Trunk 全放行的使用边界
Trunk 口上的 allow-pass all 写法省事：所有 VLAN 都能通过这条链路。代价是泛洪与未知流量被扩展到整条链路，新增 VLAN 自动传播，配置失误造成的异常 VLAN 也会一并扩散。级联中转链路在明确边界的前提下可以评估使用，接入层的 Trunk 应当按业务清单最小放行，这既是安全要求也影响排障效率。
基本信息
| 全放行写法 | 华为 port trunk allow-pass vlan all |
|---|---|
| 最小放行 | 按业务清单逐个或按段指定 VLAN，如 10 20 30 |
| 影响 | 决定泛洪范围与故障传播边界 |
| 安全要求 | 接入层 Trunk 按最小权限收敛，审计关注点 |
| 改造方式 | 分批收敛：先梳理清单，再逐台替换为明确放行 |
典型使用场景
- 新建链路时直接按业务清单放行，避免后续审计返工
- 现有全放行链路分批收敛，按设备清单设置改造节点
- 排查泛洪范围过大问题，先确认哪些 Trunk 处于全放行状态
- 变更新增 VLAN 时核对放行链路清单，确认是否需要逐跳追加
- 验收检查时把 Trunk 放行情况纳入配置基线核对
全放行与收敛写法
全放行与收敛写法
# 全放行（谨慎评估后再用）
port trunk allow-pass vlan all
# 推荐：按业务清单放行
port trunk allow-pass vlan 10 20 30
port trunk allow-pass vlan 100 to 120 # 连续段可批量声明
display port vlan # 核对各 Trunk 实际放行
# Cisco 侧以 switchport trunk allowed vlan 命令对应放行策略对比
| 策略 | 优点 | 代价 |
|---|---|---|
| 全放行 | 配置简单，扩容无需调整 | 泛洪范围最大，故障与误配会扩散 |
| 按清单放行 | 范围可控，排障边界清晰 | 新增 VLAN 需逐跳同步配置 |
| 分层放行 | 接入层最小、核心按需 | 需维护放行关系台账 |
全放行后新增 VLAN 会自动传播到整条链路，一旦某处 VLAN 配置有误，异常广播域会被同步扩展到所有设备，排障时几乎无法缩小范围。
现网遗留的全放行不要一次性全网整改：按设备与链路分批收敛并逐批验证业务，把节点与完成情况写入改造清单。