Khi mạng có nhiều VLAN (văn phòng, camera, Wi-Fi khách…), cách gọn nhất là để một switch Layer 3 làm gateway cho tất cả VLAN, định tuyến giữa chúng ở tốc độ phần cứng, và chỉ một đường lên router ra internet. Cấu hình dưới đây áp dụng cho Catalyst 3560, 3560-X, 3750-X và 3850, nối với các switch truy cập trong bài cấu hình mẫu 2960.

Kiểm tra license trước

Định tuyến cần license IP Base (mã kết thúc -S) hoặc IP Services (-E). Bản -L (LAN Base) của 3560-X và 3750-X gần như chỉ dùng như switch Layer 2. Xem bằng show version và show license.

Với cấu hình này (định tuyến tĩnh, SVI, DHCP) thì IP Base là đủ. Giao thức định tuyến động như OSPF trên các dòng 3560/3750 đời đầu cần IP Services; dòng 3560-X, 3750-X, 3850 bản IP Base chỉ có OSPF ở mức giới hạn (routed access).

Mô hình mẫu

Gateway VLAN 10: 192.168.10.1, VLAN 20: 192.168.20.1, VLAN 99 (quản lý): 192.168.99.1.
Cổng 1: trunk xuống switch truy cập.
Cổng 24: cổng routed (không phải cổng switch) nối router, địa chỉ 10.0.0.2/30, router là 10.0.0.1.
Switch lõi cấp DHCP cho VLAN 10 và 20, chừa 20 địa chỉ đầu cho thiết bị đặt IP tĩnh.

Cấu hình đầy đủ

! =====================================================================
! CAU HINH MAU: Switch Layer 3 Cisco 3560 / 3560-X / 3750-X / 3850 lam switch loi
! Dinh tuyen giua cac VLAN + cap DHCP + duong ra router
! Nguon: https://thietbimangcu.com/cau-hinh-mau/
! - Can license IP Base (ma -S) tro len. Ban -L (LAN Base) cua 3560-X/3750-X khong dung duoc cau hinh nay.
! - Ten cong: 3560 doi dau la fa0/x + gi0/x; 3560-X/3750-X/3850 la gi1/0/x.
! - Doi MAT_KHAU_..., IP, VLAN cho dung mang cua ban.
! =====================================================================
enable
configure terminal
!
hostname SW-CORE
no ip domain-lookup
service password-encryption
enable secret MAT_KHAU_ENABLE
username admin privilege 15 secret MAT_KHAU_ADMIN
ip domain-name congty.local
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 15
 login local
 transport input ssh
!
! --- Bat dinh tuyen ---
ip routing
!
! --- VLAN ---
vlan 10
 name VAN-PHONG
vlan 20
 name CAMERA
vlan 99
 name QUAN-LY
!
! --- Cong ao (SVI) lam gateway cho tung VLAN ---
interface vlan 10
 ip address 192.168.10.1 255.255.255.0
 no shutdown
interface vlan 20
 ip address 192.168.20.1 255.255.255.0
 no shutdown
interface vlan 99
 ip address 192.168.99.1 255.255.255.0
 no shutdown
!
! --- Trunk xuong cac switch truy cap ---
! (3560 / 3560-X / 3750-X can dong encapsulation; 3850 khong co lenh nay, bo dong do di)
interface gi1/0/1
 description XUONG-SW-ACCESS-01
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 10,20,99
!
! --- Cong noi router: cong dinh tuyen (routed port) ---
interface gi1/0/24
 description LEN-ROUTER
 no switchport
 ip address 10.0.0.2 255.255.255.252
 no shutdown
!
! --- Duong mac dinh ra router ---
ip route 0.0.0.0 0.0.0.0 10.0.0.1
!
! --- DHCP ---
ip dhcp excluded-address 192.168.10.1 192.168.10.20
ip dhcp excluded-address 192.168.20.1 192.168.20.20
!
ip dhcp pool VAN-PHONG
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 8.8.8.8 1.1.1.1
!
ip dhcp pool CAMERA
 network 192.168.20.0 255.255.255.0
 default-router 192.168.20.1
 dns-server 8.8.8.8 1.1.1.1
!
end
write memory
!
! --- PHIA ROUTER (vi du Cisco ISR) phai co duong quay ve cac VLAN va NAT cho chung ---
! ip route 192.168.0.0 255.255.0.0 10.0.0.2
! access-list 1 permit 192.168.0.0 0.0.255.255
! ip nat inside source list 1 interface <cong-WAN> overload
!
! --- Kiem tra ---
! show ip interface brief
! show ip route
! show ip dhcp binding
! show interfaces trunk

Giải thích

ip routing và SVI

Mặc định switch Layer 3 vẫn chỉ chuyển mạch. ip routing bật định tuyến; mỗi interface vlan có IP trở thành gateway của VLAN đó. Một SVI chỉ lên (up) khi VLAN tồn tại và có ít nhất một cổng đang hoạt động thuộc VLAN đó (kể cả qua trunk).

Cổng routed lên router

no switchport biến cổng thành cổng định tuyến như cổng router. Cách này tách hẳn router khỏi các VLAN nội bộ, router chỉ cần biết một đường quay về: ip route 192.168.0.0 255.255.0.0 10.0.0.2 và NAT cho dải đó (xem cuối file cấu hình).

Lệnh encapsulation trên trunk

3560, 3560-X, 3750-X hỗ trợ cả ISL lẫn 802.1Q nên phải chọn switchport trunk encapsulation dot1q trước khi đặt mode trunk. 3850 chỉ có 802.1Q nên không có lệnh này, bỏ dòng đó đi.

DHCP trên switch

Đủ dùng cho văn phòng vài trăm máy. Nếu công ty đã có máy chủ DHCP (Windows Server) ở một VLAN khác, bỏ các khối ip dhcp pool và thêm ip helper-address IP-MÁY-CHỦ vào từng interface vlan.

Kiểm tra

show ip interface brief: các Vlan10, Vlan20 phải up/up.
show ip route: có dòng S* 0.0.0.0/0 via 10.0.0.1.
show ip dhcp binding: máy trạm đã nhận địa chỉ.
Từ máy VLAN 10 ping được máy VLAN 20 là định tuyến giữa VLAN đã chạy.

Bài liên quan

Switch Layer 3 đang có sẵn: Cisco WS-C3560-24TS-S (lab), Cisco WS-C3750X-24T-S, Cisco WS-C3850-24T-S. Xem thêm switch Layer 3 cũ.

Nhận bảng giá và tin hàng mới về

Kiến thức mạng

Cấu hình mẫu switch Layer 3 Cisco 3560 / 3750-X / 3850: định tuyến giữa VLAN và DHCP