一、引言：VLAN 间路由的必要性
在企业网络中，VLAN（虚拟局域网）技术被广泛用于逻辑隔离不同部门（如财务、研发、市场）的流量，提高网络安全性并减少广播域。然而，这种隔离也带来了新的问题：不同 VLAN 下的设备无法直接通信。为了实现跨 VLAN 的数据交换，我们需要在网络中引入路由功能。传统的解决方案是使用路由器，但这种方式需要额外的设备，成本较高且可能成为网络瓶颈。三层交换技术应运而生，它将二层交换的效率和三层路由的智能集成在同一台设备中，通过在交换机上创建虚拟接口（SVI）并配置 IP 地址，即可实现 VLAN 间的路由，是现代企业网络的核心技术之一。
1.1 什么是 VLAN 间路由？
VLAN 间路由是指在不同 VLAN 网络之间转发数据包的过程。当一个 VLAN 内的设备需要与另一个 VLAN 内的设备通信时，数据包必须经过路由设备，该设备会根据目标 IP 地址查找路由表，然后将数据包转发到正确的 VLAN。
1.2 为什么选择三层交换？
与传统的路由器相比，三层交换机在处理 VLAN 间路由时具有显著优势：
- 性能更高：三层交换机使用硬件 ASIC 芯片进行路由转发，速度远超软件路由器。
- 成本更低：一台设备同时承担了二层交换和三层路由的功能，减少了设备采购和维护成本。
- 管理更便捷：网络架构更简洁，管理点更少。
二、实验拓扑与设备准备
在开始配置之前，我们需要明确网络的设计和 IP 地址规划。
2.1 网络拓扑设计
本教程将模拟一个简单的办公网络，包含一台华为 S5735 交换机，连接两个 VLAN：VLAN 10（研发部）和 VLAN 20（市场部）。每台 VLAN 内有一台 PC。交换机作为网关，负责两个 VLAN 之间的路由。
该图展示了基本的网络架构，S5735 交换机通过 Access 端口连接不同 VLAN 的 PC，并通过内部的 SVI 接口实现 VLAN 间的路由。
2.2 设备与 IP 规划
为了使配置清晰，我们预先规划好设备、VLAN、IP 地址和网关。
| 设备/角色 | 接口 | VLAN ID | IP 地址 | 子网掩码 | 网关 |
|---|---|---|---|---|---|
| S5735 交换机 | VLANIF 10 | 10 | 192.168.10.1 | 255.255.255.0 | - |
| S5735 交换机 | VLANIF 20 | 20 | 192.168.20.1 | 255.255.255.0 | - |
| PC-研发部 | - | 10 | DHCP 或静态 | 255.255.255.0 | 192.168.10.1 |
| PC-市场部 | - | 20 | DHCP 或静态 | 255.255.255.0 | 192.168.20.1 |
三、核心配置步骤
本节将分步讲解在 S5735 交换机上配置 VLAN 间路由的具体命令。
3.1 步骤 1：基础二层 VLAN 配置
首先，我们需要在交换机上创建 VLAN，并将物理端口分配到对应的 VLAN。
- 进入系统视图：
system-view - 创建 VLAN 10：
vlan 10 - 为 VLAN 10 配置描述（可选）：
description R&D_VLAN - 创建 VLAN 20：
vlan 20 - 为 VLAN 20 配置描述（可选）：
description Marketing_VLAN - 将端口 GE0/0/1 加入 VLAN 10：
interface GigabitEthernet 0/0/1，port link-type access，port default vlan 10 - 将端口 GE0/0/2 加入 VLAN 20：
interface GigabitEthernet 0/0/2，port link-type access，port default vlan 20
此流程图展示了创建 VLAN 和配置 Access 端口的基本步骤，这是实现 VLAN 隔离的基础。
3.2 步骤 2：配置 SVI（Switch Virtual Interface）
SVI 是实现三层功能的关键。我们需要为每个 VLAN 创建一个虚拟接口，并为其分配 IP 地址作为该 VLAN 的网关。
- 进入系统视图：
system-view - 进入 VLANIF 10 接口：
interface Vlanif 10 - 为 VLANIF 10 配置 IP 地址：
ip address 192.168.10.1 24 - 进入 VLANIF 20 接口：
interface Vlanif 20 - 为 VLANIF 20 配置 IP 地址：
ip address 192.168.20.1 24
时序图清晰地展示了配置 SVI 接口和 IP 地址的命令执行顺序。
3.3 步骤 3：配置三层接口
默认情况下，SVI 接口是二层的。我们需要将其切换为三层接口，以启用路由功能。
- 进入系统视图：
system-view - 进入 VLANIF 10 接口：
interface Vlanif 10 - 启用三层功能：
undo portswitch - 进入 VLANIF 20 接口：
interface Vlanif 20 - 启用三层功能：
undo portswitch
此流程图说明了如何将 SVI 接口从二层模式切换到三层模式，这是实现 VLAN 间路由的核心操作。
3.4 步骤 4：配置 DHCP 服务（可选）
为了让 PC 自动获取 IP 地址，我们可以配置 DHCP 服务。这里以 VLAN 10 为例。
- 进入系统视图：
system-view - 进入 VLANIF 10 接口：
interface Vlanif 10 - 使能 DHCP 服务：
dhcp select interface - 配置地址池：
dhcp server ip-pool VLAN10_POOL - 配置网关：
gateway-list 192.168.10.1 - 配置 DNS（可选）：
dns-list 8.8.8.8 - 退出并保存配置。
状态图展示了 DHCP 服务配置的流程，从初始的“未配置”状态，经过一系列配置步骤，最终达到“配置完成”状态。
3.5 步骤 5：配置静态路由（如果需要）
如果网络中存在其他网段，可能需要配置静态路由。对于本例，由于只有两个本地 VLAN，默认路由通常就足够了。但如果 S5735 需要访问外部网络（如互联网），则需要配置默认路由指向出口网关。
四、验证与测试
配置完成后，我们需要验证配置是否正确，并测试跨 VLAN 通信是否成功。
4.1 验证 VLAN 与 SVI 状态
在交换机上执行以下命令检查状态：
display vlan：查看 VLAN 是否创建成功，以及端口是否正确加入。display ip interface brief：查看 VLANIF 接口的 IP 地址和状态（应显示 UP）。
4.2 测试跨 VLAN 通信
在 PC-研发部（VLAN 10）上 ping PC-市场部（VLAN 20）的 IP 地址（例如 ping 192.168.20.2）。如果配置正确，应该能收到回复。这表明数据包已经成功通过 S5735 交换机进行了路由。
时序图详细描绘了跨 VLAN Ping 测试的完整过程，从源主机发送请求到目标主机返回响应，中间经过了三层交换机的路由转发。
五、常见问题与最佳实践
在实际操作中，可能会遇到一些问题，以下是一些常见问题和建议。
5.1 常见配置错误
- SVI 接口未启用三层：忘记执行
undo portswitch，导致接口仍为二层，无法路由。 - IP 地址配置错误：网关 IP 或子网掩码配置错误，导致通信失败。
- VLAN 与端口不匹配：端口未正确加入 VLAN，或属于错误的 VLAN。
- 防火墙或 ACL 阻止：交换机或 PC 上的防火墙策略阻止了 ICMP 流量。
5.2 性能优化建议
- 使用路由策略：对于复杂网络，可以使用路由策略（Route-Policy）进行更精细的路由控制。
- 开启 ARP 检测：在 SVI 接口上开启 ARP 检测（
arp check enable）可以防止 ARP 欺骗攻击。 - 监控流量：定期使用
display traffic-policy等命令监控 VLAN 间流量，以便进行网络优化。
六、总结
通过本文的教程，我们成功地在华为 S5735 交换机上配置了 VLAN 间路由功能。核心步骤包括：创建 VLAN 并配置 Access 端口、为每个 VLAN 创建 SVI 接口并分配 IP 地址、将 SVI 接口切换为三层模式。这个过程实现了不同 VLAN 之间的无缝通信，是构建现代、高效、安全的企业网络的基础。掌握这一技术，对于网络工程师来说至关重要。
转载自 CSDN-专业IT技术社区
原文链接：https://blog.csdn.net/qq_41840843/article/details/169266258
