用nmcli配置vlan子接口的核心是创建绑定物理网卡并指定vlan id的连接，自动持久化且无需手动编辑配置文件。先用nmcli device status和connection show确认物理接口状态与名称，再执行nmcli con add type vlan命令创建vlan连接，接着用nmcli con mod配置ip、网关、dns及地址模式，最后用nmcli con up启用连接，并通过ip命令验证设备与连通性。
用 nmcli 配置带 VLAN Tag 的虚拟子接口，核心是创建一个绑定到物理网卡的 VLAN 连接，并指定 VLAN ID。它不依赖手动编辑配置文件，所有设置自动持久化、重启有效。
确认物理网卡和网络状态
先查看当前可用网卡及连接：
- nmcli device status —— 查看网卡是否处于 connected/disconnected/unavailable 状态
- nmcli connection show —— 列出已定义的所有连接（包括有线、无线、桥接等）
- 重点关注你准备复用的物理接口名，比如 eno1 或 ens33；确保它当前没有被活跃连接占用，或先 nmcli con down "Wired connection 1" 关闭原连接
创建 VLAN 子接口连接
假设你要为财务部创建 VLAN ID 100 的隔离网络，绑定到 eno1：
- nmcli con add type vlan con-name "vlan100-finance" ifname eno1.100 dev eno1 id 100
- 这条命令会生成一个名为 vlan100-finance 的连接，底层设备是 eno1，VLAN 标签为 100，接口别名为 eno1.100
- 此时该连接尚未激活，也未配置 IP，属于“定义但未启用”状态
配置 IP 地址与网络参数
根据部门网段规划，为该 VLAN 接口分配地址（例如 192.168.100.10/24）：
- nmcli con mod "vlan100-finance" ipv4.addresses 192.168.100.10/24
- nmcli con mod "vlan100-finance" ipv4.gateway 192.168.100.1
- nmcli con mod "vlan100-finance" ipv4.dns "8.8.8.8,114.114.114.114"
- nmcli con mod "vlan100-finance" ipv4.method manual —— 明确设为静态地址模式
- 若需 DHCP，改用 ipv4.method auto 即可
启用并验证 VLAN 接口
完成配置后启动连接：
- nmcli con up "vlan100-finance"
- 执行后系统自动创建 eno1.100 设备，并应用 IP 和路由
- 验证：ip -d link show eno1.100（确认存在且含 vlan protocol）；ip addr show eno1.100（检查 IP 是否生效）；ping -I eno1.100 192.168.100.1（测试三层连通性）
- 跨部门隔离效果取决于交换机侧是否已对 trunk 口放行该 VLAN，以及终端是否打上对应 VLAN Tag——Linux 侧只负责收发带 Tag 的帧，隔离逻辑由交换机和网络拓扑保障
不需要额外加载 8021q 模块（现代内核默认启用），也不用手动调用 vconfig 或 ip link add。nmcli 全流程管理，出错可直接 nmcli con delete "vlan100-finance" 回退，安全可控。
