1. 为什么非要有 VLAN 终结先搞清楚 VLAN 标签的来龙去脉刚接触网络的朋友通常是从“VLAN 可以隔离广播域”这句话开始认识 VLAN 的。但你有没有想过一个问题交换机上的 VLAN 是靠什么把流量区分开的答案就是帧中间那个 802.1Q 标签。每天一个网络知识今天要聊的 VLAN 终结就是围绕这个标签展开的一场“二三层交接”仪式。1.1 802.1Q 标签到底藏在帧的哪里802.1Q 的标准做法是在以太网帧的源 MAC 地址之后、Type/Length 字段之前插入 4 个字节的标签头。这 4 个字节里前 2 字节是 TPIDTag Protocol Identifier取值固定为 0x8100表示“这帧带着 VLAN 标签”后 2 字节是 TCITag Control Information里面包含 3 位优先级、1 位 DEI 和 12 位 VIDVID 取值范围 0 到 4095其中可用的普通 VLAN 是 1 到 4094。可以把它理解成包裹上贴的楼层标签交换机只看这个标签就知道该把包裹送到哪个楼层广播域但交换机本身不会拆开包裹看里面的东西是什么。因为二层交换机工作在 OSI 模型的数据链路层它解析不了 IP 头更做不了跨网段路由。1.2 接入链路和中继链路上的标签状态在局域网里交换机端口分两类角色。接入端口Access Port连接终端发出的帧通常是 Untagged无标签的交换机在收到终端的流量后会在内部给这个帧打上该接入端口所属 VLAN 的标签。中继端口Trunk Port连接交换机之间或者交换机与路由器之间允许多个 VLAN 的带标签帧通过默认情况下 VLAN 1 通常也是常驻的。这里有一个很多人忽略的细节VLAN 标签本质上是交换机内部处理的一种“临时标记”它只在链路上有意义。终端用户根本感知不到标签的存在因为接入端口发出去的帧根本不会带 802.1Q 头。真正需要面对面处理带标签帧的设备除了交换机就是路由器、防火墙或三层交换机这些具备三层路由能力的设备。那问题就来了路由器上普通的物理接口能不能直接接收这种带 802.1Q 标签的帧答案是否定的。普通路由接口只会把收到的帧当成普通以太网帧发现 Type 字段变成了 0x8100它会认为这是一个未知协议类型处理不了就直接丢包。于是我们就需要一种机制让三层设备能“看懂”带标签的帧并且能把不同 VLAN 的流量路由到对应的网段上——这个机制就是 VLAN 终结。2. VLAN 终结的本质标签在第三层设备上被“撕掉”的那一刻如果把整条 VLAN 转发链路比作一条流水线那么 VLAN 终结就是流水线末端那道“拆标签”的工序。拆完标签帧就不再受 VLAN 隔离限制而是进入三层路由的流程。2.1 终结两个字怎么理解“终结”这个词英文对应 Terminate。在计算机网络里VLAN 终结指的是在一个三层接口上终止 VLAN 的转发过程设备识别帧中携带的 VLAN Tag剥离这个 Tag然后把里面的 IP 报文交给三层协议栈去做路由决策。反过来设备从三层协议栈拿到要发往某个网段的数据也会在出接口根据出口所属的 VLAN 重新打上对应的 Tag。这个“打上标签—剥离标签—重新打标签”的完整过程就是术语上常说的 VLAN 终结。它不是把 VLAN 删掉也不是把 VLAN 之间的隔离取消而是把 VLAN 这个二层转发域和三层的 IP 路由域衔接起来的必然动作。说得更直白一点VLAN 终结 在一个三层接口上把二层 VLAN 转发流程停下来并允许该接口参与三层路由。2.2 一个最容易混淆的概念终结不是“Sub-Interface 的专属动作”很多教材会把 VLAN 终结和“单臂路由Router on a Stick”绑在一起讲导致部分朋友误以为只有子接口才能终结 VLAN。实际上三层交换机上的 VLANIF 接口SVI、路由器上的子接口、甚至某些高级防火墙的逻辑接口都是在做 VLAN 终结。区别只是实现载体不一样背后的处理逻辑都是同一套识别外层/内层 VLAN剥离标签进入三层查找。你可以这样理解只要某个接口在逻辑上“属于”某个 VLAN但这个接口又具备三层 IP 地址能对进出该 VLAN 的流量做路由转发那么该接口就是在做 VLAN 终结。普通物理接入端口不算因为它不具备三层地址也没有路由能力。2.3 为什么要终结而不是让路由器直接透传有人会问为什么不能把路由器和交换机之间的链路全部配成 Trunk然后让路由器把所有带标签的流量直接路由出去问题在于路由器的物理接口在没有子接口的情况下一个物理端口只能识别一个 MAC 地址对应一个三层逻辑接口。如果 1 个物理口接了 20 个 VLAN 的带标签流量路由器根本无法判断这帧属于 VLAN 10 还是 VLAN 20更谈不上该用哪个 IP 来响应对端的 ARP 请求。VLAN 终结的核心价值就是在一个物理链路上复用出多个逻辑三层接口每个逻辑接口绑定一个 VLAN ID并且绑定一个独立的 IP 网段。这样一条物理链路就能同时承载多个网段的通信也就是常说的“单臂多 VLAN 路由”。3. 三种最常见的 VLAN 终结实现方式配置该怎么写在真实项目中VLAN 终结无外乎三种落地方式路由器的子接口终结、三层交换机的 VLANIF 终结、防火墙/路由器物理接口的“单 VLAN 终结”。下面分别展开并给出我实际用过的配置思路。3.1 路由器子接口终结单臂路由的经典场景早期的企业网络里核心设备是二层交换机加一台出口路由器。为了让不同 VLAN 之间能互通最简单的办法是把路由器的一个物理口分成多个子接口每个子接口对应一个 VLAN。Cisco IOS 体系下的配置核心有三行interface GigabitEthernet0/0.10 encapsulation dot1Q 10 ip address 192.168.10.1 255.255.255.0第一行创建了子接口第二行是终结的关键配置encapsulation dot1Q 10 表明该子接口只处理 VLAN 10 的带标签帧第三行给这个逻辑接口配置网关 IP。同理再加一个 .20 子接口配置 VLAN 20 的网关。华为 VRP 体系下的写法略有差异但逻辑完全一致interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable这里有两个新知识点。第一华为子接口默认不回应广播 ARP 请求必须手动敲 arp broadcast enable否则直连 PC 发送的 ARP 请求不会得到响应整个 VLAN 10 的终端都无法上网。第二华为 VRP 对终结子接口也要求物理口允许对应 VLAN 通过不过子接口本身已经指定了 dot1q termination vid物理口通常是 Trunk 模式且放行对应 VLAN。3.2 三层交换机 VLANIF 终结目前最主流的用法现代园区网核心基本都是三层交换机VLANIF 是最典型的终结方式。它的思路更简单先在交换机上创建一个 VLAN然后给这个 VLAN 配置一个三层逻辑接口 VLANIF这个接口的 IP 就是该 VLAN 内终端的网关地址。配置示例华为/H3C 风格vlan batch 10 20 # interface vlanif 10 ip address 192.168.10.1 255.255.255.0 # interface vlanif 20 ip address 192.168.20.1 255.255.255.0创建完 VLANIF 之后PC 把网关指到 192.168.10.1交换机收到 VLAN 10 内带标签的帧会先根据目的 MAC 查三层转发表命中网关 MAC 后剥离 VLAN 标签再根据目的 IP 路由到 VLAN 20 的 VLANIF 接口重新打上 VLAN 20 标签转发出去。整个过程对终端完全透明终端的默认网关其实就是交换机的 VLANIF 接口地址。如果你用的是 Cisco Catalyst 交换机命令相当于interface vlan 10 ip address 192.168.10.1 255.255.255.0配置更简洁但因为 Cisco 默认接口默认 shutdown记得敲 no shutdown。3.3 物理接口的“单 VLAN 终结”路由器不带子接口怎么破有一些低端路由器或特殊场景下子接口没法用比如路由器接口数量充足但固件版本不支持 802.1Q 子接口。此时可以在路由器物理口上启用 dot1q 终结但一个物理口只能绑定一个 VLAN ID本质上是把“终结”做在了物理接口层面。还有一种常见场景防火墙连接核心交换机时某些防火墙的逻辑接口不支持子接口但在物理口上可以直接配置 IP 并让它只接收某个 VLAN 的带标签帧。华为 USG 防火墙里配置子接口和 VLAN 终结的方法也差不多区别在于要额外放行安全策略。总结一句话能建子接口就建子接口能建 VLANIF 就建 VLANIF物理口做单 VLAN 终结只是替代方案可维护性最差。4. 从终端 A 到终端 BVLAN 终结之后的数据包完整旅行路径理论讲再多不如把一条真实流量走一遍。假设核心交换机是三层交换机下面两台 PCPC-A192.168.10.10/24属于 VLAN 10网关 192.168.10.1PC-B192.168.20.20/24属于 VLAN 20网关 192.168.20.14.1 第一步PC-A 发出跨网段报文PC-A 发现目的 IP 是 192.168.20.20不在自己的网段内于是将报文封装成目的 MAC 网关 MAC192.168.10.1 对应的 MAC、源 MAC PC-A 的 MAC、目的 IP 192.168.20.20、源 IP 192.168.10.10。以太网帧从 PC-A 的网卡发出到达交换机接入端口时不带标签。接入端口是 Access 口交换机收到后根据端口 VLAN 配置把这个帧打上 VLAN 10 的 Tag。4.2 第二步交换机内部的三层查找三层交换机收到带 VLAN 10 标签的帧后会根据目的 MAC 查找 MAC/三层转发表。如果目的 MAC 正好是 VLANIF 10 的 MAC也就是网关 MAC交换机就会把这个帧转发到三层转发引擎不再按照普通二层转发处理。三层转发引擎执行以下动作剥离 VLAN 10 Tag。用目的 IP 192.168.20.20 查找路由表命中直连网段 192.168.20.0/24。根据 ARP 表找到 PC-B 的 MAC 地址。重新封装以太网帧目的 MAC PC-B 的 MAC源 MAC VLANIF 20 的 MAC。给新帧打上 VLAN 20 的 Tag通过 VLAN 20 对应的二层域发出。这里的每一步都在做“终结”和“再发起”的动作。VLAN 10 的标签在进入三层后被终结VLAN 20 的标签则是三层转发完成后重新封装上去的。所以严格说三层交换机做的是双向终结入方向剥掉原 VLAN出方向打上新 VLAN。4.3 第三步PC-B 侧正常接收交换机的 VLAN 20 接入端口是 Access 口把带 VLAN 20 标签的帧剥离掉标签后发给 PC-B。PC-B 收到一个普通以太网帧源 MAC 是网关 MAC目的 IP 是自己正常交给系统处理。整个跨 VLAN 通信完成。这一段流程里最容易被忽略的是VLAN 终结并不影响二层 MAC 地址学习恰恰相反它依赖三层 ARP 表来维护“目标 IP 到 MAC”的映射。这也是为什么做 VLAN 终结接口排障时第一件事就是检查 ARP 表而不是去查 MAC 表。5. 实战中的坑ARP、DHCP、组播碰上 VLAN 终结时的注意事项VLAN 终结听起来简单但实际项目中我踩过不少坑。这里挑几个典型问题帮大家少走弯路。5.1 华为子接口必须开 arp broadcast enable否则终端无法上网络前面配置段里提过华为 VRP 的子接口默认不主动响应广播 ARP。原因是子接口本质是逻辑接口如果下层物理口没有收到对应的广播帧子接口不会自动转发广播。生产环境中很多工程师配完路由器子接口后PC 一直 ping 不通网关就是漏了这条命令。建议在配置子接口后立刻检查display arp interface GigabitEthernet 0/0/1.10如果 ARP 表项为空先看物理口是否 Up、是否配置了 dot1q termination vid、有没有开启 arp broadcast enable。三条全对ARP 基本就能学上来。5.2 DHCP Relay 和 VLAN 终结的叠加问题如果你的终端 IP 地址是靠 DHCP 拿的而 DHCP 服务器在另一个网段三层设备上通常要配置 DHCP Relay。VLAN 终结接口上做 DHCP Relay 时要注意 relay 必须配置在终结接口下比如interface vlanif 10 dhcp select relay dhcp relay server-ip 192.168.100.10交换机收到 VLAN 10 内终端的 DHCP Discover 广播后会通过 VLANIF 10 终结广播然后把报文转成单播发给 DHCP 服务器并且会在 giaddr 字段填入 VLANIF 10 的 IP 地址。服务器根据 giaddr 决定应该分配哪个网段的地址。如果 VLANIF 接口 IP 配置错了或者 relay server-ip 指错了终端就获取不到正确网段地址。5.3 组播流量跨 VLAN 转发必须启用三层组播二层交换机上的组播只会在同一 VLAN 内泛洪。如果业务需要跨 VLAN 传组播单靠 VLAN 终结是不够的因为 PIM协议无关组播等三层组播协议必须在 VLANIF 接口上运行。也就是说VLAN 终结只解决了“单播路由”的二三层转换组播路由得有独立的三层组播路由表。很多做视频会议和 IPTV 项目的朋友遇到“VLAN 都通了组播却不通”的问题原因就在这里。解决办法是在相关的 VLANIF 接口上启用 IGMP、PIM并检查 RP 或 Bootstrap 路由可达性。5.4 QinQ 环境下的双层标签终结在运营商接入场景里用户侧采用 QinQ报文带了外层 S-VLAN 和内层 C-VLAN 两层标签。此时如果要对内层 C-VLAN 做终结需要设备支持 QinQ 终结功能并明确指定剥离两层标签。华为 VRP 上可以用interface GigabitEthernet0/0/1.1 qinq termination pe-vid 100 ce-vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable这类配置在 FTTO、FTTB 场景中很常见。用错的关键点是常规 dot1q termination 只能终结一层 Tag如果你只写 vid 10和实际报文的双 Tag 不匹配三层接口永远起不来。6. 从 VLAN 终结到 VXLAN 终结同一个底层逻辑聊完 VLAN 终结忍不住多说一个延伸概念。VXLAN 时代同样会出现“终结”这个词比如 VTEP 设备收到 VXLAN 报文后剥掉 UDP/IP/VXLAN 头把内部原始二层帧送到目的虚拟机——这个过程本质上也是一种终结。6.1 VLAN 终结和 VXLAN 终结的共同点两者的共同点是都有一个“外层封装”和一个“内层净荷”的交界都需要在三层设备上根据隧道或标签信息找到对应逻辑接口然后执行剥离封装、查路由表、重新封装的动作。VLAN 终结是二层的标签和三层的 IP 路由之间的交接VXLAN 终结则是 VXLAN 隧道和传统以太网转发之间的交接。理解了 VLAN 终结你就理解了几乎所有“Overlay Underlay”网络里最核心的思维标签/封装只是让网络设备在转发面有依据真正的路由决策永远发生在网络层。你在一个接口上终结一个 VLAN、一个 VXLAN、甚至一个 MPLS 标签 VRF底层做的事都大同小异。6.2 给初学者一个总结性的判断标准以后听到“终结”这个词不要慌。只要一台网络设备把某种“附加在报文上的二层标识”解除掉并用三层信息去处理这个报文那就是终结。反过来如果它只是在二层表里查转发没有剥离标签、没有查 IP 路由那就不能叫终结。最后分享一条我个人维护网络的经验排查 VLAN 终结问题时永远从 OSI 模型的第二层往第三层捋。先确认物理链路和 Trunk 放行再确认终结接口的 VLAN 匹配关系然后看 ARP 表最后再看路由表和策略。这个顺序我用了七八年基本没有遇到捋不顺的二三层问题。