重新配置端口。

适用场景：设备位置固定且网络结构稳定的环境（如办公室固定工位）。

示例：将交换机的1-8号端口划入VLAN 10，9-16号端口划入VLAN 20

Cisco交换机配置：

Switch>enable# 输入命令后，可能需要输入特权密码（若有设置）Switch# configure terminal # 进入全局配置模式Switch(config)# vlan 10 # 创建VLAN 10Switch(config-vlan)# name Sales # 命名VLAN（可选）Switch(config-vlan)# exitSwitch(config)# vlan 20Switch(config-vlan)# name EngineeringSwitch(config-vlan)# exitSwitch(config)# interface range gig0/1-8 # 进入1-8号端口Switch(config-if-range)# switchport mode access # 设置为接入模式Switch(config-if-range)# switchport access vlan 10 # 绑定到VLAN 10Switch(config-if-range)# exitSwitch(config)# interface range gig0/9-16 # 同理配置9-16号端口Switch(config-if-range)# switchport mode accessSwitch(config-if-range)# switchport access vlan 20

华为交换机配置：

<Huawei>system-view# 从用户视图切换到系统视图（配置模式）[Huawei]vlan batch1020# 批量创建VLAN 10和20[Huawei]interface gigabitethernet0/0/1 to0/0/8# 进入端口1-8的接口范围视图[Huawei-interface-range]port link-type access# 设置为接入模式[Huawei-interface-range]port default vlan10# 绑定到VLAN 10[Huawei-interface-range]quit[Huawei]interface gigabitethernet0/0/9 to0/0/16[Huawei-interface-range]port link-type access[Huawei-interface-range]port default vlan20

验证命令：

Cisco: show vlan brief 华为: display vlan

2. 基于子网的VLAN（Subnet-Based VLAN）

使用频率：次高（需三层交换机支持）

定义：根据设备的IP地址或子网划分VLAN。

适用设备：适用设备：三层交换机（如Cisco 3560、华为S5700）。

特点：

• 基于三层网络信息，适合按部门或业务划分网络。
• 需要交换机支持三层功能。

适用场景：按IP地址段隔离不同部门（如财务部使用192.168.10.0/24，市场部使用192.168.20.0/24）。

示例：子网192.168.10.0/24对应VLAN 10，192.168.20.0/24对应VLAN 20。

Cisco交换机配置

Switch(config)# vlan 10 # 创建VLAN 10（若已存在则直接进入配置模式）Switch(config-vlan)# exitSwitch(config)# interface vlan 10 # 创建VLAN接口Switch(config-if)# ip address 192.168.10.1 255.255.255.0 # 配置VLAN的网关IPSwitch(config-if)# exitSwitch(config)# vlan 20Switch(config-vlan)# exitSwitch(config)# interface vlan 20Switch(config-if)# ip address 192.168.20.1 255.255.255.0Switch(config-if)# exitSwitch(config)# ip routing # 启用三层路由功能

华为交换机配置

[Huawei]vlan batch1020[Huawei]interface vlanif10# 进入VLAN接口[Huawei-Vlanif10]ipaddress192.168.10.124# 配置网关[Huawei-Vlanif10]quit[Huawei]interface vlanif20[Huawei-Vlanif20]ipaddress192.168.20.124[Huawei-Vlanif20]quit[Huawei]iproute-static0.0.0.00.0.0.0192.168.1.1# 配置默认路由（可选）

验证命令

Cisco: show mac-address-table vlan30华为: display mac-vlan

3. 基于策略的VLAN（Policy-Based VLAN）

使用频率：快速增长（尤其重视安全的场景）

定义：结合多种条件（如MAC地址、IP地址、端口、用户身份等）动态划分VLAN。

适用设备：支持RADIUS和802.1X的交换机（如Cisco ISE、华为AC6605）。

特点：

• 灵活性高，安全性强。
• 需要支持高级策略的交换机（如Cisco ISE、802.1X认证）。

适用场景：对安全要求高的环境（如企业内网按角色隔离访问权限）。

示例：通过802.1X认证的用户根据AD组策略动态加入对应VLAN。

Cisco交换机配置

Switch(config)# aaa new-model # 启用AAA（认证、授权、计费）服务，这是进行任何AAA相关配置的前提Switch(config)# radius server RADIUS_SERVER # 创建名为RADIUS_SERVER的RADIUS服务器配置并进入其配置模式Switch(config-radius-server)# address ipv4 10.1.1.100 auth-port 1812 # 指定RADIUS服务器的IPv4地址为10.1.1.100，认证端口使用标准1812端口Switch(config-radius-server)# key MySecretKey # 配置与RADIUS服务器通信的共享密钥为"MySecretKey"，需与RADIUS服务器配置一致Switch(config-radius-server)# exit # 退出RADIUS服务器配置模式，返回全局配置模式Switch(config)# aaa authentication dot1x default group radius # 为802.1X认证配置默认方法：使用RADIUS服务器组进行认证Switch(config)# interface gig0/1 # 进入千兆以太网接口0/1的配置模式Switch(config-if)# switchport mode access # 将接口设置为访问模式（非Trunk），适用于连接终端设备Switch(config-if)# dot1x port-control auto # 启用802.1X认证，并将端口控制模式设为auto（需认证成功后才允许网络访问）Switch(config-if)# authentication event fail retry 3 # 配置认证失败事件的重试次数为3次，超过后用户将被锁定需等待

华为交换机配置;

[Huawei]aaa[Huawei-aaa]authentication-scheme DOT1X[Huawei-aaa-authen-dot1x]authentication-mode radius# 认证模式为RADIUS[Huawei-aaa-authen-dot1x]quit[Huawei-aaa]accounting-scheme DOT1X[Huawei-aaa-accounting-dot1x]accounting-mode radius[Huawei-aaa-accounting-dot1x]quit[Huawei-aaa]quit[Huawei]radius-server template RADIUS[Huawei-radius-RADIUS]radius-server shared-key MySecretKey[Huawei-radius-RADIUS]radius-server authentication10.1.1.1001812# 服务器地址[Huawei-radius-RADIUS]quit[Huawei]interface gigabitethernet0/0/1[Huawei-GigabitEthernet0/0/1]dot1xenable# 启用802.1X[Huawei-GigabitEthernet0/0/1]dot1x authentication-method eap# 认证方式

验证命令

Cisco: show dot1x all 华为: display dot1x

4. 基于MAC地址的VLAN（MAC-Based VLAN）

定义：根据设备的MAC地址动态划分VLAN。

适用设备：所有支持VLAN的交换机（二层/三层）。

特点：

• 设备移动时无需重新配置，自动跟随MAC地址加入对应VLAN。
• 需要维护MAC地址与VLAN的映射表。

适用场景：移动设备较多且位置频繁变动的环境（如会议室、无线终端）。

示例：MAC地址为00:1A:2B:3C:4D:5E的设备动态加入VLAN 30。

Cisco交换机配置

Switch(config)# vlan 30 # 创建VLAN 30Switch(config-vlan)# exit # 退出VLAN配置模式Switch(config)# mac-address-table static 001A.2B3C.4D5E vlan 30 # 绑定MAC到VLANSwitch(config)# interface gig0/1Switch(config-if)# switchport mode dynamic auto # 启用动态VLAN

华为交换机配置

[Huawei]vlan30[Huawei-vlan30]quit[Huawei]mac-vlan mac-address 001A-2B3C-4D5E# 创建MAC-VLAN映射[Huawei]interface gigabitethernet0/0/1#进入设备的接口视图，指定要配置的接口为编号 0/0/1 的千兆以太网接口。[Huawei-GigabitEthernet0/0/1]mac-vlanenable# 启用MAC-VLAN功能[Huawei-GigabitEthernet0/0/1]port hybrid untagged vlan30# 允许VLAN 30通过

验证命令

Cisco: show mac-address-table vlan30华为: display mac-vlan