1. 办公室跨VLAN通信到底在解决什么问题
第一次接触跨VLAN通信的兄弟，大概率是在做课程综合实验的时候被卡住的。场景通常长这样：一间办公室里有财务部、技术部、行政部三个工位区，每个部门被划进不同的VLAN，财务的机器不想让技术部的人随便访问，行政的打印机又要让所有人都能用。这时候问题就来了——VLAN天生是隔离广播域的，同一个VLAN里能通，跨了VLAN就互相看不见。可现实办公场景里，部门之间又必须有一些受控的互通需求，比如所有人都要访问同一台文件服务器、共用一台网络打印机、统一走一个出口去访问外网。
跨VLAN通信要解决的核心矛盾就一句话：在保持二层隔离带来的安全性和广播抑制优势的前提下，让不同VLAN之间按需、可控地互通。这个需求在真实企业网里天天都在发生，只不过真实环境里用的是三层交换机加路由，而思科实验里我们通常用一台路由器的单臂路由，或者一台三层交换机来做VLAN间路由。
这个实验适合谁看？如果你是正在上计算机网络课、被Packet Tracer或者EVE-NG里的综合实验折磨的学生，这篇内容能帮你把整个思路理顺；如果你是刚入行的网络运维，想搞清楚VLAN间路由到底是怎么跑起来的，这里也有可以直接抄的配置和排查思路。我下面会从整体设计思路讲起，把单臂路由和三层交换两种主流方案都拆开揉碎，再补上DHCP、ACL访问控制这些综合实验里几乎必考的点，最后给一份常见故障速查表。
先说清楚一个前提：跨VLAN通信的本质是三层转发。VLAN是二层概念，隔离的是广播域；要让两个不同VLAN的主机通信，必须有一个三层设备（路由器或三层交换机）分别接入这两个VLAN，充当它们的网关，然后由这个三层设备做路由转发。理解了这句话，后面所有的配置都是它的展开。
2. 整体方案设计与选型思路拆解
2.1 为什么不能只靠二层交换机
很多人一开始会想，既然都在一台交换机上，为什么不能直接通？因为交换机转发靠的是MAC地址表，而MAC地址表是二层转发的依据。当财务部的主机（VLAN 10）要访问技术部的主机（VLAN 20）时，源主机发现目的IP不在自己网段，就会把包发给网关。如果网关不存在，或者网关没有到目的网段的路由，包就被丢弃。二层交换机根本看不懂IP地址，它只认VLAN标签和MAC，所以它无法完成跨网段转发。
这里有个容易混淆的点：同一台物理交换机上，不同VLAN之间默认是完全隔离的，哪怕它们接在同一台设备的相邻端口上。这个隔离是逻辑上的，靠的是VLAN标签。所以跨VLAN通信必须引入三层能力，这是绕不过去的。
2.2 单臂路由 vs 三层交换：怎么选
综合实验里最常见的两种方案，我列个表对比一下，方便你根据实验要求选。
| 对比维度 | 单臂路由（Router-on-a-Stick） | 三层交换机（SVI） |
|---|---|---|
| 核心设备 | 路由器 + 二层交换机 | 三层交换机 |
| 物理连接 | 路由器一个物理口接交换机，划子接口 | 交换机上直接建VLAN接口（SVI） |
| 转发性能 | 受限于路由器单口，流量都挤在一条链路上 | 硬件转发，性能高得多 |
| 配置复杂度 | 子接口封装dot1Q，稍繁琐 | SVI配置直观，但需开ip routing |
| 适用场景 | 小型网络、教学实验、预算有限 | 中大型企业网、核心汇聚层 |
| 实验常见度 | 几乎每个综合实验都会考 | 进阶实验和真实项目主流 |
选哪个取决于实验要求和设备条件。如果题目明确给了路由器并要求"路由器单臂路由实现"，那就老老实实做单臂路由；如果给的是三层交换机，或者题目说"用三层交换实现VLAN间路由"，那就走SVI。我个人的建议是两种都要会，因为考试和面试都可能问，而且理解了两者的差异，你对三层转发的认识会深一个层次。
2.3 办公室场景的地址规划
不管用哪种方案，地址规划都是第一步，规划乱了后面全是坑。假设办公室三个部门，我按常见做法规划：
- VLAN 10 财务部：192.168.10.0/24，网关192.168.10.1
- VLAN 20 技术部：192.168.20.0/24，网关192.168.20.1
- VLAN 30 行政部：192.168.30.0/24，网关192.168.30.1
- 服务器区 VLAN 100：192.168.100.0/24，网关192.168.100.1
每个VLAN一个C段，网关用.1，主机从.2开始分配。这样规划的好处是网段和VLAN号有对应关系，看到IP就知道属于哪个部门，排查问题时一眼就能定位。子网掩码统一用255.255.255.0，也就是/24，一个C段254个可用地址，对单个部门来说绰绰有余。
提示：网关地址一定要在规划阶段就定死，并且全网统一。我见过有人财务网关用.254，技术部用.1，结果配ACL的时候写错方向，排查了半天。
3. 单臂路由方案的核心配置与实操
3.1 拓扑搭建与物理连接
单臂路由的拓扑很经典：一台路由器，一台二层交换机，若干PC。路由器的某个以太网口（比如GigabitEthernet0/0）用一根线连到交换机的某个端口（比如Fa0/1），这个交换机端口要配成Trunk模式。PC分别接到交换机的其他Access端口上，按VLAN划分。
关键点在于：路由器和交换机之间这条链路是Trunk，要承载多个VLAN的流量。所以交换机侧那个口必须switchport mode trunk，路由器侧则要在物理接口下划子接口，每个子接口对应一个VLAN，封装802.1Q并指定VLAN ID。
物理连接看起来简单，但有个坑：有些老设备或者模拟器里，路由器接口默认是关闭的，记得no shutdown。还有，如果用的是快速以太网口做Trunk，带宽只有100M，实验里无所谓，真实环境要注意瓶颈。
3.2 交换机侧的VLAN与Trunk配置
先在交换机上把VLAN建好，把端口划进去，再把连路由器的口配成Trunk。配置大概长这样：
Switch> enable Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name Finance Switch(config-vlan)# vlan 20 Switch(config-vlan)# name Tech Switch(config-vlan)# vlan 30 Switch(config-vlan)# name Admin Switch(config-vlan)# exit Switch(config)# interface range fa0/10 - 15 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 10 Switch(config-if-range)# exit Switch(config)# interface range fa0/16 - 20 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 20 Switch(config-if-range)# exit Switch(config)# interface fa0/1 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20,30,100 Switch(config-if)# exit这里switchport trunk allowed vlan建议显式写清楚允许哪些VLAN通过，而不是默认放行全部。真实环境里这是安全习惯，实验里也能避免一些莫名其妙的广播流量干扰。另外注意，Trunk两端允许的VLAN列表要一致，否则会出现"一边放行一边不放行"的单通问题。
3.3 路由器子接口配置与dot1Q封装
路由器侧是单臂路由的灵魂所在。物理接口不配IP，只开起来，然后在它下面建子接口：
Router> enable Router# configure terminal Router(config)# interface gigabitEthernet 0/0 Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface gigabitEthernet 0/0.10 Router(config-subif)# encapsulation dot1Q 10 Router(config-subif)# ip address 192.168.10.1 255.255.255.0 Router(config-subif)# exit Router(config)# interface gigabitEthernet 0/0.20 Router(config-subif)# encapsulation dot1Q 20 Router(config-subif)# ip address 192.168.20.1 255.255.255.0 Router(config-subif)# exit Router(config)# interface gigabitEthernet 0/0.30 Router(config-subif)# encapsulation dot1Q 30 Router(config-subif)# ip address 192.168.30.1 255.255.255.0 Router(config-subif)# exit子接口编号习惯上跟VLAN ID对应，比如.10对应VLAN 10，这样好记。encapsulation dot1Q 10这句是告诉路由器：从这个子接口出去的包打上VLAN 10的标签，进来的包如果带VLAN 10标签就交给这个子接口处理。这一步是单臂路由的核心，配错了标签，流量就进不来出不去。
配完之后，路由器会自动生成直连路由，因为它有三个子接口分别属于三个网段。这时候PC把网关指向对应子接口的IP，跨VLAN就能通了。你可以用show ip route确认一下，应该能看到三条直连路由。
3.4 PC端配置与连通性验证
PC端就简单了，配IP、掩码、网关。以财务部一台PC为例：IP 192.168.10.2，掩码255.255.255.0，网关192.168.10.1。技术部PC：192.168.20.2，网关192.168.20.1。
验证分三步走：先ping同VLAN的邻居，确认二层通；再ping网关，确认到网关的三层通；最后ping其他VLAN的主机，确认跨VLAN路由通。如果第一步就不通，问题在接入端口或VLAN划分；第二步不通，问题在网关配置或PC网关地址；第三步不通，问题在路由器子接口或Trunk。
我实测下来，单臂路由最容易出问题的地方是子接口的dot1Q封装和交换机Trunk的native VLAN不匹配。默认native VLAN是1，如果交换机Trunk口没改，路由器子接口也没处理native VLAN，一般不影响，但如果有人改过native VLAN，就会出现部分流量不通的诡异现象。
4. 三层交换方案的核心配置与实操
4.1 三层交换的转发原理
三层交换机本质上是"交换机加路由引擎"。它在硬件里同时维护MAC表和路由表，跨VLAN的流量第一次经过时走一次路由查找，之后就能硬件快速转发。相比单臂路由所有跨VLAN流量都挤在路由器那一个物理口上，三层交换的性能优势是碾压级的。
三层交换实现VLAN间路由靠的是SVI（Switch Virtual Interface，交换机虚拟接口）。每个VLAN建一个SVI，配上网关IP，开启路由功能后，这些SVI之间就能互相路由。你可以把SVI理解成"这个VLAN的网关就长在交换机内部"。
4.2 开启路由与SVI配置
三层交换机默认路由功能可能是关闭的，第一步必须ip routing。然后建VLAN、建SVI：
Switch> enable Switch# configure terminal Switch(config)# ip routing Switch(config)# vlan 10 Switch(config-vlan)# vlan 20 Switch(config-vlan)# vlan 30 Switch(config-vlan)# vlan 100 Switch(config-vlan)# exit Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit Switch(config)# interface vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit Switch(config)# interface vlan 30 Switch(config-if)# ip address 192.168.30.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exitSVI配好并且no shutdown之后，show ip route应该能看到对应的直连路由。这里有个细节：SVI的状态取决于该VLAN下是否有活动端口。如果VLAN 10里一个up的端口都没有，SVI会是down的，路由也不会生效。所以实验时确保每个VLAN至少接了一台开机的PC。
4.3 端口划分与Trunk上联
三层交换机的接入端口配置和二层一样，switchport mode access加switchport access vlan X。如果三层交换机下面还挂了二层交换机，那两者之间的链路要配Trunk，并且Trunk上要允许所有相关VLAN通过。
Switch(config)# interface range fa0/10 - 15 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 10 Switch(config-if-range)# exit Switch(config)# interface gigabitEthernet 0/1 Switch(config-if)# switchport trunk encapsulation dot1q Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20,30,100注意有些三层交换机在配Trunk前必须先指定封装类型switchport trunk encapsulation dot1q，否则会报错。这是平台差异，遇到报错先查这一条。
4.4 两种方案的实测对比
我在模拟环境里把两种方案都跑了一遍，用同样的拓扑和流量做对比。单臂路由在跨VLAN ping的时候延迟明显高一些，因为流量要绕到路由器再回来，路径长了一截。三层交换的SVI方案，跨VLAN ping基本和同VLAN一个量级，因为转发在交换机内部硬件完成。
从配置量上看，单臂路由要配子接口、封装、IP，三层交换只要建SVI配IP，后者更简洁。但单臂路由的教学价值更高，因为它把"三层转发需要网关"这件事体现得非常直观。所以我的建议是：实验课两种都做一遍，理解原理；真实项目里能用三层交换就用三层交换。
5. 综合实验必考项：DHCP与ACL访问控制
5.1 用DHCP统一分配地址
综合实验里很少让你手动配每台PC的IP，通常要求用DHCP自动分配。单臂路由方案下，DHCP可以配在路由器上；三层交换方案下，DHCP可以配在三层交换机上。以三层交换为例：
Switch(config)# ip dhcp pool vlan10 Switch(dhcp-config)# network 192.168.10.0 255.255.255.0 Switch(dhcp-config)# default-router 192.168.10.1 Switch(dhcp-config)# dns-server 8.8.8.8 Switch(dhcp-config)# exit Switch(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.10excluded-address把网关和服务器等需要固定IP的地址排除掉，避免冲突。每个VLAN建一个pool，PC设成DHCP获取即可。验证的时候在PC上ipconfig看是否拿到了正确网段的地址和网关。
注意：如果DHCP服务器和客户端不在同一个VLAN，需要配置DHCP中继（ip helper-address）。单臂路由场景下，如果DHCP服务器在某个特定VLAN，其他VLAN的请求就要靠中继转发。这是综合实验里常设的考点。
5.2 用ACL实现部门间受控访问
办公室场景的核心诉求是"该通的通，不该通的不通"。比如财务部不允许技术部访问，但所有人都能访问服务器区。这就用到ACL。以三层交换为例，用扩展ACL限制技术部访问财务部：
Switch(config)# ip access-list extended DENY_TECH_TO_FIN Switch(config-ext-nacl)# deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 Switch(config-ext-nacl)# permit ip any any Switch(config-ext-nacl)# exit Switch(config)# interface vlan 20 Switch(config-if)# ip access-group DENY_TECH_TO_FIN in把ACL应用在VLAN 20的SVI入方向，意思是"从技术部进来的流量，去财务部的拒绝，其他放行"。方向很关键，应用在入方向比出方向更高效，因为可以在流量进入的第一时间就过滤掉。
ACL的坑特别多，我列几个常见的：通配符掩码写反（0.0.0.255是匹配整个/24网段，别写成255.255.255.0）；ACL末尾默认隐含deny any，所以一定要显式写permit；应用方向搞错导致该拦的没拦、该通的断了。排查ACL用show ip access-lists看匹配计数，哪个条目命中多少次一目了然。
6. 常见故障与排查技巧实录
6.1 跨VLAN不通的排查顺序
跨VLAN不通是最常见的故障，我总结了一套从下往上的排查顺序，照着走基本能定位：
- 先确认同VLAN内能通。不通就是接入端口或VLAN划分问题。
- 再确认PC能ping通自己的网关。不通就是网关IP配错、SVI没up、或者PC网关地址写错。
- 然后确认三层设备上有到目的网段的路由。
show ip route看有没有直连路由。 - 最后确认Trunk链路放行了相关VLAN。
show interfaces trunk看允许列表。 - 如果配了ACL，检查ACL是否误拦。临时在接口上
no ip access-group测试。
这个顺序的逻辑是：先排除二层问题，再排除网关问题，最后查路由和策略。很多人一上来就查路由，结果发现是网线插错端口，白白浪费时间。
6.2 常见问题速查表
| 故障现象 | 可能原因 | 排查命令 | 解决方法 |
|---|---|---|---|
| 同VLAN不通 | 端口未划入VLAN或shutdown | show vlan brief | 划入正确VLAN并no shutdown |
| ping网关不通 | SVI down或网关IP错 | show ip interface brief | 确保VLAN有活动端口，核对IP |
| 跨VLAN不通但网关通 | 缺路由或Trunk未放行 | show ip route / show interfaces trunk | 补路由，Trunk加allowed vlan |
| 部分VLAN通部分不通 | Trunk allowed列表不全 | show interfaces trunk | 补全允许的VLAN列表 |
| 单臂路由子接口不通 | dot1Q封装VLAN号错 | show run interface | 核对encapsulation dot1Q编号 |
| DHCP拿不到地址 | 缺中继或pool配置错 | show ip dhcp binding | 配ip helper-address，核对pool |
| ACL配了但没生效 | 应用方向或接口错 | show ip access-lists | 核对应用接口和in/out方向 |
6.3 几个我踩过的坑
第一个坑是native VLAN不一致。有一次实验，交换机Trunk口native VLAN被改成了99，路由器子接口没做对应处理，结果管理流量时通时不通。后来统一把native VLAN保持默认1，问题消失。真实环境里native VLAN两端必须一致，这是硬性要求。
第二个坑是SVI的up依赖。三层交换机上建了SVI，但那个VLAN下没接任何开机设备，SVI一直是down，路由不生效。当时以为是配置错了，查了半天才发现是VLAN里没活动端口。解决办法就是确保每个VLAN至少有一个up的接入端口。
第三个坑是ACL通配符。192.168.10.0 0.0.0.255匹配的是整个192.168.10.0/24，我一开始写成了192.168.10.0 255.255.255.0，结果ACL完全不匹配，流量全放行了。通配符是反掩码，0表示必须匹配，1表示忽略，这个一定要记牢。
第四个坑是单臂路由的物理口没no shutdown。子接口配得再对，物理口是关的，一切白搭。这个错误太低级但太常见，尤其是模拟器里新建的接口默认可能是down的。
7. 实验扩展与真实场景的差距
7.1 从实验到真实网络的几个差异
实验里我们通常用一台三层交换机搞定所有VLAN间路由，但真实企业网里，VLAN间路由往往分布在核心层和汇聚层。核心层做高速转发，汇聚层做策略控制，接入层只管二层接入。这种分层设计是为了可扩展性和故障隔离。
另一个差异是冗余。实验里就一条链路，断了就断了。真实网络里Trunk要做链路聚合，三层设备要做网关冗余（比如HSRP或VRRP），保证单点故障不影响业务。这些在综合实验里可能作为加分项出现，值得提前了解。
还有就是安全策略的复杂度。实验里几条ACL就够了，真实环境里可能有防火墙、IPS、802.1X认证等多层防护。VLAN间路由只是其中最基础的一环。
7.2 可以继续深挖的方向
如果你把这个实验做完了还想深入，我建议往这几个方向走：一是研究VLAN间路由的性能优化，比如用CEF（Cisco Express Forwarding）加速转发；二是研究策略路由，让特定流量走特定路径；三是研究私有VLAN（PVLAN），在同一个VLAN内部再做隔离，适合酒店、运营商场景。
这些内容在综合实验里不一定考，但理解了它们，你对整个二层三层体系的认识会完整很多。网络这东西，实验是骨架，真实场景是血肉，两者结合才能真正学透。
最后分享一个我自己的习惯：每次做完实验，把配置导出保存，然后故意改坏一两个参数，看现象、查原因、再改回来。这种"破坏性测试"比顺顺利利配一遍学到的东西多得多。跨VLAN通信的坑，基本都是这么踩出来的。
