如何实现VLAN间的访问祥版可以去偶的今日头条搜索查看500人局域网配置实战（一）基础版：单臂路由
500人局域网配置实战（二）主流版：三层交换
（一）基础版：单臂路由网络架构规划
如图所示，网络出口使用路由器或者防火墙实现NAT地址转换，下联核心交换机，实现流量汇聚，再部署接入交换机，实现用户接入即可。500人规模，建议通过VLAN技术隔离广播域，使用较多的是根据楼层或者部门划分VLAN。
用户网关直接指向路由器，路由器与下联交换机通过单臂路由互联。
单臂路由配置
Router(config)#interface fastEthernet 0/0
Router(config-if)#no shutdown #激活物理接口fa0/0
Router(config)#interface fastEthernet 0/0.1 #进入fa0/0.1虚拟子接口
Router(config-subif)#encapsulation dot1Q 10 #将虚拟子接口fa0/0.1划分到vlan 10并封装格式为802.1q
Router(config-subif)#ip address 192.168.10.1 255.255.255.0 #设置IP地址及子网掩码
Router(config)#interface fastEthernet 0/0.2 #进入fa0/0.2虚拟子接口
Router(config-subif)#encapsulation dot1Q 20 #将虚拟子接口fa0/0.2划分到vlan 20并封装格式为802.1q
Router(config-subif)#ip address 192.168.20.1 255.255.255.0 #设置IP地址及子网掩码
# 默认路由和NAT配置同前面50人规模基本一样，此处贴上命令。
Int f0/0 #出接口配置地址（向运营商申请的地址是202.1.1.1/24）
Ip address 202.1.1.1 255.255.255.0
Ip route 0.0.0.0 0.0.0.0 202.1.1.2 #默认路由器，把出口访问流量都扔给运营商（运营商对端地址为202.1.1.2）
access-list 1 permit 192.168.1.0 0.0.0.255 #匹配内网用户流量
ip nat inside source list 1 interface fastethernet1/0 overload #将内网用户流量在出口做NAT，转换成接口f0/0地址访问互联网（关键字overload）
interface f0/0
ip nat outside #NAT的外侧接口
int vlan 1
ip nat inside #NAT的内侧接口（一定要注意，是SVI接口）
二层交换机配置
VLAN配置（SW1配置举例）
Vlan 10
Vlan 20
Interface f1/1 #下行接口
Switch mode access
Switch access vlan 10
Interface f1/2 #下行接口
Switch mode access
Switch access vlan 10
Interface f1/3 #下行接口
Switch mode access
Switch access vlan 20
Interface f1/4 #上行接口
Switch mode trunk
Switch trunk allowed vlan all
如果出口不是路由器，而是防火墙，配置如下：
如果网络出口为防火墙，而不是路由器，一般可以图形化配置（其实路由器也可以图形化配置，过程基本类似），配置步骤：
1、防火墙创建子接口ge0.10，并指定IP 地址，如下图：
2、防火墙创建子接口ge0.20，并指定IP地址，如下图：
（二）主流版：三层交换网络架构分析
前面给大家介绍了500人规模局域网使用单臂路由的配置方法，其实在实际项目中，单臂路由已经用得比较少，更多是使用三层交换机。如下图所示，网关起在三层交换机上，网络出口通过路由器或防火墙实现NAT地址转换，访问互联网。
实现步骤与思路
为了方便理解，大家通过GNS3模拟器，模拟实现此网络。步骤如下：
1. 在GNS3中构建完整拓扑，并标注好IP地址。
2. 通过路由器模拟PC，并配置好PC地址及网关；
3. 配置二层交换机：VLAN划分、access接口及trunk
4. 配置三层交换机：SVI接口，默认路由
5. 配置出口路由器：默认路由+静态路由+NAT
GNS3拓扑如下所示：
PC配置
PC1配置（PC2-PC4配置类似，省略）
PC1(config)#no ip routing #路由器模拟PC，关闭路由功能
PC1(config)#int f0/0
PC1(config-if)#ip address 192.168.10.1 255.255.255.0 #配置PC地址
PC1(config)#ip default-gateway 192.168.10.254 #配置PC网关地址
二层交换机配置
SW1配置（SW2配置类似，省略）
SW1#conf t
SW1(config)#vlan 10
SW1(config-vlan)#vlan 20
SW1(config-vlan)#interface FastEthernet1/1
SW1(config-if)# switchport access vlan 10
SW1(config-if)#interface FastEthernet1/2
SW1(config-if)# switchport access vlan 10
SW1(config-if)#interface FastEthernet1/3
SW1(config-if)# switchport access vlan 20
SW1(config-if)#interface FastEthernet1/0
SW1(config-if)# switchport mode trunk
三层交换机配置
L3_SW配置
L3_SW#configure terminal
L3_SW(config)#vlan 10
L3_SW(config-vlan)#vlan 20
L3_SW(config-vlan)#interface FastEthernet1/0
L3_SW(config-if)# switchport mode trunk
L3_SW(config-if)#interface FastEthernet1/1
L3_SW(config-if)# switchport mode trunk
L3_SW(config-if)#interface Vlan10
L3_SW(config-if)# ip address 192.168.10.254 255.255.255.0
L3_SW(config-if)#interface Vlan20
L3_SW(config-if)# ip address 192.168.20.254 255.255.255.0
验证测试
配置好如上设备，可进行测试：
PC1#ping 192.168.10.254 #PC1可以ping通网关
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.254, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/215/1024 ms
PC1#ping 192.168.10.2 #PC1可以ping通PC2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.2, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 8/9/12 ms
PC1#ping 192.168.20.1 #PC1可以ping通PC3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.20.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/24 ms
PC1#ping 192.168.20.2 #PC1可以ping通PC4
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.20.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms
PC1可以ping通PC2、PC3、PC4，局域网通信没问题！后面配置访问互联网的通信。
核心交换机配置
L3_SW(config-if)#int f0/1
L3_SW(config-if)#ip add 192.168.1.2 255.255.255.0
L3_SW(config-if)#no sh
L3_SW(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1 #不知道去向的流量默认扔给出口路由器
出口路由器配置
R1(config)#int f0/1
R1(config-if)#ip add 192.168.1.1 255.255.255.0
R1(config-if)#no sh
R1(config)#int f0/0
R1(config-if)#ip add 202.1.1.1 255.255.255.252
R1(config-if)#no sh
R1(config)#ip route 192.168.10.0 255.255.255.0 192.168.1.2 #去往内网VLAN10的流量扔给核心交换机
R1(config)#ip route 192.168.20.0 255.255.255.0 192.168.1.2 #去往内网VLAN20的流量扔给核心交换机
R1(config)#access-list 1 permit 192.168.10.0 0.0.0.255 #匹配源为VLAN10的流量
R1(config)#access-list 1 permit 192.168.20.0 0.0.0.255 #匹配源为VLAN20的流量
R1(config)#ip nat inside source list 1 interface f0/0 overload #在出口路由器将内网流量NAT转成出口F0/0地址
R1(config)#int f0/0
R1(config-if)#ip nat outside
R1(config-if)#int f0/1
R1(config-if)#ip nat inside
运营商侧模拟配置（用路由器模拟运营商ISP）
Router#conf t
Router(config)#host ISP
ISP(config)#int f0/0
ISP(config-if)#ip add 202.1.1.2 255.255.255.252
ISP(config-if)#no sh
连通性测试
PC1#ping 202.1.1.2 #PC1可以访问互联网202.1.1.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 202.1.1.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 24/28/32 ms
PC1#traceroute 202.1.1.2 #查看PC1访问互联网的路径
Type escape sequence to abort.
Tracing the route to 202.1.1.2
1 192.168.10.254 20 msec 12 msec 20 msec
2 192.168.1.1 20 msec 20 msec 20 msec
3 202.1.1.2 28 msec 32 msec 28 msec
R1#sh ip nat translations //查看NAT转换项
Pro Inside global Inside local Outside local Outside global
icmp 202.1.1.1:5 192.168.10.1:5 202.1.1.2:5 202.1.1.2:5
udp 202.1.1.1:49266 192.168.10.1:49266 202.1.1.2:33440 202.1.1.2:33440
udp 202.1.1.1:49267 192.168.10.1:49267 202.1.1.2:33441 202.1.1.2:33441
udp 202.1.1.1:49268 192.168.10.1:49268 202.1.1.2:33442 202.1.1.2:33442
PC2、PC3、PC4上测试，均可ping 通ISP 202.1.1.2，实验成功。
扩展延伸：不同VLAN DHCP自动分配地址
前面所有PC均使用固定IP，但很多单位会使用DHCP。DHCP大部分场景部署在核心交换机或者路由器上，只有极少场景使用专门DHCP服务器。下面以核心交换机部署DHCP为例。
在核心交换机上为不同VLAN DHCP分配VLAN
L3_SW(config)#ip dhcp pool vlan10 #配置地址池VLAN10
L3_SW(dhcp-config)#network 192.168.10.0 255.255.255.0
L3_SW(dhcp-config)#dns 114.114.114.114
L3_SW(dhcp-config)#default-router 192.168.10.254
L3_SW(dhcp-config)#ip dhcp excluded-address 192.168.10.254
L3_SW(config)#
L3_SW(config)#ip dhcp pool vlan20
L3_SW(dhcp-config)#network 192.168.20.0 255.255.255.0
L3_SW(dhcp-config)#dns 114.114.114.114
L3_SW(dhcp-config)#default-router 192.168.20.254
L3_SW(dhcp-config)#ip dhcp excluded-address 192.168.10.254
PC1配置（设置为DHCP获取地址）
PC1(config)#int f0/0
PC1(config-if)#no ip address
PC1(config-if)#ip address dhcp
PC1(config)#no ip default-gateway 192.168.10.254
#如果长时间分配不到IP地址，建议把接口shutdown，然后重新打开；或者no ip address，然后重新配置ip address dhcp。配置完后测试：
PC1#sh ip int brief
Interface IP-Address OK? Method Status Protocol
FastEthernet0/0 192.168.10.1 YES DHCP up up
FastEthernet0/1 unassigned YES unset administratively down down
PC1#ping 202.1.1.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 202.1.1.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 40/243/1048 ms
（PC2/PC3/PC4，测试同理，此处省略）
总结
配置较多，若有兴趣，可以在草稿纸上画拓扑，自己动手模拟一下，不然会比较晕。通过如上讲解，相信大家对中小型园区网有了初步认识。中小型园区网中应用最多的技术：
IP地址规划、VLAN、NAT、静态路由器、默认路由、ACL。
当然，大型园区网架构会复杂得多。比如双核心冗余怎么做？网络多出口怎么实现负载均衡？怎么实现访问电信的流量走电信出口，访问联通的流量走联通出口？核心交换机选择盒式还是箱式设备？接入交换机几十款，选择哪一个？后续再给大家展开介绍……