波仔
📡 第四章 理解L3交换机的性能与功能
📄 一句话概括

VLAN 之间要通必须有三层设备，三种做法里 SVI 是今天的主流。 单臂路由的死穴是「所有 VLAN 挤一个物理口」——10 个 VLAN 各 500 Mbps 就差 5 倍。

📝 本节和前面几节的关系

上一节讲数据怎么流，这一节讲「用什么设备让它流」。 03.06.03 提过单臂路由，这一节把它与 SVI 放在一起比。

一、三种做法

做法 硬件 瓶颈

单臂路由 路由器 1 口分子接口 那一个物理口 SVI 三层交换机每 VLAN 一个 背板与芯片 每 VLAN 一个口 路由器多口 路由器转发能力

SVI 是今天的主流：三层交换机给每个 VLAN 建一个虚拟接口， VLAN 之间的流量在芯片里直接转，不经过任何物理瓶颈。 而且它「零额外成本」——三层交换机本来就带这个功能。

二、单臂路由为什么撞墙

假设 10 个 VLAN，每个需要 500 Mbps，总需求就是 5 Gbps。 而单臂路由只有一个物理口：千兆口差 5 倍，万兆口才刚好够。

更糟的是「不平均」：实际流量不会均分，某个 VLAN 抢占时会把别的 VLAN 一起拖慢。 所以单臂路由的问题不是「平均不够」，是「没有隔离」。

它的适用边界很清楚：VLAN 少（三五个）、流量小（百兆以内）、或者只是临时过渡。 一旦 VLAN 上两位数、或者有服务器放在不同 VLAN，就该换 SVI。

三、别把东西向流量变成南北向

一条实践原则：VLAN 间路由要尽量在一次查表内完成。

如果流量在「三层交换机 → 路由器 → 再回来」之间绕了一圈，那就是把「东西向流量」变成了「南北向流量」——它会让出口设备成为内部通信的瓶颈。

这在真实网络里非常常见： 服务器区与办公区各一个 VLAN，本来核心交换机直接转就行，但有人把「服务器区的网关」配在了防火墙上——于是所有访问都要绕到防火墙再回来，防火墙成了内网瓶颈。 这不是配置错误，是设计选择，但代价要算清。

四、那什么时候「绕一圈」是对的

当「必须做安全检查」的时候。 服务器区与办公区之间确实需要防火墙策略，那就应该绕，而且要在设计阶段就把防火墙的吞吐算够。

所以判断标准不是「绕不绕」，是「为什么绕」： 为了策略而绕是对的；为了「省一台设备」或「历史遗留」而绕，就是给自己埋一个瓶颈。

一句总结：VLAN 间路由的选择，本质是「性能」与「管控」的取舍。 SVI 快但管控弱，绕防火墙管控强但慢。 两者都不算错，错的是「不知道自己在选哪个」。

五、动手 Demo：VLAN 间路由三种做法，瓶颈在哪

这段列出三种做法的硬件与瓶颈，再按「10 个 VLAN 各需 500 Mbps」算总需求， 看千兆与万兆物理口差多少倍。

need = 10 * 500
for bw in (1000, 10000):
    P(u"  物理口 %s：需求是它的 %.1f 倍。" % (format(bw, u","), need * 1.0 / bw))

实跑输出：

--------------------------------------------------------------------
VLAN 间路由三种做法，瓶颈在哪
--------------------------------------------------------------------
**VLAN 之间默认是不通的，要通必须有一个三层设备在中间。**三种做法，代价完全不同。

  做法               硬件                         瓶颈               适合
  ---------------------------------------------------------------------------------------
  单臂路由           路由器 1 个口分子接口        那一个物理口       VLAN 少流量小
  SVI                三层交换机每个 VLAN 一个     背板与芯片         园区网主流
  每 VLAN 一个口     路由器多口                   路由器转发能力     小型或隔离要求高

**「SVI」这一行是今天的主流**：**三层交换机给每个 VLAN 建一个虚拟接口**，
**VLAN 之间的流量在芯片里直接转，不经过任何物理瓶颈。**

**算单臂路由为什么会撞墙**：假设 10 个 VLAN，每个需要 500 Mbps。

  总需求 ＝ 10 × 500 ＝ 5,000 Mbps。
  物理口 1,000 Mbps：需求是它的 5.0 倍。
  物理口 10,000 Mbps：需求是它的 0.5 倍。

**千兆口差 5 倍，万兆口才刚好够。**
**所以「单臂路由」在 VLAN 一多就必然成为瓶颈**——**而它的替代方案（SVI）几乎是零成本**，
**因为三层交换机本来就带这个功能。**

**一条实践**：**VLAN 间路由要尽量在一次查表内完成**。
**如果流量在「三层交换机 → 路由器 → 再回来」之间绕了一圈，
**那就是把「东西向流量」变成了「南北向流量」**——**它会让出口设备成为内部通信的瓶颈。**

「差 5 倍」这个数字是按「所有 VLAN 同时打满」算的，而现实中很少同时打满。 所以「千兆够不够」取决于「峰值是否叠加」—— 这也是为什么容量规划必须看峰值模型，不能看平均值。

「没有隔离」比「平均不够」更严重： 因为平均不够是「都慢一点」，而没有隔离是「一个业务把别的业务打死」。 后者才是单臂路由真正的死穴。

最后「不知道自己在选哪个」这句是这一章的收尾：网络设计里很少有无条件的「最优解」， 多的是「用某些代价换某些收益」。 专业与不专业的差别，就在于「说得出自己付了什么代价」。

30 秒实验

  1. 查一下你的 VLAN 间路由是在交换机上做还是在防火墙上做。
  2. 算一下这些 VLAN 的峰值流量合计是多少。
  3. 想一想：如果绕防火墙，它的吞吐够不够。

常见误区

  1. 以为单臂路由「配置简单所以更好」。它的瓶颈是物理口。
  2. 以为 SVI 一定最优。它管控弱，安全隔离要另外做。
  3. 以为绕防火墙只是「多一跳」。它可能成为内网总瓶颈。
自测三问（点开对答案） 1. VLAN 间路由的三种做法是什么？ —— 单臂路由、三层交换机上的 SVI、以及给每个 VLAN 一个路由器物理口。 2. 单臂路由的死穴是什么？ —— 所有 VLAN 的流量挤同一个物理口，且相互之间没有隔离。 3. 什么时候「绕防火墙」是对的？ —— 当 VLAN 之间确实需要安全策略时，但要在设计阶段把吞吐算够。

下一章：三层交换讲完，下一章进「挡在中间的设备」——防火墙。

相关笔记