VLAN间路由怎么配置？VLAN间路由配置教程

VLAN间路由配置核心要点：三种方案对比与实战选型

VLAN间路由配置的本质是通过三层设备实现不同广播域之间的数据转发，其核心方案包括单臂路由、三层交换机和基于VLAN接口的路由，在实际生产环境中，三层交换机方案凭借高性能和低延迟成为绝大多数企业的首选，而单臂路由适用于小型网络改造，基于VLAN接口的路由则常见于防火墙或路由器集中管控的场景，本文将从原理、配置方法、适用场景三个维度展开，并结合酷番云边缘云网络的实战经验,给出可落地的配置建议。

为什么需要VLAN间路由？

VLAN（虚拟局域网）通过划分广播域隔离了二层流量，但不同VLAN之间默认无法通信，例如财务部（VLAN 10）和研发部（VLAN 20）即便连接在同一台交换机上，也不能直接互访，此时需要三层设备介入，为每个VLAN配置一个网关IP，并启用路由功能，让数据包跨越VLAN边界转发，这一过程称为VLAN间路由，它是企业网络实现分区管控、安全隔离和流量优化的基础。

三种主流配置方案详解

单臂路由（Router-on-a-Stick）

单臂路由通过一条物理链路连接交换机和路由器，在交换机上将连接路由器的端口配置为Trunk模式，允许所有VLAN的流量通过，路由器上为每个VLAN创建子接口，并封装802.1Q标签,子接口IP即为各VLAN的网关。

• 配置步骤（以华为设备为例）：

  • 交换机：interface GigabitEthernet0/0/1 → port link-type trunk → port trunk allow-pass vlan 10 20
  • 路由器：interface GigabitEthernet0/0/1.10 → dot1q termination vid 10 → ip address 192.168.10.1 255.255.255.0 → arp broadcast enable（部分厂商需要该命令）

• 

  优点：无需额外购买三层交换机，成本低,适合少于5个VLAN的小型网络。

• 缺点：所有跨VLAN流量挤在一条物理链路上，容易形成带宽瓶颈；路由器转发性能有限,延迟较高。

• 适用场景：老旧网络临时改造、分支机构测试环境。

三层交换机VLANIF接口配置

这是当前最主流的生产环境方案，三层交换机内置路由模块，可为每个VLAN创建VLANIF接口（虚拟三层接口），直接作为网关，数据转发通过硬件芯片完成,速度接近线速。

• 配置步骤（以华为S5720为例）：

  • 创建VLAN并划分端口：vlan batch 10 20 → 将接口划入对应VLAN
  • 配置VLANIF接口：interface Vlanif10 → ip address 192.168.10.254 255.255.255.0
  • 同理配置Vlanif20，地址为192.168.20.254
  • 启用三层路由功能（默认开启），不同VLAN间自动路由

• 关键优化：若VLAN间有ACL需求，可在VLANIF接口上配置流量过滤策略；若需跨网段访问外部网络,则需要配置默认路由指向出口网关。

• 优点：转发性能强、延迟低、配置直观，支持千兆/万兆端口,可扩展性高。

• 缺点：三层交换机价格高于二层交换机,且无法替代专业防火墙的安全功能。

基于物理接口的VLAN间路由（Router with Subinterfaces或防火墙接口）

当企业使用防火墙作为核心网关时，可以直接在防火墙的物理接口或子接口上配置多个VLAN的网关IP，这种方式便于统一实施安全策略,适合对访问控制要求极高的场景。

• 配置要点：在防火墙的interface下创建子接口（如

  

  G1/0/1.10），绑定VLAN ID并配置IP，同时将安全区域（Zone）设置为trust或自定义区域，再编写策略允许/拒绝VLAN间互访。

• 优点：安全策略集中管理，可细粒度控制VLAN间流量（如仅允许财务访问研发的特定端口）。
• 缺点：防火墙转发性能通常低于三层交换机,多VLAN大流量场景可能成为瓶颈。

经验案例：酷番云边缘云网络中VLAN间路由的落地实践

在酷番云帮助客户搭建混合云（IDC+云上VPC）架构时，我们遇到一个典型场景：客户机房有5个VLAN（办公、生产、数据库、监控、客人WiFi），原使用单臂路由，高峰期跨VLAN时延超50ms且丢包,我们给出的解决方案是：

• 核心层：采用三层交换机（型号：华为S5731）配置VLANIF，将5个VLAN的网关全部迁移至交换机，并将交换机上联至酷番云SD-WAN网关。
• 云上联动：在酷番云控制台创建对应VPC子网，通过云专线与机房三层交换机建立BGP邻居，实现本地VLAN与云上VPC子网路由互通。
• 安全策略：在云防火墙中镜像了VLAN间互访规则,同时保留交换机本地ACL作为第一道过滤。

改造后，跨VLAN时延降至1ms以内，丢包率为零，且因为利用了酷番云的分层路由策略，广播包被有效抑制，带宽利用率提升40%，这个案例说明：三层交换机的VLANIF方案不仅适用于纯二层网络，也能与云网络无缝融合。

选型建议与排错技巧

如何选择最优方案？

• VLAN数量 < 5 且流量低 → 单臂路由足够；
• VLAN数量多、流量大、对延迟敏感 → 必须上三层交换机；
• 强安全合规（如金融、政务） → 用防火墙子接口方案,或在三层交换机后串接防火墙。

常见排错命令与思路

• 验证VLANIF状态：display ip interface brief，检查接口是否为UP,IP是否生效。
• 检查Trunk放行：display port vlan,确认Trunk口是否允许所有VLAN通过。
• 测试连通性：从PC ping网关IP，若不通则检查交换机与终端之间的Access口VLAN配置；若网关通但跨VLAN不通,检查路由表及ACL策略。
• 抓包分析：在交换机使用capture-packet命令，查看ARP请求是否跨VLAN转发,定位是二层问题还是三层问题。

相关问答模块

问题1：单臂路由和三层交换机路由，在配置上最大的区别是什么？

答：单臂路由的每个VLAN网关是在路由器的子接口上，子接口需要封装802.1Q标签并启用ARP广播，且路由器与交换机之间必须配置Trunk链路；三层交换机的网关则直接建立在VLANIF接口上，无需物理链路绑定，配置更简短，且转发过程中不需要额外封装标签，效率更高，从运维角度看，三层交换机可以将所有VLANIF统一下发，便于批量修改,而单臂路由的子接口配置较分散。

问题2：VLAN间路由配置后，发现时通时不通，可能是什么原因？

答：最常见的原因是Trunk链路允许的VLAN列表不一致，导致部分VLAN的标签被交换机丢弃，检查是否在路由器或防火墙上配置了ARP代理或静态ARP条目，如果MAC地址过期，会导致间歇性不通，若跨VLAN流量经过防火墙且安全策略未匹配，也会出现丢包建议用display log查看防火墙是否丢弃了该流量，检查是否存在生成树协议（STP）阻塞端口，尤其当Trunk链路有冗余时,STP收敛可能导致短暂的通信中断。