交换机端口有 Access、Trunk、Hybrid 三种模式，分别对应终端接入、跨设备 VLAN 透传、灵活打标。我们来尝试将清它们的工作方式和踩坑点。
管理型工业以太网交换机的 VLAN 配置绕不开 Access Trunk Hybrid 三种端口模式。理解了数据帧进出时的"打标/剥标"动作，这三种模式就再也不会混。
这三种模式的核心差别只在于一点——数据帧进端口时打不打标、出端口时剥不剥标、允许多少个 VLAN 通过。下面用一句话区分三种模式：
Access：只属于一个 VLAN，接终端。收到无标帧打上该 VLAN 标签；发出时剥掉标签，终端看到的就是普通以太网帧。
Trunk：允许多个 VLAN 通过，接交换机或路由器。发帧时除了本征 VLAN（PVID）的帧剥标，其他 VLAN 帧都带着标签走。
Hybrid：最灵活，华为/H3C 等国产工业以太网交换机常用。允许多个 VLAN 通过，且可以配置每个 VLAN 的帧是"带标签出去"还是"不带标签出去"。
Access 端口最简单。你把 PC 接到 VLAN 10 的 Access 口，PC 发出来的帧没有 802.1Q 标签，交换机给它打上 VLAN 10；从 VLAN 10 出去时，交换机把标签剥掉，PC 感觉不到 VLAN 存在。所以 Access 口只能属于一个 VLAN，用来接电脑、摄像头、AP 这类普通终端。
Trunk 端口用于交换机之间互联。它允许多个 VLAN 的帧通过，但对本征 VLAN（PVID，默认 VLAN 1）的帧会剥标，对其他 VLAN 的帧保留标签。这样两台交换机之间只要一根线，就能跑多个 VLAN，省端口。如果把终端接到 Trunk 口，终端通常收不到本征 VLAN 之外的包——因为那些帧带标签，普通网卡不认识。
Hybrid 端口把选择权交给管理员。你可以配置某个 VLAN 的帧"出去时带标签"（tagged），另一个 VLAN"出去时不带标签"（untagged）。典型用法是：上联口配 Hybrid，让部分 VLAN 透传给上层交换机（tagged），同时让某个 VLAN 直接以无标帧方式接本地服务器或特殊设备（untagged）。
| 场景 | 推荐模式 | 原因 |
|---|---|---|
| 接电脑、摄像头、AP | Access | 终端不识 VLAN 标签 |
| 交换机之间互联 | Trunk | 多 VLAN 透传，配置简单 |
| 接路由器 / 防火墙 | Trunk 或 Hybrid | 需要多 VLAN 子接口 |
| 同一口要发多 VLAN 且无标给终端 | Hybrid | 灵活控制 tagged/untagged |
| 服务器要同时收多个 VLAN | Hybrid / Trunk | 按网卡是否支持 802.1Q |
第一，把终端接到 Trunk 口，结果终端拿不到 IP。因为 Trunk 口默认只允许 PVID 的帧不带标签出去，其他 VLAN 都带标签，普通 PC 网卡不识别 802.1Q 标签。第二，Hybrid 口配置错方向：只配了入方向 PVID，没配出方向 untagged，导致数据进得来、出不去。第三，两台交换机之间互联，一边配 Access 一边配 Trunk，同一 VLAN 的帧一边是带标一边是剥标，VLAN 直接不通。
Access Trunk Hybrid 的差别不在名字，而在对 VLAN 标签的处理。Access 是"一个 VLAN 剥标给终端"，Trunk 是"多 VLAN 透传、PVID 剥标"，Hybrid 是"逐 VLAN 灵活配置"。选端口模式时，先问这个口接什么设备、需不需要带标签走，答案就清楚了。
本文由锐应科技整理。了解 管理型交换机与 VLAN 配置 可访问 锐应科技官网，或查看 锐应 Rayin 工业交换机。
