HCIP三层架构与VLAN配置：从核心设计到实战排错

HCIP(华为高级网络安全工程师)(第十六天)(三层架构/VLAN)HCIP数通方向的备考路上第十六天是个很有意思的分水岭。前面几天你把二层的STP、链路聚合、VLAN基础过了一遍三层的路由协议、静态路由也打完了底到这一天终于要把二层和三层拼在一起去理解真实园区网里最核心的那套骨架——三层架构和VLAN的配合。这套东西不只是考试重点你日后到任何一个项目现场看网络拓扑十有八九都是这个模型的变体核心层、汇聚层、接入层每层该干什么VLAN怎么切、网关放哪、流量怎么走想明白了这一层HCIP的很多大题会瞬间通顺。我当年学到这一块的时候最大的感受是终于开始讲人话了。之前学的都是零散技术点STP是防环的VLAN是隔离广播域的OSPF是建邻居的但这些东西到底怎么组合成一个能跑的网络一直没概念。三层架构这一天就是来把这个拼图拼完整的。如果你正准备HCIP考试或者刚接触园区网络项目这篇文章可以当作学习笔记来用我会把三层架构的设计逻辑、VLAN的规划方法、关键配置命令、常见坑点都串在一起讲一遍。1. 网络为什么一定要分层三层架构的设计逻辑1.1 核心层、汇聚层、接入层的职责边界先别急着敲命令把分层逻辑想清楚比什么都重要。三层架构说白了就是把网络设备按职责分成三类角色各管一摊子事。接入层是你终端设备插上去的那一层交换机数量最多端口密度要求高。它的核心职责就两个把终端设备拉进网络并且给每个终端划分到正确的VLAN里。大部分情况下接入交换机不需要太强的处理能力它不终结网关也不跑动态路由甚至很多项目里接入交换机连管理都交给汇聚去做。它的任务就是老老实实转发数据帧把用户的流量送到上面去。汇聚层是承上启下的环节职责就厚重多了。首先它是VLAN的网关所在地也就是用户流量的下一跳做VLAN间路由。其次它要承担策略控制的角色访问控制列表、QoS、安全防护这些通常都在汇聚层做因为核心层追求的是速度不该被复杂的策略拖累。另外汇聚层还要做冗余设计双链路、双设备配合VRRP之类的高可用技术确保某个汇聚设备挂了业务不中断。核心层是整个网络的高速公路唯一目标就是快。它负责把各个汇聚区域连接起来让跨区域的流量以最短路、最低延迟的方式通过。核心层尽量不要配置复杂的策略ACL、QoS这类东西越少越好因为每一层处理都会引入延迟而所有流量都要经过核心它必须保持傻快——不做什么复杂的判断就负责大规模的高速转发。很多刚入行的工程师喜欢把安全策略往核心上堆结果网络性能被拖垮这是很常见的设计失误。1.2 网关放在哪三层架构下的关键决策三层架构里有个老生常谈但特别关键的问题用户网关到底放在接入层还是汇聚层我们常见的做法是网关在汇聚层上用VLANIF来实现。为什么不能放在接入层因为在标准三层架构里接入层被设计成纯二层角色它不维护路由表不终结三层流量。网关放到汇聚层的核心理由是汇聚层可以统管多个接入交换机如果每个接入交换机都做网关那么网关地址就散落各处用户跨接入交换机通信时就是三层路由了VLAN需要穿透到汇聚所有路由逻辑会变得极其复杂。而放在汇聚层所有VLAN的网关都在汇聚设备上接入层只负责二层透传结构非常清晰。还有一个实际问题如果网关在接入层那接入交换机就得跑动态路由协议这对设备性能是不小的挑战。接入交换机通常数量大、成本敏感让它承担三层协议的开销得不偿失。这套接入走二层、汇聚终结网关、核心做高速转发的模型本质上是把转发的复杂度降下来了。你在配置之前先想想你设计的网络里每台设备的角色是什么该不该有网关该不该跑路由协议思路对了后面配置就不会乱。2. VLAN不只是用来隔离标签机制与接口类型的底层认知2.1 VLAN标签的传播机制Access、Trunk、HybridVLAN的核心价值是隔离广播域但这只是表象。真正决定VLAN能不能按你设想的方式工作的是端口对VLAN标签的处理方式。HCIP考试里这块考得特别细因为它是理解三层架构和VLAN配合的基础。Access口是最简单的它属于且只属于一个VLAN从Access口进入的数据帧会被打上该端口所在VLAN的标签出去的时候剥离标签。Access口通常连接终端设备因为你不能指望一台打印机或PC发的帧自带VLAN标签。Access口的配置思路就是我就管这一个用户/设备。Trunk口是交换机之间的主干道它可以放通多个VLAN默认情况下Trunk口会放通所有VLAN但在实际配置中你需要手动指定放通哪些VLAN这是一个极其重要的安全习惯。Trunk口在发出帧的时候会保留VLAN标签这样对端交换机才能知道这个帧属于哪个VLAN。还有PVIDPort VLAN ID这个概念Trunk口上默认PVID为1也就是Access口上那个default vlan的作用。从Trunk口收到的未打标帧会被当作PVID对应的VLAN来处理。在华为设备上Trunk口出去的去标签行为取决于是否允许该VLAN通过以及该VLAN是否为PVID。很多初学者在这里翻车把Trunk口的PVID理解成和Access口一样结果流量行为跟预期完全不一致。Hybrid口是华为特有的模式它既可以像Access那样从某个VLAN去标签出来也可以像Trunk那样保留标签而且可以同时放通多个VLAN。它的灵活性很强一般用于特殊场景比如连接路由器、服务器或者实现某些VLAN对某些端口可见、其他VLAN不可见的需求。但是在三层架构的传统模型里我们基本只用Access和Trunk就够了。我建议你在考试前把Hybrid理解清楚因为HCIP确实会考但在设计实操中绝大多数场景AccessTrunk足够覆盖你的需求。2.2 VLAN规划和IP地址规划的联动VLAN规划不是随便拍脑袋分一分就完事的它必须和IP地址规划联动。我见过不少项目VLAN编号和网段完全不对应排查问题时痛苦得要命。一个务实的规划习惯是VLAN编号和IP网段建立强对应关系。比如VLAN 10对应10.10.10.0/24这个网段VLAN 20对应10.10.20.0/24一眼就能看出来哪个VLAN是哪个网段排查问题时抓包或者查ARP表马上就能定位。业务VLAN的数量也要留够余量。按部门分是最常见的财务、研发、人事、访客各自独立VLAN。但不要分太细VLAN数量越多Trunk放通列表越长配置维护成本越高。通常建议一个部门一个VLAN如果有多个物理区域可以一个区域一个子网但在同一个VLAN下用不同网段通过汇聚层的VLANIF互联这样能兼顾隔离与易管理。IP地址规划则要遵循连续地址、按需分配原则方便做路由聚合。如果你有20个VLAN每个VLAN一个C段那么可以用10.10.0.0/16这个大段来切前8位是园区中间8位是VLAN后8位是主机。这个习惯在后续做汇总路由、ACL规则时能省很多事。2.3 VLAN创建与接口配置实战从一台接入交换机开始接入交换机的配置看起来简单但细节不少。以一个典型的接入交换机配置为例# 创建业务所需的VLAN vlan batch 10 20 30 # 下联接口划分到对应VLAN interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 # 上联汇聚交换机的接口配置为Trunk interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30接入交换机默认VLAN 1是管理VLAN也建议单独划分管理VLAN并设置好管理IP。注意vlan batch是一次创建多个VLAN时最高效的命令port trunk allow-pass vlan这条命令如果后面不加参数会默认放通所有VLAN这在测试环境可能没问题但在生产环境是个隐患——你根本不知道这个Trunk上会跑多少不该跑的业务。这里有个实操心得接入交换机上配置Trunk时尽量只放通真正需要的VLAN不要偷懒放通全部。因为一旦某个VLAN的广播风暴出现几个接入交换机的Trunk全放通风暴会污染整个二层域。只放通需要的VLAN等于给广播风暴做了物理隔离。3. VLAN间通信的三种实现方案与选型3.1 单臂路由经典但受限的方案VLAN隔离广播域之后一个问题自然出现不同VLAN之间怎么通信最原始方案是单臂路由一台路由器用一条物理链路连到交换机上交换机侧接口配成Trunk路由器上用子接口终结多个VLAN的网关地址。例如路由器上配置了两个子接口一个封装VLAN 10的标签做10.10.10.1网关另一个封装VLAN 20的标签做10.10.20.1网关交换机通过Trunk把带标签的帧发给路由器路由器做三层转发后再把帧送回交换机。单臂路由当年是个聪明办法用一条链路解决多个VLAN的通信问题。但它有硬伤所有跨VLAN流量都要经过路由器转一圈路由器成了整个网络的单点瓶颈。而且靠子接口用软件转发性能远不如交换机硬件的线速转发。所以这个方案在HCIP考试中会出现但在实际三层架构项目里基本已经被淘汰了。如果是学习拓扑实验用单臂路由练手没有问题真实项目慎用。3.2 VLANIF网关三层交换机的看家本领现代园区网里VLAN间路由都是靠三层交换机上的VLANIF接口完成的。VLANIF是三层交换机上为某个VLAN配置的三层逻辑接口它的IP地址就是该VLAN用户的网关地址。关键在于交换机硬件内部完成VLAN间转发。来看它的工作原理当VLAN 10的用户访问VLAN 20的用户时数据帧到交换机上是带VLAN 10标签的交换机会把它交给CPU或专用硬件引擎处理查询路由表发现目标网段是10.10.20.0/24对应VLANIF 20接口的MAC地址于是把帧的源MAC替换为网关MAC目的MAC替换为对端主机的MAC再打上VLAN 20的标签从对应端口发出去。整个过程在硬件层面完成速度非常快。配置也简单在核心或汇聚交换机上创建VLAN然后给VLAN配上IP地址interface Vlanif10 ip address 10.10.10.1 255.255.255.0VLANIF让三层架构变得极其干净接入层做二层的VLAN隔离和透传汇聚层终结各VLAN的网关。跨VLAN流量全部经由汇聚或核心的VLANIF接口完成路由网络结构一目了然。在HCIP考试里你一定要清楚理解VLANIF与物理接口的区别。VLANIF是个逻辑三层的概念它依赖VLAN存在而存在。当VLAN里没有活跃端口时VLANIF接口依旧存在并保持Up状态。但如果VLAN被删除VLANIF也就没了。3.3 特殊场景Super-VLAN、MUX VLAN和Voice VLAN除了基础的VLANIFHCIP考试和实际项目里还会遇到几个进阶的VLAN技术值得单独梳理。Super-VLANVLAN聚合解决的是IP地址不足的问题。常规做法一个VLAN配一个网段如果VLAN非常多每个网段里还要预留相当一部分地址给网关和未来扩容地址浪费很严重。Super-VLAN的思路是多个Sub-VLAN共用同一个三层接口网段其中Super-VLAN负责三层网关与路由Sub-VLAN们纯走二层隔离但共享IP网段VLAN间通信不再通过网关路由而是直接走二层ARP代理。这个方案在酒店、宿舍这种需要给大量房间做隔离、但公网IP资源有限的场景里很实用。配置上Super-VLAN本身不包含物理接口它像容器一样把Sub-VLAN收拢起来interface Vlanif100 ip address 172.16.0.1 255.255.255.0 vlan 100 aggregate-vlan vlan 101 sub-vlan vlan 102 sub-vlanMUX VLAN是隔离加共享的一种灵活方案。一个Principal VLAN之下可以挂多个Separate VLAN和Group VLAN。Separate VLAN之间完全隔离但都能访问Principal VLAN典型应用是小区宽带里每个住户单独一个Separate VLAN共享一个上行Principal VLAN连接网络出口。Group VLAN则让组内成员之间可以互相访问常用于同一栋楼但不同单元的协作办公场景。这套机制在HCIP的考试题中经常出现重点考察你对三种VLAN角色关系的理解。Voice VLAN则是给IP话机用的专用VLAN。IP话机需要和业务PC共用一条物理网线但话机语音流量要求低延迟、高优先级和普通数据流混在一起容易被挤占带宽。Voice VLAN通过自动识别语音流的特征把话机发来的帧自动打上语音VLAN的标签同时对语音流量做优先级标记。华为交换机上配置Voice VLAN后还能开启语音VLAN的自动发现功能IP话机通过LLDP之类的协议就能自动加入正确的VLAN省去了大量手工配置。4. 实战案例某公司园区网三层架构与VLAN规划配置4.1 拓扑与需求描述光讲理论没有意义我把一个最常见的园区网项目配置过程完整走一遍。场景是某公司新办公园区网络网络拓扑采用标准三层架构核心层一台三层交换机汇聚层两台汇聚交换机做冗余接入层若干台二层交换机整体拓扑为核心-汇聚-接入。业务需求方面公司有四个部门综合部VLAN 10、研发部VLAN 20、市场部VLAN 30、财务部VLAN 40。各部门需要互访财务和研发的访问策略要求严格管控这次先不做ACL先把基础打通。另外为访客单独划分VLAN 50访客只能访问互联网不能访问内部任何网段。IP规划直接复用VLAN编号定位公司使用10.0.0.0/16这个大段来分配地址VLAN 10用10.0.10.0/24VLAN 20用10.0.20.0/24VLAN 30用10.0.30.0/24VLAN 40用10.0.40.0/24VLAN 50用10.0.50.0/24。三台设备的基本角色设备角色主要功能核心交换机核心层VLAN间路由、汇聚互联、出口默认路由汇聚交换机A/B汇聚层VLAN网关、VLAN间路由、与核心和接入互联接入交换机接入层终端接入、VLAN划分、上行Trunk透传4.2 从接入层开始配置VLAN划分的正确顺序接入交换机的配置是整个链路里最底层的。以某个接入交换机为例它有24个下行接口和2个上行接口分别接两台汇聚交换机。# 接入交换机创建业务VLAN vlan batch 10 20 30 40 50 # 按端口划分VLAN比如1-8口给研发部VLAN 20 interface range GigabitEthernet0/0/1 to GigabitEthernet0/0/8 port link-type access port default vlan 20 # 9-16口给综合部VLAN 10 interface range GigabitEthernet0/0/9 to GigabitEthernet0/0/16 port link-type access port default vlan 10 # 24口上联汇聚交换机A interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50注意这里的坑很多新手配置Trunk时只配置了allow-pass vlan却忘了加port trunk pvid vlan结果默认PVID是1管理VLAN 1的数据可能会被意外打上或去掉标签。建议接入交换机上加一条命令把PVID改到管理VLAN比如VLAN 10或者至少保证管理VLAN和其他业务VLAN放通明确。还有一个良好的安全习惯华为接入交换机上有port trunk allow-pass vlan这条命令如果漏掉了某个VLAN那个VLAN的流量会静默丢弃排查时容易误判成配置问题实际是放通列表遗漏。接入层的配置看起来机械但它决定了整个网络的边界。每个端口上错误地划分了VLAN会导致终端无法访问网络资源。所以接入层的配置原则是按物理位置或按业务需求划分端口划分一次到位绝不轻易改动。4.3 汇聚层配置网关和冗余机制汇聚层是整套配置的核心。以汇聚交换机A为例# 创建业务VLAN vlan batch 10 20 30 40 50 # 配置与核心互联的接口假设用两个GE口做Eth-Trunk interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 interface GigabitEthernet0/0/24 eth-trunk 1 interface GigabitEthernet0/0/25 eth-trunk 1 # VLAN间路由创建各VLAN的网关 interface Vlanif10 ip address 10.0.10.1 255.255.255.0 interface Vlanif20 ip address 10.0.20.1 255.255.255.0 interface Vlanif30 ip address 10.0.30.1 255.255.255.0 interface Vlanif40 ip address 10.0.40.1 255.255.255.0 interface Vlanif50 ip address 10.0.50.1 255.255.255.0两台汇聚交换机A和B要避免同时抢同一个VIP导致网关冲突或回环常见做法是配合VRRP为每个VLAN组配置虚拟网关地址。比如VLAN 10的VRRP虚拟地址是10.0.10.254A为主设备B为备份设备。用户的网关指向虚拟地址10.0.10.254而不指向具体某个物理交换机的真实IP。# 汇聚交换机AVLAN 10作为Master interface Vlanif10 vrrp vrid 10 virtual-ip 10.0.10.254 vrrp vrid 10 priority 120 # 汇聚交换机BVLAN 10作为Backup interface Vlanif10 vrrp vrid 10 virtual-ip 10.0.10.254 vrrp vrid 10 priority 100这个配置让两台汇聚交换机在二层层面像一台设备一样对外提供服务。用户网关始终可用某台汇聚设备宕机了另一台立刻接管。HCIP对VRRP的考察频率极高你要理解优先级、抢占模式、VRID这些概念这是汇聚层的核心冗余手段。汇聚集中的另一个配置要点是STP。接入层和汇聚层之间一旦存在备份链路哪怕链路聚合已经解决了带宽问题也必须启用STP/RSTP以防止物理环路。在二层网络里一个环路的后果是广播风暴和MAC地址漂移。华为交换机建议在处理STP时为根桥汇聚设备设置stp root primary为备用汇聚设备设置stp root secondary并把边缘端口接终端的端口配置成stp edged-port enable这样终端插拨不会反复触发STP的拓扑变更。4.4 核心层配置VLAN间路由与出口默认路由核心层的配置相对简洁。它不需要为每个VLAN配置网关这部分汇聚层已经做完了。核心要做的是把两台汇聚设备连到同一个三层网络里并处理出口路由。# 核心交换机 vlan batch 10 20 30 40 50 # 与汇聚A互联的三层接口 interface GigabitEthernet0/0/1 undo portswitch ip address 10.0.254.1 255.255.255.0 # 与汇聚B互联的三层接口 interface GigabitEthernet0/0/2 undo portswitch ip address 10.0.255.1 255.255.255.0 # 配置OSPF让核心与汇聚之间的路由自动学习 ospf 1 area 0.0.0.0 network 10.0.0.0 0.0.255.255这里有个关键点核心层与汇聚层之间跑的是三层路由——OSPF或静态路由。汇聚层的VLANIF网段和与核心互联的网段都宣告进OSPF区域。这样汇聚A和汇聚B都有到各业务网段的路由同时通过OSPF学到了核心侧路由整个园区内网路由在全网打通。核心层还可以做默认路由出口如果该公司有出口防火墙或路由器核心交换机只需加一条静态默认路由指向出口设备并把内部网段汇总后通告给出口侧ip route-static 0.0.0.0 0.0.0.0 10.0.0.254核心交换机上也要配置各VLAN的访问互通策略。虽然前面说了核心尽量少做策略但基于安全的考虑至少在核心层把访客VLAN 50的互访权限限制掉——访客VLAN只能出公网不能访问内部VLAN这个用ACL在核心交换机的VLANIF50入方向做是最合适的。4.5 验证与测试一张网能不能通命令会告诉你配置完成后不能直接交付必须有验证过程。在核心交换机上执行display vlan summary display eth-trunk 1 display ospf peer display ip routing-table ping -a 10.0.10.1 10.0.20.1其中display vlan summary可以看到所有VLAN的状态和接口成员关系display ospf peer检查汇聚和核心之间的OSPF邻居是否建立邻居数量是不是符合预期。display ip routing-table确认路由表里能否看到所有业务网段。在终端主机上测试跨VLAN通信用同一VLAN的PC互ping验证接入层VLAN划分是否正确跨VLAN互ping验证汇聚层VLANIF配置和路由是否生效。如果跨VLAN通了但无法访问外网重点排查核心交换机上的默认路由和ACL规则。实际项目里我还会额外做一步模拟故障。把汇聚交换机A的连核心链路关掉确认VRRP能否用规定的时间切换。切过去之后PC重新发起跨VLAN访问如果一切正常再恢复汇聚A的接口看流量会不会回到主设备上。这套演练往往能暴露配置中的隐藏问题比简单做一遍ping通过要可靠得多。5. 三层架构与VLAN配置中最容易踩的坑5.1 三层架构里不通的排查思路如果跨VLAN不通先别急着怀疑设备坏了。按下面的顺序排查绝大多数问题半小时内能定位。先确认VLAN有没有创建好、端口有没有正确加入VLAN这步用display vlan就能看到。再看物理链路状态Trunk两端是否都为Up。华为设备上如果对端没接端口会是Administratively Down接口编号是down的一般是线缆或对端关机。接着看Trunk放通列表这是最容易出错的点——汇聚侧Trunk放通了VLAN接入侧Trunk也放通了但两边放通列表不一致VLAN数据就会在中间被丢弃。然后是VLANIF配置网关地址是否与终端配置在同一网段VLANIF是否被误设置了shutdown。最后检查STP状态端口如果处于Blocking状态数据帧不会转发尤其是刚接上新设备时STP可能需要几十秒收敛。还有一种很隐蔽的情况同网段不通往往是二层问题跨网段不通通常是三层问题。跨网段ping不通时重点查汇聚层VLANIF的地址和OSPF邻居关系用tracert从终端出发看报文走到哪一跳停了停在哪一跳就查哪一跳。5.2 Trunk的PVID和Native VLAN细节决定成败华为设备和思科设备对Trunk默认行为的理解有差异这个差异在实际项目中经常坑人。华为交换机的Trunk口默认PVID1也就是Native VLAN是VLAN 1。当Trunk口发出VLAN 1的帧时默认是不打标签的VLAN 1的流量在Trunk上是裸奔状态。如果你在接入交换机上用了VLAN 1作为管理VLAN并且上联Trunk在allow-pass vlan里也放通了VLAN 1你就拥有了一个可能被访问的管理面。从安全角度强烈建议把Trunk口的PVID修改为某个专用管理VLAN或者干脆不放通VLAN 1interface GigabitEthernet0/0/24 port trunk allow-pass vlan 10 20 30 40 50 undo port trunk allow-pass vlan 1另一个容易出问题的点是PVID与allow-pass的关系。如果某个VLAN不在allow-pass列表里即使它是PVID数据也无法从该Trunk口正常转发华为设备对收帧和发帧的处理逻辑不同收帧时如果带一个不在放通列表里的VLAN标签会直接丢弃发帧时如果目标是PVID且PVID属于放通列表会剥离标签发出。这个逻辑虽然在HCIP中只是一个小考点但项目里排查丢帧问题时非常重要。5.3 排错时特别容易被忽略的几个细节二层环路的危害我之前提过多次实际工作中最常见的环路来源有两个一是有人把一个交换机用两条网线同时接到上联设备形成物理环路二是接终端时误用了Trunk口配置导致VLAN跨区域扩散。前者靠STP防护后者靠严格的端口类型规划。MAC地址漂移也是一个高频问题。当你配置失误导致同一个VLAN被两个互联端口同时放通之后交换机的MAC地址表会在两个端口之间反复刷新开销极大。华为交换机上有display mac-address和display mac-address flap命令可以查看漂移记录。如果终端可以上网但时通时断先看一眼有没有MAC漂移记录十有八九能命中。VRRP配置里有个常见错误是把VRRP虚拟IP误配置成了接口真实IP或者在两台汇聚上使用了不同的VRRP虚拟IP导致用户网关指向混乱。严谨的配置方式是两台设备使用完全相同的VRRP虚拟IP真实接口IP各自不同且不要作为用户网关出现。5.4 HCIP考试与项目实战的交叉经验HCIP数通考试中三层架构和VLAN的题目多以选择题和案例分析为主案例题里经常让你找配置错误。我总结过几个高频出题点Trunk放通列表不完整、PVID设置不合理、VLANIF网段与IP地址冲突、VRRP优先级颠倒导致备设备抢占、OSPF区域配置错误导致路由不通。平时多敲实验尤其是把上述故障故意制造出来再解决一遍考试时的题感会强很多。很多考生只关注能不能通却忽略了设计维度的问题。考场上会问核心层该不该配置访问控制策略或网关为什么放在汇聚而不放在接入这些题目不是考你会不会敲命令而是考你有没有理解三层架构的设计意图。建议备考时把STP、VRRP、VLANIF、链路聚合这些技术放到这张架构图里重新理解把它们看成不同层级的拼图而不是孤立的特性。我个人实际操作中的一个经验是在配置任何三层架构项目之前先画一张表把所有VLAN编号、IP网段、网关所属设备、Trunk放通关系列清楚配置时按表操作排错时也按表排查。很多网络问题的根源根本不是技术不会而是规划和实际配置脱节一张清晰的规划表能避免大半的现场翻车。在HCIP第十六天的这个节点上把三层架构和VLAN这块真正吃透后面学习防火墙策略、BFD联动、VXLAN这些内容都会顺很多。你会发现园区网不管规模多大底层的逻辑都是这样一套分而治之的思想接入层管接入汇聚层管网关和策略核心层管高速转发。VLAN在里面扮演的是边界划分的角色VLANIF负责把边界重新打通VRRP保证网关高可用STP保证二层无环。把这些串成一条线你就不再是背命令的工程师而是真正理解网络的工程师了。