MUX-vlan

理论环节

1. 定义与核心作用

Principal VLAN（主VLAN） 是 MUX VLAN（Multiplex VLAN）架构的核心组件，充当公共资源的访问枢纽，实现以下核心功能：

资源共享：允许所有从VLAN（包括团体VLAN和隔离VLAN）访问主VLAN内的资源（如服务器、存储、打印机）。
流量控制：作为通信的中转点，集中管理从VLAN与公共资源之间的数据流。
安全隔离：默认禁止主VLAN主动访问从VLAN，防止公共资源对用户侧发起潜在攻击。

2. 网络架构中的角色

组件	角色描述
主VLAN	连接公共资源，提供统一的访问入口。
团体VLAN	同一部门或用户组，内部可互通，并允许访问主VLAN。
隔离VLAN	用户间完全隔离，仅允许访问主VLAN（如访客网络）。

3. 工作原理

流量规则：
- 从VLAN → 主VLAN：允许（如用户访问服务器）。
- 主VLAN → 从VLAN：默认禁止（需通过ACL或防火墙放行）。
- 团体VLAN内部：允许互通（如部门内协作）。
- 隔离VLAN内部：完全隔离（如酒店客房用户间无法互访）。

下为拓扑图展示

4. 配置示例（华为交换机）

复制代码

# 创建VLAN并定义主从关系
system-view
vlan batch 10 20 30
vlan 40
mux-vlan
subordinate group 10 20
subordinate separate 30
# 配置主VLAN端口（连接服务器）
interface GigabitEthernet0/0/1
port link-type access
port default vlan 100
port mux-vlan enable
# 两交换机互联Trunk配置
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 10 20 30 40

注：所有的交换机都需要配置定义关系，主，隔离，互通都需要写入对应的端口及vlan ID

5. 典型应用场景

企业网络
- 主VLAN：部署内部ERP系统。
- 团体VLAN：财务部（VLAN 10 20），允许部门内协作。
- 隔离VLAN：外包人员（VLAN 30），仅可访问ERP，不可互访。
教育网络
- 主VLAN：连接课程管理平台。
- 团体VLAN：教师组（VLAN 10 20），共享教学资源。
- 隔离VLAN：学生终端（VLAN 30），仅可访问平台。

6. 设计与部署注意事项

端口模式 ：

主VLAN端口必须为 Access模式，Hybrid/Trunk模式可能导致功能异常。

IP规划 ：

主VLAN与从VLAN可跨网段，需在三层网关配置互通路由：

复制代码

interface Vlanif100
 ip address 192.168.100.1 24
interface Vlanif200
 ip address 192.168.200.1 24

安全增强 ：

若需主VLAN主动访问从VLAN，需配置ACL放行：
复制代码
```
acl 3000
 rule permit ip source 192.168.100.0 0.0.0.255 destination any
```

7. 验证与故障排查

验证命令：

复制代码

display mux-vlan          # 查看主VLAN绑定关系
display vlan 100          # 检查VLAN状态及端口成员

连通性测试：
- 团体VLAN用户：可Ping通同VLAN成员及主VLAN服务器。
- 隔离VLAN用户：仅可Ping通主VLAN，同VLAN用户间不通。
- PC3 ping主vlan服务器10.10.1.24能够通信，ping10.10.1.4不能通信，ping公司内部人员不能进行通信

这是PC3，ping服务器和外部公司B的测试结果

这是PC3，ping公司内部的测试结果

8. 与其他技术的对比

技术	适用场景	隔离粒度
MUX VLAN	共享资源+用户组/用户级隔离	基于VLAN的二层隔离
PVLAN	Cisco环境下的类似功能	端口级隔离
ACL	跨三层网络的细粒度控制	IP/端口级控制

注：：

主VLAN能否绑定多个团体或隔离VLAN？

是。支持绑定多个团体/隔离VLAN：

主VLAN是否支持动态VLAN分配？

否。MUX VLAN需静态配置端口VLAN，不支持802.1x等动态分配。

主VLAN与从VLAN是否需同一子网？

否。可通过三层路由实现跨网段通信，需配置网关互通。