VLAN配置中tag和untag怎么选择

发布时间：2021-07-02 11:41:34 作者：小新
来源：亿速云阅读：8061

# VLAN配置中tag和untag怎么选择

## 引言

在现代网络架构中，虚拟局域网（VLAN）技术是隔离广播域、提升网络性能和安全性的重要手段。而VLAN配置中的**tag**和**untag**模式选择，直接影响数据包的转发逻辑和设备兼容性。本文将深入探讨两者的区别、适用场景及配置建议。

---

## 一、基本概念解析

### 1. VLAN Tag的作用
- **定义**：802.1Q标准定义的4字节标签，包含VLAN ID（12位，范围1-4094）和优先级信息。
- **功能**：标识数据包所属的VLAN，使交换机能够区分不同虚拟网络的流量。

### 2. Tagged与Untagged的区别
| 特性          | Tagged端口                     | Untagged端口                 |
|---------------|-------------------------------|------------------------------|
| 数据包处理    | 保留VLAN Tag                  | 剥离VLAN Tag                 |
| 典型应用      | 交换机间链路、多VLAN设备接入  | 终端设备接入（如PC、打印机） |
| 配置关键词    | `tagged`（华为）/`trunk`（思科） | `untagged`/`access`         |

---

## 二、核心选择原则

### 1. 根据设备类型选择
- **终端设备（Untagged）**  
  非VLAN感知设备（如普通PC）需要接入网络时，端口应配置为untagged。此时交换机会自动为发出的数据包添加PVID（Port VLAN ID），接收时剥离Tag。

- **网络设备（Tagged）**  
  交换机、路由器、支持VLAN的AP等设备间的互联端口需配置为tagged，以传递多个VLAN的流量。例如：
  ```cisco
  interface GigabitEthernet0/1
    switchport mode trunk
    switchport trunk allowed vlan 10,20,30

2. 根据流量类型判断

单VLAN访问：如会议室打印机仅需访问VLAN 10，使用untagged。
多VLAN承载：如IP电话与电脑共用线路时，语音VLAN（tagged）和数据VLAN（untagged）需共存。

三、典型场景分析

场景1：跨交换机VLAN扩展

需求：将VLAN 100跨越三台交换机传输。

配置：

# 交换机间端口配置
port link-type trunk
port trunk allow-pass vlan 100

场景2：混合设备接入

拓扑：IP电话（VLAN 50）下联PC（VLAN 10）。

解决方案：

# 交换机端口配置
vlan 50 tagged
vlan 10 untagged

场景3：虚拟化服务器连接

要求：VM需要接入多个VLAN。
实现：在ESXi主机网卡启用VLAN tagging，交换机端口配置为tagged模式。

四、常见误区与排错

错误1：终端误接tagged端口

现象：PC获取不到IP地址。
排查：检查端口是否误配为tagged模式。

错误2：Native VLAN不匹配

案例：思科交换机间Native VLAN不一致导致VLAN跳跃攻击风险。

修复：统一Native VLAN并禁用DTP：


switchport trunk native vlan 999
switchport nonegotiate

错误3：PVID配置遗漏

华为设备示例：必须显式设置缺省VLAN：
```
port default vlan 10
```

五、最佳实践建议

标准化命名：建立VLAN-ID与用途的映射表（如VLAN 10=办公网）。
最小化权限：按需开放trunk链路的VLAN，避免全通配置：
```
switchport trunk allowed vlan 10,20
```
安全加固：启用端口安全特性，如：
```
port-security max 2
```
文档记录：维护端口-VLAN对应关系表，便于故障定位。

六、延伸思考

1. QinQ技术的应用

当需要跨越运营商网络时，双层Tag（QinQ）可扩展VLAN容量，此时外层Tag由服务提供商添加。

2. 协议兼容性

LLDP可自动协商VLAN配置（如Voice VLAN）。
某些旧设备可能不支持802.1Q，需降级为untagged模式。

结语

正确选择tag/untag模式需要综合考量设备能力、流量特征和安全需求。建议在复杂环境中先通过模拟器（如GNS3）验证配置，再实施到生产网络。随着SDN技术的普及，未来VLAN配置可能更多通过控制器自动化完成，但底层原理仍不可或缺。

网络无小事，配置需谨慎。每一次VLAN的划分，都是对网络逻辑结构的重塑。 “`

注：全文约1150字，采用Markdown语法，包含代码块、表格、层级标题等元素，可直接用于技术文档发布。