鲁达 前言：
•传统交换二层组网中，默认所有网络都处于同一个广播域，这带了诸多问题。VLAN（Virtual Local Area Network，虚拟局域网）技术的提出，满足了二层组网隔离广播域需求，使得属于不同VLAN的网络无法互访，但不同VLAN之间又存在着相互访问的需求。
•主要描述如何实现不同VLAN之间的相互通信。
VLAN间通信 (1)
•实际网络部署中一般会将不同IP地址段划分到不同的VLAN。
•同VLAN且同网段的PC之间可直接进行通信，无需借助三层转发设备，该通信方式被称为二层通信。
•VLAN之间需要通过三层通信实现互访，三层通信需借助三层设备。
VLAN间通信 (2)
•常见的三层设备：路由器、三层交换机、防火墙等。
•将二层交换机与路由器的三层接口互联，由三层设备进行路由转发来实现通信。
使用路由器物理接口
路由器三层接口作为网关，转发本网段前往其它网段的流量。
路由器三层接口无法处理携带VLAN Tag的数据帧，因此交换机上联路由器的接口需配置为Access。
路由器的一个物理接口作为一个VLAN的网关，因此存在一个VLAN就需要占用一个路由器物理接口。
路由器作为三层转发设备其接口数量较少，方案的可扩展性太差。
•在二层交换机上配置VLAN，每个VLAN单独使用一个交换机接口与路由器互联。 •路由器使用两个物理接口，分别作为VLAN 10及VLAN 20内PC的默认网关，使用路由器的物理接口实现VLAN之间的通信。物理连接图
使用路由器子接口
子接口（Sub-Interface）是基于路由器以太网接口所创建的逻辑接口，以物理接口ID+子接口ID进行标识，子接口同物理接口一样可进行三层转发。
子接口不同于物理接口，可以终结携带VLAN Tag的数据帧。
•R1使用一个物理接口（GE0/0/1）与交换机SW1对接，并基于该物理接口创建两个子接口：GE0/0及GE0/0，分别使用这两个子接口作为VLAN 10及VLAN 20的默认网关。 •由于三层子接口不支持VLAN报文，当它收到VLAN报文时，会将VLAN报文当成是非法报文而丢弃。因此，需要在子接口上将VLAN Tag剥掉，也就是需要VLAN终结（VLAN Termination）。 物理连接图
子接口处理流程
•交换机连接路由器的接口类型配置为Trunk，根据报文的VLAN Tag不同，路由器将收到的报文交由对应的子接口处理。
•子接口终结VLAN的实质包含两个方面： ▫对接口接收到报文，剥除VLAN标签后进行三层转发或其他处理。 ▫对接口发出的报文，又将相应的VLAN标签添加到报文中后再发送。子接口配置示例
•interface interface-type in number命令用来创建子接口。sub-interface number代表物理接口内的逻辑接口通道。一般情况下，为了方便记忆，子接口ID与所要终结的VLAN ID相同。 •dot1q termination vid命令用来配置子接口Dot1q终结的单层VLAN ID。缺省情况，子接口没有配置dot1q终结的单层VLAN ID。ARP broadcast enable命令用来使能终结子接口的ARP广播功能。缺省情况下，终结子接口没有使能ARP广播功能。终结子接口不能转发广播报文，在收到广播报文后它们直接把该报文丢弃。为了允许终结子接口能转发广播报文，可以通过在子接口上执行此命令。三层交换机和VLANIF接口
二层交换机（Layer 2 Switch）指的是只具备二层交换功能的交换机。
三层交换机（Layer 3 Switch）除了具备二层交换机的功能，还支持通过三层接口（如VLANIF接口）实现路由转发功能。
VLANIF接口是一种三层的逻辑接口，支持VLAN Tag的剥离和添加，因此可以通过VLANIF接口实现VLAN之间的通信。
VLANIF接口编号与所对应的VLAN ID相同，如VLAN 10对应VLANIF 10。
VLANIF配置示例
•配置需求:
两台PC分别属于VLAN 10、VLAN 20。通过三层交换机完成两台PC之间的相互通信。
基础配置：
[SW1]vlan batch 10 20 [SW1] interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1] interface GigabitEthernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20配置Vlanif：
[SW1]interface Vlanif 10 [SW1-Vlanif10]ip address 192.168.10.254 24 [SW1]interface Vlanif 20 [SW1-Vlanif20]ip address 192.168.20.254 24•interface vlanif vlan-id命令用来创建VLANIF接口并进入到VLANIF接口视图。vlan-id表示与VLANIF接口相关联的VLAN编号。VLANIF接口的IP地址作为主机的网关IP地址，和主机的IP地址必须位于同一网段。
VLANIF转发流程 (1)
假设PC、三层交换机上都已存在相应的ARP或MAC表项。
PC1与PC2之间通信过程如下：
PC1通过本地IP地址、本地掩码、对端IP地址进行计算，发现目的设备PC2与自身不在同一个网段，判断该通信为三层通信，将去往PC2的流量发给网关。PC1发送的数据帧：源MAC = MAC1，目的MAC = MAC2。
VLANIF转发流程 (2)
交换机收到PC1发送的去往PC2的报文，经解封装发现目的MAC为VLANIF10接口的MAC地址，所以将报文交给路由模块继续处理。
路由模块解析发现目的IP为192.168.20.2，非本地接口存在的IP地址，因此需要对该报文三层转发。查找路由表后，匹配中VLANIF20产生的直连路由。
VLANIF转发流程 (3)
因为匹配的为直连路由，说明已经到达最后一跳，所以交换机在ARP表中查找192.168.20.2，获取192.168.20.2的MAC地址，交由交换模块重新封装为数据帧。
交换模块查找MAC地址表以明确报文出接口、是否需要携带VLAN Tag。最终交换模块发送的数据帧：源MAC = MAC2，目的MAC = MAC3，VLAN Tag = None。
网络拓扑
连接逻辑图
•NAPT（Network Address Port Translation，网络地址端口转换）：将IP数据报文头中的IP地址、端口号转换为另一个IP地址、端口号的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能，NAPT支持多个内部地址映射到同一个公有地址上，可以实现使用一个公有地址支持内网多个内部地址同时访问外部网络。
通信过程 (1)
•假设所有设备上都已存在相应的ARP或MAC表项。
通信过程 (2)
通信过程 (3)
通信过程 (4)
通信过程 (5)
二层接口（Layer2 Interface） | 三层接口（Layer3 Interface） |
二层接口不能配置IP地址 | 三层接口可以配置IP地址 |
二层接口不具备MAC地址 | 三层接口具备MAC地址 |
当二层接口收到数据帧时，设备在其MAC地址表中查询该帧的目的MAC地址，找到匹配的MAC地址表项后按照该表项的指示转发帧；如果没有找到匹配的MAC地址表项，则将帧进行泛洪。 | 三层接口收到数据帧后，如果数据帧的目的MAC地址与设备的本地MAC地址相同，则将数据帧解除封装，然后在路由表中查询数据包的目的IP地址，找到匹配的路由表项后按照该表项的指示转发包；如果没有找到匹配的表项，则将包丢弃。 |
典型的二层接口如二层交换机（只具备二层交换能力的交换机）的物理接口；大部分三层交换机（同时具备二层及三层交换能力的交换机）的物理接口缺省为二层接口。 | 典型的三层接口如路由器的三层接口。 某些三层交换机的物理接口可以切换成三层模式。 此外除了物理三层接口，还存在逻辑三层接口，例如交换机的VLANIF，或者网络设备上的逻辑子接口，如GE0/0。 |
二层接口并不隔离广播域，当二层接口收到广播帧时，会将数据帧进行泛洪。 | 三层接口隔离广播域，当三层接口收到广播帧时，缺省不会进行泛洪，而是直接终结。 |