VLAN 划分好之后为什么同一台交换机上的两台电脑换个 VLAN 就互相 ping 不通很多人在 eNSP 里搭完拓扑把 IP、网关都配好最后发现跨 VLAN 的请求一直超时第一反应是配置哪里漏了但反复检查又找不到问题。这个场景在 VLAN 间通信实验中太常见了。其实问题往往不在 VLAN 划分本身而在于对VLAN 是二层隔离技术这一点的理解不够到位。VLAN 把所有广播域切开了广播报文被限制在各自 VLAN 内部跨 VLAN 的二层帧默认就是被丢弃的。想让 VLAN 10 的主机访问 VLAN 20 的主机必须有一个能识别 802.1Q 标签、并能做三层路由转发的节点出现在中间。VLAN 间通信实验要解决的正是谁来转发、怎么转发的问题。本文以华为 eNSP 模拟器为实验环境完整拆解两个最经典的 VLAN 间通信配置实验单臂路由和三层交换机 VLANIF。我会从原理讲起给出完整配置命令、验证方法和排错思路。读完以后你不仅能跑通实验报告里的每一个环节还能真正理解每条命令背后的设计原因——这比背命令重要得多。1. 先搞清楚VLAN 间通信实验到底在解决什么问题很多初学者把 VLAN 间通信理解成多配几个 IP 地址就能通这是最大的误区。VLAN 划分完成之后同一 VLAN 内的设备可以通过二层交换直接通信但不同 VLAN 之间没有任何二层通道。数据包从左边的 PC 出发到了交换机一看目的 MAC 不在本 VLAN直接丢弃。要让不同 VLAN 的流量互相访问必须具备两个条件三层路由能力必须有一个节点对跨网段报文做 IP 路由。识别 VLAN 标签的能力这个三层节点必须能看懂 802.1Q 标签知道报文属于哪个 VLAN从而选择正确的出接口或子接口。所以 VLAN 间通信实验真正训练的不是配置本身而是理解二层隔离与三层转发的边界在哪里。所有实验步骤本质上都是同一个问题的不同解法把 VLAN 和路由功能连起来需要有一个人口。这个入口有两种主流做法单臂路由用一台路由器物理接口接交换机的 Trunk 口再划分子接口。每个子接口绑定一个 VLAN ID路由器就成了多个 VLAN 的网关。三层交换机 VLANIFSVI在三层交换机上创建 VLAN 对应的虚拟三层接口直接给 VLAN 配 IP由交换机自己完成跨 VLAN 路由。这两条路线对应不同的网络规模。单臂路由适合小型网络或实验教学三层交换机是企业园区网的主流方案。理解了它们的区别再去做实验就不会只盯着命令了。2. 核心概念Access、Trunk、PVID、802.1Q 子接口配置命令只有十几条但概念不确定配完很难排错。这一节把实验里涉及的关键术语一次性讲清楚。2.1 Access 口与 Trunk 口的区别Access 口一般接终端比如 PC、打印机。端口只能属于一个 VLAN发出的报文不带 VLAN 标签。数据进入 Access 口时交换机会给它打上该端口默认 VLAN 的标签。Trunk 口一般用于交换机之间互连或交换机连接路由器子接口。它允许携带多个 VLAN 的报文通过发出的帧会保留 802.1Q 标签。实验中容易犯的错是把 PC 接到 Trunk 口上或者把交换机上联口配成 Access。记住一点Access 准进不准多带Trunk 专门就是用来带多个 VLAN 的。2.2 PVID 与 Native VLAN 的关系每个端口都有一个 PVIDPort VLAN ID也就是端口收到无标签帧时默认打上的 VLAN 编号。Access 口的 PVID 就等于它所属的 VLAN。Trunk 口的 PVID 默认是 1即默认原生 VLAN 是 VLAN 1。在华为交换机上Trunk 口有两个关键配置port trunk pvid vlan 10 port trunk allow-pass vlan 10 20第一条修改端口的 PVID第二条设置 Trunk 放行的 VLAN 列表。两者是不同维度的事情PVID 决定无标签帧被归到哪个 VLANallow-pass 决定哪些 VLAN 的帧可以通过这个口。很多实验不通就是因为只改了 PVID忘了 allow-pass。2.3 802.1Q 与路由器子接口802.1Q 是给以太网帧加 VLAN 标签的标准标签里最关键的就是 12 位的 VLAN ID。路由器的物理接口本身不认识 VLAN 标签所以要在物理接口上划分子接口每个子接口绑定一个 VLAN ID专门处理带某一标签的帧。华为路由器上对应的命令是dot1q termination vid 10意思就是这个子接口只处理 VLAN 10 的帧。一个接口上可以配置多个子接口模拟出多个逻辑接口这就是单臂路由名称的由来。2.4 VLANIF 接口三层交换机上创建 VLAN 后可以给这个 VLAN 直接创建虚拟三层接口叫 VLANIFVLAN Interface也叫 SVI。VLANIF 的 IP 就是该 VLAN 内 PC 的网关地址。交换机通过 VLANIF 接口接收 VLAN 内的数据帧剥掉二层标签进入三层路由流程。如果没有三层功能或者没有启动 IP 路由VLANIF 就只是一个状态 down 的接口。这是实验中容易忽略的一点。3. 实验环境准备与拓扑规划本文实验基于华为 eNSP 模拟器设备选型如下路由器AR2220或不带三层功能的 AR 系列交换机S5700二层交换机终端PC1、PC2eNSP 中的命令与真机基本一致实验通过后可直接迁移到真实设备。版本以你自己安装的 eNSP 为准本文重点演示通用配置思路。3.1 实验一单臂路由实现 VLAN 间通信拓扑连接关系如下PC1 ---- SW1(GE0/0/1) PC2 ---- SW1(GE0/0/2) SW1(GE0/0/0) ---- R1(GE0/0/0)地址规划如下设备接口 / VLANIP 地址网关PC1属于 VLAN 10192.168.10.10/24192.168.10.1PC2属于 VLAN 20192.168.20.10/24192.168.20.1SW1 GE0/0/1AccessPVID 10无无SW1 GE0/0/2AccessPVID 20无无SW1 GE0/0/0Trunk放行 10/20无无R1 GE0/0/0.10子接口VLAN 10192.168.10.1/24无R1 GE0/0/0.20子接口VLAN 20192.168.20.1/24无3.2 实验二三层交换机 VLANIF 实现 VLAN 间通信拓扑连接关系如下PC1 ---- SW1(GE0/0/1) PC2 ---- SW1(GE0/0/2)地址规划如下设备接口 / VLANIP 地址网关PC1属于 VLAN 10192.168.10.10/24192.168.10.1PC2属于 VLAN 20192.168.20.10/24192.168.20.1SW1 VLANIF 10VLAN 10192.168.10.1/24无SW1 VLANIF 20VLAN 20192.168.20.1/24无两个实验的 IP 规划保持一致这样对比时只需要关注机制差异不会因为地址不一致而混乱。4. 实验一单臂路由完整配置单臂路由的原理可以这样理解交换机把所有 VLAN 的流量都通过一条 Trunk 物理链路上送给路由器路由器再用多个子接口区分不同 VLAN查找路由表后从正确的子接口转发出去。物理上是一条链路逻辑上等于多个接口在工作。4.1 交换机 SW1 配置进入 SW1先创建 VLAN再把接 PC 的接口设为 Access 并划分到对应 VLANsystem-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit接下来配置连接路由器的上联口必须使用 Trunk 放行 VLAN 10 和 20interface GigabitEthernet0/0/0 port link-type trunk port trunk allow-pass vlan 10 20 quit这里有三点值得注意vlan batch 10 20是一次性创建多个 VLAN 的快捷方式。如果不执行port default vlan 10Access 口默认 PVID 还是 1PC1 就会被分到 VLAN 1。Trunk 口必须配置allow-pass否则即使交换机上存在 VLAN访问 VLAN 的帧也不会从这个口通过。4.2 路由器 R1 配置进入路由器配置物理接口的地址管理然后创建两个子接口system-view sysname R1 interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable quit配置完成后可以用以下命令查看接口状态display ip interface brief正常情况下GE0/0/0.10 和 GE0/0/0.20 的协议状态应为 up。4.3 这条配置里最关键的是什么很多实验报告只需要配置 IP但实际跑不通时问题几乎都在子接口的 ARP 响应机制。路由器子接口收到广播报文时默认并不回应广播 ARP 请求。PC 要访问网关第一步就要用 ARP 解析网关的 MAC 地址。如果子接口不响应PC 就无法获得网关 MAC后续报文根本发不到路由器。因此需要手动执行arp broadcast enable这是单臂路由实验最容易踩的坑网上很多教程并没有解释这一点导致配完 IP 却 ping 不通。另一个关键是子接口的 VID 必须与交换机 Access 口的 PVID 对应上。PC1 属于 VLAN 10网关就必须配在GE0/0/0.10上VID 为 10。如果 VID 配错帧会被路由器丢弃。4.4 PC 配置与连通性验证eNSP 中 PC 的 IP 和网关需要手动填写以 PC1 为例IP 地址192.168.10.10子网掩码255.255.255.0网关192.168.10.1PC2 对应填写 192.168.20.10/24网关 192.168.20.1。配置完成后先验证 PC 与网关通信ping 192.168.10.1再验证跨 VLAN 通信ping 192.168.20.10能通单臂路由实验就成功了。5. 实验二三层交换机 VLANIF 完整配置单臂路由虽然实现了跨 VLAN 通信但所有 VLAN 的流量都挤在同一条物理链路上在高带宽场景下会形成瓶颈。园区网络更常用的方案是三口交换机直接做路由转发也就是把网关 IP 配置在 VLANIF 接口上。5.1 交换机 SW1 配置先创建 VLAN配置 Access 口system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit然后创建两个 VLANIF 接口分别配置 IP 作为对应 VLAN 的网关interface Vlanif10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.1 255.255.255.0 quit配置完成后检查状态display ip interface brief如果 VLANIF10 和 VLANIF20 的协议状态是 up说明三层接口已经可用。5.2 三层交换机上不需要做什么这个实验里不需要配置 Trunk不需要配置子接口也不需要配置路由协议。因为 VLANIF 就是三层接口交换机在三层路由表中直接加入了192.168.10.0/24和192.168.20.0/24两条直连路由不同 VLAN 的主机通过各自网关进入三层转发流程即可互通。这正体现了三层交换机和二层交换机的一个关键差异VLANIF 接口只有在对应 VLAN 内存在 up 的物理端口时才会正常工作。如果 VLAN 10 里没有接入任何设备VLANIF10 的状态是 down网关也就无法使用。5.3 PC 配置与验证PC1 和 PC2 的配置与实验一完全相同。先 ping 网关ping 192.168.20.10直接 ping 对方 IP如果通了说明三层交换机已经完成了 VLAN 间的路由转发。还可以在 SW1 上查看路由表display ip routing-table会看到两条直连路由分别是192.168.10.0/24和192.168.20.0/24下一跳指向对应 VLANIF 接口。6. 两种方案对比与选型建议做完两个实验会发现命令差异不大但适用场景完全不同。下表整理了关键差异对比维度单臂路由三层交换机 VLANIF核心设备路由器 二层交换机三层交换机配置复杂度需要配置子接口、dot1q、arp只需创建 VLAN 和 VLANIF转发性能较低所有 VLAN 共享一条物理链路较高硬件转发网络扩展性适合小型网络适合园区、中型以上网络故障点物理链路单点子接口较多时不易管理VLANIF 状态依赖 VLAN 内物理端口实验教学价值能直观理解 VLAN 标签与路由理解三层交换机工作原理这里想强调一个实验之外的判断单臂路由在真实生产环境中越来越少被用作主链路方案它的价值更多在于教学和低流量场景。三层交换机虽然初期采购成本更高但转发性能、可靠性和扩展性都更适合现代网络。如果做项目设计优先推荐三层交换机方案。7. 常见故障与排查思路实验配置步骤不多但不通的原因却可能隐藏在很多地方。下面这份排查表来自实际实验和生产环境的常见问题建议收藏备用。问题现象可能原因排查方式解决方案同一 VLAN 内通跨 VLAN 不通缺少三层路由入口网关不生效display ip interface brief配置子接口或 VLANIF且确保三层接口状态 up子接口物理 up 但 ping 不通网关子接口未开启 ARP 广播响应display interface查看子接口信息执行arp broadcast enablePC 无法 ping 通网关PC 未配置网关或网关地址错误在 PC 上查看 IP 配置正确填写网关地址Trunk 放行了 VLAN仍不通忘记执行allow-pass vlandisplay port vlan在 Trunk 口放行对应 VLAN子接口无法匹配 VLAN 帧dot1q termination vid与 VLAN ID 不一致display current-configuration核对 VLAN 编号三层交换机 VLANIF 状态 downVLAN 内没有 up 的物理端口display vlan检查 Access 口配置和物理链路PVID 配置错误导致主机被划分到错误 VLANAccess 口port default vlan未配置display port vlan重新指定端口所属 VLAN7.1 定位问题的最快方法建议按以下顺序排查不要一上来就抓包查看接口状态display interface brief查看 IP 配置display ip interface brief查看路由表display ip routing-table在 PC 上用 ping 先测网关再测跨 VLAN 地址如果网关通但跨 VLAN 不通重点检查路由是否存在如果网关都不通回到接口状态和 ARP 配置7.2 ARP 解析失败的典型表现单臂路由实验里PC ping 网关超时但接口和 IP 都正常基本可以判断是 ARP 没响应。eNSP 里可以在 PC 上执行arp -a看有没有网关的 MAC。如果没有就说明子接口没有回应 ARP 请求执行arp broadcast enable后重试即可。8. 工程实践与部署建议实验跑通只是第一步放到真实网络里还有几个问题需要注意Trunk 放行最小化不要图省事把 Trunk 放行所有 VLAN。只放行真正需要跨设备互访的 VLAN既能减少广播域穿透也能降低环路风险。PVID 与 Native VLAN 慎重修改华为交换机 Trunk 默认 PVID 是 1如果你的网络里 VLAN 1 不用也尽量不要在生产交换机上随意修改 PVID避免新旧设备默认行为不一致导致混乱。网关 IP 规划统一实验里网关都用 .1 结尾生产环境建议固定一个网段的网关地址规范例如一律 .254便于后续运维和脚本化巡检。三层交换机互联时考虑冗余生产环境两台三层交换机做 VLANIF 续接时要考虑VRRP网关冗余不能像实验一样单点接一根线。及时保存配置eNSP 里做完实验使用命令save确认保存配置否则断电后全部丢失。生产设备同样如此。关注 VLAN 间安全三层交换机实现 VLAN 间通信后默认是全网互通。如果某些 VLAN 之间不需要互访比如办公网和监控网应使用 ACL 限制访问方向而不是让所有 VLAN 无条件互通。9. VLAN 间通信的上层扩展VLAN 间通信实验不是孤立知识点它是后续很多网络技术的基础。理解了单臂路由和 VLANIF 的三层转发过程再去看下面这些内容会轻松很多DHCP RelayVLAN 多、网段多时DHCP 服务器可能只在一个 VLAN 内需要其他 VLAN 的报文跨网段获取地址本质就是用三层路由做中继。VRRP 网关冗余核心交换机主备切换时虚拟 IP 作为网关和 VLANIF 紧密关联。ACL 基于 VLAN 的隔离不同 VLAN 之间是否允许访问由路由入口的 ACL 规则控制。基于 IP 子网或 MAC 划分 VLAN生产环境中除了基于端口划分 VLAN还有基于 IP 子网和基于 MAC 地址的动态划分方式用于终端移动场景。K8s 多网络平面容器网络里也引入了 VLAN 或类似 VLAN tag 的隔离机制用多网络插件把一个物理网络划分成多个逻辑平面。虽然技术栈完全不同但打标签 按标签转发的思想一脉相承。举这些例子是想说VLAN 间通信实验不只是为了完成课程报告它是理解二层隔离、三层互通整个体系的第一环。10. 总结这个实验做下来最值钱的不是那十几条命令而是建立了一个清晰的判断框架VLAN 把广播域隔开三层设备负责打通打通的方式有两种单臂路由适合教学和小型场景三层交换机 VLANIF 是生产环境的主流选择。两个实验我建议都亲手做一遍。先做单臂路由体会一下子接口、dot1q 封装和 ARP 广播响应在整个转发链路里的作用。再做 VLANIF感受三层交换机把路由入口内化到 VLAN 内部的简洁。做完之后试着把实验扩展一下多加一个 VLAN或者把两台交换机连起来做跨交换机 VLAN 间通信你会发现之前的每个概念都在新拓扑里重新出现。如果实验过程中遇到问题按第七节的排查顺序走一遍绝大多数都能定位到原因。建议把本文收藏做实验时对照着操作。
