三层交换机配置教程，怎么配置三层交换机？

三层交换机是园区网络的核心设备,它融合了二层交换与三层路由功能，是构建高效、稳定、易管理网络的基石。其配置核心在于先规划后实施：第一步是划分VLAN隔离广播域，第二步是配置VLAN接口（SVI）作为网关，第三步是启用路由协议或静态路由打通不同VLAN及外部网络。 整个过程围绕“逻辑隔离，物理互联”的思想展开，掌握这套配置逻辑，足以应对绝大多数中大型企业、学校及酒店的网络建设需求。

配置前的全局网络规划

任何配置操作都始于清晰的网络规划。强烈建议在设备通电前，完成一份详细的IP地址规划表和VLAN划分表。

• VLAN规划原则： 遵循“一个广播域，一个功能区域”原则，将终端办公区划分为VLAN 10（/24），服务器区划分为VLAN 20（/24），视频监控区划分为VLAN 30（/24）。
• 网关地址确定： 每个VLAN的网关地址，通常建议使用该网段的第一个可用地址（如.1）或第二个可用地址（如.254），保持一致便于运维记忆。
• 链路与互联： 规划交换机上联口、堆叠口及与路由器/防火墙互联的IP地址段，避免地址冲突。

搭建二层交换基础环境

三层交换机在逻辑上是先完成二层通信,再实现三层路由，配置的第一步是创建VLAN并将物理端口正确划分至对应VLAN中。

• 进入系统视图,批量创建上述规划的VLAN。
• 将连接终端的端口设置为

  

  Access模式，并划入指定VLAN。

• 将交换机之间的互联端口,以及连接路由器的端口设置为 Trunk模式，并 允许所有相关VLAN的标签（Tag）通过。

此阶段需确保物理链路为Up状态,通过 display vlan 命令检查端口划分是否正确。

配置VLANIF接口实现网关互联

这是三层交换机的精髓所在，VLANIF（Vlan Interface）是一个逻辑三层接口，用于为特定VLAN提供路由网关。

• 进入VLAN 10的视图，配置IP地址为 /24，此地址即为该网段终端的网关。
• 依次为VLAN 20、VLAN 30配置对应的网关地址。
• 交换机内部的路由转发表已生成直连路由,同一台交换机下不同VLAN间的终端，已经可以互相通信。

如果网络规模较大,需要跨交换机实现VLAN间路由，则必须确保交换机间的Trunk链路允许VLAN通过，且VLANIF接口的IP配置保持在整个三层网络中唯一。

打通外部网络的路由配置

对于访问互联网或跨汇聚交换机的流量,仅靠直连路由是不够的，需要配置静态或缺省路由。

• 静态路由： 若结构简单，可配置静态路由指定目的网段下一跳。
• 缺省路由： 作为出口网关，配置默认路由指向核心路由器或防火墙的内网接口，实现所有未知网段的流量转发路径。

若需启用OSPF等动态路由协议,务必注意

Router ID的唯一性 及 宣告正确的网段和掩码（不要宣告VLANIF接口地址之外的物理接口地址）。

优化与安全加固的进阶配置

网络不仅需要通,更需要快和稳，配置完基础通信后，必须进行安全策略和可靠性优化。

• DHCP配置： 开启DHCP服务，为各VLAN分配合法地址，并设置正确的DNS服务器地址。
• 防环与冗余： 在核心层启用STP或ERPS协议，防止二层环路导致广播风暴，对于服务器等重要设备，建议配置链路聚合（Link Aggregation）增加带宽和冗余性。
• 安全准入： 配置端口安全，限制端口最大连接数、绑定MAC地址，或开启DHCP Snooping防止私设DHCP服务器。

经验案例（基于酷番云产品实践）：
我们在为某企业客户（其业务系统部署于酷番云华东节点）搭建混合云网络时，遇到一个转发异常问题，客户现场的三层交换机下联多台服务器，通过OSPF与企业云上VPC互联，排查发现，交换机配置了 default-route-advertise 命令强制下发默认路由，导致云上流量回程时优先走了物理链路而非专线，造成业务卡顿。解决方案是： 在交换机上细化路由优先级策略，仅针对业务网段宣告精确路由，同时保留静态缺省路由作为逃生通道，这在很大程度上考验了网络规划者对 路由优先级（Admin Distance）

的理解深度。

常见故障排查逻辑

当网络出现不通时,按以下命令顺序排查可快速定位问题：

• 查看物理状态： display interface brief 确认端口状态是否Up。
• 查看MAC与ARP表： display arp 确认三层接口是否学到网关MAC。
• 查看路由表： display ip routing-table 确认是否具备去往目的网段的路由。

相关问答

问：三层交换机VLAN间可以通信，但无法访问外网，通常是什么原因？
答：此问题99%出在缺省路由（默认网关）配置缺失或指向错误，请检查三层交换机上是否存在 ip route-static 0.0.0.0 0.0.0.0 [下一跳地址] 配置，另外需确认上联防火墙/路由器的回程路由中，是否包含了内网VLAN网段，并指向了三层交换机的VLANIF接口地址。

问：能不能用三层交换机的三层口（Routed Port）直接连接服务器，而不是通过VLANIF？
答：完全可以，且具有更好的性能表现，当交换机接口切换到三层模式（undo portswitch）并配置IP后，它将作为一个独立的物理路由口使用，这种方式适用于服务器网卡支持不同业务网段、或需要避开VLAN标签开销的场景，但相较于VLANIF，它缺少了逻辑扩展的灵活性。核心建议是： 面对大量服务器的接入，优先采用VLANIF方案以便于后期维护和策略部署。