您好，欢迎访问飞畅科技官网！
服务热线:+086 0571-87007055/56/57 EN

English

首页

三层工业以太网交换机：技术特点与系统集成方案

光通信与工业互联网方案专家

EXPERT IN OPTICAL COMMUNICATION & INDUSTRIAL INTERNET SOLUTIONS

服务支持

SErvice support

联系我们CONTACT US

全国咨询热线

0571-87007055/56/57/75

传真：0571-87007140

手机：15306818230（微信）

QQ ：2355416925

定制设计:18072828031(微信)

或给我们留言

在线留言

三层工业以太网交换机怎样集成：VLAN、网关、访问规则与回程

浏览次数： 飞畅科技原创 作者：飞畅科技技术团队

三层工业以太网交换机在系统集成中，最重要的作用不是把所有设备接在一起，而是在明确的网络边界上，让需要互通的业务有路径、不应互通的业务受限制。集成方案必须同时说明端口接入、VLAN归属、IP网关、路由和访问规则。仅画几条连线，不能证明方案可以交付。

一、先把业务关系画清楚

假设一个厂区有控制设备、视频监控和维护终端。控制数据需要送到监控主机，摄像机需要送到录像服务器，维护电脑只在授权时访问指定设备。这个例子用于解释规划，不是实际客户案例。先分别列出源、目标、协议与所需带宽，再决定哪些设备共用二层网络，哪些业务需要跨网段。

VLAN是交换机划分二层转发范围的方式，可以限制广播传播范围，但不是加密或完整安全屏障。IP网段用于网络层地址规划，两者经常一一对应，却不是同一个概念。不能给设备改一个IP地址，就认为它自动换到了正确VLAN；也不能只增加VLAN号，就认为不同网络已经能通信。

二、接入端口与上联端口承担不同工作

普通终端通常不发送VLAN标签，接入端口依据配置把收到的帧归入相应VLAN。交换机之间的上联可能同时承载多个VLAN，使用802.1Q标签区分所属范围；是否允许未标记流量、怎样归类，必须在两端保持一致。端口支持千兆与端口属于哪个VLAN，是两件独立的事。

教学方案可把控制归为VLAN10、视频归为VLAN20，接入交换机用一条上联送到三层汇聚设备。上联只允许确需经过的VLAN，避免把所有未知范围一起放行。标签在交换机之间传递，不表示每个终端线缆上的帧都带标签；具体出入口处理依设备配置核对。

控制终端与摄像机分别进入不同接入VLAN，交换机上联用不同标签传到三层汇聚设备，接入帧与上联帧处理分开显示
图1：接入与汇聚教学示意，VLAN10和20为示例。普通终端侧示意未标记帧，上联侧示意带标签帧，非现场配置。

三、网关放在哪里，回复才能回来

如果终端A在192.168.10.0/24，服务器B在192.168.20.0/24，A需要把跨网段包交给所在网段的网关。三层汇聚设备可以提供对应VLAN的三层接口，查找目标网络并从合适接口发出。服务器也要有正确的网关或回程路径，否则请求到了服务器，回复仍可能送错地方。

网关位置应在方案中固定说明。不要让原路由器和新增三层交换机同时抢占同一个地址，也不要只改变一部分终端的网关。若上级网络负责继续转发，汇聚设备要有上行路径，上级也要知道怎样返回下级网段。管理地址用于访问设备，并不天然等于所有终端的业务网关。

四、路由可达与允许访问要分别验证

路由解决包往哪里走，访问控制解决哪些包可以经过。ACL是访问控制列表，按型号支持的地址、协议等条件允许或拒绝流量。教学例子可允许控制终端访问指定监控服务器，同时拒绝普通维护终端直接访问控制设备；实际规则需要业务负责人确认，不能直接复制文章例子上线。

检查规则时要考虑入口或出口方向、排列顺序、默认处理及返回流量。普通ACL未必具有防火墙的连接状态跟踪能力。三层交换机也不一定提供VPN或互联网边界防护，需要这些功能时，应使用有相应证据的设备，并把边界责任画清楚。原文把三层功能直接等同防火墙与VPN，这样选型依据不充分。

三层交换芯片先核对访问规则再按路由查找出口，允许路径连到服务器，拒绝流量在设备内终止，回程另以虚线显示
图2：路由与访问控制的职责示意，规则处理顺序为教学简化，不代替具体芯片流水线。双向业务还要核对回程。

五、结合飞畅设备核对集成条件

飞畅管理型工业轨式万兆4光千兆8电三层交换机详情列有光电端口、VLAN、IP路由、ACL以及管理功能，可作为接入汇聚和跨网段通信的候选。光口上联能够适应机房与现场分离，但仍须核对模块速率、波长、光纤类型和损耗。页面列出的协议不能推广为所有型号都具有相同功能。

多条千兆接入集中到同一出口，仍可能超过出口容量。容量规划应依据真实并发流量与增长空间，不以端口数量简单相加后就宣布足够。冗余供电、备用链路和路由冗余保护的对象不同，还要查证交付版本及现场收敛表现，不能承诺任何故障都不会影响生产。

六、分阶段交付，不在运行网络里盲试

先备份现有配置和地址台账，在隔离环境验证终端接入、上联标签及网关。再分别验证允许业务、禁止业务和回程，并记录对应端口、规则与计数变化。最后在批准的窗口测试业务负载和故障恢复，设置可执行的回退条件，不先恢复出厂设置，也不临时扩大全部访问权限。

验收资料应能把业务请求对应到源端口、VLAN、网关、规则和出口。只证明ping通，不能证明视频、控制或维护业务达到要求；只证明被拒绝，也不能证明正常业务没有误伤。让后续维护人员能复现路径与证据，才是三层设备集成方案真正的完成点。

资料说明：链路标签及网关关系参考Cisco VLAN间路由说明，第三方配置命令不作为飞畅命令使用。配图为通用原理示意，非具体型号内部结构、非实测。

现场常见问题

给终端改到另一个IP网段，就等于已把交换端口移入正确VLAN吗？

不等于。IP地址与二层归属是不同配置，接入分类、上联标签及允许列表需共同对应。应先确认同VLAN路径再建立网关路由，不只改终端地址或填一个VLAN号就认为互通与隔离完成。

跨网段请求能到服务器，为什么没有回复还要检查服务器网关？

双向事务需要正确回程，服务器可能把回复交给错误下一跳。应核对终端网关、三层接口、上级返回路由和访问策略，不让旧路由器与新设备抢同一地址，也不把管理地址默认作为所有业务网关。

三层集成验收时只测试允许的业务能通过，够不够？

不够。还应验证原本禁止的访问确实受限，并确认返回流量和正常业务没有被误伤。规则方向、顺序及默认处理按实际型号核对，普通ACL不能未经依据当作状态防火墙或VPN边界。

继续阅读：工业三层交换机怎样组网：VLAN网关、访问策略与业务验收；三层工业以太网交换机怎样管理排障：业务路径、计数与变更证据；

返回