让一台终端正确接入网络
广播为什么会影响所有人，VLAN 为什么出现
本课问题：怎样限制一份广播只影响需要它的终端？ 学完你能：在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。
前置知识
- 交换机怎样学习 MAC 并决定从哪里转发
课堂开场
本课问题：怎样限制一份广播只影响需要它的终端？
学完结果：在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。
预计时间：35 分钟。前置课：交换机怎样学习 MAC 并决定从哪里转发。
范围控制：本课不配置 Trunk 和跨 VLAN 路由。
02基础知识讲解
办公电脑发 ARP 广播时，财务电脑也收到并处理。随着终端增加，无关广播和误接风险扩大，需要划分边界。
本课最小拓扑或状态图：办公 PC-A/PC-B ─ SW1 VLAN10；财务 PC-C/PC-D ─ SW1 VLAN20。广播从 VLAN10 进入，只复制到 VLAN10 的其他可转发端口。
直觉解释：广播像在一个房间里喊话，房间内所有人都听见；VLAN 是在同一台交换机中划出的隔墙，不同房间默认听不到彼此喊话。
正式定义：广播帧以全 F 目的 MAC 发送，并在同一二层广播域内复制；VLAN 是逻辑二层广播域，不同 VLAN 之间需要三层设备才能通信。
判断依据：不同 VLAN 默认不能二层直通，互通要经过三层网关。
| 重点 | 你要理解 | 判断依据 |
|---|---|---|
| 重点 1 | 广播会复制到同一二层广播域中的可转发接口。 | PC-A 在 VLAN10 发 ARP 广播，SW1 只转发到 VLAN10 的 PC-B 和上联成员，不发往 VLAN20 的财务端口。 |
| 重点 2 | VLAN 把一台物理交换机划成多个逻辑广播域。 | VLAN10 已启用且命名 OFFICE，MAC 学习也启用，说明可作为办公广播域使用。它不证明任何接口已加入。 |
| 重点 3 | 不同 VLAN 默认不能二层直通，互通要经过三层网关。 | 广播范围画到全部端口时先按 VLAN 成员表重新分组。 |
03正确理解与常见误解
正确示例：PC-A 在 VLAN10 发 ARP 广播，SW1 只转发到 VLAN10 的 PC-B 和上联成员，不发往 VLAN20 的财务端口。
错误示例：认为 VLAN 只是端口名称标签，广播仍会自动到达交换机上的所有端口。
- 术语与判断：广播会复制到同一二层广播域中的可转发接口。
- 术语与判断：VLAN 把一台物理交换机划成多个逻辑广播域。
- 术语与判断：不同 VLAN 默认不能二层直通，互通要经过三层网关。
04老师演示
演示环境：设备 SW1，华为 S5735-L24T4X-A，VRP V200R022C00SPC500，当前提示符 <SW1>，隔离课程网络。教师准备执行只读命令：
- 前检
核对 SW1、目标对象、当前状态、带外路径和变更前业务基线。 - 只读核验（查看 VLAN 状态与成员端口）
display vlan 20第 1 步：在目标设备上执行并核对命令作用范围。 - 只读核验（查看 VLAN 状态与成员端口）
display vlan summary读取实际状态或计数器，确认“确认 VLAN 已创建、处于活动状态且成员端口符合规划”已经满足。 - 只读核验（查看 MAC 地址表）
display mac-address显示设备当前 MAC 地址表。 - 只读核验（查看 MAC 地址表）
display mac-address dynamic只显示通过数据帧自动学习的动态表项。 - 只读核验（查看 MAC 地址表）
display mac-address确认目标 MAC 对应正确 VLAN 和入接口，并观察表项类型。
安全说明：命令来自“查看 VLAN 状态与成员端口”华为实现，用于华为VRP 中用于查看 VLAN 状态与成员端口的最小操作与核验方法。 执行前已确认当前设备、版本、视图、影响对象、停止条件和输出脱敏范围。
脱敏真实输出：
<SW1>display vlan summary VID Type Status Property MAC-LRN Description 10 common enable default enable OFFICE 20 common enable default enable FINANCE
异常输出：
10 common enable default enable OFFICE Ports: GE0/0/1 GE0/0/2 GE0/0/3 Warning: GE0/0/3 expected FINANCE but is an untagged member of VLAN 10 差异说明：VLAN10 本身启用，但 GE0/0/3 被无标签加入办公 VLAN，与预期财务 VLAN 不同。先核对该端口的 PVID 和资产用途，仅修正这一端口。 此时不能套用正常结论；先保存采集时间，再执行“查看 MAC 地址表”对应的最小只读检查。
05逐行读懂输出
结论：当前输出可以支持“在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。”中的基础判断，但仍要完成跟做任务和业务验收，不能把单份输出当作全部证明。
- 第 1 行“VID Type Status Property MAC-LRN Description”：表头表明每行会给出 VLAN 编号、启用状态、MAC 学习和描述。它不列出成员端口。
- 第 2 行“10 common enable default enable OFFICE”：VLAN10 已启用且命名 OFFICE，MAC 学习也启用，说明可作为办公广播域使用。它不证明任何接口已加入。
- 第 3 行“20 common enable default enable FINANCE”：VLAN20 与 VLAN10 是独立编号并命名 FINANCE，说明规划上两个广播域分开。它不能证明两者已被安全策略隔离。
06学员跟做
起始状态：使用隔离课程环境，SW1 当前配置保持阶段基线，学员已登录但尚未执行本课检查。目标状态：在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。
操作步骤：①在四终端拓扑中把办公端口圈成 VLAN10、财务端口圈成 VLAN20；②从办公 PC-A 画出一份广播进入 SW1 的路径；③只向 VLAN10 的其他成员画复制箭头，并划掉 VLAN20 端口；④用 display vlan summary 核对两个 VLAN 存在，再解释跨 VLAN 为什么需要网关；⑤进入“引导：预测以太网帧转发”独立完成相同目标。
成功标准：输出与规划一致，立即闯关全部目标通过，并能用自己的话说明三个重点。失败检查顺序：①广播范围画到全部端口时先按 VLAN 成员表重新分组；②目标端口不在预期广播域时核对 PVID 和 Untagged 成员；③不同 VLAN 需要通信时记录三层需求，不在本课改 Trunk 或网关。
- 保存教师演示命令和本次学员输出，文件名含设备、日期和课次。
- 步骤标题只提示检查对象，不复制最终答案。
- 失败时一次只验证一个假设，不连续粘贴未知命令。
07安全、验证与回滚
本课以只读观察为主。只读命令仍可能暴露资产信息，保存输出前要替换序列号、真实公网地址、账号和其他敏感字段；任何清表、重启、删除或配置动作都不属于本课。
验证必须同时回答：配置或输入是否正确、设备状态是否符合预期、真实任务“在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。”是否完成。
08本课关联资源
按顺序完成：先看命令 → 立即闯关 → 可选加练 → 案例步骤 → 返回本页复盘。
- 必学命令：查看 VLAN 状态与成员端口打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：查看 MAC 地址表打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 立即闯关：引导：预测以太网帧转发打开资源 →目标：独立完成“在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。”对应的最小任务｜完成标准：规则引擎全部目标通过并保存关键输出。
- 关联案例：办公终端 VLAN 接入打开资源 →目标：在“办公终端 VLAN 接入”案例中说明 VLAN10 的广播范围，并证明新增办公端口不会被放入财务或默认广播域。｜完成标准：提交该任务的输入、输出、判断和回滚记录。
09自测一：概念判断
先判断对错，再写出为什么。
- 判断 1：以下做法是正确的——认为 VLAN 只是端口名称标签，广播仍会自动到达交换机上的所有端口。
- 判断 2：以下做法是正确的——PC-A 在 VLAN10 发 ARP 广播，SW1 只转发到 VLAN10 的 PC-B 和上联成员，不发往 VLAN20 的财务端口。
10自测二：输出解读
重新阅读老师演示的第 2 行输出：它能直接证明什么？还不能证明“在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。”中的哪一部分？请写出下一条最小验证证据。
11自测三：小型操作
在隔离环境或纸面拓扑中完成：在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。 保存关键输出，按“现象—证据—结论—下一步”写四行记录；不得复制本页最终结论。
答案与复盘
13下一课
下一课：VLAN 编号、名称和端口表怎样规划。你已经能“在拓扑上圈出两个广播域，并解释 VLAN 如何形成边界。”，下一课将用这项能力继续回答“配置前怎样把业务需求写成不易出错的 VLAN 表？”。