前阵子有位刚转行做网络的朋友问我三层交换机到底是什么我说你就记住一句话——它是当前局域网组网里最常放在核心位置的设备你去任何一家有点规模的单位机房大概率都能在机柜里看到一台三层交换机。他接着问那用二层交换机加路由器行不行这个问题还真问到了点子上。如果只谈理论二层交换机加路由器确实能实现跨网段通信但现实中几乎没人这么搭局域网原因就藏在这台设备的名字里“三层”。这篇文章我不想讲太学术的定义就按我平时给同事培训时的思路把三层交换机的工作机制、组网位置、配置流程和踩坑记录都摊开来聊一遍。文中会有包转发的拆解、VLAN和网段的规划表、基础配置示例以及我自己的排查笔记适合刚接触网络工程的新手也适合那些会把交换机配置通、但说不清楚“为什么通了”的同行。1. 一台三层交换机放在局域网的核心位置到底“核心”在哪1.1 从“VLAN之间ping不通”开始讲原因先还原一个很常见的故障场景。某单位把办公网分成三个部分行政部、研发部、财务部。为了隔离广播域也为了安全策略好落地网络管理员把这三个部分划成了三个VLAN。划完以后发现行政部的主机能ping通自己部门内的电脑但ping不通研发部的电脑更ping不通财务部的服务器。二层交换机在这个问题里是最先被怀疑的对象但病房其实不在它。二层交换机工作在数据链路层它只认MAC地址也只会根据MAC地址表把帧送到对应的接口。VLAN的核心作用是把一个物理交换机切成多个逻辑广播域不同VLAN的帧默认不能互相穿越所以二层交换机天然不具备“跨VLAN路由”的能力。要让不同VLAN之间能通信就必须把流量送到一个能看懂IP地址、能做路由决策的设备上由它把数据包从一个网段转发到另一个网段。这个设备以前是路由器现在绝大多数场景下是三层交换机。1.2 二层交换机、三层交换机、路由器一张表看懂分工我刚入行时也纠结过这三类设备到底怎么选。后来我把它们的关系整理成一张对比表基本一次就记清楚了。设备类型工作在OSI哪一层核心转发表主要用途转发性能特点二层交换机第二层数据链路层MAC地址表同VLAN内部高速转发硬件转发速度快但不能隔离广播域之间的通信三层交换机第二层第三层MAC地址表、路由表、ARP表局域网内VLAN间路由、园区网核心汇聚既能二层线速转发也能用硬件做三层路由路由器第三层网络层路由表不同网络互联、广域网接入、复杂路由策略接口少转发性能参差传统设备靠CPU处理从这张表就能看出来三层交换机并不是“路由器换了个名字”而是在交换机的大批量端口基础上加入了高性能的路由转发能力。它保留了二层的灵活接口接入方式同时每个VLAN都能配置一个虚拟接口地址也就是常说的VLANIF接口这个接口就是终端的网关。1.3 为什么路由器干不了三层交换机的活很多新手会问既然路由器本来就能做三层的路由转发那我把所有电脑接到一台多口路由器上不就行了理论上是行得通的但实际网络里基本行不通。路由器的主要职责是连接不同的网络比如企业内网和运营商专线、总部和分支、数据中心和外部网络。它的接口数量不多常见设备可能只有几个千兆口。一栋楼几百台终端要接入路由器根本接不过来。其次传统路由器的转发依赖CPU查路由表流量一大CPU占用率就会飙升容易造成丢包和延迟。三层交换机不一样它的转发芯片里集成了专门的路由查找硬件多数情况下能做到线速转发。也就是说只要数据包进来硬件直接把路由表项和转发信息一查马上就从对应接口出去了基本不占用CPU。这也是为什么局域网里那么多跨VLAN流量核心设备都愿意用三层交换机而不是用路由器。2. 数据包穿过三层交换机时发生了什么跨VLAN转发全程图解2.1 从一个跨网段ping开始看帧格式变化我用一个最简单的例子拆解整个流程。假设终端A在VLAN10IP地址是192.168.10.10/24终端B在VLAN20IP地址是192.168.20.20/24。三层交换机上的配置也很简单VLANIF10的IP是192.168.10.1VLANIF20的IP是192.168.20.1。A要给B发一个ping包第一步A发现目标IP地址192.168.20.20和自己不在同一个网段于是它不再直接去找B的MAC地址而是把数据包发送给默认网关也就是192.168.10.1。此时物理帧是这样的源MACA网卡的MAC地址目的MACVLANIF10接口的MAC地址也就是网关MACVLAN Tag10源IP192.168.10.10目的IP192.168.20.20三层交换机从属于VLAN10的接口收到这个帧以后会先剥掉二层的帧头露出三层IP报文。然后它查看目的IP 192.168.20.20去路由表里查有没有对应网段的路由发现192.168.20.0/24是一张直连路由表项关联的接口是VLANIF20。接下来交换机需要知道B的MAC地址才可以重新封装二层帧。它会先查ARP表如果表里有B的MAC就直接用没有就通过VLANIF20接口发ARP广播等B回应后再缓存起来。最后三层交换机重新封装一个新的二层帧源MACVLANIF20接口的MAC地址也就是新网关MAC目的MACB网卡的MAC地址VLAN Tag20源IP192.168.10.10目的IP192.168.20.20我把转发前后的帧差异整理成了一张表这样看会非常清晰。字段从A发出时从三层交换机发出给B时源MACA的MAC地址VLANIF20接口的MAC地址目的MACVLANIF10接口的MAC地址B的MAC地址VLAN Tag1020源IP192.168.10.10192.168.10.10目的IP192.168.20.20192.168.20.20IP地址在整个过程中是不变的变的是MAC地址和VLAN标签。这就是很多人常说的“跨VLAN要重新封装二层帧”的本质。2.2 MAC表、ARP表、路由表三张表如何配合三层交换机内部其实同时维护着多张表跨VLAN转发时最重要的就三张MAC地址表、ARP表、路由表。MAC地址表负责二层转发也就是交换机收到一个帧时通过目的MAC决定从哪个接口出去。这张表通常靠学习得来交换机看到某个帧从某个接口进来就会把源MAC和接口的对应关系记下来。ARP表解决的是“我知道对方IP但不知道对方MAC”的问题。三层交换机在封装帧之前必须知道下一跳或者目的终端的MACARP表就是IP到MAC的映射缓存。路由表解决的是“这个目的IP应该从哪个VLANIF出去”的问题。静态路由和直连路由都会出现在路由表里三层交换机会据此选择出接口。这三张表不是独立工作的。第一次跨VLAN转发时交换机先查路由表确定出接口再查ARP表拿到目的MAC最后重新封装帧同时更新MAC表。后续再有相同目的IP的流量硬件转发表能直接找到出接口和MAC信息转发过程会快得多。2.3 “一次路由、多次交换”到底是什么意思我在给同事讲三层交换原理时通常会说六个字一次路由多次交换。这六个字是理解三层交换机性能优势的关键。第一次跨VLAN访问时报文确实会被“路由”查路由表、查ARP、重新封装整个过程可能由CPU或者慢路径处理。但处理完成后三层交换机会把这个流量的关键信息比如目的IP、出接口、目的MAC写入硬件转发表。之后再出现相同目的IP或者相同流的报文就不再重复查路由表和ARP了直接查硬件表像二层交换一样快速转发出去。需要说明的是不同厂商、不同产品对“一次路由、多次交换”的实现方式不同。有些走流表有些走FIB表但核心思想都是把相对耗时的路由流程变成一次性的把高频的转发动作交给硬件。这也是三层交换机能承载大量跨VLAN流量而不崩溃的原因。3. 局域网组网实战核心-汇聚-接入三层架构怎么落地3.1 三层交换机最常见的三个位置核心、汇聚、出口网关实际组网时三层交换机通常不是随便塞在某台机柜里而是被放在网络的关键位置。小型网络里一台三层交换机就能承担所有职责它下连接入交换机上连防火墙或出口路由器终端网关、VLAN间路由、策略控制都在这一台设备上完成。我把这种结构叫“一张皮走天下”几百人的办公室其实很常见。中型园区网里三层交换机通常出现在核心层和汇聚层。接入交换机还是二层设备负责把终端接进来配置好VLAN并打上标签汇聚交换机或者核心交换机用三层VLANIF接口终结各VLAN的网关同时负责跨设备、跨网段的路由转发。大型网络甚至会有多台三层交换机组网形成“接入-汇聚-核心”三级架构。简单画一下拓扑大家感受会更直观终端 → 接入交换机(二层) → 汇聚/核心三层交换机 → 防火墙 → 出口路由器接入交换机到核心之间如果是跨楼层、跨机柜连接通常用Trunk链路把多个VLAN一起带走。核心设备上再配置对应的VLANIF接口作为所有VLAN的网关。3.2 一个小型办公网的VLAN与IP地址规划示例规划是组网里最容易偷懒、也最容易出事的一环。很多问题表面上是交换机配置错了实际上是最开始的IP网段和VLAN规划就乱套了。我以一个约300人的办公网为例给出一个够用的规划模板VLAN用途IP网段网关VLANIF地址VLAN10员工办公区192.168.10.0/24192.168.10.1VLAN20服务器区192.168.20.0/24192.168.20.1VLAN30无线网络192.168.30.0/24192.168.30.1VLAN40打印机与监控192.168.40.0/24192.168.40.1VLAN100设备互联192.168.100.0/30192.168.100.1这里有几个细节值得注意。网关统一在每个网段的第一个可用地址方便记忆和管理。设备互联单独用一个30位掩码的网段比如三层交换机之间点对点互联用30位掩码不会浪费地址。服务器区单独划VLAN方便以后做更严格的访问控制。规划的关键是要留出余量。如果只有三个部门不建议只划分三个/24网段因为以后部门调整、物联网设备增加地址很容易不够用。预留几个空闲VLAN和网段后续扩容会更从容。3.3 让三层交换机“跑起来”的基础配置示例这部分我用最常见的命令行格式演示。不同厂商设备的具体命令可能略有差异但思路完全一样。假设有一台三层交换机做核心配置步骤大致如下。第一步创建所有需要的VLANsystem-view vlan batch 10 20 30 40 100第二步在接入交换机上把接终端的口配置为Access模式并划入对应VLAN。以连接行政的接口为例interface GigabitEthernet 0/0/1 port link-type access port default vlan 10第三步接入交换机和核心交换机之间的链路配置为Trunk并放行相关VLANinterface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40第四步回到三层交换机上创建VLANIF接口并配置IP地址作为各VLAN的网关interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 interface Vlanif 20 ip address 192.168.20.1 255.255.255.0第五步如果内网要访问互联网还需要配置一条默认路由指向防火墙或者出口路由器。假设出口设备的IP是192.168.100.2ip route-static 0.0.0.0 0.0.0.0 192.168.100.2这几步操作完成以后各VLAN终端把网关指向对应VLANIF地址理论上互相就可以通信了。但设备之间互联时比如另一台汇聚交换机上还有VLAN50的网关就得在核心交换机上补一条到VLAN50网段的静态路由下一跳指向那台汇聚交换机。这就是经常被忽略的“路由缺失”问题。3.4 连通性验证ping不通先查哪个方向配置做完以后不能只看“指示灯都亮了”就觉得网络好了。我习惯按顺序做这几项验证。先用终端ping自己的网关。如果网关ping不通问题大概率在接入侧。检查终端的IP地址、掩码、网关配置是否正确检查交换机接口是不是正确的Access口VLAN有没有划进去。交换机上还可以查看接口状态确认没有shutdown或物理链路异常。网关通了以后再ping跨网段的目标终端。这时候如果ping不通重点查核心交换机的VLANIF配置和路由表。在设备上查看路由表确认目的网段有没有对应的转发条目查看ARP表确认能不能学到对端终端的MAC地址。如果这些表都正常但还是不通就要考虑Trunk放行漏了VLAN或者防火墙、ACL策略在中间拦截了流量。这一类问题我放在下一节专门讲。4. 配置三层交换机时最容易踩的坑我的排查笔记4.1 VLANIF消失了先创建VLAN再配接口地址我第一次独立配置三层交换机时习惯先在界面里创建VLANIF对象再去创建VLAN。结果发现VLANIF接口一直处于down状态无法配置IP。后来才明白大多数设备要求VLAN必须已经存在才能创建对应的VLANIF。正确顺序是先创建VLAN再配置VLANIF接口的IP地址。还有一点容易被忽略如果某个VLAN下面一个物理接口都没有VLAN也会处于不活跃状态VLANIF接口可能显示为down。这也是新手最容易困惑的地方。排查时可以用类似查看VLAN信息的命令看VLAN状态是不是active再看VLANIF接口的协议状态。常见的坑还包括只创建了VLAN但忘了把接入端口划进去或者Trunk口没有放行这个VLAN。这些都会导致VLANIF“看起来存在、实际上传不了流量”。4.2 Trunk放行列表漏了VLAN跨交换机直接失联有一次我帮某单位调整网络核心交换机上已经把VLAN20的网关配好了接入交换机上也把终端划到了VLAN20但终端就是获取不到IP地址。折腾了半天问题出在接入交换机连接核心的那根Trunk线上。当时配置只放行了VLAN10VLAN20没有加入allow-pass列表。VLAN20的帧从接入交换机走到Trunk口时直接被丢掉了核心交换机根本收不到更不可能做DHCP和路由转发。这个坑特别隐蔽因为VLAN10的用户一切正常只有VLAN20的人上不了网。排查时记得在接入交换机和核心交换机上分别查看Trunk口放行了哪些VLAN两边要一致不能只在一头配置。调试阶段如果不想反复敲命令可以先临时放行所有VLAN用类似port trunk allow-pass vlan all的命令测试链路测试通过后再按最小权限原则收紧到指定VLAN。注意生产环境要谨慎操作避免扩大广播域范围。4.3 交换机之间没写路由各VLAN“各自为政”多台三层交换机互联的场景里最容易出现的问题不是VLAN配错而是设备之间没有路由条目。每台三层交换机都只知道自己直接连接的VLAN网段不知道别的交换机下挂的网段该往哪里发。举个例子核心交换机A上创建了VLAN10和VLAN20汇聚交换机B上创建了VLAN30。A和B之间的互联地址是192.168.100.0/30A为192.168.100.1B为192.168.100.2。如果只在B上配置了VLAN30的VLANIF却没有在A上配置一条指向VLAN30网段的静态路由A下挂的VLAN10终端就永远ping不通VLAN30终端。配置方法也简单在A上加一条静态路由ip route-static 192.168.30.0 255.255.255.0 192.168.100.2同时要在B上配置回程路由让B知道192.168.10.0和192.168.20.0的下一跳是192.168.100.1。很多人只关心去程路由忘了回程结果还是不通。这类问题的本质是路由对称去程能过去回程也得能回来。4.4 三层口被当成二层口用配置不生效三层交换机上的物理接口有两种身份一种是二层模式可以划入VLAN、配置Access或Trunk另一种是三层模式可以直接配置IP地址。不同产品切换方式不同有的默认二层口有的某些接口默认三层口。我接过一个案例有人把核心交换机连接防火墙的接口直接当成二层口用在这台设备上怎么配置都进不了VLAN后来发现这个物理口本来就是三层口需要在接口视图下把它切换成二层模式然后再划入指定VLAN或者配置为Trunk。反过来也一样如果你想让某个物理接口直接配置IP地址连接外部设备记得先确认接口处于三层模式。在不同厂商设备上这个切换命令可能叫undo portswitch也可能在接口视图下敲portswitch才能从三层转成二层。建议拿到设备后先查文档或者用查看接口信息的命令确认当前模式再动手配置。5. 三层交换机的进阶玩法从VLAN间路由到网络架构设计5.1 动态路由协议规模变大以后怎么办小型网络里静态路由完全够用几条命令就能解决问题。但网络规模变大接入的三层交换机变多静态路由会变得又臭又长任何一个网段调整都要去每台设备上改路由表容易出错。这时候可以在三层交换机之间运行动态路由协议园区网里最常见的就是OSPF。三层交换机把直连网段宣告进OSPF邻居设备就能自动学习到路由。好处是添加新网段时只要在对应交换机上把网段宣告进OSPF全网设备的路由表都会自动更新不再需要逐台配置静态路由。用OSPF有一点需要提醒设备和设备之间要规划独立的互联地址不要把互联地址和业务VLAN混用。另外区域划分要简单办公网一般都在同一个区域内不需要搞特别复杂的多区域设计。5.2 DHCP Relay一个地址池管全网很多单位会把DHCP服务器放在核心机房终端分布在不同VLAN里。由于DHCP请求是广播报文默认只能在同一个VLAN内传播跨VLAN的终端根本收不到DHCP回应。这时候三层交换机就需要开启DHCP Relay功能。配置思路分两步。首先在三层交换机上指定DHCP服务器地址让交换机收到终端发来的DHCP Discover请求后把它以单播形式转发给服务器。其次要保证交换机每个VLANIF接口到DHCP服务器之间路由可达。用DHCP Relay的好处是地址池统一管理不用在每个接入交换机上配置DHCP服务。终端只要属于指定VLAN就能从同一个服务器获取IP。这个功能在无线网络、访客网络里尤其常用。5.3 冗余与高可用双核心、堆叠、VRRP一台三层交换机再可靠也可能因为断电、硬件故障、固件升级导致整个网络瘫痪。稍微重要的办公环境都会考虑用两台三层交换机组双核心。最常见的做法是VRRP。两台核心交换机共用一个虚拟网关IP终端把网关指向这个虚拟地址。正常情况下一台设备作为主设备负责转发主设备故障后另一台设备会自动接替虚拟IP终端几乎无感知。除了VRRP多台三层交换机还可以做堆叠。堆叠相当于把多台物理设备虚拟成一台管理界面变成一台设备接口资源加倍可靠性也更高。堆叠部署时要注意版本一致、堆叠链路冗余避免单点链路导致分裂。我个人的建议是中小型网络优先考虑VRRP条件允许再上堆叠。VRRP逻辑更简单排错也更直观堆叠虽然方便但两台设备之间的各种状态协商也需要经验积累。5.4 什么场景其实不需要三层交换机聊了这么多三层交换机的好处我也想把话说完整不是所有局域网都必须用三层交换机。如果你的网络只有一个网段所有终端都在同一个VLAN里互访不需要跨网段路由那用一台普通二层交换机组网完全够用。家庭网络、小饭店、小工作室、几十台电脑的小办公室通常就是这种结构。还有一个容易被忽略的场景虽然网络里有多个VLAN但不同VLAN之间禁止互相访问只需要各自上外网。这种情况下核心思路是“隔离”网关可以放在三层交换机上也可以用带策略的防火墙来做VLAN间访问控制。到底用哪一种得看单位的安全需求和管理习惯。我的体会是选设备不要被参数牵着走。三层交换机很好用但它的价值在于“需要跨VLAN高速通信”的局域网环境。如果你对这个需求判断不准就先画一张网络拓扑标清楚终端规模、VLAN数量、互访需求和安全边界答案基本就出来了。最后再分享一个小技巧配置任何三层交换机之前先做一张VLAN-网段-网关对应表把表打印出来贴在设备旁边。以后无论是扩容还是排错这张表都能让你少花一半时间去找“当初是怎么规划的”。网络工程里最贵的开销永远不是设备而是排查故障时消耗的人力和时间。