开篇打破“隔离”的墙在上一篇中我们讲到VLAN的核心作用就是隔离。财务部VLAN10和技术部VLAN20就像两栋独立的大楼不能直接串门。但是隔离不是目的业务互通才是。如果财务部需要给技术部发文件或者所有电脑都要访问互联网那么不同VLAN之间就必须能够通信。由于VLAN是二层数据链路层隔离要跨越VLAN通信就必须借助三层设备网络层也就是——路由器或三层交换机。根据网络规模和成本实现VLAN间通信主要有三种主流方式。下面我们来逐一拆解方式一普通路由多臂路由场景描述路由器有多个物理接口每一个接口连接交换机的不同VLAN端口。1.原理图解交换机将Fa0/1划入VLAN10将Fa0/2划入VLAN20。将Fa0/3和Fa0/4设为Access模式分别接入路由器的两个物理口。路由器Fa0/0口配IP192.168.69.1作为VLAN10的网关Fa0/1口配IP192.168.70.1作为VLAN20的网关。PC0IP192.168.69.10网关指向192.168.69.1。PC1IP192.168.70.10网关指向192.168.70.1。通信流程PC0把数据发给自己的网关192.168.69.1-路由器收到后查路由表-发现目标在192.168.70.0网段-从Fa0/1接口转发给PC1。2.优点原理最简单直观新手最容易理解物理连接一清二楚。完全隔离路由器的每个口独立工作故障排查容易。3.缺点浪费路由器接口。如果有5个VLAN路由器就得有5个网口成本剧增。扩展性极差。企业里VLAN可能有几十个路由器根本插不下这么多线。瓶颈每个VLAN占一个物理口性能受限于单个接口带宽。结论这种方式只适合实验学习或只有2~3个VLAN的微型网络生产环境极少使用。4.配置脚本思科 (Cisco) 配置// ---- 交换机配置 ---- Switch(config)# vlan 10 Switch(config)# vlan 20 Switch(config)# interface fa0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10 Switch(config)# interface fa0/2 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 20 // 路由器连接口划入对应 VLAN Switch(config)# interface fa0/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10 Switch(config)# interface fa0/4 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 20 // ---- 路由器配置 ---- Router(config)# interface fa0/0 Router(config-if)# ip address 192.168.69.1 255.255.255.0 Router(config-if)# no shutdown Router(config)# interface fa0/1 Router(config-if)# ip address 192.168.70.1 255.255.255.0 Router(config-if)# no shutdown华为 (Huawei) 配置// ---- 交换机配置 ---- [Huawei] vlan batch 10 20 [Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10 [Huawei] interface GigabitEthernet 0/0/2 [Huawei-GigabitEthernet0/0/2] port link-type access [Huawei-GigabitEthernet0/0/2] port default vlan 20 // ---- 路由器配置 ---- [Huawei] interface GigabitEthernet 0/0/0 [Huawei-GigabitEthernet0/0/0] ip address 192.168.69.1 24 [Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] ip address 192.168.70.1 24方式二单臂路由Router-on-a-Stick——最佳性价比方案为了解决“普通路由接口不够用”的问题工程师发明了单臂路由。核心思路路由器只用1个物理接口但在这个接口上划分出多个逻辑子接口Sub-interface每个子接口充当一个VLAN的网关。交换机这一端则使用Trunk口连接路由器。1.工作原理将交换机连接路由器的那个端口如Fa0/24设为Trunk模式允许VLAN10和20通过。路由器的一个物理口如Fa0/0不配IP而是配置两个子接口(以下设置只是举例和上图无关)Fa0/0.10封装VLAN10的标签配IP192.168.69.1。Fa0/0.20封装VLAN20的标签配IP192.168.70.1。通信流程PC0发数据-交换机打上VLAN10的Tag标签-通过Trunk传给路由器-路由器识别标签交由Fa0/0.10处理-查路由表发现目标在VLAN20-加上VLAN20的标签扔回Trunk-交换机去除标签转发给PC1。2.优点节省端口路由器只需1个物理网口就能处理几十个VLAN的通信。成本极低非常适合家庭或小企业网络不需要买昂贵的设备。3.缺点瓶颈显著所有VLAN的跨网段流量都挤在这唯一的一根物理线上通常只有100M或1000M流量大时极易拥堵。路由器转发效率普通路由器是靠CPU做软件转发处理大量数据包时会消耗大量CPU性能远不如专门处理数据的交换机硬件。结论单臂路由是小型网络的黄金选择既省钱又灵活。4.配置脚本别忘声明vlan这部分和上面的网络拓扑图并不对应思科 (Cisco) 配置// ---- 交换机配置 ---- // 连接路由器的接口设为 Trunk Switch(config)# interface fa0/24 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20 // 允许特定 VLAN 通过 // ---- 路由器配置 ---- // 开启物理接口不配 IP Router(config)# interface fa0/0 Router(config-if)# no shutdown // 配置子接口 Fa0/0.10VLAN 10 的网关 Router(config)# interface fa0/0.10 Router(config-subif)# encapsulation dot1Q 10 // 封装 VLAN 10 标签 Router(config-subif)# ip address 192.168.69.1 255.255.255.0 // 配置子接口 Fa0/0.20VLAN 20 的网关 Router(config)# interface fa0/0.20 Router(config-subif)# encapsulation dot1Q 20 // 封装 VLAN 20 标签 Router(config-subif)# ip address 192.168.70.1 255.255.255.0华为 (Huawei) 配置// ---- 交换机配置 ---- [Huawei] interface GigabitEthernet 0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 // ---- 路由器配置 ---- [Huawei] interface GigabitEthernet 0/0/0.10 [Huawei-GigabitEthernet0/0/0.10] dot1q termination vid 10 // 封装 VLAN 10 [Huawei-GigabitEthernet0/0/0.10] ip address 192.168.69.1 24 [Huawei-GigabitEthernet0/0/0.10] arp broadcast enable // 华为子接口必须开启 ARP 广播才能通 [Huawei] interface GigabitEthernet 0/0/0.20 [Huawei-GigabitEthernet0/0/0.20] dot1q termination vid 20 // 封装 VLAN 20 [Huawei-GigabitEthernet0/0/0.20] ip address 192.168.70.1 24 [Huawei-GigabitEthernet0/0/0.20] arp broadcast enable方式三三层交换机——企业级的主流方案场景描述现代化企业、数据中心几乎全部采用三层交换机。它兼具交换机的“高速转发”和路由器的“路由功能”且全部用硬件ASIC芯片进行转发速度极快。1.工作原理SVI方式在三层交换机上不需要连接路由器而是直接在交换机内部创建一个虚拟接口SVISwitchVirtualInterface给每个VLAN当网关。以下配置与上图无关创建VLAN10并配置SVIinterfacevlan10配IP192.168.69.1。创建VLAN20并配置SVIinterfacevlan20配IP192.168.70.1。通信流程PC0发数据给网关-三层交换机收到后直接在硬件芯片层面查路由表-将二层帧头改写为VLAN20的MAC-直接从VLAN20的端口扔给PC1。2.优点速度极快基于硬件ASIC转发可以达到线速几十Gbps完全无瓶颈。扩展性强有多少个VLAN就能配置多少个SVI接口不用担心物理接口数量。同时具备路由功能可以配置静态路由、OSPF等是大型网络的绝对核心。3.缺点价格较高三层交换机比二层交换机贵且需要具备一定的配置能力。不能替代路由器三层交换机不擅长做NAT网络地址转换如访问互联网和复杂的防火墙策略所以企业通常是“三层交换机做内网互联出口路由器做上网”。结论三层交换机是大中型网络的标配性能强悍。4.配置脚本核心变化不需要外接路由器。直接在三层交换机上创建VLAN 接口SVI并给它们配 IP 做网关。交换机必须先全局开启路由功能。思科 (Cisco) 配置// ---- 交换机配置 ---- Switch(config)# ip routing // 开启三层交换机的路由功能 Switch(config)# vlan 10 Switch(config)# vlan 20 // 创建 VLAN 10 的虚拟接口网关 Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.69.1 255.255.255.0 Switch(config-if)# no shutdown // 创建 VLAN 20 的虚拟接口网关 Switch(config)# interface vlan 20 Switch(config-if)# ip address 192.168.70.1 255.255.255.0 Switch(config-if)# no shutdown // 把物理接口划入对应 VLAN Switch(config)# interface fa0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10 Switch(config)# interface fa0/2 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 20华为 (Huawei) 配置// ---- 交换机配置 ---- [Huawei] vlan batch 10 20 // 创建 VLAN 10 的虚拟接口网关 [Huawei] interface Vlanif 10 [Huawei-Vlanif10] ip address 192.168.69.1 24 // 创建 VLAN 20 的虚拟接口网关 [Huawei] interface Vlanif 20 [Huawei-Vlanif20] ip address 192.168.70.1 24 // 把物理接口划入对应 VLAN [Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10 [Huawei] interface GigabitEthernet 0/0/2 [Huawei-GigabitEthernet0/0/2] port link-type access [Huawei-GigabitEthernet0/0/2] port default vlan 20最终对比总结对比维度普通路由多臂单臂路由三层交换机SVI硬件消耗路由器占用多个物理口路由器占用1个物理口纯交换机内部虚拟口适用规模微型/实验网络小型网络如家庭、小公司中大型企业、数据中心转发速度慢CPU软转发慢唯一线路瓶颈极快硬件线速转发配置难度最简单适中需封装Dot1Q稍高需开启路由功能成本低但浪费口最低较高如何选择如果你现在要设计公司的网络只有10台电脑2个部门预算紧张➡️选单臂路由。50台电脑5个部门内网经常传大文件➡️果断选三层交换机。刚学网络手边只有旧路由器和交换机➡️用你图中的多臂路由做实验理解最透彻。