VLAN 间路由技术
一、VLAN 基础痛点与互通需求
1. VLAN 天然隔离缺陷
VLAN 的核心作用是分割二层广播域，同一交换机下不同 VLAN 设备二层完全阻断，无法直接通信。
VLAN二层隔离示意图
-
现象：VLAN10 主机 ↔ VLAN20 主机，二层转发直接丢弃，无任何流量互通。
-
底层原因：不同 VLAN 属于独立广播域，通常规划不同 IP 网段，缺少三层转发设备无法跨网段访问。
2. 企业实际互通业务需求
企业局域网按业务划分多 VLAN：财务 VLAN、办公 VLAN、来宾 VLAN、服务器 VLAN。
业务规则示例：
财务、办公、来宾之间默认隔离，禁止互访；
所有业务 VLAN 均需要访问服务器区 VLAN；
全网设备需要互通网关实现跨网段访问。
解决该需求的技术统称VLAN 间路由，本质是依靠三层转发实现跨 VLAN 通信。
二、VLAN 间互通核心原理
通信前提：不同 VLAN 对应独立广播域、独立 IP 网段；
互通本质：三层 IP 路由转发，必须引入具备三层功能的设备（路由器 / 三层交换机）；
基础老式方案：每个 VLAN 单独占用路由器物理接口，一对一网线对接交换机，缺点是占用大量物理端口，扩展性极差。
主流成熟方案：
-
单臂路由：一台路由器 + 二层交换机 Trunk 链路，通过子接口承载多 VLAN；
-
三层交换：交换机集成二层交换 + 三层路由，通过 SVI 虚拟接口实现 VLAN 网关，企业首选。
三、两种主流 VLAN 间路由技术详解
（一）单臂路由（路由器实现 VLAN 间路由）
1. 组网架构
单臂路由拓扑图
-
设备组成：二层交换机 + 路由器；
-
链路模式：交换机与路由器互联接口配置802.1Q Trunk，一条物理链路承载全部 VLAN 带 Tag 流量；
-
路由器侧：物理接口划分子接口（子接口与 VLAN 一一对应），子接口封装 dot1q 标签，配置对应网段网关 IP。
2. 完整数据转发流程（PC1 (VLAN10) 访问 PC4 (VLAN11)）
PC1 目标跨网段，数据包目的 MAC 填写路由器子接口 E0/0.10 MAC，源 MAC 为本机；无 VLAN 标签；
交换机 Access 接口接收帧，打上 VLAN10 Tag，通过 Trunk 链路转发给路由器；
路由器 E0/0 主接口接收带 Tag10 帧，匹配子接口 E0/0.10，拆除二层封装读取 IP 报文；
路由器查询路由表，识别目标网段对应子接口 E0/0.11，TTL-1，重新封装二层帧，打上 VLAN11 Tag，源 MAC 改为 E0/0.11 MAC，目的 MAC 为 PC4；
交换机 Trunk 口接收 Tag11 帧，转发至 PC4 所在 Access 接口；
Access 接口剥离 VLAN11 标签，裸帧发送给 PC4，通信完成。
3. 基础配置命令
路由器配置
interface fastEthernet 0/1
no ip address
interface fastEthernet 0/1.10
encapsulation dot1Q 10 //绑定VLAN10标签
ip address 10.1.10.1 255.255.255.0
interface fastEthernet 0/1.11
encapsulation dot1Q 11
ip address 10.1.11.1 255.255.255.0
二层交换机互联口配置
interface fastEthernet 0/1
switchport mode trunk
switchport trunk allowed vlan all
4. 优缺点
-
优点：低成本，利用现有路由器实现跨 VLAN 互通，适合小型网络；
-
缺点：所有 VLAN 流量共用一条物理链路，带宽瓶颈明显，性能差，大型园区不推荐。
（二）三层交换机 SVI 路由（企业标准方案）
1. 设备原理
三层交换机 = 二层交换芯片 + 三层路由引擎，同时具备二层转发、三层路由能力，无需额外路由器。
三层交换替代单臂路由对比
2. 三类核心接口
二层接口（switchport）
-
Access：接入终端，属于单一 VLAN，转发帧不带标签；
-
Trunk：承载多 VLAN，转发帧携带 802.1Q 标签；
三层物理接口（no switchport）
关闭二层功能，直接配置 IP，作为路由接口连接外网 / 路由器；
SVI 虚拟接口（interface vlan X）【核心】
三层交换机专属虚拟接口，作为对应 VLAN 的默认网关，实现 VLAN 间三层转发。
-
SVI Up 条件：该 VLAN 下至少存在一个 Up 的 Access/Trunk 接口。
三层交换机SVI网段规划拓扑
3. 报文转发逻辑
同 VLAN 流量：仅二层 MAC 转发，不经过三层引擎；
跨 VLAN 流量：数据包目的 MAC 匹配对应 SVI 接口 MAC，上送三层引擎做路由查表；
路由完成后重新封装二层头部，转发至目标 VLAN 接口。
4. 标准配置命令
开启三层路由功能（Cisco 设备必须手动执行，国产设备默认开启）
ip routing
创建各 VLAN 虚拟网关 SVI
interface vlan 10
ip address 10.1.10.1 255.255.255.0
interface vlan 11
ip address 10.1.11.1 255.255.255.0
interface vlan 12
ip address 10.1.12.1 255.255.255.0
接入终端接口配置 Access，上联交换机配置 Trunk
//接入终端
interface f0/2
switchport mode access
switchport access vlan 10
//上联Trunk
interface f0/1
switchport mode trunk
5. 优缺点
-
优点：转发由硬件芯片处理，转发速度快、无带宽瓶颈；集成交换路由，简化组网，大中型企业局域网首选；
-
缺点：三层交换机硬件成本高于普通二层交换机。
四、两种 VLAN 路由技术对比总结
| 核心设备 | 路由器 + 二层交换机 | 三层交换机 |
| 转发性能 | 单链路瓶颈，软件转发，性能低 | 硬件芯片转发，无带宽瓶颈 |
| 成本 | 小型网络成本低 | 设备硬件成本更高 |
| 扩展性 | VLAN 越多，链路压力越大，扩展性差 | 多 VLAN 并行转发，扩展性强 |
| 适用场景 | 微型办公、机房临时组网 | 企业园区、多业务大型局域网 |
五、整体知识梳理
VLAN 只能隔离二层广播域，跨 VLAN 通信必须依靠三层路由；
实现方案分两类：单臂路由（路由器子接口 Trunk）、三层交换 SVI 虚拟接口；
单臂路由依靠 dot1q 子接口区分不同 VLAN 流量，所有业务共享一条物理链路；
三层交换机 SVI 是企业主流方案，interface vlan X 作为 VLAN 网关，硬件高速转发；
转发共性：跨 VLAN 数据包会先二层封装到网关，再三层路由，最后重新二层封装转发至目标主机。
