1. VLAN间路由实验概述
在企业级网络环境中,VLAN(虚拟局域网)技术是实现网络逻辑隔离的基础手段。通过将物理网络划分为多个广播域,VLAN能够有效控制广播风暴、提升安全性和优化带宽利用率。而VLAN间路由则是实现不同VLAN间通信的关键技术,本实验将深入探讨其实现原理与配置方法。
典型的VLAN间路由方案有三种实现方式:
- 传统路由器方案(每个VLAN对应一个物理接口)
- 单臂路由(Router-on-a-Stick)
- 三层交换机方案
提示:在实验室环境中,推荐使用GNS3或EVE-NG模拟器搭建测试拓扑,这些工具支持完整的VLAN和路由功能模拟,且能使用Wireshark抓包分析VLAN标签。
2. 实验环境搭建
2.1 基础网络拓扑设计
实验采用经典的单臂路由架构,需要以下设备:
- 1台支持802.1Q的路由器(如Cisco 2911)
- 1台可管理二层交换机(如Cisco 2960)
- 2台PC终端设备
- 控制台连接线缆
拓扑连接方式:
code复制PC1 <--> Switch Fa0/1 (Access VLAN10)
PC2 <--> Switch Fa0/2 (Access VLAN20)
Switch Gi0/1 <--> Router Gi0/0 (Trunk)
2.2 交换机基础配置
cisco复制enable
configure terminal
! 创建VLAN
vlan 10
name Sales
vlan 20
name Finance
! 配置接入端口
interface FastEthernet0/1
switchport mode access
switchport access vlan 10
interface FastEthernet0/2
switchport mode access
switchport access vlan 20
! 配置Trunk端口
interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
end
关键验证命令:
cisco复制show vlan brief
show interfaces trunk
3. 路由器配置详解
3.1 子接口创建与封装
在路由器上需要创建虚拟子接口并配置802.1Q封装:
cisco复制interface GigabitEthernet0/0
no shutdown
!
interface GigabitEthernet0/0.10
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
!
interface GigabitEthernet0/0.20
encapsulation dot1Q 20
ip address 192.168.20.1 255.255.255.0
注意:子接口编号(如.10)通常与VLAN ID一致,但这只是管理习惯而非技术强制要求。实际通信依赖的是encapsulation dot1Q后的VLAN ID参数。
3.2 路由功能启用
确保启用IP路由功能:
cisco复制ip routing
验证路由表:
cisco复制show ip route
预期输出应包含:
code复制C 192.168.10.0/24 is directly connected, Gig0/0.10
C 192.168.20.0/24 is directly connected, Gig0/0.20
4. 终端配置与连通性测试
4.1 PC端网络配置
| 设备 | IP地址 | 子网掩码 | 默认网关 |
|---|---|---|---|
| PC1 | 192.168.10.2 | 255.255.255.0 | 192.168.10.1 |
| PC2 | 192.168.20.2 | 255.255.255.0 | 192.168.20.1 |
4.2 测试与排错
基础连通性测试:
bash复制# 在PC1上执行
ping 192.168.10.1 # 测试网关连通性
ping 192.168.20.1 # 测试跨VLAN网关可达性
ping 192.168.20.2 # 测试跨VLAN主机通信
常见问题排查:
- VLAN不匹配:确保交换机的Access端口VLAN ID与路由器子接口封装的VLAN ID一致
- Trunk配置错误:检查交换机Trunk端口是否允许相应VLAN通过
- ACL阻挡:检查路由器是否配置了限制VLAN间通信的访问控制列表
- IP地址冲突:确认不同VLAN的子网划分没有重叠
5. 抓包分析与原理验证
使用Wireshark在Trunk链路上抓包,观察关键字段:
-
VLAN标签结构:
- TPID(Tag Protocol Identifier):固定值0x8100
- PCP(Priority Code Point):3位优先级字段
- DEI(Drop Eligible Indicator):1位丢弃优先级
- VID(VLAN Identifier):12位VLAN ID
-
典型通信流程:
- PC1(VLAN10)发送ARP请求网关MAC
- 路由器Gi0/0.10接口响应ARP
- PC1封装ICMP包,目标MAC为路由器接口MAC
- 路由器查路由表,从Gi0/0.20接口转发到VLAN20
- PC2收到包后响应,逆向流程返回
6. 进阶配置与优化
6.1 DHCP中继配置
实现跨VLAN的DHCP服务:
cisco复制interface GigabitEthernet0/0.10
ip helper-address 172.16.1.100
interface GigabitEthernet0/0.20
ip helper-address 172.16.1.100
6.2 三层交换机方案对比
与单臂路由相比,三层交换机方案具有以下优势:
- 硬件级路由转发,性能更高
- 无需创建子接口,直接在SVI(Switch Virtual Interface)上配置
- 支持更复杂的路由协议集成
典型配置示例:
cisco复制interface Vlan10
ip address 192.168.10.1 255.255.255.0
interface Vlan20
ip address 192.168.20.1 255.255.255.0
ip routing
6.3 安全策略配置
限制VLAN间访问:
cisco复制access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
access-list 100 permit ip any any
interface GigabitEthernet0/0.10
ip access-group 100 in
在实际部署中,VLAN间路由的配置需要综合考虑网络规模、性能需求和安全策略。对于小型网络,单臂路由是经济高效的解决方案;而中大型网络则更适合采用三层交换机方案
