划分vlan后不通了

Question

在没有给交换机配置之前，配置了防火墙的安全策略，PC1和PC5都能正常互通(PC1和PC5在都在trust区域)，但是配置交换机即把PC1和pc5划分在vlan10之后就不通了，是什么道理啊？

Answer 1

引自免费微信小程序：皆我百晓生

为了帮助您解决VLAN划分后PC1和PC5之间不通的问题，我们首先需要确保几个关键点已正确配置。在配置VLAN后网络不通，通常是因为以下几个原因：

1. 交换机VLAN配置：确保两台PC所在的交换机端口已被正确分配到VLAN 10。

2. Trunk链路配置：如果PC1和PC5位于不同交换机上，它们之间的链路必须是Trunk类型，并且允许通过VLAN 10的流量。

3. 防火墙策略：检查防火墙的安全策略是否针对VLAN 10进行了正确的配置，确保VLAN间或Trust区域内VLAN间的流量被允许。

解决步骤

1. 配置交换机VLAN和端口成员关系

对于连接PC1和PC5的交换机（假设是LSW2），需要配置如下：

# 创建VLAN 10
conf t
vlan 10
exit

# 将连接PC1和PC5的端口分配给VLAN 10
interface GigabitEthernet 0/0/1   # 假设PC1连接于此端口
switchport mode access
switchport access vlan 10
exit

interface GigabitEthernet 0/0/2   # 假设PC5连接于此端口
switchport mode access
switchport access vlan 10
exit

# 如果存在Trunk链路且PC位于不同交换机，确保Trunk允许VLAN 10
interface GigabitEthernet 0/0/3   # 举例为Trunk接口
switchport mode trunk
switchport trunk allowed vlan add 10
end
wr

2. 检查并更新防火墙策略

确保防火墙规则允许VLAN 10内的设备通信，特别是如果您之前配置的是基于IP的规则，现在需要调整为考虑VLAN标签的规则。示例配置可能如下：

# 假设使用的是Cisco ASA防火墙
access-list VLAN10_TRAFFIC extended permit ip any any vlan 10
nat (inside,VLAN10) 0 access-list VLAN10_TRAFFIC

或如果是其他类型的防火墙，请根据其特定语法调整安全策略，确保VLAN 10的流量可以自由通行于Trust区域内部。

3. 确认配置并测试

• 在完成上述配置后，使用命令show vlan brief查看VLAN配置是否生效。
• 使用show interface switchport检查端口是否正确配置为Access模式并指派给了VLAN 10。
• 最后，从PC1 ping PC5，验证通信是否已经恢复。

如果以上步骤都正确执行但问题依旧，还需检查物理连接、确认所有涉及设备的配置（包括可能的默认路由设置），以及排查是否有其他安全设备（如额外的防火墙或ACL）限制了VLAN 10的通信。