1. 项目概述为什么企业网络需要路由器和三层交换机的组合如果你正在负责一个中小型企业的网络建设或升级大概率会遇到一个经典场景一台华为路由器作为互联网出口下挂一台或多台三层交换机来连接内部各个部门的电脑、服务器和无线设备。这个“路由器三层交换机”的架构几乎是现代企业网络的标配骨架。但很多朋友在初次配置时会觉得头大VLAN、路由、接口模式这些概念搅在一起配置步骤稍有不慎网络就不通。我处理过不少这类项目从几十人的办公室到几百人的园区网核心思路其实一脉相承。今天我就以最典型的场景——一台华为AR系列路由器连接一台华为S系列三层交换机——为例把配置逻辑、每一步背后的“为什么”以及实操中容易踩的坑给你彻底讲透。我们的目标很明确让路由器能上互联网让三层交换机下的不同VLAN比如财务部、研发部既能隔离内网广播又能通过三层交换机互访并且所有VLAN都能通过路由器访问外网。这不仅仅是敲命令更是理解数据包在企业网里是如何“认路”的。2. 网络架构设计与核心思路拆解在动手敲命令之前我们必须把网络逻辑图画清楚。一个清晰的逻辑设计能避免后续配置的混乱。2.1 典型拓扑与角色定义最常见的拓扑是路由器与三层交换机通过一个物理链路直连。在这个链路中我们通常会创建一个独立的子网这个子网只用于路由器和交换机之间的通信可以称之为“互联链路”或“骨干链路”。华为路由器如AR1220, AR2220等的角色网络地址转换NAT将内部私有IP地址如192.168.0.0/16转换为对外的公网IP这是内网设备上网的关键。默认网关作为整个内网去往互联网的“总出口”。三层交换机上需要指向路由器的IP作为默认路由。DHCP服务器可选可以为连接在路由器自身接口上的设备分配IP地址。但在我们的架构中更常见的做法是在三层交换机上或专门的服务器上做DHCP。华为三层交换机如S5700, S6720等的角色VLAN间路由这是其“三层”能力的核心。交换机内部为每个VLAN创建一个虚拟接口VLANIF接口并配置IP地址。当财务部VLAN 10的电脑想访问研发部VLAN 20的服务器时数据包会送到交换机的VLANIF 10接口然后由交换机的三层路由引擎查表从VLANIF 20接口转发出去整个过程在交换机内部高速完成无需经过路由器。二层交换与接入连接终端设备的接口配置为Access或Trunk模式划分到不同的VLAN实现广播域隔离和端口级安全。DHCP中继或服务器可选如果DHCP服务器位于路由器或其他网段交换机需要配置DHCP中继帮助终端跨网段获取IP地址。2.2 核心通信流程与数据包旅程理解数据包如何流动是排错的基础。我们以一个常见请求为例VLAN 10中的一台电脑IP: 192.168.10.100想要访问百度一个外网IP。目标判断电脑发现百度的IP不在自己的192.168.10.0/24网段内于是将数据包发往自己的默认网关即三层交换机上VLANIF 10的IP地址例如192.168.10.254。三层交换机处理交换机收到包后检查自己的路由表。它发现没有到达百度IP的特定路由但有一条默认路由0.0.0.0/0下一跳指向与路由器互联的接口IP例如10.0.0.2。于是交换机将数据包的目的MAC地址重写为路由器接口的MAC从互联接口发出。路由器处理路由器从互联接口例如10.0.0.1收到数据包检查目的IP是外网地址。它执行NAT操作将源IP从192.168.10.100转换为公网IP然后根据自身的路由表通常由运营商提供将数据包从外网接口如G0/0/1发出。回程路径百度返回的数据包到达路由器公网IP路由器通过NAT会话表识别出这是发给192.168.10.100的于是将目的IP改回内网IP并根据路由表发往下一跳10.0.0.2三层交换机。最终交付三层交换机根据目的IP 192.168.10.100查询ARP表找到对应的MAC地址将数据包从VLAN 10的Access接口发送给目标电脑。整个过程中VLAN间的互访如10.100访问20.100完全在三层交换机内部完成根本不经过路由器这极大地提升了内网效率并减轻了路由器负担。3. 核心配置解析与实操要点下面我们进入具体的配置环节。我会以华为设备的通用命令为例不同系列命令可能略有差异但思路一致并解释每一个关键步骤的意图。3.1 三层交换机侧配置详解三层交换机的配置是重点我们按逻辑顺序进行。第一步创建VLAN并划分接入端口这是网络隔离的基础。假设我们有财务部VLAN 10和研发部VLAN 20。# 进入系统视图 system-view # 创建VLAN 10和20 vlan batch 10 20 # 配置连接财务部电脑的接口GigabitEthernet 0/0/1 interface GigabitEthernet 0/0/1 port link-type access # 接口模式设为Access表示这个端口只属于一个VLAN port default vlan 10 # 将其划入VLAN 10 description To-Finance-PC # 添加描述良好的习惯至关重要 quit # 配置连接研发部电脑的接口GigabitEthernet 0/0/2 interface GigabitEthernet 0/0/2 port link-type access port default vlan 20 description To-RD-PC quit注意access端口收到不带VLAN标签的数据帧会打上指定的PVIDPort VLAN ID在交换机内部转发发出时则会剥离VLAN标签。这适用于直接连接电脑、打印机等终端设备。第二步配置VLANIF接口三层逻辑接口这是实现VLAN间路由的关键。每个VLAN需要一个对应的VLANIF接口作为该网段的网关。# 配置VLANIF 10作为财务部网段的网关 interface Vlanif 10 ip address 192.168.10.254 24 # 网关IP设为192.168.10.254子网掩码24位255.255.255.0 description Gateway-for-VLAN10 quit # 配置VLANIF 20作为研发部网段的网关 interface Vlanif 20 ip address 192.168.20.254 24 description Gateway-for-VLAN20 quit此时连接在G0/0/1和G0/0/2上的电脑如果手动配置了IP如192.168.10.100/24网关192.168.10.254它们之间已经可以互相ping通了因为交换机已经具备了在192.168.10.0/24和192.168.20.0/24这两个直连网段间路由的能力。第三步配置与路由器互联的接口这个接口需要承载多个VLAN如果需要或者只是一个互联子网的数据。我们通常采用trunk模式或配置为三层路由口no switchport。这里演示更常见的Trunk方式为未来扩展预留空间。 假设使用交换机的GigabitEthernet 0/0/24接口连接路由器。interface GigabitEthernet 0/0/24 port link-type trunk # 接口模式设为Trunk允许承载多个VLAN的数据 port trunk allow-pass vlan 10 20 # 允许VLAN 10和20的数据通过此Trunk链路 description To-AR-Router quit实操心得即使目前只有一个互联子网我也习惯先配成Trunk只放行一个特定的互联VLAN比如VLAN 99。这比直接配成Access模式灵活性高得多后续若需要在链路上跑多个业务VLAN无需改动物理连线只需在allow-pass列表里添加即可。第四步配置默认路由告诉交换机所有去往非本地网段主要是互联网的数据包都发给路由器。ip route-static 0.0.0.0 0.0.0.0 10.0.0.1这条命令的意思是目的网络和掩码都是0代表任意网络下一跳地址是10.0.0.1。这个10.0.0.1就是我们即将在路由器互联接口上配置的IP地址。3.2 路由器侧配置详解路由器的配置相对直接核心是互联接口、NAT和回程路由。第一步配置与交换机互联的接口在路由器上与交换机Trunk口相连的接口需要创建一个子接口Sub-interface来处理带VLAN标签的数据或者直接将物理接口配置为三层口并配置IP。创建子接口是更规范的做法尤其当互联链路需要区分管理流量和业务流量时。 假设路由器使用GigabitEthernet 0/0/0接口连接交换机。system-view # 创建子接口.10用于处理VLAN 10的数据Dot1q封装VLAN 10 interface GigabitEthernet 0/0/0.10 dot1q termination vid 10 # 指定该子接口终结处理VLAN 10的标签 ip address 192.168.10.1 24 # 配置IP地址与交换机VLANIF 10在同一网段 arp broadcast enable # 启用ARP广播使子接口能发送ARP请求 description To-SW-VLAN10 quit # 创建子接口.20用于处理VLAN 20的数据 interface GigabitEthernet 0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 24 arp broadcast enable description To-SW-VLAN20 quit重要提示arp broadcast enable命令在华为路由器终结子接口上常常是必须的否则接口无法主动发送ARP请求会导致通信故障。这是一个经典坑点。但是更常见和简洁的互联方案是在路由器上创建一个独立的互联子网而不是为每个业务VLAN创建子接口。这样配置更简洁路由条目也更少。我们采用这种方案交换机侧将G0/0/24接口划入一个专门的互联VLAN例如VLAN 99并配置VLANIF 99的IP。vlan 99 interface GigabitEthernet 0/0/24 port link-type access port default vlan 99 quit interface Vlanif 99 ip address 10.0.0.2 24 quit路由器侧直接将物理接口配置IP。interface GigabitEthernet 0/0/0 ip address 10.0.0.1 24 description To-SW-L3-Core quit这样路由器和交换机之间就通过10.0.0.0/24这个网段通信。交换机上的默认路由ip route-static 0.0.0.0 0.0.0.0 10.0.0.1就指向这里。第二步配置外网接口与默认路由假设路由器的GigabitEthernet 0/0/1接口连接光猫获取了公网IP 202.100.1.10/29网关是202.100.1.9。interface GigabitEthernet 0/0/1 ip address 202.100.1.10 29 description To-Internet quit # 配置默认路由指向运营商网关 ip route-static 0.0.0.0 0.0.0.0 202.100.1.9第三步配置NAT网络地址转换这是内网设备上网的关键。我们需要在连接外网的接口上启用NAT并定义哪些内网地址可以转换。# 创建一个高级ACL访问控制列表定义需要做NAT的内部网段 acl number 2000 rule 5 permit source 192.168.10.0 0.0.0.255 # 允许VLAN 10网段 rule 10 permit source 192.168.20.0 0.0.0.255 # 允许VLAN 20网段 quit # 在外网接口上应用NAT策略 interface GigabitEthernet 0/0/1 nat outbound 2000 # 将ACL 2000匹配的源IP转换为该接口的公网IP quitnat outbound 2000是一种最基本的NAT配置意味着内网192.168.10.0/24和192.168.20.0/24的所有设备上网时其源IP都会被替换成接口G0/0/1的公网IP202.100.1.10。3.3 路由打通与回程配置至此配置基本完成但还缺最关键的一环路由器如何知道返回内网192.168.10.0/24和192.168.20.0/24的数据包该往哪里送目前路由器只知道自己的直连网段10.0.0.0/24和202.100.1.8/29。当它收到从外网回来的、目的IP是192.168.10.100的数据包时查路由表会发现没有路由导致丢包。解决方案在路由器上添加指向内网网段的静态路由。ip route-static 192.168.10.0 24 10.0.0.2 ip route-static 192.168.20.0 24 10.0.0.2这两条命令告诉路由器目的网络是192.168.10.0/24和192.168.20.0/24的数据包请统统发给10.0.0.2即三层交换机的VLANIF 99接口。交换机收到后再根据自己丰富的直连路由表进行分发。配置清单总结简洁互联方案设备配置项命令示例说明三层交换机创建VLANvlan batch 10 20 99业务VLAN 10,20互联VLAN 99接入端口int g0/0/1; port link-type access; port default vlan 10连接财务部PCint g0/0/2; port link-type access; port default vlan 20连接研发部PCVLANIF网关int Vlanif 10; ip add 192.168.10.254 24VLAN 10网关int Vlanif 20; ip add 192.168.20.254 24VLAN 20网关互联端口与网关int g0/0/24; port link-type access; port default vlan 99连接路由器int Vlanif 99; ip add 10.0.0.2 24与路由器对接的IP默认路由ip route-static 0.0.0.0 0.0.0.0 10.0.0.1上网流量指向路由器路由器互联接口int g0/0/0; ip add 10.0.0.1 24与交换机对接的IP外网接口int g0/0/1; ip add 202.100.1.10 29连接互联网默认路由ip route-static 0.0.0.0 0.0.0.0 202.100.1.9指向运营商网关回程路由ip route-static 192.168.10.0 24 10.0.0.2告诉路由器如何回内网ip route-static 192.168.20.0 24 10.0.0.2NAT配置acl 2000; rule permit source 192.168.10.0 0.0.0.255 ...定义内网网段int g0/0/1; nat outbound 2000在外网口应用NAT4. 深度调试与故障排查实录配置敲完了但网络不通怎么办别慌按照以下层次化思路排查能解决99%的问题。4.1 分层排查法从底层到高层第一层物理与链路层现象设备接口指示灯不亮或者频繁闪烁异常。排查检查网线是否完好是否按标准如T568B制作。检查接口是否被shutdown。使用display interface brief查看接口状态Physical和Protocol字段都应为UP。检查互联两端接口速率、双工模式是否协商一致。可使用display interface [interface-name]查看。强制协商模式不一致是经典问题。第二层VLAN与Trunk层现象同VLAN内电脑无法互访或交换机与路由器之间不通。排查检查端口VLAN成员在交换机上使用display port vlan [interface-name]确认Access端口是否在正确的VLANTrunk端口是否允许所需VLAN通过。检查VLANIF状态使用display ip interface brief查看Vlanif接口的物理和协议状态是否为up。如果协议状态down通常是因为该VLAN内没有up的物理成员端口。检查互联链路如果采用Trunk子接口方案务必确认路由器子接口的dot1q termination vid与交换机Trunk口放行的VLAN ID、以及子接口配置的IP网段与交换机VLANIF的IP网段是否对应。第三层IP与路由层现象不同VLAN间不能互访或内网设备无法上网。排查检查IP地址配置确认终端、网关IP、子网掩码配置无误。这是最低级也最常犯的错误。检查设备路由表这是排错的核心在交换机上display ip routing-table。你必须看到两条直连路由192.168.10.0/24和192.168.20.0/24以及一条默认路由0.0.0.0/0指向10.0.0.1。在路由器上display ip routing-table。你必须看到直连路由10.0.0.0/24和公网段以及两条静态路由192.168.10.0/24和192.168.20.0/24指向10.0.0.2。逐跳测试在交换机上ping路由器的互联IP10.0.0.1。如果通说明链路层和互联IP层没问题。然后在交换机上ping一个外网地址如114.114.114.114。如果不通但ping 10.0.0.1通问题很可能出在路由器的NAT、外网接口或运营商线路上。第四层NAT与安全策略层现象内网互访正常但无法上网。排查检查NAT配置在路由器上使用display nat session all查看是否有NAT会话表项。尝试从内网电脑访问外网然后立即查看该命令如果没有任何表项生成说明流量没有触发NAT或根本没有到达路由器。检查ACL规则确认nat outbound引用的ACL如2000规则是否正确是否permit了需要上网的内网网段。检查防火墙华为设备默认可能有简单的防火墙策略。检查路由器上是否有firewall相关配置阻止了流量。可以尝试在接口视图下临时执行undo firewall packet-filter如果使用了包过滤来测试。4.2 常用诊断命令速查表命令作用关键信息查看点display current-configuration查看当前全部配置核对接口IP、VLAN、路由、NAT等关键配置display interface brief查看接口简要状态确认接口物理(Phy)和协议(Pro)状态是否为UPdisplay vlan查看VLAN信息确认VLAN是否创建哪些端口在VLAN中display ip interface brief查看三层接口IP状态确认Vlanif接口状态和IP地址display ip routing-table查看路由表排查路由问题的核心确认直连、静态路由是否存在display arp查看ARP表确认IP到MAC的映射关系是否学习到ping [ip-address]测试网络连通性逐跳ping定位故障点tracert [ip-address]跟踪数据包路径查看数据包在哪一跳丢失display nat session all查看NAT会话确认内网上网流量是否成功进行NAT转换reset counters interface清除接口统计在开始测试前清除旧计数然后display interface查看错包计数4.3 典型故障案例与解决案例一三层交换机下不同VLAN之间无法互访。可能原因1VLANIF接口协议状态down。排查display ip interface brief查看Vlanif 10/20的协议状态。解决确保对应的VLAN下有物理端口状态为up即使是Trunk口只要允许该VLAN通过并up即可。可以临时在VLAN下添加一个access端口并连接设备激活它。可能原因2终端PC的网关配置错误没有指向交换机的VLANIF IP。案例二内网设备可以互访但全部无法上网。可能原因1交换机上没有配置默认路由或默认路由下一跳写错。排查在交换机上display ip routing-table看是否有0.0.0.0/0的路由下一跳是否为路由器的互联IP10.0.0.1。可能原因2路由器上没有配置指向内网网段的回程路由。排查在路由器上display ip routing-table看是否有192.168.10.0/24等路由指向10.0.0.2。可能原因3路由器外网线路或配置问题。排查在路由器上ping一个外网IP如114.114.114.114。如果不通检查外网接口IP、网关配置以及运营商线路状态。案例三部分VLAN能上网部分不能。可能原因路由器上的NAT ACL没有包含所有需要上网的网段或者回程静态路由缺失。排查检查路由器acl 2000的规则以及display ip routing-table中是否包含了所有内网网段的路由。配置完成后强烈建议进行一次完整的测试流程1. 同VLAN内互访2. 不同VLAN间互访3. 从内网ping路由器互联IP4. 从内网ping外网DNS如114.114.114.1145. 进行实际的网页浏览测试。每一步都通了这个“路由器三层交换机”的核心骨架才算真正搭建稳固。这个架构的扩展性很强在此基础上增加交换机、部署无线网络、配置安全策略都会变得有章可循。
)
