企业官网建设流程全解析

做网络实验的人，大概率在某个阶段都会碰到这样一个问题：同一个交换机上划分了不同VLAN，VLAN 10 的电脑能互访，VLAN 20 的电脑也能互访，但只要跨 VLAN 一 ping 就超时。很多人第一反应是“IP 配错了”，但检查半天发现 IP、掩码、网关都没问题，问题其实出在“不同 VLAN 之间根本不存在二层通道”这件事上。要打通 VLAN 之间的通信，就得引入路由，而“多臂路由”就是最朴素、最容易理解的一种实现方式。

这篇内容围绕 VLAN 间通信中的多臂路由实现方法展开，适合刚接触交换与路由的初学者，也适合准备网络实验、考证复习或给小型办公网做 VLAN 间互通规划的人。文章会把原理、拓扑、配置命令、验证方法和常见坑一次性讲清楚，看完可以直接在模拟器里复现。

1. 先想明白：VLAN 隔离的到底是什么

1.1 VLAN 把广播域切开了，但业务往往需要互通

VLAN 的核心作用是隔离二层广播域。交换机收到广播帧之后，只会把它转发到同一个 VLAN 的成员端口上。这样一来，VLAN 10 里的广播不会跑到 VLAN 20 里，网络被“切”成了几块独立的虚拟局域网，广播风暴的影响范围被限制住了。

但问题在于，实际业务并不会因为 VLAN 的划分而自动分开。最常见的场景是：财务部在 VLAN 10，技术部在 VLAN 20，两边都要访问同一个文件服务器；或者办公网里的电脑属于 VLAN 10，而打印机放在 VLAN 20，普通员工要打印东西就得跨 VLAN 访问。VLAN 隔离广播域的价值大家认可，业务互通的需求也客观存在，这就引出了“VLAN 间通信要怎么做”的核心问题。

1.2 二层不通，那就用三层来通

不同 VLAN 之间为什么 ping 不通？关键在于交换机在二层转发时，会看目标 MAC 地址和 VLAN 标签；而不同 VLAN 的端口本身就处于不同的广播域，二层帧跨不过去。所以想让 VLAN 10 和 VLAN 20 互通，就必须在“三层”上想办法——也就是说，需要一个具备路由能力的设备，把从一个 VLAN 收到的数据包，根据目标 IP 地址“转发”到另一个 VLAN 里去。

这就是 VLAN 间路由的基本思路。而实现方式有几种：多臂路由、单臂路由、三层交换机的 VLANIF 接口。这篇文章重点讲多臂路由，因为它是理解“路由转发”的最佳起点，逻辑最直白：每个 VLAN 给路由器一个物理接口，路由器在每个接口上配上对应网段的网关 IP，然后依靠路由表把数据从一个接口送进另一个接口。

2. 多臂路由到底是怎么工作的

2.1 什么是“臂”，为什么叫多臂

“多臂路由”这个名字其实很形象。可以想象一台路由器长了好几条“手臂”，每条手臂伸进一个 VLAN 里去。路由器用 G0/0/0 这个物理接口接交换机的 VLAN 10 端口，再用 G0/0/1 接交换机的 VLAN 20 端口，相当于路由器同时“站在”两个 VLAN 里。

每条手臂的末端都有一个 IP 地址，这个 IP 就是对应 VLAN 内所有主机的网关。VLAN 10 的主机把网关指向 G0/0/0 的 IP，VLAN 20 的主机把网关指向 G0/0/1 的 IP。当 VLAN 10 的主机要访问 VLAN 20 的主机时，发现自己和对方不在同一个网段，就会把数据帧先送给网关——也就是路由器伸进 VLAN 10 的那条手臂。路由器收到数据后，判断目标 IP 属于 VLAN 20 网段，再从伸进 VLAN 20 的另一条手臂把数据转发出去。数据在到达路由器之前是二层帧，到达路由器之后被重新封装成另一个二层帧，跨 VLAN 通信就这样实现了。

2.2 数据包在“多臂”场景下的完整旅程

拿一个具体例子走一遍。假设 PC1 在 VLAN 10，IP 是 192.168.10.1/24，网关是 192.168.10.254（路由器 G0/0/0）。PC3 在 VLAN 20，IP 是 192.168.20.1/24，网关是 192.168.20.254（路由器 G0/0/1）。

PC1 要 ping PC3，实际发生的过程是这样的：

1. PC1 的协议栈检查目标 IP 192.168.20.1，与自己的网段 192.168.10.0/24 不匹配，于是判断对方不在本地网络。
2. PC1 不直接去 ARP 请求 PC3 的 MAC 地址，而是去 ARP 请求网关 192.168.10.254 的 MAC 地址。
3. PC1 把数据帧的目的 MAC 写成网关 MAC，源 MAC 写成自己的 MAC，从网卡发出去。
4. 交换机收到这个帧，因为 PC1 所在端口属于 VLAN 10，所以帧只在 VLAN 10 范围内转发，最终送到路由器 G0/0/0 接口。
5. 路由器从 G0/0/0 收到数据帧，剥掉二层头部，看到目标 IP 是 192.168.20.1。查路由表后发现直连网段 192.168.20.0/24 在 G0/0/1 上。
6. 路由器通过 ARP 获取 PC3 的 MAC 地址，然后重新封装一个二层帧：源 MAC 改成 G0/0/1 的 MAC，目的 MAC 改成 PC3 的 MAC，从 G0/0/1 发出去。
7. 交换机收到来自路由器 G0/0/1 的帧，因为该接口属于 VLAN 20，帧进入 VLAN 20 广播域，最终转发给 PC3。

整个过程里，同 VLAN 内部走的是二层交换，跨 VLAN 时借由路由器做了一次“三层的转发跳变”。这也是“路由”这个词最本质的含义：根据 IP 地址决定下一跳。

2.3 多臂、单臂、三层交换机该怎么选

既然多臂路由能实现 VLAN 间通信，为什么还要有单臂路由和三层交换机？因为多臂路由虽然思路简单，但代价也很明显：每多一个 VLAN，就要多占用路由器一个物理接口。

单臂路由的做法正好相反：路由器只用一个物理口，通过子接口的方式给多个 VLAN 提供网关，子接口之间的物理链路用 trunk 模式，一条线承载多个 VLAN 的流量。它省接口，但一条链路的带宽有限，VLAN 多了容易拥堵，而且子接口的配置比物理接口要复杂一些，需要理解 802.1Q 封装。

三层交换机则是用交换机的三层转发能力来实现 VLAN 间通信，性能最强，速度远高于路由器转发，适合核心层使用。但三层交换机价格更贵，而且很多场景下没必要为几个 VLAN 单独上三层设备。

三种方式的取舍可以看下面的表：

多臂路由最大的价值不是性能，而是“容易理解”。当你第一次接触 VLAN 间路由时，用多臂路由把整个流程跑通，后面再看单臂和三层交换，思路会顺很多。

3. 实操：从零配置一个多臂路由实验

3.1 实验环境与 IP 地址规划

这一步可以在常见的网络模拟器里完成。真实场景下你可能需要一台路由器、一台交换机、几台 PC，但模拟器里点几下就能组好拓扑。用到的设备建议如下：

• 路由器 1 台，至少两个千兆以太网口，这里记为 G0/0/0、G0/0/1。
• 交换机 1 台，至少 6 个端口，这里记为 E0/0/1 到 E0/0/6。
• PC 4 台，分别记为 PC1、PC2、PC3、PC4，其中 PC1/PC2 属于 VLAN 10，PC3/PC4 属于 VLAN 20。

IP 规划如下：

这里选择 .1 和 .2 作为 PC 地址，.254 作为网关地址，是模拟器实验里最容易识别的规划方式。实际网络里网关不一定非要 .254，也可以用 .1，甚至使用网段里任意可用地址，但保持一致、便于管理才是关键。

3.2 交换机上的 VLAN 划分与接口配置

交换机的任务是：把连接 PC1/PC2 的接口划分到 VLAN 10，连接 PC3/PC4 的接口划分到 VLAN 20，把连接路由器的 G0/0/0 对应接口划分到 VLAN 10，把连接路由器 G0/0/1 对应接口划分到 VLAN 20。注意，这里交换机连路由器的接口，用的是 access 模式，而不是 trunk。

为什么这里用 access 模式？因为多臂路由的设计思想是“每个路由器物理接口只属于一个 VLAN”，VLAN 10 的流量进 G0/0/0，VLAN 20 的流量进 G0/0/1，两边是物理隔离的。access 端口只允许一个 VLAN 通过，到达交换机端口的帧不带标签，正好符合多臂路由的预期。如果误把交换机连接路由器的端口配成 trunk，反而会让多臂路由失去“天然隔离”的意义。

以常见的模拟器命令风格为例，交换机配置如下：

system-view vlan batch 10 20 interface Ethernet0/0/1 port link-type access port default vlan 10 interface Ethernet0/0/2 port link-type access port default vlan 10 interface Ethernet0/0/3 port link-type access port default vlan 20 interface Ethernet0/0/4 port link-type access port default vlan 20 interface Ethernet0/0/5 port link-type access port default vlan 10 interface Ethernet0/0/6 port link-type access port default vlan 20

这里的 E0/0/1、E0/0/2 接 PC1、PC2；E0/0/3、E0/0/4 接 PC3、PC4；E0/0/5 接路由器 G0/0/0；E0/0/6 接路由器 G0/0/1。当然，接口编号以自己的模拟器拓扑为准，关键是“每个 access 接口的 PVID 要配成对应的 VLAN”。

配置完成后，可以在交换机上用 display vlan 查看 VLAN 10 和 VLAN 20 的成员接口列表，确认各端口归属正确。

3.3 路由器接口 IP 配置与路由生效验证

在交换机上划分好 VLAN 之后，路由器的工作就纯粹了：给两个物理接口各配一个 IP，让它们成为对应 VLAN 的网关。如果不是模拟器而是真实设备，还要确认接口没有被 shutdown。

路由器配置如下：

system-view interface GigabitEthernet0/0/0 ip address 192.168.10.254 255.255.255.0 undo shutdown interface GigabitEthernet0/0/1 ip address 192.168.20.254 255.255.255.0 undo shutdown

配置好之后，用 display ip interface brief 查看两个接口的 IP 和状态，确保接口物理状态和协议状态都是 Up。再用 display ip routing-table 查看路由表，正常情况下应该能看到 192.168.10.0/24 和 192.168.20.0/24 两条直连路由。

直连路由是路由器自动学习的，只要接口 up 且配置了 IP，路由表里就会出现对应的网段信息。这里不需要写静态路由，因为两个 VLAN 的网段都在路由器“伸手可及”的范围内。

3.4 验证通信：从 ping 通网关到 ping 通跨 VLAN 主机

配置完成后，验证顺序很重要。我的习惯是分层验证，哪一层不通就排查哪一层：

第一步，先让 PC1 ping 自己的网关 192.168.10.254。这能验证 PC1 到路由器 G0/0/0 之间的 VLAN 10 二层链路是否正常。这个通了，说明 PC1 的 IP 配置、交换机接口 VLAN 划分、路由器接口 IP 都没有大问题。

第二步，让 PC1 ping PC3（192.168.20.1）。如果第一步通了但这一步不通，问题多半在路由器到 VLAN 20 的那一侧，或者 PC3 的配置上。逐一检查 PC3 的 IP、网关，以及交换机 E0/0/3 端口的 VLAN 归属。

第三步，在路由器上用 display arp 查看 ARP 表。如果 PC1 ping PC3 成功，路由器的 ARP 表里应该能同时看到 PC1 和 PC3 的 MAC 地址分别记录在 G0/0/0 和 G0/0/1 接口条目下。这是多臂路由“两条手臂都在干活”的最直接证据。

如果模拟器支持抓包，可以在路由器 G0/0/0 和 G0/0/1 接口上分别抓包对比。在 G0/0/0 上能看到 PC1 发往网关的 ICMP 请求，而 G0/0/1 上看到的是路由器重新封装后发往 PC3 的帧，源 MAC 变成了路由器的 MAC。这个细节特别直观地展示了“路由 = 拆帧 + 查表 + 重新封装”的过程。

3.5 多臂路由场景下的常见配置组合

上面的实验是两台 PC 各一个 VLAN 的最小案例。实际使用中可能存在这种情况：VLAN 10 里不止 PC1 一台，而是有 5 台、10 台甚至更多主机。这时只要这些主机都在同一个交换机上，并且都划分到 VLAN 10，配置逻辑完全一样，只需要把它们的 IP 设置在 192.168.10.0/24 网段内、网关指向 192.168.10.254 即可。

如果交换机不止一台，而是两台交换机级联，那么多臂路由的交换机端口也要跟着调整。这种情况下，连接路由器的接口仍然属于各自的 VLAN，但交换机之间的级联链路需要用 trunk 模式才能在物理上传递多个 VLAN 的帧。多臂路由只管“路由器和交换机之间这一段”，交换机与交换机之间该用 trunk 还是得用 trunk。

4. 排障实录：多臂路由实验里最常见的坑

4.1 PC 能 ping 通同 VLAN 主机，但 ping 不通网关

这个现象说明 PC 本身的 IP 配置没问题，同 VLAN 内二层通信也正常，问题出在 PC 到路由器之间的链路上。常见的原因有两个：

一个是交换机连接路由器的端口没有划分到正确的 VLAN。比如路由器 G0/0/0 接的是交换机 E0/0/5，而 E0/0/5 默认都属于 VLAN 1，没有改到 VLAN 10。这样一来 PC1 发出的帧在 VLAN 10 里，而路由器在 VLAN 1 里，两者根本不在同一个广播域，网关自然不可达。

另一个是路由器接口没有配 IP，或者接口处于 shutdown 状态。模拟器里一般默认接口是开启的，但有些环境下接口默认是 shutdown 的，需要手动执行 undo shutdown 或类似命令开启。检查接口状态可以通过 display interface 来确认。

4.2 网关能 ping 通，但 ping 不通对端 VLAN 主机

这个问题很经典。PC1 能 ping 通 192.168.10.254，说明左侧链路没问题，但 PC1 ping 192.168.20.1 失败。这时先别急着怀疑路由器，按顺序排查：

第一，检查 PC3 的 IP 地址和网关。最简单的错误是 PC3 的 IP 写串了，比如本该是 192.168.20.1，结果写成了 192.168.10.3。这样 PC3 虽然属于 VLAN 20，但它的 IP 网段变成了 VLAN 10 的网段，路由器从 G0/0/1 侧收到的数据包还是 192.168.10.0/24 网段的，而 PC3 本身也认为自己就在 192.168.10.0/24 里，会直接去 ARP 请求目标 MAC，而不是走网关，通信必然失败。

第二，查看路由器路由表。用 display ip routing-table 看有没有 192.168.20.0/24 这条直连路由。如果没有，说明 G0/0/1 接口可能没有配 IP，或者接口 is down。接口 down 的时候直连路由不会出现在路由表里。

第三，检查交换机上 PC3 所在端口是否属于 VLAN 20。如果端口还在默认的 VLAN 1，那么 PC3 实际上在 VLAN 1 里，而路由器 G0/0/1 接的交换机端口如果在 VLAN 20，两边又隔开了。

4.3 ARP 表里能看到网关 MAC，但看不到对端主机 MAC

在路由器上用 display arp 查看时，发现 G0/0/0 对应的 ARP 表项里只有 PC1 的 MAC，没有 PC3 的 MAC，或者 G0/0/1 上什么都学不到。

这个问题的本质是：路由器在转发到 VLAN 20 时，需要知道目标主机的 MAC 地址，而它发送 ARP 请求时，请求帧只会从 G0/0/1 接口出去，进入 VLAN 20。如果 PC3 所在的 VLAN 20 里没有路由器 G0/0/1 的接口，ARP 请求广播根本到不了 PC3。这一般又回到了“交换机连路由器端口 VLAN 划分错误”或“路由器接口没有配置正确 VLAN 网段 IP”的问题上。

一个很实用的排除技巧是：在 PC3 上 ping 自己的网关 192.168.20.254。如果连网关都不通，说明 VLAN 20 这一侧的链路配置有问题。先把这侧的链路打通，再回去看跨 VLAN 通信，立刻就能缩小排查范围。

4.4 接口显示 Up 但收发流量为 0

模拟器里有时会遇到接口状态是 Up，但抓包或计数器显示没有流量。这种情况通常不是配置问题，而是线缆或接口对应关系搞错了——PC 接的不是交换机 E0/0/1，而是误接到了 E0/0/3；或者路由器的 G0/0/0 连到了交换机的另一个端口。

排查方法是沿着物理链路逐段确认：先分清每个接口连接的是哪台设备，再用 display mac-address 查看 MAC 地址表，看 PC1 的 MAC 是否出现在交换机 E0/0/1 端口的学习记录里。MAC 表是排查二层链路故障的最好工具，能快速定位是哪一段没通。

4.5 排障速查表

5. 什么时候该用多臂路由，什么时候该换方案

5.1 多臂路由的适用边界

从实验角度讲，多臂路由是非凡的入门方案。它把一个复杂的“路由”概念拆解成“多接口 + 多网段”的直观模型，让初学者能清晰看到数据从一个接口进、从另一个接口出，理解三层转发的全过程。

但从工程角度讲，多臂路由的扩展性确实不够看。假设一个办公网络需要划分 5 个 VLAN，多臂路由就需要路由器上 5 个物理接口，再加上连接交换机的 5 条网线。接口的消耗是线性的，VLAN 数量多了之后，接口数量和线缆成本都会明显上涨，而且所有跨 VLAN 流量都要靠这一台路由器转发，路由器 CPU 就成了瓶颈。如果真的需要划分 5 个以上 VLAN，并且流量有一定规模，建议换成单臂路由或者三层交换机的 VLANIF 方案。

5.2 多臂路由在小型网络里的真实位置

虽然多臂路由听起来“简单”，但在某些场景下它反而是最优解。比如一台小型路由器本身就带了 4 个 LAN 口，而网络只需要划分 2~3 个 VLAN，每个 VLAN 的流量也不大，这时候直接用多个 LAN 口做多臂路由，配置少、故障域小、排障容易，比上单臂路由的子接口封装要省心得多。

再比如做设备隔离的场景：把网络设备的管理网段单独放在一个 VLAN 里，用一个路由器接口作为管理网关，业务网段用另一个接口，两个网段之间可以互通，但哪些流量允许过去由路由策略控制。这样物理上就分离了，且配置清晰。很多小型企业或实验室的设备管理就是这么做的。

5.3 从多臂路由延伸出去的进阶方向

把多臂路由跑通之后，可以顺路做三件事加深理解：

第一，做一次单臂路由对比实验。同一个场景，把多臂路由的配置删掉，在路由器上只留一个物理口，创建两个子接口，分别打上 VLAN 10 和 VLAN 20 的封装，交换机侧改用 trunk 口接路由器。对比两种方式在接口占用、配置复杂度上的差异。

第二，引入静态路由。把多臂路由的“两个直连网段”扩展到“三个网段”，其中一个网段是路由器背后的模拟外网，配置静态路由让内网 VLAN 能访问外部网段，体会路由表中“直连路由 + 静态路由”的配合。

第三，用三层交换机的 VLANIF 接口重做一遍。在三层交换机上创建 VLAN 10 和 VLAN 20，分别配置 vlanif10 和 vlanif20 的 IP 地址，主机网关指向这两个 VLANIF 接口地址，不需要外部路由器就能实现 VLAN 间通信。这套配置在企业网络里才是最常用的，但从多臂路由完成过渡之后，理解 VLANIF 会非常轻松。

我在实际做实验时感受很深的一点是：多臂路由虽然“傻”，但它是唯一一种能把路由器的物理接口、交换机的 VLAN 划分、PC 的网关配置这三件事完全对应起来去看的方案。每一步都有明确的物理实体。等你把这条路踩熟了，后面学单臂路由的子接口封装、学三层交换机的 SVI，都能从“这不就是多臂路由的另一种实现嘛”的角度去理解，学起来快很多。