1. 先搞清楚这个实验到底在做什么1.1 从一个真实需求说起假设你手头有两台二层交换机每台上面都划分了多个VLAN现在的问题是VLAN 10里的PC想跟另一台交换机上VLAN 20里的PC通信怎么办二层交换机本身不具备路由功能VLAN之间的通信必须依赖三层设备。最省钱、最直观的方案就是在三层设备上配置静态路由让不同VLAN的流量找到对方。这个实验的核心目标很明确用静态路由打通跨交换机的不同VLAN通信。听起来简单但实际操作中涉及VLAN划分、Trunk链路、三层接口配置、路由表写入等多个环节任何一个环节出错都会导致通信失败。1.2 适合谁来动手做这个内容适合几类人正在学网络基础的在校学生、准备考网络方向认证的从业者、刚入行需要快速上手企业网络配置的运维人员以及想复习VLAN间路由知识的老手。不管你用的是哪家厂商的设备底层逻辑完全一致区别只在命令语法上。我下面会以通用命令风格来写关键地方会说明不同厂商的差异。你照着做基本能一次通。1.3 实验拓扑长什么样先描述一下我常用的经典拓扑你可以在模拟器里照着搭两台二层交换机分别叫SW1和SW2一台三层设备可以是三层交换机也可以是一台路由器加单臂路由叫L3DEVSW1上创建VLAN 10和VLAN 20SW2上创建VLAN 30和VLAN 40SW1和SW2分别通过一条Trunk链路上联到L3DEVL3DEV上为每个VLAN配置一个SVI交换机虚拟接口或者子接口作为对应VLAN的网关各VLAN内的PC把网关指向L3DEV上对应的接口地址拓扑逻辑很清晰二层交换机负责接入和VLAN隔离三层设备负责VLAN间路由转发。静态路由的作用是告诉三层设备去往某个网段的下一跳在哪里。2. 核心原理拆解为什么静态路由能搞定这件事2.1 VLAN隔离与三层转发的本质VLAN的本质是把一个物理交换机逻辑上切成多个广播域。同一个VLAN内的设备在二层直接通信不同VLAN之间二层完全隔离。要让它们通信必须经过三层转发。三层转发的前提是三层设备上要有每个VLAN对应的接口SVI或子接口并且这些接口处于up状态。每个接口配一个IP地址这个地址就是该VLAN内PC的网关。PC要跨网段通信时会把数据包发给网关网关查路由表决定从哪个接口转发出去。2.2 直连路由和静态路由的分工三层设备上每个配置了IP的接口会自动生成一条直连路由。比如L3DEV上VLAN 10的SVI配了192.168.10.1/24路由表里就会自动出现192.168.10.0/24这条直连路由。但问题来了SW1上的VLAN 10和VLAN 20L3DEV是直连的路由表里有。SW2上的VLAN 30和VLAN 40L3DEV也是直连的路由表里也有。那为什么还需要静态路由关键场景是这样的如果L3DEV只有一台所有VLAN的网关都在它上面那确实不需要静态路由直连路由就够了。但实际网络中往往有多台三层设备分担不同VLAN的网关这时候就需要静态路由来告诉彼此对方网段怎么走。我上面描述的拓扑如果只有一台L3DEV那确实直连路由就能通。但为了演示静态路由的作用通常会把拓扑改成两台三层设备或者在三层设备上模拟远端网段。下面我会用两台三层设备的场景来讲这样静态路由才有实际意义。2.3 数据包的完整旅程以VLAN 10的PC192.168.10.100ping VLAN 30的PC192.168.30.100为例PC发现目标IP和自己不在同一网段把包发给网关192.168.10.1网关L3DEV-A收到包查路由表发现去往192.168.30.0/24的下一跳是L3DEV-B的互联接口地址L3DEV-A把包从互联接口转发出去L3DEV-B收到包查路由表发现192.168.30.0/24是自己的直连网段从对应SVI转发出去包到达VLAN 30的PC回程同理L3DEV-B需要有一条去往192.168.10.0/24的静态路由下一跳指向L3DEV-A。双向都要有路由否则通不了这是新手最容易忽略的点。3. 动手实操从零配到通3.1 地址规划与VLAN规划先把规划做清楚不然后面容易乱。我习惯用这样的规划设备VLAN网段网关地址SW1VLAN 10192.168.10.0/24192.168.10.1SW1VLAN 20192.168.20.0/24192.168.20.1SW2VLAN 30192.168.30.0/24192.168.30.1SW2VLAN 40192.168.40.0/24192.168.40.1互联VLAN 9910.0.0.0/3010.0.0.1 / 10.0.0.2互联链路用/30掩码只消耗两个可用地址干净利落。VLAN 99专门用于三层设备之间的互联不承载业务流量。3.2 二层交换机配置SW1上的配置逻辑# 创建VLAN vlan 10 vlan 20 vlan 99 # 配置接入端口 interface GigabitEthernet0/1 switchport mode access switchport access vlan 10 interface GigabitEthernet0/2 switchport mode access switchport access vlan 20 # 配置Trunk上联口 interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20,99SW2类似把VLAN换成30、40、99接入端口对应调整。注意Trunk口一定要放行所有需要的VLAN包括互联VLAN。我见过有人只放行了业务VLAN忘了放行互联VLAN结果三层设备之间根本建不起邻居关系。3.3 三层设备接口配置L3DEV-A的配置# 创建VLAN vlan 10 vlan 20 vlan 99 # 配置SVI作为网关 interface Vlan10 ip address 192.168.10.1 255.255.255.0 interface Vlan20 ip address 192.168.20.1 255.255.255.0 # 配置互联接口 interface Vlan99 ip address 10.0.0.1 255.255.255.252 # 上联口配Trunk interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20,99L3DEV-B同理SVI地址换成30、40网段的网关互联接口配10.0.0.2/30。配完这些L3DEV-A的路由表里应该有192.168.10.0/24、192.168.20.0/24、10.0.0.0/30三条直连路由。L3DEV-B有192.168.30.0/24、192.168.40.0/24、10.0.0.0/30三条直连路由。3.4 静态路由配置现在L3DEV-A知道自己的直连网段但不知道192.168.30.0/24和192.168.40.0/24怎么走。需要加静态路由# L3DEV-A上配置 ip route 192.168.30.0 255.255.255.0 10.0.0.2 ip route 192.168.40.0 255.255.255.0 10.0.0.2# L3DEV-B上配置 ip route 192.168.10.0 255.255.255.0 10.0.0.1 ip route 192.168.20.0 255.255.255.0 10.0.0.1这两组命令的意思是去往对方业务网段的包统统扔给互联对端地址。实操心得静态路由的下一跳地址必须是直连可达的。如果你写了一个下一跳但那个地址不在任何直连网段里路由不会生效。这是排查静态路由不生效时的第一检查点。3.5 验证与测试配完之后按顺序验证先看接口状态show ip interface brief确认所有SVI都是up/up看路由表show ip route确认静态路由已经写入标记为S从L3DEV-A ping L3DEV-B的互联地址ping 10.0.0.2通说明三层链路没问题从VLAN 10的PC ping VLAN 30的PC通说明整条路径打通如果第3步不通问题在互联链路或SVI配置。如果第3步通但第4步不通问题在静态路由或PC网关配置。4. 常见问题与排查技巧实录4.1 排错速查表现象可能原因排查方法PC ping网关不通SVI未up、VLAN未创建、端口未划入VLAN检查SVI状态和端口VLAN成员网关通但对端网关不通Trunk未放行互联VLAN、互联地址配错检查Trunk allowed vlan列表网关之间通但PC互ping不通静态路由缺失或写错、PC网关配错检查路由表和PC网关设置单向通只配了一侧静态路由两端都要配时通时不通路由环路或ARP问题检查是否有冲突路由4.2 几个我踩过的坑坑一Trunk口native VLAN不匹配。两端Trunk的native VLAN如果不一致会导致VLAN 1的流量出问题虽然不影响业务VLAN但可能影响某些管理协议。建议两端保持一致或者干脆把native VLAN改成一个不用的VLAN。坑二SVI配置了但物理口没up。SVI的up状态依赖于该VLAN下至少有一个物理端口处于up状态。如果VLAN 10下没有任何活跃端口SVI就是down的网关地址也不生效。解决办法是确保每个VLAN至少有一个接入端口连着设备或者用no shutdown确认端口没被关。坑三静态路由写了但没生效。最常见的原因是下一跳不可达。比如你写了ip route 192.168.30.0 255.255.255.0 10.0.0.2但10.0.0.2这个地址在路由表里查不到直连路由这条静态路由就不会被安装。用show ip route static确认。坑四PC的网关配成了对端网关。比如VLAN 10的PC网关应该是192.168.10.1有人手误配成了192.168.30.1。PC会把包发给一个不在本网段的地址直接ARP失败。4.3 进阶排查思路如果基础检查都过了还是不通可以这样深入在L3DEV-A上用show ip route 192.168.30.0确认路由存在且下一跳正确用traceroute从PC跟踪到对端PC看在哪一跳断掉在互联接口上抓包看包有没有发出去、有没有回来检查ACL有时候设备上有默认ACL拦截了跨网段流量经验之谈排错时永远从底层往上查。先确认物理层和链路层没问题再查网络层。我见过太多人一上来就怀疑路由配错了结果发现是网线没插好或者端口被shutdown了。5. 静态路由 vs 动态路由什么时候该用哪个5.1 静态路由的适用场景静态路由最大的优势是简单、可控、不消耗设备资源。适合以下场景网络拓扑小且稳定就几台设备几个网段末梢网络只有一条出口路径需要精确控制流量走向不想让动态协议自动选路设备性能有限跑不动动态路由协议我这个实验的场景就是典型的静态路由适用场景网段数量少拓扑固定没有冗余路径需求。5.2 什么时候该换动态路由如果网段数量超过十几个或者拓扑经常变动静态路由的维护成本会急剧上升。每加一个网段所有三层设备都要手动加路由容易漏配、错配。这时候就该考虑OSPF这类动态路由协议了。不过话说回来静态路由是理解路由原理的最佳入口。你把静态路由搞透了再学动态路由会轻松很多因为动态路由本质上也是往路由表里写条目只是写入方式从手动变成了自动。5.3 一个实用的混合策略实际项目中我经常用混合方案核心区域跑动态路由边缘和末梢用静态路由。比如数据中心内部用OSPF但连到某个分支机构的链路用静态路由指向对端。这样既保证了核心区域的灵活性又简化了边缘配置。对于这个实验来说先把静态路由玩明白后面再扩展到动态路由路径是对的。6. 几个容易被忽略的细节6.1 互联VLAN的选择互联VLAN建议用一个独立的、不承载业务流量的VLAN ID比如99或999。不要图省事直接用VLAN 1因为VLAN 1通常是native VLAN容易和其他流量混在一起排查问题时不方便。6.2 掩码长度的选择互联链路用/30掩码是最规范的只消耗两个可用IP。有人喜欢用/24虽然也能通但浪费地址空间而且不够专业。如果互联设备超过两台比如三台三层设备两两互联可以考虑用/29或更大。6.3 路由汇总的预留虽然静态路由可以一条条写但如果网段有规律比如192.168.0.0/16下面划分了很多子网可以考虑写一条汇总路由ip route 192.168.0.0 255.255.0.0 10.0.0.2减少路由表条目。不过汇总的前提是这些子网都从同一个下一跳走否则会出问题。6.4 备份路由的配置如果有多条路径到达同一目的网段可以配置浮动静态路由ip route 192.168.30.0 255.255.255.0 10.0.0.2 ip route 192.168.30.0 255.255.255.0 10.0.0.6 10第二条的管理距离设为10默认是1主路由失效时自动切换到备份路由。这个技巧在需要冗余的场景很实用。7. 从实验到生产还需要考虑什么7.1 安全策略实验环境里我们假设所有流量都是合法的但生产环境必须考虑ACL。比如VLAN 10不应该访问VLAN 40的某些敏感服务就需要在三层设备上配置ACL在SVI或互联接口上应用。7.2 高可用设计单台三层设备是单点故障。生产环境通常会用两台三层设备做网关冗余配合VRRP或HSRP协议。这时候静态路由的配置会更复杂一些需要考虑主备切换时的路由收敛。7.3 监控与日志静态路由不会自动上报状态变化。如果某条静态路由的下一跳不可达设备不会主动告警。需要配合SNMP监控或Syslog定期检查路由表状态。我一般会写个脚本定期采集路由表发现异常条目就告警。7.4 文档化静态路由最大的问题是人走了就没人知道为什么这么配。每一条静态路由都应该有注释说明用途拓扑图要随时更新。我见过太多接手别人网络后面对一堆静态路由完全不知道哪些能删哪些不能删的情况。8. 写在最后的一点个人体会这个实验我前后做过不下几十遍每次带新人都会让他们先做这个。原因很简单它把VLAN、Trunk、SVI、路由表、静态路由这几个核心概念串成了一条完整的链路。你把这几个点打通了后面学什么协议都不虚。我个人的习惯是每配完一个设备就立刻验证一步不要全部配完再查。配完SVI就ping一下网关配完静态路由就show一下路由表。这样出问题时能快速定位是哪一步出的错而不是面对一堆配置无从下手。另外模拟器里做通了不代表真机就能通。真机上还有端口协商、STP收敛、ARP老化这些因素。如果有条件尽量在真机上验证一遍。真机上调通的那一刻你对整个流程的理解会上一个台阶。最后分享一个小技巧如果你在模拟器里怎么都ping不通先检查PC的防火墙。我遇到过好几次配置全对就是PC自带的防火墙拦了ICMP关了防火墙立马通。这种问题最气人但也最容易被忽略。