下游私建的VLAN一路传遍全网？华为GVRP三种注册模式把权限分级

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

GVRP动态注册省掉了逐台建VLAN的重复劳动：接入侧手工建一个VLAN，Trunk链路上的设备自动跟着注册，全网连通。但方便的另一面是失控——下游设备随手建个VLAN，注册消息一路往上传，没有权限约束的话，一个部门私建的VLAN能传遍整张网，管理责任和广播域边界都会跟着糊掉。

三种模式各管一档

华为交换机的GVRP给接口准备了三种注册模式，把谁能注册、谁能传播的权限分级管起来。按官方文档的口径：

Normal模式：允许该接口动态注册、注销VLAN，传播动态VLAN以及静态VLAN信息。这是缺省模式，信任对端，什么都跟着学。

Fixed模式：禁止该接口动态注册、注销VLAN，只传播静态VLAN信息，不传播动态VLAN信息。官方文档里讲得很形象——被设置为Fixed模式的Trunk接口，即使允许所有VLAN通过，实际通过的VLAN也只能是手动创建的那部分。也就是把动态注册的口子焊死，只认管理员手工配的VLAN。

Forbidden模式：禁止该接口动态注册、注销VLAN，不传播除VLAN1以外的任何VLAN信息。哪怕接口允许所有VLAN通过，实际通过的也只能是VLAN1，适合对着不可信网络或者明确不允许动态VLAN的方向。

一条命令完成设置

配置本身不复杂：先进系统视图，再进入对应接口视图，执行下面这条命令配置GVRP接口注册模式，取值在三档里按位置选：

gvrp registration { fixed | forbidden | normal }

缺省情况下，GVRP接口注册模式为normal。有一条前置约束必须记住：配置GVRP接口注册模式之前，需要先使能接口的GVRP功能，顺序反了配不上去。

按位置选档与验证

落地时可以按位置定：核心与汇聚之间的互联口保持Normal，让合法的动态注册继续走；汇聚对着接入的口按管理策略用Fixed，动态VLAN不许越界，静态VLAN照常透传；对着不可控网络或合作方方向的口直接Forbidden，一条动态VLAN都进不来。这样权限阶梯就立起来了——下游想私建VLAN，注册消息到Fixed口就停，不会再向全网扩散。

验证方式也直观：在下游建个测试VLAN，到Fixed接口的上联侧看动态注册是否被拦下、静态VLAN是否正常通过；再对照display gvrp statistics里的接口注册模式确认配置落位。

自动化省事，权限护栏不能省，GVRP三种注册模式就是把方便关进笼子的三道闸，多部门网络里VLAN的边界从此跟着部门权属走。欢迎搜索关注贵州诚鑫致达科技，获取更多交换机VLAN管理的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。