1. 單臂路由實驗思路為什么這個老技術(shù)還值得親手做一遍做網(wǎng)絡(luò)工程或者剛?cè)胄羞\維的朋友對“單臂路由”這個詞應(yīng)該都不陌生。它幾乎是所有網(wǎng)絡(luò)教程里必講的一個實驗也是我在帶新人時一定會讓他們動手做的基礎(chǔ)實驗之一。簡單來說單臂路由英文叫Router-on-a-Stick是一種用一臺路由器、一條物理鏈路就能實現(xiàn)不同VLAN之間三層互通的技術(shù)方案。你可能會有疑問現(xiàn)在企業(yè)里動不動就是三層交換機VLAN間路由用交換機上配個SVI交換虛擬接口就搞定了為什么還要折騰路由器這個問題的答案恰恰是這個實驗存在的價值。單臂路由解決的是“沒有三層交換機或者不想讓交換機承擔三層轉(zhuǎn)發(fā)壓力”時的場景。比如你手頭只有一臺老舊的路由器再配一臺普通的二層交換機想讓兩個VLAN內(nèi)的電腦能互相訪問單臂路由就是成本最低、最容易理解的方案。而且從學習角度講單臂路由實驗是理解“VLAN標簽怎么在鏈路上傳遞”“子接口是什么”“802.1Q封裝到底做了什么”這些核心概念的最佳入口。我見過不少新人VLAN和Trunk的概念背得滾瓜爛熟但一問到“不同VLAN的包到底是怎么穿過Trunk鏈路去找網(wǎng)關(guān)的”就卡殼。親手做完單臂路由實驗這個鏈路就通了。這個實驗適合誰來練手我認為所有網(wǎng)絡(luò)方向的學生、剛?cè)胄械木W(wǎng)絡(luò)運維、以及準備考HCIA或CCNA認證的朋友都應(yīng)該在模擬器里完整做一遍。哪怕你所在的公司用不到這個技術(shù)理解它的原理對你排查網(wǎng)絡(luò)故障也有很大幫助。畢竟生產(chǎn)環(huán)境里偶爾還能碰到一臺路由器作為VLAN網(wǎng)關(guān)的奇葩組網(wǎng)原理不懂出問題的時候你連排查方向都沒有。我自己當年學這個實驗的時候網(wǎng)上資料雖然多但大多是直接甩配置命令基本不講為什么。這次我把實驗重新梳理了一遍從整體設(shè)計、子接口原理、具體配置到故障排查用我的實際經(jīng)驗把整個過程講透。2. 實驗拓撲設(shè)計與VLAN規(guī)劃動手前先想清楚這幾個問題2.1 實驗需要哪些設(shè)備和基礎(chǔ)拓撲做這個實驗首先得有一臺路由器、一臺二層交換機還有至少兩臺PC用來測試不同VLAN之間的連通性。我用的模擬器是Cisco Packet Tracer版本無所謂7.x就行。你要是用EVE-NG或者GNS3拿真實IOS鏡像做也是一樣的道理命令完全通用。拓撲結(jié)構(gòu)很簡單我畫了個最經(jīng)典的接法PC1接在交換機的FastEthernet0/1口屬于VLAN 10IP地址規(guī)劃為192.168.10.0/24網(wǎng)段。PC2接在交換機的FastEthernet0/2口屬于VLAN 20IP地址規(guī)劃為192.168.20.0/24網(wǎng)段。交換機的FastEthernet0/24口作為Trunk口連接路由器的GigabitEthernet0/0接口。路由器上不做物理接口的IP配置而是把這個物理接口劃分成兩個子接口G0/0.10和G0/0.20分別對應(yīng)VLAN 10和VLAN 20的網(wǎng)關(guān)。這里要特別提醒一點兩個PC要設(shè)置好各自的默認網(wǎng)關(guān)。PC1的網(wǎng)關(guān)是192.168.10.1PC2的網(wǎng)關(guān)是192.168.20.1。為什么一定要設(shè)網(wǎng)關(guān)因為PC發(fā)出跨網(wǎng)段通信的包時它會發(fā)現(xiàn)目標IP和自己的IP不在同一個網(wǎng)段于是直接把包扔給默認網(wǎng)關(guān)。如果不設(shè)置網(wǎng)關(guān)哪怕路由器配置得再完美數(shù)據(jù)包也到不了路由器實驗必失敗。這個看似基礎(chǔ)的點我在幫人排查問題的時候發(fā)現(xiàn)至少有三分之一的情況是栽在這里。2.2 為什么必須用Trunk鏈路而不是Access鏈路很多新手在搭這個拓撲時會犯一個根深蒂固的錯誤覺得交換機的F0/24連的是路由器配成Access口不就行了這里面的關(guān)鍵理解在于交換機連接路由器的這條鏈路必須同時承載VLAN 10和VLAN 20兩個VLAN的流量。如果把它配成Access口并劃到某個VLAN那交換機在往這個端口發(fā)送數(shù)據(jù)幀時會把這個端口所屬VLAN的標簽給剝掉其他VLAN的流量根本就不會從這臺口上發(fā)出去。這就意味著要么只有VLAN 10能跟路由器通信要么只有VLAN 20能通信永遠不可能做到兩個VLAN都通。所以這條鏈路必須是Trunk口。Trunk口的作用是允許多個VLAN的流量通過并且數(shù)據(jù)幀在穿過這條鏈路時保持802.1Q的VLAN標簽不剝離。路由器收到這些帶標簽的數(shù)據(jù)幀后才能根據(jù)標簽判斷這個包屬于哪個VLAN再交給對應(yīng)的子接口去處理。交換機上F0/24的配置如下interface FastEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20需要說明的是在Cisco交換機上只要這條鏈路兩端的設(shè)備都支持DTP動態(tài)中繼協(xié)議你直接配switchport mode trunk就行它會自動協(xié)商。有些老設(shè)備會出現(xiàn)協(xié)商不上的情況穩(wěn)妥一點的做法是把對端也手動指定為trunk模式。當然這里對端是路由器路由器接口沒有trunk概念只有子接口的封裝配置所以交換機這邊手動指定trunk就對了。2.3 VLAN劃分和IP地址規(guī)劃明細這個實驗里VLAN和IP的規(guī)劃我按照最常見的做法來定設(shè)備所屬VLANIP地址網(wǎng)關(guān)說明PC1VLAN 10192.168.10.10/24192.168.10.1模擬辦公網(wǎng)段PC2VLAN 20192.168.20.10/24192.168.20.1模擬研發(fā)網(wǎng)段路由器子接口G0/0.10VLAN 10192.168.10.1/24無VLAN 10網(wǎng)關(guān)路由器子接口G0/0.20VLAN 20192.168.20.1/24無VLAN 20網(wǎng)關(guān)其實IP地址用什么都行只要兩個網(wǎng)段不沖突并且網(wǎng)關(guān)地址和路由器子接口地址一致即可。但強調(diào)一下規(guī)劃的時候一定要考慮后面的擴展。比如你把PC1的IP配成192.168.1.10PC2配成192.168.2.10網(wǎng)段之間差別不夠直觀排查的時候就容易看得眼花繚亂。建議直接用10、20這種和VLAN編號對應(yīng)的網(wǎng)段一眼就能看出哪個IP屬于哪個VLAN省去很多麻煩。3. 子接口與802.1Q封裝單臂路由最核心的原理拆解3.1 什么是路由器的子接口路由器上我們通常配置的是物理接口比如GigabitEthernet0/0。但如果我們直接把物理接口劃到一個IP網(wǎng)段里它就只能作為這一個網(wǎng)段的網(wǎng)關(guān)。要讓一個物理接口同時承擔多個網(wǎng)段的網(wǎng)關(guān)職責就得把這個物理接口“分裂”成多個邏輯接口這就是子接口。子接口的編號規(guī)則是“物理接口編號.子接口編號”比如G0/0.10、G0/0.20。它不是一個真實的物理插槽或端口而是路由器內(nèi)部創(chuàng)建的一個邏輯處理單元。每個子接口可以獨立配置IP地址也可以獨立封裝不同的VLAN標簽。數(shù)據(jù)幀到達物理接口后路由器會根據(jù)幀里攜帶的802.1Q標簽值決定把它交給哪個子接口去處理。這在概念上很像在一間辦公室里隔出不同的工位區(qū)域物理空間是同一個房間物理接口但每個區(qū)域各干各的活子接口。數(shù)據(jù)幀就像走進這間辦公室的人門口的保安看一眼他身上貼的標簽VLAN ID就告訴他去哪個區(qū)域報到。3.2 802.1Q標簽的作用與封裝過程802.1Q也叫Dot1Q是一種在以太網(wǎng)幀中插入VLAN標簽的協(xié)議標準。標準以太網(wǎng)幀本來沒有VLAN字段802.1Q在源MAC地址和類型/長度字段之間插入了4個字節(jié)其中用12個比特位來標識VLAN ID取值范圍是0到4095。交換機在Access口收到PC發(fā)來的普通數(shù)據(jù)幀時會打上這個端口所屬VLAN的802.1Q標簽。這個帶標簽的幀通過Trunk口傳給路由器。路由器物理接口收到后一看幀里有標簽就知道這是VLAN 10的幀于是把它交給配置了encapsulation dot1Q 10的子接口G0/0.10來處理。子接口解封裝后取出里面的IP包查路由表發(fā)現(xiàn)目標網(wǎng)段192.168.20.0/24是直連網(wǎng)段通過子接口G0/0.20于是把數(shù)據(jù)包重新封幀從G0/0.20轉(zhuǎn)發(fā)出去。VLAN 20那邊的PC收到回復包后整個流程反過來再來一遍。這就是單臂路由實現(xiàn)VLAN間通信的完整數(shù)據(jù)面過程。關(guān)鍵點在于每次轉(zhuǎn)發(fā)都要經(jīng)過“剝標簽→查路由→重新打標簽”的過程。3.3 路由器如何區(qū)分不同VLAN的數(shù)據(jù)幀路由器區(qū)分不同VLAN的數(shù)據(jù)幀靠的就是幀里的802.1Q標簽。這也是為什么子接口上必須配置encapsulation dot1Q vlan-id這條命令。這條命令是在告訴路由器“當物理接口收到標簽為X的幀時請交給本子接口處理”。有個很常見的錯誤做法是只配IP不配封裝。比如你在子接口G0/0.10上配置了IP 192.168.10.1但忘了敲encapsulation dot1Q 10。結(jié)果就是路由器根本不認這個子接口因為物理接口收上來的幀帶著VLAN 10的標簽但路由器不知道VLAN 10的幀應(yīng)該匹配哪個子接口。數(shù)據(jù)包到了路由器就被丟棄你ping不通查配置發(fā)現(xiàn)IP看著好像沒問題非常容易卡在這一步排查半天查不出來。封裝命令的格式在不同廠商設(shè)備上略有差異。Cisco上是encapsulation dot1Q 10華為上是dot1q termination vid 10但邏輯完全一樣。理解了這個原理你在任何廠商設(shè)備上都能快速上手。4. 單臂路由完整配置過程與驗證方法4.1 交換機配置步驟先說明一下我這里全程用Cisco Packet Tracer里的設(shè)備做演示。你們在真機上操作時的命令順序可以稍有不同但核心內(nèi)容一樣。交換機上的配置很簡單一共三部分創(chuàng)建VLAN、劃分接口到VLAN、配置Trunk口。第一步創(chuàng)建VLAN 10和VLAN 20vlan 10 name VLAN10 vlan 20 name VLAN20第二步把F0/1劃分到VLAN 10F0/2劃分到VLAN 20interface FastEthernet0/1 switchport mode access switchport access vlan 10 interface FastEthernet0/2 switchport mode access switchport access vlan 20第三步配置F0/24為Trunk口interface FastEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20這里有個小細節(jié)在Packet Tracer里交換機的switchport trunk allowed vlan這條命令默認情況下Trunk口是允許所有VLAN通過的。所以如果你不寫這條命令其實Trunk口也能轉(zhuǎn)發(fā)VLAN 10和VLAN 20的流量。但顯式地把它寫出來第一是為了安全避免其他VLAN的流量意外跑到路由器上第二也是更重要的是讓你自己清楚這條Trunk鏈路到底承載了哪些VLAN。生產(chǎn)環(huán)境里我強烈建議你這樣做有些網(wǎng)絡(luò)工程師圖省事所有Trunk口都保留默認的allow all安全審計的時候這就是一個妥妥的批評點。另外提醒一下Cisco交換機如果要對端是路由器建議在F0/24上加上switchport nonegotiate。不然交換機可能會一直向路由器發(fā)送DTP協(xié)商幀雖然路由器收到后不會回應(yīng)不會導致故障但沒有必要讓這些無用的協(xié)商幀在鏈路上跑著玩。4.2 路由器子接口配置步驟路由器上的配置是這個實驗的精華所在。先說物理接口再創(chuàng)建子接口。物理接口需要做的就是把它開啟并且不要配置IP地址interface GigabitEthernet0/0 no shutdown有人可能會問為什么不給物理接口配IP因為物理接口的職責只是接收和發(fā)送帶標簽的數(shù)據(jù)幀它本身不承擔三層網(wǎng)關(guān)的功能所以不需要IP。真正干活的是子接口。接下來創(chuàng)建子接口G0/0.10對應(yīng)VLAN 10interface GigabitEthernet0/0.10 encapsulation dot1Q 10 ip address 192.168.10.1 255.255.255.0再創(chuàng)建子接口G0/0.20對應(yīng)VLAN 20interface GigabitEthernet0/0.20 encapsulation dot1Q 20 ip address 192.168.20.1 255.255.255.0這就完成了。核心命令就這四條。但這里有幾個我踩過的坑逐一說給你聽。第一個坑配置子接口時很多人會順手在物理接口上配置了IP地址。一旦物理接口有了IP子接口就算配置了也沒用。因為路由器的路由表里物理接口直連的那個網(wǎng)段會影響整個選路邏輯而且數(shù)據(jù)幀在物理接口上直接就被處理了壓根不會按照標簽分給子接口。所以記住物理接口上堅決不配置IP。第二個坑子接口沒有開啟和關(guān)閉的概念它隨物理接口。只要物理接口是up的子接口就是up的。所以如果你想重啟子接口只需要對物理接口執(zhí)行shutdown再no shutdown即可。第三個坑在Cisco路由器上子接口默認不會啟動。雖然你創(chuàng)建了子接口但如果你不敲encapsulation dot1Q命令這個子接口就不會轉(zhuǎn)發(fā)任何數(shù)據(jù)流量。這也是很多人配置完發(fā)現(xiàn)ping不通時容易忽略的點。你查show ip interface brief子接口狀態(tài)是up但就是不通原因往往就是沒封裝VLAN或封裝錯了編號。4.3 連通性驗證與常用排查命令配置完成后怎么驗證實驗是否成功我建議按以下順序?qū)訉域炞C。第一步驗證接口狀態(tài)。在路由器上執(zhí)行show ip interface brief輸出里應(yīng)該能看到G0/0.10和G0/0.20都是up/up狀態(tài)。如果顯示down/down或者up/down那說明物理鏈路有問題或者子接口封裝配置有問題。順便看一眼PC的網(wǎng)卡狀態(tài)是否正常ARP能不能解析到網(wǎng)關(guān)。第二步驗證PC到網(wǎng)關(guān)的連通性。在PC1上ping 192.168.10.1這測試的是PC1能不能到自己的網(wǎng)關(guān)。如果這一步不通別急著看路由器配置先檢查PC1的IP地址和網(wǎng)關(guān)是否配對了再檢查交換機F0/1是否劃到了正確的VLAN。我遇到過很多次配置半天發(fā)現(xiàn)是PC的IP和網(wǎng)關(guān)不在同一個網(wǎng)段純屬手誤。第三步驗證跨VLAN通信。在PC1上ping 192.168.20.10。如果通了實驗就成功了。如果不通那你需要在路由器上抓包或者進一步排查。還有一個反向驗證的思路也特別好用。你可以在交換機上查看MAC地址表執(zhí)行show mac address-table。正常情況下在PC1 ping完P(guān)C2之后你應(yīng)該能看到交換機的F0/24口上學習到了路由器的MAC地址而且這個MAC地址出現(xiàn)在多個VLAN的表項里。這就證明Trunk鏈路確實在承載多個VLAN的流量。4.4 華為設(shè)備配置參考現(xiàn)在國內(nèi)很多企業(yè)用華為設(shè)備我把華為的配置命令也貼出來方便你們對照學習。邏輯完全一樣只是語法不同。交換機上的配置vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20路由器上的配置interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable華為路由器上有一句arp broadcast enable很多教程里都會提到。這是因為華為路由器子接口默認不處理廣播報文而ARP請求就是廣播報文。如果不開啟這個功能PC發(fā)ARP請求想解析網(wǎng)關(guān)MAC地址的時候路由器收到廣播包會直接丟棄PC永遠學不到網(wǎng)關(guān)的MAC無法通信。Cisco設(shè)備上默認允許子接口處理廣播所以沒有這個問題。這個差異點很值得記下來跨廠商排查時非常有用。5. 實驗中的核心原理復盤數(shù)據(jù)幀在單臂路由中的完整流轉(zhuǎn)路徑實驗做完連通性也驗證通過了如果你只是到這里就收工那這個實驗的學習價值就少了一大半。真正要理解的是PC1和PC2通信時數(shù)據(jù)幀在每一條鏈路上到底是什么樣子的。我把完整的數(shù)據(jù)流轉(zhuǎn)路徑拆解一遍你跟著走一遍很多概念就能串起來了。第一步PC1發(fā)起ping 192.168.20.10。PC1檢查自己的IP和目標的IP發(fā)現(xiàn)不在同一個網(wǎng)段一個是192.168.10.0/24一個是192.168.20.0/24于是它決定把數(shù)據(jù)包發(fā)給默認網(wǎng)關(guān)192.168.10.1。PC1需要知道網(wǎng)關(guān)的MAC地址于是發(fā)送ARP請求廣播詢問“誰是192.168.10.1”。第二步這個ARP請求廣播幀從PC1發(fā)出到達交換機F0/1口。交換機發(fā)現(xiàn)F0/1屬于VLAN 10于是給這個幀打上VLAN 10的標簽然后在VLAN 10內(nèi)部泛洪。由于F0/24是Trunk口且允許VLAN 10通過這個帶VLAN 10標簽的幀通過Trunk鏈路發(fā)到了路由器G0/0物理接口。第三步路由器物理接口收到這個帶VLAN 10標簽的幀根據(jù)標簽值10把它交給子接口G0/0.10。子接口G0/0.10處理完ARP請求把自己的MAC地址作為應(yīng)答返回?；爻痰腁RP應(yīng)答幀從路由器發(fā)出時同樣帶著VLAN 10的標簽經(jīng)過交換機后交換機在F0/1口把標簽剝掉以普通數(shù)據(jù)幀的形式交給PC1。此時PC1已經(jīng)學到了網(wǎng)關(guān)的MAC地址。第四步PC1發(fā)出真正的ICMP Echo Request包目的MAC是網(wǎng)關(guān)MAC目的IP是192.168.20.10。這個包同樣被交換機打上VLAN 10標簽通過Trunk鏈路傳給路由器最終交給G0/0.10子接口。第五步G0/0.10子接口剝掉VLAN 10標簽取出里面的IP包查詢路由表。路由表里有兩個直連網(wǎng)段192.168.10.0/24在G0/0.10192.168.20.0/24在G0/0.20。目標地址192.168.20.10匹配第二個網(wǎng)段所以路由器把數(shù)據(jù)包從G0/0.20子接口轉(zhuǎn)發(fā)出去封裝VLAN 20標簽從物理接口發(fā)出。第六步交換機從F0/24口收到這個帶VLAN 20標簽的幀由于F0/2屬于VLAN 20交換機把標簽剝掉把原始幀從F0/2口發(fā)給PC2。PC2收到ICMP Echo Request發(fā)現(xiàn)目標IP就是自己于是回復Echo Reply?；爻搪窂酵耆珜ΨQ。整個流程走完你會發(fā)現(xiàn)單臂路由的一個很明顯的特性南北向流量PC到網(wǎng)關(guān)和東西向流量PC到PC全部都要經(jīng)過路由器。而不像三層交換機那樣可以在交換機內(nèi)部直接完成VLAN間轉(zhuǎn)發(fā)。這既是單臂路由的優(yōu)勢簡單、低成本也是它最大的瓶頸所有流量繞一圈路由器成了性能瓶頸。所以生產(chǎn)環(huán)境里單臂路由通常只用于流量較小的場景大流量場景基本不會用。但這個實驗的原理和三層交換機內(nèi)部轉(zhuǎn)發(fā)數(shù)據(jù)包的方式高度相似把單臂路由吃透了你理解三層交換的硬件轉(zhuǎn)發(fā)邏輯會容易很多。6. 單臂路由實驗的擴展思考與常見誤區(qū)6.1 單臂路由和三層交換機選哪個做實驗的時候可以順便思考一個生產(chǎn)層面的問題什么情況下用單臂路由什么情況下應(yīng)該用三層交換機我的經(jīng)驗是如果只是臨時組網(wǎng)、實驗室環(huán)境或者路由器本來就是網(wǎng)絡(luò)中的核心設(shè)備而且性能足夠強那單臂路由完全夠用。但如果網(wǎng)絡(luò)中東西向流量非常大比如兩個VLAN之間有大量文件共享、數(shù)據(jù)庫訪問那單臂路由就不合適了。因為所有流量都要在路由器的子接口之間走一遍路由器CPU就會成為瓶頸。而三層交換機直接查硬件轉(zhuǎn)發(fā)表如Cisco的CEF表項轉(zhuǎn)發(fā)不經(jīng)過CPU轉(zhuǎn)發(fā)性能是路由器望塵莫及的。所以在正經(jīng)的生產(chǎn)環(huán)境中VLAN間路由基本都用三層交換機上的SVI接口來實現(xiàn)單臂路由更多是在特定場景下作為補充或者備份方案存在。但這不意味著單臂路由不值得學。實際上理解單臂路由的數(shù)據(jù)幀流轉(zhuǎn)過程是理解三層交換機SVI轉(zhuǎn)發(fā)過程的絕佳鋪墊。三層交換機SVI的轉(zhuǎn)發(fā)邏輯本質(zhì)上和單臂路由一模一樣區(qū)別只是轉(zhuǎn)發(fā)引擎一個是硬件一個是軟件處理位置一個在交換機內(nèi)部一個在外接路由器。你看懂一個另一個就通了。6.2 實驗中最常見的三個配置錯誤這個實驗我?guī)腿伺挪檫^很多次最常遇到的問題集中在下面三個地方。第一個是Trunk鏈路沒有正常建立。你配了switchport mode trunk但可能因為DTP協(xié)商失敗鏈路實際還是以Access模式在工作。驗證方法是在交換機上執(zhí)行show interfaces trunk看Trunk口是否列出。如果輸出為空說明Trunk沒起來這時候要么手動指定兩端都為trunk要么檢查有沒有打錯接口編號。第二個是VLAN封裝編號和交換機上的VLAN劃分對不上。比如交換機里VLAN 10在F0/1口但路由器子接口上封裝的是encapsulation dot1Q 20那PC1發(fā)的幀到路由器后會被交給G0/0.20和G0/0.10的IP完全不搭通信自然失敗。排查時在路由器上執(zhí)行show dot1q vlan或者show vlans可以清晰看到每個子接口對應(yīng)了哪個VLAN ID一眼就能對照出問題。第三個是PC的網(wǎng)關(guān)設(shè)置錯誤。這個雖然看起來入門但在緊急排查時經(jīng)常被忽略。PC1的網(wǎng)關(guān)必須是192.168.10.1PC2的網(wǎng)關(guān)必須是192.168.20.1。你要是把PC2的網(wǎng)關(guān)也填成192.168.10.1那PC2發(fā)出的包會被扔給一個不屬于它網(wǎng)段的網(wǎng)關(guān)路由器收不到也回不了整個實驗必然失敗。務(wù)必在配置前就把IP規(guī)劃表列好哪個網(wǎng)段配哪個網(wǎng)關(guān)一目了然。6.3 擴展到802.1Q VLAN間路由的更多變體單臂路由實驗做完后如果想繼續(xù)深入可以再做兩個變體實驗。第一個變體是“Trunk上只允許特定VLAN”。在上面的實驗里交換機F0/24的Trunk口如果沒有顯式限制VLAN默認會允許所有VLAN通過。你可以嘗試在Trunk口上限制只允許VLAN 10通過然后觀察VLAN 20還能不能和路由器通信。這個實驗能幫你理解allowed vlan的實際作用以及Trunk鏈路兩端的VLAN許可列表為什么要嚴格對齊。第二個變體是“在真實路由器上增加一個VLAN 30兩個網(wǎng)段的互通”。比如再增加一個VLAN 30網(wǎng)段192.168.30.0/24交換機上新建VLAN 30F0/3口加入VLAN 30路由器上新建子接口G0/0.30并封裝dot1Q 30然后驗證三個VLAN兩兩互通。這個擴展非常有價值因為它能驗證你對子接口配置的理解是不是舉一反三而不是背命令。6.4 實驗后的思考題我給你們留三道思考題能把這幾個問題答清楚說明你是真的理解了這個實驗而不只是跟著教程敲了一遍命令。第一個問題如果交換機的Trunk口上不允許VLAN 20通過但VLAN 20里的PC配置的網(wǎng)關(guān)是192.168.20.1也就是路由器子接口G0/0.20那VLAN 20的PC能ping通自己的網(wǎng)關(guān)嗎答案是不能。因為Trunk鏈路不允許VLAN 20的標簽通過VLAN 20的ARP請求壓根到不了路由器。這個問題考察的是Trunk鏈路和VLAN標簽的聯(lián)動關(guān)系。第二個問題如果路由器上有多個子接口但交換機Trunk口只允許了部分VLAN通過那其他VLAN的子接口狀態(tài)顯示是什么在Cisco路由器上執(zhí)行show ip interface brief你會發(fā)現(xiàn)那些沒有流量到達的子接口可能顯示為up/up但實際是“假活”。因為子接口是否up取決于物理接口狀態(tài)而和有沒有流量無關(guān)。這個問題考察的是接口狀態(tài)和業(yè)務(wù)連通性之間的本質(zhì)區(qū)別。第三個問題如果PC1要ping一個公網(wǎng)地址比如8.8.8.8在路由器上配置了默認路由指向運營商的前提下單臂路由能否把這個包送出去可以。PC把包發(fā)給網(wǎng)關(guān)192.168.10.1路由器在路由表里查找目標地址匹配默認路由從出接口轉(zhuǎn)發(fā)出去。這里有個容易忽略的配置點如果路由器上還配置了NAT需要保證NAT匹配的ACL沒有搞錯內(nèi)網(wǎng)網(wǎng)段范圍。這個問題是把單臂路由和外網(wǎng)通信結(jié)合起來思考對后面學NAT非常有幫助。7. 寫在最后的一些實操心得這個實驗我在學習階段做過至少五六遍后來帶新人也帶他們做過很多遍。每次做完都有新的體會最后說幾個我自己的經(jīng)驗總結(jié)。第一模擬器里做實驗沒問題不代表真機上就沒問題。Packet Tracer對很多細節(jié)做了簡化處理比如DTP協(xié)商、STP收斂這些過程模擬器上基本感知不到。有條件的話建議在真機或者GNS3/EVE-NG的完整IOS鏡像里再做一遍那種感覺是完全不一樣的。第二這個實驗最大的價值在于讓你徹底理解VLAN標簽的來龍去脈。很多人在配置完單臂路由后對“交換機給數(shù)據(jù)幀打標簽、路由器剝標簽重新打標簽”這個過程還是模模糊糊的。我建議你在Packet Tracer的模擬模式下把ICMP包從PC1到PC2的整個過程逐幀看一遍觀察每個幀在每條鏈路上是否有VLAN標簽、標簽值是多少。這個操作能幫你把實驗里所有抽象的概念全部落地。第三做網(wǎng)絡(luò)實驗一定要養(yǎng)成“先規(guī)劃再動手”的習慣。別一上來就敲命令先把拓撲畫出來、把IP地址和VLAN規(guī)劃表寫出來、把預期結(jié)果寫下來然后再配置。這樣出了問題你能很快定位到是哪一步?jīng)]配置對。這個習慣在生產(chǎn)環(huán)境的網(wǎng)絡(luò)割接和變更中尤其重要我見過的很多事故根源都是動手前沒有規(guī)劃清楚。單臂路由雖然是個老技術(shù)但它承載著VLAN、Trunk、802.1Q封裝、子接口、路由轉(zhuǎn)發(fā)這一整套核心知識的串聯(lián)任務(wù)。踏踏實實把這個實驗做明白你的網(wǎng)絡(luò)基礎(chǔ)就算是真正扎穩(wěn)了。如果這個實驗做完還有余力下一步我建議你把三層交換機上的SVI配置實驗再做一遍對比一下兩套方案各自的特點和適用場景這會對你的整體網(wǎng)絡(luò)架構(gòu)思維提升非常有幫助。