IP与VLAN联动：跨VLAN通信原理与华为交换机配置实战

这次实验是围绕IP和VLAN的联动关系展开的。很多人配华为交换机时，VLAN命令敲得飞快，但真被问一句“PC1在VLAN 10，PC2在VLAN 20，PC1 ping PC2，中间的数据包究竟在哪一层被处理，谁改了MAC、谁改了IP”，不少人会卡壳。这个实验报告就是把这整个过程拆开揉碎看了一遍，既包含VLAN划分的常用命令，也包括VLAN间通信的完整配置、报文转发过程以及常见坑点。

这套实验适合刚接触园区网络的网络工程师、正在备考数通认证的学员，以及需要给业务网段做隔离设计的人。通过一组简单的拓扑，把Access端口、Trunk端口、PVID、VLANIF、单臂路由这些概念全部串起来，最终可以用Wireshark亲眼看到802.1Q标签和ARP报文长什么样。理解了这套东西，后面再看ACL、DHCP Snooping、甚至K8s里的网络插件，都会轻松很多。

1. 实验目标与整体设计思路

1.1 实验要验证的核心问题

说起VLAN的用处，官方定义叫虚拟局域网，本质就是把一台物理交换机划分成多个互相隔离的广播域。但“隔离”只是基础，真正的问题是：业务上需要隔离，可终端之间还要通信，这时候IP地址作为网络层寻址手段就要出来救场。所以这个实验真正想验证的，是VLAN（二层隔离）和IP（三层寻址）如何协同工作，以及我们在配置时为什么会有那么多“看似多余”的命令。

具体来说，实验想回答四个问题：

• VLAN是怎么把端口分组隔离的，同VLAN内通信和跨VLAN通信在数据帧层面有什么区别？
• Access端口、Trunk端口、PVID这些概念到底在转发过程中扮演什么角色？
• 单臂路由和三层交换机VLANIF两种VLAN间路由方案各自的特点是什么？
• 网络不通时应该按什么顺序排查，而不是乱试命令？

带着这四个问题去看配置命令，你会发现每一条命令都有明确的目的，而不是死记硬背。

1.2 实验拓扑与工具选型

模拟器我用了eNSP（华为网络模拟器）做交换机部分，配合GNS3抓包做路由分析。两者各有侧重：eNSP对华为命令的仿真度高，适合练习真实设备操作习惯；GNS3里的路由器之间跑抓包更灵活，分析IP数据转发和ARP协议更直观。真机条件允许的话，用两台交换机加一台路由器也能复现，原理上没有差别。

实验拓扑比较常见，是校园网三层架构的缩略版：

接入交换机通过Trunk链路连到汇聚交换机，汇聚交换机再连路由器或者直接启用三层转发。终端全部通过Access口接入，这样最贴合真实园区网场景。

1.3 IP地址规划与VLAN编号规则

做实验前我习惯先把IP规划表画在纸上，再动手敲命令。很多新手上来就配，配到一半发现网关冲突、网段重叠，回头改配置头痛得很。规划思路很简单：一个VLAN对应一个网段，网关就放在这个网段里，由三层设备充当。

这里有个习惯问题：很多人把网关设成.1，我更喜欢用.254。倒不是说.1不行，而是很多网段会配置DHCP地址池，起始地址通常从.10或者.100开始，网关放在.254能避免和自动分配的地址撞车。另外，如果团队里有人习惯手动配置网关，统一约定用.254也会少很多排障麻烦。

2. IP与VLAN协同工作的原理拆解

2.1 VLAN是二层隔离，IP是三层寻址

用生活化类比来说，VLAN相当于楼层，IP相当于门牌号，网关就是电梯。不同楼层之间默认不通，你需要坐电梯（网关）才能到达对面。一台交换机划分了VLAN 10和VLAN 20之后，从二层看就是两栋独立的楼，广播帧到不了对面，ARP请求也不会穿越VLAN边界。

但到了三层，IP地址是全局寻址的。PC只要发现目标IP不在本地网段，就会先查看自己的路由表，把数据交给网关。网关在路由表里找到目标网段的出接口之后，把这个帧重新封装，从对应VLAN的接口丢进去。整个过程对终端基本透明，终端只关心网关是谁，不关心网关后面到底有几层网络。

所以VLAN和IP是分工不是竞争关系：VLAN负责把广播域划小，IP负责在划好的网段之间做逻