上周帮一个朋友收拾他办公室的网络20多台电脑挤在一台二层交换机上财务、行政、设计分属不同VLAN平时文件互传一会儿能通一会儿断修起来全靠手动改IP来回试。问题其实不复杂二层交换机做不了跨网段路由但为了这点规模直接换三层交换机又显得浪费。最典型的解法就是“单臂路由”用一台华为路由器配合DHCP服务一条物理链路把所有VLAN的网关和自动分配地址一次搞定。这篇文章我会完整走一遍华为设备的配置流程从拓扑规划、交换机的VLAN与Trunk设置到路由器的子接口封装、DHCP地址池下发最后把排错思路也一并讲清楚。适合正在学网络基础、准备做实验验证或者正在给小型办公网做VLAN间通信的人参考。1. 单臂路由的适用边界为什么二层交换机组不了跨网段通信1.1 二层交换机的天然瓶颈先想清楚一个底层逻辑二层交换机的工作核心是MAC地址学习和帧转发它只维护同一VLAN内的MAC表项转发决策完全依赖目标MAC地址。一旦报文的目标IP不在本网段PC会先把帧发给网关而网关需要路由器来承担三层转发。交换机本身没有路由表也没有IP路由决策能力所以它能把同一个广播域里的帧转得飞快但永远无法“跨过”VLAN这个边界。VLAN的本质是把广播域隔开隔离广播的同时也把三层通信的路堵死了。很多初学者栽跟头就在这明明两台PC插在同一台交换机上但因为被人为划到了不同VLAN它们之间就是不通。这不是接线问题是设计上缺少三层网关。1.2 三种VLAN间通信方案的取舍要解决VLAN间通信常见有三条路我做过项目都分别用在不同场景对比一下更直观方案核心原理优点缺点典型适用场景单臂路由路由器物理接口拆成多个子接口分别充当各VLAN网关成本低、配置灵活、入门友好流量集中到一条物理链路上带宽受限小型办公网、实验环境、临时过渡三层交换机VLANIF在三层交换机上给每个VLAN创建VLANIF接口作为网关转发性能强、可扩展性好设备成本高配置门槛略高中大型园区网、核心层设备路由器多物理接口每VLAN占用一个独立物理接口作为网关逻辑最清晰、带宽有保障接口数量有限成本高、布线麻烦接口充裕且规模很小的场景单臂路由之所以经典不是因为性能强而是因为“性价比极高”。一台只有两三个千兆口的路由器也能通过子接口把十几个VLAN的网关全部承载下来。它唯一的性能瓶颈是所有VLAN共享一条物理链路在小流量的办公网里根本不是问题。1.3 “一根棍子串多个VLAN”的封装逻辑单臂路由的英文叫Router-on-a-Stick一根棍子上串满了VLAN。实现的关键是802.1Q协议交换机在Trunk口发出的帧会把VLAN信息以Tag形式打在二层帧头里路由器物理接口收到后根据Tag编号把帧分发给对应的子接口处理。子接口是一个物理接口上的逻辑接口每一个子接口绑定一个VLAN ID并且配置成该VLAN的网关IP。这样交换机视角里Trunk口中继了一堆打了不同Tag的帧路由器视角里一个物理口被“切片”成了好几个逻辑网关。理解了这层封装关系后面配置就顺了。2. 配置前的网络规划VLAN、网段与地址池一次算清2.1 实验拓扑怎么搭我用一个模拟项目X来演示拓扑非常基础但够用一台华为S5700二层交换机SW1一台华为AR2220路由器R1两台PC。PC1接SW1的GE0/0/1PC2接GE0/0/2SW1的GE0/0/24作为Trunk口上联R1的GE0/0/0。这里只用一台交换机就够了如果实际环境里有多台交换机级联只需要把交换机之间的链路也配成Trunk并放行对应VLAN。这个拓扑对应小型办公网的典型模型不同部门划分不同VLANPC都接在二层交换机的Access口上VLAN间的互访由路由器统一处理。2.2 IP地址和DHCP地址池规划表动手敲命令之前先把地址规划写清楚我习惯用一张表把事情定死对象VLAN接口/用途网段网关办公区PC1VLAN 10SW1 GE0/0/1192.168.10.0/24192.168.10.1财务区PC2VLAN 20SW1 GE0/0/2192.168.20.0/24192.168.20.1路由器子接口VLAN 10R1 GE0/0/0.10-192.168.10.1路由器子接口VLAN 20R1 GE0/0/0.20-192.168.20.1DHCP地址池的规划上我习惯把每个网段的“.1到.10”作为静态保留段留给网关、服务器、打印机之类需要固定IP的设备动态分配从.20开始。比如VLAN 10池子分配192.168.10.20到192.168.10.200VLAN 20池子分配192.168.20.20到192.168.20.200。这样既避免了和网关冲突也留了扩容余量。2.3 规划阶段的三个“必须一致”我踩过不少次数据不一致的坑归纳下来规划阶段必须盯紧三件事。第一DHCP池的gateway-list必须和路由器子接口的IP完全一致。如果子接口配了192.168.10.1池子里的网关却填成192.168.10.254PC拿到地址后会把网关指向一个不存在的地址结果就是“能拿到IP但出不了网”。第二子接口的数量和VLAN ID必须和交换机放行的VLAN对应。交换机Trunk只放行了VLAN 10路由器却有.20的子接口那是永远收不到VLAN 20的帧的。第三PC的网段掩码要统一。规划里用的是255.255.255.0如果哪台PC手滑设成了255.255.255.128它自己和网关都不在一个网段里通信必然失败。这些看起来是低级错误实际上在真实维护中很常见。3. 交换机侧准备VLAN划分与Trunk放行的关键点3.1 创建VLAN并把用户端口划进去先登录交换机改个设备名好区分然后批量创建VLAN。华为S系列交换机是这么操作的Huawei system-view [Huawei] sysname SW1 [SW1] vlan batch 10 20接着把PC1和PC2的接口配成Access口并划入对应VLAN。Access口是VLAN划分里最常见的端口模式它只属于一个VLANPC发出的无Tag帧进入交换机后会被自动打上该VLAN的Tag[SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1-GigabitEthernet0/0/1] quit [SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 20 [SW1-GigabitEthernet0/0/2] quit这里有个小细节port default vlan命令对Access口来说就是设置PVID同时也决定这个端口属于哪个VLAN。很多新手会漏掉port link-type access这一步导致端口默认工作在Hybrid模式配置逻辑完全不一样后续排查时容易把自己绕晕。3.2 上联路由器的口必须配成Trunk交换机和路由器之间这条链路口要配成Trunk并放行VLAN 10和VLAN 20。原理很简单子接口要收到带对应VLAN Tag的帧交换机必须允许这些VLAN从中继链路通过[SW1] interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24] port link-type trunk [SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20注意我没有配置Trunk的PVID让它保持默认值VLAN 1。这是什么意思呢如果路由器物理接口发出不带Tag的帧交换机就会认为它属于PVID对应的VLAN也就是VLAN 1。正常情况下路由器物理接口不配置IP只跑子接口所有帧都带Tag所以不会被错误划分。但如果你手多在路由器物理口上也配了一个IP那就容易产生“莫名其妙多了一个VLAN 1网关”的问题。所以我的建议是物理接口保持不配IP让它安安静静做子接口的载体。3.3 检查交换机的配置结果配置完不要马上走人先看一遍结果。华为交换机的两个常用检查命令[SW1] display vlan [SW1] display port vlan第一个命令能看到VLAN 10和VLAN 20是否存在端口划分是否正确第二个命令能直接显示每个接口的链路类型、PVID以及所属VLAN是排查Trunk放行问题最快的工具。如果你发现GE0/0/24的“Allow-pass”列表里只有VLAN 1说明放行命令没生效或没保存VLAN 10和VLAN 20的帧根本过不去。4. 路由器侧核心配置子接口封装与ARP广播4.1 为什么不能直接在物理接口上配IP很多人第一次接触单臂路由时会有疑问不就是在路由器上给不同网段配几个IP吗为什么还要搞子接口因为物理接口处理不了带VLAN Tag的帧。交换机的Trunk口发出来的帧二层头里带着一个4字节的Tag告诉别人“我是VLAN 10”或“我是VLAN 20”路由器物理接口直接收上来后无法区分这些帧属于哪个VLAN。如果你只给物理接口配置一个IP它最多只能作为其中一个VLAN的网关其他VLAN的报文只能被丢弃。子接口的作用就是给物理接口做逻辑切片GE0/0/0.10只处理VLAN 10的帧GE0/0/0.20只处理VLAN 20的帧每个子接口各配各的IP各当各的网关。交换机一看这个帧带Tag 10就把它扔给.10子接口帧带Tag 20就扔给.20子接口。4.2 华为路由器子接口的完整配置华为AR系列路由器的子接口配置是这么写的Huawei system-view [Huawei] sysname R1 [R1] interface GigabitEthernet0/0/0.10 [R1-GigabitEthernet0/0/0.10] dot1q termination vid 10 [R1-GigabitEthernet0/0/0.10] ip address 192.168.10.1 24 [R1-GigabitEthernet0/0/0.10] arp broadcast enable [R1-GigabitEthernet0/0/0.10] quit [R1] interface GigabitEthernet0/0/0.20 [R1-GigabitEthernet0/0/0.20] dot1q termination vid 20 [R1-GigabitEthernet0/0/0.20] ip address 192.168.20.1 24 [R1-GigabitEthernet0/0/0.20] arp broadcast enable逐行解释一下。dot1q termination vid是子接口的“身份认证”告诉路由器这个子接口只接收标识为指定VID的帧。这个命令只写错一个数字就会导致该子接口完全收不到对应VLAN的报文。ip address就是给子接口配置IP地址并开启三层转发能力。后面那个arp broadcast enable是关键中的关键下面单独说。4.3 arp broadcast enable华为设备上最容易漏的一行命令华为的子接口默认不处理ARP广播帧这和其他厂商的逻辑很不一样。PC要访问网关第一步就是发ARP广播询问“192.168.10.1的MAC地址是多少”PC要获取IP第一步也要发DHCP DISCOVER广播。如果子接口不处理和转发这些广播帧整个单臂路由就是摆设症状会表现为PC无法获得IP地址、ping网关超时、跨VLAN通信完全不通。所以arp broadcast enable必须配。这行命令的作用是使子接口能够处理从该VLAN收到的ARP广播和其他广播报文并且让CPU正常响应ARP请求。我在生产环境里见过太多人照着教材敲完dot1q termination vid和ip address就走了结果怎么测都不通最后加上这一行立刻正常。它不属于可省略的细节而是华为单臂路由的必要配置。4.4 验证路由器侧配置配置完可以快速检查子接口状态[R1] display ip interface brief这个命令会列出所有三层接口的IP地址和物理状态。正常情况GE0/0/0.10和GE0/0/0.20都应该是UP状态IP地址正确。如果子接口显示Down一般问题出在物理链路没起来或者交换机的Trunk口没配好、网线没插对。另外还能用这条命令看具体配置[R1] display current-configuration interface GigabitEthernet0/0/0.10可以看到dot1q termination vid 10、ip address和arp broadcast enable是否都在。少了任何一行都建议先补回去再继续排查。5. DHCP服务部署全局地址池与接口地址池怎么选5.1 两种DHCP模式的底层区别子接口网关地址配好后跨VLAN路由已经通了下一步就是让PC自动拿到IP。华为路由器上DHCP有两种主流落地方式区别先看表对比项全局地址池接口地址池配置位置独立配置多个接口可调用直接在接口下配置地址池网段来源手动指定network默认和接口IP同网段管理灵活性高集中管理、复用性强低一个接口一个池适合场景多网段、有集中管理需求单接口、快速部署全局地址池就像是拿着一个“总账本”所有网段的地址池集中在一个地方维护每个子接口通过dhcp select global去总账本里拿对应网段的资源。接口地址池则比较“懒惰”直接在接口下启用自动基于接口IP所在的网段生成地址池配置更短适合临时玩一下或者只有一个网段的情况。我在实际项目中更推荐全局地址池。因为后续如果要把DHCP服务从路由器迁移到独立服务器或者要跨设备共享地址池全局模式改起来容易得多接口模式一旦接口IP变了地址池网段也跟着变容易发生意外冲突。5.2 全局地址池配置示例先在系统视图下开启DHCP功能然后创建两个地址池并绑定对应网段、网关和DNS信息。这里我把.1到.10排除掉不让它们参与动态分配[R1] dhcp enable [R1] ip pool vlan10 [R1-ip-pool-vlan10] network 192.168.10.0 mask 24 [R1-ip-pool-vlan10] gateway-list 192.168.10.1 [R1-ip-pool-vlan10] dns-list 223.5.5.5 [R1-ip-pool-vlan10] excluded-ip-address 192.168.10.1 192.168.10.10 [R1-ip-pool-vlan10] quit [R1] ip pool vlan20 [R1-ip-pool-vlan20] network 192.168.20.0 mask 24 [R1-ip-pool-vlan20] gateway-list 192.168.20.1 [R1-ip-pool-vlan20] dns-list 223.5.5.5 [R1-ip-pool-vlan20] excluded-ip-address 192.168.20.1 192.168.20.10 [R1-ip-pool-vlan20] quit然后在对应子接口下指定使用全局地址池[R1] interface GigabitEthernet0/0/0.10 [R1-GigabitEthernet0/0/0.10] dhcp select global [R1-GigabitEthernet0/0/0.10] quit [R1] interface GigabitEthernet0/0/0.20 [R1-GigabitEthernet0/0/0.20] dhcp select global这里尤其要注意DHCP地址池里配置的gateway-list必须和子接口IP一致这是上一章强调过的。如果忘填dns-listPC能拿到IP但域名解析会失败最终表现就是“能上QQ但网页打不开”非常容易误判为DNS服务器故障。5.3 接口地址池配置示例如果你只是想快速验证接口地址池会更简单[R1] interface GigabitEthernet0/0/0.10 [R1-GigabitEthernet0/0/0.10] dhcp select interface [R1-GigabitEthernet0/0/0.10] dhcp server dns-list 223.5.5.5 [R1-GigabitEthernet0/0/0.10] dhcp server excluded-ip-address 192.168.10.1 192.168.10.10接口地址池会自动以接口IP所在网段作为可用地址范围。比如GE0/0/0.10配置了192.168.10.1/24那么地址池就是192.168.10.1到192.168.10.254这个范围DHCP服务器会自动排除接口自身IP。这种方式配置快但对网段的控制粒度不够细个人建议还是以全局地址池为主。5.4 DHCP报文在单臂路由下的转发逻辑很多人看到这里会问PC和DHCP服务器隔着VLAN为什么不配置DHCP Relay呢因为这里有个关键前提DHCP服务器本身就在路由器上而且路由器通过子接口直接接入了每个VLAN的广播域。PC发出DHCP DISCOVER广播交换机在VLAN 10内泛洪广播帧从Trunk口带着VLAN 10的Tag到达路由器物理口再被GE0/0/0.10子接口识别并送到CPU里的DHCP进程。整个过程中广播从PC到路由器子接口只经过了一跳距离上没有跨网段。DHCP Relay的真正使用场景是“客户端和DHCP服务器不在同一条二三层可达链路上”比如服务器在核心网段而接入网段没有DHCP服务能力。在那个场景下才需要中继代理转发DORA报文。单臂路由环境只要子接口配置正确DORA四个阶段走的是同一条VLAN链路不需要额外引入中继。6. 连通性验证从路由器到PC的完整测试链路6.1 路由器端先确认服务状态配置完成后别急着插电脑先在路由器上确认DHCP服务和地址池状态[R1] display ip pool这个命令能看到地址池名称、网段、网关、DNS以及当前配置的排除地址范围确认地址池信息无误。再查一下接口配置是否生效[R1] display current-configuration interface GigabitEthernet0/0/0.10确认dhcp select global已经出现在接口配置里。如果要看当前有哪些地址被租出去了可以用[R1] display ip pool name vlan10 used里面能看到客户端MAC地址、租到的IP、租期剩余时间等。如果这个列表里已经开始出现PC的MAC说明DHCP交互流程已经成功了一半。6.2 PC端验证自动获取结果PC侧以Windows为例把以太网卡改成自动获取IP后执行ipconfig /all重点核对三样东西IP地址是否在192.168.10.20到192.168.10.200范围内子网掩码是否为255.255.255.0网关是否为192.168.10.1。只要这三项正确说明DHCP宣告、请求、确认整个闭环已经通了。接着ping一下网关ping 192.168.10.1能通就说明PC到网关到路由器的链路正常也是单臂路由的第一层验证。然后ping跨网段的PC2地址ping 192.168.20.20如果从PC1能ping通PC2说明VLAN 10到VLAN 20的单臂路由路径完整生效数据包经过了GE0/0/0.10进、GE0/0/0.20出这样一个完整的“从一根棍子穿过去”的过程。6.3 从释放到续租的完整测试我更推荐做一次完整的地址生命周期测试。在PC上依次执行ipconfig /release ipconfig /renewrelease会立刻释放当前租约地址回到地址池renew会重新发起DHCP DISCOVER流程。这个操作能验证地址池是否有可用IP、排除地址是否生效、路由器能否正确处理请求。如果renew之后拿到的地址和之前一样说明地址池还有剩余如果卡在“获取中”很久大概率是arp broadcast enable没配或者Trunk口放行VLAN有问题。6.4 一张自检清单如果你照着配完发现哪里不通先别急着改配置按顺序自查交换机上Trunk口是否放行了VLAN 10和VLAN 20路由器子接口是否有dot1q termination vid且VID和VLAN对应子接口是否配置了arp broadcast enableDHCP池的网关是否和子接口IP一致PC的网卡是否设置为自动获取IP如果PC上配了静态IP是否有掩码或网关填错大部分情况下单臂路由配完不通问题都集中在这六项里。7. 高频故障排查单臂路由环境下的DHCP异常处理7.1 症状PC一直拿不到IP地址这是最常见的首发故障。先看交换机侧display port vlan确认Trunk口放行情况再看路由器侧display ip interface brief确认子接口UP且IP正确最后检查DHCP是否开启、子接口是否调用了dhcp select。如果上面都正常大概率是arp broadcast enable的问题。因为DHCP DISCOVER是广播帧子接口不处理广播DHCP服务器就根本不知道有客户端在请求。华为设备上这个命令漏掉的概率极高特别是从其他厂商转过来的网络工程师最容易漏掉这一行。检查方式就是进子接口看一眼配置没有就补上。7.2 症状能拿到IP但跨VLAN ping不通如果PC能拿到IP说明DHCP报文已经通了问题通常不在DHCP本身而在路由器的路由转发或者对端VLAN的配置上。先确认对端子接口的IP是否配置正确比如VLAN 20的子接口有没有写dot1q termination vid 20。再在路由器上执行display arp看看能不能看到对端PC的ARP表项。看不到说明网关发出的ARP请求没有到达对端PC这时要重点检查交换机上允许VLAN 20的Trunk放行和PC的Access口划分。还有一种容易被忽略的情况对端PC或者服务器自身的Windows防火墙拦截了ICMP报文。敲ping不通不代表三层不通可以先在路由器上用ping -a 192.168.10.1 192.168.20.20测试源地址指定为网关的连通性。如果路由器能ping通基本可以排除链路和路由问题死磕PC端的防火墙设置就行。7.3 症状拿到IP但上不了网先区分是“完全上不了网”还是“能上内网不能上外网”。如果是后者重点检查DHCP池里的DNS配置。没有dns-list或者写了一个不可达的DNS地址就会导致域名无法解析。华为地址池里默认不会替你把DNS填好这个必须显式配置。如果是完全上不了网多半是地址池里的gateway-list和子接口IP不一致。比如子接口配的是192.168.10.1池子里却写成了192.168.10.254PC拿到的网关根本不在这个网段的实际路由器接口上所有发往外网的流量都会发向一个不存在的设备。检查方法很简单display ip pool看一遍把网关和子接口IP对齐就行。7.4 症状同VLAN通但路由器上看不到ARP表项这种现象说明二层链路通三层协议没有建立起来。大概率是子接口的VLAN Tag识别出了问题。用display current-configuration interface GigabitEthernet0/0/0.10确认配置无误后再用terminal debugging配合debugging arp packet看子接口能否收到ARP请求。如果交换机侧Tag打的是VLAN 10子接口却是dot1q termination vid 20路由器会直接丢弃这条报文ARP表自然建立不起来。这种情况我建议直接在PC上ping网关IP然后在路由器上display arp | include 192.168.10.1配合调试命令看报文流向。大多数时候把子接口的VID和交换机Trunk放行的VLAN列表对齐就解决了。7.5 一套通用的排查方法论排错最忌讳上来就怀疑某一条命令我的习惯是从物理层一层层往上走物理层看端口状态UP了才算过数据链路层交换机Access口VLAN对不对、Trunk口放行了哪些VLAN网络层路由器子接口UP、IP和网关一致、路由表里有直连路由服务层DHCP进程开启、地址池有剩余、DNS正确应用层PC自动获取后ping通网关再ping通对端这套方法跳过了很多“看起来像”的问题升级到三层交换机的VLANIF方式之后地址池和网关的对应关系会更清晰故障率也会更低。但单臂路由作为基础组网方案把里面每一层原理吃透后面学任何路由协议都会轻松很多。最后再分享一个小习惯所有配置修改后记得用save保存配置别让一次断电把你辛辛苦苦敲的命令全带走。
