vlan之间怎么互通,如何配置VLAN间路由？

题图来自Unsplash，基于CC0协议

导读

VLAN 的主要优势在于它能在物理网络设备上创建逻辑上的隔离，有效防止广播风暴和提高网络安全性。但这层隔离意味着属于不同 VLAN 的设备（如两个不同部门的主机）默认情况下无法直接通信，就像隔开了的两个“岛屿”。为了实现跨 VLAN 的数据交换，引入了网络层（Layer 3）的技术，即我们常说的 VLAN 间路由。根本原理是，原本在同一物理网络上简单进行二层转发的设备，在 VLAN 场景下，由于三层功能的缺失或未启用，无法处理跨越其接口 IP 子网的数据包，因此依赖外部具有三层处理能力的设备来转发这些流量。

实现 VLAN 间通信的方法主要有两种：使用具有交换功能的路由器（三层交换） 和 使用路由器配合子接口进行的单臂路由（Router-on-a-Stick）。

2. 如何配置 VLAN 间路由？ 配置 VLAN 间路由的关键在于拥有一个能够执行 IP 路由选择的三层设备。对于三层交换机，需要配置交换模块的路由功能，并设置其接口上的 IP 地址。对于传统的路由器，通常是单臂路由。

   • 配置方式一：三层交换
   • 启用设备的三层交换功能（如果版本支持）。
   • 创建对应的 VLAN 接口，并为其分配 IP 地址。这个 IP 地址通常是用于侦听来自该 VLAN 内设备的路由请求。
   • 配置静态路由或启用动态路由协议，使得所有 VLAN 的子网都能通过这个三层交换机互相到达。
   • 配置方式二：单臂路由
   • 在物理路由器接口上创建多个逻辑子接口（Sub-interfaces）。每个子接口对应一个 VLAN。
   • 为每个子接口分配一个 IP 地址，通常是它所关联 VLAN 的默认网关。
   • 配置 RIP、OSPF、静态路由等，使这些 ID 私网能够相互访问。router子接口接收并处理来自指定VLAN的数据包，并根据路由表决定是否进行转发。

3. 三层交换机实现 VLAN 间通信的配置示例 假设我们有一台启用三层交换功能的设备，需要连接四个不同的 VLAN (VLAN10, VLAN20, VLAN30, VLAN40)，将两个带有子接口配置的路由器 (router1和router2) 连接。

   1. 在三层交换机上配置：

      Switch#
      ! 启用路由功能（如果未启用）  
      ! 假设三层交换功能是版本特性，通过对应命令启用  
      Switch(config)# ip routing
      
      Switch(config)# interface vlan 10
      Switch(config-if)# ip address 192.168.10.1 255.255.255.0
      Switch(config-if)# no shutdown
      
      Switch(config)# interface vlan 20
      Switch(config-if)# ip address 192.168.20.1 255.255.255.0
      Switch(config-if)# no shutdown
      
      Switch(config)# interface vlan 30
      Switch(config-if)# ip address 192.168.30.1 255.255.255.0
      Switch(config-if)# no shutdown
      
      Switch(config)# interface vlan 40
      Switch(config-if)# ip address 192.168.40.1 255.255.255.0
      Switch(config-if)# no shutdown
      
      Switch(config)# ! 配置端口 fa0/24 作为trunk端口，允许多个VLAN流量经过  
      Switch(config)# interface fa0/24
      Switch(config-if)# switchport mode trunk
      Switch(config-if)# Switch(config-if)# switchport trunk allowed vlan all

   2. 配置静态路由（假设还有另一个子网 192.168.50.0/24 没有直接连接）：

      Switch(config)# ip route 192.168.20.0 255.255.255.0 vlan-interface 10   ! 或直接指定下一跳/接口
      Switch(config)# ip route 192.168.30.0 255.255.255.0 vlan-interface 10 ...
      ...
      Switch(config)# ip route 192.168.50.0 255.255.255.0 192.168.10.254    ! 假设 gateway 到达 192.168.50.0

   3. 在连接的路由器上（例如router1）配置：

      Router1(config)# interface gig0/0
      Router1(config-if)# no shutdown  ! 假设物理接口已开启
      Router1(config)# interface gig0/0.10   ! 创建子接口对应 VLAN10
      Router1(config-if)# encapsulation dot1Q 10   ! 设置子接口 802.1Q 封装，对应 VLAN 10
      Router1(config-if)# ip address 192.168.10.150 255.255.255.0
      Router1(config-if)# ip proxy-arp 192.168.10.0  ! 针对 VLAN10 提供代理 ARP 服务（非绝对必需，取决于终端设置）
      Router1(config-if)# exit
      Router1(config)# interface gig0/0.20
      Router1(config-if)# encapsulation dot1Q 20
      Router1(config-if)# ip address 192.168.20.150 255.255.255.0
      Router1(config-if)# no shutdown
      Router1(config)# interface gig0/0.30 (依此类推)
      Router1(config)# ! 配置到达其他VLAN网段或外部网段的路由
      Router1(config)# ip route 192.168.40.0 255.255.255.0 192.168.10.1   ! 假设三层交换机是网关

4. 单臂路由实现 VLAN 间通信的方法 单臂路由是一种在物理路由器的一个接口上创建多个逻辑子接口的方法，每个子接口被配置为属于一个特定的 VLAN。这些子接口通常被分配一个 IP 地址，作为一个全球唯一的网关提供给对应的 VLAN。当主机需要访问另一个 VLAN 的资源时，它会把目标网关地址设为该 VLAN 对应的路由器子接口 IP 地址。路由器（或具有三层交换能力的设备）收到数据包后，通过查找自己的路由表，决定是否进行转发。这种方法能实现不同子网或 VLAN 之间的数据路径穿越。

5. VLAN 间通信的默认网关设置 访问其他 VLAN 所需的出口通常由该主机所属 VLAN 的默认网关负责。管理员需要在网上规划阶段分配一个与 VLAN 相连的三层设备（如三层交换机或路由器）的 IP 地址。这个 IP 地址会被正确地配置到对应 VLAN 的接口或路由器子接口上。然后，在这些 VLAN 内的主机上（通常是通过 DHCP 服务器自动或手动设置），需要将这个默认网关 IP 地址接入能进行通信。例如，VLAN10 的主机拥有 IP 地址 192.168.10.10/24，对应的路由器子接口 IP 是 192.168.10.1/24，那么默认网关配置就是 192.168.10.1。

6. 不同 VLAN 通信需要满足哪些条件？ 要保证不同 VLAN 之间的通信，系统需要满足以下条件：

   • 网络层路由能力：必须存在一台或一组能处理网络层数据包（查找路由表、选路）的设备，这是跨 VLAN 通信的核心。
   • 有效的 IP 配置：每个 VLAN 内的主机需要拥有可连接的 IP 地址和子网掩码，并且知道通往其他 VLAN 子网的默认网关 IP 地址。
   • 子接口或路由接口：在物理连接层面，需要有适当的接口来承载跨 VLAN 的流量。路由器或三层交换机的接口需要配置子接口（单臂路由）或启用三层功能（三层交换）并拥有连接不同 VLAN 的接口。
   • 无防火墙或其他安全策略阻止：数据包在经过路由设备时，不应被防火墙、ACL 或其他安全策略（例如访问控制列表）阻止，除非有特定的安全策略要求。

总结来说，VLAN 间的互通依赖于路由器的功能，通过在边界路由器或交换机上配置 VLAN 接口或子接口、设置正确的 IP 地址和路由协议，并确保主机配置了指向该网关的默认路由，使得原本被隔离的二层广播域能够在三层网络中正确地跨越和通信。考虑到这种基于网络层的通信模式属于 IP 网络范畴，它与早期的局域网通信原理有所不同，跨越的是更大的物理网络空间。