把web服务器接到三层交换机，核心就是做好物理端口接入、VLAN划分和网关路由设置，这三步对齐后服务器就能稳定对外提供服务。
web服务器接三层交换机怎么连：两种典型组网
在动手配置之前，先想清楚服务器在组网里的位置，web服务器通常需要被内网或外网频繁访问，所以它要么直接挂在三层交换机下面,要么通过二层交换机汇聚后再上联到三层交换机。
- 直连三层交换机：服务器网卡直接插在三层交换机的前面板业务口，链路短、排障简单,适合服务器数量少且集中在同一机柜的场景。
- 先接二层交换机再上联三层交换机：服务器分布在不同机柜、端口密度要求高时，用二层交换机收集服务器流量，再通过一根上联线接到三层交换机，两层设备之间跑trunk链路,web服务器的网关仍放在三层交换机上。
两种方式没有绝对好坏，关键是让三层交换机成为web服务器的网关和路由出口，物理连线时注意网线质量，千兆口建议超五类以上，万兆口用六类或更高规格，接好后在交换机上display interface查看端口是否协商到预期速率,避免出现协商成百兆这种隐性故障。
三层交换机连接web服务器的VLAN和网关规划
这一部分是最容易踩坑的地方，我们先理解一个基本原则：给web服务器单独划一个VLAN，不要和办公电脑混在一起，行业共识认为，独立VLAN能隔离广播域,也方便后续做安全策略和故障排查。
第一步：在交换机上创建业务VLAN
以华为S系列交换机为例,进入系统视图后执行：
system-view vlan 10 quit
编号10是自己定的，只要不冲突即可，实际操作中建议先画一张IP规划表，把VLAN编号、网段、网关、用途写清楚。
第二步：给VLAN接口配置IP，作为服务器的网关
interface vlanif 10 ip address 192.168.10.1 255.255.255.0 quit
假如web服务器配置为168.10.10/24，它的网关就必须是168.10.1，这里不能随意填写,否则服务器无法跨网段通信。
第三步：把连接服务器的端口划入VLAN
interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit
如果服务器不是直接插在三层交换机上，而是先接了一个二层接入交换机，那么二层交换机上同样要把对应端口划入VLAN 10，二层交换机与三层交换机之间的互联口改成trunk模式并放行VLAN 10：
interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 quit
这个配置的意思是，从服务器发出来的数据帧会带着VLAN 10的标签传到三层交换机的VLANIF 10接口,之后由三层交换机来决定怎么路由。
服务器端网络参数参考
| 配置项 | 参数值 | 说明 |
|---|---|---|
| IP地址 | 168.10.10 | 静态配置，建议不用DHCP |
| 子网掩码 | 255.255.0 | 与交换机VLANIF地址同掩码 |
| 默认网关 | 168.10.1 | 即三层交换机VLANIF 10的IP |
| DNS | 按内网或公网实际情况 | 如果只需内网访问，可留空 |
web服务器接三层交换机的路由配置实操
VLAN和网关配好后，web服务器所在网段的三层通信就有了基础，但要让服务器访问数据库、连外部网络,三层交换机还需要知道自己该把流量送往哪里。
配置默认路由指向出口设备
如果三层交换机上游是防火墙或核心路由器，就配置一条默认路由,把所有不认识的目标网段都交给上游处理：
ip route-static 0.0.0.0 0.0.0.0 192.168.1.254
其中
168.1.254是上游设备的接口IP，这条路由必须和三层交换机直连的上行网段一致,否则无法生效。
多VLAN互访怎么配
如果web服务器需要访问数据库VLAN、缓存集群VLAN，只要这些VLAN的VLANIF接口都已经配置IP，三层交换机默认就会执行VLAN间路由，比如数据库在VLAN 20，网段168.20.0/24，网关168.20.1，web服务器可以直接ping通数据库IP,无需额外加路由。
如果目标网段不直连在三层交换机上,那就手工补一条静态路由：
ip route-static 192.168.30.0 255.255.255.0 192.168.20.254
这里的168.20.254是下一跳设备的IP地址。
验证路由是否生效
登录交换机执行：
display ip routing-table
重点看默认路由和直连路由是否在列表里，然后在服务器上依次ping网关、ping同VLAN另一台设备、ping远端数据库或公网实际测试，每个层级都能通,说明整个链路已经跑通。
web服务器接三层交换机常见排查思路
配置完成后遇到不通，不要慌,按照自下而上的顺序检查。
服务器ping不通网关
- 先查服务器网卡的IP、掩码、网关是否填反或写错。
- 再查交换机物理口状态，用
display interface看端口是否up、有没有错包。 - 确认端口划入的VLAN和服务器所在VLAN一致，用
display port vlan查看。 - 确认VLANIF接口是否配了IP且状态up，用
display ip interface brief查看。
服务器能通网关但外网不通
- 在三层交换机上
display ip routing-table,看默认路由是否存在。 - 检查上游防火墙上是否放行了服务器网段的出站流量。
- 如果出口做了NAT,确认NAT转换规则是否包含服务器这个源地址。
- 顺带检查服务器上有没有配置代理或防火墙拦截。
外部用户访问不到web服务器
- 在服务器本机确认web服务已启动且监听在
0.0.0:80或0.0.0:443。 - 从交换机上ping服务器IP,能通则说明二层三层没问题。
- 检查防火墙或负载均衡上是否配置了端口映射。
- 最后检查服务器OS自带防火墙，比如Linux的
iptables或firewalld,确认放行了对应端口。
这类故障里，有相当一部分其实不是交换机配置错了，而是服务器防火墙或者上层防火墙策略拦住了流量,排查时别漏掉这一环。
web服务器接三层交换机，本质上就是标准的三层网络接入流程：物理链路打通、VLAN划对、网关指对、路由放通，按这个顺序操作，多数问题都能在十分钟以内定位，遇到不通就逐层验证,不要跳步骤。
web服务器接三层交换机常见问题解答
问：web服务器可以直接接三层交换机的普通端口吗？
答：可以，把普通端口划入服务器所在VLAN，并给对应VLANIF配置IP作为服务器网关，服务器就能正常通信，如果服务器上有多个虚拟机且需要传输不同VLAN,则改成trunk口。
问：三层交换机连接web服务器时，access口和trunk口怎么选？
答：只有一个网卡且属于单个VLAN的web服务器用access口最简单，端口默认VLAN设为服务器VLAN即可，如果服务器做了链路聚合，或需要承载多个VLAN，就用trunk口,并让服务器侧也同步配置VLAN标签。
问：web服务器接三层交换机和接二层交换机哪个好？
答：服务器数量少时，二层交换机加一台路由器也能实现相同效果；但服务器数量增多后，二层交换机的广播域过大，路由的下一跳也要多一跳，三层交换机把VLAN间路由收敛到一台设备上，既减少了故障点，也便于集中管理，行业共识认为,中小型机房将web服务器接入汇聚层三层交换机是性价比最高的做法。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/766220.html
