用途：在受管交换机上设计并实施基于 802.1Q 的 VLAN 网络分段，将企业网划分为企业、服务器、DMZ、访客、IoT、VoIP、管理、隔离等安全区域，并结合三层过滤与 ACL 降低安全事件影响范围，满足 PCI-DSS、HIPAA、SOC 2 等合规隔离要求。
主要能力：规划 VLAN 与 IP 子网及流量矩阵；在 Cisco Catalyst 等交换机上创建 VLAN、配置接入端口与 802.1Q 中继；通过原生 VLAN 设为未使用 VLAN、禁用 DTP、VTP 透明模式、DHCP Snooping、动态 ARP 检测、IP Source Guard、端口安全、BPDU Guard、风暴控制等加固交换机，防范 VLAN 跳变；在三层交换机或防火墙上配置 SVI 与扩展 ACL 实现 VLAN 间路由与访问控制；按 VLAN 配置 DHCP 池；用 show 命令与 ping/curl 验证分段效果。
使用方式：需具备支持 802.1Q 中继的受管交换机、三层交换机或防火墙、网络设计文档、交换机特权配置访问权限，并理解 802.1Q、STP 与 VLAN 间路由。按设计、配置、加固、ACL、DHCP、验证的流程执行。
适用场景：企业安全分区、零售 PCI-DSS 卡处理环境隔离、高风险 IoT/BYOD/遗留系统隔离、纵深防御。
限制：不应将 VLAN 作为唯一安全控制而不做三层过滤；不适用于需要物理隔离的网络；未对交换机加固时可能遭受 VLAN 跳变攻击。具体平台命令与参数需按实际设备调整。