不同网段如何互通？单臂路由配置与eNSP实验详解

干了这些年数通方向，最常被新入门的朋友拉着问的一个问题就是：“两台交换机，两个网段，到底怎么做到互通？”不少人兴冲冲地在eNSP里拖出两台交换机和两台PC，网线一连，IP一配，然后满怀期待地ping，结果报文发出去之后石沉大海，连一点涟漪都没有。第一反应往往是“交换机配置写错了”，其实真正的问题比这个更深一层：不同网段之间的通信，压根就不是二层交换机能独立完成的事。这次我就在eNSP里做一遍基础实验1，用两台交换机、两个不同网段，加上一台路由器做单臂路由，把从拓扑规划到命令配置、再到故障排查的完整链路完整走一遍。这个实验非常适合刚接触数通、正在备考认证或者刚入行做网络运维的新手，把它吃透了，VLAN、Trunk、子接口、默认网关这些抽象概念在真实场景里是怎么配合的，就全都串起来了。

1. 拓扑设计与地址规划：先明确“谁在哪个网段、谁做路由”

1.1 二层转发与三层路由的分界

先说一个经常被忽略的基础认知：二层交换机的主要工作，是查MAC地址表，然后在同一个广播域内转发帧。一台PC的IP是192.168.10.10，另一台PC的IP是192.168.10.20，它俩在同一个网段，那交换机只要知道各自的MAC地址，就能把帧从对应端口送过去，这个过程不涉及“去哪个方向的城市”，只涉及“这条街上的哪个门牌号”。

但一旦PC1的IP变成192.168.10.10，PC2的IP变成192.168.20.10，情况就变了。数据发送方每次要发IP包时，会先看目的IP和自己的IP是不是在同一个网段。不在同一个网段时，它会把这个包先交给一个叫“默认网关”的地址，而不是直接去找目的IP。这个网关是谁？在实验里，就是路由器上那两个子接口的IP。所以两层交换机不管怎么配，都无法替PC完成“跨网段路由”这件事，它只能保证“带了VLAN标签的帧能在Trunk链路上跑”，最终把帧准确地送到路由器上。

理解了这个分界，你再看两交换机不同网段互通这件事，思路就会清晰很多：交换机的任务是隔离和透传，路由器的任务是终结和路由，缺了哪一个，PC之间都不可能互通。

1.2 单臂路由拓扑与参数规划

我这次采用的拓扑，是经典得不能再经典的单臂路由（Router-on-a-Stick）：

• PC1接在交换机SW1上，属于VLAN 10，IP地址192.168.10.10/24；
• PC2接在交换机SW2上，属于VLAN 20，IP地址192.168.20.10/24；
• SW1与SW2之间用Trunk链路相连，同时SW1再通过一条Trunk链路连到路由器R1的GE0/0/0；
• R1上把GE0/0/0拆分成两个子接口，分别终结VLAN 10和VLAN 20，作为两个网段的网关。

这样拓扑下来，PC1到PC2的流量路径是：PC1 -> SW1 -> SW1与SW2之间Trunk -> SW2 -> PC2，前提是R1已经参与转发；而实际上数据包会先从PC1到SW1，再经Trunk送到R1，由R1查路由后，从Trunk链路带着VLAN 20的标签送到SW2，最终从SW2的Access口剥离标签到达PC2。这个细节后面配置完再展开。

下面是我习惯用的地址规划表，也建议你在eNSP里照着建：

1.3 eNSP设备选型与连接思路

eNSP里的设备型号，我一般固定用三样：路由器选AR2220，交换机选S5700，终端用最普通的PC。你别小看这个选型问题，AR2220是eNSP中比较万金油的三层设备，子接口数量足够，性能模拟也稳定；S5700虽然是三层交换机，但在这个实验里只把它当二层用，这样能让“二层交换+三层路由”的分工边界特别清晰，新手不会把两件事搅在一起。

连线的时候有个习惯值得养成：先把线连好，再启动设备。启动顺序对eNSP这种模拟器来说挺重要，如果一次性把四台设备全开，不少人会碰到启动缓慢、控制台半天刷不出来的情况。我的做法是先启动两台交换机，等它们的启动ID出现、命令行能敲了，再启动路由器AR2220，最后才去配置PC。PC不需要启动按钮，直接在图标上右键选择配置即可。

还有一个小细节：eNSP里设备启动后会有一个“启动成功”的提示，有时候控制台里卡在“System is starting”很长时间，别着急重启，多半是设备还在初始化。等两三分钟是常事，尤其是电脑配置一般的情况下。这也是很多新手一遍又一遍重敲配置，却始终感觉“设备没反应”的真相之一。

2. 交换机侧实操：VLAN隔离和Trunk透传，配错一个就全断

2.1 二层交换机到底做了什么

在这个实验里，SW1和SW2的配置工作有且只有两件：一是把PC接入的端口划分到正确的VLAN，二是把连接路由器或另一台交换机的端口设置成Trunk，并放行相关VLAN。很多新手容易把VLAN想得很高大上，其实它就是给二层帧“染了个色”：从Access口进来的无标签帧，交换机会给它打上端口PVID对应的VLAN标签；Trunk口则会把这个带标签的帧原封不动地送出去。两台交换机之间、交换机和路由器之间，靠的就是这个标签来区分“我是VLAN 10的流量”还是“我是VLAN 20的流量”。

所以如果SW1与SW2之间的链路配成了Access，那么VLAN 20的帧在这里就会被直接丢弃或者当作PVID VLAN的帧处理，PC2的流量根本出不了SW2。这种错误非常隐蔽，因为你单独看每台交换机配置都“没错”，但连起来就全断。

2.2 SW1与SW2的完整配置命令

打开SW1的命令行，进入系统视图，按下面的顺序配置：

system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 10 20 quit

解释一下关键几条命令的意图。vlan batch 10 20是一次性把VLAN 10和VLAN 20都创建出来，你不会想一条条敲vlan 10再vlan 20的。port link-type access和port default vlan 10把连接PC1的GE0/0/2定义成Access口，所有从PC1进来的无标签帧都被打上VLAN 10的标签。port link-type trunk则把GE0/0/1和GE0/0/3切到Trunk模式，port trunk allow-pass vlan 10 20是核心中的核心，告诉交换机这两个Trunk口允许VLAN 10和VLAN 20的带标签帧通过。

SW2的配置逻辑与SW1完全对称，区别只在接入PC2的口要划到VLAN 20：

system-view sysname SW2 vlan batch 10 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit

这里有个值得强调的细节：SW2的GE0/0/1连向SW1，同样必须放行VLAN 10和VLAN 20。别只想着“PC2只在VLAN 20里面”，因为PC1的流量要经过R1转发回来，最终会以VLAN 20的标签从SW1的Trunk口送到SW2，如果SW2的上行Trunk口不接收VLAN 20，回包一样会被丢弃。这就是我前面说的“配错一个就全断”最典型的情况。

2.3 用display命令验证VLAN和Trunk状态

配置敲完别急着去ping，先在交换机上确认一下状态。display vlan能看到当前设备上存在哪些VLAN，以及每个VLAN包含哪些端口；display port vlan能更直观地看到每个端口工作在什么模式下，PVID是多少，允许哪些VLAN通过。比如在SW1上执行display port vlan，你希望看到GE0/0/1和GE0/0/3都是Trunk类型，且“VLAN allowed”一栏里同时有10和20；GE0/0/2是Access类型，PVID为10。

我在带新人做这个实验时，会刻意让他们养成“配完就验证”的习惯，而不是等全部设备配完再一起排错。网络调试的体验是立竿见影的：你把SW1配置完，display vlan一刷，VLAN 10和20都在，Trunk口的放行列表也没有遗漏，这就等于排掉了一半的雷。等PC端和路由器都配完，剩下的问题范围就小很多。

2.4 PC机与Access口的一点常识

在eNSP里配置PC非常傻瓜：右键PC1，选“配置”，填上IP地址192.168.10.10、掩码255.255.255.0、网关192.168.10.1；PC2填192.168.20.10、掩码255.255.255.0、网关192.168.20.1。这里最容易犯的错有三个：网关漏填、网关填错、掩码格式写成255.255.255.0却少打一位。PC的网关地址必须和路由器的子接口IP完全一致，差一个数字都不行。

再补充一个底层认知：PC网卡发出的以太网帧是不带VLAN标签的，它自己不会“染色”。这个染色动作发生在交换机的Access口上。所以你在PC上看不到任何VLAN信息，也不需要配置VLAN，VLAN概念对终端设备来说是透明的。很多新手跑到PC上找VLAN配置的地方，找半天找不到，其实方向就错了。

3. 路由器单臂路由配置：一个物理口，两个网段的网关

3.1 802.1Q子接口终结VLAN的原理

路由器的物理口GE0/0/0只有一根线连到SW1，可它需要同时充当VLAN 10和VLAN 20两个网段的网关。怎么做？答案是思科的叫法和华为的叫法其实一回事：在物理口上创建多个子接口，每个子接口对应一个VLAN ID，通过802.1Q封装的VID字段来区分“这帧是给哪个网段网关的”。

交换机Trunk口送上来的是一个带标签的帧，路由器物理口收到的其实是同一根链路里混着的一堆不同标签的帧。子接口的dot1q termination vid 10就是用来“认领”VID为10的帧的，dot1q termination vid 20认领VID为20的帧。然后再给每个子接口配上对应网段的IP地址，路由器的路由表里自然就出现了192.168.10.0/24和192.168.20.0/24两条直连路由。这就是“单臂路由”名字的由来：物理上只有一条胳膊，逻辑上却管着两个网段。

3.2 R1子接口配置命令与关键参数

回到R1的命令行，物理接口GE0/0/0不需要配IP，直接在系统视图下创建子接口：

system-view sysname R1 interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable quit

其中一个极其关键的参数是arp broadcast enable。华为路由器在dot1q终结子接口上，默认不响应广播ARP，而PC在跨网段通信前，第一步必须解析网关IP的MAC地址，也就是发ARP广播。如果这条命令没配，你会在PC上看到同网段能通、网关却“Ping不通”的怪象，而实际上问题不在IP，在于子接口不回ARP。这条命令我几乎每次都要强调一遍，因为漏掉的概率太大了。

dot1q termination vid后面跟的VLAN ID要和交换机上PC所在VLAN一一对应：PC1在VLAN 10，对应的子接口就是.10；PC2在VLAN 20，对应的子接口就是.20。子接口编号其实可以和VLAN不同名，比如叫.100也行，只要vid设置对就行，但建议保持编号和VID一致，方便后期维护。

3.3 为什么物理口本身不能再配IP？

可能有朋友会问：我能不能在GE0/0/0上直接配一个192.168.10.1，再开个子接口管VLAN 20？我的建议是别这么干。物理口本身没有绑定VLAN，它收到的帧经过子接口终结后，物理口其实只负责“把带标签的帧收进来解封装”。你在物理口上配IP，会让它成为一个VLAN 1或其他默认VLAN的第三层接口，这在单臂路由场景里容易造成路由和ARP的混乱，尤其对新手排查极不友好。

正确做法就是物理口干干净净，所有逻辑网关全部落在子接口上。这也符合“单臂路由”这条链路的真实工作方式：物理口是个共用通道，子接口才是各个VLAN的终点。

配置完成后，可以执行display ip interface brief检查子接口状态，你会看到GE0/0/0.10和GE0/0/0.20的协议状态（Protocol）都是up，且各自绑定了IP。如果Protocol是down，大概率是dot1q termination vid没配或者配错，检查一下VLAN ID。若物理口没打开，还需要在物理接口视图下执行undo shutdown确认接口没有被关闭。

4. 连通性实测：从PC1 ping PC2的完整数据流与排查

4.1 正常路径：一次Ping背后的完整流程

当PC1敲下ping 192.168.20.10时，背后发生的完整过程值得刻在脑子里。首先PC1发现目的IP和自己不在同一网段，于是立刻发一个ARP广播，询问192.168.10.1这个网关的MAC地址。这个广播帧从PC1的网卡出来，进入SW1的GE0/0/2，被打上VLAN 10的标签；SW1在MAC表里查到GE0/0/1可以通往路由器，于是把帧通过Trunk口送出，R1的GE0/0/0.10子接口接收并处理，再通过arp broadcast enable响应ARP应答。

PC1拿到网关MAC后，开始发送ICMP Echo请求：源IP是192.168.10.10，目的IP是192.168.20.10，目的MAC是网关的MAC。路由器收到后，查找路由表，发现192.168.20.0/24是一条直连路由，从GE0/0/0.20发出。这时数据包被重新封装成以太网帧，打上VLAN 20的标签，从R1的GE0/0/0回到SW1。SW1在Trunk口上看到VLAN 20的标签，再从GE0/0/3的Trunk口转发给SW2，SW2收到后查MAC表，把帧从Access口GE0/0/2剥离VLAN 20标签后发给PC2。PC2的回应报文再按相反路径走回去。一个“跨网段”，实际上要经历两次“出网段”、两次“进网段”，中间全是路由器和交换机的配合。

4.2 先看路由、再看VLAN、最后看ARP的排查顺序

如果PC1 ping PC2失败，我一般不建议上来就抓包。先按“路由 -> VLAN -> ARP”这个顺序排查，效率最高。

先在R1上执行display ip routing-table，确认192.168.10.0/24和192.168.20.0/24两条路由都在，且都指向对应的子接口。缺了任一条，说明子接口IP没配、或子接口状态没起来。然后在SW1和SW2上执行display port vlan，确认两台交换机之间、交换机和路由器之间Trunk口都放行了VLAN 10和20，Access口的PVID也对得上。最后才回到PC侧，确认PC1的ARP表里有网关192.168.10.1的MAC地址，如果没有，再回去查R1子接口的arp broadcast enable是不是被漏掉了。

这个顺序本身就是个逻辑推理链条：路由解决“往哪发”，VLAN解决“能不能传到”，ARP解决“有没有入口”。顺着查一遍，99%的实验问题都能定位到。

4.3 新手最容易踩的三个坑

第一个坑是Trunk链路两边放行VLAN不一致。SW1的Trunk口放行了VLAN 10和20，SW2的Trunk口却只写了VLAN 20，那PC1的流量就算能到R1，回包也到不了SW2。这类问题在display port vlan下原形毕露，所以配置命令里port trunk allow-pass vlan后面的列表，一定复制粘贴时检查两次。

第二个坑是子接口VID和PC网段不对应。比如PC1的网关是192.168.10.1，但R1子接口.10的dot1q termination vid写成20，那PC1发出的VLAN 10帧到了R1后无人认领，肯定通不了。这种配置往往不会报错，但一ping就“请求超时”，肉眼查配置最容易忽视。

第三个坑就是前面提到的ARP广播问题。漏掉arp broadcast enable的典型现象是：PC能ping通同网段的网关（实际上网关在同网段有时要借助其他方式去判断），但跨网段的主机怎么都ping不通；或者是路由器上能看到PC发来的ARP报文，但不回。这个坑我踩过的次数实在太多，所以每次配单臂路由都会条件反射般地补上这条命令。

5. 换一种思路：三层交换机VLANIF与静态路由的对比

5.1 VLANIF方案配置要点

单臂路由虽然经典，但实际生产环境里更常看到的是用三层交换机做VLAN间路由，也就是VLANIF（虚拟接口）。如果在这个实验基础上继续进阶，可以把R1撤掉，把SW1和SW2换成三层交换机，配置思路完全不一样。

在三层交换机上，VLAN 10会有一个虚拟三层接口VLANIF 10，IP设置为192.168.10.1/24；VLAN 20对应的VLANIF 20设置为192.168.20.1/24。这两个网段的PC网关直接落在交换机上。如果只在一台三层交换机上同时创建两个VLANIF，那这台交换机本身就具备路由能力，PC1和PC2就能经由它跨网段通信，不需要再外挂路由器。这就是三层交换机和二层交换机最本质的区别：它不仅有MAC表，还有路由表。

如果是两台三层交换机各管一个网段，那还需要在交换机之间配置静态路由，让SW1知道“去找192.168.20.0/24的下一跳是谁”，SW2也要知道“去找192.168.10.0/24的下一跳是谁”，否则数据包到了本地交换机后找不到方向，照样不通。

5.2 单臂路由 vs 三层交换机：怎么选

不少新手会问，单臂路由是不是已经过时了？倒也不能这么说。从成本看，单臂路由的优势是“把一台路由器用到了极致”，一条物理链路上承载多个VLAN的流量，端口利用率高，适合VLAN数量不多、流量规模不大的场景，也特别适合做教学实验，因为它的每一步都清晰可见。

三层交换机则是把路由功能硬件化、转发层面芯片化，VLAN间流量吞吐和延迟表现都更好，适合VLAN多、东西向流量大的网络。缺点也明显：三层交换机往往比同档次的二层交换机贵；在eNSP里做实验时，核心命令的“抽象程度”也更高，新手很容易只配了VLANIF却不理解路由表的作用。

我的建议很直白：先把单臂路由这个实验做熟，把“数据包在交换机和路由器之间如何流转”的细节彻底想明白；再去做VLANIF和静态路由的实验，你会发现三层交换机的配置本质上就是“把路由功能内置到交换机里”，之前的原理一点都不会浪费。

5.3 后续扩展路线：多VLAN、动态路由

完成这个基础实验1之后，可以试着往三个方向扩展。一是加VLAN，把网络扩展到VLAN 30、VLAN 40，在R1上增加一个子接口，在交换机上批量创建VLAN并放行，看看路由表会变成什么样。二是加动态路由，比如在三层交换机上加OSPF，把直连网段宣告进协议，这样后续再增加设备时就不用手工维护一条条静态路由。三是在交换机间链路上做链路聚合，把两条物理链路捆成一条逻辑链路，观察Trunk在Eth-Trunk上的配置方式。

这些扩展每做一步，都会反过来加深你对基础实验1的理解。尤其是OSPF，当你看到路由表里出现“O”开头的路由条目时，再回头想单臂路由里配置的那些直连路由，就会明白“直连路由>静态路由>动态路由”的优先级为什么那么排列，以及路由表到底在转发决策里扮演什么角色。

5.4 我在实际实验中的几点体会

最后说几个很个人化的经验。一是eNSP里的设备虽然是模拟的，但配置命令和真实设备高度一致，你在模拟器里踩过的坑，在真实交换机上大概率也能碰到，所以别把它当游戏玩，每一步配置都要认真对待。二是遇到不通的情况，先别急着删了重配，打开display current-configuration把每台设备的配置截图式审一遍，很多问题说白了就是写错了一位IP或者漏放了一个VLAN。

三是给自己养成“存配置”的习惯。eNSP的配置不会自动保存，关掉工程再打开，设备配置经常回到初始状态。我每次做完实验都会执行save并截图保存拓扑，这样下次想复现或者给别人演示时，不用从头再敲一遍。

这个实验虽然叫“基础实验1”，但我始终认为，能在完全理解单臂路由原理的前提下把它配置通，比死记硬背一堆命令有价值得多。你真正掌握了数据包怎么进来、怎么查路由、怎么打标签、怎么从另一个VLAN出去，后面的OSPF、BGP、VXLAN这些大型技术点学起来都会轻松不少。至少我每次带新人，都会让他们先把这张“数据流转全景图”刻在脑子里，后面再玩什么花样都不慌。