VLAN 1 的地位
VLAN 1 是交换机的缺省 VLAN：所有端口出厂时都归属它，多数平台不允许删除，控制协议报文默认也在它上面传输。生产环境的一般做法是不让业务流量落在 VLAN 1——既因为它承载协议报文，混杂业务会影响协议处理；也因为它是攻击者最了解的编号，容易成为横向渗透的通道。
基本信息
| 默认归属 | 所有端口的初始 VLAN |
|---|---|
| 可删除性 | 多数平台不允许删除，命令会被拒绝 |
| 承载内容 | 控制协议报文的默认实例 |
| 建议做法 | Trunk 上限制 VLAN 1 放行，native 改专用 VLAN |
| 常见误用 | 把 VLAN 1 当管理 VLAN 长期使用 |
典型使用场景
- 新设备上线：把业务端口从 VLAN 1 迁出到专用 VLAN
- 加固改造：native/PVID 从 1 改为未使用的专用编号
- 管理面规划：为带外管理单独划 VLAN，不用 VLAN 1
- 跨厂商对接：核对两端 VLAN 1 的放行与 native 设置
- 故障排查：确认协议报文与业务流量是否混在同一 VLAN
迁出与核对
迁出与核对
# 华为：把端口的默认归属改为业务 VLAN
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10 # 不再停留在 VLAN 1
# Trunk 侧把未打标流量改到专用 VLAN
interface GigabitEthernet0/0/24
port trunk pvid vlan 999
display vlan # 查看各 VLAN 的端口归属
display port vlan # 逐端口确认 PVID
display stp brief # 确认协议报文所在实例VLAN 1 相关设置
| 设置项 | 默认状态 | 调整建议 |
|---|---|---|
| 端口归属 | 所有端口初始在 VLAN 1 | 业务端口改为专用 VLAN |
| Trunk native | 通常为 1 | 改为未使用的专用 VLAN |
| 放行列表 | 部分平台无法移除 VLAN 1 | 能移除就移除，不能则靠 native 与关闭协商缓解 |
| 管理地址 | 常在 VLAN 1 上 | 迁到独立管理 VLAN |
部分平台无法把 VLAN 1 从 Trunk 放行列表中移除：这时改 native VLAN 与关闭接入协商是更现实的缓解手段，具体能力按平台文档确认。
把 VLAN 1 当管理 VLAN 是常见的简化做法，但安全边界偏弱：管理面与协议面混在一起，一旦终端侧被攻陷，管理通道也更接近暴露。