1. 为什么还要折腾三层交换机做VLAN间通信
刚入行那会儿，我对"三层交换机"这个概念一直有点模糊。二层交换机负责同一个网段内的数据转发，路由器负责不同网段之间的路由，那三层交换机到底站在哪个位置？后来在实际项目里踩了几次坑才真正搞明白：三层交换机本质上就是"带路由功能的交换机"，它把路由能力集成到了交换芯片里，转发不同VLAN之间的数据包时，不需要像传统路由器那样把流量拉到CPU上慢慢处理，而是通过ASIC芯片线速转发。
这个差别在实际网络里非常关键。我做过一个园区网的改造项目，原来用的是"二层交换机加单臂路由"的方案，也就是把路由器的一个物理接口划分成多个子接口，每个子接口对应一个VLAN的网关。刚开始用户少的时候没什么感觉，后来终端数量涨到三百多台，跨VLAN的访问延迟明显上来了，高峰期ping网关的延迟从1毫秒飙到十几毫秒，丢包也开始出现。原因很简单：所有跨VLAN的流量都要经过路由器那一个物理接口，带宽和CPU处理能力都成了瓶颈。换成三层交换机之后，跨VLAN转发直接在硬件层面完成，延迟稳定在1毫秒以内，问题彻底解决。
所以这篇内容主要聊的就是：怎么用三层交换机把不同VLAN之间的通信打通。涉及的核心技术点包括VLAN划分、SVI接口配置、IP路由开启、静态路由或动态路由协议的选择。适合有一定网络基础、正在学习交换路由配置的读者，也适合在实际工作中需要做VLAN间互通方案选型的从业者。我会从整体设计思路讲到具体配置命令，再到排错经验，尽量把每个环节的"为什么"说清楚。
2. 整体方案设计与核心思路拆解
2.1 二层隔离与三层互通的本质矛盾
VLAN这个东西，本质上是在一个物理交换机上划分出多个逻辑上的独立网络。同一个VLAN内的设备可以自由通信，不同VLAN之间默认是完全隔离的。这个隔离是好事，广播域被限制了，安全性也提高了。但实际业务中，不同部门、不同功能区域之间往往又需要互相访问，比如办公区的电脑要访问服务器区的数据库，这就产生了"隔离"和"互通"的矛盾。
解决这个矛盾的思路其实很直接：既然二层不通，那就在三层上想办法。具体来说，就是给每个VLAN分配一个IP网段，然后让三层交换机充当每个VLAN的网关。当VLAN 10里的主机要访问VLAN 20里的主机时，数据包先送到网关（也就是三层交换机上的SVI接口），三层交换机查路由表发现目标网段在VLAN 20，于是把包转发到VLAN 20的SVI接口，再二层转发给目标主机。整个过程数据包只经过了一次三层查表，而且是在硬件层面完成的。
2.2 为什么选SVI而不是单臂路由
实现VLAN间通信有好几种方案，我列个表对比一下：
| 方案 | 核心原理 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|---|
| 单臂路由 | 路由器一个物理口划子接口做网关 | 设备要求低，路由器就能做 | 带宽瓶颈明显，CPU压力大 | 小型网络，终端少于50台 |
| 多臂路由 | 每个VLAN一个物理接口连路由器 | 各VLAN独立带宽 | 浪费物理接口，布线复杂 | 几乎不推荐 |
| 三层交换机SVI | 交换机上创建虚拟接口做网关 | 线速转发，配置简洁 | 需要三层交换机 | 中大型园区网 |
| 三层交换机路由口 | 用物理口转三层口互联 | 适合交换机之间互联 | 不直接解决终端网关问题 | 核心到汇聚互联 |
SVI的全称是Switch Virtual Interface，你可以把它理解成"给VLAN配的一个虚拟网卡"。每个VLAN对应一个SVI，在这个SVI上配IP地址，这个IP就是这个VLAN内所有主机的网关。主机把跨网段的包发给网关，三层交换机收到后查路由表，从对应的SVI发出去。整个过程对主机来说是透明的，它只知道自己的网关是某个IP，剩下的路由和转发都由三层交换机搞定。
我选SVI方案的理由很实在：一是转发性能好，硬件ASIC处理，不会成为瓶颈；二是配置简单，不需要额外拉线连路由器；三是扩展方便，加一个VLAN就加一个SVI，不用动物理连接。
2.3 路由方式的选择：静态还是动态
三层交换机开启路由功能后，它需要知道去往各个网段的路由。如果网络拓扑比较简单，就一台三层交换机下挂几个VLAN，那其实不需要额外配置路由，因为直连网段会自动生成直连路由。但如果网络里有多台三层交换机，或者要连到外网，就需要考虑路由协议了。
静态路由适合拓扑稳定、规模小的场景，配置简单，不占资源。动态路由协议（比如OSPF）适合拓扑复杂、可能变化的场景，能自动收敛。我在实际项目里的经验是：如果只有一台三层交换机做核心，下面挂几个VLAN，直连路由就够了；如果有两台三层交换机做冗余，之间跑OSPF比较省心；如果只是简单互联，静态路由写两条也就够了。
3. 核心细节解析与实操要点
3.1 VLAN规划与IP地址设计
动手配置之前，先在纸上把VLAN和IP规划好，这一步偷懒后面会加倍还回来。我一般按这样的原则来：
- VLAN ID选择：避开VLAN 1，因为很多设备默认所有端口都在VLAN 1，容易出安全问题。从VLAN 10开始，以10为步长递增，方便记忆和扩展。
- IP网段规划：每个VLAN用一个独立的子网，比如VLAN 10用192.168.10.0/24，VLAN 20用192.168.20.0/24。第三段数字和VLAN ID对应，一看就明白。
- 网关地址：一般用网段的第一个可用地址或者最后一个可用地址。我习惯用第一个，比如192.168.10.1。
举个例子，假设有三个VLAN：
| VLAN ID | 名称 | 网段 | 网关地址 | 用途 |
|---|---|---|---|---|
| 10 | Office | 192.168.10.0/24 | 192.168.10.1 | 办公区终端 |
| 20 | Server | 192.168.20.0/24 | 192.168.20.1 | 服务器区 |
| 30 | Manage | 192.168.30.0/24 | 192.168.30.1 | 网络设备管理 |
注意：规划的时候要预留扩展空间，别把网段用得太满。比如用/24的掩码，实际可能只用了二三十个地址，但剩下的留着以后加设备用。
3.2 三层交换机上必须开启的关键功能
很多人配置完了发现VLAN间不通，排查半天，最后发现是某个基础功能没开。三层交换机上有几个关键点必须确认：
第一，IP路由功能要开启。大部分三层交换机默认是关闭路由功能的，需要手动开启。不同厂商命令不一样，但思路一致。比如某些设备用ip routing命令开启，有些是在全局配置模式下默认就支持。
第二，SVI接口要激活。创建SVI之后，接口默认可能是shutdown状态，需要手动no shutdown。另外，SVI的活跃状态还依赖于该VLAN下至少有一个物理端口是up的。如果VLAN里一个端口都没up，SVI就是down的，网关也就不生效。
第三，物理端口要划到正确的VLAN里。这个听起来是废话，但我确实见过有人SVI配好了，端口忘了划VLAN，结果终端根本不在那个VLAN里，自然不通。
3.3 终端网关配置的常见误区
终端要跨网段通信，必须把网关指向三层交换机上对应SVI的IP地址。这里有几个坑：
- 网关地址写错：比如SVI配的是192.168.10.1，终端网关写成了192.168.10.254，那肯定不通。
- 子网掩码不一致：终端掩码和SVI掩码不一致，会导致终端认为目标地址在同一网段，直接发ARP请求而不走网关。
- 多个网关：有些终端配了多个网关，但系统只认第一个，配了也没用。
我一般建议在DHCP服务器上统一分配网关，避免手动配置出错。如果必须手动配，配完用ipconfig（Windows）或ip addr（Linux）确认一下。
4. 完整实操过程与核心环节实现
4.1 实验环境搭建与基础配置
我用一个典型的实验拓扑来说明。假设有一台三层交换机，下面接了两台二层交换机，分别承载VLAN 10和VLAN 20的终端。三层交换机上创建VLAN 10和VLAN 20的SVI，配置IP地址作为网关。
先做基础配置。进入三层交换机的命令行，创建VLAN：
Switch> enable Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name Office Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name Server Switch(config-vlan)# exit然后把连接下层交换机的端口配成Trunk，允许VLAN 10和VLAN 20通过：
Switch(config)# interface GigabitEthernet0/1 Switch(config-if)# switchport trunk encapsulation dot1q Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20 Switch(config-if)# exit提示：有些三层交换机不支持
switchport trunk encapsulation dot1q这条命令，因为默认就是dot1q封装，敲了反而报错。遇到报错直接跳过这条就行。
4.2 SVI接口配置与路由开启
接下来创建SVI并配置IP地址：
Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit Switch(config)# interface vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit然后开启IP路由功能：
Switch(config)# ip routing这条命令是整篇文章的核心。没有它，三层交换机就只是一台普通的二层交换机，SVI配了IP也没用，因为它不会在不同VLAN之间转发数据包。
配置完成后，查看路由表确认直连路由已经生成：
Switch# show ip route你应该能看到类似这样的输出：
C 192.168.10.0/24 is directly connected, Vlan10 C 192.168.20.0/24 is directly connected, Vlan20这两个"C"代表直连路由，说明三层交换机已经知道这两个网段怎么走了。
4.3 终端配置与连通性验证
给VLAN 10里的终端配IP：192.168.10.100/24，网关192.168.10.1。给VLAN 20里的终端配IP：192.168.20.100/24，网关192.168.20.1。
配好后，从VLAN 10的终端ping VLAN 20的终端：
ping 192.168.20.100如果通了，说明配置成功。如果不通，按下面的顺序排查：
- 先ping自己的网关，确认终端到三层交换机通不通。
- 再在三层交换机上ping两个SVI地址，确认SVI本身是up的。
- 检查
show ip route有没有直连路由。 - 检查
show vlan确认端口划到了正确的VLAN。 - 检查终端的掩码和网关有没有配错。
4.4 多台三层交换机场景下的路由配置
如果网络里有两台三层交换机，各自下面挂了不同的VLAN，那还需要在两台交换机之间配置路由。假设交换机A有VLAN 10（192.168.10.0/24），交换机B有VLAN 20（192.168.20.0/24），两台交换机之间用一条链路互联，互联地址用10.0.0.0/30。
交换机A上配置：
SwitchA(config)# interface GigabitEthernet0/24 SwitchA(config-if)# no switchport SwitchA(config-if)# ip address 10.0.0.1 255.255.255.252 SwitchA(config-if)# exit SwitchA(config)# ip route 192.168.20.0 255.255.255.0 10.0.0.2交换机B上配置：
SwitchB(config)# interface GigabitEthernet0/24 SwitchB(config-if)# no switchport SwitchB(config-if)# ip address 10.0.0.2 255.255.255.252 SwitchB(config-if)# exit SwitchB(config)# ip route 192.168.10.0 255.255.255.0 10.0.0.1这里no switchport命令的作用是把物理端口从二层模式转成三层模式，让它像路由器接口一样工作。然后写静态路由，告诉交换机A去192.168.20.0/24的下一跳是10.0.0.2，交换机B反过来。
如果拓扑更复杂，或者需要冗余，那就上OSPF。配置也不复杂，在每台三层交换机上启用OSPF进程，把直连网段宣告进去就行：
SwitchA(config)# router ospf 1 SwitchA(config-router)# network 192.168.10.0 0.0.0.255 area 0 SwitchA(config-router)# network 10.0.0.0 0.0.0.3 area 0OSPF会自动学习对端的路由，不需要手动写静态路由。但要注意area ID要一致，network命令里的反掩码要算对。
5. 常见问题与排查技巧实录
5.1 配置完了不通，先查这五个地方
我整理了一个排查顺序表，按这个顺序走，基本能覆盖90%的问题：
| 排查步骤 | 检查命令 | 预期结果 | 常见问题 |
|---|---|---|---|
| 1. 终端到网关 | ping 网关IP | 通 | 终端IP/掩码/网关配错 |
| 2. SVI状态 | show ip interface brief | up/up | SVI被shutdown或VLAN无活跃端口 |
| 3. 路由表 | show ip route | 有直连路由 | ip routing没开 |
| 4. VLAN成员 | show vlan brief | 端口在正确VLAN | 端口没划VLAN或划错 |
| 5. Trunk配置 | show interfaces trunk | 允许对应VLAN通过 | Trunk没放行VLAN |
5.2 几个我踩过的坑
坑一：SVI是up的，但协议是down的。有一次配置完，show ip interface brief显示SVI的status是up，但protocol是down。查了半天发现是这个VLAN下没有任何物理端口是up的。三层交换机上SVI的协议状态依赖于VLAN内是否有活跃端口。解决办法很简单：确保该VLAN下至少有一个端口连接了设备并且是up的。
坑二：Trunk两端VLAN允许列表不一致。一端允许了VLAN 10和20，另一端只允许了VLAN 10，结果VLAN 20的流量过不去。这种问题在跨设备排错时特别隐蔽，因为两端单独看配置都没错。我的习惯是配完Trunk后，两端都show interfaces trunk对比一下。
坑三：终端防火墙拦截了ping。网络配置全对，但ping不通。后来发现是终端自带的防火墙把ICMP包拦了。这种情况换用TCP端口测试（比如telnet或curl）就能确认网络是通的。
坑四：ARP表项没老化。改了网关IP之后，终端还缓存着旧的ARP表项，导致通信异常。清一下ARP缓存（Windows用arp -d，Linux用ip neigh flush）就好了。
5.3 性能与安全方面的注意事项
VLAN间通信打通之后，有几个安全和性能上的点值得关注：
- ACL控制：不是所有VLAN之间都应该自由通信。比如办公区不应该能直接访问管理VLAN。可以在SVI上应用ACL，限制源和目标网段。
- 广播风暴抑制：虽然VLAN隔离了广播域，但每个VLAN内部还是可能有广播风暴。可以在端口上配置风暴控制。
- DHCP中继：如果DHCP服务器在某个VLAN里，其他VLAN的终端要获取IP，需要在SVI上配置DHCP中继（ip helper-address），把DHCP请求转发给服务器。
- ARP代理：某些场景下可能需要开启ARP代理，但一般不建议，会增加安全风险。
6. 不同厂商设备的配置差异与选型建议
6.1 主流厂商命令对比
不同厂商的三层交换机配置命令有差异，但逻辑是一样的。我列个对比表：
| 功能 | 厂商A风格 | 厂商B风格 | 厂商C风格 |
|---|---|---|---|
| 创建VLAN | vlan 10 | vlan 10 | vlan 10 |
| SVI配置 | interface vlan 10 | interface vlanif 10 | interface vlan 10 |
| 开启路由 | ip routing | 默认开启 | ip routing |
| 端口转三层 | no switchport | undo portswitch | no switchport |
| 静态路由 | ip route 目标 掩码 下一跳 | ip route-static 目标 掩码 下一跳 | ip route 目标 掩码 下一跳 |
虽然命令长得不一样，但核心概念完全一致：创建VLAN、配SVI、开路由、写路由条目。学会一个厂商的配置，换到另一个厂商也就是查一下命令手册的事。
6.2 选型时看什么
如果让我推荐三层交换机的选型，我会关注这几个点：
- 背板带宽和包转发率：这两个参数决定了交换机的转发能力。包转发率要能满足所有端口线速转发的需求。
- 路由表容量：如果网络规模大，路由条目多，路由表容量要够。
- ACL规则数量：安全控制需要ACL，规则数量上限要满足业务需求。
- 堆叠或冗余能力：核心层最好支持堆叠或VRRP，避免单点故障。
- 管理方式：支持命令行、Web、SNMP等多种管理方式，方便运维。
对于中小型网络，一台支持三层功能的交换机做核心就够了。对于大型网络，可能需要核心-汇聚-接入三层架构，核心和汇聚层用三层交换机，接入层用二层交换机。
7. 从实验到生产：实际部署中的经验补充
7.1 实验环境和生产环境的差异
在实验环境里配通VLAN间通信，可能十分钟就搞定了。但放到生产环境里，要考虑的东西多得多。我总结了几个差异点：
- 规模：实验里两三个VLAN，生产里可能几十个VLAN，IP规划要更有条理。
- 冗余：实验里一台交换机，生产里要考虑双机冗余、链路冗余。
- 安全：实验里不关心ACL，生产里每个VLAN之间的访问都要有明确的策略。
- 监控：实验里不通了再查，生产里要提前监控流量、CPU、内存等指标。
- 变更管理：实验里随便改，生产里改之前要评估影响、做备份、选变更窗口。
7.2 部署前的检查清单
我在实际项目里养成了一个习惯：正式配置之前，先过一遍检查清单。
- VLAN ID和IP网段规划表是否完成
- 每台设备的配置文件是否已备份
- 变更窗口是否已确认，影响范围是否已通知
- 回滚方案是否准备好
- 测试终端是否准备好，测试用例是否明确
- 监控告警是否已配置
这些看起来是流程上的事，但真到出问题的时候，有没有备份、有没有回滚方案，差别就是几分钟恢复还是几个小时恢复。
7.3 验证与验收
配置完成后，不能只ping通就完事了。我一般会做这几项验证：
- 所有VLAN内的终端都能ping通自己的网关。
- 任意两个VLAN的终端之间能互相ping通（如果策略允许）。
- 跨VLAN的TCP应用（比如HTTP、数据库）能正常访问。
- 路由表完整，没有意外的路由条目。
- ACL策略生效，该拦的拦住了，该放的放行了。
- 冗余链路切换正常（如果有冗余）。
- 性能指标正常，CPU和内存没有异常升高。
这些验证做完，才算真正交付。
7.4 后续扩展的考虑
网络不是一成不变的，今天配好的东西，明天可能就要改。所以在初始配置的时候，我会留一些扩展空间：
- VLAN ID留出余量，不要连续用满。
- IP网段用/24而不是/25或/26，虽然浪费一些地址，但扩展方便。
- 路由协议选OSPF而不是静态路由，虽然配置复杂一点，但以后加设备不用手动改路由。
- 端口预留一些空闲的，方便以后加设备。
我个人在实际操作中的体会是：三层交换机做VLAN间通信，技术本身不复杂，难的是规划清楚、配置规范、验证到位。把这三步做好了，后面运维就省心。最后再分享一个小技巧：配置的时候养成随手show run和show ip route的习惯，每配几步就确认一下，比配完一大段再排查要高效得多。
