Cisco三层交换机+路由器组网实战：从VLAN划分到OSPF动态路由配置（附完整拓扑图）

企业级网络架构实战：基于Cisco三层交换与OSPF的跨地域多部门组网方案

最近在帮一家快速发展的科技公司规划网络升级，他们遇到了一个典型的中小型企业痛点：研发、市场、行政三个部门分布在两个办公地点，网络各自为政，文件共享靠U盘，视频会议卡成PPT，更别提什么统一管理和安全策略了。老板拍板要建一个“既安全隔离又能高效互通”的企业内网。这听起来有点矛盾，对吧？隔离和互通，就像鱼和熊掌。但恰恰是这种需求，催生了以三层交换机为核心，结合路由器与OSPF动态路由的经典企业组网方案。这不是实验室里的玩具拓扑，而是能扛住真实业务流量、方便后续运维的实战架构。如果你正面临类似的多部门、跨地域网络整合挑战，或是想从CCNA的理论跨越到能解决实际问题的工程能力，那么这次从规划到排错的完整旅程，或许能给你带来不少接地气的参考。

1. 需求拆解与拓扑设计：从业务场景到技术蓝图

接到需求，第一步不是急着敲命令，而是把业务语言“翻译”成技术语言。客户说的“安全隔离”，对应的是广播域隔离和访问控制；“高效互通”则意味着不同网段间需要可靠的路由。一个常见的误区是，认为划分了VLAN就万事大吉，结果发现不同VLAN间根本无法通信。所以，我们的设计必须同步考虑隔离（L2）与路由（L3）。

1.1 核心设计思路：分层与模块化

我倾向于采用经典的三层网络架构思想来设计这个中型网络，即使设备数量不多，清晰的层次也能让逻辑更明了：

• 接入层（Access Layer）：由交换机S1和S2担任，负责终端设备（PC、IP电话、打印机）的接入。它们的主要职责是实施基于端口的VLAN划分，打上最初的“部门标签”。
• 汇聚/核心层（Distribution/Core Layer）：这是整个网络的大脑，由三层交换机S3承担。它需要做三件关键事：第一，作为所有VLAN的网关（SVI接口）；第二，在不同VLAN间进行高速路由；第三，与路由器之间运行动态路由协议，交换路由信息。
• 广域网/互联网边界层（WAN/Internet Edge）：由路由器R1和R2构成，负责连接不同地理位置的网络（本例中模拟两个办公地点），并作为通向外部网络（如互联网）的出口。

基于这个思路，我绘制了下面的物理与逻辑结合的拓扑图。这张图不仅是设备连接图，更体现了IP地址规划、VLAN分配和OSPF区域划分的逻辑关系，它是后续所有配置的“宪法”。

[互联网/其他网络] | R2 (Area 0) F0/0 | | F0/1 192.168.3.0/24 | 192.168.4.0/24 | | R1 (Area 0) F0/1 | | (未来扩展) 192.168.2.0/24 | | S3 (三层交换核心) VLAN1002 - 192.168.2.1/24 Gi0/1| Trunk | Trunk Gi0/2 | | S1 S2 (接入-Access) (接入-Access) F0/3: VLAN3 F0/3: VLAN9 | | PC1 PC2 172.16.3.2/24 DHCP from S3 (VLAN9) Gateway: 172.16.3.1 Gateway: 172.16.9.1 (地点一：总部) (地点二：分部 - 逻辑上通过R1-R2连接) | S4 (三层交换) VLAN1004 - 192.168.4.1/24 | F0/2 (Access) | PC3 10.0.5.2/24 Gateway: 10.0.5.1

设计要点提示：将路由器之间的链路（R1-R2）以及它们连接核心交换机的链路划分到OSPF的骨干区域（Area 0）是必须的。所有其他区域（如Area 1, Area 2）必须直接与Area 0相连。这种设计确保了路由信息能无环地传递到整个网络。

1.2 地址规划与VLAN映射表

清晰的规划是成功的一半。下面这个表格定义了本次项目中所有的网络分段，建议在实施前打印出来贴在墙上。

这个规划有几个小心思：

1. 使用私有地址段：全部采用RFC 1918定义的私有地址，避免与公网冲突。
2. VLAN编号有意义：部门VLAN用简单数字，设备互联VLAN用较大数字（如1002），便于识别。
3. 子网规模适中：全部使用/24掩码，每个子网约250个可用地址，足够部门发展，也便于管理。

2. 核心交换配置：从VLAN创建到三层路由就绪

配置的核心从三层交换机S3开始。它需要从二层“交换模式”切换到能处理路由的“三层模式”。

2.1 基础VLAN与接口配置

首先，我们创建VLAN并将物理接口划入相应的VLAN。注意，连接路由器的接口（F0/3）我们将其划入一个专门的互联VLAN（1002），并为其配置SVI（Switch Virtual Interface）作为该网段的网关。

! 进入全局配置模式 S3> enable S3# configure terminal ! 设置设备主机名（可选，但强烈建议） S3(config)# hostname Core-SW ! 创建所需的VLAN Core-SW(config)# vlan 3 Core-SW(config-vlan)# name DEPT-RD Core-SW(config-vlan)# exit Core-SW(config)# vlan 9 Core-SW(config-vlan)# name DEPT-MKT Core-SW(config-vlan)# exit Core-SW(config)# vlan 1002 Core-SW(config-vlan)# name TO-Router-R1 Core-SW(config-vlan)# exit ! 配置连接接入层交换机的端口为Trunk模式 ! Trunk端口允许多个VLAN的流量通过，使用802.1Q封装打标签 Core-SW(config)# interface fastEthernet 0/1 Core-SW(config-if)# description Link-to-Access-SW-S1 Core-SW(config-if)# switchport mode trunk Core-SW(config-if)# switchport trunk allowed vlan 3,9,1002 Core-SW(config-if)# no shutdown Core-SW(config-if)# exit Core-SW(config)# interface fastEthernet 0/2 Core-SW(config-if)# description Link-to-Access-SW-S2 Core-SW(config-if)# switchport mode trunk Core-SW(config-if)# switchport trunk allowed vlan 3,9,1002 Core-SW(config-if)# no shutdown Core-SW(config-if)# exit ! 配置连接路由器的端口为Access模式，并划入VLAN 1002 Core-SW(config)# interface fastEthernet 0/3 Core-SW(config-if)# description Link-to-Router-R1 Core-SW(config-if)# switchport mode access Core-SW(config-if)# switchport access vlan 1002 Core-SW(config-if)# no shutdown Core-SW(config-if)# exit

2.2 启用三层路由与SVI配置

这是将交换机变为“三层”的关键步骤。我们需要启用IP路由功能，并为每个VLAN创建SVI接口并配置IP地址，这些IP地址就是该VLAN内所有主机的默认网关。

! 启用IP路由功能 Core-SW(config)# ip routing ! 配置VLAN 3（研发部）的SVI接口 Core-SW(config)# interface vlan 3 Core-SW(config-if)# description Gateway-for-VLAN3-DEPT-RD Core-SW(config-if)# ip address 172.16.3.1 255.255.255.0 Core-SW(config-if)# no shutdown Core-SW(config-if)# exit ! 配置VLAN 9（市场部）的SVI接口 Core-SW(config)# interface vlan 9 Core-SW(config-if)# description Gateway-for-VLAN9-DEPT-MKT Core-SW(config-if)# ip address 172.16.9.1 255.255.255.0 Core-SW(config-if)# no shutdown Core-SW(config-if)# exit ! 配置VLAN 1002（连接路由器）的SVI接口 Core-SW(config)# interface vlan 1002 Core-SW(config-if)# description Gateway-to-R1 Core-SW(config-if)# ip address 192.168.2.1 255.255.255.0 Core-SW(config-if)# no shutdown Core-SW(config-if)# exit

2.3 配置DHCP服务（可选但实用）

为VLAN 9动态分配IP地址可以大大减轻管理负担。我们在核心交换机上配置一个DHCP地址池。

! 配置DHCP服务 Core-SW(config)# service dhcp ! 排除网关地址，避免冲突 Core-SW(config)# ip dhcp excluded-address 172.16.9.1 ! 创建名为VLAN9_POOL的地址池 Core-SW(config)# ip dhcp pool VLAN9_POOL Core-SW(dhcp-config)# network 172.16.9.0 255.255.255.0 Core-SW(dhcp-config)# default-router 172.16.9.1 ! 指定DNS服务器，这里以公共DNS为例，实际应使用内部或运营商DNS Core-SW(dhcp-config)# dns-server 8.8.8.8 114.114.114.114 Core-SW(dhcp-config)# exit

完成以上步骤后，核心交换机S3已经具备了在VLAN 3、VLAN 9和VLAN 1002之间路由的能力，并且为VLAN 9提供了DHCP服务。你可以用show ip interface brief命令检查所有SVI接口的状态是否为“up/up”。

3. 动态路由OSPF配置：让网络自己“学习”路径

静态路由在小型网络中可行，但网络稍一复杂，维护成本就急剧上升。OSPF（开放最短路径优先）协议能让路由器、三层交换机自动发现邻居、交换链路状态信息，并计算出到达所有网络的最优路径。配置得当后，增加一个网段只需要在新设备上宣告即可，全网路由自动更新。

3.1 在核心交换机S3上配置OSPF

S3需要将自己直连的三个网段宣告到OSPF进程中，并指定区域。

! 进入OSPF配置模式，进程ID为1（本地有效，与其他设备无需一致） Core-SW(config)# router ospf 1 ! 手动指定Router-ID，建议使用环回口地址或易于识别的IP Core-SW(config-router)# router-id 1.1.1.1 ! 宣告直连网络，并指定所属区域 ! 注意：反掩码（wildcard-mask）是子网掩码的反码 Core-SW(config-router)# network 172.16.3.0 0.0.0.255 area 1 Core-SW(config-router)# network 172.16.9.0 0.0.0.255 area 1 Core-SW(config-router)# network 192.168.2.0 0.0.0.255 area 1 Core-SW(config-router)# exit

3.2 在路由器R1和R2上配置OSPF

路由器是连接不同OSPF区域的关键。R1一侧连接Area 1，另一侧连接骨干Area 0。R2则连接Area 0和Area 2。

路由器R1配置：

R1> enable R1# configure terminal R1(config)# hostname Router-R1 ! 配置物理接口IP地址 Router-R1(config)# interface fastEthernet 0/1 Router-R1(config-if)# description Link-to-Core-SW Router-R1(config-if)# ip address 192.168.2.2 255.255.255.0 Router-R1(config-if)# no shutdown Router-R1(config-if)# exit Router-R1(config)# interface fastEthernet 0/0 Router-R1(config-if)# description Link-to-Router-R2 Router-R1(config-if)# ip address 192.168.3.2 255.255.255.0 Router-R1(config-if)# no shutdown Router-R1(config-if)# exit ! 配置OSPF Router-R1(config)# router ospf 1 Router-R1(config-router)# router-id 2.2.2.2 Router-R1(config-router)# network 192.168.2.0 0.0.0.255 area 1 Router-R1(config-router)# network 192.168.3.0 0.0.0.255 area 0 Router-R1(config-router)# exit

路由器R2配置：

R2> enable R2# configure terminal R2(config)# hostname Router-R2 ! 配置物理接口IP地址 Router-R2(config)# interface fastEthernet 0/0 Router-R2(config-if)# description Link-to-Router-R1 Router-R2(config-if)# ip address 192.168.3.1 255.255.255.0 Router-R2(config-if)# no shutdown Router-R2(config-if)# exit Router-R2(config)# interface fastEthernet 0/1 Router-R2(config-if)# description Link-to-Branch-SW-S4 Router-R2(config-if)# ip address 192.168.4.2 255.255.255.0 Router-R2(config-if)# no shutdown Router-R2(config-if)# exit ! 配置OSPF Router-R2(config)# router ospf 1 Router-R2(config-router)# router-id 3.3.3.3 Router-R2(config-router)# network 192.168.3.0 0.0.0.255 area 0 Router-R2(config-router)# network 192.168.4.0 0.0.0.255 area 2 Router-R2(config-router)# exit

3.3 在分部交换机S4上配置OSPF

分部交换机S4的配置逻辑与核心交换机S3类似，但宣告的网络和区域不同。

! 假设S4已完成类似S3的VLAN和SVI接口配置（VLAN105和VLAN1004） S4(config)# ip routing S4(config)# router ospf 1 S4(config-router)# router-id 4.4.4.4 S4(config-router)# network 10.0.5.0 0.0.0.255 area 2 S4(config-router)# network 192.168.4.0 0.0.0.255 area 2 S4(config-router)# exit

配置完成后，稍等几十秒（OSPF的Hello和Dead计时器默认分别为10秒和40秒），邻居关系就会建立起来。你可以使用show ip ospf neighbor命令在各个设备上查看邻居状态，确认是否达到“FULL”状态。

4. 验证、排错与高级考量

配置敲完不代表工作结束。严谨的验证和知其所以然的排错能力，才是区分新手和老鸟的关键。

4.1 核心验证命令与结果解读

最直观的验证就是查看路由表。路由表中应该通过OSPF动态学习到非直连的路由，标记为“O”（OSPF域内路由）或“O IA”（OSPF域间路由）。

在核心交换机S3上查看路由表：

Core-SW# show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area ... Gateway of last resort is not set 10.0.0.0/24 is subnetted, 1 subnets O IA 10.0.5.0 [110/4] via 192.168.2.2, 00:05:21, Vlan1002 172.16.0.0/24 is subnetted, 2 subnets C 172.16.3.0 is directly connected, Vlan3 C 172.16.9.0 is directly connected, Vlan9 C 192.168.2.0/24 is directly connected, Vlan1002 O IA 192.168.3.0/24 [110/2] via 192.168.2.2, 00:05:31, Vlan1002 O IA 192.168.4.0/24 [110/3] via 192.168.2.2, 00:05:21, Vlan1002

解读：

• O IA 10.0.5.0：这是一条OSPF域间路由（IA），目标网络是分部的10.0.5.0/24。管理距离是110，度量值是4，下一跳是192.168.2.2（R1），从本地的Vlan1002接口出去。
• O IA 192.168.3.0/24和O IA 192.168.4.0/24：同样是通过R1学到的域间路由。
• 这证明了OSPF正在正常工作，S3已经知道了如何到达分部网络。

接下来进行端到端的连通性测试。从总部研发部的PC1（172.16.3.2）ping分部行政部的PC3（10.0.5.2）。如果路由全部正确，这应该成功。

4.2 常见故障排查清单

如果ping不通，别慌，按照分层和逻辑顺序排查：

1. 物理层与链路层：

   • 线缆是否接好？接口指示灯是否正常？
   • 使用show interfaces status或show interfaces [interface]查看接口状态是否为“connected”和“up/up”。
   • Trunk链路两端封装协议是否匹配？Cisco交换机默认使用802.1Q，但有时需要显式指定switchport trunk encapsulation dot1q。

2. IP连通性：

   • 同一VLAN内主机能否互ping？检验二层交换和VLAN划分。
   • 主机能否ping通自己的网关（SVI地址）？检验主机IP/网关配置和SVI接口状态。
   • 三层设备间直连IP能否互ping？例如S3（192.168.2.1）能否ping通R1（192.168.2.2）？检验互联接口的IP配置和物理状态。

3. OSPF邻居关系：

   • 使用show ip ospf neighbor查看邻居列表。如果没有邻居或状态不是FULL，检查：
     • 接口是否在正确的OSPF区域宣告？network语句的网段和反掩码是否正确？
     • 接口是否被动（passive-interface）了？OSPF Hello包是否被ACL阻挡？
     • 直连设备间的Hello/Dead计时器、区域ID、认证密码等参数是否一致？

4. 路由表：

   • 使用show ip route检查目标网络是否存在于路由表中，以及下一跳是否正确。
   • 如果缺少路由，回到上一步检查OSPF邻居和宣告。

4.3 安全与优化进阶思考

基础连通实现后，可以考虑让网络更安全、更健壮：

• OSPF认证：在邻居间配置明文或MD5认证，防止非法设备接入并宣告虚假路由。

  Router-R1(config)# interface fastEthernet 0/0 Router-R1(config-if)# ip ospf authentication message-digest Router-R1(config-if)# ip ospf message-digest-key 1 md5 YourSecureKey

• 路由汇总：如果Area 1内有多个连续的子网（如172.16.0.0/16下的多个/24），可以在ABR（R1）上做区域间路由汇总，减少路由表条目和更新流量。

  Router-R1(config-router)# area 1 range 172.16.0.0 255.255.0.0

• DHCP中继：如果DHCP服务器不在客户端所在网段，需要在网关接口（如S3的VLAN SVI）下配置ip helper-address，将DHCP广播请求单播转发到服务器。
• 访问控制列表（ACL）：在三层交换机或路由器上配置ACL，实现部门间访问控制。例如，只允许市场部（VLAN9）访问行政部（10.0.5.0/24）的特定服务器端口。

整个项目配置下来，最大的感触不是敲了多少行命令，而是在动手前把拓扑、地址、VLAN规划图画清楚所节省的时间，远超后期排错消耗的时间。网络工程，七分规划，三分实施。当你在S3上看到那条指向10.0.5.0的OSPF路由，并从PC1成功ping通PC3时，那种整个网络在你掌控下“活”起来的感觉，是看再多理论也替代不了的。下次如果你遇到需要连接多个分支机构，或者公司内部网络需要重构，不妨试试这套以三层交换为核心、OSPF为脉络的方案，它可能比你想象的更强大、更灵活。