.jpg)
vlan在linux網(wǎng)絡(luò)架構(gòu)中扮演著網(wǎng)絡(luò)隔離與邏輯劃分的角色，它通過在單塊物理網(wǎng)卡上創(chuàng)建多個(gè)虛擬接口，實(shí)現(xiàn)不同業(yè)務(wù)流量的隔離，提升安全性和管理效率。具體作用包括：1. 實(shí)現(xiàn)網(wǎng)絡(luò)邏輯隔離，減少廣播域；2. 提高安全性，限制未經(jīng)授權(quán)的訪問；3. 優(yōu)化ip地址規(guī)劃，便于故障排查；4. 提升網(wǎng)絡(luò)靈活性和可擴(kuò)展性。
在linux上配置VLAN，核心就是在一塊物理網(wǎng)卡上創(chuàng)建多個(gè)虛擬網(wǎng)絡(luò)接口，每個(gè)接口對(duì)應(yīng)一個(gè)VLAN ID。這能有效隔離不同業(yè)務(wù)流量，提升網(wǎng)絡(luò)管理效率。雖然現(xiàn)在更多人用ip命令集，但vconfig作為老牌工具，依然是理解VLAN工作原理和進(jìn)行快速配置的有效手段。
確保你的系統(tǒng)安裝了vlan包，它包含了vconfig工具。 加載802.1Q內(nèi)核模塊：
sudo modprobe 8021q
創(chuàng)建VLAN接口：假設(shè)物理網(wǎng)卡是eth0，要?jiǎng)?chuàng)建VLAN ID為10的虛擬接口，命令是：
sudo vconfig add eth0 10
這會(huì)創(chuàng)建一個(gè)名為eth0.10的VLAN接口。
配置IP地址：
sudo ip addr add 192.168.10.1/24 dev eth0.10
激活VLAN接口：
sudo ip link set up dev eth0.10
驗(yàn)證VLAN接口狀態(tài)：
ip a show eth0.10 cat /proc/net/vlan/config
如果要?jiǎng)h除VLAN接口：
sudo vconfig rem eth0.10
需要注意的是，以上操作都是臨時(shí)的，系統(tǒng)重啟后會(huì)失效。若要持久化配置，需要編輯網(wǎng)絡(luò)配置文件，例如在debian/ubuntu系統(tǒng)上是/etc/network/interfaces，centos/RHEL上是/etc/sysconfig/network-scripts/ifcfg-eth0.10，或者使用Netplan等現(xiàn)代網(wǎng)絡(luò)配置工具。
VLAN在Linux網(wǎng)絡(luò)架構(gòu)中扮演什么角色？
VLAN，也就是虛擬局域網(wǎng)，它在Linux網(wǎng)絡(luò)架構(gòu)里扮演的角色，在我看來，遠(yuǎn)不止是簡(jiǎn)單的網(wǎng)絡(luò)劃分那么表面。它更像是一種精密的交通管制系統(tǒng)，允許你在同一條物理高速公路上，劃出多條互不干擾的專用車道。
它最直接的價(jià)值在于網(wǎng)絡(luò)隔離。想象一下，一個(gè)服務(wù)器上跑著好幾個(gè)應(yīng)用，每個(gè)應(yīng)用需要不同的網(wǎng)絡(luò)環(huán)境，或者說，你需要把生產(chǎn)環(huán)境和測(cè)試環(huán)境徹底分開。沒有VLAN，你可能得加好幾塊物理網(wǎng)卡，既浪費(fèi)資源又增加了管理復(fù)雜度。有了VLAN，一塊網(wǎng)卡就能搞定，不同VLAN的流量天然隔離，廣播域也縮小了，網(wǎng)絡(luò)效率自然就上去了。
從安全角度講，VLAN也是一道屏障。把敏感服務(wù)放到特定的VLAN里，配合防火墻規(guī)則，能有效限制未經(jīng)授權(quán)的訪問。這對(duì)于構(gòu)建多租戶環(huán)境或者復(fù)雜的企業(yè)網(wǎng)絡(luò)來說，簡(jiǎn)直是基礎(chǔ)中的基礎(chǔ)。我還經(jīng)常用它來優(yōu)化IP地址規(guī)劃。比如，某個(gè)部門的設(shè)備都在VLAN 20里，另一個(gè)部門在VLAN 30。IP地址可以獨(dú)立規(guī)劃，互不沖突，也方便故障排查。它讓網(wǎng)絡(luò)管理從“物理堆疊”走向了“邏輯抽象”，極大地提升了靈活性和可擴(kuò)展性。
vconfig與ip link在VLAN配置上的異同及選擇考量？
提到Linux上的VLAN配置，除了vconfig，就不得不提ip link，這是iproute2工具集里的一部分，現(xiàn)在更被推崇。這兩者都能實(shí)現(xiàn)VLAN的創(chuàng)建和管理，但它們的設(shè)計(jì)哲學(xué)和使用習(xí)慣還是有些差異的。
vconfig是一個(gè)專注于VLAN的獨(dú)立工具。它的命令格式直觀，比如vconfig add eth0 10，一眼就能看出是在eth0上添加VLAN 10。但它的局限性在于，它只管VLAN接口的創(chuàng)建和刪除，后續(xù)的IP地址配置、接口激活等操作，你還得依賴ip addr和ip link set。
ip link則更像是一個(gè)“瑞士軍刀”，它管理所有類型的網(wǎng)絡(luò)接口，包括物理接口、VLAN接口、橋接接口、隧道接口等等。它的語法結(jié)構(gòu)統(tǒng)一，比如創(chuàng)建VLAN接口：
ip link add link eth0 name eth0.10 type vlan id 10
創(chuàng)建后，所有后續(xù)操作，如配置IP、激活接口，也都在ip命令體系內(nèi)完成，比如ip addr add 192.168.10.1/24 dev eth0.10和ip link set eth0.10 up。
我的經(jīng)驗(yàn)是，如果你只是偶爾快速測(cè)試一下VLAN功能，或者在一些老舊系統(tǒng)上，vconfig可能因?yàn)槠浜?jiǎn)潔性而顯得方便。但對(duì)于現(xiàn)代Linux發(fā)行版，特別是需要進(jìn)行復(fù)雜網(wǎng)絡(luò)配置、自動(dòng)化腳本編寫，或者追求統(tǒng)一管理界面的場(chǎng)景，ip link無疑是更優(yōu)的選擇。它提供了更豐富的功能，比如可以配置VLAN的QoS標(biāo)記等，而且它的狀態(tài)管理也更清晰。
從技術(shù)趨勢(shì)看，vconfig正在逐漸被iproute2取代。很多新的網(wǎng)絡(luò)配置工具和自動(dòng)化框架，比如Netplan或者systemd-networkd，底層都是調(diào)用iproute2的命令。所以，掌握ip link的用法，是更具前瞻性的學(xué)習(xí)方向。當(dāng)然，理解vconfig的工作原理，對(duì)理解VLAN在內(nèi)核中的實(shí)現(xiàn)機(jī)制也很有幫助。
VLAN配置中常見的陷阱和調(diào)試技巧？
在配置VLAN的過程中，踩坑是常有的事，畢竟網(wǎng)絡(luò)配置總是牽一發(fā)而動(dòng)全身。我個(gè)人就遇到過不少讓人抓狂的瞬間。
最常見的問題就是802.1Q模塊沒加載。 很多人會(huì)忘記sudo modprobe 8021q這一步。如果模塊沒加載，vconfig命令會(huì)報(bào)錯(cuò)，或者即使命令執(zhí)行了，接口也無法正常工作。這時(shí)候，lsmod | grep 8021q是你的第一步檢查。
VLAN ID不匹配。 這通常發(fā)生在交換機(jī)端口配置和Linux服務(wù)器VLAN ID不一致的時(shí)候。如果交換機(jī)端口是Access模式，并且指定了VLAN 10，那么Linux服務(wù)器上對(duì)應(yīng)的VLAN接口也必須是VLAN 10。如果是Trunk模式，確保允許的VLAN列表包含了你配置的VLAN ID。這需要你同時(shí)檢查服務(wù)器和交換機(jī)的配置。
IP地址或路由問題。 即使VLAN接口起來了，如果IP地址配置錯(cuò)誤（比如子網(wǎng)掩碼不對(duì)），或者沒有正確的路由，流量也走不出去。ip addr show eth0.10和ip route show是排查這類問題的利器。
防火墻規(guī)則。 別忘了Linux自身的防火墻（iptables/nftables）。有時(shí)候VLAN接口的流量被防火墻規(guī)則阻擋了，導(dǎo)致看起來網(wǎng)絡(luò)不通。臨時(shí)禁用防火墻或者檢查相關(guān)規(guī)則，是快速定位問題的方法。
調(diào)試技巧：
- ip a：查看所有接口狀態(tài)，特別是VLAN接口是否UP，是否有IP地址。
- ip r：檢查路由表，確保VLAN接口對(duì)應(yīng)的網(wǎng)段有正確的路由。
- cat /proc/net/vlan/config：這是一個(gè)非常直接的內(nèi)核VLAN配置視圖，能告訴你哪些VLAN接口被創(chuàng)建了，以及它們對(duì)應(yīng)的物理設(shè)備。
- tcpdump -i eth0.10 -nn：直接在VLAN接口上抓包，看看有沒有流量進(jìn)出。如果連VLAN接口上都看不到流量，那問題可能在物理層或交換機(jī)側(cè)。如果能看到流量但無法通信，那可能是IP、路由或防火墻問題。
- dmesg | tail：查看內(nèi)核日志，有時(shí)modprobe失敗或vconfig操作會(huì)有相關(guān)錯(cuò)誤信息。
處理這些問題時(shí)，我通常會(huì)從底層往上排查：先確認(rèn)物理連接，再檢查交換機(jī)VLAN配置，然后是Linux內(nèi)核模塊和VLAN接口狀態(tài)，最后才是IP、路由和防火墻。
.png)
