网络改造实战：VLAN间互通、静态路由与NAT配置避坑指南

前一阵帮朋友处理一个网络改造项目拓扑并不复杂一台核心交换机一台汇聚交换机下面接了几台接入交换机。业务方提出三个需求划 VLAN实现 VLAN 间互通通过核心交换机做 NAT 地址转换让内网访问外网。听起来非常常规。但真正配置那天问题一个接一个。先是 PC 能 ping 通自己的网关却访问不了另一个 VLAN 的服务器再是内网访问外网时通时不通最后排查外网访问内网服务器时发现 NAT 端口映射似乎没生效。后来把问题一个个拆开才发现真正的瓶颈不是命令敲错了而是从一开始就有一件事没想清楚网关放在哪一层路由应该往哪指NAT 的边界又在哪里。这篇文章想围绕“汇聚交换机 核心交换机 VLAN 间互通 静态路由 NAT 地址转换”这个典型项目把我踩过的坑、常用的配置思路和一套可复用的排查流程完整写出来。如果你正要处理类似网络改造希望这篇能帮你少走弯路。1. 先别急着敲命令把三层网关和 NAT 边界画清楚很多人拿到这种项目会直接进系统开始创建 VLAN、配接口、写路由。但我的建议是先打开画图工具哪怕只是用纸笔把这个网络的二三层分界、网关位置、NAT 位置画清楚。这一步看起来浪费时间实际上会决定后续所有配置是否成立。1.1 VLAN 间互通不是“划完 VLAN 就自动通”VLAN 的作用是在二层隔离广播域。同一个 VLAN 内的设备通过交换机转发就能通信不同 VLAN 之间的设备二层默认是隔离的必须经过三层设备来做路由转发。这个三层设备可以是核心交换机、汇聚交换机也可以是路由器或防火墙。最常见的方式就是在交换机上创建 VLANIF 接口也就是业界常说的 SVISwitch Virtual Interface然后给 VLANIF 配上 IP 地址作为这个 VLAN 内设备的网关。所以“VLAN 间互通”的本质不是把 VLAN 划好而是要回答一个问题每一个 VLAN 的网关 IP 放在哪台设备上如果网关放在核心交换机那么汇聚交换机基本只做二层透传如果网关放在汇聚交换机那汇聚交换机就要承担三层路由核心交换机的压力会小一些。两种做法都能实现互通但后续的路由配置方向会完全不一样。1.2 网关放在汇聚还是核心是一个分叉点以我接触过的小型园区网络为例常见的组网方式有两种第一种接入交换机连接汇聚交换机汇聚交换机创建 VLANIF 作为各 VLAN 的网关汇聚交换机上联核心交换机。核心交换机主要跑出口路由汇聚交换机负责访问控制、VLAN 路由和一定程度的策略控制。第二种接入交换机和汇聚交换机都只做二层透传所有 VLANIF 都建在核心交换机上。这样配置最集中后期维护简单但核心交换机的负担会比较重如果 VLAN 数量很多还要考虑设备的三层转发能力。两种方式没有绝对的对错关键是要统一。最怕的是一半网关在汇聚上一半网关在核心上然后静态路由没有写全结果访问一通一不通。从工程经验看中小规模的网络我偏向于把网关放在靠近终端的位置也就是汇聚交换机如果是单体小网络只有一台核心加几台接入那直接在核心上建 VLANIF 更省事。归根到底你要先定下来再画 IP 规划表。1.3 一个典型拓扑和 IP 规划为了方便后文讲解这里假设一个非常典型的场景出口路由器或者防火墙接运营商线路接在核心交换机上。核心交换机连接汇聚交换机。汇聚交换机连接多台接入交换机。内网规划三个业务 VLANVLAN 10 办公网、VLAN 20 服务器区、VLAN 30 安防设备。网关统一放在汇聚交换机上核心交换机只负责出口路由和 NAT。那么 IP 规划可以是这样设备/接口地址说明VLAN 10 网关192.168.10.254/24汇聚交换机 Vlanif10VLAN 20 网关192.168.20.254/24汇聚交换机 Vlanif20VLAN 30 网关192.168.30.254/24汇聚交换机 Vlanif30汇聚与核心互联网段10.0.0.0/30汇聚的接口 P1核心的接口 P2核心与出口互联网段100.64.0.0/30 或其它私网段核心出口接口、防火墙内网接口运营商公网地址例如 200.1.1.2/30NAT 转换后的出口地址先把这张表写出来后面所有配置都是往里填值。如果没有这张表直接写interface Vlanif10和ip address非常容易把网关、网段和路由下一跳搞混。2. 汇聚交换机和核心交换机之间的 VLAN 互通配置画完拓扑和 IP 表之后再开始配交换机。这里的第一件事不是创建 VLAN而是先保证物理链路是通的并且链路放行了正确的 VLAN。2.1 先配物理链路和 TrunkPVID 是一个常见误区接入交换机到汇聚交换机、汇聚交换机到核心交换机之间通常用 Trunk 链路承载多个 VLAN。配置时两端链路的接口类型、放行 VLAN 列表必须一致。以华为 VRP 风格的命令为例假设汇聚交换机上和核心交换机互联的接口是 GigabitEthernet0/0/24你要这样配置system-view interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 quit而核心交换机对应的互联接口也要放行同样的 VLANsystem-view interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 quit思科 IOS 的语法略有不同一般是interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20,30 end这里最容易出问题的地方有两个。第一Trunk 的“本征 VLAN”Native VLAN / PVID概念。华为交换机上接口默认 PVID 是 VLAN 1思科交换机上默认也是 VLAN 1。PVID 会影响收到不带 VLAN Tag 的帧时这个帧被划入哪个 VLAN。如果 PVID 不一致比如对端发的 Untagged 帧被本端当成 VLAN 1但本端 Trunk 又没有放行 VLAN 1就会出现部分流量通、部分流量不通的现象。第二华为交换机的 Trunk 接口默认只放行 VLAN 1。如果你不显式执行port trunk allow-pass vlan 10 20 30即使 VLAN 已经建好Trunk 上也不会透传这些 VLAN 的流量。很多“跨交换机 VLAN 不通”的问题就出在这里。可以在配置后执行display port vlan display interface GigabitEthernet0/0/24查看接口的链路类型、PVID、放行 VLAN 列表确认两端信息一致。2.2 创建 VLANIF 三层接口网关从这里起来假设网关统一放在汇聚交换机上那么汇聚交换机需要创建四个三层接口三个业务网关 VLANIF一个用于和核心交换机互联的 VLANIF 或三层路由口。先在系统视图下批量创建 VLANvlan batch 10 20 30然后逐个配置网关地址interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit interface Vlanif30 ip address 192.168.30.254 255.255.255.0 quitVLANIF 接口要想运行有一个前提条件对应的 VLAN 内至少有一个二层物理接口是 Up 状态。如果接入交换机没有把终端接口划进 VLAN 10或者上行 Trunk 没有放行 VLAN 10那么汇聚交换机上即使配置了 Vlanif10这个三层接口也可能处于 Down 状态。查看方式display ip interface brief如果 Vlanif10 显示 Down不要急着调路由先回二层找问题物理接口是不是没插线VLAN 是不是没建接口有没有port link-type access并绑定了 VLANTrunk 有没有放行。2.3 先验证同一个 VLAN 内的二层转发再验证三层互通一个很实用的习惯不要等核心交换机和 NAT 全部配置完再一起测试。你应该在每一步都做小范围验证。在汇聚交换机上完成 VLANIF 配置后先找一台 VLAN 10 的 PC配置好 IP 和网关测试PC ping 自己的网关 192.168.10.254通不通。PC ping 同一台汇聚交换机下、同一 VLAN 的另一台终端通不通。如果终端不在汇聚交换机直连端口下而是在一台接入交换机下面还要确认接入交换机到汇聚交换机的 Trunk 是否放行了对应 VLAN。这一步的意义是把“二层链路问题”和“三层路由问题”切开。如果同一个 VLAN 内都 ping 不通说明问题出在接入侧或 Trunk 链路如果同一个 VLAN 内能通跨 VLAN 不通才说明问题出在三层网关或路由上。很多人一上来就配静态路由结果发现 VLAN 间还是不通最后回头查才发现是 Trunk 没放行白折腾半天。3. 静态路由不要只写一条缺省路由就完事VLAN 间互通如果只是同一台汇聚交换机上不同 VLAN 的互相访问其实只要网关建好三层转发本身就能完成不需要额外写静态路由。真正需要静态路由的地方是当流量要经过核心交换机或者要到达非本机直连网段的时候。3.1 先列出哪些设备需要哪些路由静态路由不是你凭空写的而是根据流量路径反推出来的。拿前面的规划来说需要写路由的设备至少有三层汇聚交换机需要默认路由去访问外网。因为 PC 的网关在汇聚上当 PC 要访问互联网时汇聚交换机在自己的路由表里找不到公网网段就会匹配默认路由把流量甩给核心交换机。核心交换机需要业务网段的明细路由或者汇总路由。因为核心交换机上没有 192.168.10.0/24、192.168.20.0/24 这些 VLAN 的直连接口它必须知道这些网段要通过哪个地址访问过去。出口防火墙或路由器需要回程路由。如果 NAT 在核心交换机上做出口设备通常只需要一条指向核心交换机内网接口的默认路由或明细路由否则公网返回的流量不知道该往哪里送。在汇聚交换机上默认路由可以这样写ip route-static 0.0.0.0 0.0.0.0 10.0.0.1这里10.0.0.1是核心交换机上和汇聚互联的接口地址。注意下一跳地址必须是本设备直连网段内的地址也就是核心交换机互联接口的 IP不能随便填一个远端网段地址。在核心交换机上要写去往各业务网段的静态路由ip route-static 192.168.10.0 255.255.255.0 10.0.0.2 ip route-static 192.168.20.0 255.255.255.0 10.0.0.2 ip route-static 192.168.30.0 255.255.255.0 10.0.0.2这里10.0.0.2是汇聚交换机上互联接口的地址。如果这几个业务网段是连续的可以把路由汇总例如ip route-static 192.168.0.0 255.255.248.0 10.0.0.2但要先确认这个汇总网段内没有包含你不想路由的地址。在出口防火墙或者路由器上需要存在回到核心交换机内网网段的路由。比如ip route-static 192.168.0.0 255.255.0.0 100.64.0.1这里的100.64.0.1是核心交换机连接出口设备的接口地址。3.2 回程路由是最容易被忽略的盲区很多“VLAN 间不通”或“上不了网”的问题不是去程路由缺失而是回程路由没有写。举个例子VLAN 10 的 PC 访问 VLAN 20 的服务器。PC 先把流量发给网关 192.168.10.254汇聚交换机看到目标是 192.168.20.0/24因为这是它自己的直连网段所以直接二层转发到服务器。这个流程看似不需要经过核心交换机。但如果网关不在汇聚上而在核心交换机上汇聚交换机只有一个二层透传作用那流量从 PC 到核心再由核心返回到汇聚整个过程中如果任何一台交换机缺少回程路由就会丢包。再举个例子VLAN 10 的 PC 访问互联网。流量路径是 PC - 汇聚交换机 - 核心交换机 - 出口防火墙 - 运营商。运营商服务器返回流量时肯定是从出口防火墙回到核心交换机如果核心交换机上没有去 192.168.10.0/24 的路由那返程包就会被核心交换机丢弃。这就是典型的有去无回。所以在配置完静态路由之后一定要在每台三层设备上执行display ip routing-table确认所有相关网段都出现在路由表里并且下一跳是你期望的那个地址。不要只看自己刚写的配置里有没有要检查最终生效的路由表。3.3 路由环路、路由优先级和黑洞路由静态路由数量少但也会出环路。最常见的是两台设备之间互相指默认路由形成一个环路。比如核心交换机上写了一条默认路由到汇聚交换机汇聚交换机上又写了一条默认路由到核心交换机。当网络中有一个不存在的目标网段时流量就会在这两台设备之间来回转发直到 TTL 耗尽。避免环路的方法是保持每台设备的默认路由方向一致。通常默认路由只出现在“离出口更近”的汇聚或核心设备上下游设备只写明细路由或汇总路由不要所有设备都指默认路由。如果存在多条静态路由需要选路可以通过优先级控制。华为交换机上静态路由默认优先级是 60可以给备份路由配置更大的优先级数值数值越大优先级越低ip route-static 0.0.0.0 0.0.0.0 10.0.0.1 preference 60 ip route-static 0.0.0.0 0.0.0.0 10.0.0.5 preference 80这样主链路断了之后备份路由才会进入路由表。不过这也意味着你需要搭配链路检测手段否则光靠静态路由本身是感知不到对端设备故障的。4. NAT 地址转换先搞清楚谁转换谁再到哪个接口转换NAT 是整个项目里最容易产生歧义的部分。很多人以为配置 NAT 就是敲一条命令但真实场景里先要想清楚是“内网访问外网”还是“外网访问内网”两者使用的方式完全不一样。4.1 两种 NAT 方向不能混在一起第一种是“内网访问外网”。内网 PC 使用私有地址比如 192.168.10.0/24访问公网服务器时核心交换机把源 IP 从私有地址转换成运营商分配的公网地址。常见实现是出接口 NAT、地址池 NAT也叫 Easy IP 或动态 NAT。第二种是“外网访问内网”。互联网用户需要访问内网中的一台服务器比如公司的 Web 站点或 OA 系统。这时候核心交换机要把公网地址映射到内网服务器的私有地址上常见实现是 NAT Server也就是我们常说的端口映射或静态 NAT。这两种配置的位置可能相同但思路完全不同。前者是源地址转换后者是目的地址转换。不要把两者写在同一条规则里否则会出很隐蔽的问题。4.2 内网访问外网在核心交换机的出接口上做 Outbound NAT继续用前面规划的拓扑。核心交换机上联出口设备下联汇聚交换机。NAT 如果放在核心交换机上那么 NAT 的出接口就是核心交换机连接出口设备的三层接口。在华为交换机上如果运营商只分配了一个公网 IP可以使用 Easy IP直接引用接口地址做转换acl number 3000 rule 5 permit ip source 192.168.10.0 0.0.0.255 rule 10 permit ip source 192.168.20.0 0.0.0.255 rule 15 permit ip source 192.168.30.0 0.0.0.255 quit interface GigabitEthernet0/0/0 nat outbound 3000 quit这里的 ACL 只匹配内网源地址目的地址一般不写在 ACL 里因为这里的目标就是“所有外网地址”。如果你有特殊访问控制需求比如某个内网网段不允许访问某个公网网段那可以在规则里加上目的地址但这属于策略 NAT 的范畴不要在基础配置里一开始就搞复杂。如果运营商给了一个地址池可以使用地址池nat address-group 1 200.1.1.2 200.1.1.10 interface GigabitEthernet0/0/0 nat outbound 3000 address-group 1 quit配置完成后记得用display nat session查看是否有 NAT 会话生成确认内网流量真的命中并转换了。4.3 外网访问内网用 NAT Server 做端口映射如果外网用户要访问内网 192.168.30.10 这台 Web 服务器公网地址是 200.1.1.100在核心交换机的公网出接口上可以这样配置interface GigabitEthernet0/0/0 nat server protocol tcp global 200.1.1.100 80 inside 192.168.30.10 80 quit这样外部用户访问http://200.1.1.100时核心交换机会把流量目的地址转换成192.168.30.10:80。但要注意仅仅配了 NAT Server 不代表外部能访问成功。还有几个条件内网核心交换机到服务器192.168.30.10的路由必须通。这里的路由通常指核心交换机上是否有去往服务器网段的静态路由或者 VLAN 间路由。内网服务器自身的防火墙/安全组要允许对应端口的流量。出口防火墙上如果有安全策略也要放行从公网到核心交换机公网地址的流量。常见错误是NAT Server 配置没问题但核心交换机回程时不知道该把流量发给谁。尤其是服务器网关不在核心交换机上时一定要检查核心交换机的路由表确保它能找到192.168.30.0/24。4.4 先路由后 NAT为什么路由不通时 NAT 也不生效这一点需要特别理解。NAT 并不是最先处理的而是在路由查找之后进行的。也就是说数据包先根据目的 IP 查路由表确定出接口之后再执行 NAT 转换。所以在排查“内网访问外网不通”时前两步永远是在核心交换机上display ip routing-table看有没有默认路由指向出口设备。执行display nat session看有没有 NAT 会话。如果路由表里根本没有出口路由数据包都找不到出口接口NAT 规则配置得再完整也不会生效。5. 从单点配置到整体验证一套可复用的排查流程配置完成后最忌讳的是直接丢给业务方一句“配完了”。看起来所有命令都执行成功不代表业务流量就能通。你需要按照链路层、网络层、NAT 层、回程路径的顺序系统性地验证一遍。5.1 先看现象再判断是哪个层出了问题我把常见故障分成三类VLAN 间不通内网访问外网不通外网访问内网服务器不通。每一类都有固定的检查顺序。VLAN 间不通先在同一 VLAN 内测PC ping 自己的网关。如果不通查接入交换机端口、VLAN、Trunk。如果同 VLAN 能通再测不同 VLAN在汇聚交换机上用ping -a 192.168.10.254 192.168.20.1指定源地址去 ping确认三层能不能通。如果不通检查 VLANIF 是否 up检查网关地址是否正确检查汇聚交换机上是不是存在直连路由。如果汇聚交换机是三层网关理论上 VLAN 间互通不需要额外路由如果设计时网关分散在核心和汇聚两台设备上则需要检查静态路由。内网访问外网不通先测 PC 到网关再测汇聚交换机到核心交换机互联地址。在核心交换机上直接 ping 出口设备的接口地址确认三层可达。如果三层不可达查默认路由和接口状态。如果三层可达再查 NAT 是否命中。用display nat session查看转换记录用display acl 3000查看匹配计数。最后再看运营商侧是否有限制比如是否只允许特定 IP 段通信。外网访问内网服务器不通先确认公网用户是否能到达核心交换机的公网地址。这一步往往需要外部环境配合如果条件不允许可以从核心交换机本地做测试。检查display nat server是否生效公网 IP、端口、内网 IP 是否一一对应。检查核心交换机到服务器的路由是否可达比如ping 192.168.30.10。检查出口设备安全策略是否放行对应端口。不要忽略服务器自身的防火墙设置。5.2 用 ping 的源地址选择来辅助定位Ping 工具不要只会直接 ping。在华为交换机上可以指定源地址来模拟不同网段终端的访问行为ping -a 192.168.10.254 192.168.20.1意思是源 IP 是 VLAN 10 的网关目的 IP 是 VLAN 20 的某个设备地址。如果这个能通说明三层路由没问题问题可能在 PC 本身的配置或接入交换机端口上。如果直接 ping 不通但指定源地址能通说明可能是设备没有回程路由或者目的设备的安全策略拦了源地址不确定的流量。5.3 用命令验证每一层下面是一个可以直接套用的检查表检查层级关键问题常用命令物理链路接口是否 Up有没有错包display interface briefVLAN/Trunk放行 VLAN 是否正确PVID 是否一致display port vlan三层接口VLANIF 是否 UpIP 配置是否正确display ip interface brief路由表目标网段在不在下一跳是否可达display ip routing-tableARP 表下一跳地址能否解析到 MACdisplay arpNAT 会话流量是否完成转换display nat sessionACL 匹配NAT 引用的 ACL 是否命中display acl 3000每次排查只改动一个变量。不要在一次变更后同时改 Trunk、改路由、改 NAT否则出了问题很难判断到底是哪一步引起的。5.4 回程路径验证很多问题出在“回来的路上”有一个现象很经典从内网 PC 访问公网 IP 时抓包能看到请求已经发出去了但就是收不到响应。问题往往不是去程而是回程路由。公网服务器返回的数据包到达出口设备后出口设备需要根据目的 IP 查路由表。如果出口设备上没有内网网段的路由它只能匹配默认路由默认路由又指向运营商数据包就会发回公网永远到不了内网。所以每配置一段 NAT都要配套检查“出口设备到内网”的回程路由。上联设备可能是防火墙也可能是路由器不同产品命令不同但思路一致必须有一条路由告诉出口设备“内网 192.168.10.0/24 在核心交换机后面你把我发给核心交换机”。6. 这套配置的适用边界和长期维护建议最后说点配置之外的事。这个项目之所以容易出问题是因为很多人把它当成一个纯命令项目忽略了它背后其实是一套小型园区网络的分层设计和维护逻辑。6.1 适合什么网络规模前面讲的这套“网关在汇聚交换机、静态路由指到核心、NAT 在核心交换机出接口”的方式适合中小型园区网络比如几百台终端、几个业务 VLAN、单一出口的办公楼或小型工厂。它最大的优点是简单、直观、排错链路清晰。路由表数量很少即使某个链路断了人工定位也不难。但它的扩展性有限。一旦网络出现以下情况就要认真考虑升级方案汇聚交换机到核心交换机有多条上联链路需要做负载均衡或冗余切换。核心交换机需要双机部署单台静态路由配置会变得非常繁琐。VLAN 数量几十个甚至上百个静态路由表写起来越来越长维护成本急剧上升。出口有多个运营商需要根据源地址或目的地址做策略路由。这时候动态路由协议比如 OSPF再加上 VRRP 或者堆叠会是更合适的方案。动态路由能自动收敛、自动选路降低人工维护成本代价是设计和调试复杂度提高。6.2 什么情况该用动态路由而不是静态路由我给一个实际判断标准如果你的网络拓扑是树形并且无论从哪个节点出发到达出口都只有一条明确的路径那静态路由完全够用。如果你开始质疑“万一核心交换机挂了怎么办”“汇聚和核心之间能不能自动切换”那就已经进入了动态路由的射程。用 OSPF 时核心交换机、汇聚交换机都运行 OSPF所有直连网段通过 LSA 传递路由表自动生成。即使某条链路断开OSPF 也能在几十秒内完成收敛。代价是你要重新规划 Router ID、区域、接口网络类型还要理解路由汇总和故障排查方式。所以不要一听“动态路由更先进”就盲目上马。网络规模很小的时候静态路由反而更可靠、更好维护。选择的标准应该是“这个网络未来五年会不会明显变大”而不是“今天用什么显得更专业”。6.3 长期维护的工程化建议命名、备份、变更记录配置完成后还有四件小事长期来看非常重要。第一给接口和 VLAN 起有含义的名称。比如VLAN 10不要只叫vlan10可以叫description Office_Network物理接口上用description To-Core-SW标注对端设备。几个月后再来维护看到这些描述能省下大量回忆时间。第二定期备份配置。交换机配置通常不会自动备份最好有专门的备份机制。至少每次变更前都要执行一次类似display current-configuration的命令把输出保存到本地文本文件里。如果是华三设备可以用save保存配置思科设备则要copy running-config startup-config。第三变更要有窗口和回退计划。哪怕只改一条 ACL也要提前写好改动内容、影响范围、回退命令。很多生产事故都是因为“顺手加一条命令”引起的。回退不一定要复杂但你必须知道改之前是什么样改完不对的时候能怎么撤回去。第四把关键信息沉淀成一张文档表包括设备管理地址、VLAN 划分、网关地址、互联地址、路由下一跳、NAT 公网地址映射关系。这张表不用很正式但一定要存在团队能拿到的地方。一年后网络出现问题能看到这张表的人能少走很多弯路。回到一开始那个项目。后来我们重新梳理了网关位置、补全了核心交换机和出口设备的回程路由把 NAT 的 ACL 改成只匹配内网源地址又检查了汇聚交换机到核心交换机的 Trunk 放行列表网络很快就恢复正常。这类项目真正考验人的不是会不会敲vlan batch、ip route-static、nat outbound这几条命令。而是能不能在一开始就回答三个问题谁做网关路由往哪指NAT 在哪转。把这三个问题想清楚配置只是填空想不清楚命令敲得再熟练也只是在给故障网络叠 buff。