教你如何用三层交换机构建企业VLAN
VLAN, 企业, 机构
企业规模的扩大造就了企业网络规模的不断膨胀，众多企业在扩展网络规模时采用了在原有的网络上直接增加计算机的方法来实现，随之而来的就是网络体系变得越来越复杂，对网络的管理也变得越来越困难，网内的安全指数也变得越来越低，并且网络资源的利用率也大大降低，如何行之有效的管理网络和合理利用网络资源成为企业最大的难题。
采用VLAN方式划分网络体系能够让管理员更加方便的管理企业网络，而VLAN网络灵活的扩展能力也让企业网络规模在不断扩大的同时不会出现网络混乱的情况，VLAN网络所具有的控制广播风暴能力让企业网络资源的性能得到大幅度提高，并且VLAN网络还具有管理简单，安全性高的特点。因此，在网络最初的设计中采用VLAN方式能够对网络将来的扩
展带来极大的好处。
在普通的小型企业中，采用路由器方式划分VLAN是一种节约成本的方法，不过在大中型企业中，采用路由器方式划分VLAN会严重影响企业网络的性能，而VLAN间的通信必需通过路由才能实现，因此，具有路由功能的三层交换机被广泛应用于大中型企业VLAN网络中。但我们必需清楚一点，就是采用三层交换机的VLAN网络同样需要路由器，只不过路由器只是企业网络和互联网的连接工具，VLAN间的通信不会靠路由器来实现。
三层交换机构建的VLAN网络结构
VLAN网络的划分最大的特点就在于它的灵活性，而采用VLAN方式划分网络主要有静
态VLAN和动态VLAN方式，静态VLAN实际上就基于端口的VLAN，这种划分方式由于要管理员对每个交换机的端口都要进行配置，显得非常复杂，一般不采用这种方式。动态VLAN又分为三种划分方式，基于子网的VLAN，基于MAC地址的VLAN，基于用户的VLAN。这三种方式各有各的特点，因此，我们在划分VLAN网络的时候可以灵活搭配，例如移动用户由于外置无线网卡随时可能被更换，所以我们对移动用户可采用用户的VLAN划分方式，将这部分划为一个基于用户的VLAN。而一些固定的用户我们可采用基于子网的VLAN方式，也就是把一个段的IP划分为一个VLAN。因此，划分VLAN显得非常灵活。
上图所显示的网络第一层我们还是采用了路由器，这是由于路由器本身就是连接内网和外网的唯一工具，因此，路由器不能缺少，只是VLAN间通信路由不在路由器中实现。但我们也必需注意，大型VLAN网络由于数据传输量非常大，对路由器的要求也非常高，所以我们不能简单的认为有了三层交换机对路由器要求就不高了。因此，我们选择路由器还是
要根据整个网络的规模来看。
在第二层就是采用的三层交换机，这也是整个大型VLAN网络的关键所在。三层交换机具有路由和交换两种功能，其中的路由功能是实现VLAN间通信的关键技术。当第一个数据流进入三层交换机后，三层交换机将会对这个数据流进行路由，在路由的同时三层交换机会产生一个MAC地址与IP地址的映射表，这样做的好处就是当同样的数据流进入三层交换机后，不需要三层交换机对这个数据流再进行一次路由，这个数据流只需要直接通过三层交换机就能实现VLAN间通信，从而有效解除了路由器所带来的网络瓶颈。三层交换机也是划分VLAN网络的关键所在，管理员只需要对三层交换机进行配置就可完成对VLAN网络的划分。所以在选择三层交换机时，我们一定要根据自己的实际情况进行合理选择，才能更
加有效的保证整个VLAN网络的正常运行。
在网络的第三层，我们选用的二层交换机，二层交换机在VLAN网络中的作用实际上只是保证整个网络基层的正常运行，如果网络规模非常大，那么这一层最好选择千兆交换机，让网络的下一层继续连接交换机进行扩展，如果网络规模不是非常大（采用三层交换机连接的计算机数量最少也是在200台以上），这一层直接选择普通交换机就可以了。
在网络最底层是整个网络的基础，也是我们决定怎样划分VLAN网络的标准，它们由企
业的计算机终端、服务器等组成。
400节点企业网络设计方案
下面我们来设计一个具有400节点的企业VLAN网络，我们假设这个企业分为销售部，售后服务部，设计部，财务部，服务器区组成。其中，销售部有20台计算机，售后服务部有20台计算机，财务部有20台计算机，服务器区有20台服务器，设计部有320台计算机。
我们可将整个企业网络划分为6个VLAN，如果用户对设计部的计算机量感觉有些大，还可将这个部门的计算机进行VLAN细划。下图是这个500节点的VLAN划分结构图。
再次申明，VLAN网络的划分需要在三层交换机上进行配置才能实现，上图是经过配置之后的一个VLAN结构图。我们看到，在上图中的销售部，售后服务部和财务部三个VLAN 都选用了二层交换机，由于这些部门对网络带宽要求不大，加上计算机数量少，每个VLAN 只有20台，实际上我们选择24口的交换机就能实现VLAN，用户可根据自己实际情况来决
定。
设计部VLAN由于计算机数量多，所以我们用了一个千兆交换机加上多个普通交换机实现VLAN，而在服务器我们也选择了千兆交换机进行连接，这主要是由于服务器对网络带宽本身要求就非常高。三层交换机和路由器的选择也是根据实际情况而定。
下面我们就根据上面这个VLAN结构图来为大家推荐几款产品。
路由器的选择相对来说比较简单，我们要求只要能够实现400节点的计算机连接就可以了，不过普通的防火墙功能我们也要考虑，再次就是路由器的性能我们还是要考虑，毕
竟一个网络的速度如何路由器比较重要。
锐捷网络STAR-R2620 模块化多业务路由器
STAR-R2620是一款面向中小型企业的模块化路由器，该款路由器采用了arm 4530处理器，拥有32MB内存和8MB闪存，加上1个10/100Mbps自适应LAN口和1个WAN口，能够充分满足中小型企业用户作为核心路由器的需要，同时也可作为大型企业接入路由器使用。该款路由器提供了两个可扩展的插槽，用户可根据自己情况选择不同的扩展模块，满足用户对多业务的需要。并且这些扩展模块都自带有CPU，当这些扩展模块插到路由器上时，能够减低对路由器CPU的运算负荷。STAR-R2620支持语音功能，可进行视频会议，并且能够实现实时传真，充分满足了企业用户对各种不同业务的需要。该款路由器还支持VPN功能，通过该项功能，企业可实现远程访问，即使企业内员工远在千里之外，也能够对企业内部资源进行访问。该款路由器具有完善的Qos机制，当企业内网出现网络资源不足情况时，该项功能能够对一些核心业务分配足够的网络带宽资源，满足用户的需要。在安全方面，该款路由器支持MAC地址绑定，基于时间的访问控制，命令分层保护等功能，能够抵
御来自互联网中一些黑客的攻击。
由于路由器在大中型VLAN网络中只是起一个企业网络和互联网连接的作用，对VLAN 方面并没有什么要求，而对于企业网络来说，语音，VPN等功能又是比较常用的功能，因此
我们选择了STAR-R2620路由器。
三层交换机在大中型VLAN网络中属于核心产品，所有VLAN间通信都要通过三层交换机进行路由之后才能实现，而三层交换机又需要对所有数据进行交换，因此三层交换机的负荷非常大，所以，我们在选择三层交换机的时候一定要慎重。
锐捷网络 STAR-S3550-12G 三层交换机
STAR-S3550-12G是一款全千兆三层交换机，该款交换机48Gbps的背板带宽，其包转发率达到18Mpps，并且通过12个千兆LAN口可与其他交换机连接，达到扩展网络规模的作用。该款交换机具有4KB的VLAN空间，支持多种VLAN方式，用户可在这款交换机上进行VLAN配置，达到组建VLAN网络的作用。该款交换机具有的路由功能让不同VLAN可在此进行路由，实现VLAN间通信。STAR-S3550-12G具有的冗余电源系统STAR-RPS，支持的VRRP 虚拟路由器冗余协议等功能，保证了路由器运行的正常和稳定。这款交换机可实现端口与MAC地址和IP地址的绑定，可以防止目前互联网中最常见的Dos拒绝服务攻击，该款交换机提供了对数据信息的加密传输Secure Shell，能够有效防止黑客的攻击以及对数据信息的盗用。这款交换机还支持用户认证，限制非授权用户通信等功能，为企业网络提供了一个比较安全的环境。该款交换机能够实现流量控制，为用户分配合理带宽，有效利用网络
资源。
STAR-S3550-12G在上面网络中能够很好的满足企业用户需要，4KB的VLAN空间和支持多种VLAN方式，让管理员能够轻松灵活的设计多个VLAN，实现对企业网络划分VLAN。由于这款交换机具有12个端口，所以这个网络的可扩展性比较强。
设计部和服务器区所使用的交换机需要比较强劲的性能，服务器所需要的网络带宽非常大，这是由于大量的用户都会访问服务器；而设计部本身由于计算机数量多，因此对交换机的性能要求也比较高。由于三层交换机已经将整个VLAN网络进行了划分，并且三层交换机的资金投入比较高，因此在选择这一层的交换机不需要购买三层交换机，这样既可减小投资，又可满足企业需要，不过需要注意的是在选择这两个区所使用的千兆交换机时，最好带流量控制功能，为网络下一层合理分配带宽，有效利用网络资源。
STAR-S1926G+千兆增强网管交换机
STAR-S1926G+是一款具有24个10/100Mbps自适应端口的千兆交换机，该款交换机可通过两个扩展插槽连接千兆模块，实现千兆上连。这款交换机具有18Gbps的背板带宽和6.6Mpps的数据包转发率，能够充分满足企业用户对大容量数据的交换。该款交换机支持流量控制功能，带宽分配最小颗粒可达到100KB，管理员可通过设置为每个端口分配网络带宽，让服务器和设计部下面的交换机都能合理分配到网络带宽。该款交换机支持802.1q VLAN，端口VLAN，支持端口与MAC地址绑定，支持802.1X协议等功能。并且该款交换机在管理上十分方便，为管理员对该款交换机进行管理减轻了负担。
上面这款千兆交换机支持VLAN，也支持流量控制等功能。支持VLAN可对设计部在计算机数量过大时，再继续细划VLAN；而支持的流量功能可为每台服务器分配合理的带宽。
对于这两项功能，组建VLAN网络还是有必要的。
对于连接最底层计算机的交换机要求不高，由于它们只是起连接底层计算机的作用，因此，这类交换机产品，用户可根据自己计算机的实际数量进行选择。考虑到我们上面对每个部门规划的计算机都在20台左右，因此，我们选择了24口的交换机就能完全满足需
要。
锐捷网络 RG-S1824S
RG-S1824S是一款高性能可管理的交换机，该款交换机具有9.6Gbps的背板带宽，其数据包转发率达到快速以太网的线速值，能够充分满足企业用户的需要。该款交换机支持基于端口的VLAN，并且具有强大远程管理能力，管理员即使不在企业内网中也可对该款交换机进行管理。这款交换机支持端口镜像功能，公安部门可通过这项功能对企业内网进行监控，防止内网用户访问非法网站，为企业网络提供一个安全健康的环境。
这款交换机的性能能够很好的实现24台计算机连接，并且具有的远程管理能力让管理员在任何地方都能对交换机进行管理，完全符合我们选择这一类型交换机的初衷。
【实验步骤】 步骤1.为三层交换机配置ip地址： switchA#：configure terminal ！进入全局配置模式 switchA(config)#：interface vlan 1 ！进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.1.1 255.255.255.0 ！为vlan1定义ip地址步骤2.创建vlan： switchA(config)#：vlan 10 创建vlan10 switchA(config-vlan)#exit switchA(config)#：vlan 20 创建vlan10 switchA(config-vlan)#exit switchA(config)#：vlan 30 创建vlan10 switchA(config-vlan)#exit switchA(config)#：vlan 40 创建vlan10 switchA(config-vlan)#exit switchA(config)#：vlan 50 创建vlan10 switchA(config-vlan)#exit switchA(config)#：vlan 60 创建vlan10 switchA(config-vlan)#exit switchA(config)#exit switchA#show run 查看所创建的vlan信息 步骤3.为新创建的vlan定义ip地址： switchA(config)#：interface vlan10进入vlan接口配置模式 switchA(config-if)#：ip address 192.168.255.1 255.255.255.0为vlan定义ip地址switchA(config-if)#：exit switchA(config)#：interface vlan20进入vlan接口配置模式 switchA(config-if)#：ip address 192.168.254.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#：exit switchA(config)#：interface vlan30进入vlan接口配置模式 switchA(config-if)#：ip address 192.168.253.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#：exit switchA(config)#：interface vlan40进入vlan接口配置模式 switchA(config-if)#：ip address 192.168.252.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#：exit switchA(config)#：interface vlan50进入vlan接口配置模式 switchA(config-if)#：ip address 192.168.251.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#：exit switchA(config)#：interface vlan60进入vlan接口配置模式 switchA(config-if)#：ip address 192.168.250.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#：exit switchA(config)#exit switchA#show run 查看vlan接口配置信息 步骤4.将新建的vlan定义到接口： switchA(config)#intErface fastethernet 0/1 !进入接口配置模式。
三层交换综合实验 一般来讲，设计方案中主要包括以下内容： ◆????? 用户需求 ◆????? 需求分析 ◆????? 使用什么技术来实现用户需求 ◆????? 设计原则 ◆????? 拓扑图 ◆????? 设备清单 一、模拟设计方案 【用户需求】 1.应用背景描述 某公司新建办公大楼，布线工程已经与大楼内装修同步完成。现公司需要建设大楼内部的办公网络系统。大楼的设备间位于大楼一层，可用于放置核心交换机、路由器、服务器、网管工作站、电话交换机等设备。在每层办公楼中有楼层配线间，用来放置接入层交换机与配线架。目前公司工程部25人、销售部25人、发展部25人、人事部10人、财务部加经理共15人。 2.用户需求 为公司提供办公自动化、计算机管理、资源共享及信息交流等全方位的服务，目前的信息点数大约100个，今后有扩充到200个的可能。 公司的很多业务依托于网络，要求网络的性能满足高效的办公要求。同时对网络的可靠性要求也很高，要求在办公时间内，网络不能宕掉。因此，在网络设计过程中，要充分考虑到网络设备的可靠性。同时，无论是网络设备还是网络线路，都应该考虑冗余备份。不能因为单点故障，而导致整个网络的瘫痪，影响公司业务的正常进行。 公司需要通过专线连接外部网络。 【需求分析】 为了实现网络的高速、高性能、高可靠性还有冗余备份功能，主要用于双核心拓扑结构的网络中。
本实验采用双核心拓扑结构，将三层交换技术和VTP、STP、EthernetChannel 综合运用。 【设计方案】 1、在交换机上配置VLAN，控制广播流量 2、配置2台三层交换机之间的EthernetChannel，实现三层交换机之间的高速互通 3、配置VTP，实现单一平台管理VLAN， 同时启用修剪，减少中继端口上不必要的广播信息量 4、配置STP，实现冗余备份、负载分担、避免环路 5、在三层交换机上配置VLAN间路由，实现不同VLAN之间互通 6、通过路由连入外网，可以通过静态路由或RIP路由协议 【网络拓扑】 根据用户对可靠性的要求，我们将网络设计为双核心结构，为了保证高性能，采用双核心进行负载分担。当其中的一台核心交换机出现故障的时候，数据能自动转换到另一台交换机上，起到冗余备份作用。 注意：本实验为了测试与外网的连通性，使用一个简单网络
利用三层交换机实现vl an 间路由
实验4、利用三层交换机实现 一、 实验目的 掌握三层交换机基本配置方法和三层交换机 vlan 路由的配置 二、 知识要点 在交换网络中，通过 VLAN 对一个物理网络进行了逻辑划分，不同的 VLAN 之间是无法直接访问的，必须通过三层 的路由设备进行连接。一般利用路由器或三层交换机来实现不同 VLAN 之间的互相访问。三层交换机和路由器具备网 络层的功能，能够根据数据的 IP 包头信息，进行选路和转发，从而实现不同网段之间的访问。 直连路由是指：为三层设备的接口配置 IP 地址，并且激活该端口，三层设备会自动产 生该接口 IP 所在网段的 直连路由信息。 三层交换机实现 VLAN 互访的原理是，利用三层交换机的路由功能，通过识别数据包 的IP 地址，查找路由表进 行选路转发。三层交换机利用直连路由可以实现不同 VLAN 之 间的互相访问。三层交换机给接口配置 IP 地址，采用 SVI （交换虚拟接口）的方式实现 VLAN 间互连。SVI 是指为交换机中的 VLAN 创建虚拟接口，并且配置 IP 地址。 三、实验内容 1. 按照下图选择交换机、pc 机，组建一个小型的局域网，构建实验环境。 2. 设置pc 机的IP 地址及网关：双击计算机终端设备图标显示 p c 设置窗口，选择“桌面”选项卡，双击“ip 地址 设置”图标出现如下图所示的设置窗口，分别对 pcO 和pci 进行设置 PcO : IP 地址：192.168.1.22 ;子网掩码：255.255.255.0 ;网关：192.168.1.254 vlan 间路由
ROS+三层交换机vlan配置实例 请看下图： 环境介绍 在这里我用的是ROS CCR1009 代替原先防火墙，三层交换机神州数码DCN-6804E，需要实现的是，划分多vlan，且VLAN网关设置在三层交换机上，ROS 上只做NAT转发以及回程路由，下面我们根据上图做配置，我们先在ROS上配置好外网(118.114.237.X/24)内网ETH8（10.0.0.1/24）并保证可正常上网，与三层链接的口ETH24配置为Access口，并加入VLAN100,并设置IP(10.0.0.2/24) 1.ROS配置
2、NAT转换 /ip firewall nat add action=masquerade chain=srcnat 3、路由配置 /ip route add check-gateway=ping distance=1 dst-address=192.168.10.0/24 gateway=10.0.0.2 add check-gateway=ping distance=1 dst-address=192.168.20.0/24 gateway=10.0.0.2 add check-gateway=ping distance=1 dst-address=192.168.30.0/24 gateway=10.0.0.2 也可以用一条路由 192.168.0.0/16 10.0.0.2 这样也可以的。 3、DCN-6804 的配置 DCRS-6804E# DCRS-6804E#sh run spanning-tree spanning-tree mode rstp
实验5 利用三层交换机实现VLAN间路由采用单臂路由的方式实现VLAN间的路由具有速度慢（受到接口带宽限制）、转发速率低（路由器采用软件转发，转发速率比采用硬件转发方式的交换机慢）的缺点，容易产生瓶颈，所以现在的网络中，一般都采用三层交换机，以三层交换的方式来实现VLAN间的路由。 三层交换机，本质上就是带有路由功能的二层交换机，我们可以将它简单地看成是一台路由器和一台二层交换机的叠加。三层交换机是将二层交换机和路由器两者的优势有机而智能化地结合起来，它可在各个层次提供线速转发性能。在一台三层交换机内，分别设置了交换机模块和路由器模块；而内置的路由模块与交换模块类似，也使用ASIC硬件处理路由。因此，与传统的路由器相比，三层交换机可以实现高速路由，并且，路由与交换模块是汇集链接的，由于是内部链接，可以确保相当大的宽带。 由于在三层交换机上。IP路由功能是默认开启的，因此在特权模式下，通过如下步骤，便可以配置SVI（交换虚拟接口）接口实现VLAN间的路由： 1.Switch#configure terminal 进入全局配置模式。 2.Switch(config)#interface vlan vlan-id 进入SVI接口配置模式。 3.Switch(config-if)#ip address ip-address mask 给VLAN的SVI接口配置IP地址。这些IP地址将作为各个VLAN内主机的网关，并且，这些SVI接口所在的网段也会作为直连路由出现在三层交换机的路由表中。 直连路由是指：为三层交设备的接口配置IP地址，并且激活该端口，三层设备会自动产生该接口IP所在网段的直连路由信息。 SVI是指：为交换机中得VLAN创建虚拟接口，并且配置IP地址。 4.Switch(config-if)#end 回到特权命令模式。 5.Switch#show running-config 检查一下刚才的配置是否正确。 6.Switch#show ip route 检查配置SVI接口所在的网段是否已经出现在路由表中。 注意：只有当VLAN内有激活的接口时，即有主机连入该VLAN时，该VLAN的SVI 接口所在的网段才会出现在路由表中。 7.如果需要保存刚才的配置结果，可以继续使用write命令或者copy命令保存配置。 在交换机网络中，通过VLAN对一个物理网络进行逻辑划分，不同的VLAN之间无法直接访问的，必须通过三层的路由设备进行连接。一般利用路由器或三层交换机来实现不同VLAN之间的互相访问。三层交换机和路由器具备网络层的功能，能够根据数据的IP包头信息，进行选路和转发，从而实现不同网段之间的访问。 三层交换机实现VLAN互访的原理是，利用三层交换机的路由功能，通过识别数据包的IP地址，查找路由表进行选路转发。三层交换机利用直连路由可以实现不同VLAN之间的互相访问。三层交换机给接口配置IP地址，采用SVI的方式实现VLAN间互联。 实验中必须注意的事项： （1）、两台交换机之间连接的端口应该设置为tag vlan模式。 （2）、为SVI端口设置IP地址后，一定要使用no shutdown命令进行激活，否则无法正常使用。
实验四 三层交换机基本配置及利用三层交换机实现不同VLAN 间通信 一、实验名称 三层交换机基本配置及VLAN/802.1Q －VLAN 间通信实验。 二、实验目的 理解和掌握通过三层交换机的基本配置及实现VLAN 间相互通信的配置方法。 三、实验内容 若企业中有2个部门：销售部和技术部（2个部门PC 机IP 地址在不同网段），其中销售部的PC 机分散连接在2台交换机上，配置交换机使得销售部PC 能够实现相互通信，而且销售部和技术部之间也能相互通信。 在本实验中，我们将PC1和PC3分别连接到SwitchA （三层交换机）的F0/5端口和SwitchB 的F0/5端口并划入VLAN 10，将PC2连接到SwitchA （三层交换机）的F0/15端口并划入VLAN 20，SwitchA 和SwitchB 之间通过各自的F0/24端口连接。配置三层交换机使在不同VLAN 组中的PC1、PC2、PC3能相互通信。 三、实验拓扑 四、实验设备 S3550-24（三层交换机）1台、S2126交换机1台、PC 机3台。 五、实验步骤 VLAN/802.1Q －VLAN 间通信: 1．按实验拓扑连接设备，并按图中所示配置PC 机的IP 地址，PC1、PC3网段相同可以通信，但是PC1、PC3和PC2是不同网段的，所以PC2（技术部）不能和另外2台PC 机（销售部）通信。 2．在交换机SwitchA 上创建VLAN 10，并将0/5端口划入VLAN 10中。 SwitchA(config)#vlan 10 ！创建VLAN 10 SwitchA (config-vlan)#name sales ! 将VLAN 10 命名为sales SwitchA (config)#interface f0/5 ！进入F0/5接口配置模式 SwitchA (config-if)#switchport access vlan10 ！将F0/5端口划入VLAN 10 SwitchA #show vlan id 10 ！验证已创建了VLAN 10并已将F0/5端口划入VLAN 10中 PC2
实训6 用三层交换机实现VLAN间路由 一、实训目的 1．了解VLAN间路由的意义 2．掌握使用三层交换机实现vlan间路由的解决方法 3．模拟并解决小型企业或分公司的VLAN间路由问题 二、实训逻辑图 图6-1 实训逻辑图 三、实训内容及步骤 1．进入交换机（先不要按逻辑图连接交换机），查看是否已有Vlan配置 （1）查看Vlan配置（show vlan brief） （2）查看Vtp状态（show vtp status） （3）若Vtp模式不是Server，请将其改为Server（vtp mode server） （4）删除默认Vlan以外的所有Vlan信息（no vlan vlan_id） （5）查看所有端口是否都在Vlan 1下（show vlan brief） （6）若有端口不是Vlan 1下，请将其加入到Vlan 1下 做完以上步骤后，再查看一次Vlan信息，检查是否所有端口已绑定在Vlan 1下，并
且没有其他Vlan设置；若仍有端口没有处于Vlan 1下，或有其他Vlan信息，请重复以上项目，否则可能影响下面的实训数据。 2．创建Vlan并将端口绑定到Vlan SW2950# vlan data SW2950 (vlan)# vlan 2 name v2 SW2950 (vlan)# vlan 3 name v3 SW2950 (config) # int f0/3 SW2950 (config-if) # switchport mode access SW2950 (config-if) # switchport access vlan 2 SW2950 (config) # int f0/4 SW2950 (config-if) # switchport mode access SW2950 (config-if) # switchport access vlan 3 SW2950 (config-if) #end SW2950#show vlan brief VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active Fa0/1, Fa0/2, Fa0/5, Fa0/6, Fa0/7,Fa0/8, Fa0/9, Fa0/10, Fa0/11,Fa0/12, Fa0/13, Fa0/14, Fa0/15, Fa0/16, Fa0/17, Fa0/18, Fa0/19, Fa0/20, Fa0/21, Fa0/22, Fa0/23, Fa0/24, Gig1/1, Gig1/2 2 v2 active Fa0/3 3 v3 active Fa0/4 3．将F0/24端口设定为中继端口
设置VTP domain(核心、分支交换机都设置) Switch>en Switch#config t Switch(config)#hostname switch-hx switch-hx(config)#exit switch-hx#vlan data switch-hx(vlan)#vtp domain com switch-hx(vlan)#vtp server switch-hx(vlan)# exit switch-hx#copy run start Switch>en Switch#config t Switch(config)#hostname switch-fz1 switch-fz1(config)#exit switch-fz1#vlan data switch-fz1(vlan)#vtp domain com switch-fz1(vlan)#vtp client switch-fz1(vlan)#exit switch-fz1#copy run start Switch>en Switch#config t Switch(config)#hostname switch-fz2 switch-fz2(config)#exit switch-fz2#vlan data switch-fz2(vlan)#vtp domain com switch-fz2(vlan)#vtp client switch-fz2(vlan)#exit switch-fz2#copy run start Switch>en Switch#config t Switch(config)#hostname switch-fz2 switch-fz4(config)#exit switch-fz4#vlan data switch-fz4(vlan)#vtp domain com switch-fz4(vlan)#vtp client switch-fz4(vlan)#exit
利用三层交换机实现v l a n间路由
实验4、利用三层交换机实现vlan间路由 一、实验目的 掌握三层交换机基本配置方法和三层交换机vlan路由的配置 二、知识要点 在交换网络中，通过VLAN对一个物理网络进行了逻辑划分，不同的VLAN之间是无法直接访问的，必须通过三层的路由设备进行连接。一般利用路由器或三层交换机来实现不同VLAN之间的互相访问。三层交换机和路由器具备网络层的功能，能够根据数据的IP 包头信息，进行选路和转发，从而实现不同网段之间的访问。 直连路由是指：为三层设备的接口配置IP地址，并且激活该端口，三层设备会自动产生该接口IP所在网段的直连路由信息。 三层交换机实现VLAN互访的原理是，利用三层交换机的路由功能，通过识别数据包的IP地址，查找路由表进行选路转发。三层交换机利用直连路由可以实现不同VLAN之间的互相访问。三层交换机给接口配置IP地址，采用SVI （交换虚拟接口）的方式实现 VLAN间互连。SVI是指为交换机中的VLAN创建虚拟接口，并且配置IP地址。 三、实验内容 1.按照下图选择交换机、pc机，组建一个小型的局域网，构建实验环境。 2.设置pc机的IP地址及网关：双击计算机终端设备图标显示pc设置窗口，选择“桌面”选项卡，双击“ip地址 设置”图标出现如下图所示的设置窗口，分别对pc0和pc1进行设置 Pc0： IP地址：192.168.1.22 ；子网掩码：255.255.255.0 ；网关：192.168.1.254
Pc1： IP地址：192.168.2.22 ；子网掩码：255.255.255.0 ；网关：192.168.2.254 Pc0： Pc1： ： 3.网络连通性测试：双击计算机终端设备pc0，pc1图标显示pc设置窗口，选择“桌面”选项卡，双击“命令提示符”出现如下图所示窗口，pc0输入ping 192.168.2.22，pc1输入192.168.1.22的命令以检查网络是否连通。
综合实验 一台思科三层交换机划分3个vlanvlan2：ip网段vlan3:ipvlan4ip各vlan之间能互相通迅.现在增加1台cisco路由想实现共享 我们的PC0、PC1处在VLAN2中，PC2、PC3处在VLAN3中，Server0处在VLAN4中。现在要使我们内网能够正常访问我们的Server0服务器，然后同时还要能够访问我们的ISP外网的WWW服务器。 三层交换机的配置 Switch#configt Switch(config)#vlan2创建VLAN2 Switch(config-vlan)#exi Switch(config)#vlan3创建VLAN3 Switch(config-vlan)#exi Switch(config)#vlan4创建VLAN4 Switch(config-vlan)#exit Switch(config)#intfa0/2将我们的fa0/2添加到VLAN2中 Switch(config-if)#swmoac
Switch(config-if)#swacvlan2 Switch(config-if)#exit Switch(config)#intfa0/3将我们的FA0/3添加到VLAN3中 Switch(config-if)#swmoac Switch(config-if)#swacvlan3 Switch(config-if)#exit Switch(config)#intfa0/4将我们的FA0/4添加到VLAN4中 Switch(config-if)#swmoac Switch(config-if)#swacvlan4 Switch(config-if)#exit Switch(config)#intvlan2给我们的VLAN2添加一个IP地址，用于不同网段之间互相访问 Switch(config-if)#ipadd Switch(config-if)#exit Switch(config)#intvlan3给我们的VLAN3添加一个IP地址 Switch(config-if)#ipadd
. 三层交换机实现VLAN通信：1) 拓扑图： 2) 步骤： ?创建VLAN： l 创建vlan10： l 创建vlan20： l 查看
?把端口划分在VLAN中： l f0/1与f0/2划分在vlan10上： l f0/3与f0/4划分在vlan20上： l 查看：
?开启路由功能： 这时SW1就启用了三层功能 ?给VLAN接口配置地址： l vlan10接口配置地址： 在VLAN接口上配置IP地址即可，vlan10接口上的地址就是PC-1、PC2的网关了，vlan20接口上的地址就是PC-3、PC-4的网关了。 l vlan20接口配置地址：
l 查看SW1上的路由表： 和路由器一样，三层交换机上也有路由表 要配置三层交换机上启用路由功能，还需要启用CEF（命令为：ip cef），不过这是默认值。和路由一样，三层交换机上同样可以运行路由协议。 ?给PC机配置网关： 分别给PC-1、PC-2、PC-3、PC-4配置IP地址和网关，PC-1、PC-2的网关指向：192.168.1.254，PC-3、PC-4的网关指向：192.168.2.254。 如果计算机有两张或两张以上的网卡，请去掉其他网卡上设置的网关。 ?注意： 也可以把f0/1、f0/2、f0/3、f0/4接口作为路由接口使用，这时他们就和路由器的以太网接口一样了，可以在接口上配置IP地址。如果S1上的全部以太网都这样设置，S1实际上成了具有24个以太网接口的路由器了，不建议这样做，这样做太浪费接口了，配置实例： no switchport配置该接口不再是交换接口了，成为路由接口。
通过三层交换实现VLAN间互通的方法 一般在一个企业网络内部很少会使用路由器，在生产环境中，VLAN间的通信主要是通过三层交换来实现的。 一般在一个企业网络内部很少会使用路由器，在生产环境中，VLAN间的通信主要是通过三层交换来实现的。 三层交换机具备网络层的功能，实现VLAN相互访问的原理是：利用三层交换机的路由功能，通过识别数据包的IP地址，查找路由表进行选路转发。在三层交换机中跨VLAN间路由，需要使用SVI（Switch Virtual Interface，交换虚拟接口），SVI是指为交换机中的VLAN 创建的虚拟接口，并且配置IP地址。SVI是联系二层VLAN的IP接口，一个SVI只能和一个VLAN相联系。 实验拓扑与上文类似，只是将2811路由器换成了3560三层交换机。
PC0接在2960交换机f0/1口，IP：192.168.1.10，默认网关192.168.1.254，属于VLAN 10；PC1接在2960交换机f0/13口，IP：192.168.2.10，默认网关192.168.2.254，属于V LAN 20；2960交换机的f0/24口与3560三层交换机的f0/1口相连，设为trunk模式。PC0和PC1分属于不同的vlan，它们间数据的通信首先要经由trunk链路传输给三层交换机，然后再由三层交换机转发到不同的vlan。 一、配置Cisco 2960交换机 创建VLAN： Switch#vlan database Switch(vlan)#vlan 10 name vlan10 Switch(vlan)#vlan 20 name vlan 20 Switch(vlan)#exit 分配端口（将f0/1-f0/12端口划归vlan10，f0/13-f0/23端口划归vlan20）： Switch(config)#int range f0/1-12 Switch(config-if-range)#switchport mode access Switch(config-if-range)#switchport access vlan 10 Switch(config-if-range)#exit Switch(config)#int range f0/13-23 Switch(config-if-range)#switchport mode access Switch(config-if-range)#switchport access vlan 20 Switch(config-if-range)#exit 设置trunk Switch(config)#int f0/24 Switch(config-if)#switchport mode trunk Switch(config-if)#exit 二、配置Cisco 3560交换机 首先创建相同编号的VLAN： Switch#vlan database Switch(vlan)#vlan 10 name vlan10 Switch(vlan)#vlan 20 name vlan20 Switch(vlan)#exit 然后通过设置SVI交换虚拟接口，分别为每个VLAN设置IP： Switch#conf t Switch(config)#int vlan 10 Switch(config-if)#ip address 192.168.1.254 255.255.255.0
三层交换机实现两V l a n间通信拓扑图： Switch0上的配置： Switch> Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#name v2 Switch(config-vlan)#exit Switch(config)#vlan 3 Switch(config-vlan)#name v3 Switch(config-vlan)#exit Switch(config)#int fa0/2 Switch(config-if)#sw access vlan 2 Switch(config-if)#no sh Switch(config-if)#exit Switch(config)#int fa0/1 Switch(config-if)#sw mode trunk
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up Switch(config-if)#no sh Switch(config-if)#exit Switch(config)# Switch1上的配置： Switch> Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#name v2 Switch(config-vlan)#exit Switch(config)#vlan 3 Switch(config-vlan)#name v3 Switch(config-vlan)#exit Switch(config)#int fa0/2 Switch(config-if)#sw acc vlan 3 Switch(config-if)#no sh Switch(config-if)#exit Switch(config)#int fa0/1 Switch(config-if)#sw mode trunk %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up Switch(config-if)#no sh Switch(config-if)#exit Switch(config)# 三层交换机上的配置： Switch> Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#name v2 Switch(config-vlan)#exit Switch(config)#vlan 3
cisco三层交换机vlan间路由配置实例 下面以cisco3560实例说明如何在一个典型的快速以太局域网中实现VLAN。所谓典型局域网就是指由一台具备三层交换功能的核心交换机接几台分支交换机（不一定具备三层交换能力）。我们假设核心交换机名称为：COM；分支交换机分别为：PAR1、PAR2、PAR3，分别通过Port 1的光线模块与核心交换机相连；并且假设VLAN名称分别为COUNTER、MARKET、MANAGING…… 需要做的工作： 1、设置VTP DOMAIN（核心、分支交换机上都设置） 2、配置中继（核心、分支交换机上都设置） 3、创建VLAN（在server上设置） 4、将交换机端口划入VLAN 5、配置三层交换 1、设置VTP DOMAIN。 VTP DOMAIN 称为管理域。 交换VTP更新信息的所有交换机必须配置为相同的管理域。如果所有的交换机都以中继线相连，那么只要在核心交换机上设置一个管理域，网络上所有的交换机都加入该域，这样管理域里所有的交换机就能够了解彼此的VLAN列表。 COM#vlan database 进入VLAN配置模式 COM(vlan)#vtp domain COM 设置VTP管理域名称 COM COM(vlan)#vtp server 设置交换机为服务器模式 PAR1#vlan database 进入VLAN配置模式 PAR1(vlan)#vtp domain COM 设置VTP管理域名称COM PAR1(vlan)#vtp Client 设置交换机为客户端模式 PAR2#vlan database 进入VLAN配置模式 PAR2(vlan)#vtp domain COM 设置VTP管理域名称COM PAR2(vlan)#vtp Client 设置交换机为客户端模式 PAR3#vlan database 进入VLAN配置模式 PAR3(vlan)#vtp domain COM 设置VTP管理域名称COM PAR3(vlan)#vtp Client 设置交换机为客户端模式 注意：这里设置核心交换机为Server模式是指允许在该交换机上创建、修改、删除VLAN 及其他一些对整个VTP域的配置参数，同步本VTP域中其他交换机传递来的最新的VLAN 信息；Client模式是指本交换机不能创建、删除、修改VLAN配置，也不能在NVRAM中存储VLAN配置，但可同步由本 VTP域中其他交换机传递来的VLAN信息。 2、配置中继为了保证管理域能够覆盖所有的分支交换机，必须配置中继。Cisco交换机能够支持任何介质作为中继线，为了实现中继可使用其特有的ISL标签。ISL （Inter－Switch Link）是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接相连的端口配置 ISL封装，即可跨越交换机进行整个网络的VLAN分配和进行配置。 在核心交换机端配置如下： COM(config)#interface gigabitEthernet 2/1 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/2 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/3 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk 在分支交换机端配置如下： PAR1(config)#interface gigabitEthernet 0/1
实验三实现VLAN间的通信 一、通过路由器实现vlan间通信(单臂路由) 实验拓扑图 【准备知识】 在路由器与交换机的端口上配置子接口，每个子接口的IP地址是每个VLAN的网关地址（也可以理解为下一跳地址），并在子接口上封装802.1Q协议。也可以封装ISL协议（cisco专用协议，不兼容802.1Q）。 【实验步骤】 1、交换机配置如下： Switch>en Switch#conf t Switch(config)#vlan 2 Switch(config-vlan)#vlan 3 Switch(config-vlan)#exit Switch(config)#int fa0/2 Switch(config-if)#sw ac vlan 2 //switchport access vlan 2的简写，端口fa0/2划到vlan 2中Switch(config-if)#int fa0/3 Switch(config-if)#sw ac vlan 3 Switch(config-if)#exit Switch(config)#int fa0/1 Switch(config-if)#switchport mode trunk //设置f0/1端口为trunk模式 2、路由器配置如下：
Router>en Router#conf t Router(config)#int fa0/0 Router(config-if)#no shutdown Router(config-if)#exit Router(config)#int f0/0.1 Router(config-subif)#encapsulation dot1q 2 //封装协议802.1Q,2为vlan 2 Router(config-subif)#ip address 192.168.1.1 255.255.255.0 Router(config-subif)#exit Router(config)#int f0/0.2 Router(config-subif)#encapsulation dot1q 3 //封装协议802.1Q,3为vlan 3 Router(config-subif)#ip address 192.168.2.1 255.255.255.0 Router(config-subif)#exit Router(config)# 【检测实验结果】 VLAN 2中的pc1能ping 通VLAN 3中的pc2。 二、通过路由器实现跨交换机vlan间通信 实验拓扑图 【实验步骤】 1、交换机BJ上的配置如下： BJ>en BJ#conf t
【实训3.4】用三层交换机实现VLAN间路由 一、实训目的 1．了解VLAN间路由的意义 2．掌握使用三层交换机实现vlan间路由的解决方法 3．模拟并解决小型企业或分公司的VLAN间路由问题 二、实训逻辑图 图3.4-1 实训逻辑图 三、实训内容及步骤 1．进入交换机（先不要按逻辑图连接交换机），查看是否已有Vlan配置 （1）查看Vlan配置（show vlan brief） （2）查看Vtp状态（show vtp status） （3）若Vtp模式不是Server，请将其改为Server（vtp mode server） （4）删除默认Vlan以外的所有Vlan信息（no vlan vlan_id） （5）查看所有端口是否都在Vlan 1下（show vlan brief） （6）若有端口不是Vlan 1下，请将其加入到Vlan 1下 做完以上步骤后，再查看一次Vlan信息，检查是否所有端口已绑定在Vlan 1下，并且没有其他Vlan设置；若仍有端口没有处于Vlan 1下，或有其他Vlan信息，请重复以上项目，否则可能影响下面的实训数据。 2．创建Vlan并将端口绑定到Vlan
SW2950# vlan data SW2950 (vlan)# vlan 2 name v2 SW2950 (vlan)# vlan 3 name v3 SW2950 (config) # int f0/3 SW2950 (config-if) # switchport mode access SW2950 (config-if) # switchport access vlan 2 SW2950 (config) # int f0/4 SW2950 (config-if) # switchport mode access SW2950 (config-if) # switchport access vlan 3 SW2950 (config-if) #end SW2950#show vlan brief VLAN Name Status Ports 1 default active Fa0/1, Fa0/2, Fa0/5, Fa0/6, Fa0/7,Fa0/8, Fa0/9, Fa0/10, Fa0/11,Fa0/12, Fa0/13, Fa0/14, Fa0/15, Fa0/16, Fa0/17, Fa0/18, Fa0/19, Fa0/20, Fa0/21, Fa0/22, Fa0/23, Fa0/24, Gig1/1, Gig1/2 2 v2 active Fa0/3 3 v3 active Fa0/4 3．将F0/24端口设定为中继端口 SW2950 (config) # int f0/24 SW2950 (config-if) # switchport mode trunk SW3550 (config) # int f0/24 SW3550 (config-if) # switchport trunk encapsulation dot1q SW3550 (config-if) # switchport mode trunk SW3550#show int trunk Port Mode Encapsulation Status Native vlan Fa0/24 on 802.1q trunking 1 Port Vlans allowed on trunk Fa0/24 1-1005 Port Vlans allowed and active in management domain Fa0/24 1,2,3 Port Vlans in spanning tree forwarding state and not pruned Fa0/24 1,2,3 若两台交换机上的F0/24端口模式“mode”都为“on”，表明Trunk状态已正常工作。4．在三层交换机上配置每个VLAN的管理地址 SW3550# conf t SW3550(config)# int vlan 2 //配置VLAN 2管理地址 SW3550(config-if)# ip add 192.168.2.1 255.255.255.0 SW3550(config-if)# no shut SW3550(config-if)# exit