MUX-vlan
MUX-VLAN
理论环节
1. 定义与核心作用
Principal VLAN（主VLAN） 是 MUX VLAN（Multiplex VLAN）架构的核心组件，充当公共资源的访问枢纽，实现以下核心功能：
-
资源共享：允许所有从VLAN（包括团体VLAN和隔离VLAN）访问主VLAN内的资源（如服务器、存储、打印机）。
-
流量控制：作为通信的中转点，集中管理从VLAN与公共资源之间的数据流。
-
安全隔离：默认禁止主VLAN主动访问从VLAN，防止公共资源对用户侧发起潜在攻击。
2. 网络架构中的角色
| 组件 | 角色描述 |
|---|---|
| 主VLAN | 连接公共资源，提供统一的访问入口。 |
| 团体VLAN | 同一部门或用户组，内部可互通，并允许访问主VLAN。 |
| 隔离VLAN | 用户间完全隔离，仅允许访问主VLAN（如访客网络）。 |
3. 工作原理
-
流量规则：
-
从VLAN → 主VLAN：允许（如用户访问服务器）。
-
主VLAN → 从VLAN：默认禁止（需通过ACL或防火墙放行）。
-
团体VLAN内部：允许互通（如部门内协作）。
-
隔离VLAN内部：完全隔离（如酒店客房用户间无法互访）。
-
下为拓扑图展示
4. 配置示例（华为交换机）
# 创建VLAN并定义主从关系
system-view
vlan batch 10 20 30
vlan 40mux-vlansubordinate group 10 20subordinate separate 30# 配置主VLAN端口（连接服务器）
interface GigabitEthernet0/0/1port link-type accessport default vlan 100port mux-vlan enable# 两交换机互联Trunk配置
interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan 10 20 30 40
注：所有的交换机都需要配置定义关系，主，隔离，互通都需要写入对应的端口及vlan ID
5. 典型应用场景
-
企业网络
-
主VLAN：部署内部ERP系统。
-
团体VLAN：财务部（VLAN 10 20），允许部门内协作。
-
隔离VLAN：外包人员（VLAN 30），仅可访问ERP，不可互访。
-
-
教育网络
-
主VLAN：连接课程管理平台。
-
团体VLAN：教师组（VLAN 10 20），共享教学资源。
-
隔离VLAN：学生终端（VLAN 30），仅可访问平台。
-
6. 设计与部署注意事项
-
端口模式：
主VLAN端口必须为 Access模式，Hybrid/Trunk模式可能导致功能异常。 -
IP规划：
主VLAN与从VLAN可跨网段，需在三层网关配置互通路由：interface Vlanif100ip address 192.168.100.1 24 interface Vlanif200ip address 192.168.200.1 24 -
安全增强：
若需主VLAN主动访问从VLAN，需配置ACL放行：acl 3000rule permit ip source 192.168.100.0 0.0.0.255 destination any
7. 验证与故障排查
-
验证命令：
display mux-vlan # 查看主VLAN绑定关系 display vlan 100 # 检查VLAN状态及端口成员 -
连通性测试：
-
团体VLAN用户：可Ping通同VLAN成员及主VLAN服务器。
-
隔离VLAN用户：仅可Ping通主VLAN，同VLAN用户间不通。
-
PC3 ping主vlan服务器10.10.1.24能够通信，ping10.10.1.4不能通信，ping公司内部人员不能进行通信
-
这是PC3，ping服务器和外部公司B的测试结果
这是PC3，ping公司内部的测试结果
8. 与其他技术的对比
| 技术 | 适用场景 | 隔离粒度 |
|---|---|---|
| MUX VLAN | 共享资源+用户组/用户级隔离 | 基于VLAN的二层隔离 |
| PVLAN | Cisco环境下的类似功能 | 端口级隔离 |
| ACL | 跨三层网络的细粒度控制 | IP/端口级控制 |
注：：
主VLAN能否绑定多个团体或隔离VLAN？
是。支持绑定多个团体/隔离VLAN：
主VLAN是否支持动态VLAN分配？
否。MUX VLAN需静态配置端口VLAN，不支持802.1x等动态分配。
主VLAN与从VLAN是否需同一子网？
否。可通过三层路由实现跨网段通信，需配置网关互通。