1. 项目背景与核心需求最近在帮一个朋友的公司做网络架构的调整他们新上了一批H3C S6850交换机用来替换老旧的接入层设备。S6850这个系列定位是数据中心或园区网的核心/汇聚层性能很强但朋友那边的需求其实挺典型的他们有几个不同的部门比如研发、行政、财务需要把各自的电脑划到不同的VLAN里保证广播域隔离和基础安全。但同时财务部偶尔需要从研发部的文件服务器上拉取报表行政的打印服务器也需要能被所有部门访问。这就引出了一个非常经典的需求如何在交换机上配置端口和VLAN实现不同VLAN之间的相互通信这个需求听起来简单但里面门道不少。很多刚接触网络配置的工程师知道怎么用port link-type access和port default vlan把端口划到VLAN里但一到需要互访时就卡壳了要么全不通要么安全策略没做好导致广播风暴。实际上在像H3C S6850这样的三层交换机上实现VLAN间通信核心在于理解两个层面二层端口的VLAN成员关系和三层VLAN接口VLAN-interface的IP路由功能。前者决定了数据帧在交换机内部怎么“贴标签”和“撕标签”后者决定了不同子网间的数据包如何被转发。简单来说我们的目标就是让连接在交换机不同Access端口属于不同VLAN的设备或者连接在Trunk端口上携带不同VLAN标签的设备能够通过交换机的三层路由功能进行互访。接下来我会结合S6850的具体配置把从规划到配置再到验证和排错的完整流程走一遍其中会穿插很多我实际踩过的坑和需要注意的细节。2. 网络拓扑规划与IP地址设计在动手敲命令之前合理的规划是成功的一半。盲目配置往往会导致后期排查困难甚至需要推倒重来。2.1 拓扑与VLAN规划假设我们有一个简单的场景一台H3C S6850交换机下联三台PC分别属于VLAN 10研发部、VLAN 20行政部、VLAN 30财务部。所有PC直接连接到交换机的千兆电口上。此外交换机还有一个上行端口连接至公司核心路由器或防火墙本例中我们先聚焦于交换机自身的VLAN间路由。VLAN ID规划VLAN 10研发部VLAN 20行政部VLAN 30财务部VLAN 99管理VLAN用于远程管理交换机如Telnet/SSH这是一个好习惯端口规划GigabitEthernet 1/0/1连接研发部PC模式为Access属于VLAN 10。GigabitEthernet 1/0/2连接行政部PC模式为Access属于VLAN 20。GigabitEthernet 1/0/3连接财务部PC模式为Access属于VLAN 30。GigabitEthernet 1/0/24上行端口连接核心设备。如果核心设备也需要与这些VLAN通信则该端口通常配置为Trunk允许相关VLAN通过。如果仅用作管理可配置为Access属于VLAN 99。本例中我们暂时不配置上行链路专注于交换机自身路由。2.2 IP地址与网关设计这是实现VLAN间通信的关键。每个VLAN对应一个独立的IP子网而交换机上为该VLAN创建的三层接口VLAN-interface的IP地址就充当了这个子网内所有设备的默认网关。VLAN 10子网192.168.10.0/24交换机VLAN接口IP网关192.168.10.1/24PC1 IP地址192.168.10.100/24 网关指向192.168.10.1VLAN 20子网192.168.20.0/24交换机VLAN接口IP网关192.168.20.1/24PC2 IP地址192.168.20.100/24 网关指向192.168.20.1VLAN 30子网192.168.30.0/24交换机VLAN接口IP网关192.168.30.1/24PC3 IP地址192.168.30.100/24 网关指向192.168.30.1VLAN 99管理子网192.168.99.0/24交换机VLAN接口IP192.168.99.1/24管理员PC IP地址192.168.99.100/24网关指向192.168.99.1注意很多初学者会忘记在终端设备PC上配置网关或者网关地址配错。请务必牢记VLAN间通信是三层路由行为PC必须知道将发送给其他网段的数据包交给谁即网关否则数据包只能在本地子网内广播无法到达其他VLAN。3. H3C S6850交换机基础配置与VLAN创建登录到H3C S6850交换机的命令行界面通过Console线或配置好的管理IP我们开始进行配置。建议先进入系统视图。H3C system-view [H3C] sysname S6850-Core // 给交换机起个名字方便管理 [S6850-Core]3.1 创建VLAN在H3C Comware系统S6850使用的操作系统中创建VLAN非常简单。可以直接批量创建。[S6850-Core] vlan 10 [S6850-Core-vlan10] description RD_Department // 添加描述是个好习惯 [S6850-Core-vlan10] quit [S6850-Core] vlan 20 [S6850-Core-vlan20] description Admin_Department [S6850-Core-vlan20] quit [S6850-Core] vlan 30 [S6850-Core-vlan30] description Finance_Department [S6850-Core-vlan30] quit [S6850-Core] vlan 99 [S6850-Core-vlan99] description Management_VLAN [S6850-Core-vlan99] quit也可以使用vlan batch命令一次性创建多个VLAN效率更高。[S6850-Core] vlan batch 10 20 30 99创建完成后可以使用display vlan brief命令来查看VLAN创建情况。3.2 配置Access端口并加入VLANAccess端口通常用于连接终端设备如PC、服务器、打印机等。它只属于一个VLAN接收到的数据帧不带Tag标签发送出去的数据帧也不带Tag从本VLAN出去时剥离标签。[S6850-Core] interface gigabitethernet 1/0/1 [S6850-Core-GigabitEthernet1/0/1] port link-type access // 设置端口链路类型为Access [S6850-Core-GigabitEthernet1/0/1] port default vlan 10 // 将端口划入VLAN 10 [S6850-Core-GigabitEthernet1/0/1] description To-PC1-RD // 配置端口描述 [S6850-Core-GigabitEthernet1/0/1] quit [S6850-Core] interface gigabitethernet 1/0/2 [S6850-Core-GigabitEthernet1/0/2] port link-type access [S6850-Core-GigabitEthernet1/0/2] port default vlan 20 [S6850-Core-GigabitEthernet1/0/2] description To-PC2-Admin [S6850-Core-GigabitEthernet1/0/2] quit [S6850-Core] interface gigabitethernet 1/0/3 [S6850-Core-GigabitEthernet1/0/3] port link-type access [S6850-Core-GigabitEthernet1/0/3] port default vlan 30 [S6850-Core-GigabitEthernet1/0/3] description To-PC3-Finance [S6850-Core-GigabitEthernet1/0/3] quit实操心得配置端口描述 (description) 是运维中的黄金法则。几个月后当你或同事需要排查故障时一眼就能从display interface description命令的输出中看出每个端口是干什么的能节省大量时间。3.3 可选配置Trunk端口如果端口需要承载多个VLAN的流量比如连接另一台交换机、无线控制器或路由器则需要配置为Trunk类型。这里我们假设G1/0/24连接上级核心路由器需要允许VLAN 10,20,30,99通过。[S6850-Core] interface gigabitethernet 1/0/24 [S6850-Core-GigabitEthernet1/0/24] port link-type trunk // 设置端口链路类型为Trunk [S6850-Core-GigabitEthernet1/0/24] port trunk permit vlan 10 20 30 99 // 允许指定的VLAN通过 [S6850-Core-GigabitEthernet1/0/24] description Uplink-to-Core-Router [S6850-Core-GigabitEthernet1/0/24] quit关于PVIDPort VLAN ID的深入理解在Trunk端口上PVID非常重要。它决定了当Trunk端口收到一个不带Tag的数据帧时交换机会给这个数据帧打上PVID所对应的VLAN标签。当交换机向Trunk端口发送属于PVID所对应VLAN的数据帧时会剥离Tag后再发送出去。 默认情况下端口的PVID是VLAN 1。在刚才的配置中我们没有修改它。但在复杂环境中你需要明确规划Trunk端口的PVID通常将其设置为一个不用于业务数据的、专用的Native VLAN本征VLAN比如VLAN 99管理VLAN。配置命令是port trunk pvid vlan 99。这样可以避免来自不支持VLAN的设备如一些老式网络设备或监控摄像头的未打标数据帧被错误地归类到VLAN 1造成安全或管理上的混乱。4. 配置三层VLAN接口与IP路由这是实现VLAN间通信的核心步骤。我们需要为每个需要互通的VLAN创建一个三层逻辑接口SVI - Switch Virtual Interface并为其配置IP地址。这个IP地址就是该VLAN内所有设备的网关。4.1 创建VLAN接口并配置IP地址[S6850-Core] interface vlan-interface 10 // 创建并进入VLAN 10的三层接口视图 [S6850-Core-Vlan-interface10] ip address 192.168.10.1 24 // 配置IP地址和掩码/24等同于255.255.255.0 [S6850-Core-Vlan-interface10] description Gateway_for_VLAN10_RD [S6850-Core-Vlan-interface10] quit [S6850-Core] interface vlan-interface 20 [S6850-Core-Vlan-interface20] ip address 192.168.20.1 24 [S6850-Core-Vlan-interface20] description Gateway_for_VLAN20_Admin [S6850-Core-Vlan-interface20] quit [S6850-Core] interface vlan-interface 30 [S6850-Core-Vlan-interface30] ip address 192.168.30.1 24 [S6850-Core-Vlan-interface30] description Gateway_for_VLAN30_Finance [S6850-Core-Vlan-interface30] quit [S6850-Core] interface vlan-interface 99 [S6850-Core-Vlan-interface99] ip address 192.168.99.1 24 [S6850-Core-Vlan-interface99] description Management_Interface [S6850-Core-Vlan-interface99] quit4.2 理解交换机的路由表当你在三层交换机上创建了VLAN接口并配置了IP地址后交换机会自动生成直连路由Direct Route。这些路由条目告诉交换机如何到达它直接相连的网络。使用display ip routing-table命令可以查看路由表。[S6850-Core] display ip routing-table Destinations : 11 Routes : 11 Destination/Mask Proto Pre Cost NextHop Interface 0.0.0.0/0 Static 60 0 192.168.1.1 Vlan-interface99 // 假设有一条默认路由 192.168.10.0/24 Direct 0 0 192.168.10.1 Vlan-interface10 192.168.10.1/32 Direct 0 0 127.0.0.1 InLoop0 192.168.20.0/24 Direct 0 0 192.168.20.1 Vlan-interface20 192.168.20.1/32 Direct 0 0 127.0.0.1 InLoop0 192.168.30.0/24 Direct 0 0 192.168.30.1 Vlan-interface30 192.168.30.1/32 Direct 0 0 127.0.0.1 InLoop0 192.168.99.0/24 Direct 0 0 192.168.99.1 Vlan-interface99 192.168.99.1/32 Direct 0 0 127.0.0.1 InLoop0 ... (其他路由)关键点在于那些Proto为Direct的路由。例如192.168.10.0/24这条直连路由其出接口是Vlan-interface10。这意味着当交换机需要转发一个目的IP在192.168.10.0/24网段的数据包时它会查找路由表匹配到这条直连路由。然后交换机会通过Vlan-interface10这个三层接口将数据包“扔出去”。接下来交换机需要解决“这个数据包具体从哪个物理端口发出去”的问题。这就要依靠MAC地址表二层转发了。交换机会查看数据包的目的IP地址如果它属于VLAN 10并且知道目的MAC地址对应的物理端口比如连接PC1的G1/0/1就会将数据帧从那个端口转发出去如果是Access端口则剥离VLAN标签后发出。VLAN间通信的数据流简析以PC1 ping PC2为例PC1 (192.168.10.100) 要ping PC2 (192.168.20.100)。PC1判断目标IP与自己不在同一网段于是将ICMP请求包发送给自己的网关192.168.10.1目的MAC地址为VLAN-interface 10的MAC地址。交换机从G1/0/1端口Access, VLAN 10收到这个不带Tag的数据帧。根据端口配置它知道这个帧属于VLAN 10。交换机的三层引擎检查数据包的目的IP是192.168.20.100查询路由表发现匹配到直连路由192.168.20.0/24出接口是Vlan-interface20。交换机执行“路由后重写”操作将数据包的源MAC地址改为Vlan-interface20的MAC地址目的MAC地址改为PC2的MAC地址如果ARP表里没有会先发ARP请求去获取。交换机将这个修改后的数据帧在VLAN 20的内部进行二层转发。查找MAC地址表找到PC2的MAC地址对应的端口是G1/0/2Access, VLAN 20。交换机从G1/0/2端口将数据帧发出由于是Access端口且属于VLAN 20发出时不带Tag。PC2收到该数据帧回复过程类似方向相反。至此VLAN间通信的三层路由通道就建立好了。只要终端设备的IP和网关配置正确理论上它们现在就可以互相ping通了。5. 关键功能验证与连通性测试配置完成后绝对不能假设一切正常。必须进行系统的验证和测试。5.1 交换机端配置验证验证VLAN和端口成员关系[S6850-Core] display vlan brief确认VLAN 10, 20, 30, 99都已创建并且对应的端口G1/0/1, G1/0/2, G1/0/3已正确加入。验证VLAN接口状态与IP地址[S6850-Core] display ip interface brief或针对特定VLAN接口[S6850-Core] display interface vlan-interface 10确认Vlan-interface10/20/30/99的物理状态Physical和协议状态Protocol都是UP并且IP地址配置正确。验证MAC地址表与ARP表[S6850-Core] display mac-address vlan 10 // 查看VLAN 10学习到的MAC地址 [S6850-Core] display arp vlan 10 // 查看VLAN 10的ARP表项当PC开机并连接到网络后交换机应该能学习到PC的MAC地址并且PC会主动向网关发起ARP请求从而在交换机的ARP表中生成对应条目。如果看不到PC的ARP条目说明PC到交换机的二层链路可能有问题或者PC的IP配置错误。5.2 终端设备连通性测试在PC1 (192.168.10.100) 上执行以下测试测试网关连通性最基础的一步ping 192.168.10.1必须通。如果不通检查PC的IP/掩码/网关配置、网线、交换机端口状态display interface gigabitethernet 1/0/1和VLAN配置。测试跨VLAN通信ping 192.168.20.100 ping 192.168.30.100如果网关能通但跨VLAN不通问题很可能出在交换机的三层路由功能上。检查display ip routing-table确认有192.168.20.0/24和192.168.30.0/24的直连路由。display arp all确认交换机有PC2和PC3的ARP条目。如果没有可能是PC2/PC3的防火墙阻止了ICMP或ARP报文或者它们的网关配置错误没有指向交换机的VLAN接口IP。使用tracertWindows或tracerouteLinux追踪路径tracert 192.168.20.100正常情况下第一跳应该是192.168.10.1本VLAN网关第二跳就应该到达192.168.20.100。如果显示在网关处超时则问题集中在交换机路由或目标主机。6. 高级配置与安全加固基础通信实现后从运维和安全角度还需要考虑一些进阶配置。6.1 启用路由功能默认已开启绝大多数H3C三层交换机默认IP路由功能是开启的。但为了绝对确认可以检查一下[S6850-Core] display ip routing-table protocol direct如果能显示直连路由说明路由功能正常。如果异常可以使用ip routing命令在系统视图下全局启用通常不需要。6.2 配置DHCP服务可选但推荐手动为每台PC配置静态IP容易出错尤其在大规模网络中。可以在交换机上为每个VLAN配置DHCP地址池实现自动分配IP、网关、DNS等信息。[S6850-Core] dhcp enable // 全局启用DHCP服务 [S6850-Core] dhcp server ip-pool vlan10 // 创建名为vlan10的地址池 [S6850-Core-dhcp-pool-vlan10] network 192.168.10.0 mask 255.255.255.0 // 地址范围 [S6850-Core-dhcp-pool-vlan10] gateway-list 192.168.10.1 // 指定网关 [S6850-Core-dhcp-pool-vlan10] dns-list 8.8.8.8 114.114.114.114 // 指定DNS服务器 [S6850-Core-dhcp-pool-vlan10] quit [S6850-Core] interface vlan-interface 10 [S6850-Core-Vlan-interface10] dhcp select server // 在该VLAN接口上启用DHCP服务器功能 [S6850-Core-Vlan-interface10] quit为VLAN 20和30重复类似配置。配置完成后将PC设置为自动获取IP重启网卡即可获得正确配置。6.3 配置访问控制列表ACL进行安全隔离VLAN间能通信了但并不意味着所有流量都应该被允许。例如我们可能希望财务部VLAN 30可以访问研发部的文件服务器假设在VLAN 10IP为192.168.10.200但研发部不能主动访问财务部的任何设备。这时就需要使用ACL。创建高级ACL基于IP[S6850-Core] acl advanced 3000 name Deny_RD_to_Finance // 创建编号3000的ACL [S6850-Core-acl-ipv4-adv-3000] rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 // 拒绝研发网段到财务网段的所有IP流量 [S6850-Core-acl-ipv4-adv-3000] rule permit ip // 允许其他所有IP流量ACL默认隐含拒绝所有 [S6850-Core-acl-ipv4-adv-3000] quit在VLAN接口的入方向应用ACL我们希望控制从研发部VLAN 10发出的流量所以将ACL应用在VLAN 10接口的入方向。[S6850-Core] interface vlan-interface 10 [S6850-Core-Vlan-interface10] packet-filter 3000 inbound // 在入方向应用ACL 3000 [S6850-Core-Vlan-interface10] quit这样配置后从VLAN 10内任何设备发往VLAN 30的流量都会被交换机丢弃。而财务部访问研发部以及研发部访问其他网段如行政部VLAN 20的流量不受影响。重要提示ACL的规则顺序至关重要。数据包会从ACL的第一条规则开始匹配一旦匹配就执行动作允许或拒绝不再继续匹配后续规则。因此通常把最精确、需要拒绝的规则放在前面把宽泛的允许规则放在最后。另外ACL应用的方向inbound入方向 /outbound出方向需要根据控制需求仔细选择理解起来有点绕多画一下数据流图会很有帮助。7. 常见故障排查思路与命令汇总即使按照步骤配置在实际环境中也可能遇到问题。下面是一个系统性的排查思路。7.1 排查流程图与核心命令当出现VLAN间不通的问题时可以按照以下层次进行排查物理层与端口状态现象PC完全无法ping通自己的网关。检查display interface gigabitethernet 1/0/1 brief // 查看端口简要状态确认“Status”为UP“Protocol”为UP display transceiver interface gigabitethernet 1/0/1 // 检查光模块/电口信息如有可能原因网线故障、端口被shutdown、速率/双工不匹配、光模块故障。二层VLAN与端口配置现象PC能ping通同VLAN其他主机但ping不通网关或其他VLAN主机。检查display vlan brief // 确认VLAN存在且端口已加入 display interface gigabitethernet 1/0/1 // 查看端口详细配置确认“PVID”和“Link Type”正确 display mac-address interface gigabitethernet 1/0/1 // 查看该端口是否学习到PC的MAC地址可能原因端口VLAN配置错误如Access端口划错了VLAN、Trunk端口未允许目标VLAN通过、PVID设置冲突导致VLAN hopping一种安全攻击但配置错误也可能导致。三层路由与接口状态现象PC能ping通自己的网关但ping不通其他VLAN的网关或其他VLAN的主机。检查display ip interface brief // 确认所有VLAN接口状态为UP display ip routing-table // 确认存在目标网段的直连路由或动态路由 display arp | include 192.168.20.100 // 查看是否有目标主机的ARP条目可能原因VLAN接口未创建或IP地址配置错误、VLAN接口被shutdown、路由功能未启用、目标主机防火墙拦截、目标主机网关配置错误。安全策略干扰现象以上检查都正常但特定流量不通。检查display acl all // 查看所有ACL配置 display packet-filter statistics interface Vlan-interface 10 inbound // 查看ACL在接口上的匹配统计看是否有大量“Denied”包 display firewall session table // 如果启用了状态防火墙查看会话表可能原因ACL规则配置错误误拦截了合法流量防火墙策略过于严格。7.2 一个典型的排错案例Trunk端口PVID配置不当场景交换机A的G1/0/24Trunk连接交换机B的G1/0/1Trunk。交换机A上VLAN 10的PC无法与交换机B上VLAN 10的PC通信但与其他VLAN通信正常。排查在交换机A上display interface gigabitethernet 1/0/24发现PVID: 20。在交换机B上display interface gigabitethernet 1/0/1发现PVID: 1。问题分析当交换机A发送VLAN 10的带Tag数据帧到交换机B时通信正常。但当交换机A发送VLAN 20其PVID的数据帧时会剥离Tag发出。交换机B收到这个无Tag帧根据其端口的PVID1打上VLAN 1的标签导致VLAN 20的数据在B上被错误地归类到VLAN 1造成混乱。虽然本例中不是VLAN 10但原理相同如果两端PVID不一致且涉及Native VLAN流量就会出问题。解决方案确保互联的Trunk端口使用相同的、且不用于业务数据的PVIDNative VLAN例如都设置为VLAN 99。[SwitchA] interface gigabitethernet 1/0/24 [SwitchA-GigabitEthernet1/0/24] port trunk pvid vlan 99 [SwitchB] interface gigabitethernet 1/0/1 [SwitchB-GigabitEthernet1/0/1] port trunk pvid vlan 99配置H3C S6850这类三层交换机的VLAN和路由是一个从二层到三层的系统性工程。核心在于清晰地理解每个配置步骤背后的网络原理端口类型决定了数据帧的标签处理方式VLAN划分了广播域而三层接口和路由表则提供了跨广播域的路径。从规划、配置、验证到排错每一步都需要细致。尤其是在生产环境中变更前做好备份变更后进行全面测试并养成添加描述信息的好习惯这些都能极大提升网络运维的效率和稳定性。