1. 为什么需要VLAN间路由想象一下你住在一个大型社区里办公区、宿舍区和服务器区就像三个独立的小区。虽然大家都用同一个物业交换机但默认情况下这三个区域的人是不能互相串门的——这就是VLAN隔离的效果。这种设计确实能提升安全性和网络效率但现实工作中我们又经常需要让不同区域进行协作。我刚开始接触网络工程时就踩过坑给财务部配置的打印机突然无法被行政部访问排查半天才发现是VLAN隔离导致的。这时候就需要三层交换机出场了——它就像个智能门禁系统既能保持区域隔离又能让有权限的人员自由通行。2. 实验环境搭建2.1 准备你的数字实验室建议先用eNSP新建一个空白工程File New我习惯把每个实验单独保存。拖入这些设备1台S5700三层交换机型号不限但建议用较新的3台PC代表不同区域用自动线缆连接PC1-G0/0/1、PC2-G0/0/2、PC3-G0/0/3注意eNSP有时会出现端口不亮的情况右键设备选择重启通常能解决2.2 基础网络配置给三台PC配置如下参数PC1办公区IP192.168.1.1掩码255.255.255.0网关192.168.1.254这个地址稍后会在交换机配置PC2宿舍区IP172.16.1.1掩码255.255.255.0网关172.16.1.254PC3服务器区IP10.1.1.1掩码255.255.255.0网关10.1.1.254配置完记得每台PC都要点应用按钮有次我忘了点结果排查了半小时...3. 三层交换机核心配置3.1 创建VLAN虚拟网关双击交换机进入命令行这些命令建议逐条执行system-view # 进入上帝模式 vlan batch 10 20 30 # 批量创建VLAN interface vlanif 10 # 进入VLAN10的虚拟接口 ip address 192.168.1.254 24 # 配置网关IP interface vlanif 20 ip address 172.16.1.254 24 interface vlanif 30 ip address 10.1.1.254 24这里有个实用技巧华为设备支持简写命令比如int代替interfaceadd代替address。但新手建议先用完整命令等熟悉了再用简写。3.2 端口绑定VLAN继续在交换机配置interface GigabitEthernet0/0/1 port link-type access # 设为接入模式 port default vlan 10 # 划入VLAN10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/3 port link-type access port default vlan 30曾经有学员问为什么不用trunk模式这里解释下access模式就像给端口贴专属标签而trunk模式相当于多功能通道。我们当前场景每个端口只需服务一个VLAN所以access更合适。4. 验证与排错4.1 检查配置成果这几个诊断命令堪称网络界的听诊器display vlan # 查看VLAN包含哪些端口 display ip interface brief # 检查接口IP状态 display ip routing-table # 查看神奇的路由表正常应该看到每个VLAN包含正确的端口三个VLAN接口状态都是UP路由表有192.168.1.0/24、172.16.1.0/24、10.1.1.0/24三条直连路由4.2 实战连通性测试在PC1上尝试ping 192.168.1.254 # 先测试网关是否通 ping 172.16.1.1 # 跨VLAN测试宿舍区 ping 10.1.1.1 # 跨VLAN测试服务器区如果第一个ping通但后两个不通八成是路由表没生成可以尝试检查交换机上ip route-static命令是否误操作确认PC防火墙是否关闭新手常踩的坑在交换机用reset saved-configuration重置后重配5. 原理深入解析5.1 三层交换的魔法过程当PC1(192.168.1.1) ping PC2(172.16.1.1)时PC1发现目标IP不在同网段把包发给网关192.168.1.254交换机收到后查路由表发现172.16.1.0/24对应VLAN20接口数据包从VLAN10接口转到VLAN20接口交换机通过ARP查询到PC2的MAC地址数据包最终送达PC2这个过程看似复杂但三层交换机通过硬件加速实际转发速度接近二层交换5.2 常见误区澄清误区1三层交换机就是路由器真相虽然都能路由但三层交换机采用ASIC芯片硬件转发比路由器软件转发快10倍以上误区2VLAN间通信必须用路由器真相中小型网络用三层交换机更经济高效只有需要复杂策略时才需要路由器误区3配置完VLAN接口就能通信真相必须确保物理端口已加入对应VLAN这就是我们第二步配置的意义6. 企业级应用实例去年给某学校机房改造时就用这个技术实现了教师办公区VLAN10可访问教务系统VLAN30学生机房VLAN20只能访问学习平台所有区域都能上网但互访受控关键配置是在三层交换机上添加ACL规则acl number 2000 rule deny ip source 172.16.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 rule permit ip source any destination any interface vlanif 20 traffic-filter outbound acl 2000这个案例说明VLAN间路由不只是连通那么简单更要考虑安全控制。建议大家在实验成功后可以尝试用ACL实现更精细的访问控制。