2.5 华为实现VLAN间通信

方案一：多端口路由实现

在网络中，不同VLAN之间默认是无法直接通信的，这是VLAN技术的安全特性之一。要实现不同VLAN之间的通信，我们需要借助路由器。多端口路由是最直观的一种实现方式，即路由器使用多个物理接口分别连接到不同的VLAN。

1、建立拓扑图

按照下图建立网络拓扑结构：

2、配置PC的IP地址

为各个PC配置IP地址、子网掩码和默认网关：

3、建立VLAN

首先打开交换机，关闭信息中心后创建3个VLAN：

vlan batch 2 3 4

4、划分端口

按照拓扑图给端口划分VLAN（所有端口都配置为Access模式），另外将与路由器相连的三个端口，分别划分给VLAN 2、3、4。

以VLAN 2的端口划分为例：

# 连接PC1和PC2的端口
interface ethernet 0/0/1
port link-type access
port default vlan 2
quit

interface ethernet 0/0/2
port link-type access
port default vlan 2
quit

# 连接路由器的端口
interface gigabitethernet 0/0/1
port link-type access
port default vlan 2
quit

验证VLAN配置结果：

5、验证VLAN内连通性

配置完成后，我们需要验证同一VLAN内的设备可以通信，而不同VLAN之间的设备无法通信：

• PC1与PC2（同属VLAN 2）：✅ 可以通信
• PC1与PC3（分属VLAN 2和VLAN 3）：❌ 无法通信
• PC1与PC4（分属VLAN 2和VLAN 4）：❌ 无法通信
• PC3与PC4（分属VLAN 3和VLAN 4）：❌ 无法通信

ping 192.1.2.2  # 从PC1 ping PC2
ping 192.1.3.1  # 从PC1 ping PC3

6、配置路由器IP

为路由器的各个接口配置IP地址，使其成为各个VLAN的网关：

路由器配置示例：

7、验证VLAN间连通性

首先查看路由器的路由表，确认路由器已经学习到了所有直连网段：

然后检查不同VLAN之间PC的通信情况：

• PC1与PC3（分属VLAN 2和VLAN 3）：✅ 可以通信
• PC1与PC4（分属VLAN 2和VLAN 4）：✅ 可以通信
• PC3与PC4（分属VLAN 3和VLAN 4）：✅ 可以通信

总结

方案二：单臂路由实现

单臂路由（Router-on-a-Stick）是一种只使用路由器的一个物理接口就能实现多个VLAN间通信的技术。它通过在路由器的物理接口上配置多个子接口，每个子接口对应一个VLAN，从而实现VLAN间的路由功能。

1、修改拓扑图

1.1 简化网络连接

在多端口路由实验的基础上，我们需要删除多余的连接线，只保留一条路由器到交换机的连接：

1.2 清除路由器接口配置

进入路由器，删除所有接口的IP配置。以删除G0/0/0接口的IP配置为例：

system-view
interface g0/0/0
undo ip address
quit

验证接口配置已被清除：

display ip interface brief
# 可缩写为 dis ip int br

display ip interface brief # 查看接口信息

1.3 清除交换机多余配置

由于物理连接发生了变化，我们需要删除交换机上不再使用的接口配置。以 Eth0/0/5 为例：

system-view
interface eth0/0/5
undo port default vlan
undo port link-type
quit

清除配置后的结果：

2、路由器划分逻辑接口

单臂路由的核心是在路由器的一个物理接口上配置多个子接口，每个子接口对应一个VLAN。在系统视图下执行以下命令：

# 配置子接口 g0/0/0.1 对应VLAN 2
interface g0/0/0.1
vlan-type dot1q 2
ip address 192.1.1.254 255.255.255.0
quit

# 配置子接口 g0/0/0.2 对应VLAN 3
interface g0/0/0.2 
vlan-type dot1q 3  
ip address 192.1.2.254 255.255.255.0  
quit

# 配置子接口 g0/0/0.3 对应VLAN 4
interface g0/0/0.3 
vlan-type dot1q 4 
ip address 192.1.3.254 255.255.255.0 
quit

验证配置是否正确：

display ip interface brief
# 可缩写为：
dis ip int br

3、配置交换机Trunk端口

为了让交换机能够将带有不同VLAN标签的数据包传输到路由器，我们需要将连接路由器的交换机端口配置为Trunk模式（共享端口）：

system-view
interface g0/0/1
port link-type trunk
port trunk allow-pass vlan 2 3 4
quit

验证Trunk端口配置：

4、最终验证

查看路由表

通过查看路由表，确认路由器已经学习到了所有直连网段：

display ip routing-table 

检查PC间的通信

验证不同VLAN之间的PC是否可以相互通信：

• PC0与PC1（可能属于同一VLAN）：✅ 可以通信
• PC0与PC2（属于不同VLAN）：✅ 可以通信
• PC0与PC3（属于不同VLAN）：✅ 可以通信

总结

方案三：三层交换机实现VLAN间路由

1、建立拓扑图

在本实验中，我们将使用两种型号的交换机：接入层使用S3700交换机，核心层使用S5700三层交换机。

2、划分VLAN

在开始配置前，我们需要在各个交换机上创建VLAN并将端口分配到相应的VLAN中。

LSW1

# 创建VLAN 2和VLAN 3
vlan batch 2 3

#
interface  eth0/0/1
port link-type access
port default vlan 2

# 配置上行链路为trunk模式，允许VLAN 2和3通过
interface g0/0/1
port link-type trunk
port trunk allow-pass vlan 2 3

LSW2

# 创建VLAN 2和VLAN 3
vlan batch 2 3

# 配置第一个接入端口，使用VLAN 2
interface eth0/0/1
port link-type access
port default vlan 2

# 配置第二个接入端口，使用VLAN 3
interface eth0/0/2
port link-type access
port default vlan 3

# 配置上行链路为trunk模式，允许VLAN 2和3通过
interface g0/0/1
port link-type trunk
port trunk allow-pass vlan 2 3

LSW3

# 创建VLAN 2和VLAN 3
vlan batch 2 3

# 配置两个下行链路为trunk模式，允许VLAN 2和3通过
interface g0/0/1
port link-type trunk
port trunk allow-pass vlan 2 3

interface g0/0/2
port link-type trunk
port trunk allow-pass vlan 2 3

3、配置PC的网络

4、初步验证连通性

在配置VLAN后，但在配置三层交换机路由功能前，先验证VLAN内部的连通性：

PC1 与 PC2 ✅（同属VLAN 2）
PC1 与 PC3 ❌（分属VLAN 2和VLAN 3）
PC2 与 PC3 ❌（分属VLAN 2和VLAN 3）

5、配置VLANIF接口（关键）

接下来在三层交换机（LSW3）上配置虚拟接口（VLANIF），为每个VLAN分配网关IP地址：

# 创建VLAN 2的虚拟接口并分配IP地址
interface vlanif 2
ip address 192.1.2.254 24
quit

# 创建VLAN 3的虚拟接口并分配IP地址
interface vlanif 3
ip address 192.1.3.254 24
quit

# 注意：华为三层交换机默认已启用IP路由功能，无需额外配置

6、验证配置结果

验证接口IP配置情况：

display ip interface brief

验证路由表：

display ip routing-table

7、最终验证连通性

完成所有配置后，再次测试各PC之间的连通性：

PC1 与 PC2 ✅（同属VLAN 2）
PC1 与 PC3 ✅（分属VLAN 2和VLAN 3，通过三层交换机路由）
PC2 与 PC3 ✅（分属VLAN 2和VLAN 3，通过三层交换机路由）