做网络实验这么多年三层交换机的配置永远是绕不开的坎。最近整理之前的实验笔记翻到这份“实验八 三层交换机的VLAN配置”当时折腾了不少时间也踩了好几个坑现在把整个实验的配置思路、操作过程和排障经验完整梳理一遍。如果你是刚学计算机网络、正在做类似实验的学生或者在公司里第一次接触三层交换机配置这篇内容可以直接照着操作如果你已经有点基础重点看第五章和第六章那里集中了我自己实际踩过的坑和排查套路。这个实验的核心不算难在三层交换机上划分两个VLAN让两边的终端能够跨VLAN通信。但越是基础的实验越能体现对二层广播域、三层路由的理解是否到位。配置命令背得再熟不理解“VLAN隔离广播域、三层交换机负责路由转发”这两句话做实验时照样容易翻车。我会把每个关键动作背后的原理也一并说清楚这样就算换了设备、换了命令风格你也能举一反三。1. 实验目标与整体设计思路1.1 三层交换机到底解决了什么问题做这个实验之前得先想明白一个问题既然交换机能把多台电脑连起来互相通信为什么还要划分VLAN为什么二层交换机不能直接实现VLAN之间的互访一个没有划分VLAN的局域网所有端口都在同一个广播域里。任何一台设备发送广播帧比如ARP请求、DHCP发现报文交换机都会把它从这个广播域的所有端口转发出去。主机数量少的时候没什么感觉但一旦网络里挂了几百台设备广播风暴会导致交换机CPU占用飙升终端频繁处理无关的广播报文整体网络性能明显下降。VLAN的引入就是把一个大的广播域“切”成多个逻辑隔离的小广播域广播报文只在同一个VLAN内部泛滥其他VLAN的端口根本收不到。但逻辑隔离带来了另一个问题VLAN 10的设备想访问VLAN 20的设备二层交换机看到目标IP不在本网段时只会把数据发给网关而网关在哪二层交换机本身没有路由能力所以必须在网络里加一个三层设备要么是路由器要么是三层交换机。路由器加交换机的方案用了很多年但有个明显的短板所有跨VLAN流量都要经过路由器转发路由器处理能力有限而且跨VLAN流量一旦大起来路由器出口就会变成瓶颈。三层交换机把路由模块集成到交换硬件里数据在设备内部直接做高速转发性能和延迟都优于外挂路由器。实验里用三层交换机一是为了让你掌握VLAN划分和配置二是让你理解交换机从二层到三层的跨越到底带来了什么变化。1.2 实验拓扑与网段规划动手敲命令之前先把拓扑和IP地址规划好这一步千万别嫌麻烦。实验拓扑参考最常见的教学环境一台三层交换机下面接两台PC分别连接到交换机的两个不同端口。交换机上创建两个VLAN——VLAN 10和VLAN 20PC1划分到VLAN 10PC2划分到VLAN 20两台PC的IP地址在不同网段。网段规划如下表对象VLAN网段网关SVI接口地址终端IPPC1VLAN 10192.168.10.0/24192.168.10.1192.168.10.10PC2VLAN 20192.168.20.0/24192.168.20.1192.168.20.10选这两个网段的原因很简单避免IP地址冲突方便记忆子网掩码统一用255.255.255.0也就是24位掩码实验规模小不需要更复杂的子网划分。在真实环境中网关地址通常是网络里第一个可用地址192.168.10.1和192.168.20.1放在交换机上恰好符合实际部署习惯。有一点要特别注意PC的网关地址必须和交换机对应VLAN的SVI接口地址一致。这个一致不仅在IP地址数字上还包括子网掩码。如果网关配成了192.168.10.2而交换机上的SVI是192.168.10.1PC发出的数据就永远找不到出口。这种低级错误在实验报告里极其常见。2. 基础配置VLAN划分与接口类型选择2.1 Access口与Trunk口的分工逻辑配置VLAN第一步永远是决定交换机的端口应该工作在什么模式。端口模式有三种常见类型Access口、Trunk口、Hybrid口部分设备支持。做这个基础实验主要用前两种。Access口通常连接终端设备比如PC、打印机。一个Access口只能属于一个VLAN端口收到数据帧时根据端口的PVIDPort-based VLAN ID给帧打上对应VLAN的标签但对外只允许这个VLAN的帧通过。简单理解就是PC不关心VLAN标签Access口替它把身份确定好。Trunk口通常连接交换机与交换机、交换机与路由器。一条Trunk链路可以同时承载多个VLAN的流量通过802.1Q标签区分不同VLAN。Trunk口在两台交换机之间传递数据帧时帧头里带上了VLAN ID接收端交换机就知道这个帧属于哪个VLAN从而决定是否从对应的Access口转发出去。打个比方Access口像小区单元门门口登记的住户只能回自己家Trunk口像单元之间的公共走廊送快递的人拿着各家地址标签把货物分类送达。VLAN标签就是那个地址标签。实验里只有一台三层交换机没有交换机之间的级联所以PC连接口全部配置为Access口。这个结论很重要很多同学在单台交换机实验里把连接PC的端口也配成Trunk结果PC根本收不到数据帧因为PC的网卡不处理802.1Q标签。所以端口模式的选用必须看对端设备是什么类型而不是看心情。2.2 VLAN创建与端口划分命令实录下面以通用命令行风格给出配置在不同厂商设备上命令略有差异但思路完全一致。先进入全局配置模式创建VLAN并命名vlan 10 name Office exit vlan 20 name Student exitVLAN编号范围在一个简单实验里不需要用到扩展VLAN10和20已经足够。给VLAN命名是为了让后续查看配置时清楚地知道每个VLAN的用途这一步别省实际排查时看到“Office”和“Student”比看到一堆数字容易理解得多。接下来把连接PC的端口划入对应VLAN。假设PC1接在1号端口PC2接在2号端口interface gigabitethernet 0/1 switchport mode access switchport access vlan 10 exit interface gigabitethernet 0/2 switchport mode access switchport access vlan 20 exit端口编号在不同的设备上格式不同有些是gigabitethernet 0/1有些是gigabitethernet 1/0/1这个以实际环境为准。关键是两条命令的顺序逻辑先把端口模式设成Access再把端口划进指定VLAN。模式不统一的情况下有的设备会拒绝划分VLAN或者划分后端口自动变为Trunk。配置完成后用查看命令确认一下别急着往下走show vlan brief这个命令会输出所有VLAN的编号、名称、状态以及每个VLAN下有哪些端口。看到VLAN 10和VLAN 20分别对应1号端口和2号端口再进行下一步。实验中有不少人配置完VLAN就以为万事大吉结果发现端口根本没划分进去就是少了这一步检查。3. 核心难点跨VLAN通信的SVI与路由配置3.1 SVI接口与路由表的关系VLAN配置完成后PC1和PC2仍然是彼此隔离的。PC1要和PC2通信必须借助三层设备做路由转发。在三层交换机上实现VLAN间路由最常用的方式就是SVI——Switch Virtual Interface虚拟交换接口。很多人第一次接触SVI会困惑这个接口在哪里它对应的物理接口是什么其实SVI不是一个真实存在的物理端口它是一个逻辑接口代表某个VLAN对应的三层网关。给VLAN 10配置一个SVI地址192.168.10.1就相当于给VLAN 10这个网段设置了一个虚拟网关所有连接到VLAN 10、网关指向192.168.10.1的设备都会把跨网段的数据交给这个SVI处理。SVI背后真正干活的是三层交换机的路由引擎。当PC1访问PC2时PC1把数据帧的目标MAC写成网关的MAC192.168.10.1交换机收到后发现目标IP是192.168.20.10不在VLAN 10的直连网段内于是查询路由表。路由表里如果有去往192.168.20.0/24的路由且下一跳指向VLAN 20的SVI接口交换机就把数据帧重新封装从VLAN 20的Access口转发出去最终到达PC2。理解这个流程后你就知道三层交换机最关键的两个要素一是SVI地址作为各VLAN的网关二是路由功能必须启用。只配置SVI但没启用全局路由或者SVI没配置IP跨VLAN通信必然失败。3.2 SVI配置完整步骤与参数说明创建VLAN并完成端口划分之后紧接着配置SVIinterface vlan 10 ip address 192.168.10.1 255.255.255.0 no shutdown exit interface vlan 20 ip address 192.168.20.1 255.255.255.0 no shutdown exitIP地址和掩码的含义在实验里需要重点理解地址是网关地址掩码决定了这个VLAN网段的主机范围。VLAN 10的SVI是192.168.10.1/24意味着这个网段的有效主机地址是192.168.10.1到192.168.10.254PC1的192.168.10.10就在这个范围内。no shutdown这条命令很容易被忽略。部分设备上SVI默认是up状态但也有很多设备新建SVI后接口默认是down的不敲no shutdown接口状态始终显示downVLAN间路由根本走不通。我在配置模拟器和真机时都遇到过这种情况所以这里特别强调SVI创建后务必检查接口状态必要时手动开启。接下来是全局路由功能的启用命令ip routing在绝大多数三层交换机上这个命令用于开启IP路由功能。没有它三层交换机就像一个带管理地址的二层交换机只会转发同网段流量不同VLAN之间依然无法互访。不同品牌设备的命令风格有差异比如有些设备默认开启有些设备需要不同的命令但本质都是“让设备在二层转发的基础上额外承担三层路由转发工作”。配置完成后查看当前路由表show ip route正常情况下路由表里会出现两条直连路由192.168.10.0/24直连VLAN 10的SVI192.168.20.0/24直连VLAN 20的SVI。出现这两条直连路由说明三层交换机已经把两个VLAN网段纳入了自己的路由信息接下来就可以尝试跨VLAN的Ping测试了。4. 验证方法与测试结果解读4.1 全网Ping通测试流程配置完不等于配置对必须做完整验证。第一步给PC配置IP地址、子网掩码和网关。PC1的IP是192.168.10.10掩码255.255.255.0网关192.168.10.1PC2的IP是192.168.20.10掩码255.255.255.0网关192.168.20.1。验证流程按从近到远的顺序来第一测PC1 ping自己的网关192.168.10.1。通了说明PC1所在链路正常、Access口划分正确、SVI地址正确、VLAN 10的广播域内设备能互通。第二测PC2 ping自己的网关192.168.20.1。通了说明VLAN 20的链路和网关也没问题。第三测PC1 ping PC2的地址192.168.20.10。这是关键一跳通了说明三层交换机上的VLAN间路由配置成功。第四测反过来PC2 ping PC1的192.168.10.10。这个双向测试很多人会忽略实际配置中可能出现单向通的情况比如ACL限制、路由缺失都可能导致单向通信。基础实验里双向都应该通但养成双测习惯对以后做防火墙策略、ACL过滤的实验非常有帮助。4.2 看MAC表、ARP缓存和路由表的门道Ping通之后实验报告里通常会要求你记录各种表项很多人只是机械地敲命令然后复制输出根本没看数据里藏了什么信息。show mac address-table后你会看到交换机学习到的MAC地址与VLAN、端口的对应关系。PC1的MAC地址应该出现在VLAN 10条目下对应连接PC1的端口PC2的MAC地址出现在VLAN 20条目下对应连接PC2的端口。这个表体现的是二层交换的学习结果也是验证VLAN划分是否生效的直观证据。show arp输出的是ARP缓存表记录IP地址与MAC地址的映射关系。跨VLAN通信后你会看到PC1的ARP缓存里记录了192.168.20.10对应的MAC地址。有意思的是如果PC1去ping PC2PC1并不知道PC2的真实MAC地址它只知道网关192.168.10.1的MAC。数据帧到交换机后由交换机查询路由表并重新封装这个过程对PC1来说是透明的。所以在PC1上查看ARP表你会看到192.168.20.10对应的是网关的MAC还是PC2自己的MAC实际结果是PC1的ARP表中会出现192.168.20.10对应的MAC因为ARP请求是PC1发出的但PC2与PC1不在同一广播域PC1的ARP请求不可能直接到达PC2。那PC1到底怎么学到PC2的MAC地址的答案是代理ARP机制或者交换机路由机制。在三层交换机上VLAN间通信时PC1发送ARP请求询问192.168.20.10的MAC地址交换机收到后发现目标不在同网段会代答自己VLAN 20 SVI的MAC还是直接转发ARP请求这里面有厂商实现差异。为了避免实验报告写错最稳妥的做法是在PC1上直接写“测试时观察到PC1的ARP缓存中记录了192.168.20.10的条目映射到三层交换机VLAN 20 SVI接口的MAC地址”这个结论在不同设备上可能略有差别但原理上跨VLAN通信必须经过三层设备数据帧最终由三层交换机重新封装并转发。这类细节才是一个网络工程师真正关心的配置命令只要几分钟但搞清楚数据包在网络里是怎么走的才是实验的核心价值。5. 实验中的常见故障与排查思路5.1 明明配置了VLAN为什么终端还是不通做实验最容易翻车的地方不是命令敲错而是连环故障叠加在一起让人无从下手。我把实际过程中经常遇到的问题整理成了一张速查表照着顺序排查比漫无目的地猜要高效得多。现象可能原因排查命令PC ping不通自己的网关端口没划入正确VLANSVI接口状态downPC网卡IP/网关配置错误show vlan briefshow ip interface brief同VLAN内PC能通跨VLAN不通全局路由未启用SVI地址与PC网关不一致路由表缺失show ip routeshow running-configPC之间直连不通Access口模式配置错误端口物理连接问题show interfaces statustrunk链路导致跨交换机VLAN不通trunk未允许对应VLAN通过native VLAN不一致show interfaces trunk其中最常见的一个问题是SVI接口配置了IP地址但忘记敲no shutdown。在部分模拟器里SVI默认可能就是up的但在真实设备上情况不同我见过很多次“SVI配置看起来完全正确但接口状态一直down”的情况。判断方法很简单show ip interface brief如果看到VLAN 10这个接口的状态是down/down或admin down第一反应就是去检查有没有no shutdown。还有一个容易忽略的问题PC和交换机端口连接的物理链路。实验环境里网线松动、端口损坏的情况时有发生。show interfaces status能直接看到端口是否为connected状态。如果端口一直显示notconnect先查物理链路别急着改配置。5.2 Trunk链路不通的排查套路虽然单台三层交换机的实验里没有Trunk但很多课程会把两台交换机级联起来一台三层交换机带一台二层交换机这时Trunk配置就成了跨交换机VLAN通信的命门。我把这部分也写进来因为实际组网中几乎一定会遇到。排查Trunk链路问题顺序很固定先看端口模式show interfaces trunk确认两端的端口状态都是trunk。如果一边是access一边是trunk链路会上不来VLAN流量也会被错误分类。再看允许通过的VLAN列表。有的设备在配置trunk时默认允许所有VLAN通过但有些场景里管理员会手动限制trunk只允许特定VLAN比如switchport trunk allowed vlan 10,20如果漏掉了某个VLAN那个VLAN跨交换机的流量就会全部不通。最后看native VLAN。802.1Q标准里native VLAN的帧在trunk链路上不带标签默认native VLAN是VLAN 1。如果两台交换机上native VLAN配置不一致比如一端是VLAN 1另一端是VLAN 10两端的交换机对无标签帧的理解就会错位导致VLAN 10的流量在二端被当成VLAN 1通信自然混乱。这种问题最隐蔽因为show interfaces status看物理链路都是up的show vlan brief看VLAN也都是存在的但数据包就是在链路上被“标错”了身份。我自己就曾经在调试跨交换机VLAN时有近半小时完全找不到原因最后发现是两边的native VLAN不一致命令只有一行之差现象却让人完全摸不着头脑。所以排查Trunk问题时任何时候都要把native VLAN列进怀疑对象。6. 做这个实验的一些心得和避坑经验6.1 把“二层隔离、三层互通”刻在脑子里做完整个实验最大的收获不是会敲那几条命令而是建立起了一套分析网络问题的思维框架。二层的问题集中在VLAN划分、端口模式、MAC地址表、广播域这些概念上三层的问题集中在IP地址、路由表、SVI、网关这些概念上。遇到ping不通先问自己这个数据包是within广播域还是要跨广播域如果要跨三层设备上的路由信息是否正确PC的网关配置是否指向正确这一套问题下来排查方向基本就不会跑偏。我见过一些同学实验课全程手忙脚乱配置照着文档抄完了反反复复改命令最后还是ping不通。原因往往不是命令没抄对而是没有建立分层排查的意识。配置错了show命令会告诉你配置在哪里但理解错了看多少输出都救不了你。6.2 三个具体可见的经验教训第一演示实验前先在PC的命令行窗口做一次网关连通性测试。这个步骤不是走形式而是把“PC到交换机”这一整段链路单独验证出来。如果网关都不通后面所有跨VLAN测试都免谈。我曾经在一次实验检查时发现PC1的网关能通PC2的网关不通最后定位到是PC2网关地址写成了192.168.20.2而交换机上的SVI是192.168.20.1一个数字之差问题就摆在那。第二养成看接口状态的肌肉记忆。配置完SVI后立即用show ip interface brief确认接口状态是up。我看到很多文档都不会特意提这句话但实际中SVI默认admin down的设备并不少见。把“配置完接口就要查状态”养成习惯能避免很多无效排查。第三保存配置。实验完成前一定要用对应的保存命令比如write或copy running-config startup-config把配置保存下来。实验中途断电、模拟器重启之前配置丢失的话一切都要从头来过。这个动作很简单但能救你一次。另外一个体会很深的是命令风格差异。不同品牌的交换机VLAN配置命令大同小异但“启用三层路由”这个步骤的差异就大了。有的设备是全局命令有的设备需要进入接口配置模式去开启三层模式甚至同一品牌的不同系列也可能不一样。所以实验报告里写命令时最好注明设备型号和命令行风格这样以后回看这份笔记时你才能准确还原当时的操作环境。做实验最忌讳死记命令最怕懒得看show输出。三层交换机的VLAN配置命令敲完几分钟就完事了但真正值钱的功夫全在配置完成之后的验证和排障里。把每个show命令的输出和网络行为对应起来哪怕只是把一张MAC地址表从打开到完全看懂都比多抄十遍命令有价值得多。这个观点是我在反复踩坑之后总结出来的希望正在做这个实验的你能少走一点弯路。