OpenWrt VLAN配置实战：从基础概念到多端口Switch管理

最新推荐文章于 2026-06-26 08:52:21 发布

原创

最新推荐文章于 2026-06-26 08:52:21 发布 · 547 阅读

1. 从零开始：VLAN到底是什么，为什么你的路由器需要它？

如果你家里或者办公室的网络设备越来越多，比如有电脑、NAS、智能电视、游戏机，还有一堆智能家居设备，你可能会发现网络变得有点“乱”。所有设备都挤在同一个局域网里，就像一个大通铺，谁都能看见谁。这有时候会带来麻烦，比如你不想让访客的Wi-Fi设备访问你存放重要文件的NAS，或者你希望智能家居设备在一个独立、安全的网络里运行，避免被干扰。这时候，VLAN（虚拟局域网） 就该登场了。

简单来说，VLAN技术能让你在一台物理的路由器或交换机上，划分出多个逻辑上完全隔离的网络。你可以把它想象成在一栋大楼里，用看不见的墙隔出好几个独立的房间。每个房间（VLAN）里的人可以自由交流，但不同房间之间如果没有“门”（路由规则），是无法直接沟通的。这对于提升网络安全性、优化流量管理至关重要。

在OpenWrt这样的开源路由器系统上，我们可以通过配置底层的Switch（交换机）芯片来实现VLAN功能。很多家用路由器其实都内置了多端口的Switch芯片，只是出厂时被固化成简单的“一个WAN口，几个LAN口”的模式。刷入OpenWrt后，我们就能解锁它的全部潜力，按照自己的意愿重新划分这些物理端口。

在开始动手之前，我们先得搞清楚几个最核心的概念，这能帮你避免后面配置时一头雾水。

1.1 核心概念扫盲：LAN、WAN、Tagged和Untagged

LAN和WAN：这个大家应该很熟悉。LAN（局域网）就是你的内部网络，比如你电脑连的Wi-Fi或者网线口。WAN（广域网）则是路由器连接外部互联网的入口，比如接光猫的那个口。在VLAN的视角下，LAN和WAN本质上就是两个不同的VLAN。

VLAN ID：这是每个虚拟局域网的唯一身份证号，范围是1到4094。配置时，我们就是通过指定不同的VLAN ID来创建不同的网络。比如，通常我们会用VLAN 1作为管理LAN，VLAN 2作为WAN。

Access口和Trunk口（在OpenWrt里的叫法）：这是理解VLAN数据流的关键。

未标记（Untagged）：这对应传统交换机里的Access口。当一个端口对某个VLAN设置为“未标记”时，意味着连接这个端口的设备（比如你的电脑）发送和接收的数据包都是不带VLAN标签的普通以太网帧。设备根本不知道VLAN的存在。从交换机的角度看，所有从这个端口进来的数据，都会被打上这个端口所属的默认VLAN（PVID）的标签；从这个端口出去的数据，如果其VLAN标签与PVID一致，标签则会被剥离。一个物理端口通常只能对一个VLAN设置为“未标记”，因为设备无法处理多个不带标签的网络。
已标记（Tagged）：这对应Trunk口。当一个端口对某个VLAN设置为“已标记”时，意味着通过这个端口传输的数据帧会携带VLAN标签。这个端口通常用于连接理解VLAN标签的设备，比如另一台支持VLAN的交换机，或者路由器本身的CPU（在OpenWrt里，这个内部连接端口通常被称为CPU端口或端口6）。通过Tagged端口，多个不同VLAN的数据可以混合在一根网线上传输，实现“一线多用”。

虚拟接口（ethX.Y）：在Linux系统里，eth0代表第一块物理网卡（对应Switch芯片）。eth0.1则代表在eth0上创建的、属于VLAN ID 1的虚拟接口。OpenWrt正是通过配置这些虚拟接口（如eth0.1、eth0.2）来让系统内核处理不同VLAN的网络路由和防火墙规则的。