三层交换机综合实验：VLAN间路由与DHCP中继配置详解

我们网工这行基本都绕不开三层交换机。之前做实验的时候用路由器单臂路由也能让不同VLAN互通但一到实际项目里链路口子就堵得慌转发性能也拉胯。真正把三层交换机用明白是从我做完“实验八 三层交换机综合实验”开始的——VLAN间路由、DHCP中继、端口安全、登录认证这些平时零散的知识点全部串在一个拓扑里跑通你对交换机的理解才算真正从“配置工”变成了“设计者”。这篇文章不绕弯子直接把这个实验的设计思路、完整配置和我在实测中踩过的坑拆给你看适合刚学完VLAN和静态路由、想进阶综合应用的在校生也适合那些被项目里“VLAN互通但DHCP拿不到地址”折磨过的新手工程师。1. 三层交换机解决的第一个问题VLAN间通信为什么不能靠二层交换很多人刚开始做这个实验容易有一种错觉三层交换机不就是“能配IP的交换机”吗这么理解不算错但没触到本质。二层交换机只能根据MAC地址在同一个VLAN内转发帧不同VLAN之间逻辑上是隔离的广播帧也过不去。要让VLAN 10的PC1访问VLAN 20的PC2必须有一个三层设备来做路由转发。传统方案是单臂路由也就是在路由器上起一个物理接口的子接口每个子接口对应一个VLAN的网关然后通过802.1Q封装区分不同的VLAN帧。这个方案在实验里能通但放到实际场景里问题很明显所有VLAN的流量都挤在一个物理链路和一个路由器接口上带宽和转发性能都是瓶颈接口一多配置也乱。三层交换机不同它把路由模块做进了交换机内部。它的核心思路是“一次路由多次交换”第一个数据包到达三层交换引擎通过路由表查找到出接口并重新封装完成路由后硬件表项会记录这次转发关系后续同一条流的报文直接由硬件芯片根据二层转发表和三层转发表并行处理不需要再经过CPU。所以VLANIF接口配置完成后多个VLAN之间的互访可以做到线速转发这才是三层交换机在汇聚层和核心层普遍取代路由器的根本原因。在这个实验里我们关注的就是这条主线通过VLANIF接口实现VLAN间路由把三层交换机的路由能力、DHCP服务能力、安全控制能力集中在一起验证。2. 实验拓扑与地址规划配置之前先把网络“画”明白这个实验我建议在eNSP模拟器里做因为我接下来给的命令是华为VRP平台的。真机思路完全一致只是接口编号和硬件模块需要对应调整。先整理一下拓扑结构一共需要这几台设备1台三层交换机我用的是S5700也可以用CE系列模拟2台二层接入交换机S3700就够用若干PC终端建议至少4台分布在3个VLAN里拓扑关系是典型的接入-核心两层结构PC1和PC2接入交换机LSW1PC3和PC4接入交换机LSW2LSW1和LSW2分别通过Trunk链路接到核心三层交换机网关全部落在核心交换机上。这种设计在实际项目中很常见接入层负责接口接入和二层隔离汇聚/核心层负责VLAN间路由逻辑清晰排查起来也好定位。地址规划一定要在实验开始前写清楚否则后面命令敲着敲着就乱了。我用的规划是这样设备VLAN接口IP地址网关PC1VLAN 10接入LSW1192.168.10.10/24192.168.10.1PC2VLAN 10接入LSW1192.168.10.20/24192.168.10.1PC3VLAN 20接入LSW2192.168.20.10/24192.168.20.1PC4VLAN 30接入LSW2192.168.30.10/24192.168.30.1核心交换机VLANIF 10-192.168.10.1/24-核心交换机VLANIF 20-192.168.20.1/24-核心交换机VLANIF 30-192.168.30.1/24-这个规划有一个关键设计点VLAN 10接在LSW1上VLAN 20和VLAN 30接在LSW2上。故意把不同VLAN分布在不同接入交换机上这样你才能完整验证Trunk、VLANIF和DHCP中继三种技术是如何配合的。如果所有PC都接到同一台交换机上实验的覆盖面就少了一大截。DHCP这块的规划需要额外说明。我让核心交换机作为DHCP服务器直接给VLAN 10分配地址VLAN 20和VLAN 30则通过DHCP中继转发请求。为什么要分开设计因为这样能把“本地DHCP分配”和“DHCP中继跨网段分配”两种情况都验证一遍遇到“地址讲不通”的时候就能判断问题是出在DHCP服务上还是中继配置上。3. 接入交换机基础配置VLAN划分与Trunk链路不出错就是最大的效率在配置三层交换之前必须先把二层环境搞定。很多人在综合实验里卡住回头一查才发现是Trunk链路放行VLAN的列表没配完整或者PVID设置不对导致帧的Tag标签和预期不一致。基础配置虽然简单但每一步都得有依据。在LSW1上需要创建VLAN 10把连接PC1和PC2的接口划分进VLAN 10同时连接核心交换机的接口配置成Trunk并放行相应VLAN# LSW1 system-view vlan batch 10 interface ethernet0/0/1 port link-type access port default vlan 10 interface ethernet0/0/2 port link-type access port default vlan 10 interface ethernet0/0/3 port link-type trunk port trunk allow-pass vlan 10在LSW2上要同时处理VLAN 20和VLAN 30两个接入接口分别划进不同VLAN上联接口Trunk放行这两个VLAN# LSW2 system-view vlan batch 20 30 interface ethernet0/0/1 port link-type access port default vlan 20 interface ethernet0/0/2 port link-type access port default vlan 30 interface ethernet0/0/3 port link-type trunk port trunk allow-pass vlan 20 30这里有个很多人问过的细节Trunk接口需不需要配置PVID默认PVID是VLAN 1Access接口发出的是Untagged帧交换机收到这个帧会打上Access接口VLAN对应的Tag再从Trunk口转发时带着Tag走反过来从Trunk口收到帧如果帧的Tag和Trunk口PVID一致交换机会把标签剥掉从Access口发出去。如果两端Trunk的PVID对不上就可能出现“同一个VLAN内通不了、不同VLAN反而通”这种诡异的现象。所以我的习惯是上联Trunk口除非特殊需求一律保持默认PVID不要乱改。配置完用display vlan和display port vlan检查一遍确保每个接口都在正确的VLAN里。二层这一关过了才能放心去配置三层的VLANIF接口。4. 核心交换机三层配置VLANIF接口、路由以及为什么IP网关必须落在设备内部接口上三层交换机的核心配置就是创建VLANIF接口给每个VLAN一个逻辑三层接口作为网关。很多人不理解为什么不是给物理接口配IP而是给一个看起来虚拟的VLANIF配IP因为一个物理接口只能属于一个VLAN而VLANIF是绑定在“VLAN”这个整体上的只要交换机里有属于这个VLAN的物理接口数据就能通过这些接口进入VLAN再通过VLANIF接口完成三层转发。这个设计的妙处在于无论VLAN成员分布在哪个物理口网关地址都保持唯一不随物理拓扑变化而变。在核心交换机上创建三个VLAN和对应的VLANIF接口# 核心交换机 system-view vlan batch 10 20 30 interface vlanif 10 ip address 192.168.10.1 255.255.255.0 interface vlanif 20 ip address 192.168.20.1 255.255.255.0 interface vlanif 30 ip address 192.168.30.1 255.255.255.0然后别忘了把连接两台接入交换机的接口配置成Trunk并放行所有相关VLANinterface gigabitethernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 interface gigabitethernet0/0/2 port link-type trunk port trunk allow-pass vlan 20 30VLANIF接口配置完成后三层交换机路由表会自动生成三个直连网段的路由。检查一下display ip routing-table protocol direct你会看到192.168.10.0/24、192.168.20.0/30指向VLANIF接口。这意味着VLAN 10和VLAN 20之间的数据包进来后查找路由表发现目的网段是直连的另一个VLANIF于是完成三层转发。实测中我用PC1192.168.10.10去ping PC3192.168.20.10通了。这说明VLAN间路由已经生效。但这个实验只验证到VLAN间互通还不够因为实际网络中不同楼层、不同区域的VLAN经常不在同一台三层交换机上这时候就需要路由协议。如果在核心交换机和另一台三层设备之间跑OSPF你需要在VLANIF接口下通过ospf enable或network命令宣告网段。我建议在这个综合实验里加一条从核心交换机到一台模拟出口路由器的静态默认路由这样以后跑NAT或出口策略时基础就已经打好了ip route-static 0.0.0.0 0.0.0.0 192.168.1.254默认路由在日常网络里非常常见三层交换机往往负责内网互访出口流量统一交给防火墙或核心路由器。加上这条静态路由后你就能顺带验证三层交换机的“默认网关”角色而不只是VLAN内部的路由。5. DHCP与DHCP中继为什么三层交换机要做“分配员”还要做“传话筒”当前的网络环境里让终端手动配IP几乎是不可能的DHCP已经是标配。在这个实验里我让核心交换机直接充当DHCP服务器同时给下连的两个网段做中继。为什么要弄DHCP中继因为DHCP的发现报文是广播的而广播只能在同一个二层域里传播不能跨VLAN。PC3在VLAN 20DHCP服务器在核心交换机的VLAN 10网段如果PC3直接广播Discover报文这个报文永远到不了另一网段的DHCP服务器。DHCP中继的原理就是在PC所在网段的网关设备也就是三层交换机上配置一条命令让交换机收到客户端的DHCP广播后把广播报文单播转发给指定的DHCP服务器再把服务器的应答单播转发回客户端。在核心交换机上启用DHCP服务并配置三个全局地址池# 核心交换机 dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 ip pool vlan20 network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 114.114.114.114 ip pool vlan30 network 192.168.30.0 mask 255.255.255.0 gateway-list 192.168.30.1 dns-list 114.114.114.114地址池配好以后VLAN 10这个网段因为DHCP服务器和客户端在同一个广播域里只要再在VLANIF 10接口下开启DHCP select globalPC1和PC2就能直接获取地址interface vlanif 10 dhcp select global但VLAN 20和VLAN 30不能简单这么配。因为如果直接在VLANIF 20下开启dhcp select globalVLAN 20的客户端广播到网关后被中继但中继的目标地址是谁默认情况下去向不明。所以必须在VLANIF 20和VLANIF 30接口下开启DHCP中继功能并显式指定DHCP服务器的地址interface vlanif 20 dhcp select relay dhcp relay server-ip 192.168.10.1 interface vlanif 30 dhcp select relay dhcp relay server-ip 192.168.10.1注意这里的192.168.10.1是核心交换机自己的VLANIF 10地址也就是DHCP服务器逻辑上就运行在核心交换机上中继指向自己也没有问题。实际项目中DHCP服务器可能是一台独立的服务器这时dhcp relay server-ip后面就要写那台服务器的真实IP。eNSP实验里用自指的方式完全能跑通。配置完以后PC3和PC4改成DHCP方式获取地址几秒钟内就能拿到192.168.20.x和192.168.30.x网段的IP。如果拿不到优先检查三件事第一VLANIF接口下有没有启用dhcp select relay第二dhcp relay server-ip是不是指向了可达的服务器地址第三核心交换机上有没有dhcp enable全局开关。顺序上全局开关没开的话其他配置全白搭我记得我最早踩坑就是忘了这一行。6. 端口安全与登录认证实验里最容易忽略但实际项目最看重的能力这个综合实验里安全相关的配置不能只停留在“能在交换机上配个密码”的程度。端口安全和登录认证是网络工程师在交付环节一定会涉及的两块也是在面试和认证考试里反复出现的考点。端口安全的作用简单说就是限制一个交换机端口允许多少个MAC地址接入以及当非法设备接入时端口怎么处置。在接入层接PC的口通常只允许一台设备防止有人私接路由器、小交换机把广播域扩大甚至引发环路。配置命令很直接interface ethernet0/0/1 port-security enable port-security max-mac-num 1 port-security mac-address sticky port-security protect-action protect这里面有几个关键点值得展开。max-mac-num 1表示这个接口最多学一个MAC地址多了就算违规。sticky的作用是把学到的MAC地址“粘住”变成类似于静态配置的地址交换机重启后还在防止设备换了位置还能接入。protect-action有三个选项protect是丢包但接口不关闭restrict是丢包并发送告警日志shutdown是直接把接口置为error-down需要手工恢复。实际项目中我建议用restrict既能记录违规行为又不至于因为误报就把接口彻底关掉但在考试类实验里shutdown反而更容易让考官看到你理解了这个特性的处置动作。端口安全配置完成后把PC的MAC改成另一个值去测试你会发现新MAC的流量直接被拒绝或者根据处置策略接口直接down掉。这个验证过程很直观能帮你确认策略到底生效没有。登录认证方式这个部分三层交换机支持Console口、VTY虚拟终端、Web、SNMPv3等多种认证场景。工业实际中用得最多的是Telnet和SSH。Telnet在VRP平台默认就支持但它是明文传输抓包就能看到用户名密码所以生产网络里基本都要求用SSH。在实验里我建议两个都配一遍对比一下差异。先来看Telnet的配置。开启Telnet服务并配置VTY用户认证# 核心交换机 telnet server enable user-interface vty 0 4 authentication-mode aaa protocol inbound telnet aaa local-user admin password irreversible-cipher Admin123 local-user admin service-type telnet local-user admin privilege level 15这里用AAA本地认证local-user定义了用户名和密码service-type决定了这个账户用于哪种服务privilege level 15表示最高权限。配完后你在PC上用Telnet登录核心交换机的VLANIF 10地址输入admin和密码就能进入系统视图。SSH的配置在Telnet基础上多几步密钥生成是卡住很多人的地方# 核心交换机 rsa local-key-pair create stelnet server enable user-interface vty 0 4 authentication-mode aaa protocol inbound ssh aaa local-user admin2 password irreversible-cipher Admin123 local-user admin2 service-type ssh local-user admin2 privilege level 15 ssh user admin2 authentication-type password ssh user admin2 service-type stelnet这里必做的操作是rsa local-key-pair create。VRP系统需要生成一对RSA密钥用于SSH协商不生成的话SSH服务起不来。我在实验里第一次配SSH就栽在这个地方后来排查发现display current-configuration | include ssh里虽然能看到stelnet server enable但客户端连接时一直报密钥交换失败最后才意识到本地密钥对根本没有生成。另外protocol inbound ssh这条很重要如果写成protocol inbound all虽然Telnet和SSH都能进但实际项目中为了安全通常只放行SSH。登录认证还有一个容易忽略的坑VTY接口的认证方式配置成AAA后如果AAA里没有对应的本地用户或者用户的服务类型不对怎么都登不上。排查时可以用display aaa offline-user之类命令看看有没有认证失败的记录。在实际组网里还经常用RADIUS对接统一的认证服务器三层交换机的配置逻辑其实一样只是把local-user替换成RADIUS模板理解了AAA的框架切换起来非常快。7. 实测验证与排错我在这类综合实验里反复遇到的四个典型问题配置全部敲完不代表实验成功验证和排错是真正值钱的部分。这个实验里我把PC全部改成DHCP自动获取然后逐个操作验证期间碰到的问题很有代表性一个个说。第一个问题是PC1能ping通网关但PC1和PC3之间不通。检查路由表发现VLANIF 20和VLAN30的路由都在ARP表也正常问题最后定位在Trunk链路。我排查核心交换机到LSW2的接口时发现Trunk口只放行了VLAN 20和VLAN 30但PC1所在VLAN 10的上行Trunk口只放行了VLAN 10。表面看起来没问题可PC1要访问PC3回程报文从PC3到达核心交换机核心交换机要从连接LSW1的Trunk口发往PC1而这个Trunk口没有放行VLAN 20的帧标签回程报文就被丢弃了。这是一个非常经典的“能去不能回”案例。解决的方法很简单Trunk口要么放行所有需要跨交换机传递的VLAN要么用port trunk allow-pass vlan all保底。第二个问题是我之前提过的DHCP中继指向。我在配置VLANIF 20中继时漏了dhcp select relay只写了dhcp relay server-ip结果无论如何收不到地址。后来我盯着配置看了半天才发现dhcp relay server-ip只是指定了服务器地址但接口的DHCP模式还是默认的none它根本不会转发客户端的广播报文。必须先用dhcp select relay切换接口模式后面的server-ip才能生效。这个顺序问题特别容易踩很多教程只写server-ip不强调先行的select relay命令导致很多人照着敲完还是不通。第三个问题是SSH登录一直失败。这个前面已经讲了根因是路由器没有生成本地RSA密钥对。这里再补充一个细节如果之前生成过密钥重新生成需要先删除旧密钥命令是rsa local-key-pair destroy否则系统会提示已存在密钥。很多人不知道这个销毁步骤直接重新执行create会卡在交互确认上。第四个问题是端口安全导致接口down掉却不知道怎么恢复。protect-action shutdown触发后接口显示为ERROR DOWN状态此时即使把违规设备拔掉接口也不会自动恢复。需要手工在接口视图下执行shutdown再undo shutdown或者配置error-down auto-recovery让接口在一段时间后自动恢复interface ethernet0/0/1 error-down auto-recovery cause port-security interval 300这条命令表示因为端口安全触发error-down的接口300秒后自动恢复。实际项目中这招能省去很多跑机房手工恢复的工作但注意别设置太短否则违规设备还在线时接口反复抖动反而影响正常业务。排错过程中我最常用的三条命令是display interface brief看物理口和协议状态、display arp看三层到二层的映射是否建立、display ip routing-table看路由表是否符合预期。三层互通问题按“物理通没通、二层通没通、三层路由有没有、ARP解析对不对”的顺序查基本没有查不出来的。用到DHCP的时候加一条debugging dhcp relay或terminal debugging可以直接看到中继转发的报文内容对理解DHCP中继是单播转发非常直观。8. 从实验延伸到项目三层交换机选型、部署与后续扩展建议这个综合实验跑完以后不要满足于“配置能通”这个结果。三层交换机在不同场景下的角色是完全不同的我建议你从这个实验的视角再跳出来想一想如果这是一个真实的办公园区网络核心交换机该选什么型号接入交换机上行口要多少个二层的Trunk口是百兆够用还是需要万兆这些决策远比敲命令重要。以华为设备为例S5700系列适合中小企业的汇聚和核心场景接口密度高支持VLAN、路由、DHCP、ACL等常用功能如果项目规模大一些核心层会用S6700或CE系列还需要考虑堆叠iStack和链路聚合Eth-Trunk来提升冗余和带宽。在这个实验里把两台接入交换机各自的上联链路配置成Eth-Trunk就能模拟一个高可用接入场景。命令不算复杂# 核心交换机侧 interface eth-trunk 1 trunkport gigabitethernet0/0/1 trunkport gigabitethernet0/0/2 port link-type trunk port trunk allow-pass vlan all链路聚合的好处是既增加带宽又提供链路冗余。实验里用两条链路配置完以后拔掉其中一条ping大流量数据包基本不断流。这个扩展强烈建议做一下因为实际工程项目里没有谁会用单条链路接核心的Eth-Trunk是必配项。还有一个值得扩展的方向是在三层交换机上配置ACL做访问控制。比如规定VLAN 10的财务网段只能访问服务器网段不能访问VLAN 30的办公网段这时VLANIF接口下挂ACL就能实现。实验里加上这个环节后你就能理解三层交换机不只是“能路由”的设备还是“能控制路由”的边界设备。登录认证部分也可以从本地认证扩展为RADIUS对接。虽然实验环境里没有独立的RADIUS服务器但你可以用Windows Server装一个IAS/NPS角色来模拟三层交换机上的配置只需要把AAA认证方式从local改为radius模板。理解了auth方案和用户模板可以分离这个思想适应不同项目的认证需求就不是问题。我个人的建议是每做完一个综合实验都要有一个“如果这是真的项目哪里还需要改”的思考环节。比如这个实验里的核心交换机同时承担了网关、DHCP服务器、中继、SSH登录管理多种角色在小型网络里没问题但中大型网络里通常会把DHCP服务独立出来核心交换机专注路由转发和策略控制。这种“设备职责划分”的思考能帮你把实验经验转化成真正应对生产环境的能力。三层交换机的价值从来不在于你敲了多炫的命令而在于你知道什么时候用它、用它做什么。