赶稿某张刚从机房回来，趁着热乎劲还没散，赶紧把今天配“单臂路由”的过程和经验写下来。做网络这行，单臂路由（Router-on-a-Stick）算是VLAN间通信的入门必修课，很多刚入门的朋友在模拟器上敲几条命令，ping通了就觉得完事了。但真要是在真机上操作，或者拿到一个已经跑着业务的交换机上去改配置，里面值得抠的细节其实不少。这篇文章我就从原理梳理、配置实操到故障排查，完整地拆解一遍，希望能给正在学交换网络的朋友提供一些参考。不说空话，直接上干货。
1. 为什么需要单臂路由：从VLAN隔离到跨VLAN通信
1.1 核心需求：二层隔离之后，三层如何打通
先聊一个最基础但很多人没仔细想的问题：既然我们用VLAN把广播域给切开了，为什么又要费力让它们通信呢？
在一个典型的办公网络里，VLAN划分是刚需。财务部一个VLAN、行政部一个VLAN、技术部一个VLAN，这样做的直接好处是隔离了二层广播域，网络的稳定性、安全性都上去了。但是，业务场景决不会允许这些部门完全割裂。举个例子，财务部的系统需要向行政部的OA服务器提交数据，技术部要远程登录财务部的打印机进行配置——这些都是在不同VLAN之间进行的跨网段访问。
二层交换机天生不具备跨VLAN转发的能力，它只认识MAC地址和VLAN Tag。要让不同VLAN的主机能互通，就必须先让数据包“上送”到一个具备三层路由能力的设备上，由它根据IP地址进行路由转发。这个三层设备，可能是路由器，也可能是三层交换机，但在很多预算有限、设备选型受限制的场景下，一台带有一个空余物理口的普通路由器，配合一台二层交换机，就可以通过单臂路由来解决跨VLAN通信的需求。
1.2 单臂路由的本质：一条物理链路承载多个VLAN网关
“单臂”这个名字起得很形象。路由器只用了“一条手臂”——也就是一个物理接口——连接到交换机。比如路由器的G0/0/0口连到交换机的G0/0/1口，这两个端口之间只有一根网线。但通过在这条物理链路上配置Trunk（中继），并且把路由器的物理接口划分成多个逻辑子接口，每个子接口服务一个VLAN的网关，这样就做到了“一线多用”。
用生活化的比方来理解：这就像你租了一个只有一居室的小办公室，但你同时注册了三家公司。每个公司不能要求你有独立的办公室，只能共用这一间，屋檐下各干各的。不过，快递员送信的时候，还是会通过公司牌匾上的名称来分拣信件，不会搞混。这里，一居室的门口就是路由器的物理接口，三家公司的名称就是VLAN Tag，而子接口就是那三块不同的“公司牌匾”。
相比使用多个物理接口分别连接不同VLAN的傻办法，单臂路由的优势非常明显：节约物理接口资源，降低布线复杂度。但它也有一个天然的短板——所有的跨VLAN流量都挤在这一条物理链路上走，带宽容易成为瓶颈。所以在实际项目中，如果跨VLAN的流量特别大，我们通常不会首选单臂路由，而是直接用三层交换机。但在日常学习、小型办公环境或者实验模拟中，单臂路由依然是一个性价比极高、逻辑很清晰的方案。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 配置单臂路由前的规划思路
2.1 拓朴设计与设备选型：要准备哪些家伙事儿
在动手敲命令前，先把拓扑理清楚。标准的单臂路由实验，至少需要以下设备：
- 一台路由器，要求具备至少一个物理以太网口，并且该接口必须支持子接口划分。如果能在真机上操作最好，没有真机的话用GNS3、EVE-NG或者华为的eNSP模拟器都可以。
- 一台二层交换机，交换机的接口需要支持VLAN划分和Trunk配置。几乎所有的可网管二层交换机都支持这个功能。
- PC或者服务器若干，分别划分到不同的VLAN中。如果是在模拟器里，可以用路由器模拟PC，或者用模拟器自带的终端节点。
我这次实验用的拓扑是这样的：交换机S1上划分了两个VLAN——VLAN 10（对应192.168.10.0/24网段）和VLAN 20（对应192.168.20.0/24网段）。交换机的G0/0/1口连接PC1，划入VLAN 10；G0/0/2口连接PC2，划入VLAN 20；G0/0/3口连接路由器R1的G0/0/0口，配置为Trunk模式。路由器R1上，接口G0/0/0将被划分成两个子接口，分别承担VLAN 10和VLAN 20的网关角色。
2.2 IP与VLAN地址规划：这一步省了，后面全是坑
很多人配置单臂路由失败，问题不是出在路由器和交换机的命令行，而是出在IP规划上。在做任何配置之前，先把规划写清楚，