vlan之间怎么互相通信,单臂路由 VLAN间通信

题图来自Unsplash，基于CC0协议

导读

不同VLAN之间的主机通信需要通过路由器或三层交换机的路由功能实现，因为二层交换机无法在不同VLAN间转发数据。以下是详细的工作原理和实现方式：

早期网络可能采用单臂路由（Single Homed Router）方案： 交换机配置：

1. 创建VLAN
2. 将端口划分到对应VLAN
3. 配置SVI（Switched Virtual Interface）

   SW1(config)# int vlan 10
   SW1(config-if)# ip address 192.168.10.1 255.255.255.0
   SW1(config)# int vlan 20
   SW1(config-if)# ip address 192.168.20.1 255.255.255.0

   路由器配置：

   Router(config-if)# ip add 192.168.10.254 255.255.255.0
   Router(config)# ip route 192.168.20.0 255.255.255.0 192.168.10.254

现代网络多使用三层交换机实现： 三层交换机配置流程：

1. 启用路由功能 Switch(config)# ip routing
2. 配置SVI接口

   
   Switch(config-if)# ip address 192.168.10.1 255.255.255.0
   Switch(config)# int vlan 20
   Switch(config-if)# ip address 192.168.20.1 255.255.255.0```

3. 配置路由协议

   
   Switch(config)# network 192.168.10.0 0.0.0.255 area 0
   Switch(config)# network 192.168.20.0 0.0.0.255 area 0```
   数据包转发机制：
   - 源主机(pc1)发送IP报文给pc2(不同VLAN)
   - 目标IP与接口路由表匹配
   - 若存在匹配路由，将目标IP封装入VLAN帧（添加目标VLAN ID 20）
   - 标准三层转发判断逻辑：
   1. 在三层接口查找路由表
   2. 从路由表获取下一跳或出接口
   3. 检查ARPF状态
   4. 进行TTL递减和校验
   5. 进行访问控制列表检查

配置VLAN间路由的完整流程示例： 步骤1：创建VLAN10和VLAN20

Switch(config-vlan)# name IT
Switch(config)# vlan 20
Switch(config-vlan)# name Engineering```
步骤2：配置接口
```Switch(config)# int range f0/1-2
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10/20```
步骤3：激活三层路由
```Switch(config)# ip routing```
步骤4：配置SVI
```Switch(config)# int vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config)# int vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0```
步骤5：配置动态路由
```Switch(config)# router ospf 1
Switch(config-router)# network 192.168.10.0 0.0.0.255 area 0
Switch(config-router)# network 192.168.20.0 0.0.0.255 area 0```
MAC地址表行为：
- 接收VLAN 10帧仅处理目标MAC在网络中的节点报文
- 对于需要路由的目标MAC，建立临时ARP请求
- 数据转发时若三层路由表项被更新，生成动态ARP记录

安全增强：
访问控制列表可以对VLAN间路由进行限制
配置示例：
```Switch(config)# access-list 101 permit ip host 192.168.10.10 host 192.168.20.20
Switch(config)# int vlan 10
Switch(config-if)# ip access-group 101 out```
注意：VLAN间通信必须满足以下条件：
1. 正确的VLAN路由配置
2. 网络可达性（IP路由可达）
3. 合理的子网划分
4. 充足的管理权限
5. 网络设备无故障