单臂路由原理与实战：从802.1Q封装到跨VLAN通信配置

我搞了这么多年网络工程VLAN间通信是每天都要打交道的事。单臂路由这名字听起来玄乎说白了就是拿一台路由器用一根网线连到交换机上就能让不同VLAN之间互通数据。这个方案在中小企业、实验环境、教学场景里出现得非常多很多人第一次接触VLAN间路由就是从这个技术开始的。而且单臂路由里藏着一堆细节子接口怎么封装Trunk怎么放行VLAN为什么ping不通这些问题不踩一遍坑光看文档真不一定能搞明白。这篇文章我把单臂路由从原理到配置、从排错到优化整个链路捋一遍会用厂商通用的思路加具体命令来讲适合刚入行的网络工程师、准备网络认证的考生以及想弄明白“VLAN都隔离了怎么还能互访”的运维同学。读完后你能独立完成一个中小型网络的单臂路由配置也能在出问题时快速定位故障点。1. 项目概述与核心思路拆解1.1 为什么要做VLAN间通信先回答一个基础问题VLAN这玩意儿明明是把网络隔开的为什么还要通信我讲个实际场景某公司划分了三个VLAN财务部在VLAN 10研发部在VLAN 20服务器区在VLAN 30。划分VLAN的好处大家都清楚——缩小广播域、减少冲突、提升安全性比如财务部的广播报文不会冲到研发部去研发部也没法直接扫到财务部的主机。但问题来了财务部要访问服务器区的ERP系统研发部要访问服务器区的代码仓库。VLAN隔离了二层可业务上又必须打通三层。这就是VLAN间通信的需求来源。解决办法绕不开一个设备——路由器因为路由器天生就是干“不同网段转发”这活的。可现实没那么简单。交换机和路由器之间只有一根线交换机上有几十个VLAN难道每个VLAN都要拉一根线到路由器那路由器得有多少个物理接口才够用单臂路由就是为解决这个矛盾而生的。1.2 单臂路由的模型与核心思路先看整体逻辑。单臂路由的核心是用路由器的一个物理接口基于802.1Q协议划分出多个逻辑子接口每个子接口绑定一个VLAN ID同时配置对应VLAN网段的网关IP。交换机连接路由器的物理端口设置为Trunk模式这样交换机到路由器这条链路上传输的是带VLAN标签的帧路由器收到后根据子接口绑定的VLAN ID进行解封装和转发。打个比方方便理解一个物理接口就是一栋楼的大门子接口就像楼里的各个房间门上挂的门牌号VLAN 10、VLAN 20。快递员数据帧把每件货物上都贴上标签说“这是10号房的”“这是20号房的”门口的收发室Trunk链路不管你几号房都收然后按标签分发到对应房间。同一栋楼一间房都不多盖但所有房间都能正常收快递。关键点有三个物理接口不能配IP所有IP必须落在子接口上。子接口必须启用802.1Q封装否则路由器无法识别帧上的VLAN标签。交换机侧端口必须放行对应VLAN否则带特定VLAN标签的帧根本过不来。很多人卡就卡在最后这一点上——路由器配置全部正确交换机Trunk配了但忘了在Trunk上放行VLAN 20结果VLAN 10能通、VLAN 20全断。1.3 方案选型为什么这种设计能避免麻烦可能有人问直接在交换机上起VLAN接口SVI做三层转发不是更方便吗为什么还要搞单臂路由原因很简单三层交换机比路由器贵。中小型网络里一台千兆路由器加一台二层交换机就能完成VLAN间通信成本比三层交换机方案低不少。而且路由器本身有丰富的策略控制功能比如访问控制列表、NAT还能顺带做出口网关。在实验环境里用一台模拟器里的家用级路由器也能跑起单臂路由学习成本很低。但单臂路由有个硬伤所有VLAN的流量都挤在同一条物理链路和同一个路由引擎上转发性能上限有限。如果VLAN间流量很大、或跨VLAN视频流多路由器CPU会扛不住。因此单臂路由适合中小规模网络、实验环境和预算有限的场景一旦节点超过几百个就必须上三层交换机或者分布式的路由架构。2. 单臂路由核心原理与数据流转全过程2.1 802.1Q封装机制要理解单臂路由必须先吃透802.1Q封装。IEEE 802.1Q在一个以太网帧的源MAC地址之后、长度/类型字段之前插入了4字节的标签信息内容包括TPID0x8100和TCI其中包含12位的VLAN ID取值范围0到4095。这个标签是交换机识别帧属于哪个VLAN的关键依据。普通Access端口发出去的帧不带标签Trunk端口发出去的帧带标签。路由器物理接口收到带标签的帧后如果是普通IP处理逻辑它根本无法理解帧里那段802.1Q字段——所以必须让路由器接口“明白”自己应该处理哪些VLAN标签这就是子接口封装dot1Q的目的。这里有个容易混淆的细节**原生VLANNative VLAN**的帧在Trunk链路上默认不打标签。默认情况下原生VLAN是VLAN 1。很多人在单臂路由中配置子接口时把VLAN 1的子接口封装成dot1Q 1却忘了交换机Trunk口上的原生VLAN也是VLAN 1两边虽然能通但帧始终没打标签容易引发环路和转发异常。稳妥做法在交换机Trunk口上用native vlan命令把原生VLAN改成一个不参与业务的特殊VLAN或者干脆把所有业务子接口都避开VLAN 1。2.2 从主机A到主机B的完整流转路径我画一条完整的数据流路径不用图用文字描述出来假设主机A在VLAN 10IP地址192.168.10.10/24网关192.168.10.1主机B在VLAN 20IP地址192.168.20.10/24网关192.168.20.1。路由器子接口F0/0.10封装VLAN 10IP 192.168.10.1子接口F0/0.20封装VLAN 20IP 192.168.20.1。第一步主机A要访问192.168.20.10它发现自己和目标不在同一网段于是将数据帧的目的MAC写成网关192.168.10.1的MAC源MAC是自己的MAC发送到交换机的Access口F0/1。第二步交换机F0/1属于VLAN 10收到不带标签的帧后将其标记为VLAN 10在交换机的VLAN 10广播域内查找目的MAC发现去往路由器只能走F0/3Trunk口于是给这个帧打上VLAN 10的802.1Q标签从F0/3发出去。第三步路由器物理接口F0/0收到带VLAN 10标签的帧F0/0.10子接口对该帧进行解封装剥离标签后将其视为正常的IP报文在路由表中查找192.168.20.0/24网段发现匹配F0/0.20子接口。第四步路由器将这IP报文重新封装。因为下一跳是192.168.20.10但此刻路由器需要确定主机B的MAC地址。它会先查ARP缓存如果没有就会从F0/0.20子接口发出一个ARP请求广播源的VLAN ID是20。第五步交换机从F0/3收到这个带VLAN 20标签的ARP请求帧解封装后在VLAN 20内广播。主机B发现自己被询问即回应ARP应答。路由器拿到主机B的MAC后将IP报文封装成以太网帧并打上VLAN 20标签从F0/0物理接口发回交换机。第六步交换机在F0/3收到带VLAN 20标签的帧剥离标签后将其投递到主机B所在的Access口F0/2。主机B收到帧完成整个跨VLAN访问。这条链路里最关键、也最容易出错的环节就是第三和第五步的封装和路由。在第三步路由器必须有能力从自己的多个子接口中选取正确的出接口这依赖于路由表里有对应网段的路由。一旦子接口IP配好了直连路由会自动出现在路由表中。很多人困惑“为什么我只配了IP就能通”本质就是这个原因——直连路由是路由协议自动生成的。2.3 子接口与VLAN ID的对应关系子接口编号本身没有特别要求纯粹是本地管理但强烈建议和VLAN ID保持一致。比如VLAN 10对应F0/0.10VLAN 20对应F0/0.20。这样排错时一眼就能看出关系不然半年后看着一堆子接口全得靠IP反推浪费时间。封装时有一个必须注意的规则同一个物理接口下的不同子接口封装的VLAN ID不能重复。比如你已经创建了F0/0.10封装VLAN 10就不能再创建一个封装VLAN 10的子接口了。想做冗余也做不到单臂路由本来就不支持接口级冗余这是物理结构决定的。2.4 单臂路由在广播与ARP层面的处理跨VLAN通信中ARP请求是涌现问题的高发地带。主机A要知道网关192.168.10.1的MAC就会在VLAN 10内发广播ARP请求这个请求被交换机Trunk口标记后送到路由器路由器子接口F0/0.10正常响应。整个过程是单VLAN内的广播不会跨越物理边界。但有一个奇怪的问题经常出现从VLAN 10的PC机上pingVLAN 20的PC机能通但从VLAN 20的PC机上pingVLAN 10的PC机耗时明显更长。原因在于ARP缓存还没有预热——目标MAC未知时路由器需要跨子接口做一次ARP查询多了一个广播回合。如果两边都ping过一遍ARP缓存建立齐全后后续转发速度就正常了。还有个经典陷阱很多家用路由器、低端路由器对子接口的ARP响应处理能力有限大量ARP广播会导致CPU飙升。我曾经在实验室里做过压力测试连续开启几十台虚拟机的网卡去ping跨VLAN网关低端路由器的CPU直接冲上80%。所以单臂路由方案里ARP请求风暴是潜在风险大规模环境不建议这么玩。3. 双厂商实战配置与关键参数解读3.1 topo规划与地址设计先说规划我手头管理的这个模拟项目X规模不大定义了三个VLANVLAN 10办公区网段192.168.10.0/24网关192.168.10.1VLAN 20研发区网段192.168.20.0/24网关192.168.20.1VLAN 30服务器区网段192.168.30.0/24网关192.168.30.1交换机为一台二层设备端口分布F0/1-F0/10划分到VLAN 10F0/11-F0/20划分到VLAN 20F0/21-F0/24划分到VLAN 30G0/1为Trunk口接入路由器。为什么网关地址都选在.X.1这是约定俗成的习惯方便记忆。有人喜欢用小地址当网关有人喜欢用最后一个可用地址各有利弊。但无论选哪个都必须保证网关地址不在DHCP地址池里否则会IP冲突。这是一个新手特别容易踩的坑。4.1 思科设备配置实录与要点注解先配交换机侧Switch enable Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name Office Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name RD Switch(config-vlan)# exit Switch(config)# vlan 30 Switch(config-vlan)# name Server Switch(config-vlan)# exit Switch(config)# interface range fastEthernet 0/1-10 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 10 Switch(config-if-range)# exit Switch(config)# interface range fastEthernet 0/11-20 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 20 Switch(config-if-range)# exit Switch(config)# interface range fastEthernet 0/21-24 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 30 Switch(config-if-range)# exit Switch(config)# interface gigabitEthernet 0/1 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20,30 Switch(config-if)# switchport trunk native vlan 99注意几个细节首先创建VLAN必须在划分端口之前完成否则端口无法引用不存在的VLAN。其次Trunk口必须显式放行需要通信的VLAN默认只放行VLAN 1。最后我把原生VLAN改成99需要另建VLAN 99这是专业网络里很常见的操作避免VLAN 1的帧带着标签在链路上混流出现各种诡异问题。接着配路由器侧Router enable Router# configure terminal Router(config)# interface gigabitEthernet 0/0 Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface gigabitEthernet 0/0.10 Router(config-subif)# encapsulation dot1Q 10 Router(config-subif)# ip address 192.168.10.1 255.255.255.0 Router(config-subif)# exit Router(config)# interface gigabitEthernet 0/0.20 Router(config-subif)# encapsulation dot1Q 20 Router(config-subif)# ip address 192.168.20.1 255.255.255.0 Router(config-subif)# exit Router(config)# interface gigabitEthernet 0/0.30 Router(config-subif)# encapsulation dot1Q 30 Router(config-subif)# ip address 192.168.30.1 255.255.255.0 Router(config-subif)# exit Router(config)# ip routing关键解释encapsulation dot1Q 10这一行是本配置的灵魂它告诉路由器“这个子接口只处理带VLAN 10标签的帧”。这里有一个容易忽略的点如果忘记在物理接口上执行no shutdown物理接口处于管理关闭状态无论子接口怎么配都不会通。物理接口本身可以不配置IP因为子接口上的IP就是承载在物理驱动之上的。思科设备默认路由功能是开启的但部分模拟器环境或某些IOS版本需要显式开启ip routing否则连直连地址之间的转发都不会执行。这里加上这一行是好习惯特别当你在模拟器中操作时。4.2 华为设备配置实录国内很多环境下用华为设备命令风格完全不同这里也给出完整配置方便对照。交换机侧S系列Huawei system-view [Huawei] vlan batch 10 20 30 [Huawei] interface gigabitethernet 0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10 [Huawei-GigabitEthernet0/0/1] quit [Huawei] interface gigabitethernet 0/0/11 [Huawei-GigabitEthernet0/0/11] port link-type access [Huawei-GigabitEthernet0/0/11] port default vlan 20 [Huawei-GigabitEthernet0/0/11] quit [Huawei] interface gigabitethernet 0/0/21 [Huawei-GigabitEthernet0/0/21] port link-type access [Huawei-GigabitEthernet0/0/21] port default vlan 30 [Huawei-GigabitEthernet0/0/21] quit [Huawei] interface gigabitethernet 0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30注意华为的Trunk配置默认是拒绝所有非原生VLAN的流量的必须显式使用port trunk allow-pass vlan放行。有的版本默认allow-pass vlan all这个行为差异需要查看具体设备说明书我在实际配置时一定会先display port vlan确认一下当前放行情况。路由器侧AR系列[Huawei] interface gigabitethernet 0/0/0 [Huawei-GigabitEthernet0/0/0] undo shutdown [Huawei-GigabitEthernet0/0/0] quit [Huawei] interface gigabitethernet 0/0/0.10 [Huawei-GigabitEthernet0/0/0.10] dot1q termination vid 10 [Huawei-GigabitEthernet0/0/0.10] ip address 192.168.10.1 255.255.255.0 [Huawei-GigabitEthernet0/0/0.10] arp broadcast enable [Huawei-GigabitEthernet0/0/0.10] quit [Huawei] interface gigabitethernet 0/0/0.20 [Huawei-GigabitEthernet0/0/0.20] dot1q termination vid 20 [Huawei-GigabitEthernet0/0/0.20] ip address 192.168.20.1 255.255.255.0 [Huawei-GigabitEthernet0/0/0.20] arp broadcast enable [Huawei-GigabitEthernet0/0/0.20] quit [Huawei] interface gigabitethernet 0/0/0.30 [Huawei-GigabitEthernet0/0/0.30] dot1q termination vid 30 [Huawei-GigabitEthernet0/0/0.30] ip address 192.168.30.1 255.255.255.0 [Huawei-GigabitEthernet0/0/0.30] arp broadcast enable华为配置和思科有两个巨大差异。第一个是命令行参数不同思科叫encapsulation dot1Q华为叫dot1q termination vid。第二个也是最重要的华为的VLAN子接口上默认不响应ARP广播必须显式打开arp broadcast enable否则从PC ping不通网关。这个坑我在第一次配华为单臂路由时踩过当时调了半天翻官方文档才找到这个命令。4.3 参数选择背后的逻辑与性能指标地址规划上三个VLAN各自对应一个独立网段子网掩码统一255.255.255.0这是最简单清晰的方式。为什么不把子网掩码放大比如三个VLAN共用一个大子网如果这么干主机会认为其他VLAN里的主机都在同一个网段直接发送ARP广播询问MAC二层广播被VLAN隔离无法到达通信必然失败。所以VLAN间通信的前提就是不同VLAN不同网段这个原则必须一票否决任何把多个VLAN划进同一网段的规划。链路方面Trunk口我选的是千兆口。单臂路由的瓶颈就在这条链路上百兆口承载跨VLAN的流量很容易打满而千兆口能留出足够的余量。当然如果预算允许物理链路做成链路聚合是更优方案但那就超出单臂路由的范畴了后面会提到替代方案。4.4 验证命令与连通性测试配完配置后验证步骤不要跳过。我按以下顺序逐层检查在交换机上执行show vlan brief确认VLAN创建无误、端口划分正确。在交换机上执行show interfaces trunk确认Trunk口状态为trunking、VLAN放行列表正确、原生VLAN为99。在路由器上执行show ip interface brief确认所有子接口的IP地址生效且状态是up/up。在路由器上执行show ip route确认三个直连路由都在路由表中。在PC上执行ping网关、再跨VLAN ping其他主机。手册级的排错顺序就是这些。很多时候问题是“交换机上VLAN没建”“Trunk口没放行”“路由器物理口shutdown”这样低级的配置遗漏上面的验证命令逐条执行不出三分钟就能定位。5. 常见问题与排查技巧实录5.1 不同VLAN间完全不通这是最常见的故障通常发生在初始配置后。排查思路从物理层往上走检查物理链路路由器G0/0口和交换机G0/1口都应该是up状态。如果路由器接口shutdown了Trunk链路再正常也没用。检查Trunk配置在交换机上执行show interfaces trunk确认接口是trunking状态。如果显示not-trunking说明端口没配对模式。检查VLAN放行如果交换机只放行了VLAN 10没放行VLAN 20那VLAN 20的流量全被掐死在交换机的Trunk口上。这种情况下VLAN 10的PC能ping通自己的网关但VLAN 20的PC连网关都ping不通。检查路由器的VLAN封装show running-config interface G0/0.20看encapsulation dot1Q是否和VLAN ID匹配。不匹配时数据帧会被路由器丢进黑洞。我遇到过最奇葩的一次VLAN ID配错了不报错但流量全部消失——因为路由器把带VLAN 20标签的帧和一个封装VLAN 30的子接口做了解封装尝试结果因为IP地址不在同一网段直接丢弃。所以这时候看show interface的输入输出计数器如果子接口有输入无输出大概率是封装不匹配或缺少路由。5.2 能ping通网关但ping不通跨VLAN主机这个故障很有意思说明你从PC到网关这一段是通的问题出在“网关之后”。可能原因路由器上缺少到目标VLAN网段的直连路由。检查路由表如果只有部分子接口路由缺失先查那个子接口是否创建成功、是否配置了IP。目标VLAN的交换机端口划分不正确比如目标主机实际上还在VLAN 1里但它配置的是VLAN 20的IP地址这种错配会导致ARP请求在VLAN 20里广播却没人应答。目标主机的网卡防火墙拦截了跨网段的ARP应答或ICMP请求。Windows主机尤其常见默认防火墙会拦ping但对普通业务流量放行。排查手法是用交换机show mac address-table确认目标主机的MAC地址到底关联在哪个VLAN下。如果显示的是VLAN 1而目标主机配置的是192.168.20.x立即能确认是端口划分的问题。5.3 所有VLAN都能ping通但速度极慢或断断续续这类问题通常不是配置错误而是性能或者链路问题。实战经验告诉我三个常客一是广播风暴。如果交换机上没有启用STP生成树协议Trunk链路配错之后可能形成环路。环路一出现整个广播域内的报文都被无限转发路由器CPU被灌满网络自然时好时坏。排查看交换机的接口计数器是否出现异常高的广播包计数。二是路由器的CPU过载。单臂路由的所有跨VLAN流量都要经过路由器处理低端路由器在每秒几千个跨VLAN数据包时就会兜不住。此时可以用show process cpu确认CPU使用率如果确实高到异常就得考虑换三层交换机方案了。三是ARP缓存老化导致间歇性丢包。部分设备的ARP老化时间设置为120秒如果一段时间没通信ARP条目被删除下一次通信前要先做一次ARP请求造成一次明显的延迟或丢包但不至于持续断流。可以调节ARP老化时间或者在关键设备上配置静态ARP。5.4 同一VLAN内通信正常但跨VLAN单向通这种问题最令人迷惑明明双向链路都是物理通的为什么A到B通、B到A不通我在实际项目里遇到过一次最后定位到路由器的ACL配置。如果在子接口的inbound方向有一个访问控制列表阻止了源地址为目标VLAN网段的流量就会呈现单向通的现象。排查方法很简单show ip access-lists看看有没有拒绝条目命中计数持续增长有的话逐条检查ACL语义。另一个可能性是网关的IP地址与某个主机冲突。如果有人在VLAN 20里手动配置了一个192.168.20.1的IP地址那路由器子接口和这台主机会争抢这个IP。当ARP缓存指向错误设备时流量就会断断续续甚至完全不通。用show arp查看网关IP对应的MAC地址如果MAC不是路由器的实际接口MAC赶紧去交换机上找是谁占了网关地址。5.5 华为设备特有的arp broadcast enable遗漏前面已经提过一次但值得单独拿出来说因为这是华为单臂路由最经典的坑。华为路由器子接口默认是不响应ARP广播的很多人照着文档配置完dot1q termination vid和IP地址发现PC ping网关不通查配置发现一切都对结果卡在一条arp broadcast enable命令上。这个命令的作用是允许子接口响应广播域的ARP请求。如果没有它子接口虽然配置了IP地址但它不参与ARP解析过程PC根本无法解析出网关MAC二层通信直接就断掉了。在思科设备上没有对应问题因为思科默认就允许子接口响应ARP。这是厂商行为差异的典型代表建议所有用华为路由器做单臂路由的人都把这条命令记在手边。6. 单臂路由的局限与演进方案6.1 转发瓶颈在哪里单臂路由的架构决定了两个不可避免的瓶颈第一所有跨VLAN流量必须经过路由器物理接口所在的那条链路这就形成了链路带宽的汇聚点。假设跨VLAN总流量200Mbps物理接口是百兆口那直接瘫痪。解决办法只有升级链路带宽或者用链路聚合但单臂路由本身不支持跨接口负载均衡。第二路由器对每个数据帧都要做VLAN标签的剥离和封装这涉及CPU处理意味着数据帧不经过硬件交换芯片纯靠CPU软件转发。一般中低端路由器的软件转发能力远低于硬件交换机的线速转发。这导致在流量大的场景下CPU利用率升高丢包和延迟随之而来。6.2 什么时候必须放弃单臂路由以下情况建议尽早考虑其他方案跨VLAN流量大、多媒体业务多。比如视频会议频繁的办公网络路由器的软件转发扛不住。网络规模扩展迅速VLAN数量超过20个时单臂路由的子接口数量管理起来很痛苦。需要高可用性单臂路由的路由器一旦故障所有VLAN间通信同时中断没有冗余机制。6.3 三层交换机方案的简单对比三层交换机方案通过创建VLANIF虚拟接口来实现VLAN间路由数据转发走硬件的路由交换芯片转发性能远超单臂路由。配置上也很直观# 思科三层交换机 Switch(config)# vlan 10 Switch(config)# vlan 20 Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 Switch(config-if)# exit Switch(config)# interface vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0这样三层交换机直接充当了各VLAN的网关不需要外部路由器。配置简单、转发快、支持冗余多花的那点设备成本其实值得。但三层交换机也有学东西要掌握比如路由模式开启、顾及其他流量这里不多展开。简单比较一下三个方案的适用场景方案成本转发性能适用场景单臂路由低低-CPU软转小型网络、实验环境、教学场景三层交换机VLANIF中高高-硬件线速中型以上生产网络多臂路由高中特殊隔离需求、安全区域划分6.4 升级迁移时的注意事项从单臂路由迁移到三层交换机方案不只是换设备那么简单。要注意三个细节第一所有主机的网关地址必须保持不变否则要全部修改主机配置。比如主机原来网关是192.168.10.1那三层交换机VLAN 10的VLANIF也必须配192.168.10.1这样主机端零改动。如果迁移时换了一个网关网段运维工作量剧增。第二原来的Trunk口和物理链路要重新规划。三层交换机方案中接入交换机与核心交换机之间仍然走Trunk但这个Trunk不再接路由器而是接到核心交换机。链路带宽要留足不然瓶颈从路由器转移到了上联链路。第三路由器原来的那些安全策略、NAT功能如果还在用就得考虑是否保留它作为出口设备只是不再承担VLAN间路由的任务。一台路由器专门做出口NAT和防火墙一台三层交换机专门做VLAN间路由这个架构在中小型网络里非常经典且可靠。我在实际部署时迁移过一次当时是从一台老路由器做单臂路由迁移到三层交换机。按照上面的思路VLANIF配完、Trunk口切换、主机网关不变整个切换窗口只花了半小时期间业务中断不超过三分钟。切换完第一件事就是看路由器的CPU——从之前经常75%多的占用一下降到10%不到跨VLAN文件传输速度能有明显改善整个网络的稳定性也上了一个台阶。所以说单臂路由是一个入门级的经典方案帮我们解决了VLAN间通信从无到有的问题。它能让你在最小成本下理解路由与交换的配合但一旦流量上去了就得考虑更高效的替代方案。这也是网络工程里常说的“先能用后好用再优化”的思路。