1. 项目概述与核心需求拆解1.1 这个综合实验到底在解决什么问题先说说我为什么会折腾这么一套东西。前阵子帮朋友的一个小公司整理内网他们的网络拓扑说实话挺典型的一台核心交换机、三台接入交换机、还有一台出口路由设备不多但问题不少——整个公司就一个网段广播风暴时不时来一下财务部和办公区直接互通打印机谁都能连领导对此很不满意。单臂路由、DHCP接口配置、VLAN划分、Trunk接口这四个词组合在一起其实就是小企业网络里最常见的一揽子解决方案。用一台路由器、一台二层交换机就能做出一套不同部门VLAN隔离、自动获取IP、跨VLAN互访的完整网络。你要是做过企业网络的运维或者刚学完网络技术想动手练手这个综合应用可以说是绕不开的经典场景。单臂路由解决的是路由器只有一个物理接口怎么让多个VLAN互通的问题DHCP接口配置解决的是终端怎么自动拿到对应网段的IPVLAN划分解决的是广播域隔离和访问控制而Trunk接口解决的是交换机之间怎么传递多个VLAN的流量。这四个东西单独拆开都能理解但真正串在一起的时候细节坑才浮现出来。这篇文章我会按我自己实际搭建的顺序来写拓扑怎么设计、VLAN怎么划、Trunk怎么配、单臂路由的子接口怎么终结封装、DHCP怎么配在路由器上、最后怎么验证排错每一步都给出可直接抄的配置和解释。1.2 适合谁来参考能学到什么如果你是正在学网络技术的学生、刚入行的网络工程师、或者想自己打理公司小网络的IT负责人这篇内容都能直接帮到你。因为这里面的技术点几乎覆盖了中小企业网络中网段规划、跨VLAN互通、地址自动分配这三件核心事。我先说结论这套方案的优点是省钱、清晰、容易排错——一台路由器加一台二层交换机就能撑起一个小型办公环境的全部VLAN互访和地址分配需求。缺点是路由器成了跨VLAN转发的必经之路流量一大或者VLAN一多路由器CPU就吃不消接口带宽也成了瓶颈。所以适合终端数量在几十台以内、没有大量跨VLAN文件传输的小场景放一百台以上或者有服务器集群互访就不太合适了。需要说明的是我用华为eNSP模拟器完成验证所有命令基于华为VRP平台。如果你手里是Cisco设备思路完全一样就是命令写法不同。2. 网络拓扑与VLAN规划的设计思路2.1 拓扑结构一台路由器如何撑起多个网段的互通在开始敲命令之前先把拓扑讲清楚。我用到的设备非常简单一台路由器模拟出口路由兼做DHCP服务器和VLAN间路由一台二层交换机做VLAN划分和Trunk透传若干PC终端分别连接不同VLAN的Access口关键拓扑是这样的路由器的物理接口G0/0/0通过一根网线连接到交换机的G0/0/1口。交换机的这个接口配置为Trunk口放行多个VLAN。路由器这边物理接口下面再分出两个或三个子接口每个子接口对应一个VLAN的网关通过802.1Q封装让路由器能从同一个物理口收发打了不同VLAN标签的报文。这里有个初学者特别容易绕晕的点路由器的物理接口是不配置IP地址的每个子接口才配IP。子接口就像物理接口切出来的多个虚拟出口每个虚拟出口只认对应VLAN Tag的报文。我在实际搭建中路由器G0/0/0.10子接口对应VLAN 10IP是192.168.10.1/24作为办公区的网关G0/0/0.20对应VLAN 20IP是192.168.20.1/24作为财务区的网关。PC的网关都指向各自VLAN的子接口IP这样跨VLAN的包就到了路由器由路由器做路由转发实现了VLAN间互通。这种单臂架构的妙处在于完全省掉了一个三层交换机——三层交换机比二层加路由的组合贵太多了。对于预算有限的小公司这方案性价比极高。代价是跨VLAN流量全部走路由器的那一根线所以实际项目中有人会把它形容为一根线扛起整个公司的跨网段转发这个心里有个数就行了。2.2 IP地址规划先定好网段再谈配置我不止一次看到有人上来就配命令配到DHCP才发现网段互相冲突最后整张表推翻重来。做网络规划第一步永远是先画一张表。我的规划是这样的项目VLAN编号网段网关子接口用途办公区VLAN 10192.168.10.0/24192.168.10.1G0/0/0.10普通员工PC财务区VLAN 20192.168.20.0/24192.168.20.1G0/0/0.20财务专用PC服务器区VLAN 30192.168.30.0/24192.168.30.1G0/0/0.30打印服务器、文件共享每个网段选/24是因为终端数量不大、结构简单而且后续排查时看到IP前三位基本就能判断属于哪个部门非常直观。网关地址统一用每个网段的.1形成习惯后配置和记忆成本都低。至于为什么不把服务器也放进办公区这是出于两点考虑一是服务器需要稳定、固定的IPDHCP分配对服务器不如静态配置友好二是服务器如果和终端混在一起终端中毒后的广播风暴很容易波及关键业务。单独划出VLAN 30日后还能配合ACL做精细控制比如只允许办公区访问服务器的特定端口。2.3 VLAN划分原则按部门还是按业务我踩过的坑VLAN划分最常见的有两种思路按部门划分按业务或安全等级划分。小公司一般按部门走直观、好管理财务部一个VLAN销售部一个VLAN行政一个VLAN。但实际做过项目后你会发现仅按部门划分在有些场景下会出问题——比如公司有个公共打印机所有部门都要用它是放在哪个VLAN都不合适放哪个部门都会有人说凭什么我们部门访问打印机还要绕路。所以我的建议是核心原则按部门但单独拎出共享资源打印机、文件服务器单独划一个VLAN。然后通过路由或者策略在需要的地方放通。如果你的交换机支持ACL还可以在VLAN间做定向放行比如VLAN 10能访问VLAN 30的打印服务器但VLAN 20和VLAN 30之间默认隔离更严格。另外提一句热词里有个基于IP划分VLAN的说法那是针对某些傻瓜交换机或高级交换机的特殊功能——交换机根据终端IP段自动把端口划进对应VLAN实际上等于把VLAN划分从端口维度提升到了IP维度。不过这不是所有设备都支持而且需要底层的IP子网VLAN功能属于进阶玩法本实验用不到。传统端口划分VLAN仍然是通用性最强、最稳妥的方案。3. 交换机侧配置VLAN划分与Trunk接口实操3.1 创建VLAN并把端口划入对应VLAN交换机我选用的是华为S5700系列eNSP里就是S5700的模拟实际操作中S5700、S3700甚至S1700都适用同样命令。先把基础配置敲上system-view sysname SW1接下来创建三个VLANvlan batch 10 20 30vlan batch一条命令搞定比逐个vlan创建高效得多。然后看接口规划G0/0/1连接路由器配成TrunkG0/0/2~G0/0/10属于办公区划进VLAN 10G0/0/11~G0/0/15属于财务区划进VLAN 20G0/0/16~G0/0/20是服务器和打印区划进VLAN 30。以办公区为例批量配置其实有个小技巧。逐个口敲也行但效率太低我直接按端口范围统一配置port-group group-member GigabitEthernet 0/0/2 to GigabitEthernet 0/0/10 port link-type access port default vlan 10初次用华为设备的人要注意port-group是一条虚拟的命令组它会把组内所有接口同时执行后面的命令执行完自动退出。如果你用的是不同接口类型混在一起就老老实实逐个接口操作。而对于VLAN 20、VLAN 30的划分配置命令格式完全一样只是vlan编号和端口范围不同建议实际操作时把三个VLAN的配置写成三段中间加注释方便日后维护的人看。3.2 Trunk接口配置与前Tag标签的流转逻辑Trunk接口是这次实验中最容易出认知偏差的地方。先看命令interface GigabitEthernet 0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30交换机连接路由器的口需要放行这三个VLAN的流量。这里涉及一个概念Trunk口默认的PVID是VLAN 1如果你不显式放行VLAN 10/20/30那么这些带Tag的帧从Trunk口出去会被交换机直接丢弃。还有一点容易忽略Access口在发出数据帧时会剥掉VLAN标签Trunk口则保留标签原样转发。正是因为交换机Trunk口出去的是带标签的帧路由器才能通过子接口识别该帧属于哪个VLAN再把帧交给对应子接口处理。这就是VLAN Tag贯穿交换机与路由器的核心流转逻辑。在配置时我习惯再加一句port trunk pvid vlan 1其实保持默认也可以但显式写出来能让配置更清晰。这里有一个常见误区有人觉得PVID必须和允许通过的VLAN相同不是的——PVID指的是这个Trunk口收到无Tag帧时默认打上哪个VLAN的标签。如果某根线接了一台傻瓜设备比如普通PC直连Trunk口又不小心发了无Tag帧那它就会被划分到PVID对应VLAN。这正是很多网络莫名其妙通了的根源。3.3 使用display命令验证交换机配置是否正确华为交换机配置完一定要检查一遍这是我对所有学员反复强调的习惯。我常用的验证命令是display vlan这个命令可以看到VLAN 10/20/30的创建状态、每个VLAN包含哪些接口。注意观察接口状态列确认G0/0/2到G0/0/10都在VLAN 10里G0/0/11到G0/0/15在VLAN 20里。然后针对Trunk口再查一下display port vlan这个命令能列出每个接口的链路类型、PVID、允许通过的VLAN列表。看到G0/0/1的链路类型是trunk、允许的VLAN列表里包含10/20/30就说明Trunk配置成功了。另外一个排错常用的底牌是display mac-address如果某个PC死活ping不通网关先看交换机的MAC地址表里有没有对应终端的MAC如果没有说明这个PC发到交换机的帧就没被正确处理问题多半出在接口VLAN配置上如果有MAC但ping不通网关那就是三层以上的问题方向就完全不同了。4. 路由器侧单臂路由与DHCP接口配置4.1 子接口的创建802.1Q封装里最关键的命令是哪个现在到了整个实验的重头戏路由器单臂路由。先说原理再上命令不然你就算敲对了也没法应变。单臂路由的本质是在路由器的物理接口上创建多个逻辑子接口每个子接口通过dot1q vlan对应一个VLAN。当带VLAN Tag的帧到达路由器物理口时路由器根据Tag判断交给哪个子接口处理当子接口要发数据时先打上对应VLAN的Tag再从物理口发出去。华为设备上配置方法是这样interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable我对所有初学者强调一个命令arp broadcast enable这个真的太容易被漏了。它的作用是让子接口能够响应VLAN内主机的ARP请求。如果漏掉PC的网关就永远不通——因为PC发出网关MAC地址是多少的ARP广播后路由器子接口根本不回应谁也叫不应。配置完VLAN 10的子接口VLAN 20和VLAN 30照着同样的结构来一遍。VLAN 20的网关是192.168.20.1/24VLAN 30的网关是192.168.30.1/24。注意每个子接口必须跟VLAN编号对应上G0/0/0.20配dot1q termination vid 20不能写错不然Tag匹配不上包就丢到错误的虚拟出口去了。这里再补充一个很多人会混淆的点子接口上的dot1q termination vid和交换机的access口的pvid不是一回事。前者是匹配标签——只处理带指定VLAN标签的帧后者是打标签——给无标签的帧打上缺省标签。方向完全相反理解了这个语义以后看配置就不会晕。4.2 DHCP全局地址池方式配置适合多网段的选型原因DHCP的配置华为有两种方式接口地址池dhcp select interface和全局地址池dhcp select global。我做这个实验选择的是全局地址池方式。为什么因为接口地址池的网段跟接口IP是绑定的子接口多的时候每个接口都要重复一段配置管理分散全局地址池把所有网段的地址池集中在一个地方写一眼能看出谁是谁改起来也方便。我更习惯的是这种集中配置、按网段分离的风格。先开启DHCP全局开关dhcp enable然后依次为三个VLAN创建地址池ip pool vlan10 gateway-list 192.168.10.1 network 192.168.10.0 mask 255.255.255.0 dns-list 8.8.8.8 114.114.114.114这里的gateway-list必须填192.168.10.1为什么因为PC从DHCP获得的默认网关如果和路由器子接口不一致跨VLAN通信直接断连而这个问题往往要到最后排查阶段才能发现。地址池网段也必须和子接口IP同一段不能在VLAN 10的地址池里手滑写一个192.168.88.0的网段这种低级错误我见过不止一次。VLAN 20和VLAN 30的地址池配置格式相同但网段和网关改成对应值。三个地址池配完再回到三个子接口下分别调用interface GigabitEthernet0/0/0.10 dhcp select global这样接口下的终端就能拿到对应网段的IP了。VLAN 10的PC会从vlan10的地址池拿到192.168.10.x段的地址VLAN 20的PC从vlan20拿192.168.20.x。各拿各的不会串——前提是交换机侧的VLAN划分正确。4.3 DHCP接口地址池方式与全局方式的差异对比既然前面提到了接口地址池方式我就把它和全局地址池做一个简单对比方便你按需选择对比项接口地址池 (dhcp select interface)全局地址池 (dhcp select global)配置位置每个接口下单独配置全局统一创建地址池网段来源自动从接口IP推导手动指定network多网段适应性接口多时配置分散集中管理清晰维护成本较高较低灵活性差网段绑定接口好可灵活调整这个实验里我全程用全局地址池写作、排查、讲解都要方便很多。其实华为较新版本的VRP平台还支持接口地址池绑定子接口的写法但原理都是通过DHCP服务器进程给终端分配地址终端侧的体验没区别。4.4 在路由器上验证DHCP分配是否正常配置完成后验证的完整步骤是这样的。先在路由器查地址池状态display ip pool这个命令能列出所有地址池的名称、网段、网关、DNS、已分配地址数、空闲地址数。如果你发现地址池里的已分配数一直在涨说明有终端在获取IP好事如果始终是0要么终端没有发DHCP请求要么DHCP请求根本没到这个路由器。再把PC的网卡设置成DHCP获取手动renew一下ipconfig /release ipconfig /renew然后ipconfig查看拿到的IP和网关是否正确。正常情况下VLAN 10的PC会拿到192.168.10.2~254段中的地址网关192.168.10.1DNS为上面配置的地址。这一步是整套配置第一道也是最重要的一道质检——VLAN划分有没有错、Trunk放行有没有漏、子接口封装对不对、DHCP地址池有没有串网段全都能通过终端能不能拿到正确网段IP暴露出来。5. 综合验证与常见故障排查实录5.1 全链路连通性验证ping、ARP、静态路由三件套所有配置敲完之后验证环节千万别偷懒也别只看一个点。我的标准验证流程是这样的第一步交换机侧验证VLAN和Trunkdisplay vlan display port vlan第二步路由器侧验证子接口和DHCPdisplay ip interface brief display ip pooldisplay ip interface brief能看到子接口的IP地址和状态注意看Physical和Protocol两列都必须显示Up。如果Protocol显示Down多半是dot1q termination vid写错了或者物理接口没开启。第三步终端侧验证连通性。挑一台VLAN 10的PC先ping自己的网关ping 192.168.10.1通了之后再ping另一网段的终端比如VLAN 30的服务器ping 192.168.30.2如果VLAN 10 PC能ping通VLAN 30的服务器说明单臂路由整个链路是通的。如果两个PC都拿到正确IP但中间ping不通再看路由器的路由表display ip routing-table在直连网络中路由器应该有一条到达192.168.10.0/24、192.168.20.0/24、192.168.30.0/24的直连路由协议标记为Direct下一跳就是各子接口IP。没有这些条目就不可能做跨VLAN转发。5.2 常见配置错误与典型故障排查实录我把实操中遇到频率最高的几个问题按排查优先级列出来每个都附带判断方法和解决思路建议收藏当作速查表用故障现象可能原因排查命令/方法解决方案终端获取不到IPDHCP地址池没建或调用失败display ip pool、display current-configuration确认子接口下配了dhcp select global地址池网段正确终端拿到IP但网关不通子接口缺arp broadcast enabledisplay arp查网关MAC是否存在子接口补配arp broadcast enable跨VLAN ping不通路由器子接口VLAN封装不对display dot1q termination vid配置检查dot1q termination vid是否对应该VLAN特定VLAN不通Trunk口未放行该VLANdisplay port vlantrunk allow-pass vlan加上对应VLAN所有VLAN不通但直连正常物理口没开或线缆问题display interface GigabitEthernet0/0/0确认物理口undo shutdown排查顺序建议遵循从物理到逻辑、从二层到三层先看线缆和接口物理状态再看VLAN和Trunk再看子接口和ARP最后才查路由表。千万别一上来就怀疑路由协议这种小型网络根本没有动态路由协议只有直连路由反而是VLAN和Trunk出问题的概率最大。5.3 模拟器环境与真实设备环境的差异提示我这次是在eNSP模拟器里验证的模拟器有一个让人觉得太顺利的特性物理层永远正常线缆不会松动接口不会协商失败。但在真实设备上你还要注意几个模拟器里不存在的坑第一真实交换机或路由器默认有些接口是shutdown状态不同品牌、不同型号默认策略不同需要手动undo shutdown。第二真实环境中Trunk口连接的还有可能是傻瓜交换机——就是不具备VLAN配置功能的即插即用交换机。如果你把傻瓜交换机接入Trunk口傻瓜交换机会把这个带Tag的帧原封不动地转发到所有端口那些没有对应VLAN的终端就可能收到莫名其妙的数据帧。这也是热词里提到的傻瓜交换机相关场景的由来。正确做法是傻瓜交换机只能接在Access口下并且这个Access口划分到指定的某个VLAN这样所有接在傻瓜交换机上的终端都属于同一个VLAN。第三真实设备上的ARP表项有时效调试的时候可以手动清一下reset arp。这在模拟器里几乎不用管但真机上能帮你排除一些旧表项误导判断的情况。5.4 排错中最容易被忽略的三个细节最后再分享三个我自己真的踩过、讲课时也经常见学员踩的细节。第一个细节是子接口的编号习惯问题。有人会用物理接口编号加vlan号的方式命名子接口比如VLAN 10用G0/0/0.10VLAN 20用G0/0/0.20这个习惯非常好强烈建议保持。如果你随手编一个.1、.2后面排错时会疯掉因为display命令显示出来的接口和VLAN的对应关系要靠脑子记一旦记岔就完蛋。第二个细节是PC端的ARP缓存。在真机环境里如果你改了终端网关或VLAN配置需要先arp -d清一下终端ARP缓存否则PC还在拿旧的网关MAC发帧会造成新配置明明是对的但就是不通的假象。模拟器里也一样手动执行arp -d是个好习惯。第三个细节是配置保存。这是最土但最重要的一点。实验做完、验证通过后必须save配置否则一次断电全部白干。eNSP里用save命令真实设备也一样。别提这个——有真人在真实项目里做完两个小时的配置没保存然后设备重启追加配置全丢当场血压拉满。保存配置这个动作就是专业和业余的分界线。6. 扩展应用场景与分层进阶路径6.1 从单臂路由到三层交换机路由的演进路线这个实验做完你已经掌握了小型网络中最核心的几块拼图。但真实场景永远比实验复杂。按照项目规模从小到大网络架构的演进路线大致是小型办公环境20~50终端单臂路由 二层交换机完全够用中型环境50~150终端三层交换机做VLAN间路由用SVISwitch Virtual Interface代替路由子接口大型环境或园区网核心层交换机 汇聚层交换机 接入层交换机三层路由在核心层完成单臂路由方案适合终端数量少、跨VLAN流量小的场景。当公司人数变多、文件服务器流量变大时你会明显感觉到跨VLAN访问速度变慢——因为所有跨VLAN包都要经过路由器转发而路由器本身更擅长NAT和路由决策不太擅长高速转发数据包。这时候就应该考虑换三层交换机了。华为三层交换机上的SVI配置其实跟子接口有点像interface Vlanif10 ip address 192.168.10.1 255.255.255.0但它跟单臂路由有本质区别Vlanif10是交换机自身的一个三层接口不依赖物理接口也不需要dot1q终结封装因为交换机自己就能识别VLAN Tag。跨VLAN转发在交换机内部完成走的是硬件转发速度远快于路由器软件转发。代价是三层交换机比二层交换机贵不少预算有限时单臂路由仍然是个能打的方案。6.2 给VLAN间加访问控制从全通到按需放行做完了互通其实工作才完成了一半。实际项目中你通常不希望VLAN之间完全互通——比如财务VLAN就不应该随便被办公VLAN访问。在单臂路由架构下路由器就是天然的ACL执行点你可以在子接口的进出方向做流量过滤。比如在G0/0/0.10子接口的入方向配置ACL限制只能访问财务VLAN的特定服务端口acl number 3001 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255当然这只是一个粗糙的示例。真实项目里的ACL规则会更细甚至结合应用层过滤。但重点是你要知道VLAN划分只是第一步——隔离的下一步是受控互通而ACL就是实现受控互通的工具。单臂路由架构完全可以做这件事相比三层交换机方案一点都不差。6.3 在真实办公环境中部署这套架构的注意事项如果这套方案要用到真实办公环境我有几条来自项目现场的土经验第一出口路由器如果兼做单臂路由压力会叠加。毕竟它同时要处理NAT访问互联网和VLAN间路由转发。建议选企业级路由器而不是家用小路由器否则跨VLAN下载大文件时全公司上网都会卡。如果你预算宽裕一点可以改用交换机VLANIF 独立出口路由方案把转发和NAT分离开。第二规划网关和DHCP时建议把重要服务器做成DHCP静态绑定而不是完全依赖DHCP动态分配。华为地址池支持static-bind ip-address mac-address命令可以给打印机、文件服务器固定地址避免重启后IP变化导致业务配置失效。第三交换机、路由器的console线一定要备好。这个听起来像废话但真实项目里远程管理一断唯一能救你的就是console线。模拟器里永远不会有这种焦虑真机环境里这就是救命稻草。7. 实操心得与经验沉淀整套实验做完我对单臂路由、DHCP接口配置、VLAN划分、Trunk接口这套组合有了更实际的认知。这里写几条发自内心的体会如果你正在练这个实验应该会有共鸣。第一个体会是这四个技术点不是孤立的它们之间存在明确的依赖链。VLAN划分是起点把广播域切开了Trunk接口是桥梁把多个VLAN的流量送到了路由器单臂路由是灵魂让被隔离的VLAN还能互通DHCP是体验保障让终端接入网络就能自动获得正确配置。少了任何一环整个体系都不完整。所以练这个实验本质上是在练系统思考的能力——你在配置VLAN时就要想着Trunk放行在配置子接口时就要想着DHCP地址池怎么配合。第二个体会是命令本身不复杂复杂的是排查。我在文章开头说过踩过的坑如果你照着这个文章一步步做大概率一次成功。但真正让你成长的是把错误引入到配置里再排除的过程。建议有条件的读者在配置完成后故意改错一个地方——比如把Trunk口放行的VLAN列表删掉一个——然后从头排查原因这个训练比单纯做十次正确配置收获大得多。第三个体会是模拟器和真机是两回事但缺一不可。模拟器让你低成本试错真机让你积累实物手感。我见过有人模拟器玩得飞起但真机上连console线都接不明白也见过老工程师在模拟器上反而不知道怎么配命令。这两个都要碰我个人的经验是先模拟器练通逻辑再去真机上验证等到闭着眼都能配的时候你就真的吃透了这套东西。最后分享一个小技巧每完成一个阶段的配置立即display保存一份截图或文本记录。我做实验的习惯是每个设备配置完就save然后导出配置文件备份。如果后续配乱了一条命令回滚回到上一版配置比逐条删除高效得多。这个习惯在真实项目中价值更大——毕竟生产环境出了问题稳定恢复往往比解决问题更紧急。