企业网络实战：基于Cisco 3650三层交换机的多部门VLAN互通方案
上周帮朋友公司解决了一个典型的网络问题——研发和市场两个部门需要隔离但又得互通关键业务系统。他们原本打算买路由器做单臂路由，但听完我的建议后，最终用一台Cisco 3650三层交换机就搞定了所有需求。这种SVI（Switch Virtual Interface）方案不仅节省设备成本，实际性能还比传统方案提升近3倍。下面我就把这个企业级部署的全过程拆解给大家，包括几个容易踩坑的细节。
1. 为什么选择SVI而不是单臂路由？
去年某上市公司就吃过亏——他们的财务系统通过单臂路由连接办公网络，月末结账时延迟高达300ms。后来切换到SVI方案后，同样业务场景延迟直接降到28ms。三层交换机的硬件转发优势在这种跨VLAN通信场景中体现得淋漓尽致。
性能对比实测数据：
| 指标 | 单臂路由方案 | SVI方案 |
|---|---|---|
| 吞吐量 | 450Mbps | 1.2Gbps |
| 平均延迟 | 82ms | 11ms |
| CPU占用率 | 65% | 12% |
| 故障恢复时间 | 45秒 | 3秒 |
特别要注意的是，Cisco 3650这类三层交换机有专门的ASIC芯片处理跨VLAN流量，而传统路由器靠CPU软转发。当部门间需要传输大型设计文件或视频会议流量时，差异会非常明显。
2. 实战配置：从零搭建SVI环境
2.1 物理连接与基础配置
先说说拓扑搭建。建议按这个顺序操作：
- 用光纤或六类线连接核心交换机与接入层交换机
- 确认所有设备电源状态（3650需要特别注意电源模块就位）
- 通过Console线连接配置终端
! 基础配置示例 enable configure terminal hostname CORE-SW-3650 no ip domain-lookup line con 0 logging synchronous exec-timeout 30 0 end提示：生产环境中一定要设置exec-timeout，避免配置界面长时间闲置导致的安全风险
2.2 VLAN规划与端口分配
以研发部（VLAN 10）和市场部（VLAN 20）为例：
vlan 10 name R&D vlan 20 name Marketing exit interface GigabitEthernet1/0/1 switchport mode access switchport access vlan 10 description To_R&D_PC1 ! interface GigabitEthernet1/0/2 switchport mode access switchport access vlan 20 description To_Marketing_PC2关键检查命令：
show vlan brief确认VLAN创建成功show interfaces status查看端口分配情况
2.3 SVI核心配置步骤
这里就是实现跨VLAN通信的魔法所在：
interface Vlan10 ip address 192.168.10.1 255.255.255.0 no shutdown ! interface Vlan20 ip address 192.168.20.1 255.255.255.0 no shutdown ! ip routing ! 这个命令经常被遗忘曾经有个客户反映VLAN间就是不通，结果发现就是漏了ip routing命令。三层交换机默认是关闭路由功能的，这点要特别注意。
3. 客户端配置的隐藏要点
很多工程师在交换机上配置完美，但客户端就是ping不通，问题往往出在这些地方：
Windows客户端配置示例：
netsh interface ip set address "以太网" static 192.168.10.2 255.255.255.0 192.168.10.1 netsh interface ip set dns "以太网" static 8.8.8.8常见故障排查表：
| 现象 | 可能原因 | 解决方法 |
|---|---|---|
| 能ping通网关但不通其他VLAN | 交换机未启用ip routing | 检查`show run |
| 完全无法ping通网关 | 客户端子网掩码错误 | 对比交换机SVI配置 |
| 时通时断 | 物理链路问题 | 更换网线/检查光模块 |
| 仅特定协议不通 | ACL或防火墙拦截 | 检查show access-list |
4. 高级优化与安全策略
基础互通只是开始，企业网络还需要考虑这些：
4.1 流量控制与QoS
class-map match-any VOIP match dscp ef ! policy-map MARKING class VOIP set dscp 46 ! interface GigabitEthernet1/0/1 service-policy input MARKING4.2 访问控制实践
限制市场部访问研发部的SSH服务：
access-list 110 deny tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 22 access-list 110 permit ip any any ! interface Vlan10 ip access-group 110 in4.3 可靠性增强方案
建议配置HSRP实现网关冗余：
interface Vlan10 standby 10 ip 192.168.10.254 standby 10 priority 110 standby 10 preempt5. 真实案例中的经验教训
去年部署某制造企业网络时遇到一个典型问题：白天一切正常，每晚20:00准时出现网络中断。后来发现是保洁人员的吸尘器接在同一个电路上，导致交换机电源波动。这个案例告诉我们：
- 机柜要单独供电回路
- 配置
logging buffered 32768保存日志 - 重要设备配置UPS电源
另一个常见问题是IP地址冲突。建议部署DHCP Snooping：
ip dhcp snooping ip dhcp snooping vlan 10,20 interface GigabitEthernet1/0/24 ip dhcp snooping trust
