三层交换机配置步骤是什么？

三层交换机的配置本质是构建一个具备逻辑隔离、路由可达、策略可控与安全可信能力的智能网络中枢。它通过科学划分VLAN实现业务流量的精准分域，为每个VLAN创建SVI接口并分配唯一网关IP，再全局启用IP路由功能，使不同子网间可在毫秒级完成线速三层转发；在此基础上，结合静态或动态路由协议（如OSPF）、标准IP ACL访问控制、DHCP Snooping与ARP防护等机制，形成覆盖地址分配、路径决策、权限管控与威胁防御的完整闭环。该流程严格遵循IEEE 802.1Q、RFC 1812等国际标准，在华为S5735、H3C S6520、Cisco Catalyst 9200等主流设备上已通过IDC企业网络稳定性测试报告验证，广泛应用于教育、金融、制造等千兆以上规模组网场景。

一、VLAN规划与物理端口映射

必须依据实际业务需求完成前置拓扑设计，例如将行政办公（VLAN 10）、研发测试（VLAN 20）、生产IoT设备（VLAN 30）及数据中心服务器（VLAN 40）严格分离。在三层交换机CLI中依次执行vlan 10至vlan 40命令创建对应ID，并为每个VLAN命名以增强可维护性。随后进入端口配置模式，将接入层二层交换机上行链路端口（如GigabitEthernet1/0/24）统一设为Trunk模式，在华为设备中使用port link-type trunk并配合port trunk allow-pass vlan 10 to 40；在Cisco设备中则需先执行switchport mode trunk，再用switchport trunk allowed vlan 10,20,30,40显式放行全部业务VLAN，避免因默认仅允许VLAN 1导致跨网段通信中断。

二、SVI接口配置与路由功能激活

为每个已建VLAN创建三层虚拟接口：interface Vlanif10后输入ip address 192.168.10.1 255.255.255.0，同理完成Vlanif20（192.168.20.1/24）、Vlanif30（192.168.30.1/24）及Vlanif40（192.168.40.1/24）的地址绑定。所有SVI接口需执行undo shutdown确保状态为up。紧接着全局启用路由能力——华为设备输入ip routing，H3C设备执行ip route enable，Cisco设备则需输入ip routing。若网络需访问外网，还需添加静态默认路由：ip route-static 0.0.0.0 0.0.0.0 192.168.100.254，其中下一跳地址必须与上游路由器内网口IP完全一致。

三、DHCP服务与安全机制部署

在各SVI接口下启用本地DHCP服务：dhcp select interface，系统将自动以该接口IP为网关、子网掩码为范围生成地址池。为提升安全性，必须同步开启DHCP Snooping并在连接终端的接入端口上执行dhcp snooping enable，同时将连接合法DHCP服务器（如路由器或AC）的端口设为trust状态。ARP防护则需结合IP Source Guard，通过display dhcp snooping binding查看已学习的IP-MAC-Port-VLAN四元绑定表，并在关键SVI接口下应用ip source check user-bind enable，从源头杜绝ARP欺骗与非法地址接入。

四、连通性验证与策略生效确认

配置完成后，须分层验证：首先在VLAN 10终端ping同网段其他PC，确认二层连通；其次ping本VLAN网关（如192.168.10.1），验证SVI接口可达；最后执行ping 192.168.20.1与ping 192.168.40.1，检验三层互通性。若失败，立即使用display ip routing-table检查路由条目是否完整，用display interface vlanif x确认SVI状态，再通过display dhcp snooping statistics统计丢包原因。全部测试通过即表明逻辑隔离、路由转发、地址分配与安全防护四大能力均已稳定就位。

综上，三层交换机配置是一项环环相扣的系统工程，每一步都直接影响全网稳定性与业务连续性。