Trunk 放通列表的作用
Trunk 口用 802.1Q 标签承载多个 VLAN，但「哪些 VLAN 允许通过」是单独一份列表控制的。这份列表一是控制广播域范围：放进来的 VLAN 的广播、组播、未知单播都会穿到对端；二是安全边界：不需要互通的 VLAN 根本不该出现在这条干道上。工程上讲究最小化放通，任何一次变更都要有审批记录，并且两端对账。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 交换机 |
|---|---|
| 配置位置 | 具体物理口或聚合口的接口视图 |
| 默认行为 | 华为/H3C 的 Trunk 口默认放通 VLAN 1，思科默认放通全部 VLAN |
| 权限要求 | system-view / 全局配置模式，接口需先配 port link-type trunk 或 switchport mode trunk |
典型使用场景
- VLAN 裁剪：新区域上线时只放通本区域需要的 VLAN，减少广播泛洪
- 变更审计：每次放通变更前导出前后列表做差异比对
- 两端对账：上级与下级、核心与接入两端的放通列表必须一致
- 故障定位：某 VLAN 部分站点不通时，先查该 VLAN 是否在路径所有干道上放通
- 安全收敛：把不允许跨区的 VLAN 从干道移除，阻断横向访问
华为 VRP
华为 VRP
[Huawei] interface GigabitEthernet0/0/24
[Huawei-GigabitEthernet0/0/24] port link-type trunk
[Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30 # 放通三个 VLAN
[Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 40 # 追加（默认追加语义）
[Huawei-GigabitEthernet0/0/24] undo port trunk allow-pass vlan 30 # 移除单个
<huawei> display port vlan active GigabitEthernet0/0/24 # 对账放通列表思科 IOS
思科 IOS
SW-CORE-01(config)# interface GigabitEthernet1/0/24
SW-CORE-01(config-if)# switchport trunk encapsulation dot1q
SW-CORE-01(config-if)# switchport mode trunk
SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,30 # 覆盖设置
SW-CORE-01(config-if)# switchport trunk allowed vlan add 40 # 追加
SW-CORE-01(config-if)# switchport trunk allowed vlan remove 30 # 移除
SW-CORE-01# show interfaces trunk # 对账放通列表H3C Comware
H3C Comware
[H3C] interface GigabitEthernet1/0/24
[H3C-GigabitEthernet1/0/24] port link-type trunk
[H3C-GigabitEthernet1/0/24] port trunk permit vlan 10 20 30
[H3C-GigabitEthernet1/0/24] port trunk permit vlan 40 # 追加
[H3C-GigabitEthernet1/0/24] undo port trunk permit vlan 30
! 全量重置：undo port trunk permit vlan all 后重新配置三厂命令与语义
| 操作 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 放通/覆盖 | port trunk allow-pass vlan 10 20（追加语义） | switchport trunk allowed vlan 10,20（覆盖语义） | port trunk permit vlan 10 20（追加语义） |
| 追加 | 直接再写一条 allow-pass | allowed vlan add 40 | 直接再写一条 permit |
| 移除 | undo port trunk allow-pass vlan 30 | allowed vlan remove 30 | undo port trunk permit vlan 30 |
| 清空 | 先 undo 再重配 | allowed vlan all 或 none | undo port trunk permit vlan all |
| 查看 | display port vlan active | show interfaces trunk | display port trunk |
三家最容易踩的差异在覆盖语义：思科直接写 allowed vlan 是整体覆盖，华为与 H3C 的 permit/allow-pass 是追加。跨厂商排障时先确认自己面对的是哪一种语义，再决定要不要写 add。