VLAN 间路由图解：VLANIF 三层交换机如何打通隔离

先看效果

为什么 VLAN 之间 ping 不通

前面我们配好了 VLAN 10 和 VLAN 20，它们在二层完全隔离——这是安全的好处，但也意味着办公部和财务部互相访问不了。要让它们通信，必须引入三层设备做路由。

传统方案是用一台路由器单臂路由（Router-on-a-Stick），但现在几乎都用三层交换机：它既能二层交换又能三层路由，一个 VLANIF 接口就搞定。

原理图解

看上面这张图：

• VLANIF 10：三层交换机里一个虚拟接口，IP 是 VLAN 10 的网关（如 192.168.10.254）；
• VLANIF 20：同理，IP 是 VLAN 20 的网关（如 192.168.20.254）；
• PC 的网关分别指向各自的 VLANIF IP；
• PC1 → PC2 的包：PC1 先发给自己的网关（VLANIF 10），交换机内部查路由表，从 VLANIF 20 发出去给 PC2。

一句话：VLANIF 就是每个 VLAN 的网关，三层交换机自己做路由器。

eNSP 完整配置

一台 S5700 做核心三层交换，两个 PC 分别在 VLAN 10 和 VLAN 20。

# ===== SW1（三层交换机）=====
<Huawei> system-view
[Huawei] sysname SW1

# 1. 创建 VLAN
[SW1] vlan batch 10 20

# 2. 接口划入 VLAN（Access）
[SW1] interface GigabitEthernet0/0/1
[SW1-GigabitEthernet0/0/1] port link-type access
[SW1-GigabitEthernet0/0/1] port default vlan 10
[SW1-GigabitEthernet0/0/1] quit

[SW1] interface GigabitEthernet0/0/2
[SW1-GigabitEthernet0/0/2] port link-type access
[SW1-GigabitEthernet0/0/2] port default vlan 20
[SW1-GigabitEthernet0/0/2] quit

# 3. 创建 VLANIF 接口（关键步骤）
[SW1] interface Vlanif10
[SW1-Vlanif10] ip address 192.168.10.254 24
[SW1-Vlanif10] quit

[SW1] interface Vlanif20
[SW1-Vlanif20] ip address 192.168.20.254 24
[SW1-Vlanif20] quit

# 4. 开启三层路由功能（S5700 默认开启，写上更明确）
[SW1] undo portswitch  # 仅个别接口需要，VLANIF 不需要

# 5. 保存
[SW1] save

PC 配置：

• PC1：IP 192.168.10.1/24，网关 192.168.10.254
• PC2：IP 192.168.20.1/24，网关 192.168.20.254

验证

# 查看 VLANIF 接口状态
[SW1] display ip interface brief

# 查看路由表（应该有直连路由 192.168.10.0 和 192.168.20.0）
[SW1] display ip routing-table

display ip interface brief 能看到 Vlanif10 和 Vlanif20 的 IP 地址、状态为 UP。display ip routing-table 能看到两条 Direct 直连路由。

在 PC1 上 ping 192.168.20.1，应该能通。

常见问题

Q: VLANIF 配了 IP 但 ping 不通？ A: 三步查：① VLANIF 接口状态是否 UP（需要 VLAN 内至少有一个物理接口是 active 的，VLANIF 才会 UP）；② PC 网关是否指向 VLANIF 的 IP；③ 物理接口是否划对了 VLAN。

Q: 为什么要用三层交换机不用路由器？ A: 三层交换机内部用 ASIC 硬件转发，性能比路由器高几个数量级。单臂路由现在基本只出现在教科书里。

下一步

VLAN 间通了，但如果连了另一台交换机或者要上互联网，就需要路由。接下来看 静态路由配置。