企業擴張導致網路龐大複雜，管理困難、安全性低、資源利用率差。VLAN 技術配合三層交換機，能實現靈活分段、隔離廣播風暴、提升效能與安全。本文詳細說明架構設計原則、VLAN 劃分策略，並給出 400 節點企業完整部署案例。

為什麼選三層交換機而非路由器做 VLAN 間路由？

• 路由器單臂路由 (Router-on-a-stick) 受限於單一介面頻寬，易成瓶頸。
• 三層交換機具備硬體級路由轉發，首包路由後建立 MAC-IP 映射表，後續封包線速交換，效能較路由器高數個數量級。
• 路由器仍保留「聯外」角色，專司連接 Internet；VLAN 間路由全權交給核心三層交換機。

VLAN 劃分四大模式靈活搭配

實務建議： 同一網路混合使用。如：伺服器區用靜態埠基礎、固定部門用子網基礎、行動用戶用 802.1X 用戶基礎 VLAN。

三層網路架構層級設計

1. 核心層： 高效能三層交換機 (雙主控、非阻塞矩陣)，執行 VLAN 間路由、核心 ACL、QoS、核心 VLAN 介面 (SVI) 閘道。
2. 彙聚層： 二/三層交換機，彙聚接入層流量，執行部門級 VLAN 劃分、存取控制、DHCP Snooping/DAI 等安全功能。
3. 接入層： 二層交換機 (千兆上聯)，連接終端裝置，執行 Port Security、Voice VLAN、PoE 供電。
4. 伺服器區： 獨立 VLAN，高頻寬 (10G/25G) 接入，嚴格 ACL 保護。

三層交換機構建的 VLAN 網路結構

400 節點企業 VLAN 規劃案例

部門與節點數： 業務部 20、售後 20、財務 20、設計部 320、伺服器區 20，共 400 節點。

VLAN 劃分 (共 6 個 VLAN)：

• VLAN 10：業務部 (20 節點) → 24 埠二層交換機
• VLAN 20：售後部 (20 節點) → 24 埠二層交換機
• VLAN 30：財務部 (20 節點) → 24 埠二層交換機
• VLAN 40：設計部 (320 節點) → 1 台千兆核心交換機 + 多台二層交換機級聯
• VLAN 50：伺服器區 (20 節點) → 千兆/萬兆交換機直掛核心
• VLAN 60：管理/網管 VLAN (網路設備管理介面)

設計重點：

• 設計部節點多，採雙層架構：千兆交換機做部門彙聚，下接多台二層交換機。
• 伺服器區直掛核心三層交換機高頻寬埠，確保資料庫/應用低延遲。
• 三層交換機建立 6 個 SVI (VLAN 介面) 作為各 VLAN 閘道，啟用 IP 路由功能。
• 核心至外網路由器僅跑預設路由 + 必要靜態路由，不跑內部動態路由協定。

400 節點 VLAN 劃分結構圖

關鍵配置提醒

• 所有 VLAN 間路由在核心三層交換機完成，接入/彙聚層交換機僅做二層透傳 (Trunk 允許對應 VLAN)。
• 啟用 spanning-tree portfast 於存取埠，spanning-tree bpduguard enable 防環路。
• 配置 ip dhcp snooping、ip arp inspection 保護核心閘道。
• 依部門安全等級配置 VLAN 間 ACL (VACL/RACL)，如財務 VLAN 僅允許存取特定應用伺服器。

VLAN 設計無標準答案，唯有「依業務邏輯分段、依流量模型規劃、依安全等級隔離」三原則。三層交換機是實現高效能 VLAN 互通的核心引擎，選型時務必驗證其硬體轉發能力與功能支援度。