VLAN 1 为什么要治理
VLAN 1 是交换机的默认 VLAN：所有端口出厂时都归属它，部分协议报文（如二层邻居发现）默认也在它上面跑，PVID 默认就是 1。这意味着任何一台新接入的设备、任何一个没配过的端口，都天然落在同一个广播域里。安全基线的做法很直接：业务与管理流量全部退出 VLAN 1，级联 Trunk 上禁止 VLAN 1 透传，接入端口的 PVID 改到一个隔离 VLAN。
基本信息
| 适用平台 | 全部以太网交换机（华为 VRP、思科 IOS、H3C Comware） |
|---|---|
| 治理三件事 | 管理地址迁出 VLAN 1、PVID 改为隔离 VLAN、Trunk 禁止 VLAN 1 透传 |
| 推荐隔离 VLAN | 选一个专用编号（如 999）且不在其他业务中使用 |
| 涉及协议 | 二层邻居发现类协议默认走 VLAN 1，禁透传前需评估 |
| 风险等级 | 操作顺序错误会切断远程管理链路 |
典型使用场景
- 安全基线落地：等保与内网安全规范普遍要求业务不落在默认 VLAN
- 接入网规范化：新设备上架即按模板配置，避免默认 VLAN 里越攒越多设备
- 防串接：不同机柜、不同楼层的设备不落在同一广播域，减少广播影响面
- 隔离未配置端口：空闲端口留在隔离 VLAN，避免随手插线即接入生产网
- 变更与审计：VLAN 1 里的成员数从几百个降到零，是可直接核查的基线指标
华为 VRP
华为 VRP
[Huawei] vlan 999 # 建隔离 VLAN
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 999 # 接入端口 PVID 改为隔离 VLAN
[Huawei-GigabitEthernet0/0/24]
[Huawei-GigabitEthernet0/0/24] port link-type trunk
[Huawei-GigabitEthernet0/0/24] port trunk pvid vlan 999 # 级联口 PVID 统一
[Huawei-GigabitEthernet0/0/24] undo port trunk allow-pass vlan 1 # 禁止 VLAN 1 通过
<Huawei> display port vlan # 逐口核对 PVID 与放通列表思科 IOS
思科 IOS
SW-A(config)# vlan 999 # 建隔离 VLAN
SW-A(config)# interface GigabitEthernet1/0/1
SW-A(config-if)# switchport mode access
SW-A(config-if)# switchport access vlan 999 # 接入口改到隔离 VLAN
SW-A(config)# interface GigabitEthernet1/0/24
SW-A(config-if)# switchport trunk native vlan 999 # 原生 VLAN 改掉
SW-A(config-if)# switchport trunk allowed vlan remove 1 # Trunk 不放通 VLAN 1
SW-A# show interfaces trunk # 核对原生 VLAN 与放通列表H3C Comware
H3C Comware
[H3C] vlan 999
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] port link-type access
[H3C-GigabitEthernet1/0/1] port access vlan 999
[H3C-GigabitEthernet1/0/24] port link-type trunk
[H3C-GigabitEthernet1/0/24] port trunk pvid vlan 999
[H3C-GigabitEthernet1/0/24] undo port trunk permit vlan 1
<H3C> display port vlan # 核对每个端口的 PVID治理顺序不能颠倒：先把管理地址迁到独立管理 VLAN，验证管理可达，再改 PVID，最后才禁 VLAN 1 透传。远程操作时若先禁用 VLAN 1 而管理地址还在 VLAN 1 上，等于当场切断自己的登录链路。