简介：一份针对华为S5700三层交换机VLAN配置的实操整理文档，面向网络工程师、运维人员及数通初学者，可解决VLAN规划、管理IP配置、Web登录认证及跨网段通信等常见问题。包体为单个PDF文件，大小1.43MB，内容精炼，适合现场查阅与离线学习；目前已有696人学习下载。文档从Console口连接讲起，给出缺省通信参数和初始密码配置流程，并逐步演示system-view、interface、port link-type access、port default vlan等核心命令，覆盖从GE0/0/1到GE0/0/24的逐端口VLAN划分示例。同时，文档还说明了vlanif1地址、指向路由器的静态路由，以及路由器NAT和回程路由的配置思路，并附带tp-link路由器、普通交换机和PC端组成的典型拓扑。读者可按步骤完成从交换机管理到VLAN间路由的完整配置，也能了解AAA本地用户、权限级别及HTTP/FTP服务使能等管理面设置，适合中小型企业网络改造与实验环境搭建参考。
1. 这是一台让无数人把display vlan背下来的交换机：从S5700学起
接到一台华为S5700，最常听到的新手诉求是「帮我划个VLAN」，但真正上了设备才发现，问题从来不是「敲哪条命令」，而是「这台交换机的转发行为到底是什么样」。S5700默认所有端口都在VLAN 1里，所有端口PVID都是1，这意味着你直接插上就能互通；可一旦要隔离部门、划分管理网段，绝大部分翻车都不是命令记不住，而是没搞懂华为的接口类型和PVID/VID的联动关系。这篇笔记把S5700上VLAN配置从登录到排错拆开讲，覆盖access、trunk、hybrid三种接口选型，以及vlan间通信时三层接口怎么配。适合刚接触华为交换机、手头正好有一台S5700，或正在准备华为认证实操部分的工程师。文中所有命令都在S5700的V200R0xx版本上验证过，老版本V100R003的细节差异我会单独标出来。
2. 华为VLAN的底层逻辑：先看懂转发规则再动手，不然就是靠玄学调网络
2.1 为什么同样一条port link-type trunk，有人通有人不通
华为S5700的VLAN转发和思科最大的区别在于**「标签的进出规则」由接口类型和PVID共同决定**，而不是单纯看「允许列表」。access口只允许一个VLAN通过，入方向打上PVID标签，出方向剥掉标签，这是最没有歧义的；trunk口允许显式放行的多个VLAN通过，入方向如果报文不带标签则打上PVID，带标签则保留原样，出方向只有与PVID相同的VLAN会剥掉标签，其余保持带标签转发。
这里就是第一个血泪点：很多人配trunk只记得port trunk allow-pass vlan 10 20，却忘了检查port trunk pvid vlan的默认值。S5700的trunk口PVID默认是1，如果对端交换机发来的报文是带VLAN 10标签的，那没问题；但如果你从本端接入了一台不带标签的PC，PC的报文在入方向被强制打上VLAN 1的标签，而trunk放行了10和20却没放行1，这个报文直接被丢。现象就是「PC网卡显示已连接，ping网关不通」，抓包还看不见任何丢弃。
# 查看接口当前的VLAN相关配置，这是排错第一步 display port vlan active # 输出示例解读： # Port Link Type PVID VLAN Switched # GE0/0/1 trunk 1 10 20输出里PVID那一列就是当前接口的默认VLAN。如果PC接在GE0/0/1上且PC没配VLAN标签，就必须把PVID改成PC所在VLAN，比如port trunk pvid vlan 10。很多人忽略的一点是：PVID只影响入方向和出方向的标签处理，不影响allow-pass列表，两者是独立配置项，任何一边漏了都不通。
2.2 hybrid接口才是S5700的默认主场，别急着改trunk
S5700的接口默认类型是hybrid，不是access也不是trunk。hybrid接口的规则是：入方向不带标签的报文打上PVID，带标签的按标签走；出方向则看port hybrid tagged vlan和port hybrid untagged vlan两个列表，tagged列表里的VLAN带着标签发出去，untagged列表里的VLAN剥掉标签发出去。
这套机制比trunk灵活，但也更容易把人绕晕。常见的用法是：交换机连接路由器的口，用hybrid配port hybrid untagged vlan 10，让路由器收到的报文不带标签；交换机连接另一台交换机的口，用hybrid配port hybrid tagged vlan 10 20，保证VLAN信息跨设备传递。
# 把GE0/0/1配成hybrid并放行VLAN 10（不带标签）和VLAN 20（带标签） interface GigabitEthernet0/0/1 port link-type hybrid port hybrid pvid vlan 10 port hybrid untagged vlan 10 port hybrid tagged vlan 20逻辑说明：port hybrid pvid vlan 10决定入方向无标签报文打上10；port hybrid untagged vlan 10决定VLAN 10的报文出方向剥标签，这一条对连接PC的口是必需的，因为PC不认802.1Q标签；port hybrid tagged vlan 20则让VLAN 20的报文带着标签转发到对端。参数说明：hybrid的tagged和untagged列表可以重叠也可以独立，不能同时把同一个VLAN既加tagged又加untagged，配置时会报错。
2.3 配置VLAN的完整操作序列：建VLAN、分端口、查状态
我一般习惯的配置顺序是：先创建VLAN，再配接口，最后统一验证。S5700支持批量创建VLAN，也支持批量把端口加入VLAN，这两个操作能省不少时间。
# 批量创建VLAN 10到VLAN 20以及VLAN 30 vlan batch 10 to 20 30 # 把GE0/0/1到GE0/0/5批量设为access并加入VLAN 10 port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/5 port link-type access port default vlan 10 # 查看VLAN下所有端口，确认配置是否立即生效 display vlan 10逻辑说明：vlan batch是华为特有的批量创建语法，10 to 20会创建10到20共11个VLAN，30单独追加。批量配端口用port-group临时组，命令在组内对所有成员逐条执行，任何一条失败会中断并提示具体端口，不会回滚已成功的部分。参数说明：port default vlan等价于把access口的PVID和允许VLAN都设为10，不需要再单独配port trunk allow-pass。
配置完成后，display vlan 10的输出里能看到VLAN 10的接口列表、接口类型和PVID。如果列表为空，说明端口没加进去；如果显示端口但Link Type是hybrid且没有untagged/tagged配置，说明这个口实际还不通。
3. 单交换机VLAN隔离怎么做：一份可直接抄的配置模板
3.1 场景建模：一台S5700，三个部门，两个网段
最常见的需求是：一台S5700-24TP-PWR-SI，接三个部门。财务部20台PC要隔离，不允许访问研发部；研发部10台PC要能上互联网；运维部需要同时能管理所有VLAN。这个场景下VLAN只做二层隔离，三层转发交给上层防火墙或路由器，S5700不开启VLANIF。
先给PC侧接口划分access口，再给上联口配trunk。上联口只放行需要的VLAN，不要偷懒直接allow-pass vlan all——这会让广播域扩大到对端设备，排错时你会疯掉。
# 创建三个部门VLAN vlan batch 10 to 12 # 财务部：GE0/0/1 - GE0/0/8 划入VLAN 10 port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/8 port link-type access port default vlan 10 # 研发部：GE0/0/9 - GE0/0/16 划入VLAN 11 port-group group-member GigabitEthernet0/0/9 to GigabitEthernet0/0/16 port link-type access port default vlan 11 # 运维部：GE0/0/17 - GE0/0/24 划入VLAN 12 port-group group-member GigabitEthernet0/0/17 to GigabitEthernet0/0/24 port link-type access port default vlan 12 # 上联口GE0/0/25：trunk放行VLAN 10、11、12，PVID保持默认1 interface GigabitEthernet0/0/25 port link-type trunk port trunk allow-pass vlan 10 to 12配置完成后，三个部门二层完全隔离。ping不通是正常的，因为VLAN 10和VLAN 11之间没有三层接口。注意上联口的PVID保持默认1，如果上联设备发送不带标签的报文，本端会给它打上VLAN 1的标签，而这个VLAN在上联口没有放行，报文会被丢弃。如果上层路由器确实需要接收不带标签的报文，需要把上联口PVID改成对应VLAN，或者在上联口放行VLAN 1。
3.2 VLAN 1为什么是坑：默认VLAN的隐藏规则
所有S5700端口默认PVID都是1，VLAN 1默认存在且不可删除。这意味着如果你在上联口执行了port trunk allow-pass vlan 10 to 12而没有包含VLAN 1，那么交换机自己发出去的协议报文——比如STP的BPDU、LLDP的报文——依然会以VLAN 1的标签形式出现在trunk链路上。对端交换机如果trunk口没放行VLAN 1，这些协议报文会在对端被丢弃，但本端并不报错。
这就导致一个经典问题：两台S5700用trunk互联，业务VLAN完全正常，但spanning-tree反复震荡，日志里全是拓扑变更通知。原因就是对端trunk口没放行VLAN 1，STP报文到达不了对端，本端认为自己成了根桥，持续发送BPDU又收不到回应，表现为CPU升高和MAC地址表抖动。
# 查看STP状态是否异常 display stp brief # 如果发现接口角色频繁变化，检查两端的trunk放行列表是否一致 display port vlan active解决方式是两端trunk放行一致。最稳妥的做法是互联口两端都保留VLAN 1在allow-pass里，或者统一把PVID改成一个专门的管理VLAN并放行它。不推荐用stp disable来掩盖问题，S5700的STP默认开启，环路风险在接入层一直存在。
3.3 验证隔离效果：一个容易忽略的细节
配置完成后，不要只ping一次就收工。VLAN隔离的验证要覆盖三个层面：同VLAN互通、跨VLAN不通、上联口能同时收到多个VLAN的流量。
# 在PC1（VLAN 10）上ping同VLAN的PC2，确认二层互通 # 在PC1上ping VLAN 11的PC3，预期不通；如果通了，说明接口配置有误，多半是端口加错了VLAN或hybrid untagged列表配错 # 在交换机上查看VLAN 10和VLAN 11的MAC地址表，确认PC的MAC分别落在正确的VLAN下 display mac-address vlan 10 display mac-address vlan 11MAC地址表的输出里每个MAC地址都带VLAN和接口信息。如果VLAN 10下面出现了VLAN 11的PC MAC，基本可以断定端口配置串了。还有一种隐蔽情况：PC自带的VLAN标签和交换机PVID不一致。比如PC侧管理员手动给网卡配了VLAN ID 10，交换机access口PVID也是10，但因为802.1Q会在原报文外层再打一层标签，实际变成VLAN 10里面再套一层VLAN 10，表现是能通但速度异常，抓包看到两层标签。这属于终端侧配置问题，交换机的display vlan看不出任何异常。
4. 跨交换机VLAN透传：trunk链路配置与四个典型避坑点
4.1 两台S5700做链路聚合加VLAN透传：配置顺序决定成败
当VLAN需要跨两台交换机时，常见做法是交换机之间用两条GE口做链路聚合（Eth-Trunk），然后在聚合口上配置trunk。这里的顺序坑是：链路聚合必须在配置VLAN放行之前完成，如果先把两个物理口配成trunk并放行了VLAN，再把这俩口加入Eth-Trunk，原有的trunk配置会失效，需要重新在Eth-Trunk口上配置一遍。
# 在SW1上创建Eth-Trunk 1并加入两个物理口 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 to 12 interface GigabitEthernet0/0/25 eth-trunk 1 interface GigabitEthernet0/0/26 eth-trunk 1 # SW2做完全相同的配置 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 to 12 interface GigabitEthernet0/0/25 eth-trunk 1 interface GigabitEthernet0/0/26 eth-trunk 1逻辑说明：物理口加入Eth-Trunk后，物理口上的VLAN配置全部失效，所有转发行为由Eth-Trunk口接管。eth-trunk 1是绑定命令，必须在接口视图下执行。参数说明：Eth-Trunk 1的编号两端可以不同，但两端物理口的速率、双工模式、类型必须一致，否则链路聚合协商失败，端口会变成DOWN状态。
有一个值得注意的细节：S5700部分版本在把物理口加入Eth-Trunk时不检查物理口是否已有配置，而是直接覆盖。如果你之前配了port link-type access和port default vlan 10，加入Eth-Trunk后这些配置不会报错，但也不会迁移到Eth-Trunk口上，容易造成误以为配置生效的错觉。排错时display eth-trunk 1能看到成员口状态，如果成员口是UP但Eth-Trunk逻辑口没有流量，优先检查Eth-Trunk口上的VLAN放行列表。
4.2 避坑一：trunk PVID不一致导致的不通
现象：两台S5700用trunk互联，VLAN 10的业务PC互通正常，VLAN 20的业务PC时通时不通。
原因：SW1的trunk口PVID被改成20，SW2的trunk口PVID保持默认1。当SW1侧接入不带标签的报文时，SW1给它打上VLAN 20标签发给SW2；SW2收到VLAN 20的报文后，因为出方向PVID是1，VLAN 20的报文不会被剥标签，如果对端设备不支持802.1Q标签，报文被丢弃。但SW2主动发给SW1的VLAN 20报文，到达SW1时因为SW1的PVID是20，出方向剥掉标签变成无标签报文，对端设备反而能收到。结果就是单向通。
解决：两端trunk口PVID必须一致，或者统一只靠allow-pass放行，PVID保持默认1。我习惯的做法是互联口PVID全部保持默认1，不参与业务VLAN，这样STP、LLDP等协议报文走VLAN 1透传，业务流量按标签转发，逻辑最清晰。
4.3 避坑二：hybrid untagged列表漏配导致PC收不到广播
现象：跨交换机后，PC能ping通网关，但无法获取DHCP地址。
原因：DHCP的 discover 报文是广播，PC发出无标签报文，接入交换机打上PVID标签，trunk透传到对端交换机，对端交换机在目标VLAN内广播。但连接DHCP服务器的接口如果是hybrid且只配了port hybrid tagged vlan 10，报文带着标签到了服务器网卡——服务器网卡不处理带标签的报文，直接丢弃。DHCP服务器看得到端口有流量，但应用层收不到请求。
解决：连接服务器、PC等终端设备的接口，无论用access还是hybrid，都必须把业务VLAN加入untagged列表，或者干脆用access口。display port vlan active能看到每个接口untagged和tagged的VLAN列表，一眼就能判断问题。
4.4 避坑三：allow-pass vlan all 的后遗症
现象：两台交换机trunk互联后，整个网络广播风暴，CPU占用100%。
原因：有人为了方便执行了port trunk allow-pass vlan all，这个命令会把交换机上所有VLAN——包括后来新建的VLAN——都在trunk口放行。如果对端交换机存在环路，广播报文会通过这个trunk口在所有VLAN间泛滥。S5700的CPU保护机制可能没来得及生效，设备直接假死。这不算S5700的缺陷，任何交换机都不应该无脑放行所有VLAN。
解决：先把trunk口放行列表收敛到业务VLAN。如果需要临时排查环路，不要用放行全部VLAN的方式；应该用display mac-address查看MAC漂移，或者查看接口的广播流量计数。
# 查看接口的入方向广播报文计数 display interface GigabitEthernet0/0/25 # 查看MAC地址漂移记录 display mac-address flappingMAC漂移记录能直接告诉你哪个接口在抢同一个MAC地址，顺着接口找到环路物理位置。收敛trunk放行列表的方法是先undo port trunk allow-pass vlan all，再重新放行指定VLAN。
4.5 避坑四：修改PVID导致trunk口瞬间断流
现象：在对端交换机的trunk口执行port trunk pvid vlan 20的瞬间，业务全部中断，几秒后又恢复。
原因：PVID的变更会导致该接口上所有无标签报文突然从VLAN 1切换到VLAN 20。如果对端设备恰好是用无标签方式发送控制报文，这些报文会在PVID变更的瞬间被打上错误的标签，控制协议中断。恢复是因为协议重新协商完成。这个问题在S5700上不是bug，而是所有支持PVID修改的交换机的共性行为。
解决：尽量不要在业务高峰期修改互联口PVID。如果必须修改，先在对端把接口shutdown，修改完成后再undo shutdown，避免协议震荡。注意：shutdown会中断所有流量，这个操作需要提前和业务方确认。
5. VLAN间通信：开启VLANIF，S5700从二层交换机变成三层交换机
5.1 什么时候用VLANIF，什么时候不用
S5700的V200R0xx版本大部分型号支持VLANIF接口，也就是常说的三层VLAN接口。同一台交换机上，要打通VLAN 10、VLAN 11、VLAN 12三个网段，直接在交换机上配VLANIF，每个VLANIF分配一个IP地址作为网关，PC的网关指向VLANIF地址即可。
但有几个前提：VLANIF接口是逻辑接口，只要VLAN存在就能UP，不依赖任何物理端口；但VLANIF要真正转发流量，必须保证VLAN内有至少一个物理接口是UP的。如果VLAN 10的物理端口全部shutdown，VLANIF 10会显示DOWN，网关不可达。还有一些S5700的早期版本，比如S5700-24TP-SI-AC，只有部分型号支持三层转发，SI后缀的型号VLANIF接口数量受限，这个要在选型时确认，不是配置能解决的。
# 开启VLAN 10、11、12的三层接口并配置IP interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif11 ip address 192.168.11.254 255.255.255.0 interface Vlanif12 ip address 192.168.12.254 255.255.255.0逻辑说明：VLANIF的IP就是PC的网关。PC在VLAN 10里配置网关192.168.10.254，访问VLAN 11的PC时，流量先到VLANIF10，交换机查路由表发现VLANIF11在本地，直接把报文转发到VLAN 11。参数说明：IP地址位数的规划要留出扩展余量，常见做法是C类地址第三个八位段对应VLAN号，比如VLAN 10用192.168.10.0/24，VLAN 20用192.168.20.0/24，这样排错时看IP就知道VLAN归属。
5.2 跨VLAN通信的静态路由和默认网关配置
如果S5700只接了PC，VLANIF配好就能通信；但如果S5700要访问外部网络——比如VLAN 10要上互联网——就需要在S5700上写默认路由指向出口防火墙或路由器。
# 配置默认路由指向出口网关192.168.1.254 ip route-static 0.0.0.0 0.0.0.0 192.168.1.254 # 查看路由表确认生效 display ip routing-table默认路由的下一跳地址必须和S5700的某个VLANIF在同一网段。比如出口防火墙接在VLAN 1里，S5700的VLANIF1地址是192.168.1.1，防火墙是192.168.1.254，那默认路由的下一跳就是192.168.1.254。如果这里配错网段，路由表里会出现 inactive 状态，流量不会转发。还有一种情况是出口设备有多个网段，S5700需要写明细路由而不是默认路由，这时用ip route-static 10.0.0.0 8 192.168.1.254的方式逐条加。
5.3 三层转发时最容易忽视的ARP问题
VLANIF配好、路由表也对了，但PC ping不通网关，问题多半在ARP。S5700的VLANIF接口默认开启ARP代理吗？实际上默认不开启。当PC发送ARP请求询问网关MAC时，VLANIF会正常回应，这是没问题的。问题出在PC的ARP表项老化——如果PC从VLAN 10的网段切换到了VLAN 11的网段，但PC的ARP缓存还保留着旧网关的MAC，就会出现IP通、MAC不对的诡异现象。
# 查看ARP表项，确认网关IP对应的MAC是VLANIF接口的MAC display arp如果ARP表里网关IP的MAC地址不对，先清掉PC的ARP缓存，再重新ping。S5700侧也可以手动清除老化异常的ARP表项，命令是undo arp 192.168.10.254。注意：VLANIF接口的MAC是系统随机生成的，不是某个物理口的MAC，不要期望在交换机物理接口上找到这个MAC。
5.4 三层交换机上的环路风险：VLANIF的意外转发
提前说明一个容易翻车的点：如果交换机同时启用了VLANIF和STP，而VLAN内出现二层环路，广播风暴会通过VLANIF转发到三层。表现为PC端网络时通时断，display ip routing-table 正常，display interface 的广播计数持续上涨。
# 查看VLAN内的STP状态，确认是否有接口被阻塞 display stp brief # 查看CPU的广播报文占用率 display cpu-usageSTP能解决大多数环路，但如果有人在某个端口上执行了stp disable或undo stp enable，环路的广播就会绕过STP保护。VLANIF不会感知二层环路，它只会把广播报文在VLAN内持续泛洪。遇到VLANIF广播风暴，优先检查是否有端口关闭了STP，其次是检查物理连线是否形成了物理环路。
6. 验证配置的硬核技巧：从一条ping到一份可交付的网络拓扑笔记
6.1 用 display 前缀全面体检设备，而不是只看 vlan
配置完成不等于交付完成。我习惯在收尾时依次执行一组只读命令，把设备状态打出来保存到文本，作为交付物的一部分。这组命令能覆盖VLAN配置、接口状态、路由表、ARP表、STP状态五个维度，日后出问题也有据可查。
# 依次执行以下命令，并保存输出 display current-configuration display vlan display port vlan active display ip interface brief display ip routing-table display mac-address display stp brief display logbuffer这些命令里，display logbuffer容易被漏掉，但它往往能直接告诉你这台设备最近发生了什么——接口updown、STP变更、配置被修改。保存输出时不建议用截图，建议直接在本地用文本记录，方便diff对比。我习惯每次变更前保存一份，变更后再保存一份，两个文件对比就能看出哪里被改了。
6.2 组播流量和广播流量的验证方法：在交换机上看计数
有时候ping能通，但业务应用卡顿，问题出在广播或组播报文的处理上。S5700的接口计数里虽然不像部分厂商那样细分广播和组播，但通过display interface能看出端倪。入方向的Broadcast字段持续上涨说明VLAN内有广播风暴；Input error持续增长说明链路质量有问题或双工不匹配。双工不匹配在S5700上很常见——对端设备手工强制了100M全双工，而S5700这边是自协商，结果是能通但丢包严重。
# 检查接口的双工模式和速率协商结果 display interface GigabitEthernet0/0/1 # 关注输出中的 Speed 和 Duplex 字段，确认实际协商值而非配置值 interface GigabitEthernet0/0/1 undo negotiation auto speed 100 duplex full强制双工和速率必须两端都设置，只改一端会马上出问题。这属于物理层排错，但经常被误认为是VLAN配置错误。如果你的S5700接到一个年代较久远的设备上，对方不支持自协商，就会出现这种「VLAN配置看起来全对，但就是慢」的情况。
6.3 一个我踩过的坑：把display vlan的输出当成了接口放行列表的最终依据
早年维护一批S5700时，看到display vlan里某个VLAN下有接口，就认为该接口放行了这个VLAN，结果帮人排错半天没找到问题。后来才意识到display vlan只显示VLAN和接口的归属关系，不区分这个接口是access、trunk还是hybrid，也不会显示这个接口是否真的允许该VLAN的报文通过。比如trunk口即使没有allow-pass vlan 10，它也可能出现在display vlan 10的接口列表里，因为PVID是10。要判断接口实际放行哪些VLAN，必须用display port vlan active或display port vlan。
那次教训之后我的习惯是：所有VLAN相关的排错，先打三条命令——display vlan、display port vlan active、display current-configuration，把接口的链路类型、PVID、放行列表都确认一遍再动手。现在的经验是，S5700几乎所有VLAN相关问题的答案都在这三条命令的输出里，剩下的就是配置一致性检查和物理链路质量检查。加入Eth-Trunk的物理口配置会丢失，所以排错时先看聚合口再看物理口，别被物理口上残留的历史配置误导。最后一条建议：每次变更配置后用save保存，不然重启后一切归零，这才是真正的后悔药。希望这些坑能帮你少走几趟弯路。
本文还有配套的精品资源，点击获取
