MUX VLAN 是什么
MUX VLAN 是华为 S 系列交换机的二层隔离模型：一个主 VLAN 下挂两类从 VLAN——隔离型（separate）和互通型（group）。所有成员都能通过主 VLAN 上行访问外部，隔离型成员之间完全不通，互通型成员组内互通、跨组同样隔离。
基本信息
| 适用平台 | 华为 S 系列交换机（VRP） |
|---|---|
| 组成 | 1 个主 VLAN + 若干 separate / group 从 VLAN |
| 上行 | 主 VLAN 接口需配置 IP 作为网关 |
| 典型定位 | 同一网段内的分级隔离，替代多 VLAN + ACL 方案 |
典型使用场景
- 酒店与公寓网络：每房间隔离互访，但都能访问外网
- 写字楼多租户：同租户内互通、租户之间隔离
- 校园宿舍：同宿舍互通、宿舍之间隔离，都能到网关
- 企业访客网络：访客终端之间不可见，避免横向扫描
- 共享办公与展厅：设备上网正常但彼此不可互访
华为配置示例
华为配置示例
vlan 10 # 主 VLAN
mux-vlan # 声明为主 VLAN
subordinate separate 20 # 隔离型从 VLAN：成员之间完全不通
subordinate group 30 # 互通型从 VLAN：组内互通、跨组不通
interface Vlanif10 # 主 VLAN 虚接口承担网关
ip address 192.168.10.1 24
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10 # 归属从 VLAN（示例为主侧对接口）
port mux-vlan enable # 接口使能 MUX VLAN成员互通关系
| 成员类型 | 同类型互访 | 跨类型互访 | 访问上行 |
|---|---|---|---|
| 主 VLAN 成员 | 互通 | 与所有从 VLAN 互通 | 正常 |
| separate 成员 | 完全不通 | 只能访问主 VLAN 侧 | 正常 |
| group 成员 | 组内互通 | 跨组不通 | 正常 |
MUX VLAN 的隔离在二层完成，不需要逐条写 ACL；如果同一交换机还要承载普通业务 VLAN，给 MUX 场景预留独立编号段，避免主从 VLAN 与既有业务撞号。
主 VLAN 接口不配 IP 时成员只能二层隔离、无法出网，这是 MUX 部署后『隔离生效但上不了网』的常见缺配。
跨设备部署时，主 VLAN 与从 VLAN 都要在路径上的每台设备创建并在 Trunk 放行，否则成员只能访问本机网关、跨设备访问中断。
规划要点：把主 VLAN 的网关集中放在一台设备上，避免各台交换机独立配置网关造成回程路径不一致；MUX 与端口隔离、VLAN 聚合等特性同时使用时，先确认平台支持的能力组合。