三层交换机怎么配置？

三层交换机的配置核心在于通过VLAN划分逻辑网段、为各VLAN创建三层虚接口并启用路由功能，从而实现跨网段高效通信。它并非简单叠加二层转发与三层路由，而是依托硬件级ASIC芯片完成一次路由多次交换的线速转发，实测在千兆环境下可稳定承载90%以上吞吐率（依据Cisco Nexus系列白皮书及华为S5735-S系列实验室测试数据）。典型配置流程涵盖：基于端口划分VLAN（如研发部VLAN 2绑定1–19口）、为每个VLAN配置SVI接口IP（如192.168.2.1/24）、全局启用IP路由功能，并视网络拓扑补充静态路由或动态协议。该架构既满足部门间安全隔离与广播域控制需求，又避免传统路由器引入的转发瓶颈，已成为中大型企业网络骨干部署的主流选择。

一、VLAN划分与端口绑定

首先需登录三层交换机的Web管理界面或通过Console线进入CLI命令行，进入VLAN配置模块。以研发部为例，新建VLAN ID为2，并将物理端口1至19全部划入该VLAN，模式设为Access；同理创建VLAN 3（市场部，端口20–39）与VLAN 4（财务部，端口40–46），确保各端口仅归属单一VLAN，避免跨VLAN数据泄露。VLAN 1保留为默认管理VLAN，对应端口47–52，用于连接路由器及核心服务器，其PVID需明确设置为1。

二、SVI接口配置与IP地址分配

在“路由接口”或“三层接口”菜单下，依次为每个VLAN启用SVI（Switch Virtual Interface）。为VLAN 2配置虚接口IP地址192.168.2.1/24，作为研发部网关；VLAN 3配置192.168.3.1/24，VLAN 4配置192.168.4.1/24。所有SVI接口必须执行“no shutdown”命令激活，且需确认交换机全局已开启IP路由功能（命令为ip routing），否则SVI仅作为二层接口存在，无法参与跨网段转发。

三、路由连通性保障与外网出口设置

为使各部门终端访问互联网，须在交换机中添加一条指向出口路由器的静态路由：目的网络0.0.0.0/0，下一跳地址为192.168.0.2（即路由器管理IP）。同时，在路由器上反向配置回程路由，将192.168.2.0/24、192.168.3.0/24、192.168.4.0/24网段指向交换机管理IP 192.168.0.1。完成配置后，可通过PC端ping各SVI地址及路由器IP验证三层连通性，再使用tracert命令确认路径无环、无丢包。

四、安全策略延伸与可维护性优化

若需限制部门间互访，可在交换机ACL模块中创建编号型访问控制列表，例如拒绝VLAN 2与VLAN 4之间的TCP 80/443流量，再将其调用至对应SVI的inbound方向。此外建议启用DHCP Snooping与IP Source Guard，防范私接DHCP服务器及IP欺骗攻击；定期导出配置文件备份，并启用SNMP协议对接网管系统，实现拓扑自动发现与性能阈值告警。

综上，三层交换机配置重在逻辑清晰、步骤闭环，每一环节均需验证生效，方能兼顾效率、安全与可扩展性。