1. 为什么需要 VLAN 网络隔离在企业虚拟化环境中网络隔离是保障业务安全的基础需求。想象一下如果把财务系统和开发测试环境放在同一个广播域就像让公司所有部门共用一个大开间办公室任何人的谈话都可能被隔壁工位听到。ESXi 6.5 的 VLAN 功能正是为了解决这个问题而生。我管理过的生产环境中曾遇到过开发团队误操作测试脚本导致核心数据库连接数爆满的情况。后来通过 VLAN 隔离将开发环境和生产环境划分到不同的虚拟局域网类似事故再没发生过。VLAN 的本质是通过 802.1Q 协议给数据包打标签就像给快递包裹贴上不同颜色的标签让交换机知道该把包裹送到哪个区域。ESXi 支持三种 VLAN 模式VLAN 0相当于无标签模式会丢弃所有带 VLAN 标记的数据包适合管理网络等不需要跨 VLAN 的场景VLAN 1-4094精确匹配特定 VLAN ID就像小区门禁只放行特定颜色的通行证VLAN 4095Trunk 模式允许所有 VLAN 数据通过相当于万能通行证2. 标准虚拟交换机配置实战2.1 新建支持 Trunk 的虚拟交换机先登录 ESXi 的 Web 管理界面在网络选项卡中选择虚拟交换机。点击添加标准虚拟交换机按钮我给这个交换机命名为Trunk_Switch。关键配置如下# 通过命令行创建虚拟交换机的等效操作 esxcfg-vswitch -a Trunk_Switch绑定物理网卡时建议选择独立的物理接口比如 vmnic3专门用于 Trunk 通信。安全设置全部选择接受相当于关闭防火墙规则检查因为实际安全控制会在 VLAN 层面实现。注意生产环境中建议至少保留两块物理网卡做冗余通过网络适配器选项卡添加多个上行链路2.2 创建 Trunk 端口组继续在端口组选项卡中新建端口组命名为All_VLANs这是实现多 VLAN 通信的关键VLAN ID 必须设置为4095Trunk 模式的魔法数字关联到刚创建的 Trunk_Switch安全策略保持与虚拟交换机一致# 命令行创建端口组 esxcfg-vswitch -A All_VLANs -v 4095 Trunk_Switch实测发现如果不设置 VLAN 4095虚拟机就无法接收带标签的 VLAN 数据包。这就像快递柜只认特定颜色的标签其他颜色的包裹一律拒收。3. 物理交换机协同配置3.1 华为交换机配置示例连接 ESXi 的物理端口需要配置为 Trunk 模式。以华为交换机为例interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all这个配置相当于告诉交换机这个端口允许所有颜色的快递包裹通过。如果只允许特定 VLAN 通过可以改为port trunk allow-pass vlan 10 20 303.2 思科交换机差异点思科设备配置略有不同需要特别注意interface GigabitEthernet1/0/10 switchport mode trunk switchport trunk allowed vlan all曾经踩过一个坑某些老款思科交换机默认会过滤掉 VLAN 1需要显式添加switchport trunk native vlan 1命令。这就像快递公司默认不收红色包裹必须特别说明才行。4. 多租户环境实战案例4.1 端口组划分策略在某云计算平台项目中我们这样规划 VLANVLAN 100管理网络ESXi 管理接口、vMotionVLAN 200客户A的生产环境VLAN 300客户B的测试环境VLAN 400共享存储网络对应的端口组创建命令esxcfg-vswitch -A MGMT -v 100 Trunk_Switch esxcfg-vswitch -A ClientA_Prod -v 200 Trunk_Switch esxcfg-vswitch -A ClientB_Test -v 300 Trunk_Switch4.2 安全策略配置每个端口组可以单独设置安全策略混杂模式拒绝防止虚拟机嗅探其他 VLAN 流量MAC 地址更改拒绝防止 IP 欺骗伪传输接受允许虚拟机识别异常流量这些设置就像给每个办公室安装独立的门禁系统既防止外人闯入也监控内部异常行为。5. 常见故障排查5.1 VLAN 不通的检查步骤物理层检查esxcli network nic list # 确认网卡状态为UpVLAN 配置验证esxcfg-vswitch -l # 查看端口组 VLAN ID交换机端口统计show interface GigabitEthernet1/0/24 counters5.2 Trunk 模式下的性能优化当 VLAN 数量超过 50 个时建议启用网卡的 VLAN 卸载功能ethtool -K vmnic3 tx-vlan-offload on调整虚拟交换机的 MTU 值需要物理网络支持 Jumbo Frameesxcfg-vswitch -m 9000 Trunk_Switch在实际压力测试中启用这些优化后VLAN 间转发性能可以提升 30% 以上。这就像给快递分拣中心升级了自动化设备处理包裹的效率自然就提高了。
