企业官网建设流程全解析

做网络这行带新人，有个绕不过去的分水岭：什么时候能把 VLAN 之间的墙打通。前面的 VLAN 划分、Access/Trunk 口配置，大部分人照着敲一遍都能跑通；但一到"不同 VLAN 的 PC 怎么互相 ping 通"这一步，很多人就开始卡壳——要么网关填了不通，要么 VLANIF 起不来，要么 ping 通了却说不清报文到底走了哪条路。我这些年用 eNSP 做练习和给身边人演示方案，反复用利用三层交换机实现 VLAN 间路由这个实验当作入门台阶，因为它把二层隔离、三层转发、接口状态这三个基础概念一次性串联起来了。这篇内容就是我完整的实操记录和踩坑总结：从拓扑怎么连、地址怎么规划、VLANIF 为什么能当网关，到 ping 不通时按什么顺序查，全部按我自己动手的顺序讲。适合刚接触 VLAN 的朋友，也适合那些"命令会敲但原理没吃透"的同行对照复习。文中所有设备配置都基于 eNSP 里可直接复现的命令行环境，粘过去能跑。

1. 需求与方案：先把账算清楚再敲命令

很多人上来就开模拟器拉设备，拉到一半发现地址不够用、口子接错了，然后推倒重来。我的习惯是先花五分钟把需求、方案、地址三件事在纸上（或者记事本里）定下来，再动手。这一节就讲这三件事，别嫌啰嗦，后面真出问题时，排查效率全看你这时候想得清不清楚。

1.1 VLAN 间为什么要互通，卡点究竟在哪

先把这个基础讲透，不然后面全是背命令。VLAN 的本质是把一台物理交换机逻辑上切成多个独立的小交换机，广播域被隔离了，二层也就隔离了。同一个 VLAN 里的两台机器，交换机查 MAC 地址表就能直接转发，压根不需要 IP;但一旦跨 VLAN，交换机就"不认识路"了——它只知道这个帧的源 MAC 属于哪个口，不知道 192.168.10.x 这个网段该往哪个方向送。

这就引出了核心矛盾：VLAN 隔离是为了控制广播、划分安全边界，但它不该变成"业务上必须互通的两拨人彻底断联"。企业里最常见的场景就是"部门隔离但服务器要给所有人访问"，或者"财务和人事分开，但都要连打印机"。这时候就必须有个东西站在两个 VLAN 中间做转发，这个东西必须同时接入两个 VLAN，并且在三层（IP 层）上有地址。

这里有个容易混淆的点我得单独说一下：能跨 VLAN 转发帧的设备，必须在两个 VLAN 里各有一个三层接口。二层交换机没有 IP 概念，做不到；路由器能行，但它的物理口数量有限，一个口对一个 VLAN，VLAN 一多就抓瞎——这就是单臂路由那个方案要搞子接口的原因。而三层交换机把三层转发能力做进了交换芯片旁路，可以给每个 VLAN 起一个虚拟的三层接口，接口数量不受物理口限制，这才是它在这个场景下真正的优势。

至于"为什么不能把两个 PC 直接桥接"——那是把隔离彻底拆了，广播域合并，一个 ARP 风暴能波及全网，安全边界也没了。所有"VLAN 间路由"的方案，前提都是隔离仍然保留，只是增加了一条受控的转发通路。

1.2 两条技术路线：单臂路由与三层交换机怎么选

在 eNSP 里实现 VLAN 间路由，主流就两条路，我把它们的差异列出来，选型时对着看：

先说清楚一件事：单臂路由在教学上有价值，在生产上基本被淘汰了。原因很实在——一条千兆链路要承载全公司所有跨 VLAN 流量，而且路由器做的是软件转发（部分型号有硬件加速但依然受限），延迟和吞吐都跟不上。三层交换机则是在 ASIC 芯片里查表和转发，线速不衰减。

我选三层交换机方案做这个实验，还有个更实际的理由：它把 VLAN 概念和路由概念绑在了一起，你配置 VLANIF 的时候，脑子里自然会去想"这个接口属于哪个 VLAN、这个 VLAN 里有几台机器、这个网段怎么划"，这些思考单臂路由给不了你。学会了这个，再回头看单臂路由，会觉得那个方案特别直观但特别浪费。

提示：eNSP 里的三层交换机型号（如 S5700 系列）支持 VLANIF，二层交换机（如 S3700）不支持。拉设备前先确认型号，别拿二层交换机硬配interface Vlanif，会提示命令不存在或者创建了也无法配 IP。

1.3 本次实验的拓扑与地址规划

拓扑我采用最经典的两层结构：一台接入层二层交换机挂两台 PC，一台三层交换机做核心和网关，中间一根 Trunk 链路。这个结构够小、够清晰，但覆盖了全部关键知识点。

设备连接关系如下：

• PC1 → 接入交换机 GE0/0/1，属于 VLAN 10
• PC2 → 接入交换机 GE0/0/2，属于 VLAN 20
• 接入交换机 GE0/0/3 → 三层交换机 GE0/0/1，配置 Trunk，放行 VLAN 10 和 20

地址规划我习惯用"网段第三位对应 VLAN ID"的方式，方便记忆和排查：

网关为什么用 .254 而不是 .1，这是个人习惯问题——把 .1 留给服务器或者设备管理地址，网关统一放网段末尾，扫网段的时候不容易和主机地址撞车。你要用 .1 也完全没问题，只要全网统一就行，最怕的是这台机器网关配 .1，那台配 .254，排障时得一个个翻。

2. 原理拆解：三层交换机的 VLANIF 到底做了什么

命令就那么几行，配置十分钟能搞定，但如果你只记住命令，换个拓扑或者接口状态一变，就彻底懵了。这一节我把 VLANIF 这个虚拟接口背后的机制讲透，包括一次跨 VLAN ping 的完整报文路径，以及接口 up/down 的真实判定条件。这部分内容是我个人认为这个实验最值钱的地方。

2.1 VLANIF 是一个"寄生"在 VLAN 上的三层逻辑口

interface Vlanif 10这条命令创建的不是物理接口，而是一个逻辑接口。它的特殊性在于：它本身没有物理形态，它的状态依赖于"VLAN 10 在设备上是否活着"。具体判定规则是——只要设备上存在至少一个处于 up 状态的物理端口属于 VLAN 10（Access 口划入该 VLAN，或者 Trunk 口放行该 VLAN），VLANIF 10 就会变成 up。

这个规则解释了大量新手困惑："为什么我 VLANIF 配了 IP，display ip interface brief里显示 down，然后怎么都不通？"答案基本就三种：VLAN 没创建、Trunk 没放行这个 VLAN、或者放行的物理口本身是 down 的。

我遇到过最典型的一次：某同学在接入交换机上把 Trunk 配成了port trunk allow-pass vlan 10，漏了 20，结果 VLANIF 20 死活起不来，他还以为是三层交换机坏了。display port vlan一敲，Trunk 口的允许列表里只有 10，问题当场就暴露了。

还有一层要理解：VLANIF 是**"所属 VLAN 的网关代表"**。它不像物理口那样连着某根线，它代表的是"整个 VLAN 10 的所有成员，要出去就找我"。这也是为什么同一个 VLAN 里所有主机的网关必须指向同一个 VLANIF 地址——它们的 ARP 请求都是冲着这个虚拟接口去的。

2.2 一次跨 VLAN 的 ping，报文到底走了哪几步

我在讲解的时候喜欢让学员把 PC1 ping PC2 的全过程口述一遍，说得出来才算真的懂。整个过程分这么几步：

1. PC1（192.168.10.1）要 ping 192.168.20.1，先拿自己的掩码 255.255.255.0 做与运算，发现对方不在 192.168.10.0/24 网段内，判定为跨网段。
2. PC1 不能直接 ARP 请求对方 IP，它要先找网关。于是发出 ARP 请求"谁是 192.168.10.254"。
3. 这个 ARP 广播从 PC1 的网口进入接入交换机 GE0/0/1，属于 VLAN 10，被泛洪到 VLAN 10 的所有成员口——包括 Trunk 口 GE0/0/3。
4. Trunk 口给这个帧打上 VLAN 10 的 Tag，送到三层交换机 GE0/0/1。三层交换机解封装，发现目标 IP 是自己 VLANIF 10 的地址，直接应答自己的 MAC。
5. PC1 拿到网关 MAC，把 ICMP 请求封装成"源 IP 192.168.10.1、目的 IP 192.168.20.1、目的 MAC 为网关 MAC"的帧发出去。
6. 三层交换机收到后，发现目的 MAC 是自己，于是拆掉二层头，拿目的 IP 192.168.20.1 去查路由表，查到 192.168.20.0/24 是直连在 VLANIF 20 上。
7. 查 ARP 表找 192.168.20.1 对应的 MAC，如果表里没有，就在 VLANIF 20 范围内发 ARP 请求。
8. PC2 应答自己的 MAC，三层交换机重新封装二层头（源 MAC 为自己 VLANIF 20 的 MAC，目的 MAC 为 PC2 的 MAC），从 VLANIF 20 对应的物理口发出去，途中经过 Trunk 口时打上 VLAN 20 的 Tag。
9. 接入交换机收到带 VLAN 20 Tag 的帧，查表发现 PC2 在 GE0/0/2，剥掉 Tag 转发给 PC2。

回程完全对称。看懂这条路径，你就明白了三件事：网关 MAC 在跨网段通信中扮演的角色、Trunk 打标签发生在哪一跳、三层交换机实际上是"拆了重封"而不是"原样转发"。最后这条最关键——很多人以为三层交换机会把原帧直接送出去，其实它是把二层头整个换掉了，这也是为什么源 IP 不变、源 MAC 会变成网关 MAC 的原因。

2.3 直连路由、硬件转发表与"为什么这么快"

三层交换机起完 VLANIF，display ip routing-table里会立刻出现两条直连路由：

[Core-SW] display ip routing-table Route Flags: R - relay, D - download to fib ------------------------------------------------------------------------------ Routing Tables: Public Destinations : 6 Routes : 6 Destination/Mask Proto Pre Cost Flags NextHop Interface 192.168.10.0/24 Direct 0 0 D 192.168.10.254 Vlanif10 192.168.10.254/32 Direct 0 0 D 127.0.0.1 Vlanif10 192.168.20.0/24 Direct 0 0 D 192.168.20.254 Vlanif20 192.168.20.254/32 Direct 0 0 D 127.0.0.1 Vlanif20

注意Flags那一列的D，意思是这条路由已经**下发到 FIB（转发信息表）**了。这是三层交换机和普通路由器的关键差异：普通路由器 CPU 查路由表转发，三层交换机会把路由信息同步到芯片里的硬件转发表，后续报文直接在芯片层面完成查找和改写，不经过 CPU。所以在 eNSP 里你可能感觉不出差别，但真实设备上，三层交换机的跨 VLAN 转发能力是路由器好几个数量级。

还有个细节值得留意：路由表里那两条192.168.10.254/32和192.168.20.254/32的直连主机路由，指向 127.0.0.1。这是设备为自己接口地址生成的本地路由，用途是"发往本机接口地址的报文不上送外部"。排障时如果看到这两条没了，说明接口地址被删了或者接口 down 了。

2.4 地址规划里必须算清楚的那几个数

虽然这个实验用的都是 /24，但真实项目里地址不够用是常事，掩码规划算错一次，后面改起来牵一发动全身。这里把计算过程明确写出来。

/24 能装多少台主机：主机位 8 位，可用地址数 = 2^8 - 2 = 254 个（去掉网络地址 .0 和广播地址 .255）。网关占掉一个，实际可用 253 个。

假设某个 VLAN 需要 500 台主机怎么办：这就需要 /23。以 192.168.10.0/23 为例，掩码 255.255.254.0，覆盖范围是 192.168.10.0 ~ 192.168.11.255，主机数 = 2^9 - 2 = 510 个。注意起始地址必须是偶数段，192.168.11.0/23 是非法的，因为它的网络位对齐不上。

VLAN 与网段的对应关系怎么定：我推荐"VLAN ID 直接映射到网段第三位"，比如 VLAN 10 就是 192.168.10.0/24，VLAN 20 就是 192.168.20.0/24。好处是排障时看到 IP 就知道属于哪个 VLAN，display arp的输出一眼能对上号。缺点是如果 VLAN ID 超过 255 就没法映射了，但一般企业不会用到那么大。

网关放在哪个地址：前面说了我用 .254。还有个常被忽略的点——VLANIF 的地址和 PC 的网关地址必须是同一个，而且必须在同一个网段内。我见过有人把 VLANIF 配成 192.168.10.1/24，PC 网关填 192.168.10.254，然后 ping 不通，排查半天才发现是网关上压根没有这个地址，ARP 都不会应答。

3. 实操全流程：从空拓扑到 ping 通

前面原理讲完了，现在动手。这一节我按真实操作顺序走一遍，包括设备怎么拉、线怎么连、命令怎么敲、状态怎么看。你可以照着一步步来，命令都是 eNSP 里能直接执行的。

3.1 设备选型与连线顺序

打开 eNSP，从左侧设备栏选设备：

• 拖入两台 PC（型号随意，eNSP 里的 PC 是模拟终端，只做收发）
• 拖入一台二层交换机，选 S3700 系列
• 拖入一台三层交换机，选 S5700 系列

连线用"连线"工具里的 Copper（铜缆）：PC1 的 Ethernet0/0/1 接接入交换机的 GE0/0/1，PC2 接 GE0/0/2，两台交换机的 GE0/0/3 和 GE0/0/1 相连。

连线这一步有个我踩过的坑值得说：eNSP 里设备启动需要时间，尤其是三层交换机，刚拖进去图标是灰的，这时候连线和配置都可能异常。正确的做法是全选设备，右键"启动"，等图标变绿（大概 20~40 秒，机器性能差的更久），再开始配置。我见过有人设备还没起完就敲命令，敲进去一堆没生效，白折腾。

还有一个细节：eNSP 里 PC 的网卡要手动配置，双击 PC 打开配置窗口，在"IPv4 Configuration"里填 IP、子网掩码、网关，填完点"应用"或"Apply"，再切到"Command"标签页做 ping 测试。如果只填不点应用，配置是不生效的，这个也是高频翻车点。

3.2 接入交换机配置：划 VLAN、定 Access、配 Trunk

双击接入交换机进入命令行，依次执行：

<Huawei> system-view [Huawei] sysname Access-SW [Access-SW] vlan batch 10 20 [Access-SW] interface GigabitEthernet 0/0/1 [Access-SW-GigabitEthernet0/0/1] port link-type access [Access-SW-GigabitEthernet0/0/1] port default vlan 10 [Access-SW-GigabitEthernet0/0/1] quit [Access-SW] interface GigabitEthernet 0/0/2 [Access-SW-GigabitEthernet0/0/2] port link-type access [Access-SW-GigabitEthernet0/0/2] port default vlan 20 [Access-SW-GigabitEthernet0/0/2] quit [Access-SW] interface GigabitEthernet 0/0/3 [Access-SW-GigabitEthernet0/0/3] port link-type trunk [Access-SW-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20 [Access-SW-GigabitEthernet0/0/3] quit

几点说明，都是实操里容易忽略的：

• port link-type access其实可以省略，因为交换机端口默认就是 Access 模式，默认 VLAN 是 1。但我建议显式写上，一是让配置可读，二是以后别人接手配置一看就懂。反过来，Trunk 口的port link-type trunk绝对不能省，而且必须先改类型再配 allow-pass，顺序反了会报错。
• port trunk allow-pass vlan 10 20这一步是重中之重。Trunk 口默认只允许 VLAN 1 通过，不配这条，VLAN 10 和 20 的帧到了 Trunk 口就被丢了，表现就是"PC 之间在各自 VLAN 内能通，跨 VLAN 完全不通"。
• 写vlan batch 10 20一次建两个 VLAN，比一个个vlan 10、vlan 20快。如果 VLAN 数量多，还可以写vlan batch 10 to 20。

配完用display port vlan检查，输出里每个端口的 PVID 和允许的 VLAN 列表一目了然。这个命令我用得比display current-configuration还频繁，因为它是结构化的，扫一眼就能确认端口归属对不对。

3.3 三层交换机配置：VLANIF 就是网关

切换到三层交换机：

<Huawei> system-view [Huawei] sysname Core-SW [Core-SW] vlan batch 10 20 [Core-SW] interface GigabitEthernet 0/0/1 [Core-SW-GigabitEthernet0/0/1] port link-type trunk [Core-SW-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 [Core-SW-GigabitEthernet0/0/1] quit [Core-SW] interface Vlanif 10 [Core-SW-Vlanif10] ip address 192.168.10.254 24 [Core-SW-Vlanif10] quit [Core-SW] interface Vlanif 20 [Core-SW-Vlanif20] ip address 192.168.20.254 24 [Core-SW-Vlanif20] quit

这里有两个配置习惯要强调：

第一，三层交换机连接入交换机的口必须配成 Trunk 并放行对应 VLAN，不能配成 Access。很多人下意识觉得"三层交换机是路由器角色，接口应该配 IP"，但这里 GE0/0/1 是二层口，它的任务是透传带 Tag 的帧，不是终结 IP。真要给物理口配 IP，那是三层口（undo portswitch），和这个实验的模型不一样。

第二，VLANIF 的掩码用24这个简写，不要写255.255.255.0。两种写法在 VRP 里都认，但 24 更简洁，也避免了手抖打错一个 255 的情况。类似地，ip address 192.168.10.254 255.255.255.0这种写法在老设备上更保险，看你的设备版本。

配置完成后立刻验证接口状态：

[Core-SW] display ip interface brief Interface IP Address/Mask Physical Protocol Vlanif10 192.168.10.254/24 up up Vlanif20 192.168.20.254/24 up up

这里必须两个都是 up 才算成功。如果显示 down，立刻回到 2.1 节讲的判定条件去查：VLAN 建了没、Trunk 放行了没、Trunk 对端物理口起来没。这一步不通，后面所有测试都是白测。

3.4 终端配置与三条必会的验证命令

PC 配置在图形界面完成，PC1 填 192.168.10.1 / 255.255.255.0 / 192.168.10.254，PC2 填 192.168.20.1 / 255.255.255.0 / 192.168.20.254。填完点应用。

然后在 PC1 的 Command 标签页里执行：

ping 192.168.10.254 ping 192.168.20.1

第一条是测网关可达（同 VLAN 三层通信），第二条才是测跨 VLAN 路由。我强烈建议分两步测，因为这两条命令失败的原因完全不同：第一条不通，说明 VLAN 10 的二层或接口地址有问题；第一条通了第二条不通，说明三层转发或 VLAN 20 侧有问题。直接 ping 对方然后抓瞎，是最低效的排障方式。

验证阶段我固定用三条命令，形成肌肉记忆：

# 三层交换机上看路由是否正常生成 display ip routing-table # 看 VLAN 成员和接口状态 display vlan # 看 ARP 表，确认对端 MAC 学到了 display arp

display arp这条特别有用。跨 VLAN ping 通之后，三层交换机的 ARP 表里应该同时出现 192.168.10.1 和 192.168.20.1 两条记录，分别挂在 Vlanif10 和 Vlanif20 下。如果只有一条，说明另一侧的 ARP 没学上来，问题就在那一侧。

3.5 抓包看一眼，把抽象的流程变成看得见的帧

eNSP 支持在链路上抓包，右键点击两台交换机之间的连线，选"开始抓包"，会调用抓包工具。抓一次跨 VLAN ping，你能清楚看到：

• PC1 发出的 ARP 请求，在接入交换机到三层交换机这一段被打了 VLAN 10 的 Tag（802.1Q 字段，VID=10）
• 三层交换机发出的 ARP 请求在 Trunk 上带 VLAN 20 的 Tag
• ICMP 报文的源 MAC 在跨过三层交换机后变成了网关 MAC

这一步是我认为整个实验里"开窍"的环节。书上写一百遍"三层交换机会重写源 MAC"，不如自己抓一次包看一眼。特别是那个 802.1Q 标签，Tag 里的 VID 字段就在报文中间明晃晃地写着，看到它你才会真正理解"Trunk 打标签"不是比喻，是物理事实。

注意：抓包会占用一定资源，eNSP 长时间抓包容易卡顿甚至崩设备。建议只抓十几秒，抓完立刻停止，然后去分析。设备卡死的话，保存配置后重启模拟器是常规操作，别慌。

4. 问题排查实录：那些让人怀疑人生的瞬间

这个实验看起来简单，但实际带人做的过程中，我统计过失败率——第一次独立完成能一次 ping 通的大概只有一半。失败的原因高度集中在几个点上，这一节我把它们整理出来，附上定位思路和独家技巧。

4.1 排查顺序：从下往上，从近到远

我总结的排障顺序是**"先接口状态，再二层连通，最后三层转发"**，绝不打乱。

第一步，看接口状态。三层交换机上display ip interface brief，两个 VLANIF 必须 up。不全 up，后面全免谈。

第二步，看二层连通性。PC1 ping 自己的网关，能通说明 VLAN 10 的接入层到网关这段二层链路是通的。不通就查：PC 的 IP 掩码网关填对没、Access 口划的 VLAN 对不对、Trunk 放行没。

第三步，看三层转发。PC1 ping PC2，不通就查路由表和 ARP 表。路由表里有没有 192.168.20.0/24 的直连路由，ARP 表里有没有 PC2 的记录。

这个顺序的价值在于：每一步都能把问题范围砍掉一半。很多人习惯直接从第三步开始，ping 不通就到处改配置，改到最后把本来对的也改错了。我见过最惨的一次，有个同学把 VLANIF 的地址从 .254 改成 .1 又改回 .254，来回折腾一小时，最后发现是 PC 的网关没点"应用"。

4.2 五个高频故障与处理办法

下面这张表是我这些年攒下来的，基本覆盖了 90% 以上的失败场景：

逐个说一下背后的坑：

第一个问题最常见，也最冤枉。三层交换机只连了一根 Trunk 到接入交换机，如果这个 Trunk 只放行了 VLAN 10，那么 VLANIF 20 就会 down。初学者往往觉得"我在三层交换机上建了 VLAN 20 就应该 up"，但 VLAN 的"存活"取决于有没有活着的成员口，跟你在哪台设备上建的没关系。

第四个问题隐蔽性最强。Trunk 链路两端都要配 allow-pass，一端配了 10 20，另一端配了 10，那么 VLAN 20 的帧在另一端就被丢弃。因为 VLAN 10 是通的，测试的时候容易误判"整体是通的"，只有测 VLAN 20 才暴露。我的习惯是两端配完各自display port vlan截个图对比，养成习惯能省很多时间。

第五个问题和 eNSP 的特性有关。模拟器里的设备是虚拟化的，偶尔会出现配置敲进去了但状态没刷新、或者端口状态卡住的情况。遇到"怎么看配置都对但就是不通"，先display current-configuration确认配置真在，再考虑重启设备。这不是甩锅给模拟器，而是先排除环境因素，避免在正确配置上瞎改。

4.3 几条不写在教材里的实操心得

这些是我自己摸索出来的，教材和实验手册里一般不会提：

心得一：先配三层交换机，再配接入交换机，最后配 PC。这个顺序的好处是每配完一层就能验证一次。三层交换机配完display ip interface brief看接口，接入交换机配完display port vlan看端口，PC 配完先 ping 网关。层层验证，出问题时能立刻定位到刚配的那一层。

心得二：给实验拓扑起个有辨识度的名字并保存。eNSP 支持保存拓扑，我见过太多人第二天打开模拟器发现拓扑没保存，一切重来。文件名我习惯用"三层交换-VLAN间路由-日期"，三个月后回来看还知道是什么。

心得三：把网关地址当成一个"设备"来对待。这句话听起来绕，但很实用——当你 ping 不通网关时，不要想"为什么网络不通"，而要想"这台叫网关的设备为什么不应答"。这个思维转换会让你自然地去检查：它的地址配了吗、它所在的 VLAN 活着吗、它有没有收到我的 ARP 请求。顺着这个思路，问题往往几分钟就定位了。

心得四：不要迷信"配置一样就能通"。两台设备配置看起来一样，但接口状态、VLAN 成员、ARP 缓存这些运行态信息可能完全不同。display系列命令看的是运行态，display current-configuration看的是配置态，两者要对照着看。

4.4 一个容易被忽略的收尾动作：确认路由是真的在用

ping 通之后，很多人就结束了。我建议多做一步：在三层交换机上执行display ip routing-table protocol direct，确认两条直连路由都在且 Flags 列有 D。再执行display fib（部分型号支持），看硬件转发表里有没有对应的条目。

为什么多做这一步？因为在真实项目里，路由表里有但没下发到转发表，是会导致"能 ping 通但业务不通"的诡异现象的。模拟器里不太容易复现，但养成"配置完看下发状态"的习惯，到了真机上能救你。

提示：如果后续要在这个基础上做扩展，比如加 ACL 限制某些 VLAN 互通，或者配置 VLAN 间 QoS，那这个路由表和转发表的对照就是必备的前置检查。基础不牢，扩展全是坑。

5. 从模拟器到真实机房的差距

eNSP 跑通不代表真机能跑通，这个差距我必须讲清楚，不然你到现场会吃亏。这一节说说模拟器里看不到的东西，以及这个实验的思路在真实网络里怎么落地。

5.1 模拟器不会告诉你的几件事

第一，真机的端口协商问题。eNSP 里的链路是理想的，速率双工自动协商永远成功。真机上如果两端一端强制千兆全双工、另一端自动协商，可能出现速率不匹配、大量 CRC 错误，表现是"配置完全正确但丢包严重"。排查时display interface GigabitEthernet 0/0/1看有没有 CRC 错误计数增长，有的话就是物理层问题。

第二，真机的 MAC 地址表老化时间。默认 300 秒，模拟器里你感知不到，真机上如果网络抖动导致表项频繁刷新，会出现短暂的丢包。这个在生产环境里排障时是要考虑的因素。

第三，VLAN 数量与芯片规格限制。模拟器里你想建多少 VLAN 都行，真机的交换芯片对 VLAN 数量、MAC 表容量、ACL 条目数都有硬限制。大型网络规划时不能拍脑袋，要查设备规格书。

第四，风暴抑制与环路防护。模拟器里你手动连个环也不会有事（顶多广播风暴卡死自己），真机上环路会瞬间打爆整个网络。所以真实部署时，接入层必须配 STP 或者更现代的防环机制，这个在入门实验里往往被省略。

5.2 这个实验的思路在生产网络里怎么用

三层交换机做 VLAN 间路由，这个模型在今天的企业网里依然是主流。典型的落地形态是"核心做网关、接入做二层"——核心层两台三层交换机做网关冗余（VRRP），接入层交换机只做 VLAN 划分和 Trunk 上联。这个架构下：

• 每个业务 VLAN 在核心上有对应的 VLANIF，作为该网段的网关
• 核心之间跑三层路由协议或者堆叠，保证网关高可用
• 接入层不配任何三层地址，纯粹做二层透传

这个模型的优点是网关集中、策略集中、扩展方便——要加一个新部门，只需要在核心上建个 VLAN、起个 VLANIF、接入层划几个口，十分钟搞定。缺点是核心层压力集中，所以大型网络会把网关下沉到汇聚层，核心只做高速转发，这是另一个话题了。

我给身边人的建议是：这个实验至少独立做三遍。第一遍照着步骤敲，第二遍不看步骤自己写，第三遍故意配错几个地方然后自己排出来。第三遍最有价值，因为你排过的错，才是真正记住的。

后续如果想继续深入，可以在这个拓扑上叠加：ACL 限制 VLAN 10 不能访问 VLAN 20、配置 DHCP 让 PC 自动获取地址、加一条静态路由连到外部网段、再或者把单网关改成 VRRP 双网关。每叠加一个，你对这个基础模型的理解就深一层。我自己当年就是靠在这个拓扑上反复加东西，才把路由、ACL、NAT 这些串起来的。