开篇：打破“隔离”的墙

在上一篇中我们讲到，VLAN的核心作用就是隔离。财务部（VLAN10）和技术部（VLAN20）就像两栋独立的大楼，不能直接串门。

但是，隔离不是目的，业务互通才是。

如果财务部需要给技术部发文件，或者所有电脑都要访问互联网，那么不同VLAN之间就必须能够通信。

由于VLAN是二层（数据链路层）隔离，要跨越VLAN通信，就必须借助三层设备（网络层），也就是——路由器或三层交换机。

根据网络规模和成本，实现VLAN间通信主要有三种主流方式。下面我们来逐一拆解：

---

---

---

方式一：普通路由（多臂路由）

场景描述：路由器有多个物理接口，每一个接口连接交换机的不同VLAN端口。

1.原理图解

交换机：将Fa0/1划入VLAN10，将Fa0/2划入VLAN20。将Fa0/3和Fa0/4设为Access模式，分别接入路由器的两个物理口。

路由器：Fa0/0口配IP192.168.69.1（作为VLAN10的网关），Fa0/1口配IP192.168.70.1（作为VLAN20的网关）。

PC0：IP192.168.69.10，网关指向192.168.69.1。

PC1：IP192.168.70.10，网关指向192.168.70.1。

通信流程：PC0把数据发给自己的网关192.168.69.1->路由器收到后，查路由表->发现目标在192.168.70.0网段->从Fa0/1接口转发给PC1。

2.优点

原理最简单直观，新手最容易理解，物理连接一清二楚。

完全隔离，路由器的每个口独立工作，故障排查容易。

3.缺点

浪费路由器接口。如果有5个VLAN，路由器就得有5个网口，成本剧增。

扩展性极差。企业里VLAN可能有几十个，路由器根本插不下这么多线。

瓶颈：每个VLAN占一个物理口，性能受限于单个接口带宽。

结论：这种方式只适合实验学习或只有2~3个VLAN的微型网络，生产环境极少使用。

4.配置脚本：

思科 (Cisco) 配置：

// ---- 交换机配置 ----
Switch(config)# vlan 10
Switch(config)# vlan 20
Switch(config)# interface fa0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config)# interface fa0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
// 路由器连接口划入对应 VLAN
Switch(config)# interface fa0/3
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config)# interface fa0/4
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20

// ---- 路由器配置 ----
Router(config)# interface fa0/0
Router(config-if)# ip address 192.168.69.1 255.255.255.0
Router(config-if)# no shutdown
Router(config)# interface fa0/1
Router(config-if)# ip address 192.168.70.1 255.255.255.0
Router(config-if)# no shutdown

华为 (Huawei) 配置：

// ---- 交换机配置 ----
[Huawei] vlan batch 10 20
[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 10
[Huawei] interface GigabitEthernet 0/0/2
[Huawei-GigabitEthernet0/0/2] port link-type access
[Huawei-GigabitEthernet0/0/2] port default vlan 20

// ---- 路由器配置 ----
[Huawei] interface GigabitEthernet 0/0/0
[Huawei-GigabitEthernet0/0/0] ip address 192.168.69.1 24
[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] ip address 192.168.70.1 24

---

---

---

方式二：单臂路由（Router-on-a-Stick）——最佳性价比方案

为了解决“普通路由接口不够用”的问题，工程师发明了单臂路由。

核心思路：路由器只用1个物理接口，但在这个接口上划分出多个逻辑子接口（Sub-interface），每个子接口充当一个VLAN的网关。交换机这一端则使用Trunk口连接路由器。

1.工作原理

• 将交换机连接路由器的那个端口（如Fa0/24）设为Trunk模式（允许VLAN10和20通过）。
• 路由器的一个物理口（如Fa0/0）不配IP，而是配置两个子接口：
• (以下设置只是举例和上图无关)
  • Fa0/0.10：封装VLAN10的标签，配IP192.168.69.1。
  • Fa0/0.20：封装VLAN20的标签，配IP192.168.70.1。

通信流程：PC0发数据->交换机打上VLAN10的Tag标签->通过Trunk传给路由器->路由器识别标签，交由Fa0/0.10处理->查路由表发现目标在VLAN20->加上VLAN20的标签扔回Trunk->交换机去除标签转发给PC1。

2.优点

• 节省端口：路由器只需1个物理网口，就能处理几十个VLAN的通信。
• 成本极低：非常适合家庭或小企业网络，不需要买昂贵的设备。

3.缺点

• 瓶颈显著：所有VLAN的跨网段流量都挤在这唯一的一根物理线上（通常只有100M或1000M），流量大时极易拥堵。
• 路由器转发效率：普通路由器是靠CPU做软件转发，处理大量数据包时会消耗大量CPU，性能远不如专门处理数据的交换机硬件。

结论：单臂路由是小型网络的黄金选择，既省钱又灵活。

4.配置脚本

别忘声明vlan，这部分和上面的网络拓扑图并不对应

思科 (Cisco) 配置：

// ---- 交换机配置 ----
// 连接路由器的接口设为 Trunk
Switch(config)# interface fa0/24
Switch(config-if)# switchport mode trunk  
Switch(config-if)# switchport trunk allowed vlan 10,20  // 允许特定 VLAN 通过

// ---- 路由器配置 ----
// 开启物理接口（不配 IP）
Router(config)# interface fa0/0
Router(config-if)# no shutdown

// 配置子接口 Fa0/0.10（VLAN 10 的网关）
Router(config)# interface fa0/0.10
Router(config-subif)# encapsulation dot1Q 10    // 封装 VLAN 10 标签
Router(config-subif)# ip address 192.168.69.1 255.255.255.0

// 配置子接口 Fa0/0.20（VLAN 20 的网关）
Router(config)# interface fa0/0.20
Router(config-subif)# encapsulation dot1Q 20    // 封装 VLAN 20 标签
Router(config-subif)# ip address 192.168.70.1 255.255.255.0

华为 (Huawei) 配置：

// ---- 交换机配置 ----
[Huawei] interface GigabitEthernet 0/0/24
[Huawei-GigabitEthernet0/0/24] port link-type trunk
[Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20

// ---- 路由器配置 ----
[Huawei] interface GigabitEthernet 0/0/0.10
[Huawei-GigabitEthernet0/0/0.10] dot1q termination vid 10     // 封装 VLAN 10
[Huawei-GigabitEthernet0/0/0.10] ip address 192.168.69.1 24
[Huawei-GigabitEthernet0/0/0.10] arp broadcast enable         // 华为子接口必须开启 ARP 广播才能通

[Huawei] interface GigabitEthernet 0/0/0.20
[Huawei-GigabitEthernet0/0/0.20] dot1q termination vid 20     // 封装 VLAN 20
[Huawei-GigabitEthernet0/0/0.20] ip address 192.168.70.1 24
[Huawei-GigabitEthernet0/0/0.20] arp broadcast enable

---

---

---

方式三：三层交换机——企业级的主流方案

场景描述：现代化企业、数据中心几乎全部采用三层交换机。它兼具交换机的“高速转发”和路由器的“路由功能”，且全部用硬件（ASIC芯片）进行转发，速度极快。

1.工作原理（SVI方式）

在三层交换机上，不需要连接路由器，而是直接在交换机内部创建一个虚拟接口（SVI，SwitchVirtualInterface），给每个VLAN当网关。

（以下配置与上图无关）

• 创建VLAN10，并配置SVI：interfacevlan10，配IP192.168.69.1。
• 创建VLAN20，并配置SVI：interfacevlan20，配IP192.168.70.1。

通信流程：PC0发数据给网关->三层交换机收到后，直接在硬件芯片层面查路由表->将二层帧头改写为VLAN20的MAC->直接从VLAN20的端口扔给PC1。

2.优点

• 速度极快：基于硬件ASIC转发，可以达到线速（几十Gbps），完全无瓶颈。
• 扩展性强：有多少个VLAN就能配置多少个SVI接口，不用担心物理接口数量。
• 同时具备路由功能：可以配置静态路由、OSPF等，是大型网络的绝对核心。

3.缺点

• 价格较高：三层交换机比二层交换机贵，且需要具备一定的配置能力。
• 不能替代路由器：三层交换机不擅长做NAT（网络地址转换，如访问互联网）和复杂的防火墙策略，所以企业通常是“三层交换机做内网互联+出口路由器做上网”。

结论：三层交换机是大中型网络的标配，性能强悍。

4.配置脚本

核心变化：不需要外接路由器。直接在三层交换机上创建 VLAN 接口（SVI），并给它们配 IP 做网关。交换机必须先全局开启路由功能。

思科 (Cisco) 配置：

// ---- 交换机配置 ----
Switch(config)# ip routing           // 开启三层交换机的路由功能
Switch(config)# vlan 10
Switch(config)# vlan 20

// 创建 VLAN 10 的虚拟接口（网关）
Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.69.1 255.255.255.0
Switch(config-if)# no shutdown

// 创建 VLAN 20 的虚拟接口（网关）
Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.70.1 255.255.255.0
Switch(config-if)# no shutdown

// 把物理接口划入对应 VLAN
Switch(config)# interface fa0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config)# interface fa0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20

华为 (Huawei) 配置：

// ---- 交换机配置 ----
[Huawei] vlan batch 10 20

// 创建 VLAN 10 的虚拟接口（网关）
[Huawei] interface Vlanif 10
[Huawei-Vlanif10] ip address 192.168.69.1 24

// 创建 VLAN 20 的虚拟接口（网关）
[Huawei] interface Vlanif 20
[Huawei-Vlanif20] ip address 192.168.70.1 24

// 把物理接口划入对应 VLAN
[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 10
[Huawei] interface GigabitEthernet 0/0/2
[Huawei-GigabitEthernet0/0/2] port link-type access
[Huawei-GigabitEthernet0/0/2] port default vlan 20

---

---

---

最终对比总结

对比维度	普通路由（多臂）	单臂路由	三层交换机（SVI）
硬件消耗	路由器占用多个物理口	路由器占用1个物理口	纯交换机内部虚拟口
适用规模	微型/实验网络	小型网络（如家庭、小公司）	中大型企业、数据中心
转发速度	慢（CPU软转发）	慢（唯一线路瓶颈）	极快（硬件线速转发）
配置难度	最简单	适中（需封装Dot1Q）	稍高（需开启路由功能）
成本	低（但浪费口）	最低	较高

如何选择？

如果你现在要设计公司的网络：

• 只有10台电脑，2个部门，预算紧张➡️选单臂路由。
• 50台电脑，5个部门，内网经常传大文件➡️果断选三层交换机。
• 刚学网络，手边只有旧路由器和交换机➡️用你图中的多臂路由做实验，理解最透彻。