工作上遇到“同一个VLAN下跑着两个网段”的情况其实不算少见。比如财务部和行政部都放在 VLAN 10 里一部分 PC 是 192.168.1.0/24另一部分是 192.168.2.0/24两边互相访问就是不通信。原因不复杂二层上它们确实在同一个广播域但三层上每个网段的报文只认自己的网关没网关的报文直接被丢弃。要解决这个问题不用重新划分 VLAN也不用把所有主机 IP 全改掉最直接的办法是在交换机的 VLANIF 接口上配置 sub 子地址让一个 VLANIF 同时承载多个网段的网关。这篇文章就按真实落地顺序把 vlanif sub 子地址的配置原理、操作步骤、验证方法、常见报错和替代方案完整拆一遍。如果你正在维护一台三层交换机或者刚接手一个网络规划有点乱的机房这篇内容可以直接照着排错。1. 先搞懂一个 VLAN 里为什么会出现两个网段1.1 两种常见组网场景先别急着敲命令。配置之前要明白一件事同一个 VLAN 里出现两个网段要么是规划失误要么是业务扩张后的临时妥协。第一种场景是历史遗留。早期交换机端口紧张网管把不同部门的 PC 直接塞进同一个 VLAN但每个部门申请网段时又申请了不同的地址段。后来发现要互访了才意识到当初没按 VLAN 划分网段。第二种场景是临时扩容。一个 VLAN 里原本是 192.168.1.0/24后来加了一批摄像头或服务器IP 规划不在一起。又不想动现有终端的地址也不方便再改端口所属 VLAN于是就把新业务放在 192.168.2.0/24仍然放进同一个 VLAN。这两种场景都有一个共同问题VLAN 没变网段却多了。终端之间做二层通信没有问题但一旦涉及跨网段访问比如 PC1 要访问 PC2或者 PC1 要访问另一个网段里的打印机就需要网关。谁提供网关成了关键。1.2 二层通了不等于三层能通很多人第一次遇到这种情况会拿一台电脑去 ping 另一台电脑发现二层明明能看到邻居三层就是不通。这里要分清两个层次。二层通信靠 MAC 地址只要两台主机接在同一个 VLAN 的端口下广播域就是同一个ARP 请求可以直接发到目标。但三层通信不一样。PC1 的数据包要发给 PC2PC1 会先判断目标 IP 和自己是否在同一个网段。如果不在同一个网段PC1 不会直接把包发到 PC2而是发给自己的网关。网关收到之后再看路由表找到达目标网段的路径然后转发。如果 PC1 没有配置网关或者 PC2 网段根本没有对应的网关数据包就会在“找网关”这一步就停住。所以二层能通只是说你在这个交换机里能看到对方真正能不能互相访问取决于三层网关和路由是否配套。这里就是 vlanif sub 子地址的用武之地。交换机的 VLANIF 接口本来是给一个 VLAN 提供网关的一个接口默认只有一个 IP。但通过配置 sub 子地址可以让同一个 VLANIF 同时具备多个网段网关的能力让 VLAN 内两个甚至多个网段通过这个接口完成三层转发。2. VLANIF 用 sub 子地址本质是给同一个逻辑接口加多个网关2.1 VLANIF 主地址与 sub 子地址的区别VLANIF 是交换机上用于三层转发的逻辑接口它和某个 VLAN 绑定通常配置一个 IP 地址作为该 VLAN 内主机的网关。比如 VLAN 10 里都是 192.168.1.0/24 的主机就给 VLANIF 10 配置 192.168.1.1/24。在这个基础上再敲一条命令给同一个 VLANIF 接口多配一个 IP这个新增的 IP 就叫 sub 子地址。注意华为设备上这条命令的末尾要带sub关键字比如interface Vlanif 10 ip address 192.168.1.1 255.255.255.0 ip address 192.168.2.1 255.255.255.0 sub执行之后VLANIF 10 就同时拥有 192.168.1.1 和 192.168.2.1 两个地址。前者是主地址后者是 sub 子地址。主地址可以理解成这个接口最核心的身份sub 子地址则是附加上去的“第二身份”。在交换机内部这两个地址都会生成直连路由。192.168.1.0/24 和 192.168.2.0/24 都被认为是该设备直连的网段。数据包到达交换机后交换机查路由表发现目标网段是直连网段就会直接通过 VLANIF 10 把包转发出去。2.2 为什么不用新建 VLAN 来解决问题有人会问既然多网段了为什么不干脆新建一个 VLAN再配置一个 VLANIF把不同网段分开这个思路在新建网络时完全正确。但这里讨论的场景是“已经跑在同一个 VLAN 里的主机”不是从零规划。新建 VLAN 意味着要重新划分端口把 VLAN 10 里一部分端口改成 VLAN 20。如果多数端口下面都接了终端这个改动会影响所有接在端口上的设备。端口切换 VLAN 的瞬间终端会掉线配置了 DHCP 的还要重新获取地址。对于不能中断的业务来说这种改动风险很高。还有另一种情况就是交换机端口不足。一个接入交换机只有 24 个端口如果已经全部划到 VLAN 10再建 VLAN 20 就需要空余端口或者重新改端口配置。而 vlanif sub 子地址不需要动任何端口配置只需要在逻辑接口上加一个 IP终端网关指到对应地址就行。从改动范围来看sub 子地址的侵入性最小。2.3 边界sub 地址不是无限能力这个方案也有边界。同一个 VLAN 里依然是同一个广播域广播报文还是会到达所有主机。如果 VLAN 里接入的设备特别多或者有故障网卡产生大量广播包整个 VLAN 的性能都会受影响。sub 子地址解决的是“跨网段三层通信”的问题不解决“广播域过大”的问题。另外sub 子地址不能替代真正的 VLAN 隔离。如果你需要把两个部门彻底隔开不允许互相访问只配 sub 子地址是做不到的。sub 子地址把不同网段聚在一个接口下反而让它们更容易互通。要隔离必须使用 VLAN 接口划分配合 ACL 或防火墙策略。所以在用这个方案之前先判断自己的核心诉求是“互通”还是“隔离”。如果是互通sub 子地址是合适的。如果是隔离不要走这条路。3. 配置前先规划好拓扑和 IP设备条件别忽略3.1 推荐拓扑与 IP 规划表下面给一个简化但完整的例子。假设有一台三层交换机型号是华为 S5720也可以换其他支持 VLANIF 三层接口的三层交换机。拓扑如下交换机端口 GE0/0/1 接 PC1交换机端口 GE0/0/2 接 PC2两个端口都属于 VLAN 10交换机上行口接核心交换机或者服务器IP 规划如下对象IP 地址掩码网关VLANIF 10 主地址192.168.1.1255.255.255.0-VLANIF 10 sub 子地址192.168.2.1255.255.255.0-PC1192.168.1.10255.255.255.0192.168.1.1PC2192.168.2.10255.255.255.0192.168.2.1这里有一个关键点PC1 的网关是 VLANIF 10 的主地址 192.168.1.1PC2 的网关是 VLANIF 10 的 sub 子地址 192.168.2.1。两个网关实际上在同一个 VLANIF 接口上MAC 地址很可能是同一个对应同一个逻辑接口。这是正常的不用觉得奇怪。3.2 设备条件与查看命令配置之前确认设备是否为三层交换机。像 S5720、S5700、S3700 这类支持 VLANIF 三层接口的设备都可以。如果是纯二层交换机一般不支持 VLANIF 三层转发那就需要换设备或者借助路由器。低端 S1700 之类的设备可能没有 VLANIF 三层能力这一点先确认免得折腾半天才发现设备不支持。登录设备后先看当前 VLAN 和端口状态。华为设备常用这几条display vlan display interface brief display ip interface brief第一条看 VLAN 是否已经创建VLAN 10 里有哪些端口。第二条看端口是否 Up状态是否正常。第三条看三层接口上已经有哪些 IP避免和现有地址冲突。另外要注意如果交换机上已经有其他接口使用了 192.168.1.1 或 192.168.2.1就不能再给 VLANIF 配置同样的地址。地址冲突会导致 ARP 和路由表异常表现为时通时不通。注意配置前先备份当前配置。华为交换机可以用display current-configuration查看也可以直接保存配置。改动之前留一个可回退的副本生产环境尤其重要。4. 实际配置步骤VLANIF 主地址加 sub 子地址命令就这几条4.1 最小配置流程下面进入实操。整段配置的核心命令很短但顺序不能乱。第一步创建 VLAN 10并把两个端口加入 VLANsystem-view vlan 10 quit interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit如果端口原来已经划分到 VLAN 10这步可以跳过。如果端口有多个 VLAN 需求也可以改成 trunk 接口允许 VLAN 10 通过。但接入终端一般是 access 口更方便。第二步进入 VLANIF 接口配置主地址interface Vlanif 10 ip address 192.168.1.1 255.255.255.0第三步配置 sub 子地址注意末尾必须带subip address 192.168.2.1 255.255.255.0 sub到这里VLANIF 10 就有两个地址了。4.2 配置命令的含义与细节ip address 192.168.2.1 255.255.255.0 sub这段里前面的 IP 和掩码是子地址本身最后的sub是告诉设备这个地址是从地址。如果没有sub设备会认为你要把主地址改成 192.168.2.1而不是追加一个地址。这一字之差会导致完全不同的效果。这里还要解释为什么不能直接在同一个 VLANIF 下敲多条ip address命令。在华为设备上一个三层接口默认只能有一个主 IP。如果再配置一个不带sub的 IP旧地址会被替换掉。所以追加地址时一定要带sub。如果需要再加第三个网段可以再敲一条ip address 192.168.3.1 255.255.255.0 sub这样一个 VLANIF 接口可以挂好几个网段都能作为网关使用但要注意不要配太多。每多一个 sub 地址就多一条直连路由广播域里的终端数量也更多。正常情况下两三个网段可以接受再多就该重新规划 VLAN 了。配置完成后可以用下面的命令确认display current-configuration interface Vlanif 10返回结果里应该能看到两条ip address其中第二条带sub关键字。4.3 查看配置和路由关键验证点在于路由表。执行display ip routing-table正常情况下路由表里会出现两条直连路由192.168.1.0/24 Direct 0 0 192.168.1.1 Vlanif10 192.168.2.0/24 Direct 0 0 192.168.2.1 Vlanif10这两条路由表示交换机认为自己同时直连 192.168.1.0/24 和 192.168.2.0/24。PC1 发到 192.168.2.10 的包到达交换机后交换机查路由表发现目标网段直连就直接从 VLANIF 10 转发出去不再需要其他路由。如果路由表里只有一条 192.168.1.0/24说明 sub 子地址没有配置成功回到接口配置再检查一下是否漏了sub。注意这个配置完成之后交换机本身不需要再额外加静态路由因为这两个网段都是直连。但如果 PC1 和 PC2 的通信路径上还有其他三层设备比如 PC1 的网关是路由器而不是这台交换机那就需要另外处理。这里讨论的场景是交换机 VLANIF 本身就是终端的网关。5. 验证连通性ping、ARP、路由表、抓包一条条来5.1 第一步ping 之前先确认网关配置完别急着直接去 PC1 上 ping PC2。先看两个终端的网关是否正确。PC1 上执行ipconfig /all确认 IP 是 192.168.1.10网关是 192.168.1.1。PC2 上执行同样的命令确认 IP 是 192.168.2.10网关是 192.168.2.1。如果终端网关配置错了比如 PC2 把网关指向 192.168.1.1而 PC2 自身是 192.168.2.10那 PC2 发出去的包到达 VLANIF 10 后交换机虽然收到了但回包时可能从主地址发出的源 IP 是 192.168.1.1PC2 收到后发现源地址和自己不在一个网段丢包。这类问题看着像交换机配置错误实际是终端网关配置问题。5.2 使用 display 命令定位问题确认终端网关没问题后再从交换机侧逐步验证。先在交换机上看 VLANIF 接口的 IP确保已经有 sub 地址display ip interface brief再查看 ARP 表确认交换机是否学习到了两台 PC 的 MACdisplay arp | include 192.168.1.10 display arp | include 192.168.2.10正常情况下交换机应该同时学到这两个 IP 对应的 MAC。如果 PC1 的 ARP 学不到优先怀疑 PC1 到交换机端口的二层链路是否有问题。如果 PC2 的 ARP 学不到同理。ARP 能学到但 ping 不通再看路由表是否完整。执行display ip routing-table 192.168.2.0如果返回结果中有一条直连路由说明交换机到 192.168.2.0/24 的路径没有问题。如果返回空说明 sub 地址没生效。还有一种情况是交换机学到了 ARP路由也有但 PC1 ping PC2 仍然超时。这时候最直接的验证方式是在交换机上做 ping 测试。比如在交换机上分别 ping PC1 和 PC2ping 192.168.1.10 ping 192.168.2.10如果交换机都能 ping 通两台 PC说明交换机作为网关的三层转发没有问题问题很可能出在 PC2 的防火墙或者 PC2 的网关没有指向 sub 地址。5.3 从抓包看转发过程如果条件允许可以在 PC1 上抓包看 PC1 ping PC2 时发生了什么。PC1 发送的第一个包一般是 ARP 请求请求解析网关 192.168.1.1 的 MAC。收到网关 MAC 后PC1 把 ICMP 请求包发给网关。交换机收到之后查路由表发现目标网段是 192.168.2.0/24直连于是再发一个 ARP 请求解析 192.168.2.10 的 MAC。拿到 MAC 后交换机把 ICMP 请求包转发给 PC2。PC2 回复时也走同样的流程。如果抓包只看到 PC1 发出对网关的 ARP 请求没有后续说明 PC1 到 VLANIF 10 主地址这一段有问题。如果看到 PC1 的 ICMP 请求已经发出但交换机没有回应 ARP 请求解析 PC2说明交换机上没有 PC2 的直连路由或 ARP 没有学到。抓包能帮你明确问题发生在哪一段是 PC1 到网关还是交换机转发还是 PC2 到网关。这一步比连续 ping 更直观。6. 常见报错和排查顺序不要一上来就怀疑配置6.1 配置阶段常见报错配置 VLANIF sub 子地址时最常见的报错是Error: The specified IP address is invalid.出现这个提示先检查掩码是否和子网段一致再检查是否和其他接口的 IP 冲突。比如主地址是 192.168.1.1/24sub 地址写成 192.168.1.2/24主地址和 sub 地址在同一个网段设备会认为地址冲突直接拒绝。还有一种情况是 VLANIF 接口不存在。如果 VLAN 10 还没创建直接进interface Vlanif 10会报错。必须先有 VLAN才能创建对应的 VLANIF 接口。interface Vlanif 10如果提示接口不存在先回全局配置vlan 10 quit再创建 VLANIF。另外要检查端口是否已经加入 VLAN 10。如果端口没加进去VLANIF 接口即使有 IP端口下的终端也无法二三层转发。6.2 运行阶段常见故障配置好之后终端之间 ping 不通常见原因有下面几种。终端网关配置错误。PC2 的网关应该是 192.168.2.1如果被填成 192.168.1.1那 PC2 发出去的数据包到达 VLANIF 10 后源 IP 是 192.168.2.10目的 IP 是 192.168.1.10交换机查到路由后把包转给 PC1PC1 回包时目的 IP 是 192.168.2.10会发给自己的网关 192.168.1.1交换机收到后再转发给 PC2。这一来一回看起来也能通但很多高层协议对源地址有校验不匹配时会丢包。所以网关必须严格对应。PC2 的防火墙拦截了来自 192.168.1.0/24 的流量。Windows 的防火墙默认会拦截部分 ping 请求。测试时可以先关闭防火墙或者在防火墙上放行 ICMP。确认网络通后再把防火墙策略打开避免留下安全隐患。中间还有一层是交换机本身的 ACL 或者风暴控制策略。有些设备在 VLAN 或接口上做了限制比如禁止不同子网之间互访。配置 sub 子地址虽然能生成直连路由但如果 ACL 把流量拦掉了照样不通。排查时要注意看设备上有没有生效的 ACL。6.3 通用排查链路我自己的排查顺序一般是这样的先看终端能否 ping 通自己的网关。PC1 先 ping 192.168.1.1PC2 先 ping 192.168.2.1。哪个不通就先查哪侧的网关和链路。再从交换机 ping 两台终端。交换机 ping 通两端说明交换机侧没有大问题。再让 PC1 ping PC2。如果不通在交换机上重新确认路由表和 ARP。看 PC2 是否回包。回包路径上如果有问题可能是 PC2 的网关或防火墙。最后检查交换机是否配置了 ACL、端口隔离、风暴控制等可能干扰转发的策略。这个顺序的好处是每一层都能独立验证。你先确认“终端到网关通”再确认“网关到另一台终端通”最后才能确定问题在 PC2 自身还是交换机策略上。很多人一上来就在 PC1 上 ping PC2失败后直接改交换机配置最后发现是 PC2 防火墙的事白折腾半天。注意如果 PC1 ping 通 PC2但反过来 PC2 ping 不通 PC1优先检查 PC1 的防火墙或 PC1 网关配置。这种单向通的情况多半不是交换机的问题。7. 这类方案的上限与替代选择什么时候该用什么时候该改7.1 三个方案的对比vlanif sub 子地址适合快速解决“同一个 VLAN 多网段互通”的问题但它并不是唯一方案。放一起对比会更清晰。方案改动范围是否改变广播域适用场景VLANIF sub 子地址只加一条命令不改变仍然是同一广播域已有 VLAN 内多网段互通终端不能改 IP端口不能动新建 VLAN VLANIF需要改端口所属 VLAN终端改网关改变不同 VLAN 隔离广播域网络重新规划可以接受端口和终端配置变更Super-VLAN / VLAN 聚合需要配置聚合 VLAN 和子 VLAN子 VLAN 隔离聚合 VLAN 统一网关海量终端在不同子 VLAN 中需要统一网关出口sub 子地址的优势是快、改动小、对现网影响小。缺点是广播域没有变化隔离性弱。如果只是临时过渡或者终端数量不大这个方案够用。如果两个网段之间的互动非常频繁而且后续还要扩容我更建议考虑新建 VLAN 配合路由。因为 sub 子地址虽然能让两个网段互通但所有流量都从同一个 VLANIF 接口转发很多性能监控、流量分析、安全策略都不好针对不同 VLAN 分别生效。长期看真正的 VLAN 划分更清晰。7.2 生产落地的运维建议在生产环境里配这类命令我有几个实际建议。第一把 sub 地址的用途写进备注。可以用设备的 description 命令给接口加说明也可以在自己的 IP 规划文档里记录。比如 VLANIF 10 的主地址是 192.168.1.1sub 地址 192.168.2.1 的用途是“临时接入 192.168.2.0/24 摄像头网段”。不写清楚半年后你自己也未必记得当年为什么加这个地址。第二配置完成后一定要保存。华为设备执行save确认配置文件已经保存到设备中。否则交换机一重启配置全部丢失终端立刻断网。第三如果有多台交换机做堆叠或者集群要注意 Vlanif 配置在堆叠系统中是全局生效的。只要 VLAN 在主交换机上存在VLANIF 接口就可以配置。但端口必须在对应槽位和 VLAN 中否则数据还是会走错路径。第四巡检时多加一条命令检查 VLANIF 接口的 sub 地址是否仍然需要。很多临时方案用着用着就变成长期方案了。半年后复盘如果发现某个 sub 地址对应的网段已经迁移到新的 VLAN应该及时删除不再使用的 sub 地址减少路由表和广播域复杂度。删除命令是undo ip address 192.168.2.1 255.255.255.0 sub执行后确认路由表里对应的直连路由已经消失再检查该网段终端是否已经迁移到新网络。7.3 一个更稳妥的思考方式回到最开始的问题同一 VLAN 里出现两个网段本质上是规划出了问题。vlanif sub 子地址是一个不错的补救工具但它解决的是眼前通不通的问题不是结构要不要优化的答案。我的建议是短期用 sub 子地址恢复业务中期把网段、终端、网关、部门关系梳理成一张表长期在方便割接的时间窗口内把 VLAN 重新调整到位。不能因为一个命令好使就一直让它撑在那里。网络这块清晰的结构比复杂的技巧重要得多。如果你现在环境里已经有一台三层交换机终端又没法马上改 IPvlanif sub 子地址是值得先试的方案。一条命令的改动就能让 192.168.1.0/24 和 192.168.2.0/24 互通。配置完记得按上面的验证顺序走一遍重点看 ARP、路由表和终端防火墙这三个环节。
VLANIF Sub子地址配置实践：同一VLAN多网段互通指南
工作上遇到“同一个VLAN下跑着两个网段”的情况其实不算少见。比如财务部和行政部都放在 VLAN 10 里一部分 PC 是 192.168.1.0/24另一部分是 192.168.2.0/24两边互相访问就是不通信。原因不复杂二层上它们确实在同一个广播域但三层上每个网段的报文只认自己的网关没网关的报文直接被丢弃。要解决这个问题不用重新划分 VLAN也不用把所有主机 IP 全改掉最直接的办法是在交换机的 VLANIF 接口上配置 sub 子地址让一个 VLANIF 同时承载多个网段的网关。这篇文章就按真实落地顺序把 vlanif sub 子地址的配置原理、操作步骤、验证方法、常见报错和替代方案完整拆一遍。如果你正在维护一台三层交换机或者刚接手一个网络规划有点乱的机房这篇内容可以直接照着排错。1. 先搞懂一个 VLAN 里为什么会出现两个网段1.1 两种常见组网场景先别急着敲命令。配置之前要明白一件事同一个 VLAN 里出现两个网段要么是规划失误要么是业务扩张后的临时妥协。第一种场景是历史遗留。早期交换机端口紧张网管把不同部门的 PC 直接塞进同一个 VLAN但每个部门申请网段时又申请了不同的地址段。后来发现要互访了才意识到当初没按 VLAN 划分网段。第二种场景是临时扩容。一个 VLAN 里原本是 192.168.1.0/24后来加了一批摄像头或服务器IP 规划不在一起。又不想动现有终端的地址也不方便再改端口所属 VLAN于是就把新业务放在 192.168.2.0/24仍然放进同一个 VLAN。这两种场景都有一个共同问题VLAN 没变网段却多了。终端之间做二层通信没有问题但一旦涉及跨网段访问比如 PC1 要访问 PC2或者 PC1 要访问另一个网段里的打印机就需要网关。谁提供网关成了关键。1.2 二层通了不等于三层能通很多人第一次遇到这种情况会拿一台电脑去 ping 另一台电脑发现二层明明能看到邻居三层就是不通。这里要分清两个层次。二层通信靠 MAC 地址只要两台主机接在同一个 VLAN 的端口下广播域就是同一个ARP 请求可以直接发到目标。但三层通信不一样。PC1 的数据包要发给 PC2PC1 会先判断目标 IP 和自己是否在同一个网段。如果不在同一个网段PC1 不会直接把包发到 PC2而是发给自己的网关。网关收到之后再看路由表找到达目标网段的路径然后转发。如果 PC1 没有配置网关或者 PC2 网段根本没有对应的网关数据包就会在“找网关”这一步就停住。所以二层能通只是说你在这个交换机里能看到对方真正能不能互相访问取决于三层网关和路由是否配套。这里就是 vlanif sub 子地址的用武之地。交换机的 VLANIF 接口本来是给一个 VLAN 提供网关的一个接口默认只有一个 IP。但通过配置 sub 子地址可以让同一个 VLANIF 同时具备多个网段网关的能力让 VLAN 内两个甚至多个网段通过这个接口完成三层转发。2. VLANIF 用 sub 子地址本质是给同一个逻辑接口加多个网关2.1 VLANIF 主地址与 sub 子地址的区别VLANIF 是交换机上用于三层转发的逻辑接口它和某个 VLAN 绑定通常配置一个 IP 地址作为该 VLAN 内主机的网关。比如 VLAN 10 里都是 192.168.1.0/24 的主机就给 VLANIF 10 配置 192.168.1.1/24。在这个基础上再敲一条命令给同一个 VLANIF 接口多配一个 IP这个新增的 IP 就叫 sub 子地址。注意华为设备上这条命令的末尾要带sub关键字比如interface Vlanif 10 ip address 192.168.1.1 255.255.255.0 ip address 192.168.2.1 255.255.255.0 sub执行之后VLANIF 10 就同时拥有 192.168.1.1 和 192.168.2.1 两个地址。前者是主地址后者是 sub 子地址。主地址可以理解成这个接口最核心的身份sub 子地址则是附加上去的“第二身份”。在交换机内部这两个地址都会生成直连路由。192.168.1.0/24 和 192.168.2.0/24 都被认为是该设备直连的网段。数据包到达交换机后交换机查路由表发现目标网段是直连网段就会直接通过 VLANIF 10 把包转发出去。2.2 为什么不用新建 VLAN 来解决问题有人会问既然多网段了为什么不干脆新建一个 VLAN再配置一个 VLANIF把不同网段分开这个思路在新建网络时完全正确。但这里讨论的场景是“已经跑在同一个 VLAN 里的主机”不是从零规划。新建 VLAN 意味着要重新划分端口把 VLAN 10 里一部分端口改成 VLAN 20。如果多数端口下面都接了终端这个改动会影响所有接在端口上的设备。端口切换 VLAN 的瞬间终端会掉线配置了 DHCP 的还要重新获取地址。对于不能中断的业务来说这种改动风险很高。还有另一种情况就是交换机端口不足。一个接入交换机只有 24 个端口如果已经全部划到 VLAN 10再建 VLAN 20 就需要空余端口或者重新改端口配置。而 vlanif sub 子地址不需要动任何端口配置只需要在逻辑接口上加一个 IP终端网关指到对应地址就行。从改动范围来看sub 子地址的侵入性最小。2.3 边界sub 地址不是无限能力这个方案也有边界。同一个 VLAN 里依然是同一个广播域广播报文还是会到达所有主机。如果 VLAN 里接入的设备特别多或者有故障网卡产生大量广播包整个 VLAN 的性能都会受影响。sub 子地址解决的是“跨网段三层通信”的问题不解决“广播域过大”的问题。另外sub 子地址不能替代真正的 VLAN 隔离。如果你需要把两个部门彻底隔开不允许互相访问只配 sub 子地址是做不到的。sub 子地址把不同网段聚在一个接口下反而让它们更容易互通。要隔离必须使用 VLAN 接口划分配合 ACL 或防火墙策略。所以在用这个方案之前先判断自己的核心诉求是“互通”还是“隔离”。如果是互通sub 子地址是合适的。如果是隔离不要走这条路。3. 配置前先规划好拓扑和 IP设备条件别忽略3.1 推荐拓扑与 IP 规划表下面给一个简化但完整的例子。假设有一台三层交换机型号是华为 S5720也可以换其他支持 VLANIF 三层接口的三层交换机。拓扑如下交换机端口 GE0/0/1 接 PC1交换机端口 GE0/0/2 接 PC2两个端口都属于 VLAN 10交换机上行口接核心交换机或者服务器IP 规划如下对象IP 地址掩码网关VLANIF 10 主地址192.168.1.1255.255.255.0-VLANIF 10 sub 子地址192.168.2.1255.255.255.0-PC1192.168.1.10255.255.255.0192.168.1.1PC2192.168.2.10255.255.255.0192.168.2.1这里有一个关键点PC1 的网关是 VLANIF 10 的主地址 192.168.1.1PC2 的网关是 VLANIF 10 的 sub 子地址 192.168.2.1。两个网关实际上在同一个 VLANIF 接口上MAC 地址很可能是同一个对应同一个逻辑接口。这是正常的不用觉得奇怪。3.2 设备条件与查看命令配置之前确认设备是否为三层交换机。像 S5720、S5700、S3700 这类支持 VLANIF 三层接口的设备都可以。如果是纯二层交换机一般不支持 VLANIF 三层转发那就需要换设备或者借助路由器。低端 S1700 之类的设备可能没有 VLANIF 三层能力这一点先确认免得折腾半天才发现设备不支持。登录设备后先看当前 VLAN 和端口状态。华为设备常用这几条display vlan display interface brief display ip interface brief第一条看 VLAN 是否已经创建VLAN 10 里有哪些端口。第二条看端口是否 Up状态是否正常。第三条看三层接口上已经有哪些 IP避免和现有地址冲突。另外要注意如果交换机上已经有其他接口使用了 192.168.1.1 或 192.168.2.1就不能再给 VLANIF 配置同样的地址。地址冲突会导致 ARP 和路由表异常表现为时通时不通。注意配置前先备份当前配置。华为交换机可以用display current-configuration查看也可以直接保存配置。改动之前留一个可回退的副本生产环境尤其重要。4. 实际配置步骤VLANIF 主地址加 sub 子地址命令就这几条4.1 最小配置流程下面进入实操。整段配置的核心命令很短但顺序不能乱。第一步创建 VLAN 10并把两个端口加入 VLANsystem-view vlan 10 quit interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit如果端口原来已经划分到 VLAN 10这步可以跳过。如果端口有多个 VLAN 需求也可以改成 trunk 接口允许 VLAN 10 通过。但接入终端一般是 access 口更方便。第二步进入 VLANIF 接口配置主地址interface Vlanif 10 ip address 192.168.1.1 255.255.255.0第三步配置 sub 子地址注意末尾必须带subip address 192.168.2.1 255.255.255.0 sub到这里VLANIF 10 就有两个地址了。4.2 配置命令的含义与细节ip address 192.168.2.1 255.255.255.0 sub这段里前面的 IP 和掩码是子地址本身最后的sub是告诉设备这个地址是从地址。如果没有sub设备会认为你要把主地址改成 192.168.2.1而不是追加一个地址。这一字之差会导致完全不同的效果。这里还要解释为什么不能直接在同一个 VLANIF 下敲多条ip address命令。在华为设备上一个三层接口默认只能有一个主 IP。如果再配置一个不带sub的 IP旧地址会被替换掉。所以追加地址时一定要带sub。如果需要再加第三个网段可以再敲一条ip address 192.168.3.1 255.255.255.0 sub这样一个 VLANIF 接口可以挂好几个网段都能作为网关使用但要注意不要配太多。每多一个 sub 地址就多一条直连路由广播域里的终端数量也更多。正常情况下两三个网段可以接受再多就该重新规划 VLAN 了。配置完成后可以用下面的命令确认display current-configuration interface Vlanif 10返回结果里应该能看到两条ip address其中第二条带sub关键字。4.3 查看配置和路由关键验证点在于路由表。执行display ip routing-table正常情况下路由表里会出现两条直连路由192.168.1.0/24 Direct 0 0 192.168.1.1 Vlanif10 192.168.2.0/24 Direct 0 0 192.168.2.1 Vlanif10这两条路由表示交换机认为自己同时直连 192.168.1.0/24 和 192.168.2.0/24。PC1 发到 192.168.2.10 的包到达交换机后交换机查路由表发现目标网段直连就直接从 VLANIF 10 转发出去不再需要其他路由。如果路由表里只有一条 192.168.1.0/24说明 sub 子地址没有配置成功回到接口配置再检查一下是否漏了sub。注意这个配置完成之后交换机本身不需要再额外加静态路由因为这两个网段都是直连。但如果 PC1 和 PC2 的通信路径上还有其他三层设备比如 PC1 的网关是路由器而不是这台交换机那就需要另外处理。这里讨论的场景是交换机 VLANIF 本身就是终端的网关。5. 验证连通性ping、ARP、路由表、抓包一条条来5.1 第一步ping 之前先确认网关配置完别急着直接去 PC1 上 ping PC2。先看两个终端的网关是否正确。PC1 上执行ipconfig /all确认 IP 是 192.168.1.10网关是 192.168.1.1。PC2 上执行同样的命令确认 IP 是 192.168.2.10网关是 192.168.2.1。如果终端网关配置错了比如 PC2 把网关指向 192.168.1.1而 PC2 自身是 192.168.2.10那 PC2 发出去的包到达 VLANIF 10 后交换机虽然收到了但回包时可能从主地址发出的源 IP 是 192.168.1.1PC2 收到后发现源地址和自己不在一个网段丢包。这类问题看着像交换机配置错误实际是终端网关配置问题。5.2 使用 display 命令定位问题确认终端网关没问题后再从交换机侧逐步验证。先在交换机上看 VLANIF 接口的 IP确保已经有 sub 地址display ip interface brief再查看 ARP 表确认交换机是否学习到了两台 PC 的 MACdisplay arp | include 192.168.1.10 display arp | include 192.168.2.10正常情况下交换机应该同时学到这两个 IP 对应的 MAC。如果 PC1 的 ARP 学不到优先怀疑 PC1 到交换机端口的二层链路是否有问题。如果 PC2 的 ARP 学不到同理。ARP 能学到但 ping 不通再看路由表是否完整。执行display ip routing-table 192.168.2.0如果返回结果中有一条直连路由说明交换机到 192.168.2.0/24 的路径没有问题。如果返回空说明 sub 地址没生效。还有一种情况是交换机学到了 ARP路由也有但 PC1 ping PC2 仍然超时。这时候最直接的验证方式是在交换机上做 ping 测试。比如在交换机上分别 ping PC1 和 PC2ping 192.168.1.10 ping 192.168.2.10如果交换机都能 ping 通两台 PC说明交换机作为网关的三层转发没有问题问题很可能出在 PC2 的防火墙或者 PC2 的网关没有指向 sub 地址。5.3 从抓包看转发过程如果条件允许可以在 PC1 上抓包看 PC1 ping PC2 时发生了什么。PC1 发送的第一个包一般是 ARP 请求请求解析网关 192.168.1.1 的 MAC。收到网关 MAC 后PC1 把 ICMP 请求包发给网关。交换机收到之后查路由表发现目标网段是 192.168.2.0/24直连于是再发一个 ARP 请求解析 192.168.2.10 的 MAC。拿到 MAC 后交换机把 ICMP 请求包转发给 PC2。PC2 回复时也走同样的流程。如果抓包只看到 PC1 发出对网关的 ARP 请求没有后续说明 PC1 到 VLANIF 10 主地址这一段有问题。如果看到 PC1 的 ICMP 请求已经发出但交换机没有回应 ARP 请求解析 PC2说明交换机上没有 PC2 的直连路由或 ARP 没有学到。抓包能帮你明确问题发生在哪一段是 PC1 到网关还是交换机转发还是 PC2 到网关。这一步比连续 ping 更直观。6. 常见报错和排查顺序不要一上来就怀疑配置6.1 配置阶段常见报错配置 VLANIF sub 子地址时最常见的报错是Error: The specified IP address is invalid.出现这个提示先检查掩码是否和子网段一致再检查是否和其他接口的 IP 冲突。比如主地址是 192.168.1.1/24sub 地址写成 192.168.1.2/24主地址和 sub 地址在同一个网段设备会认为地址冲突直接拒绝。还有一种情况是 VLANIF 接口不存在。如果 VLAN 10 还没创建直接进interface Vlanif 10会报错。必须先有 VLAN才能创建对应的 VLANIF 接口。interface Vlanif 10如果提示接口不存在先回全局配置vlan 10 quit再创建 VLANIF。另外要检查端口是否已经加入 VLAN 10。如果端口没加进去VLANIF 接口即使有 IP端口下的终端也无法二三层转发。6.2 运行阶段常见故障配置好之后终端之间 ping 不通常见原因有下面几种。终端网关配置错误。PC2 的网关应该是 192.168.2.1如果被填成 192.168.1.1那 PC2 发出去的数据包到达 VLANIF 10 后源 IP 是 192.168.2.10目的 IP 是 192.168.1.10交换机查到路由后把包转给 PC1PC1 回包时目的 IP 是 192.168.2.10会发给自己的网关 192.168.1.1交换机收到后再转发给 PC2。这一来一回看起来也能通但很多高层协议对源地址有校验不匹配时会丢包。所以网关必须严格对应。PC2 的防火墙拦截了来自 192.168.1.0/24 的流量。Windows 的防火墙默认会拦截部分 ping 请求。测试时可以先关闭防火墙或者在防火墙上放行 ICMP。确认网络通后再把防火墙策略打开避免留下安全隐患。中间还有一层是交换机本身的 ACL 或者风暴控制策略。有些设备在 VLAN 或接口上做了限制比如禁止不同子网之间互访。配置 sub 子地址虽然能生成直连路由但如果 ACL 把流量拦掉了照样不通。排查时要注意看设备上有没有生效的 ACL。6.3 通用排查链路我自己的排查顺序一般是这样的先看终端能否 ping 通自己的网关。PC1 先 ping 192.168.1.1PC2 先 ping 192.168.2.1。哪个不通就先查哪侧的网关和链路。再从交换机 ping 两台终端。交换机 ping 通两端说明交换机侧没有大问题。再让 PC1 ping PC2。如果不通在交换机上重新确认路由表和 ARP。看 PC2 是否回包。回包路径上如果有问题可能是 PC2 的网关或防火墙。最后检查交换机是否配置了 ACL、端口隔离、风暴控制等可能干扰转发的策略。这个顺序的好处是每一层都能独立验证。你先确认“终端到网关通”再确认“网关到另一台终端通”最后才能确定问题在 PC2 自身还是交换机策略上。很多人一上来就在 PC1 上 ping PC2失败后直接改交换机配置最后发现是 PC2 防火墙的事白折腾半天。注意如果 PC1 ping 通 PC2但反过来 PC2 ping 不通 PC1优先检查 PC1 的防火墙或 PC1 网关配置。这种单向通的情况多半不是交换机的问题。7. 这类方案的上限与替代选择什么时候该用什么时候该改7.1 三个方案的对比vlanif sub 子地址适合快速解决“同一个 VLAN 多网段互通”的问题但它并不是唯一方案。放一起对比会更清晰。方案改动范围是否改变广播域适用场景VLANIF sub 子地址只加一条命令不改变仍然是同一广播域已有 VLAN 内多网段互通终端不能改 IP端口不能动新建 VLAN VLANIF需要改端口所属 VLAN终端改网关改变不同 VLAN 隔离广播域网络重新规划可以接受端口和终端配置变更Super-VLAN / VLAN 聚合需要配置聚合 VLAN 和子 VLAN子 VLAN 隔离聚合 VLAN 统一网关海量终端在不同子 VLAN 中需要统一网关出口sub 子地址的优势是快、改动小、对现网影响小。缺点是广播域没有变化隔离性弱。如果只是临时过渡或者终端数量不大这个方案够用。如果两个网段之间的互动非常频繁而且后续还要扩容我更建议考虑新建 VLAN 配合路由。因为 sub 子地址虽然能让两个网段互通但所有流量都从同一个 VLANIF 接口转发很多性能监控、流量分析、安全策略都不好针对不同 VLAN 分别生效。长期看真正的 VLAN 划分更清晰。7.2 生产落地的运维建议在生产环境里配这类命令我有几个实际建议。第一把 sub 地址的用途写进备注。可以用设备的 description 命令给接口加说明也可以在自己的 IP 规划文档里记录。比如 VLANIF 10 的主地址是 192.168.1.1sub 地址 192.168.2.1 的用途是“临时接入 192.168.2.0/24 摄像头网段”。不写清楚半年后你自己也未必记得当年为什么加这个地址。第二配置完成后一定要保存。华为设备执行save确认配置文件已经保存到设备中。否则交换机一重启配置全部丢失终端立刻断网。第三如果有多台交换机做堆叠或者集群要注意 Vlanif 配置在堆叠系统中是全局生效的。只要 VLAN 在主交换机上存在VLANIF 接口就可以配置。但端口必须在对应槽位和 VLAN 中否则数据还是会走错路径。第四巡检时多加一条命令检查 VLANIF 接口的 sub 地址是否仍然需要。很多临时方案用着用着就变成长期方案了。半年后复盘如果发现某个 sub 地址对应的网段已经迁移到新的 VLAN应该及时删除不再使用的 sub 地址减少路由表和广播域复杂度。删除命令是undo ip address 192.168.2.1 255.255.255.0 sub执行后确认路由表里对应的直连路由已经消失再检查该网段终端是否已经迁移到新网络。7.3 一个更稳妥的思考方式回到最开始的问题同一 VLAN 里出现两个网段本质上是规划出了问题。vlanif sub 子地址是一个不错的补救工具但它解决的是眼前通不通的问题不是结构要不要优化的答案。我的建议是短期用 sub 子地址恢复业务中期把网段、终端、网关、部门关系梳理成一张表长期在方便割接的时间窗口内把 VLAN 重新调整到位。不能因为一个命令好使就一直让它撑在那里。网络这块清晰的结构比复杂的技巧重要得多。如果你现在环境里已经有一台三层交换机终端又没法马上改 IPvlanif sub 子地址是值得先试的方案。一条命令的改动就能让 192.168.1.0/24 和 192.168.2.0/24 互通。配置完记得按上面的验证顺序走一遍重点看 ARP、路由表和终端防火墙这三个环节。
