姬轩亦说出来你可能不信，我第一次在ensp里做VLAN间通信实验时，花了两个多小时才把两台PC ping通。拓扑简单到不能再简单：一台交换机，一台路由器，两台PC，VLAN 10和VLAN 20。可就是这组配置，让我把交换机的端口模式、Trunk放行、子接口封装、ARP广播全部踩了个遍。今天就把单臂路由这件事彻底讲清楚。
单臂路由（Router-on-a-Stick）是计算机网络课程里跨VLAN通信的经典方案，也是很多人的“第一个跨三层实验”。它解决的问题非常具体：当一台二层交换机上划分了多个VLAN，这些VLAN之间默认是完全隔离的，二层设备交换不了跨VLAN的帧，于是我们需要引入路由器作为三层网关，用一条物理链路承载所有VLAN的流量，让数据在VLAN之间转发。适合谁看？正在复习计算机网络期末的学生，准备网络工程师认证的在考生，或者工作中第一次接触跨VLAN组网、想搞明白底层原理的新人。文章会从原理讲到配置，再讲到抓包验证和排错，保证你看完能自己复现一遍。
1. 为什么划分了VLAN之后，同一台交换机上的PC反而不通了
1.1 VLAN隔离的本质：广播域被切成了几块
要理解单臂路由，先得把VLAN给理解透。VLAN，虚拟局域网，本质上就是把一台物理交换机在逻辑上切成几台“虚拟交换机”。设备在同一个VLAN内，行为就像接在同一台普通交换机上一样，能互相通信、共享广播；设备在不同VLAN里，即使物理上插着同一台设备，彼此也“看不见”。
这里有个初学者最容易忽略的点：VLAN隔离的不只是广播，而是整个二层转发域。广播帧、组播帧、未知单播帧，统统只能在同一个VLAN内部泛洪。VLAN 10里的ARP请求，VLAN 20的端口根本收不到；VLAN 20里有人发一个全F的广播帧，VLAN 10的PC也无感知。这就是“广播域隔离”的真实含义。
但隔离的不只是广播。它的设计初衷确实是为了缩小广播域、提升安全性，可是副作用也很明显——不同VLAN之间如果需要通信，二层交换机自己搞不定。这个“搞不定”不是技术上的小缺陷，而是架构上的必然选择。
1.2 二层交换机做不了跨VLAN转发，根子在“三层决策”
我们来看一个具体的例子：交换机上有两台PC，PC1在VLAN 10，接的是G0/0/2口，IP是192.168.10.2/24；PC2在VLAN 20，接的是G0/0/3口，IP是192.168.20.2/24。两台PC插在同一台交换机上，线序全对，PC1去ping PC2，结果是请求超时。
为什么？因为二层交换机的转发依据是MAC地址表。PC1发出一个目的IP为192.168.20.2的数据包，它发现这个IP和自己不在同一个网段（192.168.10.0/24 vs 192.168.20.0/24），于是它会把数据包交给默认网关。可问题来了——PC1压根没有网关，因为所有设备都挂在二层交换机下面，没有人给它提供三层出口。就算PC1强行把数据包发给某个MAC地址，交换机查MAC表时发现目的MAC不在VLAN 10的任何端口上，它也不会把帧从一个VLAN“搬”到另一个VLAN。
说得再直白一点：跨VLAN通信的本质是跨网段通信，而跨网段通信需要IP路由决策。二层交换机没有路由表，不关心IP头里的目的地址，它只认识帧头和MAC。要让数据在VLAN之间流动，必须有一个三层设备参与，干一件事——给每个VLAN提供一个网关地址，然后根据目的IP做路由转发。
这个“必须有三层设备参与”的观念，是整个单臂路由实验的起点。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 单臂路由是怎么把“一条物理链路”玩出多个网段的
2.1 “单臂”的含义：为什么要让一个口干多个口的活
在没有单臂路由之前，最笨的办法是这么做的：路由器上准备两个物理接口，一个接到交换机的VLAN 10 Access口，另一个接到交换机的VLAN 20 Access口，然后在两个物理接口上分别配IP作为两个VLAN的网关。数据从一个VLAN进来，路由器转发到另一个物理接口出去。这种方案能不能跑通？能，但蠢。VLAN一多就露馅了——10个VLAN需要10个物理接口加10根网线，20个VLAN就需要20个接口，交换机上还得给每个VLAN预留一个独立的Access口，这既不经济也不现实。
单臂路由的思路就巧妙在这里：路由器和交换机之间只保留一条物理链路，所有VLAN的流量都在这条链路上“挤”过去。交换机这一侧把连接路由器的端口配成Trunk口，允许放行多个VLAN；路由器这一侧在一个物理接口上创建多个子接口，每个子接口对应一个VLAN，并配置该VLAN网段的网关IP。整个设备看起来只有“一条手臂”伸到交