为啥都说交换机trunk接口不要透传vlan1~？

1. 为什么会有三种模式？

交换机端口模式的存在，本质是为了解决 多 VLAN 传输与终端接入 的问题。

• Access：最简单，适合普通终端设备
• Trunk：多 VLAN 复用链路，常见于交换机与交换机/路由器连接
• Hybrid：兼容 Access 与 Trunk 特性，灵活处理 VLAN Tag

如果你在不同厂商设备上操作，会发现叫法和细节不完全一样，但逻辑是一致的。

2. Access 模式

定义

• Access 端口只能属于一个 VLAN
• 进入端口的帧没有 VLAN Tag（或者 Tag 被剥掉）
• 适合 PC、打印机、摄像头 等普通设备接入

工作原理

• 接收帧：如果帧无 Tag，直接打上端口所属 VLAN ID
• 发送帧：无论 VLAN 内部是什么 Tag，发出去时都去掉 Tag（终端不需要 VLAN 信息）

配置示例

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10

使用场景

• 普通终端接入
• 服务器只有一个网卡且只跑一个业务 VLAN
• 不需要让终端理解 VLAN

3. Trunk 模式

定义

• 一个端口允许多个 VLAN 数据通过
• 进入和发出的帧带 VLAN Tag（除非是 native VLAN/untag VLAN）
• 常用于交换机互连、交换机与路由器互连（尤其是“单臂路由”场景）

​

工作原理

• 接收帧：检查 VLAN Tag，若 VLAN 在允许列表内则接收
• 发送帧：一般会保留 Tag 发出（除非 VLAN 是 PVID/native VLAN）

配置示例

interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
 port trunk pvid vlan 10

★ 注意：pvid vlan 10 表示无 Tag 帧进入时默认打上 VLAN 10

使用场景

• 交换机与交换机的上行链路
• 单臂路由（Router-on-a-stick）模式
• AP 与 AC 之间的 VLAN 复用链路

4. Hybrid 模式

定义

• 能像 Trunk 一样承载多个 VLAN
• 同时可以设置某些 VLAN 出口时去 Tag（untag），某些 VLAN 出口时保留 Tag
• 适合一个端口接多个业务 VLAN，但部分业务需要终端直接识别（untag）

​

工作原理

• 接收帧：与 Trunk 类似，根据 Tag 判断 VLAN
• 发送帧：可针对不同 VLAN 决定是否带 Tag

配置示例

interface GigabitEthernet0/0/3
 port link-type hybrid
 port hybrid tagged vlan 20 30
 port hybrid untagged vlan 10
 port hybrid pvid vlan 10

上面表示：

• VLAN 10 出口时不带 Tag
• VLAN 20、30 出口时带 Tag
• 无 Tag 帧进入时打上 VLAN 10

使用场景

• 一根网线同时接 IP 电话 + PC（电话走 VLAN 20，PC 走 VLAN 10）
• 部分监控摄像头需要无 Tag 接入，但同端口还要传其他 VLAN 数据
• 某些第三方设备不支持 VLAN Tag，但链路上又需要多 VLAN 混传

5. 三种模式对比

​

6. 常见混淆点

1. Access ≠ VLAN 10 固定

• 不是 VLAN 10 就是 Access，而是 Access 只能有一个 VLAN

1. Trunk 不一定所有 VLAN 都通过

• 必须配置 allow-pass vlan 列表，否则默认可能只通过 VLAN 1

1. Hybrid 不是厂商私有

• 只是 Cisco 不叫 Hybrid，而是通过 Trunk + native VLAN/voice VLAN 实现类似效果

1. PVID/native VLAN 概念

• 用来处理无 Tag 帧，不同厂商叫法不同，功能类似

7. 经验总结

• 普通终端 → Access
• 交换机互连 / 单臂路由 → Trunk
• 需要混合 Tag/untag → Hybrid
• 多 VLAN 传输前 → 确认对端模式匹配，否则丢包
• 调试 VLAN → 善用 display vlan, display interface, display mac-address 等命令确认 Tag 流向