先讲个我自己遇到的场景。有次给某公司做网络割接办公区VLAN 10的电脑要访问财务VLAN 20的打印服务器二层Trunk全通了就是ping不通。当时旁边刚入行的同事问了一句交换机上VLAN都建好了接口也放行了为什么还不通我告诉他少的就是VLAN间路由——二层隔离已经生效但三层没人做转发数据包到了网关就迷路了。VLAN间路由这个话题做网络的人都绕不开。华为设备上常见的有三种实现方式路由器子接口单臂路由、三层交换机VLANIF接口、以及VLANIF配合静态路由/策略路由的混合架构。这篇文章我把每种方式的原理、配置命令、适用场景、踩过的坑全部摊开讲适合刚接触数通的新手也适合准备做网络割接或排查故障的运维老手参考。1. 三种方式的基本认知与选型判断1.1 为什么需要VLAN间路由VLAN的作用是划分广播域把大的二层网络切成多个逻辑隔离的小网段。但隔离只是手段业务上往往需要不同的VLAN之间互访比如办公区访问财务系统、监控网段上传数据到存储服务器。二层隔离之后数据包要跨VLAN通信就必须经过三层设备由三层设备根据目的IP地址查路由表再决定从哪个接口转发出去。这里需要先理解网关的角色。每台PC要访问其他网段都会先把数据包发到自己的网关网关收到后发现目的IP不在本网段就查路由表找到去往目的网段的下一跳再改写成新的二层帧头继续转发。VLAN间路由本质上就是“给每个VLAN一个三层网关并让网关之间具备路由能力”。如果没有这一步VLAN里的设备只能在本VLAN内广播通信跨VLAN的报文会在网关处被静默丢弃。1.2 三种方式速览与核心差异很多资料把VLAN间路由分成“单臂路由”“三层交换”“VLANIF路由协议”三类我按工程落地的习惯重新整理一下三者解决的是同一件事但适用场景差别很大实现方式核心原理配置复杂度转发性能典型适用场景路由器子接口单臂路由物理口划分子接口用802.1Q封装区分VLAN中低路由器CPU转发小型网络、临时验证、出口路由器兼任三层交换机VLANIF交换机内创建VLAN三层接口硬件转发低高芯片线速转发园区网、企业网核心/汇聚绝大多数场景VLANIF静态/策略路由三层交换做VLAN网关路由策略控制流向中高高多出口、多业务分流、跨设备互访选型时先看转发性能。路由器子接口是靠CPU软转发的带宽一大就会成为瓶颈三层交换机的VLANIF是芯片硬件转发的万兆环境下依然稳。再看设备角色如果手头只有一台路由器又想省一台交换机单臂路由是合理的如果核心已经换成三层交换机那就别绕弯子直接VLANIF。1.3 选型判断思路我个人的选型习惯是核心汇聚层能用三层交换机就不用路由器做子接口只有临时验证、小型分支结构、或者路由器本身要兼职出口NAT时才用单臂路由。混合方案则是前两种的延伸——网络规模一大VLAN间路由可能不只在本地完成还需要把某些网段的流量引向防火墙或专线这时就要在VLANIF基础上叠加静态路由、默认路由甚至策略路由。判断标准很简单所有VLAN网关放在同一台设备上且互访流量不需要经过额外设备那就用VLANIF如果某些VLAN的流量必须绕行出口设备比如审计、上网行为管理就需要混合方案。2. 方式一路由器子接口单臂路由2.1 单臂路由的原理与适用边界单臂路由通俗说就是路由器用一条物理链路同时充当多个VLAN的网关。物理接口上划分出多个子接口每个子接口绑定一个VLAN ID收到带802.1Q标签的帧时路由器根据标签把报文交给对应的子接口处理。为什么叫“单臂”因为交换机到路由器只连了一根线但这根线是Trunk口上面跑着多个VLAN的流量。交换机把带VLAN标签的帧送到路由器路由器剥掉标签、做三层转发再从对应子接口把帧打上新标签送回交换机。整个过程数据包在一条链路上进出所以叫单臂。这种方式适合什么场景我实际用它最多的是两类一是只有路由器没有三层交换机的小型网络二是做实验验证VLAN间路由原理。它有两个硬伤性能上限低所有跨VLAN流量都要挤在一根物理链路里还得靠路由器CPU处理可用性差链路或路由器一旦故障所有VLAN间互访直接瘫痪。2.2 华为设备配置实例假设网络里有VLAN 10办公、VLAN 20财务路由器GE0/0/1接交换机交换机侧G0/0/1配成Trunk放行VLAN 10和20。路由器的目标是把两个网段的网关都放在GE0/0/1上IP规划为VLAN 10网关192.168.10.254VLAN 20网关192.168.20.254。# 路由器侧配置 interface GigabitEthernet0/0/1.10 description Gateway_VLAN10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enable undo shutdown # interface GigabitEthernet0/0/1.20 description Gateway_VLAN20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 arp broadcast enable undo shutdown# 交换机侧配置 vlan batch 10 20 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20配置里有两个细节必须说清楚。一是dot1q termination vid它告诉路由器该子接口只处理哪个VLAN标签的报文二是arp broadcast enable华为路由器子接口默认不处理广播报文而ARP请求就是广播不打开这个命令VLAN里的PC根本学不到网关MACping不通是必然的。2.3 实操中容易踩的坑单臂路由的几个坑我基本都踩过列出来给后来人避雷。第一子接口默认down。华为路由器物理接口下的子接口创建后默认是shutdown状态一定要undo shutdown否则物理链路再通子接口也是down的路由直接消失。第二Trunk放行和PVID要核对。交换机侧如果只配了trunk却没放行对应VLAN或者PVID和默认VLAN搞混帧在交换机上就被过滤了。常见现象是路由器上能看到子接口upARP表却一直学不到PC。第三MTU和性能问题。单臂路由链路上跑着多个VLAN的流量如果存在大报文比如视频传输、数据库同步物理链路的吞吐会成为瓶颈。我在一个监控项目里用单臂路由扛过一段时间的视频流结果一到高峰期丢包严重后来还是换成了三层交换机。3. 方式二三层交换机VLANIF接口3.1 VLANIF的工作逻辑VLANIF是三层交换机上为某个VLAN创建的逻辑三层接口。它看起来像是给VLAN开了一个“虚拟端口”配置IP后就是该VLAN内PC的网关。VLANIF的妙处在于流量进来后交换机查VLAN和MAC表完成二层交换需要跨VLAN时直接通过内部的三层转发引擎查路由表整个过程在硬件芯片里完成和路由器CPU软转发的效率完全不是一个量级。VLANIF支持的子网数量可以很多但要注意每个VLANIF对应一个三层接口接口数量过大会占用交换机的三层转发表项。不过对于绝大多数几百台设备的园区网VLANIF的数量根本不是问题。3.2 配置过程与命令还是沿用上面的例子不过这次网关放在三层交换机上而且配置简单得多# 创建VLAN并放行接口 vlan batch 10 20 # interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # interface GigabitEthernet0/0/2 port link-type access port default vlan 20# 创建VLANIF三层接口 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 undo shutdown # interface Vlanif20 ip address 192.168.20.254 255.255.255.0 undo shutdown配完之后交换机路由表里会自动出现两条直连路由192.168.10.0/24和192.168.20.0/24分别指向Vlanif10和Vlanif20。VLAN 10的PC把数据包发给网关192.168.10.254交换机查路由表发现目的网段在Vlanif20就把帧头改写成目标MAC后从对应口转发出去VLAN间路由成立。3.3 进阶玩法网关冗余与DHCPVLANIF不只是配个IP那么简单它能做的事很多我实际项目里最常用的是两类扩展。一类是VRRP网关冗余。核心交换机一般至少两台把VLANIF和VRRP结合能让两台设备共用一个虚拟网关IP主设备挂了备设备秒级接管。配置思路是两台设备的VLANIF配同一个VRID虚拟IP设为网关地址优先级区分主备# 核心交换机A interface Vlanif10 ip address 192.168.10.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120# 核心交换机B interface Vlanif10 ip address 192.168.10.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 100另一类是DHCP结合VLANIF下发地址。给VLANIF配上DHCP服务PC一进VLAN就能自动拿到对应网段的IPinterface Vlanif10 ip address 192.168.10.254 255.255.255.0 dhcp select interface dhcp server dns-list 223.5.5.5 114.114.114.114这个在办公网里很实用免去了逐台手工配IP的麻烦。4. 方式三混合架构与策略路由4.1 什么时候用混合架构VLANIF解决了本地VLAN互访但很多网络不只是内部互访还要经过防火墙、专线、多个运营商出口。举个例子某公司有办公、生产、监控三个VLAN办公和生产走普通宽带出口监控流量要强制走专线到总部的存储服务器同时所有VLAN的流量还要经过防火墙做安全审计。这种场景单靠核心交换机自己的VLANIF还不够需要在VLANIF基础上叠加路由策略把不同VLAN的流量引到不同路径上。我把这种方式归为“混合架构”三层交换机仍然承担VLAN网关和本地互访但它会把部分或全部流量路由到上层设备由上层设备做出口选路或安全控制。配置上核心是静态路由和策略路由。4.2 静态路由把VLAN间流量引到出口先说最简单的静态路由。假设核心交换机与出口路由器之间有一条三层互联链路网段是10.0.0.0/30核心交换机接口IP为10.0.0.2路由器接口IP为10.0.0.1。核心交换机上所有VLAN的默认出口都指向路由器ip route-static 0.0.0.0 0.0.0.0 10.0.0.1这样VLAN 10的PC要访问互联网时数据包到核心交换机后查默认路由下一跳是10.0.0.1于是从三层互联口转发给路由器再由路由器NAT上网。VLAN之间的互访流量则依然走VLANIF直连路由不绕行出口。如果要求某个网段必须走专线而不走默认路由就写一条更精确的静态路由# 监控网段走专线网关 10.0.0.6 ip route-static 192.168.30.0 255.255.255.0 10.0.0.6华为路由器的路由匹配原则是最长掩码优先所以192.168.30.0/24这条明细路由会覆盖默认路由流量被精确引导到专线。4.3 策略路由实现按需选路静态路由按目的网段选路但很多业务要按源地址选路同样是访问同一个目的地址不同VLAN的流量走不同出口。这时就要用策略路由PBRPolicy-Based Routing。华为VRP上策略路由的基本配置思路先用ACL匹配流量的源地址再用流行为指定下一跳最后把流策略应用在入接口方向。还是以监控VLAN为例# 匹配监控网段流量 acl number 3000 rule 5 permit ip source 192.168.30.0 0.0.0.255 # # 定义流行为重定向到专线网关 traffic classifier CLS_MONITOR if-match acl 3000 # traffic behavior BEH_MONITOR redirect ip-nexthop 10.0.0.6 # # 创建流策略并应用到VLANIF入方向 traffic policy PBR_MONITOR classifier CLS_MONITOR behavior BEH_MONITOR # interface Vlanif30 traffic-policy PBR_MONITOR inbound注意几个要点一是流策略要应用在源VLAN的接口入方向因为只有流量刚进入三层设备时才能按源地址匹配二是一旦命中策略路由设备会优先按策略指定的下一跳转发而不是查普通路由表三是华为不同版本命令可能有差异比如有的版本用apply ip-address next-hop有的用redirect ip-nexthop配置前先敲display version确认版本或者打问号查命令补全。混合架构里容易忽略的是回程路由。数据包从VLAN 30到了专线网关10.0.0.6之后对方回包时目标地址是192.168.30.0/24这个回程路由必须在专线对端设备或总部路由器上配好否则监控数据发得出去总部回包却找不到路。5. 常见故障与排查实录5.1 同VLAN通、跨VLAN不通这个现象很典型。PC ping同VLAN的设备通ping其他VLAN的网关不通基本可以判断二层没问题问题出在三层。排查顺序建议从底往上走先看三层接口状态display interface Vlanif10确认接口up、IP配置正确。很多时候是VLANIF没建或IP配错。再看路由表display ip routing-table确认有没有对应网段的直连路由。如果没有检查VLAN里是否有物理接口处于up状态VLANIF在没有up物理口时会保持down。再看ARP表display arp | include 192.168.20.确认两端网段的ARP条目都学习到了。VLANIF三层接口想通PC必须能解析到网关MAC交换机也必须能解析到PC的MAC。我在实际排查中遇到过一种隐蔽情况VLANIF的IP和别的接口IP冲突路由表里同一个网段出现两个来源导致转发混乱。这种问题光看路由表不容易发现得把所有三层接口IP拉出来对一遍。5.2 单臂路由ping不通的典型坑单臂路由的排查比VLANIF多几个环节我整理成了一张速查表照着查基本能定位九成问题现象可能原因排查与处理子接口down物理口未undo shutdown在子接口下执行undo shutdown子接口up但不可达缺少arp broadcast enable华为子接口默认丢弃广播需手动开启交换机侧学到不到ARPTrunk未放行对应VLAN检查port trunk allow-pass vlanPC网关可以ping通但跨VLAN不通路由表缺少目的网段路由display ip routing-table缺静态路由则补配VLAN A访问VLAN B单向通封装VLAN ID不一致核对dot1q termination vid是否与交换机端VLAN一致大流量时丢包单臂链路带宽不足换三层交换机或增加链路还有个细节华为路由器和交换机对接子接口时交换机侧如果用的是hybrid口要注意PVID问题。默认PVID是VLAN 1如果Trunk口没把默认VLAN改成其他值不带标签的帧可能会被错误划分。我一般建议直接配trunk简单明了。5.3 跨设备互访不通的通用排查思路混合架构里跨设备不通很多问题出在“路由只配了一半”。比如核心交换机配了默认路由指向出口路由器但出口路由器没有回程路由指向核心交换机内网网段导致PC可以上网但外网回包到不了内网。通用排查思路是在两台设备上都执行display ip routing-table把源网段和目的网段的路由分别确认一遍。然后tracert看每一跳是否可达哪一跳不通问题就锁定在哪一台设备上。这个思路我用了很多年基本能对付九成以上的路由问题。6. 工程实操经验补充6.1 配置前的VLAN与IP规划模板每次做VLAN间路由前我都习惯先把所有信息落到一张表里一次性规划好避免现场配置时来回翻查VLAN ID用途网段网关DHCP出口策略10办公192.168.10.0/24192.168.10.254是默认出口20财务192.168.20.0/24192.168.20.254否默认出口30监控192.168.30.0/24192.168.30.254否走专线这里有个我坚持的小习惯网关地址统一用每个网段的.254一是好记二是排错时一眼能看出网关配置是否对齐。别小看这个习惯有一次两个VLAN的网关分别配了.1和.254PC端网关参数全是对着旧文档抄的查了半天才发现是网关地址文档和实际配置对不上。6.2 安全策略与广播抑制VLAN间路由打通之后别忘了安全策略。很多人的习惯是“通了就行”但VLAN存在的意义就是隔离跨VLAN路由等于把隔离重新打开要用ACL控制谁能访问谁。比如财务VLAN应该只允许办公VLAN的特定网段访问而不是全放开。# 在VLANIF20入方向限制只允许办公网段访问财务服务器 acl number 3001 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.100 0.0.0.0 rule 10 deny ip # interface Vlanif20 traffic-filter inbound acl 3001广播抑制也一样。VLAN间路由开启后如果某个VLAN出现广播风暴可能会冲击三层设备的CPU。我习惯在接入交换机上开启广播风暴抑制配置阈值在5%左右既不影响正常DHCP等广播服务又能兜底防风暴。6.3 我建议的调试顺序给第一次做VLAN间路由配置的朋友一个调试顺序参考确认VLAN和二层的连通性同VLAN内PC互ping通。不通就先解决二层问题。确认三层接口VLANIF或子接口up、IP正确。确认路由表能看到各网段直连或静态路由。确认ARP学习网关和PC互相能解析到MAC。最后才测跨VLAN互ping并从中间设备倒推排查。这个顺序看起来简单但能省很多冤枉时间。有次我远程帮人排查对方说“跨VLAN不通”我一问同VLAN通不通对方说没试过。让他先在同VLAN内两台设备互ping结果直接不同问题根本不在VLAN间路由而在二层。基础排查的意义就是把问题范围逐步缩小而不是一上来就盯着路由表翻。最后再分享一个小经验做VLAN间路由尤其是三层交换机VLANIF方式本质上是把“隔离”和“互通”这对矛盾重新平衡。VLAN的隔离能力不能因为路由而完全放弃该做的ACL、该做的广播抑制都要跟上。我在实际项目里的习惯是——先把VLANIF全部配通再逐条加上访问控制这样业务验证和安全加固两不误。如果你正在做类似的割接建议也按这个顺序来能省不少事。