刚接了个小项目客户这边情况挺典型一层办公楼四个部门要相互隔离网络还得都能上外网终端加起来不到一百台预算又卡得紧。我直接用了单臂路由配合VLAN划分加DHCP的方案一台路由器、一台二层交换机就全搞定了。这套组合在中小型网络里非常常见也是我建议网络入门朋友必须吃透的一个经典模型。这篇文章把这套配置从设计思路到踩坑点完整复盘一下。方案不复杂但背后牵扯的知识点相当密集VLAN为什么能隔离广播域、Trunk口到底在传什么、路由器的子接口怎么终结VLAN标签、DHCP服务器怎么为不同网段分配地址。把这套东西捋顺了你以后看大部分园区网的核心配置都不会发怵。1. 项目概述与整体设计思路1.1 这个场景到底要解决什么问题客户的需求并不复杂但很典型。办公室分为财务部、技术部、人事部和访客区四个逻辑区域要求部门之间的网络彻底隔离避免广播报文互相干扰更重要的是财务数据不能随便被其他部门访问到。同时所有终端都得能自动获取IP地址不能让我跑到每一台电脑面前手工敲地址。最后一个需求是全网要能正常访问互联网。在这种需求下VLAN划分几乎是唯一的选择。把四个部门各自丢进一个独立的VLAN等于在二层上划出了四个独立的虚拟网络。每个VLAN是一个独立的广播域部门A的广播报文不会传到部门B的交换机端口上去这就从根上解决了广播风暴互相影响的问题。但VLAN隔离只是第一步。隔离完之后你还得让这些VLAN之间能互相通信否则财务部连打印机都访问不了技术部也没法把文件发给人事部。更重要的是所有VLAN都要访问互联网这就需要一台三层的网关设备来做路由转发。于是问题就变成了一台只有二层功能的交换机配上四个VLAN怎么让它们能互相访问还能统一出外网答案就是用单臂路由。1.2 为什么选单臂路由而不直接上三层交换机有人可能会问直接买一台三层交换机配上VLANIF接口一了百了干嘛还要搞单臂路由这话没毛病三层交换机确实是最优解VLANIF接口的转发性能远超单臂路由。但现实是预算有限客户手里已经有一台带路由功能的路由器再单独添置三层交换机的成本划不来。单臂路由的核心思路就一句话物理接口只有一个逻辑接口可以有很多个。在路由器的物理接口上划分子接口每个子接口对应一个VLAN的网关子接口之间通过路由表转发流量实现了VLAN间的互通。物理链路上走的是Trunk同时承载多个VLAN的流量每个VLAN的帧打着不同的802.1Q标签。这样一台路由器就被逻辑上拆成了四台虚拟路由器各管各的VLAN网关。这个方案的劣势也很明显所有VLAN间的流量都要穿过这根物理链路到达路由器再由路由器转发回来相当于是单点瓶颈。在上行带宽只有几十兆的小网络里完全够用但如果内网有大量视频传输或者大文件拷贝这条链路就是瓶颈。1.3 基础拓扑与VLAN规划规划的时候我直接定了四组网段方便后续做DHCP和路由VLAN ID名称网段网关用途10Finance192.168.10.0/24192.168.10.254财务部20Tech192.168.20.0/24192.168.20.254技术部30HR192.168.30.0/24192.168.30.254人事部40Guest192.168.40.0/24192.168.40.254访客区交换机是二层交换机上联路由器的接口设为Trunk下联终端的接口设为Access并划入对应VLAN。路由器物理接口下配置四个802.1Q子接口分别绑定上面四个网关地址。DHCP服务直接跑在路由器上每个VLAN对应一个地址池和网关。2. 核心概念拆解与配置原理2.1 VLAN划分的两层含义很多初学者以为VLAN划分就是把端口分分组实际上有两层意义上的隔离。第一层是二层隔离。Access口进帧的时候交换机会根据端口的PVID给帧打上VLAN标签这个标签只在Trunk链路上有意义。VLAN10的帧不会被转发到VLAN20的Access口因为交换机在转发时只比较标签不看物理端口在哪。这就是VLAN隔离广播域的原理。第二层是三层隔离也就是没有三层接口之前VLAN之间是无法通信的。交换机内部只有MAC地址表和VLAN转发规则无法进行IP层路由决策。所以VLAN之间的互访必须有一个具备路由能力的设备参与。这正是单臂路由存在的意义——它在三层上破除了VLAN之间的隔离同时不破坏二层的隔离效果。配置时提醒各位一点VLAN编号不是越大越好要预留规则。我这里用了10/20/30/40中间留了空号以后要插入新VLAN或者做扩展就不用推倒重来。VLAN名称务必写清楚别用默认的VLAN0010不然半年后你对着配置看半天都想不起来VLAN10是干嘛的。2.2 Trunk接口的封装与标签处理Trunk接口是这台方案的命脉。物理链路上只有一个口但承载着四个VLAN的数据交换机必须有能力区分这些帧各属于哪个VLAN。802.1Q就是干这个的它在以太网帧头里插入一个4字节的Tag字段携带VLAN ID信息。华为设备上接口配置Trunk的完整命令是interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40需要注意几个关键点。首先Access口出来的帧是不带标签的交换机在入方向根据PVID给帧打上标签在Access口出方向再剥掉标签。而Trunk口在出方向时允许列表里的VLAN帧会带着标签原封不动地发出去不允许的VLAN帧直接丢弃。其次是PVID和允许列表的区别。Trunk口的PVID默认是VLAN1意思是没打标签的帧进来交换机认为它属于VLAN1。在绝大多数设计里Trunk口上的VLAN1应该被禁掉或者至少明确它不会承担业务流量。否则未打标签的帧会漏进VLAN1造成意想不到的连通结果排查起来很坑。还有一个高频坑位两端Trunk口的allow-pass列表必须一致。我曾经帮人排障交换机侧放行了VLAN10到40路由器侧子接口都已经建好结果VLAN20的终端死活Ping不通网关查了半天发现路由器物理接口下还继承了默认配置Trunk列表里只有VLAN1。两端标签处理不对称帧到了路由器直接被扔掉。2.3 单臂路由子接口的802.1Q终结逻辑路由器物理接口本身不关心VLAN它收到带标签的帧只会当作垃圾处理。子接口的作用就是把物理接口上的流量按标签拆分成逻辑通道一个子接口绑定一个VLAN ID交换机送过来的带标签帧路由器根据标签内容把帧匹配到对应的子接口上。华为设备配套命令是interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0看到dot1q termination vid 10没有这条命令就是告诉路由器凡是带着VLAN10标签的帧交给这个子接口处理。子接口收到帧之后剥掉标签进入正常的三层处理流程。出去的时候反着来路由器根据下一跳和路由表选定出接口子接口给帧打上对应的VLAN标签再交给物理接口发出去。关于ARP值得单独强调一下。子接口是逻辑接口它同样需要ARP请求来解析终端的MAC地址。但ARP报文是广播帧在VLAN隔离环境里广播帧只会在本VLAN内传递所以子接口必须绑定VLAN才能知道该往哪里发ARP请求。你配了dot1q termination vid之后设备会自动在这个VLAN内发送ARP请求终端收到之后回应网关的ARP表项就确立起来了。很多入门者以为子接口配置完IP就万事大吉实际忘了termination配置结果Ping网关永远不通。这一条是最容易出问题的点。3. 实操配置全流程3.1 交换机侧配置真正的操作其实很短但每一条都要想清楚。我习惯先建VLAN再配接口最后看状态。# 交换机以华为S5700为例 system-view vlan batch 10 20 30 40创建VLAN时直接一条命令四个VLAN一起建省得重复敲。接着给终端接口划VLANinterface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20这些都是端口上的基础配置。Access口有一个好处出方向自动剥标签终端网卡根本感知不到VLAN的存在插上去就能跑。这也是VLAN对终端透明的原因你不需要在每台电脑上做任何额外设置。接下来是上联路由器的接口interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40在这里我特意没有设置Trunk口的PVID保持VLAN1默认。有人会问VLAN1的帧会漏过去吗注意看我前面说的如果这是纯Trunk口默认PVID是1不打标签的帧会被认为是VLAN1的帧。如果路由器物理接口没有绑定任何子接口来处理VLAN1这些帧是没人接收的不会造成大问题。但为了干净我一般会在配置里把VLAN1从Trunk允许列表里去掉或者强制Trunk口PVID改掉。不过在这个项目里设备默认配置没有特殊要求保持现状也没问题。配置完看一眼状态display port vlan display interface trunk这两条命令能确认端口模式、允许的VLAN列表是否生效。对于排查明明配了Trunk怎么还是不互通是第一步。3.2 路由器侧子接口与网关配置接下来是最核心的单臂路由部分。路由器物理接口连交换机Trunk口子接口按VLAN对应配置。# 路由器以华为AR系列为例 system-view interface GigabitEthernet0/0/0 undo shutdown interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/0.30 dot1q termination vid 30 ip address 192.168.30.254 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/0.40 dot1q termination vid 40 ip address 192.168.40.254 255.255.255.0 arp broadcast enable其中arp broadcast enable这条在华为设备上不是必需的但写上无害。在有些厂商设备里子接口默认不响应ARP广播加这条能避免很多莫名其妙的通了但不稳定问题。思科设备没有这条命令华为部分版本需要手动开启反正写上不亏。子接口创建后注意查看路由表display ip routing-table正常情况下四个VLAN的直连路由会自动出现在路由表里因为子接口有了IP地址设备会自动生成直连路由。这四个网段互相通信就靠这些直连路由来完成。到这里单臂路由的转发基础已经打好了。3.3 DHCP服务配置网关通了接下来解决终端自动获取IP的问题。我用路由器内置DHCP服务对应四个VLAN规划了四个地址池。华为设备配置DHCP服务有两种方式接口地址池和全局地址池。接口地址池我更喜欢因为配置简单而且天然把地址池绑定到了子接口不用额外指定网关。# 路由器DHCP配置接口地址池模式 dhcp enable interface GigabitEthernet0/0/0.10 dhcp select interface dhcp server dns-list 114.114.114.114 8.8.8.8 interface GigabitEthernet0/0/0.20 dhcp select interface dhcp server dns-list 114.114.114.114 8.8.8.8这样配置完之后DHCP服务会以接口的IP地址为网关自动生成可分配的地址范围。比如子接口0.0.0.10的地址是192.168.10.254/24那么DHCP分配地址的范围基本上是192.168.10.2到192.168.10.253默认网关自动指向192.168.10.254。这里有个细节必须提醒全局地址池和接口地址池在华为设备上的行为和优先级不完全一样。接口地址池的优点是不会出现地址池配置了但忘记指定网关这种失误因为它直接用接口地址当网关。但接口地址池的可控性弱你想排除某些IP不让分配就得靠全局地址池的excluded-ip-address命令或者干脆在接口地址池模式下配合excluded-ip-address使用。如果客户有静态IP设备比如打印机、监控录像机建议预留一段静态地址区间不放进DHCP池子避免地址冲突。我在这项目里预留的静态区间是X.10到X.50DHCP自动分配从X.100开始。这一步看似多余实际能省很多事。你如果让DHCP把1到254全部分出去哪天突然要加一台打印机手工配了个静态IP恰好又在DHCP池子里过两天就会有人打电话说网络不稳定。3.4 外网接入与NAT配置外网访问这步是收尾。客户拉了一条家庭宽带光猫出来的网线直接接路由器WAN口。作为网关的路由器需要做两件事一是默认路由指向运营商网关二是NAT地址转换让内网私网地址能访问互联网。interface GigabitEthernet0/0/1 ip address dhcp-alloc ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/1 acl number 3001 rule 5 permit ip interface GigabitEthernet0/0/1 nat outbound 3001配置完成之后四个VLAN的终端通过路由器上外网全部经过NAT转换成公网地址。这里实际有个值得思考的细节为什么华为此处用ACL匹配全部IP而不是每个VLAN一条规则因为四个VLAN都属于私网地址内网互访走直连路由不经过外网口只有去公网的流量才会命中NAT规则所以一条ACL就够了。这个配置我建议初学者动手敲一遍不要复制粘贴。理解其中每一步的意义比你背一百条命令都重要。4. 常见问题与排查技巧实录4.1 VLAN之间Ping不通先查网关和Trunk这是我遇到最多的问题症状表现为同一VLAN内的终端互相能通但不同VLAN的终端无法通信。排查顺序很重要别一上来就怀疑路由器坏了。第一步Ping网关。终端Ping自己VLAN的网关如果不通问题出在这一侧的二层链路。检查交换机的Access口VLAN是否正确Trunk口放行列表有没有包含这个VLAN路由器子接口的termination vid和VLAN是否匹配。第二步Ping对端网关。自己的网关通了再Ping对方VLAN的网关。此时流量路径是终端A到交换机交换机打标签走Trunk到路由器子接口A路由器路由查找后从子接口B转发出去经Trunk回到交换机交换机剥标签从Access口发给终端B。任何一环出错都可能导致不通。重点检查子接口是否都配置了IP和termination路由表里是否有对应直连路由。第三步检查两端Trunk放行列表。这是经典坑位交换机侧Trunk放行20路由器侧对应子接口也配了但交换机上opened Trunk允许列表实际是VLAN10 30 40独缺20。display port vlan查一下看Trunk口Allow-pass列表里有没有20。没有的话帧上不了Trunk子接口自然收不到。4.2 终端获取不到IP地址终端网卡一直显示未识别的网络或者获取到169.254.x.x开头的地址说明DHCP没有正常工作。这个169.254地址是操作系统自动分配的出现它基本等于DHCP没拿到响应。排查顺序先手动给终端配一个静态IP同网段、网关对看能不能Ping通网关。如果静态IP能通说明二层链路和网关没有问题问题集中在DHCP服务上。试试在路由器上强制释放reset ip pool name vlan10不同型号命令不一样华为是reset ip pool有的设备要重启DHCP进程。还有可能是终端的DHCP请求报文没到达路由器因为DHCP发现报文是广播帧只能在本VLAN内传播。如果Trunk口没放行VLAN终端虽然能通网关因为网关是子接口响应ARP但DHCP请求根本到达不了DHCP服务器。注意这个细节ARP请求也是广播但网关的MAC已经在子接口上终端Ping网关时广播能触发子接口响应。DHCP发现报文同样是广播可DHCP服务器进程是在三层协议栈上监听的如果子接口的termination peizhi不对DHCP报文可能被丢弃。所以排查DHCP不通的时候先确认termination配置再确认DHCP服务状态。这里分享一个我经常用的排查技巧路由器上抓包或者开debugdebugging dhcp server all看到Debug输出里有没有收到DHCP Discover报文就大致知道问题出在二层还是DHCP服务本身。这条命令在实战里比看一百行配置都管用。4.3 子接口配置正确但Ping不通网关另一个高频问题子接口配置完全正确IP也Ping不通。这种情况大概率是物理接口被shutdown了。很多人在路由器上创建完子接口却忘了激活物理接口。华为AR系列默认物理接口是开启的但有些设备或者你在调试过程中undo shutdown过又禁用了就容易忽略。另一个原因是子接口没有开启ARP广播功能前面我提到过部分版本默认不响应ARP请求。现象是终端Ping网关有去无回ARP表里也看不到网关的MAC。这时候去子接口下补一条arp broadcast enable即可。4.4 同一VLAN能通但跨VLAN延时高、丢包单臂路由是典型的穿透式转发所有跨VLAN流量都得从交换机到路由器绕一圈。如果出现延时高或者丢包先看链路的带宽和双工模式。Trunk口如果两端协商成千兆但双工变成半双工那不管怎么排查都会随机丢包。处理方法interface GigabitEthernet0/0/24 duplex full speed 1000千兆电口基本不需要指定速度和双工但老旧设备或者劣质网线会导致协商异常。强制指定反而能避免波动。4.5 傻瓜交换机与基于IP划分VLAN的坑有人图省事接了台所谓傻瓜交换机以为同品牌就能自动同步VLAN信息。其实傻瓜交换机要么不支持VLAN要么只能全局配置VLAN而不会Trunk传递标签。它的上行口不会理解802.1Q标签交换机发下来的带标签帧直接被它当成普通帧处理VLAN信息就丢了。这会导致一个很隐蔽的故障某些终端能通某些不能通而且看起来毫无规律。还有一类号称支持基于IP划分VLAN的傻瓜交换机它更坑。它不是按802.1Q标签来转发而是根据IPv4地址做二层转发决策。这种交换机的每个端口配一个IP子网流量按源IP决定走哪个VLAN。看起来能实现类似VLAN的功能但致命伤是它不识别Trunk标签和标准交换机对接时必须关掉Trunk功能做纯Access对接。你一旦把它接到Trunk口标签帧进来就被拆掉整个网络直接乱套。我的建议很直接VLAN环境下老老实实用支持802.1Q的网管交换机。傻瓜交换机只能用在最边缘的、只接一台终端的场景并且确认它不会干扰标签帧。省那点钱后续排障的时间成本远高于设备差价。4.6 网络风暴的可能性单臂路由环境下如果出现持续广播风暴首要怀疑点有两个一是Trunk口两端PVID配置不一致导致未知帧反复打标签转出二是环路。Trunk口一般不会直接造成环路但如果你把两个交换机用两根线互联一根Trunk一根Access那恭喜你交换环路跑起来了几个VLAN隔三差五全部瘫痪。交换环路排查可以用display loopback-detect华为的环路检测命令不同版本名称略有差异。真等到风暴起来再查光抓包分析就够你忙半天。最好的办法是物理环境上就别留环路设备调试阶段逐一断开互联测试连通性把基础打牢。写在最后的几点心得这套配置看着简单但踩过坑才知道每个细节都值得较真。我给客户部署完成后专门留在现场把四个部门全测了一遍财务部访问人事部、访客区上外网、每个VLAN的DHCP获取地址全部一条龙验证通过才算交付。有些朋友可能觉得网管工作就是配完命令就收工其实网络工程真正考验人的是排障思路和细节把控。还有个小技巧分享给你配置完成后把路由器配置导出备份同时把VLAN划分表和IP规划表打印出来放在设备旁边。半年以后设备重启、人员调整、网络扩展你翻一下这张表五分钟就能定位问题域不知道为什么很多人就是不爱做这个基础动作。另外这套方案后续要扩展时优先考虑升级三层交换机做VLANIF性能提升是质的飞跃单臂路由作为起步和预算有限的方案依然非常能打。