如果手里的网络已经按 VLAN 划分好了但不同 VLAN 里的设备还是互相 ping 不通问题多半不是 VLAN 没配好而是缺少“三层网关”和“静态路由”。VLAN 本身就把广播域隔开了不同 VLAN 默认就是不能直接互访的要让他们通信必须在三层设备上终结 VLAN再通过路由告诉设备“去对端网段往哪走”。这篇内容要解决的核心问题就是把交换机上的 VLAN 划分、VLANIF 网关、三层接口以及路由器上的静态路由串起来最终实现不同 VLAN 下不同网段的互通。这篇文章最适合三类人看刚用 eNSP、GNS3 做实验的学生已经会配 VLAN 但没搞懂三层网关和路由的运维新人以及在公司局域网里做设备间联调想快速理清配置顺序的网工。先说一个关键结论**静态路由不是用来替代 VLAN 的而是用来配合 VLAN 完成跨网段转发的。**VLAN 解决二层隔离路由器或三层交换机解决三层转发。下面按实际配置顺序拆开讲。1. 先搞清楚 VLAN 隔离了什么又要靠谁来打通1.1 VLAN 只是隔离二层广播域不等于禁止三层通信很多初学者会有一个误解同一个交换机上划分了两个 VLAN两个 VLAN 里的电脑互相 ping 不通就以为交换机坏了或者 VLAN 配置错了。其实这是正常现象。VLAN 的核心作用是把一个物理局域网在二层逻辑上拆成多个广播域。数据帧进入接口后会打上 VLAN 标签同一个 VLAN 内的设备能直接二层互通不同 VLAN 的设备在二层是完全隔离的。这种隔离在安全和流量管理上很有用但它也带来一个问题如果不同 VLAN 属于不同网段比如 VLAN 10 是 192.168.10.0/24VLAN 20 是 192.168.20.0/24那这两个网段之间要通信就必须依赖三层设备做路由转发。这里要先建立判断标准同 VLAN 同网段互通看的是接入交换机配置不同 VLAN 不同网段互通看的是三层设备上的网关和路由表。1.2 三层设备上的“网关”决定了数据能不能出 VLAN要让 VLAN 10 的终端能访问 VLAN 20 的终端数据包必须先从终端上送到网关网关再根据路由表决定下一跳。在华为设备上这个网关通常配置在 VLANIF 接口上。VLANIF 是三层逻辑接口它承担两件事一是作为该 VLAN 的网关 IP二是终结 VLAN 标签把二层数据帧还原成三层 IP 数据包。可以这样理解终端访问其他网段时会先把数据包发给自己的默认网关。默认网关收到后查看目标 IP 是否在本机直连网段如果不是就查路由表。路由表里有去目标网段的条目才会转发出去。这也是为什么很多人配完 VLANIF 后发现还是 ping 不通网关有了但路由表里没有去对端网段的路径数据包到了路由器后不知道该往哪送自然就丢了。1.3 网络规划表先写清 VLAN 和网段再动手配置我在实测时发现最容易出问题的不是命令记不住而是网络规划没想清楚。建议动手前先画一张表把设备角色、VLAN 编号、网段、网关 IP 都列出来。下面用这套规划做演示设备角色VLAN / 接口网段网关或接口 IP说明PC1VLAN 10192.168.10.0/24192.168.10.254终端接交换机 SW1PC2VLAN 20192.168.20.0/24192.168.20.254终端接交换机 SW2SW1VLANIF 10192.168.10.0/24192.168.10.254VLAN 10 网关和三层接口SW1 - R1三层口 G0/0/3192.168.1.0/24192.168.1.2交换机侧接口R1 - SW1G0/0/0192.168.1.0/24192.168.1.1路由器侧接口SW2VLANIF 20192.168.20.0/24192.168.20.254VLAN 20 网关和三层接口SW2 - R1三层口 G0/0/3192.168.2.0/24192.168.2.2交换机侧接口R1 - SW2G0/0/1192.168.2.0/24192.168.2.1路由器侧接口这个规划里SW1 和 SW2 各自承担一个 VLAN 的网关R1 作为中间路由器串联两台交换机。去往对方网段的路由通过静态路由写入各自路由表。注意网段之间不要重叠。实际项目里如果地址规划混乱后面配路由时很容易出现下一跳冲突排查起来非常难受。2. 实验环境和拓扑怎么搭设备选型与连接关系2.1 模拟器选择eNSP、GNS3 都可以重点是三层功能演示环境最常用的是华为 eNSP。它内置了 AR 系列路由器和 S5700 系列交换机支持 VLAN、VLANIF、静态路由这些常用功能拿来练手足够。如果你的电脑跑 eNSP 不稳定用 GNS3 搭配交换机镜像也可以但配置命令会不一样。下面所有命令以华为 VRP 风格为主这和使用 eNSP 的默认设备一致。需要提醒的是**eNSP 的设备型号不同接口默认状态会有差异。**比如 S5700 的接口默认是二层口要配置 IP 前需要先执行 undo portswitch 把接口切换为三层口。AR 路由器的物理接口默认就是三层口可以直接配 IP。2.2 拓扑连接关系实验拓扑建议这样搭建PC1 接 SW1 的 G0/0/1属于 VLAN 10PC2 接 SW2 的 G0/0/1属于 VLAN 20SW1 的 G0/0/3 接 R1 的 G0/0/0SW2 的 G0/0/3 接 R1 的 G0/0/1两台交换机先各自完成 VLAN 和网关配置再由 R1 完成跨网段路由。这个拓扑是比较常见的“两交换机一路由器”结构。它比单纯在同一台交换机上划两个 VLAN 再配单臂路由更贴近真实组网公司里经常是多台交换机分散在不同楼层或区域中间通过路由器或核心交换机汇聚。2.3 设备启动后的基本检查设备启动后先用 display version 确认设备型号和版本再用 display int brief 确认接口状态。我一般会先看一眼所有要用的接口是不是 UP接口都没起来就去配 VLAN 和路由等于在错误的地基上盖楼。接口状态正常后按交换机、路由器、终端的顺序配置。3. 交换机侧配置VLAN 划分、VLANIF 网关和三层接口3.1 创建 VLAN 并把接入端口划进对应 VLANSW1 上创建 VLAN 10把连接 PC1 的接口配置成 access 口并划入 VLAN 10system-view vlan batch 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quitSW2 上做同样操作只是 VLAN 编号换成 20system-view vlan batch 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 20 quit这里要解释一下 access 口的作用access 接口只属于一个 VLAN收到不带标签的数据帧时会打上接口的 PVID 所对应的 VLAN 标签。PC 发出的普通网卡数据帧是不带 VLAN TAG 的所以用 access 口接终端最合适。如果你看到有同学用 trunk 口接 PC那就要注意trunk 口默认情况下只放行配置里指定的 VLAN而且对无 TAG 帧的处理跟 access 不同。直接用 trunk 接 PC 很容易出现“接口 UP、VLAN 对、但报文出不去”的情况。3.2 配置 VLANIF 接口作为 VLAN 的网关SW1 上执行interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quitSW2 上执行interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quitVLANIF 接口配置完成后可以用 display ip interface brief 查看三层接口状态如果 IP 地址显示正确、接口状态是 UP说明网关这层没问题。但要注意VLANIF 不能凭空工作。它依赖三层转发能力也就是说交换机必须具备 IP 转发能力。S5700 默认是支持三层转发的交换机型号低端二层交换机你没有 Vlanif 这个配置入口就只有二层功能这种情况只能用路由器终结 VLAN。3.3 把连接路由器的接口从二层口切换成三层口SW1 连接 R1 的接口是 G0/0/3华为 S5700 默认接口是二层口直接给他配 IP 通常会报错。先执行interface GigabitEthernet0/0/3 undo portswitch ip address 192.168.1.2 255.255.255.0 quitSW2 上类似interface GigabitEthernet0/0/3 undo portswitch ip address 192.168.2.2 255.255.255.0 quitundo portswitch 这个命令的作用是把这个物理接口从二层交换口切换成三层路由口。切换之后接口就直接具备 IP 地址和路由能力与路由器的直连网段建立起来了。如果用的是三层交换机这里就是比较典型的配置方式。如果是纯二层交换机那这个口永远只能是二层口你只能采用“路由器子接口 trunk 链路”的单臂路由方案。文章后面会专门对比。3.4 为什么交换机上还要写静态路由很多人到这里就停了觉得交换机上已经有了 VLANIF 网关也配置了对端互联 IP应该能通了吧实测会发现从 PC1 ping PC2 还是不通。原因很简单SW1 收到 PC1 发来的数据包目标是 192.168.20.x这个网段不在 SW1 直连网段里SW1 必须查路由表。如果没写去 192.168.20.0/24 的路由数据包就被丢弃了。所以在 SW1 上要加一条指向 R1 的静态路由ip route-static 192.168.20.0 255.255.255.0 192.168.1.1SW2 上要加对称的路由ip route-static 192.168.10.0 255.255.255.0 192.168.2.1这两条路由的含义是凡是去 192.168.20.0/24 网段的流量都交给下一跳 192.168.1.1也就是 R1处理去 192.168.10.0/24 的流量交给下一跳 192.168.2.1。注意这里下一跳是路由器和交换机之间的互联地址不是终端网关地址。很多初学者会把下一跳写成对端 PC 的 IP这是错的。下一跳必须是直连网段里能直接访问到的三层接口 IP。4. 路由器侧配置接口 IP 和两条关键静态路由4.1 路由器接口 IP 配置R1 作为两台交换机之间的中转设备需要联通两个方向system-view interface GigabitEthernet0/0/0 ip address 192.168.1.1 255.255.255.0 undo shutdown quit interface GigabitEthernet0/0/1 ip address 192.168.2.1 255.255.255.0 undo shutdown quit配置完成后R1 的直连路由表里应该有 192.168.1.0/24 和 192.168.2.0/24 两个网段。可以用 display ip routing-table 确认。直连路由不需要手动写只要接口配置了 IP 且状态 UP路由表里自动生成。4.2 路由器上写两条静态路由指向两个终端网段R1 上执行ip route-static 192.168.10.0 255.255.255.0 192.168.1.2 ip route-static 192.168.20.0 255.255.255.0 192.168.2.2这两条路由把去 VLAN 10 和 VLAN 20 网段的流量分别指向 SW1 和 SW2 的互联接口。到这里完整链路就通了PC1 把数据包发给网关 192.168.10.254也就是 SW1 的 VLANIF10SW1 查路由表发现去 192.168.20.0/24 的路由下一跳是 192.168.1.1数据包到达 R1 后R1 再查到 192.168.20.0/24 的路由下一跳是 192.168.2.2最终由 SW2 的 VLANIF20 把数据包交给 PC2。回程方向完全对称。4.3 路由回程问题为什么两边都要指路由这是静态路由最容易踩的坑。很多人在 SW1 上写了去对端网段的路由在 R1 上写了去两个终端网段的路由但忘记在 SW2 上写回程路由结果还是不通。TCP/IP 通信是双向的。PC1 向 PC2 发包PC2 收到后要回包回包到 SW2 时SW2 也必须知道怎么去 192.168.10.0/24否则响应包就丢了。从现象上看就是ping 的时候第一个请求超时后面一直请求超时或者 ICMP 有发送但没有任何回复。所以检查路由时要按双向路径逐个设备查不要只查一条方向。4.4 默认网关和静态路由是两回事我接触过不少做运维的同学会把终端的默认网关和路由器上的静态路由混在一起理解。终端上的默认网关是一个设备“不知道往哪走时交给谁”的出口而路由器上的静态路由是“去某个特定网段时交给谁”的精确指示。默认路由一般写成 0.0.0.0 0.0.0.0匹配所有目标静态路由则精确到目的网段。在企业出口设备上通常还会配默认路由指向运营商的网关把非内网的流量送往公网。而内网不同 VLAN 之间的互访要靠精确的静态路由或内部网关协议。如果你只是想在一个模拟实验里让 PC 互通并且只有两个网段那么写精确静态路由就行不需要写默认路由。但如果是公司级网络出口设备往往需要同时处理去内网和去外网的多组路由就得根据实际需求拆开配。5. 验证步骤从链路、VLAN、网关、路由到端到端连通5.1 PC 配置检查与 Ping 测试顺序配置完成后先检查 PC 的 IP 地址、掩码、网关。很多实验“假不通”其实是终端网关写错了。PC1 的网关必须是 192.168.10.254PC2 的网关必须是 192.168.20.254。测试顺序建议从近到远在 PC1 上 ping 自己的网关 192.168.10.254在 PC1 上 ping SW1 和 R1 之间的互联地址 192.168.1.1在 PC1 上 ping PC2 的网关 192.168.20.254最后在 PC1 上 ping PC2 的地址 192.168.20.2。每步都通说明链路完整。哪一步不通说明问题就出在那一段。这样比直接 ping 对端终端地址更能定位问题。5.2 核心验证命令display vlan brief、display ip interface brief、display ip routing-table交换机上最常用的三组验证命令display vlan brief这条命令查看 VLAN 编号、VLAN 名称和包含的接口。重点确认终端所接接口是否在正确的 VLAN 里。display ip interface brief这条命令查看接口 IP 地址和接口状态。重点确认 VLANIF 接口有没有配置成功、物理三层口有没有正确配 IP。display ip routing-table这条命令查看路由表。重点确认有没有到对端网段的静态路由下一跳是否指向正确。路由器上同样用 display ip routing-table 验证。如果路由表里没有目标网段条目说明静态路由没配置成功或者配置命令写错了。5.3 各层验证的成功结果长什么样VLAN 配置成功后display vlan brief 会显示VID Type Status Ports 10 common UP GE0/0/1接口配置成功后display ip interface brief 会显示对应接口有正确 IP而且接口状态为 UP。路由表里静态路由条目一般是带 S 标记的行Destination/Mask Proto Pre Cost NextHop Interface 192.168.20.0/24 Static 60 0 192.168.1.1 GigabitEthernet0/0/3这个标记可以帮你快速区分直连路由、静态路由和其他协议路由。想确认某条路由是否生效直接看路由表里有没有这条即可如果配了静态路由但路由表里没有很可能是指定了不存在的接口或地址。5.4 能通和不能通的表象判断能通时ping 的结果是所有请求都能收到 Reply且延迟比较稳定。如果只是前两个包超时后面都通多数是 ARP 学习慢常见于刚启动的模拟器环境不代表配置有问题。如果一直超时就要按顺序排查。排查链路见下一章。6. 常见报错和排查链路按顺序查绝不盲改6.1 接口状态不对先看 UP 还是 DOWN如果物理接口是 DOWN先确认网线、模拟器连接、接口编号。eNSP 里如果接口没有被正确连线或者设备没有启动成功接口会显示 DOWN。如果接口是 DOWN 但链路实际是通的还要检查接口是否被 shutdown。手动执行 undo shutdown 可以恢复。接口状态不对时先不要继续检查路由。接口都没起来VLAN 和路由全都不会正常工作。6.2 VLAN 没放通检查接入口和 trunk 放行关系接入终端用 access 口主要检查 port default vlan 是否写入正确 VLAN。交换机之间级联时要用 trunk 口。华为交换机上常见的坑是trunk 口配置了 PVID但没有放行对端 VLAN。下面是一段典型配置interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20如果只写了 allow-pass没有确认 PVID无标签数据帧进入时可能被标记成默认 VLAN 1导致对端设备收到后认为它属于 VLAN 1显然匹配不上。排查时用 display int vlan brief 或 display port vlan 查看接口的 VLAN 属性确认 PVID 和放行列表一致。eNSP 的报错不太直白很多时候只在 ping 的时候表现为超时所以接口 VLAN 属性一定要主动查。6.3 VLANIF 没启或 IP 不对检查三层接口状态VLANIF 接口必须在有这个 VLAN 的前提下才能配置。如果 VLAN 没创建VLANIF 接口也用不了。如果配置完 IP 后接口状态 DOWN常见原因有两个该 VLAN 下没有任何物理接口或者 VLAN 下的接口全部 DOWN。VLANIF 接口的 UP 不要求该 VLAN 内有 active 接口吗华为设备上VLANIF 的状态与会话 VLAN 内是否有物理接口有关。如果 VLAN 内没有接口VLANIF 可能显示 DOWN导致网关不可达。所以终端接入端口必须正确划入 VLAN。6.4 路由没指或下一跳写错优先看路由表路由类问题很常见也很容易被误判。先确认每个三层设备上都有去目标网段的路由。SW1 看有没有 192.168.20.0/24R1 看有没有 192.168.10.0/24 和 192.168.20.0/24SW2 看有没有 192.168.10.0/24。再确认下一跳地址是否属于设备直连网段。把下一跳写成非直连地址静态路由根本不会生效路由表里也不会出现。6.5 防火墙、ACL 和接口安全策略真实设备上还有一类隐藏问题接口配置了 ACL或者设备上有防火墙策略把 ICMP 或者其他协议拦掉了。排查思路是先看路由是否可达再测端口连通性。如果在真实设备上还要检查接口有没有配置 traffic-filter以及设备本身有没有使能防火墙区域。eNSP 里如果 AR 路由器模拟了防火墙模块也容易遇到接口策略挡住流量。发现配置没问题但 ping 不通时重点检查这些策略。6.6 模拟器特殊问题重启设备后配置丢失eNSP 里的设备配置默认不保存。如果重启了模拟器或者关闭了设备配置会清空路由和 VLAN 都会消失。实验做完后如果需要保留记得在设备上执行 save确认配置文件保存成功后再关闭。这也算一个比较典型的坑调试时配置都在第二天打开环境发现路由没了以为是设备问题实际是没保存。7. 生产环境落地的差异点从模拟器到真实设备7.1 VLANIF 网关放在核心交换机上更常见实验里把 VLANIF 网关放在了接入交换机上再用路由器中转。生产环境中更常见的做法是采购三层交换机作为核心把 VLANIF 集中配置在核心交换机上接入交换机只做二层透传trunk 上联到核心。这样做的好处是网关统一、路由集中、排查方便。如果每个接入交换机都配 VLANIF 网关跨楼层的网关地址会很分散路由条目也更多后期维护成本高。如果你用的是三层交换机配置 VLANIF 后同样需要写静态路由只是设备角色从路由器变成了核心交换机。核心交换机到出口路由器之间通常还会写默认路由或明细路由再配合 NAT 等策略实现公网访问。7.2 静态路由的适用边界和替代方案静态路由适合网络规模小、拓扑稳定、下一跳明确的环境。比如一台核心交换机、两台接入交换机、两个网段静态路由完全够用配置直观、排错方便。但网络规模变大后比如有汇聚层、多出口、多条备份链路手动维护静态路由会很痛苦。拓扑一变路由表就要跟着改。这个时候可以考虑动态路由协议比如企业内部常用的 OSPF让设备之间自动交换路由信息。静态路由还有一个优点不产生额外协议开销也不会因为协议邻居震荡导致路由频繁切换。对于只要求“稳定直连”的简单网络静态路由反而比动态路由更可控。如果只有两台三层设备互联手写几条静态路由可能要不了两分钟引入 OSPF 反而要先处理区域划分和邻居关系成本更高。7.3 虚拟化和容器环境里的 VLAN 处理热搜词里出现 k8s multus、网卡多 VLAN 这类内容说明现在做网络的不光要懂物理交换机还会遇到容器和虚拟化环境。在这些环境里VLAN 的配置入口变成了宿主机的虚拟网卡、虚拟交换机和网络插件。物理交换机仍然承担 VLAN 标签的处理宿主机网卡必须配置 trunk 或 hybrid 模式把带指定 VLAN TAG 的流量接收进来。但整体原理没有变化VLAN 负责二层隔离三层通信仍然需要 IP 网关和路由。只是配置入口从 CLI 变成了虚拟化平台或容器网络配置。排查思路上仍然要按照物理链路、VLAN 标识、三层接口、路由表这个顺序来。7.4 配置文档和变更回滚思路真实项目中配置完 VLAN 和静态路由后一定要留一份变更记录。记录内容至少包括设备名称和 IP 管理地址VLAN 编号、网段、网关 IP涉及接口、端口类型、PVID、放行 VLAN静态路由的目的网段、下一跳、优先级验证结果和对应的 display 输出。如果变更没有回滚方案一旦发现问题要快速恢复就得很清楚知道改过哪些配置。简单场景下回滚方法就是把新增的路由删掉把接口还原成原 VLAN复杂场景下最好提前备份配置文件。我个人更建议先做小范围验证再批量推广。比如先让一个 VLAN 里的几台测试机通过再放通所有终端网段。不要一上来就把全部 VLAN 之间的路由全部配置好那样一旦有问题影响面会很大。7.5 学习路径建议如果你现在把实验环境里的静态路由跑通了下一步建议练习这几个扩展场景把两台交换机之间的链路改成 trunk加上 PVID 和 allow-pass 配置看多交换机级联下 VLAN 放行如何影响通信把路由器连接交换机的方式从物理接口换成子接口配 802.1Q 单臂路由对比两种方案的区别在三层设备之间改用 OSPF观察路由自动学习的效果增加一个新的 VLAN 30再在路由表里添加相应条目确认静态路由扩展流程。这些练习做完你对 VLAN 和路由的理解就不再停留在“照着命令敲能通”的阶段了。最后说一句我自己的体会静态路由配不通时十个里有八个不是命令问题而是要么下一跳写错要么交换机上少了回程路由要么接口 VLAN 状态不对。按链路、VLAN、接口 IP、路由表的顺序查基本都能定位。踩过几次坑之后就会发现这类网络问题最忌讳的不是配置复杂而是不按顺序乱改参数。
