Native VLAN是什么？

目录

• Native VLAN（本征 VLAN）详解
  • 1. 定义
  • 2. 核心特性
  • 3. 工作原理示例(重要)
  • 4. 为什么需要 Native VLAN？
  • 5. 安全风险与注意事项
• 总结

---

Native VLAN（本征 VLAN）详解

1. 定义

Native VLAN 是 Trunk 端口 上的一个特殊 VLAN，其流量在通过 Trunk 链路时默认不带 VLAN 标签（即以普通以太网帧传输）。

• 目的是兼容不支持 VLAN 标签的老旧设备（如传统交换机、网络打印机等）。
• 默认情况下，Native VLAN 是 VLAN 1（可手动修改）。

---

2. 核心特性

1. 无标签传输

   • Trunk 端口在发送 Native VLAN 的流量时，会剥离 VLAN 标签；接收无标签帧时，会将其归类到 Native VLAN。
   • 其他 VLAN 的流量则必须带标签。

2. 跨设备一致性

   • 互联的两个 Trunk 端口的 Native VLAN 必须相同，否则会导致 VLAN 间通信混乱（可能引发安全风险）。

3. 默认行为

   • 如果未手动配置，所有 Trunk 端口的 Native VLAN 默认为 VLAN 1。

---

3. 工作原理示例(重要)

假设 Trunk 端口的 Native VLAN = 10，其他 VLAN（20、30）需带标签：

方向	帧处理行为
发送数据	- VLAN 10 的帧 → 剥离标签，以普通帧发送。 - VLAN 20/30 的帧 → 保留标签发送。
接收数据	- 收到无标签帧 → 打上 Native VLAN 10 的标签。 - 收到带标签帧 → 按标签处理。

---

4. 为什么需要 Native VLAN？

• 兼容性：支持传统设备（如旧交换机、IP 电话、打印机）在不识别 VLAN 标签的情况下通信。
• 管理流量：某些协议（如 CDP、LLDP、STP）默认通过 Native VLAN 传输。
• 简化配置：为未标记的流量提供默认归属 VLAN。

---

5. 安全风险与注意事项

1. Native VLAN 不匹配

   • 如果两台交换机的 Trunk 端口 Native VLAN 不同（如一端是 VLAN 10，另一端是 VLAN 20），会导致：
     • 无标签帧被错误归类到错误 VLAN（如 VLAN 20 的流量进入 VLAN 10）。
     • 可能引发 VLAN 跳跃攻击（VLAN Hopping）。

2. 建议实践

   • 修改默认 Native VLAN：避免使用 VLAN 1（因其是默认值，易受攻击）。
   • 显式配置一致性：确保互联的 Trunk 端口 Native VLAN 相同。
   • 禁用未使用的端口：防止未经授权的设备接入 Native VLAN。

---

总结

• Native VLAN = Trunk 端口上的“无标签 VLAN”，用于兼容传统设备。
• 必须保证两端 Native VLAN 一致，否则会导致通信故障或安全漏洞。
• 最佳实践：禁用 VLAN 1，将 Native VLAN 设置为专用 VLAN（如 999）并严格管理。

理解 Native VLAN 是配置 Trunk 链路和排查 VLAN 故障的关键！