放行列表的作用
Trunk 口上只有出现在放行列表里的 VLAN 才能通过，列表之外的帧在入口直接被丢弃，不产生日志。这条列表决定了泛洪的范围：列表越长，广播、未知单播和组播能到达的链路越多，物理资源浪费越明显。因此工程惯例是按需逐步放行，而不是图省事直接把 1-4094 全部放行。
基本信息
| 华为命令 | port trunk allow-pass vlan 10 20 30 to 40 |
|---|---|
| H3C 命令 | port trunk permit vlan 10 20 30 to 40 |
| 思科命令 | switchport trunk allowed vlan 10,20,30-40 |
| 华为默认行为 | 未配置时只放行 PVID 对应 VLAN |
| 思科默认行为 | 未配置时放行全部 VLAN |
| 未放行帧的处理 | 直接丢弃，不告警 |
三厂商对照示例
三厂商对照示例
# 华为 VRP：连续段用 to，多段用空格分隔
port trunk allow-pass vlan 10 20 30 to 40
port trunk allow-pass vlan all # 等价于放行 1-4094，谨慎使用
# H3C Comware：关键字是 permit
port trunk permit vlan 10 20 30 to 40
# Cisco IOS：连续段用连字符，增量修改用 add / remove
switchport trunk allowed vlan 10,20,30-40语法与默认行为对照
| 项目 | 华为 | H3C | Cisco |
|---|---|---|---|
| 关键字 | allow-pass | permit | allowed vlan |
| 连续段写法 | 30 to 40 | 30 to 40 | 30-40 |
| 全部放行 | vlan all | vlan all | 1-4094 |
| 增量修改 | 重写整条命令 | 重写整条命令 | add / remove 关键字 |
| 未配置时 | 仅放行 PVID 对应 VLAN | 仅放行 PVID 对应 VLAN | 放行全部 VLAN |
典型使用场景
- 接入到汇聚上行：只放行本楼栋实际存在的业务 VLAN
- 汇聚到核心互联：放行全部业务段但排除历史遗留与测试 VLAN
- 双上行割接：新链路先按原链路列表配置，验证通过后再调整优化
- 风控要求下的收敛：把不必要的 VLAN 从列表移除，压缩广播域范围
- 多厂商对接前统一编号：列表写法不同但语义一致，逐跳比对即可
新增业务 VLAN 要在整条路径上同步放行：接入口、汇聚上联、核心互联、对端设备缺一段就不通。建议维护一份 VLAN 与路径对照表，把每个 VLAN 经过哪些 Trunk 口记录下来，割接时按表核对。
把 Trunk 放行列表改成 all 会让测试 VLAN、历史遗留 VLAN 一并透传到全网，一旦某个 VLAN 存在环路或地址冲突，影响范围从局部扩大到整个二层网络。