如何实施 Linux 企业级网络隔离：划分多用户 VLAN

Linux企业环境多用户VLAN隔离的核心是通过802.1Q协议在物理网卡（如ens33）上创建多个子接口（ens33.100/200/300），配合内核8021q模块加载、交换机Trunk端口放行对应VLAN、NetworkManager持久化配置及iptables/nftables访问控制，实现二层隔离、广播域收敛与精细化访问策略。

在 Linux 企业环境中实施多用户 VLAN 隔离，核心是让同一物理网卡承载多个逻辑网络，实现用户间二层隔离、广播域收敛和访问控制。这不是简单配 IP，而是端到端协同：从内核支持、主机配置，到交换机策略、安全加固，缺一不可。

确保内核与工具就绪

所有后续操作的前提是系统能识别并处理 802.1Q 标签：

• 加载 8021q 内核模块：运行 sudo modprobe 8021q；验证是否生效：lsmod | grep 8021q
• 设置开机自动加载：CentOS/RHEL 系统写入 /etc/modules-load.d/8021q.conf，Debian/Ubuntu 追加到 /etc/modules
• 安装必要工具：RHEL/CentOS 用 dnf install iproute-tc（ip 命令已内置），Ubuntu/Debian 确保 iproute2 已安装（默认预装）

创建并启用 VLAN 子接口

以物理网卡 ens33 为例，为销售部（VLAN 100）、研发部（VLAN 200）、运维部（VLAN 300）分别划分：

• 临时创建接口：
  sudo ip link add link ens33 name ens33.100 type vlan id 100
sudo ip link add link ens33 name ens33.200 type vlan id 200
sudo ip link add link ens33 name ens33.300 type vlan id 300
• 启用接口：
  sudo ip link set ens33.100 up
sudo ip link set ens33.200 up
sudo ip link set ens33.300 up
• 分配地址（示例）：
  sudo ip addr add 10.10.100.10/24 dev ens33.100
sudo ip addr add 10.10.200.10/24 dev ens33.200
sudo ip addr add 10.10.300.10/24 dev ens33.300

固化配置，避免重启失效

临时命令重启即丢，必须写入配置文件。以 RHEL/CentOS 8+ 为例（使用 NetworkManager + keyfile 或 ifcfg）：

• 主网卡 ens33 配置文件 /etc/sysconfig/network-scripts/ifcfg-ens33 中添加：
  VLAN=yes
• 新建 /etc/sysconfig/network-scripts/ifcfg-ens33.100：
  DEVICE=ens33.100
BOOTPROTO=static
IPADDR=10.10.100.10
NETMASK=255.255.255.0
VLAN=yes
• 同理创建 ifcfg-ens33.200 和 ifcfg-ens33.300，仅修改 DEVICE 名称和 IPADDR
• 应用配置：sudo nmcli connection reload && sudo systemctl restart NetworkManager（或 sudo ifdown ens33 && sudo ifup ens33）

交换机侧必须同步配置 trunk

Linux 主机的 VLAN 接口只是“接收带标签帧的一端”，若交换机端口未设为 trunk 并放行对应 VLAN，通信必然失败：

• 将连接 Linux 服务器的交换机端口（如 Cisco 的 GigabitEthernet1/0/24）设为 trunk 模式
• 显式允许所需 VLAN 通过：switchport trunk allowed vlan 100,200,300
• 禁止使用 switchport mode access 或 switchport access vlan X —— 这会导致单 VLAN 模式，无法承载多子网
• 建议关闭 DTP（动态中继协议）：switchport nonegotiate，防止意外协商失败

强化隔离与访问控制

VLAN 本身只做二层隔离，企业级场景需叠加策略防越权：

• 禁用跨 VLAN 三层转发（除非明确需要路由）：确认内核参数 net.ipv4.ip_forward = 0（默认关闭）
• 用 iptables 或 nftables 限制子接口间通信，例如禁止研发部访问运维部：
  nft add rule inet filter forward iifname "ens33.200" oifname "ens33.300" drop
• 对敏感 VLAN（如运维管理网），可绑定 MAC+IP+端口（需交换机支持 DHCP Snooping + Dynamic ARP Inspection）
• 如需更高安全等级（如金融、医疗），考虑启用私有 VLAN（PVLAN）或 QinQ（802.1ad）实现租户级嵌套隔离