VTP 是什么
VTP（VLAN Trunking Protocol）是思科私有协议，用于在同一个 VTP 域内自动同步 VLAN 数据库：server 上新建或删除 VLAN，client 自动跟随，transparent 模式只转发通告不参与同步。它的风险点是配置修订号——一台修订号更高的设备接入同域网络，可能把全网的 VLAN 库覆盖成自己的版本，这是 VTP 最经典的事故。华为与 H3C 都没有对应协议，VLAN 需要靠手工或网管批量下发。
基本信息
| 适用平台 | 思科 IOS / IOS-XE 交换机 |
|---|---|
| 三种模式 | server、client、transparent（部分平台支持 off） |
| 关键参数 | 域名、密码、配置修订号、版本 |
| 默认模式 | 多数平台出厂为 server |
| 风险等级 | 高：可能造成全网 VLAN 丢失 |
典型使用场景
- 维护存量思科网络，判断现有 VTP 模式是否合理
- 新增交换机接入前，先处理它的 VTP 修订号
- VTP 事故复盘：VLAN 库被意外覆盖后的恢复
- 混合厂商网络的规划决策，评估是否保留 VTP
- 网络改造，把 VTP 逐步收敛到 transparent
思科 IOS
思科 IOS
SW-A(config)# vtp domain CORP
SW-A(config)# vtp mode transparent # server / client / transparent
SW-A(config)# vtp password Vtp@123 # 仅防误入域，不是安全机制
SW-A# show vtp status
# Configuration Revision 越高越危险；VTP Domain Name 为空则不参与同步华为 VRP
华为 VRP
# 华为没有 VTP：VLAN 需逐台创建或由网管/脚本批量下发
# 建议用配置模板加版本管理，实现等价的可追溯性
# 大型网络可用堆叠合并减少需要维护的配置点H3C Comware
H3C Comware
# H3C 同样没有 VTP，依赖手工或自动化批量配置
# IRF 合并后一份 VLAN 配置即可覆盖多台成员
# 跨厂网络里不存在自动同步，变更必须走统一的配置下发流程三种模式对照
| 模式 | 行为 | 使用建议 |
|---|---|---|
| server | 可创建修改删除 VLAN 并同步给域内设备 | 只留单个核心，且必须配密码 |
| client | 跟随 server 的 VLAN 库，不能本地创建 | 接入层可用，但它会接受更高修订号 |
| transparent | 不参与同步，只转发 VTP 通告 | 混合厂商或不确定环境的首选 |
| off（部分平台） | 既不发也不处理通告 | 彻底关闭，比透明更干净 |
修订号是全局状态，只有切到 transparent 之类的动作才会重置，重启不清零。同域同密码的设备之间，修订号高的一方覆盖低的一方，与它被配置成 server 还是 client 无关。因此把一台离线很久的旧交换机直接接回生产网，是引发全网 VLAN 丢失的典型场景。
VTP 密码只用于防止设备误入域，基于摘要比对，不具备对抗恶意设备的能力。真正可靠的做法是用 transparent 或 off 模式让 VLAN 变更显式化，避免任何设备凭一台设备的数据库改写全网。