交换机怎么设置 VLAN

家里设备多起来，想把访客、摄像头和自家电脑分开，或者让监控单独占一个网段，VLAN 是最常用的做法。它和插网线不一样，配错一步很可能把自己关在后台外面，动手前先想清楚怎么退回来。这篇讲入口在哪、端口怎么分、几处容易断网的地方，以及怎么确认真的隔开了。

入口在哪

只有管理型交换机才有 VLAN，家用那种插上就用的非管理型交换机没有登录界面，也没有这项功能。判断办法很简单，看机身标签上有没有印管理地址和默认账号，没有这行信息的基本就是非管理型。

登录一般走浏览器：电脑接在任意一个普通口上，输入标签上的管理地址，用默认账号登录；部分机型只有命令行，说明书里会写怎么连。管理地址和电脑不在同一网段时打不开，先把电脑地址临时改到同一网段。菜单名称差别很大，常见叫法有 VLAN、虚拟局域网、802.1Q，找不到就在后台里搜 VLAN。

具体步骤

1. 先记录当前配置，能导出就导出，不能导出就逐页截图，这决定你后面能不能退回来。
2. 新建 VLAN，填编号和名字。编号习惯上用两位数，比如 10 给自家设备、20 给访客、30 给摄像头。
3. 把端口划进对应 VLAN。接电脑、摄像头的终端口设成 untagged，同时把该端口的默认 VLAN 改成它所属的那个。
4. 接交换机、路由器的上联口设成 tagged，让 VLAN 标记能带过去。
5. 一次只改一个端口，保存后观察通讯正常再改下一个。批量改完才保存，出问题很难判断是哪一步。
6. 要让不同 VLAN 互相访问或上网，得在上游路由器或三层设备上建对应子网。只在交换机上划分、上游没配置，跨网段就是不通。
7. 全部改完保存，部分机型要重启才生效。重启前把管理口留在自己能访问的 VLAN 里。

几个坑

• 把自己正在用的端口划走，是最常见的失联原因，管理口一旦不在原网段后台就打不开。回退办法是现场把电脑接到仍在原 VLAN 的端口，或按复位键恢复出厂，所以务必站在机器旁边操作。
• tagged 和 untagged 混淆。接终端设备的口是 untagged，发出去的是不带标记的帧；交换机之间、交换机和路由器之间才用 tagged。终端口设成 tagged，设备多半一个包都发不出去。
• 默认 VLAN 没改。端口勾了多个 VLAN 但默认 VLAN 还是原来那个，收到的无标记帧照样进旧 VLAN，看着配了其实白配。
• 两台设备上的 VLAN 编号必须一致，一台用 20、另一台用 200，上联通了也串不起来。
• 换到新 VLAN 的设备拿不到地址，因为分配地址的服务通常只覆盖一个网段，需要在新网段单独放一个，或在上游做转发。
• 上联线接成环再叠加 VLAN，现象是全组一起断，先按不划 VLAN 的方式确认物理链路没问题再动配置。

怎么验证

先在后台看端口状态和成员表，确认每个端口都在预期 VLAN 里、默认编号也对。再在同 VLAN 的两台设备之间 ping，应该通；把其中一台换到另一个 VLAN，应该不通，说明隔离生效。最后看能不能上网，上不了多半是上联口标记没设对，或上游没有对应子网。

常见问题

家用交换机能不能划 VLAN

非管理型不行，面板上没有任何管理入口。买的时候看说明里有没有 web 管理、VLAN、802.1Q 字样，带简易管理的型号能划，但端口和功能都有限。

划了 VLAN 以后还能不能上网

能，但要在上游补配置：上联口设成 tagged，路由器或三层设备上建对应子网并开启转发，缺一条都上不了网。

改完登不上后台怎么办

把电脑接到仍在原 VLAN 的端口上；没有这样的端口就按复位键恢复出厂再配一次。这也是改配置前要站在机器旁边的原因。

一句话总结：只有管理型交换机才有 VLAN，先备份再动手，终端口用 untagged、上联口用 tagged，改完用同 VLAN 通、跨 VLAN 不通来验证，管理口千万别划走。