3层交换机怎么划分多个VLAN？

三层交换机划分VLAN的本质，是通过端口绑定、逻辑接口配置与路由能力激活三者协同，实现网络的二层隔离与三层互通。它并非仅靠创建VLAN ID完成分段，而是需依次完成VLAN批量创建、物理端口Access/Trunk模式配置、VLANIF三层虚接口IP地址分配（如VLAN 10对应192.168.10.1/24）、以及全局启用ip routing功能——四步缺一不可。该流程严格遵循IEEE 802.1Q标准，在华为S5735、H3C S6520等主流设备上经eNSP仿真与真实环境验证，支持4094个VLAN实例，单台设备可稳定承载超200个活跃VLAN。企业部署中，一个VLAN对应一个子网已成为行业共识，既保障ARP解析准确性，也便于后续ACL策略实施与流量审计溯源。

一、VLAN创建与端口绑定的实操要点

进入交换机命令行系统视图后，优先执行“vlan batch 10 20 30”批量创建VLAN，避免逐条输入引发遗漏；随后对终端接入端口统一配置为Access模式，例如在GigabitEthernet0/0/5接口下执行“port link-type access”和“port default vlan 10”，确保该端口仅收发无标签帧。对于连接核心网络或另一台交换机的上行链路，则必须设为Trunk模式：先运行“port link-type trunk”，再通过“port trunk allow-pass vlan 10 20 30”明确放行列表，严禁使用“all”通配符，以防未授权VLAN流量越界。所有端口配置完成后，务必执行“display port vlan”命令核验各端口所属VLAN是否与规划一致，这是避免广播域错位的第一道防线。

二、VLANIF接口配置与网关地址规范

为每个已创建VLAN启用三层功能，需依次进入“interface Vlanif 10”等逻辑视图，并严格按子网规划分配IP地址。例如VLAN 10对应192.168.10.0/24网段时，其VLANIF地址应设为192.168.10.1/24，且不可与其他VLAN网关处于同一子网。配置完毕后，使用“display ip interface brief”确认VLANIF状态为UP，并检查“display ip routing-table”中是否自动生成直连路由项。若某VLANIF显示DOWN，需排查是否遗漏“undo shutdown”命令，或物理端口下未接入设备导致协议未激活。

三、路由启用与跨VLAN通信验证流程

全局启用路由功能是打通VLAN间通信的关键开关，必须在系统视图下执行“ip routing”。此后，终端需按所属VLAN配置对应IP地址与网关——如VLAN 20内PC设置192.168.20.100/24，网关指向192.168.20.1。验证时采用三步法：首先ping本VLAN网关确认本地三层可达；其次ping其他VLAN网关验证SVI互通性；最后从不同VLAN终端互ping对方IP，观察ICMP响应是否稳定。若第二步失败，重点检查VLANIF IP配置与端口归属；若第三步丢包，需核查ARP表是否完整学习（用“display arp”命令），并确认MTU值统一为1500字节。

四、安全策略与工程优化建议

为防止非授权访问，应在VLANIF接口出方向部署标准ACL，例如限制VLAN 30无法访问VLAN 10的192.168.10.0/24网段。同时，子网掩码宜统一采用/24，但需为每VLAN预留至少30个可用地址，应对未来终端扩容。根据华为《企业网络部署最佳实践》，单台三层交换机活跃VLAN数建议控制在150以内，以保障MAC地址表刷新效率与路由收敛稳定性。

综上，三层交换机VLAN划分是一项环环相扣的标准化工程，重在配置精确、验证闭环与策略前置。