问

傻瓜交换机接三层vlan问题

VLAN

9小时前提问

0关注
0收藏，81浏览

小松鼠的拐棍

小松鼠的拐棍一段

粉丝：0人关注：0人

问题描述：

如图：傻瓜1上面，有两个网段的设备，统一接在楼这台傻瓜上面，无法划分端口vlan，然后在三层上面划分的vlan，两条线接入傻瓜交换机上面，这样可以不？我想让三个网段可以互访。求教！！！！！

组网及组网描述：

5 个回答

按时间按赞数

叫我靓仔

叫我靓仔九段

粉丝：128人关注：1人

傻瓜交换机不要和上联交换机接2根线，容易环路和单通

你如果非要这样做，左边使用vlanif下面的sub地址实现

有飞不起的鸟

有飞不起的鸟七段

粉丝：10人关注：0人

直接回答：您目前的接法（两条线）从技术上讲，可以实现您“三个网段互访”的最终目的，因为数据包最终都到了三层交换机进行路由。但是，这是一种非常不推荐、且存在严重风险的连接方式！

为什么您当前的“两条线”接法不推荐？

您的接法相当于把两台傻瓜交换机的两个端口，直接桥接在了一起。

广播风暴风险：傻瓜交换机无法识别VLAN标签。PC1（VLAN11）发出的广播帧（如ARP请求）会从“傻瓜1”的GE_0/9端口发送到三层交换机的VLAN12端口。三层交换机会将这个广播帧在VLAN12内广播，这个广播帧又会从VLAN12的端口发回给“傻瓜1”的GE_0/9口，“傻瓜1”又会将其广播到所有端口，包括GE_0/8口... 这就形成了一个环路，极易引发广播风暴，导致整个网络瘫痪。
MAC地址表震荡：由于同一个MAC地址可以从两个端口（GE_0/8和GE_0/9）学习到，会让傻瓜交换机的MAC地址表不断刷新，影响转发效率。
浪费端口：浪费了三层交换机和傻瓜交换机上的宝贵端口。
安全隐患：VLAN11和VLAN12的流量在“傻瓜1”内部是直接互通的，失去了VLAN本身隔离广播域的意义，只是在三层上做了路由而已。

最优解决方案：单线连接 + 单臂路由

您只需要一根网线连接“傻瓜1”和三层交换机，并通过三层交换机的配置来解决所有问题。这是最标准、最稳定、最专业的做法。

物理连接调整：

将“傻瓜1”的任意一个空余端口（例如您图中标出的 GE_0/11）用一根网线连接到三层交换机的任意一个空余端口（例如 GE_0/20）。
拔掉原来那两条分别连接 GE_0/8和 GE_0/9的网线。

三层交换机配置：

核心思想是让连接“傻瓜1”的那个物理端口同时承载多个VLAN的流量，这种端口称为中继端口（Trunk Port）。

假设您用三层交换机的 GigabitEthernet 0/20口连接“傻瓜1”的 GE_0/11口，请在三层交换机上进行如下配置：

# 进入系统视图
<H3C> system-view

# 进入连接傻瓜交换机的接口
[H3C] interface GigabitEthernet 0/20

# 将该端口类型设置为Trunk
[H3C-GigabitEthernet0/20] port link-type trunk

# 允许VLAN11, VLAN12, VLAN15的流量通过这个Trunk端口（可以根据需要添加其他VLAN）
[H3C-GigabitEthernet0/20] port trunk permit vlan 11 12 15

# 退出保存
[H3C-GigabitEthernet0/20] quit
[H3C] save force

傻瓜交换机：

无需任何配置，保持默认状态即可。傻瓜交换机会把收到的所有数据包都打上默认的VLAN 1的标签（或不打标签），然后转发出去。
当三层交换机的Trunk端口收到这些不带标签的帧时，会根据其PVID（默认VLAN ID） 来识别。为了保证安全，我们最好也设置一下PVID。

(可选但推荐) 进一步配置PVID以提高安全性：

为了防止未知流量，可以指定三层交换机Trunk端口的PVID为一个不使用的VLAN。

[H3C] interface GigabitEthernet 0/20
# 设置端口的默认PVID为一个不用的VLAN，比如4094（或999）
[H3C-GigabitEthernet0/20] port trunk pvid vlan 4094
# 同时，确保不允许这个默认VLAN4094通过，只允许业务VLAN通过
[H3C-GigabitEthernet0/20] port trunk permit vlan 11 12 15
[H3C-GigabitEthernet0/20] quit
[H3C] save force

最终网络流量走向：

PC1（VLAN11）发送数据包给PC2（VLAN12）。
数据包到达“傻瓜1”，“傻瓜1”原样转发给三层交换机的 GE0/20(Trunk) 端口。
三层交换机收到这个不带标签的帧，根据 PVID设置，先将其视为VLAN4094的帧。但因为该Trunk端口不允许VLAN4094通过，这个帧会被丢弃，从而保证了安全性。
PC1发送数据包给Server（VLAN15）。
数据包到达“傻瓜1”，再到达三层交换机的 GE0/20端口。
三层交换机根据目的IP地址，需要将数据包路由到VLAN15。它会将数据包转发给 Vlan-interface15（网关10.10.15.254），然后从 GE0/7口发送给“傻瓜2”，最终到达Server。

实现互访的关键：

只要您在三层交换机上已经正确配置了：

Vlan-interface11： IP地址 10.10.11.254
Vlan-interface12： IP地址 10.10.12.254
Vlan-interface15： IP地址 10.10.15.254

并且全局启用了IP路由功能（默认是开启的），那么这三个网段之间就已经可以正常互访了。您不需要做额外的路由配置。

总结

方案	优点	缺点	推荐度
您现在的双线方案	暂无	有广播风暴风险、浪费端口、失去VLAN隔离意义	绝不推荐
单线Trunk方案	安全、稳定、标准、节省端口	需要在三层交换机上做简单配置	强烈推荐