| 场景 | 安全基线、接入网规范化 |
|---|---|
| 适用 | 全部交换机 |
| 命令族 | 治理组合（无单条命令） |
华为 VRP
华为 VRP
! 1) PVID 改为隔离 VLAN
[Huawei-GigabitEthernet0/0/1] port trunk pvid vlan 999
! 2) 不允许 VLAN 1 通过
[Huawei-GigabitEthernet0/0/1] undo port trunk allow-pass vlan 1 ! 视版本/现网影响评估
! 3) 管理地址放独立管理 VLAN思科 IOS
思科 IOS
! 1) native 改隔离 VLAN
SW-A(config-if)# switchport trunk native vlan 999
! 2) Trunk 不放通 VLAN 1
SW-A(config-if)# switchport trunk allowed vlan remove 1
# 3) 管理 SVI 建在管理 VLANH3C Comware
H3C Comware
[H3C-GigabitEthernet1/0/24] port trunk pvid vlan 999
[H3C-GigabitEthernet1/0/24] undo port trunk permit vlan 1
! 管理地址配置在管理 VLAN 的 Vlan-interface 上治理顺序有讲究：先把管理流量迁出 VLAN 1（改管理 VLAN）→ 再改 PVID → 最后禁 VLAN 1 透传，每步验证管理可达性，避免把自己“关在门外”。