数通发布于 2026/7/22更新于 2026/7/229分钟阅读顶有教育科技

VLAN 间路由实验：二层隔离之后，三层互通应该怎么做？

通过 Vlanif 三层网关实验，理解不同 VLAN 主机互通的前提、网关配置和排查路径。

VLAN 能隔离二层广播域，但不同 VLAN 之间默认不能直接通信。如果业务需要跨 VLAN 访问，就要引入三层网关。

在华为交换机实验中，常见做法是使用 Vlanif 接口作为 VLAN 的三层网关。

基础拓扑

假设 VLAN 10 是办公网，VLAN 20 是服务器网。两边主机要互通，需要分别配置 Vlanif10 和 Vlanif20。

vlan batch 10 20
interface Vlanif10
ip address 192.168.10.1 255.255.255.0
interface Vlanif20
ip address 192.168.20.1 255.255.255.0

终端的默认网关分别指向对应 Vlanif 地址。

interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
interface GigabitEthernet0/0/2
port link-type access
port default vlan 20

如果主机接入口 VLAN 配错，即使网关配置正确，也无法按预期通信。

display vlan
display ip interface brief
display arp
ping 192.168.20.10

display arp 可以帮助确认网关是否学习到终端 MAC 地址。如果没有 ARP，问题可能在终端接入、VLAN 或网关配置。

Vlanif 接口没有 Up，通常是因为对应 VLAN 下没有活跃二层接口。还有一种情况是终端网关写错，导致跨 VLAN 流量无法发给三层设备。

排查时先确认终端到网关，再确认网关到目标终端。不要一开始就跨 VLAN ping，容易看不出问题在哪一段。

VLAN 间路由实验要证明两件事：VLAN 能隔离二层广播，三层网关能按策略实现跨 VLAN 通信。

建议用一台三层交换机和两到三台终端完成实验。终端 A 在 VLAN 10，终端 B 在 VLAN 20，三层交换机上配置 Vlanif10 和 Vlanif20。

Access 和 Trunk 解决的是二层转发问题。不同 VLAN 属于不同广播域，二层交换机不会直接把 VLAN 10 的流量转发到 VLAN 20。

Vlanif 接口相当于 VLAN 的三层网关。终端要访问其他网段时，会把数据包交给自己的默认网关，由三层设备继续转发。

配置 Vlanif 后，先从终端 ping 自己的网关。如果连网关都不通，问题大概率在 VLAN 接入口、终端 IP、掩码或 Vlanif 状态。

网关可达后，再测试跨 VLAN。如果跨 VLAN 不通，可以检查目标终端网关是否配置正确，以及是否有 ACL 阻断。

一个完整实验应该满足：

园区网络中，VLAN 间路由通常发生在核心或汇聚层。是否允许不同 VLAN 互访，不应该只由路由决定，还要结合安全策略。比如办公网访问服务器网可以限制端口，访客网通常不应访问内部业务网。