三个网段互通实战：VLAN划分、三层路由与DHCP中继配置详解

客户提出“三个不同网段要互通”的需求时，很多人第一反应是“这不就是加个路由吗”。但真正动手做的时候，才发现里面涉及 VLAN 划分、三层转发、单臂路由、DHCP 中继、防火墙放行等多个环节，任何一个地方配置不当，业务就是不通。本文从网络原理开始，逐步拆解三个网段互通的完整配置过程，并覆盖常见的虚拟机互通、DHCP 跨网段分配、触摸屏与 PLC 跨网段通讯等实战场景，希望能帮你在现场少走弯路。

1. 为什么“三个网段互通”会变成客户需求

1.1 网段概念先理清

网段，更准确的说法是 IPv4 地址段，通常用一个 IP 地址加子网掩码来表示。例如 192.168.1.0/24 表示从 192.168.1.0 到 192.168.1.255 的连续地址范围，其中 192.168.1.0 是网络地址，192.168.1.255 是广播地址，实际可用主机地址是 192.168.1.1 到 192.168.1.254。

日常交流中，大家会直接说“三个网段”，比如“192.168.10.0 网段”“192.168.20.0 网段”“192.168.30.0 网段”。这句话背后的意思，往往不只是地址不同，更关键的是这几个网段之间默认不能直接通信，必须通过三层设备路由。

1.2 客户需求背后的真实场景

客户端提出的“三个网段要互通”，通常不是网络工程师想象中的“三个 PC 能互相 ping 通”那么简单。实际项目中，我遇到过的需求有几种典型形态：

• 一个园区网络里，办公网、监控网、生产网分别使用不同网段，办公人员需要访问监控平台，监控终端需要访问生产数据库。
• 一栋楼里不同楼层划分为不同 VLAN，财务部、人事部、研发部各自独立网段，但需要共用一套 OA 系统和打印服务器。
• 工业现场里，触摸屏、PLC、上位机分属不同网段，触摸屏需要和 PLC 跨网段通讯，上位机需要同时采集多个网段的设备数据。

这些需求表面上都是“三个网段互通”，但底层逻辑完全不同。有的只需要三层路由打通，有的还需要 DNS、DHCP、广播转发、防火墙策略等配套能力。所以接到需求后不要急着配命令，先把客户的业务拓扑和访问关系问清楚。

1.3 网段隔离的价值与互通的必要性

网段隔离本身就是一种安全设计。同一个二层广播域内，任意一台设备发出的广播帧会被所有同网段设备接收，一旦设备数量过多或存在异常流量，整个网络性能都会受影响。通过划分 VLAN 和网段，可以缩小广播域，同时用三层路由来控制跨网段访问，配合 ACL（访问控制列表）还能做到不同部门之间按策略互访。

但完全隔离也不行。现代业务天然需要数据流动，比如财务系统要对接人事数据，监控系统要对接门禁系统，生产网要对接管理网。于是“隔离但互通”就变成了标准诉求。理解这一点后，我们就能明白：跨网段互通不是简单的路由命令，而是网络规划、设备选型、安全策略的综合工程。

2. 跨网段通信的核心原理

2.1 同网段通信与跨网段通信的区别

同网段通信，主机直接通过 ARP（地址解析协议）广播找到目标设备的 MAC 地址，然后封装以太网帧发送，整个过程不经过三层设备。比如 192.168.10.1 访问 192.168.10.2，源主机判断目标 IP 与自己处于同一网段，直接广播 ARP 请求，拿到目标 MAC 后发送数据。

跨网段通信则完全不同。192.168.10.1 访问 192.168.20.1，源主机发现自己和目标 IP 不在同一网段，它会先把数据帧发送给“默认网关”。网关收到数据后，根据目的 IP 查询路由表，找到下一跳接口，再从对应接口转发出去。这个过程中，源主机并不知道目标主机的 MAC 地址，它只需要把数据交给网关即可。

所以跨网段通信的核心有两个：一是主机必须配置正确的网关，二是网关设备必须具有正确的路由表。缺了任何一个，网络都不会通。

2.2 路由设备与路由表

路由设备可以是路由器、三层交换机、防火墙，甚至在 Linux 主机上开启转发功能的服务器。这些设备内部维护一张路由表，表中包含目的网段、掩码、下一跳地址、出接口等字段。

当设备收到一个目的 IP 为 192.168.20.1 的数据包时，它会查找路由表，看有没有匹配 192.168.20.0/24 的路由条目。如果命中，就把数据包转发到对应的出接口；如果没有命中，且设备本身也不是该网段的网关，就会丢弃数据包并回复“目标不可达”。

在小型项目中，三层交换机的 VLANIF 接口（虚拟接口）会自动生成直连路由，路由器子接口也会生成直连路由，因此不需要写静态路由。但在出口路由器或核心层设备上，如果存在多个三层设备，就需要配置静态路由或动态路由协议来传递网段信息。

2.3 VLAN、单臂路由与三层交换

VLAN 是一种二层隔离技术，它可以把一台物理交换机划分成多个逻辑广播域。AC 之间如果不在同一个 VLAN，二层帧默认无法互通，必须通过三层设备路由。

单臂路由是经典的跨 VLAN 通信方式：路由器的一个物理接口被划分成多个子接口，每个子接口对应一个 VLAN 的网关。交换机连接路由器的接口配置为 Trunk，放行多个 VLAN；路由器子接口收到带 VLAN Tag 的帧后，剥掉 Tag 交给对应子接口处理。

三层交换则是把路由功能集成到交换机硬件中。核心交换机创建 VLANIF 接口，每个 VLANIF 配置一个 IP 地址作为该 VLAN 的网关，交换机内部直接进行跨 VLAN 路由转发。相比单臂路由，三层交换机的转发性能更高，适合多网段、大流量的场景。

3. 需求分析与拓扑设计

3.1 客户需求拆解

假设客户提出如下要求：

• VLAN 10：办公网，网段 192.168.10.0/24，网关 192.168.10.1
• VLAN 20：监控网，网段 192.168.20.0/24，网关 192.168.20.1
• VLAN 30：生产网，网段 192.168.30.0/24，网关 192.168.30.1
• 三个网段之间需要互通，并且所有终端都要自动获取 IP
• 出口需要访问互联网

这个需求是目前最常见的，覆盖了 VLAN、VLANIF、DHCP、出口路由四大模块。为了演示清晰，后续配置以华为设备为例，拓扑结构如下：

code复制         Internet
             |
        [出口路由器]
             |
        [核心交换机] (三层)
       /    |     \
 VLAN10   VLAN20  VLAN30
办公网    监控网   生产网

如果不用三层交换机，也可以把核心交换机替换为路由器，路由器子接口承担网关角色，这就是单臂路由思路。两种方案各有优劣，下文会分别给出配置。

3.2 三个不同网段的 IP 规划

IP 规划是跨网段互通最容易被忽视的环节。建议按如下表格规划：

这里加入 /30 互联段是为了让核心交换机与出口路由器之间的接口地址不占用业务网段地址，也便于后续扩展。注意 192.168.99.0/30 只有两个可用地址：192.168.99.1 和 192.168.99.2。

3.3 拓扑结构设计

核心交换机作为三层设备，负责三个业务网段之间的路由；出口路由器负责内外网流量互通。核心交换机与出口路由器之间配置一个独立的互联网段，然后通过默认路由把内网流量指向出口路由器，出口路由器再通过回程路由把外网流量引导回内网。

如果只有一台高性能交换机，也可以省略出口路由器，直接由交换机接运营商入户设备，但这样 ACL、NAT、防火墙规则都堆叠在交换机上，后期维护成本高。建议还是保留独立的出口路由器或防火墙设备，职责分离更清晰。

4. 实战配置：三层交换机实现三个网段互通

4.1 配置前提与思路

本次配置以华为 S5700 系列交换机为例，操作系统为 VRP V200R 系列。版本不同时命令可能有细微差异，但整体思路通用。配置前需要明确几点：

• 交换机型号是否支持三层转发。部分 S1700 系列是纯二层设备，不支持 VLANIF 和路由功能，必须使用支持三层路由的型号。
• 终端设备默认网关必须指向 VLANIF 接口地址。
• 交换机连接终端的接口通常配置为 Access，连接其他交换机的接口通常配置为 Trunk。

整体配置分三步：第一步创建 VLAN，第二步给 VLANIF 配置 IP 地址，第三步把交换机与终端的接口加入对应 VLAN。

4.2 交换机基础 VLAN 配置

进入系统视图后，先创建 VLAN：

text复制system-view
sysname SW-Core

vlan batch 10 20 30

quit

vlan batch 10 20 30 的意思是批量创建 VLAN 10、20、30。如果你还需要管理 VLAN，可以继续加入，例如 vlan batch 10 20 30 99。

4.3 配置 VLANIF 接口地址

给每个 VLAN 配置网关地址：

text复制interface Vlanif10
 ip address 192.168.10.1 255.255.255.0
quit

interface Vlanif20
 ip address 192.168.20.1 255.255.255.0
quit

interface Vlanif30
 ip address 192.168.30.1 255.255.255.0
quit

配置完成后，交换机就知道 192.168.10.0/24、192.168.20.0/24、192.168.30.0/24 这三个网段分别对应哪个 VLANIF 接口，直连路由自动生成。

不过这里有个容易忽略的细节：VLANIF 接口默认只有在接口状态 up 的情况下才会出现在路由表里。如果某个 VLAN 下面没有任何物理接口，或者所有 Access 接口都处于 down 状态，VLANIF 会保持 down，路由可能不会生效。所以配置完地址后，还需要把物理接口正确划入 VLAN。

4.4 配置 Trunk 与 Access 端口

假设办公网的主机连接到 GigabitEthernet0/0/1，监控网主机连接到 GigabitEthernet0/0/2，生产网主机连接到 GigabitEthernet0/0/3，核心交换机通过 GigabitEthernet0/0/24 连接出口路由器。

Access 接口配置如下：

text复制interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
quit

interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 20
quit

interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 30
quit

如果交换机下面还挂了两层交换机，那么核心交换机和汇聚交换机之间的接口要配置为 Trunk，并且放行对应 VLAN：

text复制interface GigabitEthernet0/0/10
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
quit

注意：在部分华为版本中，port trunk allow-pass vlan 10 20 30 会覆盖原有的 VLAN 1 放行配置，建议在实际生产环境确认是否需要保留 VLAN 1。Cisco 设备的写法是 switchport trunk allowed vlan add 10,20,30，两者不完全一样。

4.5 配置出口路由器的互连接口和默认路由

核心交换机与出口路由器之间的互联网段为 192.168.99.0/30。在核心交换机上配置互连接口：

text复制interface GigabitEthernet0/0/24
 port link-type access
 port default vlan 99
quit

interface Vlanif99
 ip address 192.168.99.1 255.255.255.252
quit

然后配置默认路由，把内网流量引导到出口路由器：

text复制ip route-static 0.0.0.0 0.0.0.0 192.168.99.2

出口路由器侧，假设 WAN 接口为 GigabitEthernet0/0/0，LAN 接口为 GigabitEthernet0/0/1，连接核心交换机的 LAN 接口需要配置互联地址，同时配置回程路由指向核心交换机：

text复制interface GigabitEthernet0/0/1
 ip address 192.168.99.2 255.255.255.252
quit

ip route-static 192.168.10.0 255.255.255.0 192.168.99.1
ip route-static 192.168.20.0 255.255.255.0 192.168.99.1
ip route-static 192.168.30.0 255.255.255.0 192.168.99.1

如果出口路由器上还开了 NAT，需要将三个业务网段都加入 NAT 转换规则，否则内网只能互通、无法访问互联网。

4.6 主机测试与验证

配置完成后，分别在三个网段的主机上做如下测试：

• 办公网主机 192.168.10.2 ping 监控网主机 192.168.20.2
• 办公网主机 ping 生产网主机 192.168.30.2
• 监控网主机 ping 生产网主机 192.168.30.2

在交换机上可以用 display ip routing-table 查看路由表，确认三条直连路由都正常：

text复制display ip routing-table

看到 192.168.10.0/24、192.168.20.0/24、192.168.30.0/24 的直连路由存在，说明三层转发基础已经就绪。

如果 ping 不通，先不要急着改配置。用 display vlan 查看端口 VLAN 是否匹配，用 display interface Vlanif10 查看 VLANIF 状态是否 up，再用 display arp 查看网关是否能学到终端 MAC。绝大多数问题都出在端口 VLAN 接错或网关配置没有生效。

5. 单臂路由方案：一台路由器也能搞定多网段互通

5.1 单臂路由原理

有些项目没有三层交换机，只有一台普通二层交换机和一台路由器。此时可以使用路由器的子接口实现跨 VLAN 通信。所谓子接口，就是在路由器的物理接口上创建多个逻辑接口，每个子接口绑定一个 VLAN ID，并配置一个 IP 地址作为该 VLAN 的网关。

数据包从 VLAN 10 的主机发出，经交换机 Trunk 接口送到路由器物理接口。路由器根据帧中的 VLAN Tag 识别出是 VLAN 10，交给对应子接口处理，查询路由表后从 VLAN 20 的子接口发出，再封装 VLAN 20 的 Tag 返回交换机，最终到达 VLAN 20 主机。

单臂路由的优点是节省路由器接口数量，一台路由器就能给多个 VLAN 提供网关。缺点是流量全部通过一条物理链路进入路由器，链路带宽和路由器处理能力成为瓶颈，不适合大规模、高流量场景。

5.2 子接口配置示例

假设路由器连接交换机的接口为 GigabitEthernet0/0/0，在此接口上创建三个子接口：

text复制interface GigabitEthernet0/0/0.10
 dot1q termination vid 10
 ip address 192.168.10.1 255.255.255.0
 arp broadcast enable
quit

interface GigabitEthernet0/0/0.20
 dot1q termination vid 20
 ip address 192.168.20.1 255.255.255.0
 arp broadcast enable
quit

interface GigabitEthernet0/0/0.30
 dot1q termination vid 30
 ip address 192.168.30.1 255.255.255.0
 arp broadcast enable
quit

说明：

• dot1q termination vid 用于指定该子接口对应的 VLAN Tag。
• arp broadcast enable 是华为路由器子接口响应 ARP 请求的必要配置，很多初学者漏掉这条命令导致网关 ping 不通。
• 子接口不能配置 IP 地址为 192.168.10.1 和主接口地址重复，主接口可以不配置 IP 或只作为管理地址。

如果路由器是 Cisco 设备，对应的配置大致为：

text复制interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0

Cisco 中 encapsulation dot1Q 10 是关键，华为用 dot1q termination vid 10。

5.3 交换机侧配置注意

交换机连接路由器的接口必须配置为 Trunk，并放行需要的 VLAN：

text复制interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
quit

同时，连接各主机的接口仍为 Access：

text复制interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
quit

这里发生过一个很经典的故障：把交换机到路由器的接口错误配置为 Access，结果路由器的子接口收到的帧不带 VLAN Tag，无法识别所属 VLAN，三个网段自然不通。记住一句话：路由器子接口这条路，交换机连接口永远要放 Trunk。

5.4 单臂路由与三层交换的选择

如果只是临时帮客户打通三个网段，且设备条件有限，单臂路由够用。如果是长期稳定运行，建议优先用三层交换机做网络核心，路由器只负责出口 NAT 和策略控制。

6. 一个 DHCP 服务器服务多个网段

6.1 问题背景

客户往往还会追加一个需求：所有终端都要自动获取 IP 地址。如果只有一台 DHCP 服务器，但终端分布在三个不同网段，DHCP 广播无法跨网段传递，怎么办？

这时需要 DHCP 中继（DHCP Relay）。简单理解：不同网段的终端发送 DHCP 广播，三层设备（交换机或路由器）收到后，将广播包转换成单播包转发给指定 DHCP 服务器；DHCP 服务器根据中继设备携带的接口地址，决定为请求者分配哪个网段的 IP。

6.2 基于 DHCP 中继的配置思路

假设 DHCP 服务器位于 VLAN 10 网段，地址为 192.168.10.100。VLAN 20 和 VLAN 30 的终端需要自动获取 IP，则需要在 VLANIF20 和 VLANIF30 上开启 DHCP 中继，并把 DHCP 服务器地址指到 192.168.10.100。

DHCP 服务器端需要配置多作用域（Scope），分别对应三个网段，并指定每个网段的网关和 DNS。这样一台 Windows 或 Linux 服务器就能给多个网段发地址。

6.3 华为设备 DHCP 中继配置示例

继续使用三层交换机配置作为基础。先在 VLANIF20 上开启中继：

text复制interface Vlanif20
 ip address 192.168.20.1 255.255.255.0
 dhcp select relay
 dhcp relay server-ip 192.168.10.100
quit

同理配置 VLANIF30：

text复制interface Vlanif30
 ip address 192.168.30.1 255.255.255.0
 dhcp select relay
 dhcp relay server-ip 192.168.10.100
quit

VLANIF10 如果本身承载 DHCP 服务器，可以不必开启中继，因为 DHCP 请求与服务器在同一网段，广播可直接到达。但如果 DHCP 服务器不在 VLAN10，而是独立在其他网段，则 VLANIF10 也要配置中继。

注意：不同设备版本的命令略有差异。华为部分老版本使用 dhcp relay server-ip，新版本命令为 dhcp relay server-ip 或 dhcp server 系列命令；Cisco 使用 ip helper-address。配置前先 display dhcp relay configuration 查看当前状态。

6.4 客户端验证

在 PC 终端执行 ipconfig /renew（Windows）或 dhclient（Linux），看到获取到的地址属于其所在网段，网关、DNS 正确，说明 DHCP 中继生效。如果获取到错误网段的地址，检查中继地址是否写错，以及 DHCP 服务器上是否配置了对应网段的作用域。

另外，DHCP 中继需要三层设备与 DHCP 服务器之间能够互通。如果 DHCP 服务器本身在 VLAN10，而 VLAN20、VLAN30 已经通过三层交换互通，则中继通信没有问题。如果中间有防火墙，还需放行 UDP 67、68 端口。

7. 常见问题与排查思路

7.1 网络异常 990002，请使用正确网段的网络

手机或终端连接 Wi-Fi 或网线后，提示“网络异常 990002，请使用正确网段的网络”，这通常发生在使用某些应用时，应用检测到了设备的 IP 地址与服务器预期网段不一致。

常见原因：

• 终端获取到的 IP 是另一个 DHCP 池分配的，比如 DHCP 服务器多作用域配置错误，导致 VLAN20 的设备拿到了 VLAN10 的地址。
• 网关配置错误，终端把流量发到了一个不通的路由设备。
• 中间设备有策略限制，比如只允许特定网段访问服务器。

排查步骤：

1. 先看终端 IP 地址、网关是否属于所在网段。
2. 如果 IP 不对，检查 DHCP 中继和 DHCP 作用域。
3. 如果 IP 正确但应用仍报错，检查服务器侧的防火墙或白名单策略。

这类提示不能只从网络层面看，应用层也可能做了网段限制，需要把应用服务器的 release 环境和客户网络规划一起核对。

7.2 虚拟机与物理机怎么互通

很多人在 VMware Workstation 或 VirtualBox 里配置虚拟机时，希望虚拟机和其他物理机处于同一网段，或者希望虚拟机可以跨网段访问物理机。这里有三种常见网络模式：

如果想把虚拟机配置到与宿主机相同的网段，建议使用桥接模式。物理交换机上连接宿主机的端口需要放行对应 VLAN，如果宿主机本身通过 Trunk 口连接，虚拟机桥接出去的流量无法自动加 Tag，通常是不通的。此时要么调整交换机端口为 Access，要么在虚拟机网卡上启用 VLAN ID 支持。

Linux 虚拟机（如 CentOS 7）如果开机后获取不到和宿主机同网段的 IP，先检查虚拟机网卡是否选择了桥接模式，再检查 CentOS 7 的网卡配置是否写死为 NAT 的 DHCP 地址。CentOS 7 的网卡配置在 /etc/sysconfig/network-scripts/ifcfg-ens33，需要确认 BOOTPROTO=dhcp，并重启网络服务：

bash复制systemctl restart network

如果桥接模式下仍然拿不到 IP，再检查物理交换机的端口安全和 DHCP Snooping 配置，部分交换机默认不信任新接入的 DHCP 请求。

7.3 CentOS 7 怎么获取到跟主机一样的网段 IP

这个问题本质上和 7.2 的虚拟机桥接是同一类。CentOS 7 想要和物理机同网段，网络模式必须是桥接，且桥接网卡要绑定到正确的物理网卡。在 VMware 中，选中虚拟机 -> 设置 -> 网络适配器 -> 桥接模式，并勾选“复制物理网络连接状态”。

如果还是获取不到，常见原因是宿主机存在多个网卡，VMware 默认桥接到了错误的网卡上。在 VMware 的“虚拟网络编辑器”中，手动把 VMnet0 桥接到宿主机实际连接局域网的网卡。

另一种情况是交换机的接入端口配置了 Access VLAN，但虚拟机网卡驱动未正确识别。此时可以先在虚拟机内手动配置一个静态 IP 测试：

bash复制vi /etc/sysconfig/network-scripts/ifcfg-ens33

内容示例：

ini复制TYPE=Ethernet
BOOTPROTO=static
IPADDR=192.168.10.100
NETMASK=255.255.255.0
GATEWAY=192.168.10.1
DNS1=192.168.10.1
ONBOOT=yes

保存后执行：

bash复制systemctl restart network

能 ping 通网关，说明网络链路没问题，再改回 DHCP 获取。

7.4 MCGS 触摸屏与西门子 1500 跨网段通讯

工业现场经常遇到 MCGS 触摸屏和西门子 S7-1500 PLC 不在同一网段，触摸屏访问 PLC 时通讯失败。MCGS 和西门子 PLC 的以太网通讯底层基于 TCP/IP，跨网段访问在路由层面是可行的，只要链路能通，应用层协议就可以建立连接。

配置要点：

• 给触摸屏和 PLC 分别配置同网段的网关，指向现场路由设备。
• 确认 PLC 的以太网地址已正确设置，并允许 PUT/GET 通信（西门子 PLC 默认可能关闭，需要在 PLC 属性中使能）。
• 如果触摸屏和 PLC 直接接在同一台二层交换机，但分属不同 VLAN，需要先通过上层路由器或三层交换机打通路由。
• 在触摸屏工程里，设备通讯参数中的 IP 地址要填写 PLC 的实际 IP，端口通常为 102（S7 协议）。

如果跨网段后触摸屏可以 ping 通 PLC 但连接不上，重点排查 PLC 的访问等级和防火墙规则。西门子 1500 的访问保护默认较严格，下载程序或触摸屏访问时需要开放对应权限。

7.5 接入接口配置 Access 后两个 PC 可以互通吗

单臂路由配置中有一个经典疑问：交换机接入口配置 Access 后两个 PC 可以互通吗？答案是：如果两个 PC 属于同一个 VLAN，且接入口都是 Access 且 default VLAN 相同，二层转发直接互通。如果两个 PC 属于不同 VLAN，Access 口无法放行不同的 VLAN Tag，它们之间无法互通。

有些初学者把三个接口都配置成 Access，分别划入 VLAN 10、20、30，然后希望三个网段互通，但发现 ping 不通。原因很简单：Access 接口只能承载一个 VLAN 的帧，交换机必须在三层路由后才能跨 VLAN 转发。如果交换机是二层交换机，没有路由功能，怎样都不通。如果交换机是三层交换机，还需要配置 VLANIF 地址，并且把接入三层设备。

还有一种错误：交换机接路由器或接另一台交换机的接口配置成 Access，只放行了一个 VLAN，导致另外两个 VLAN 的帧无法到达路由器或对端交换机。正确做法是：交换机与交换机之间、交换机与路由器之间，如果多 VLAN 需要互通，接口应配置为 Trunk，不要用 Access。

7.6 排查命令清单

现场排查跨网段不通时，建议按照以下顺序执行：

8. 最佳实践与工程建议

8.1 IP 规划先行

在给客户做跨网段互通方案时，最忌讳的是“到了现场边配置边想 IP”。IP 规划应该做到：

• 每个业务网段使用独立的 VLAN 和独立网段，不要为了省地址把不同业务混在一起。
• 网关地址统一使用每个网段的 .1 地址，便于记忆和排查。
• 预留扩展网段，比如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 的规划要提前考虑未来服务器扩容。
• 所有设备的管理地址单独规划，不占用业务地址段。

8.2 安全与隔离边界

三个网段互通，不等于所有设备之间完全开放。建议在核心设备上配置 ACL，规定哪些网段可以访问哪些网段，哪些端口允许访问。比如办公网可以访问生产网的服务器端口 443，但生产网不能反向访问办公网桌面终端。

在华为交换机上，可以简单配置 ACL：

text复制acl 3001
 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
 rule 10 deny ip
quit

然后把 ACL 应用到 VLANIF 或接口上。生产环境应用 ACL 前，先在测试环境验证，避免误杀正常业务。

8.3 配置备份与变更管理

跨网段配置涉及核心设备，一旦改错，所有业务都可能中断。现场操作前必须：

• 备份当前配置：display current-configuration 重定向保存到刷新文件。
• 变更前建立回退方案，记录原配置。
• 不要在业务高峰期执行大规模配置变更。
• 每改完一个环节，立即验证，不要所有配置一次性全部提交。

如果你是被甲方拉去“救火”，更要先做调研，不要上来就改路由。很多跨网段不通其实只是因为某个接口的 VLAN 划错，改回来就好；如果误删了原有路由，故障会从“不通”变成“全断”。

8.4 和客户沟通的技术话术

面对客户“我就想让三个网段互通”这种模糊要求时，建议先反问清楚：

• 三个网段分别是什么业务？哪些终端要访问哪些服务器？
• 互通后是否要限制访问方向？
• 是临时互通还是长期方案？
• 三层设备是已有设备还是需要采购？
• 是否要求自动获取 IP？
• 是否有出口 NAT 和域名解析需求？

把这些问题确认完，方案设计才有依据。否则你配好了路由，客户却说“我不希望生产网访问办公网”，又得重新返工。

9. 总结与后续学习方向

三个不同网段互通，本质上是一个“三层路由”问题。理解了 VLAN、VLANIF、子接口、路由表、DHCP 中继之间的关系后，你会发现配置本身并不复杂，难点全在需求分析和故障排查上。

本文涉及的核心配置包括：

• 三层交换机 VLANIF 配置实现跨网段路由
• 路由器子接口单臂路由配置
• Trunk 与 Access 端口的选择
• DHCP 中继让一个 DHCP 服务器服务多个网段
• 主机、虚拟机、工业设备跨网段通讯的常见问题

下一步可以继续学习静态路由与动态路由协议（如 OSPF）、ACL 访问控制、端口安全、DHCP Snooping 等内容。如果工作中经常维护园区网络，建议先在模拟器里把本文方案搭一遍，再结合真实设备掌握命令差异。

最后提醒一句：跨网段互通不是目的，业务可控、安全可靠才是目的。配置路由之前，先想清楚访问边界；配置命令之后，一定记得备份。多一次验证，少一次深夜抢救。