今天我们就来彻底讲清楚：为什么光有二层连通性，VLAN之间依然无法通信。

一、VLAN的本质是“隔离”

VLAN 的核心作用是什么？

• 广播域隔离：每个VLAN是一个独立的广播域。
• 逻辑分组：把物理位置不同的设备，按部门、功能等逻辑分组。
• 安全与管理：限制不必要的跨部门访问，提升网络可控性。

✅ 举个例子：
财务部（VLAN 10）和研发部（VLAN 20）在同一个交换机上，但默认情况下，它们无法直接通信——这正是VLAN的设计目的。

那问题来了：如果要让它们通信呢？

答案是：必须通过三层设备来做“路由”。

二、VLAN间通信的唯一路径：三层路由

二层交换 vs 三层路由

关键结论：

二层交换只能解决“同一个VLAN内的通信”。
跨VLAN通信，必须依赖三层设备进行路由转发。

三、实现VLAN间路由的两种主流方式

方式一：单臂路由

结构特点：

• 使用一台外部路由器，通过一个物理接口连接交换机。
• 接口配置为Trunk模式，承载多个VLAN的流量。
• 路由器上为每个VLAN创建子接口（如 GigabitEthernet0/0.10），并配置IP作为该VLAN的默认网关。

配置示例（Cisco）：

interface GigabitEthernet0/0.10
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
encapsulation dot1Q 20
ip address 192.168.20.1 255.255.255.0

✅ 优点：成本低，适合小型网络。
⚠️ 缺点：所有VLAN流量都走一个物理口，容易成为瓶颈。

方式二：三层交换机上的SVI

结构特点：

• 核心交换机本身具备三层路由能力。
• 为每个VLAN创建一个虚拟三层接口（SVI），配置IP地址作为该VLAN的网关。
• 交换机在内部完成VLAN间路由，无需外部设备。

配置示例（华为/H3C）：

vlan 10
vlan 20
interface Vlanif 10
ip address 192.168.10.1 255.255.255.0
interface Vlanif 20
ip address 192.168.20.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.10.254

✅ 优点：转发效率高，延迟低，适合中大型网络。
✅ 现代核心交换机基本都支持此模式。

四、常见误区：为什么“端口对了也通不了”？

❌ 误区1：“我端口都划对了VLAN，怎么还ping不通？”

• 真相：端口划分正确，只保证了二层接入正常。
• 但没有配置SVI或单臂路由，三层网关不存在，数据包根本出不去。

❌ 误区2：“我开了三层功能，但还是不通”

• 可能原因：
  • 忘了启用全局IP路由：ip routing（Cisco）或 ip route-static enable（华为）
  • PC的默认网关没指向SVI地址
  • ACL或防火墙策略拦截了跨VLAN流量
  • SVI接口状态为down（通常是VLAN未创建或无活动端口）

排错命令：

• show ip route（查看路由表是否有直连VLAN网段）
• display interface Vlanif 10（查看SVI状态）
• display ip routing-table（华为查看路由表）

五、真实排错场景

故障现象：

• VLAN 10（192.168.10.0/24）和 VLAN 20（192.168.20.0/24）无法互访。
• 但各自VLAN内PC可以互相ping通。

排错步骤：

1. 检查PC网关设置
   • PC1（VLAN10）网关是否为 192.168.10.1？
   • PC2（VLAN20）网关是否为 192.168.20.1？
2. 检查SVI是否配置且UP

   display interface Vlanif 10
   # 查看状态是否为 UP，IP是否正确

3. 检查是否启用IP路由

   display current-configuration | include ip routing
   # 必须看到 ip routing 或类似开启路由的命令

4. 查看路由表

   display ip routing-table
   # 应能看到两条直连路由：# 192.168.10.0/24 Direct Vlanif10# 192.168.20.0/24 Direct Vlanif20

5. 检查ACL或安全策略
   • 是否有ACL deny了跨VLAN流量？
   • 是否启用了端口隔离或MUX VLAN？

六、总结

VLAN间通信 = 二层接入 + 三层路由

• ✅ 二层负责“进得来”：端口划分VLAN、Trunk允许VLAN、MAC表学习。
• ✅ 三层负责“转得去”：SVI或路由器子接口配置IP，开启路由功能，形成跨VLAN转发路径。