为什么你的VLAN一接廉价交换机就失效？

买一台网管交换机，把家里网络切成几个VLAN，然后发现办公室或者电视柜后面的口不够用了，随手插一台几十块钱的五口非网管交换机上去。能上网，于是你把它忘了。问题恰恰就出在这台被遗忘的设备上。

网管交换机的整套设计，建立在一个默认前提上：一个端口接一台设备。VLAN中继、环路保护、端口安全，这些功能全都围绕这个假设展开。非网管交换机不会告诉你它打破了这个假设，而那台本该让你网络升级的网管交换机，也看不见这件事正在发生。

好消息是，几乎所有问题都能追溯到那一个端口，而且修好它不花一分钱。

VLAN过不了非网管交换机这一关

问题通常从那个喂给非网管交换机的端口开始。如果它被配成了中继口，同时承载多个VLAN的带标签流量，麻烦就来了。非网管交换机根本不知道VLAN是什么，对它来说，802.1Q标签只是另一种以太网类型（0x8100），多数型号会原样转发带标签的帧。

但"多数"这个词承担了太多重量。有些交换机会把标签剥掉，有些干脆把整个帧丢掉，而你在东西坏掉之前，不会知道自己买的是哪一种。

还有一个尺寸上的坑。标签会额外增加四个字节，把满尺寸帧推到1522字节，而老旧或廉价交换机可能会丢弃任何超过1518字节的帧。这会造成网络排查中最让人抓狂的症状：ping和DNS查询一切正常，文件传输和大型网页却卡死。如果你遇到过这种情况并且怪过网线，交换机可能才是真凶。

中继口上的每个VLAN都变成了一个大房间网络

即使标签完美通过，非网管交换机也会把它收到的所有东西从每个端口泛洪出去。原生VLAN、IoT VLAN、摄像头VLAN，以及你中继到那个端口的所有其他VLAN，全部抵达房间里的每一台设备，每个VLAN的广播都对插在上面的任何设备可见。

遇到能识别VLAN的设备会更糟。一台Linux主机、一台Proxmox宿主机，或者一个接入点，可以自己给流量打标签，直接走进那条中继上的任意VLAN，不需要任何密码。你在网管交换机上精心搭建的所有隔离，到那一根网线就结束了。

所以不要中继到非网管交换机。把那个端口设成只承载房间真正需要的那一个VLAN。

设备会落在未打标签的那个VLAN上

普通设备发送的是不带标签的帧，所以插在非网管交换机上的所有东西，最终都会落到该端口的原生VLAN上——在多数网管交换机的界面里叫PVID。如果那恰好是你的主局域网，或者更糟，是你的管理VLAN，那么你的智能插座和电视现在就和交换机的管理页面坐在了一起。

如果你把未打标签的流量从中继上完全剪掉了，设备拿不到DHCP租约，看起来就像彻底死了一样。

要有意设置PVID，并且永远不要把它设成管理VLAN。还有一个怪癖值得知道：非网管交换机为所有VLAN维护一张MAC地址表，所以一个在两个VLAN上使用相同MAC的设备（某些路由器和虚拟网桥会这么做），会不断在不同端口上被重新学习，造成间歇性的、几乎无法诊断的丢包。

环路和端口保护在非网管交换机后面表现完全不同

一根乱插的网线就能同时干掉所有VLAN。把一根网线的两端插进同一台非网管交换机，你就制造了一个桥接环路。广播帧永远绕圈、不断增殖，并通过中继泛洪进它承载的每一个VLAN。这就是为什么一个房间里的客人"顺手理了下线"，就能搞垮你整个网络。

你的网管交换机能不能抓住它，取决于那台非网管交换机。如果它透传生成树协议BPDU，网管交换机会听到自己的BPDU绕回来，然后阻塞该端口，这是理想结果。但有些廉价交换机和IP电话的直通端口会过滤BPDU，让STP对环路完全失明。

别只依赖STP。给那个端口打开风暴控制，如果你的交换机有环路检测功能也一并启用——厂商们管它叫Loop Protection、Loopback Detection，还有别的几种叫法。

端口安全、BPDU Guard和802.1X都会和非网管交换机打架。BPDU Guard一看到BPDU就关掉端口，所以插上一台透传BPDU的交换机，看起来就像端口突然死了。带MAC地址限制的端口安全，在第二或第三台设备连上时就会触发，结果一样。

802.1X更乱。取决于你的交换机怎么处理，要么第一台设备认证通过，后面所有设备免费搭车，要么什么都过不去。两种结果都不是你配置它时想要的。想清楚哪些保护该留在那个喂给另一台交换机的端口上，其余的在那里放宽或关掉，而不是又一次纳闷办公室怎么又断网了。

更安静的问题看起来像Wi-Fi不稳或网线不好

非网管交换机不做IGMP侦听，所以它会把组播流量从每个端口泛洪出去。你的网管交换机想侦听多久都行，但它把整个房间看作一个监听者，无法把范围收窄到上行链路之后。IPTV流、Sonos和AirPlay的发现消息、安防摄像头、Dante音频，最终都会打到那台交换机上的每一台设备。

在网络空闲时，你可能永远注意不到。在网络繁忙时，它会表现为流媒体卡顿、音箱掉出分组、廉价IoT设备跟不上。把组播密集的设备留在网管端口上，或者给那个房间单独一个VLAN，让泛洪被限制住。

节能以太网还会造成你关不掉的链路抖动。