单臂路由：用一根网线让不同VLAN互通

· 阅读约需12分钟

单臂路由：用一根网线让不同VLAN互通

不同部门的电脑明明接在同一个交换机上，却像隔着一堵墙没法互相访问。这时候，你可能会想：是不是得给每个VLAN都配一个独立的路由器接口？听起来就挺费钱费力的。

其实，思科和华为设备里都藏着一个非常巧妙的功能，叫做“单臂路由”。它只用路由器的一个物理接口，就能让多个VLAN之间互相通信，像是一个站在十字路口的交警，同时指挥来自不同车道的车流。我第一次接触这个概念时，觉得这名字挺形象的。

一、单臂路由到底是什么？

单臂路由（Router-on-a-stick）是指在路由器的一个物理接口上，通过配置多个逻辑子接口的方式，实现不同VLAN之间互联互通的一种技术。

这个方案特别适合VLAN数量不多、路由器接口紧缺的场景。比如中小企业的办公网络、学校的机房，或者你想在一台设备上练习VLAN间路由又不想动用太多硬件。

二、核心原理：子接口与802.1Q标签

单臂路由能工作的关键，在于两个核心概念：子接口和802.1Q标签。

2.1 子接口（Sub-interface）

路由器的物理接口无法直接识别带有VLAN标签的数据帧。但我们可以把它划分成多个逻辑子接口（比如 G0/0/0.10 和 G0/0/0.20），每个子接口对应一个VLAN的网关。这些逻辑子接口就像是物理接口上虚拟出来的几个小接口，每个专门负责处理一个VLAN的数据。

2.2 802.1Q封装

交换机与路由器之间的链路必须配置为Trunk模式。它的作用就像一条“多车道高速公路”，允许贴着不同VLAN标签的数据包同时通过。数据包从交换机通过Trunk链路过来时，是带着VLAN标签的。路由器收到后，会根据我们配置的规则，把带标签10的数据交给子接口 G0/0/0.10 来处理，并为它剥掉VLAN标签，进行路由决策。

当数据包需要发往另一个VLAN时，路由器会重新封装，打上目标VLAN的标签，再通过同一个物理接口发回交换机。

三、单臂路由的优缺点

单臂路由是一个很巧妙的方案，但它也有自己的局限性。

优点

  • 节省物理接口：用一根网线和一个接口就能处理多个VLAN的流量。
  • 成本低廉：无需为每个VLAN配备额外的路由器接口或三层交换机。
  • 配置灵活：可在不更改物理连接的情况下，随时添加或删除VLAN的子接口。

缺点

  • 性能瓶颈：所有VLAN间的流量都必须经过这一个物理接口，当数据量较大时，容易成为整个网络的瓶颈。
  • 单点故障：如果这个唯一的物理接口或链路出现故障，所有VLAN间的通信都将中断。
  • 不适合大型网络：由于性能限制，单臂路由通常只适用于小型网络或临时场景。

四、实战配置：一个典型的小型办公网络

假设你在一家小公司，财务部（VLAN 10）和技术部（VLAN 20）需要互相访问，但公司只有一台二层交换机和一台路由器。

网络拓扑：

  • PC1（财务部）：VLAN 10，IP 192.168.10.2/24
  • PC2（技术部）：VLAN 20，IP 192.168.20.2/24
  • 交换机（SW1）：连接PC和路由器
  • 路由器（R1）：通过一个物理接口连接交换机

目标：让PC1和PC2能够互相ping通。

4.1 交换机配置（SW1）

交换机的任务很简单：创建VLAN，把PC接口划入对应VLAN，把连接路由器的接口配置为Trunk。

# 创建VLAN
<sw1> system-view
[SW1] vlan batch 10 20
# 配置连接PC1的接口（Access模式，VLAN 10）
[SW1] interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1] port link-type access
[SW1-GigabitEthernet0/0/1] port default vlan 10
[SW1-GigabitEthernet0/0/1] quit
# 配置连接PC2的接口（Access模式，VLAN 20）
[SW1] interface GigabitEthernet 0/0/2
[SW1-GigabitEthernet0/0/2] port link-type access
[SW1-GigabitEthernet0/0/2] port default vlan 20
[SW1-GigabitEthernet0/0/2] quit
# 配置连接路由器的接口（Trunk模式，允许VLAN 10和20通过）
[SW1] interface GigabitEthernet 0/0/24
[SW1-GigabitEthernet0/0/24] port link-type trunk
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20
[SW1-GigabitEthernet0/0/24] quit
[SW1] save</sw1>

4.2 路由器配置（R1）

路由器的配置是整个方案的核心。我们需要在物理接口上创建两个子接口，分别对应VLAN 10和VLAN 20。

# 进入系统视图
<r1> system-view
[R1] sysname AR1
# 确保物理接口开启
[AR1] interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0] undo shutdown
[AR1-GigabitEthernet0/0/0] quit
# 创建子接口 .10（对应VLAN 10）
[AR1] interface GigabitEthernet 0/0/0.10
[AR1-GigabitEthernet0/0/0.10] dot1q termination vid 10
[AR1-GigabitEthernet0/0/0.10] ip address 192.168.10.254 24
[AR1-GigabitEthernet0/0/0.10] arp broadcast enable
[AR1-GigabitEthernet0/0/0.10] quit
# 创建子接口 .20（对应VLAN 20）
[AR1] interface GigabitEthernet 0/0/0.20
[AR1-GigabitEthernet0/0/0.20] dot1q termination vid 20
[AR1-GigabitEthernet0/0/0.20] ip address 192.168.20.254 24
[AR1-GigabitEthernet0/0/0.20] arp broadcast enable
[AR1-GigabitEthernet0/0/0.20] quit
[AR1] save</r1>

华为设备关键命令说明：

  • dot1q termination vid 10：给子接口封装802.1Q标签，指定它负责处理VLAN 10的流量。
  • arp broadcast enable：开启子接口的ARP广播功能，否则VLAN间无法通信。
  • 物理接口（GigabitEthernet 0/0/0）本身不能配置IP地址。

4.3 配置PC

  • PC1（财务部）：IP 192.168.10.2/24，网关 192.168.10.254
  • PC2（技术部）：IP 192.168.20.2/24，网关 192.168.20.254

配置完成后，在PC1上 ping 192.168.20.2，应该能通。

五、常见问题排查

  • 检查Trunk配置：确保交换机的Trunk端口允许了所有需要通信的VLAN通过。
  • 检查子接口封装：子接口的VLAN ID必须与交换机上配置的VLAN ID一致。
  • 检查ARP广播：华为设备上，子接口默认未开启ARP广播功能，必须手动开启。
  • 检查物理接口：物理接口必须是up状态，否则所有子接口都会down。
  • 检查IP和网关：PC的网关必须指向路由器子接口的IP地址。

六、写在最后

单臂路由是一个很经典的技术，它用最小的硬件成本解决了VLAN间通信的问题。虽然现在三层交换机已经越来越普及，但单臂路由的思想和配置方法，依然是理解网络分层和VLAN间通信的重要基础。

如果你正在准备华为HCIA或思科CCNA认证，单臂路由几乎是一定会考到的实验题。把它的原理和配置步骤弄清楚，对你理解整个网络体系会很有帮助。

下次再遇到不同VLAN之间需要通信的场景，记得还有“单臂路由”这个方案。

2026年9月9日