三层交换机VLAN间通信配置详解：从SVI到ip routing

如果你正在做计算机网络课程里的三层交换机VLAN配置实验，多半会有这样熟悉的一幕：前面几个实验把VLAN划分、Access接口、Trunk链路玩得很溜了，到了实验八，发现命令行确实还是那些命令行，可实验性质完全变了——不再只是拆广播域，而是要让不同VLAN之间真正通起来。这篇文章不打算把实验指导书复读一遍，而是把实验八里的每一步掰开揉碎，讲讲三层交换机在这个实验里到底承担什么角色、配置命令背后的逻辑是什么，以及那些在验收时最容易翻车的细节。

1. 为什么实验八要用三层交换机：VLAN划分之后留下的通信问题

1.1 二层交换机的局限：广播隔离的代价

先回到实验七的场景。你用一台二层交换机把办公室里的电脑分成了VLAN 10和VLAN 20，测试的时候很爽——同一个VLAN内的PC能互相ping通，不同VLAN之间的PC怎么都ping不通。这个结果不是你配置错了，而是VLAN的定义本身就是这样：VLAN是一个二层广播域，它的作用就是隔离。

二层交换机在转发数据帧时，只看MAC地址表，而MAC地址表的每个表项都绑定了VLAN信息。PC1发一个广播帧出去，交换机只会在PC1所属的VLAN端口集合里复制转发，VLAN 20的端口根本收不到这个帧。这就是广播隔离。

但问题随之而来。实际网络里，不同部门之间总得通信吧？财务的电脑要访问服务器的数据，办公区的终端要上互联网，这些流量往往要跨越至少两个VLAN，靠二层交换机本身是做不到的。二层交换机的转发决策里没有IP地址的位置，它压根不解析网络层，自然也不知道该把跨VLAN的包往哪里扔。所以，实验八引入三层交换机，核心目的只有一个：在不破坏VLAN隔离的前提下，让不同VLAN之间能够互相通信。

1.2 三层交换机与三种VLAN间通信方案对比

让VLAN间通信不是只有三层交换机一条路，但你得知道为什么最后都会选它。

第一种方案是“单臂路由”，也就是Router on a Stick。把路由器的一个物理接口用Trunk方式和交换机相连，然后在路由器上把这个物理接口拆成若干子接口，给每个子接口封装802.1Q标签，分别配置不同VLAN的网关IP。这样VLAN 10的PC发往VLAN 20的包，会先发给路由器子接口，路由器再交给对应VLAN的子接口转发出去。这个方案能通，但瓶颈很明显：所有跨VLAN流量都挤在一根物理链路上，而且路由器转发靠CPU，性能上不去。

第二种方案是“每VLAN一根物理线”，每个VLAN接一个路由器接口。接口浪费严重，一个企业几十个VLAN就得配几十个路由器接口，现实里几乎没有这么干的。

第三种方案就是三层交换机加SVI。交换机内部为每个VLAN创建一个虚拟的三层接口，这个接口可以配置IP并作为该VLAN的网关。跨VLAN的数据包在交换机内部完成路由转发，由硬件ASIC处理，转发速度和二层交换基本一致。这也是校园网、企业园区网里最主流的做法。

1.3 实验拓扑与IP规划：动手前的一张表

我按实验指导书里最常见的拓扑来拆解，画成文字描述就是：一台三层交换机作为核心，下挂PC，同时通过Trunk链路连接一台二层接入交换机，接入交换机再挂PC。这样既能验证三层交换机的VLAN间路由功能，也能让Trunk链路真正派上用场。

设备选型上，如果你用的是Packet Tracer模拟器，三层交换机一定要选3560或更高级的型号，不要拿2950/2960硬扛。如果实验室里是真实设备，思科3560、华为S5700、锐捷S5750这类三层交换机都是可以的。关键判断标准就一条：设备是否支持全局命令ip routing，支持的就是三层交换机，不支持的就是二层交换机。

2. 动手前必须吃透的三个机制：Access/Trunk、SVI、路由表

2.1 Access口、Trunk口与VLAN标签的工作流程

很多同学配置VLAN时能敲对命令，但如果被问到“Access口和Trunk口发出的帧到底有什么区别”，往往会卡壳。这个必须搞清楚，因为实验八比实验七多的就是跨设备、跨VLAN转发，标签问题一错，整条链路的包都跟着乱。

Access口是接入口，只属于一个VLAN，发出的数据帧不带VLAN标签。PC这种终端设备根本不认识802.1Q标签，你要是给PC发一个带标签的帧，PC网卡大概率直接丢弃。所以PC接交换机的口，必须配成Access口，并指定属于哪个VLAN。

Trunk口是中继口，允许一个或多个VLAN的帧通过。交换机与交换机之间的链路要承载多个VLAN的流量，就必须用Trunk口，并在数据帧里插入VLAN标签，告诉对端这个帧属