1. 单臂路由实验思路为什么这个老技术还值得亲手做一遍做网络工程或者刚入行运维的朋友对“单臂路由”这个词应该都不陌生。它几乎是所有网络教程里必讲的一个实验也是我在带新人时一定会让他们动手做的基础实验之一。简单来说单臂路由英文叫Router-on-a-Stick是一种用一台路由器、一条物理链路就能实现不同VLAN之间三层互通的技术方案。你可能会有疑问现在企业里动不动就是三层交换机VLAN间路由用交换机上配个SVI交换虚拟接口就搞定了为什么还要折腾路由器这个问题的答案恰恰是这个实验存在的价值。单臂路由解决的是“没有三层交换机或者不想让交换机承担三层转发压力”时的场景。比如你手头只有一台老旧的路由器再配一台普通的二层交换机想让两个VLAN内的电脑能互相访问单臂路由就是成本最低、最容易理解的方案。而且从学习角度讲单臂路由实验是理解“VLAN标签怎么在链路上传递”“子接口是什么”“802.1Q封装到底做了什么”这些核心概念的最佳入口。我见过不少新人VLAN和Trunk的概念背得滚瓜烂熟但一问到“不同VLAN的包到底是怎么穿过Trunk链路去找网关的”就卡壳。亲手做完单臂路由实验这个链路就通了。这个实验适合谁来练手我认为所有网络方向的学生、刚入行的网络运维、以及准备考HCIA或CCNA认证的朋友都应该在模拟器里完整做一遍。哪怕你所在的公司用不到这个技术理解它的原理对你排查网络故障也有很大帮助。毕竟生产环境里偶尔还能碰到一台路由器作为VLAN网关的奇葩组网原理不懂出问题的时候你连排查方向都没有。我自己当年学这个实验的时候网上资料虽然多但大多是直接甩配置命令基本不讲为什么。这次我把实验重新梳理了一遍从整体设计、子接口原理、具体配置到故障排查用我的实际经验把整个过程讲透。2. 实验拓扑设计与VLAN规划动手前先想清楚这几个问题2.1 实验需要哪些设备和基础拓扑做这个实验首先得有一台路由器、一台二层交换机还有至少两台PC用来测试不同VLAN之间的连通性。我用的模拟器是Cisco Packet Tracer版本无所谓7.x就行。你要是用EVE-NG或者GNS3拿真实IOS镜像做也是一样的道理命令完全通用。拓扑结构很简单我画了个最经典的接法PC1接在交换机的FastEthernet0/1口属于VLAN 10IP地址规划为192.168.10.0/24网段。PC2接在交换机的FastEthernet0/2口属于VLAN 20IP地址规划为192.168.20.0/24网段。交换机的FastEthernet0/24口作为Trunk口连接路由器的GigabitEthernet0/0接口。路由器上不做物理接口的IP配置而是把这个物理接口划分成两个子接口G0/0.10和G0/0.20分别对应VLAN 10和VLAN 20的网关。这里要特别提醒一点两个PC要设置好各自的默认网关。PC1的网关是192.168.10.1PC2的网关是192.168.20.1。为什么一定要设网关因为PC发出跨网段通信的包时它会发现目标IP和自己的IP不在同一个网段于是直接把包扔给默认网关。如果不设置网关哪怕路由器配置得再完美数据包也到不了路由器实验必失败。这个看似基础的点我在帮人排查问题的时候发现至少有三分之一的情况是栽在这里。2.2 为什么必须用Trunk链路而不是Access链路很多新手在搭这个拓扑时会犯一个根深蒂固的错误觉得交换机的F0/24连的是路由器配成Access口不就行了这里面的关键理解在于交换机连接路由器的这条链路必须同时承载VLAN 10和VLAN 20两个VLAN的流量。如果把它配成Access口并划到某个VLAN那交换机在往这个端口发送数据帧时会把这个端口所属VLAN的标签给剥掉其他VLAN的流量根本就不会从这台口上发出去。这就意味着要么只有VLAN 10能跟路由器通信要么只有VLAN 20能通信永远不可能做到两个VLAN都通。所以这条链路必须是Trunk口。Trunk口的作用是允许多个VLAN的流量通过并且数据帧在穿过这条链路时保持802.1Q的VLAN标签不剥离。路由器收到这些带标签的数据帧后才能根据标签判断这个包属于哪个VLAN再交给对应的子接口去处理。交换机上F0/24的配置如下interface FastEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20需要说明的是在Cisco交换机上只要这条链路两端的设备都支持DTP动态中继协议你直接配switchport mode trunk就行它会自动协商。有些老设备会出现协商不上的情况稳妥一点的做法是把对端也手动指定为trunk模式。当然这里对端是路由器路由器接口没有trunk概念只有子接口的封装配置所以交换机这边手动指定trunk就对了。2.3 VLAN划分和IP地址规划明细这个实验里VLAN和IP的规划我按照最常见的做法来定设备所属VLANIP地址网关说明PC1VLAN 10192.168.10.10/24192.168.10.1模拟办公网段PC2VLAN 20192.168.20.10/24192.168.20.1模拟研发网段路由器子接口G0/0.10VLAN 10192.168.10.1/24无VLAN 10网关路由器子接口G0/0.20VLAN 20192.168.20.1/24无VLAN 20网关其实IP地址用什么都行只要两个网段不冲突并且网关地址和路由器子接口地址一致即可。但强调一下规划的时候一定要考虑后面的扩展。比如你把PC1的IP配成192.168.1.10PC2配成192.168.2.10网段之间差别不够直观排查的时候就容易看得眼花缭乱。建议直接用10、20这种和VLAN编号对应的网段一眼就能看出哪个IP属于哪个VLAN省去很多麻烦。3. 子接口与802.1Q封装单臂路由最核心的原理拆解3.1 什么是路由器的子接口路由器上我们通常配置的是物理接口比如GigabitEthernet0/0。但如果我们直接把物理接口划到一个IP网段里它就只能作为这一个网段的网关。要让一个物理接口同时承担多个网段的网关职责就得把这个物理接口“分裂”成多个逻辑接口这就是子接口。子接口的编号规则是“物理接口编号.子接口编号”比如G0/0.10、G0/0.20。它不是一个真实的物理插槽或端口而是路由器内部创建的一个逻辑处理单元。每个子接口可以独立配置IP地址也可以独立封装不同的VLAN标签。数据帧到达物理接口后路由器会根据帧里携带的802.1Q标签值决定把它交给哪个子接口去处理。这在概念上很像在一间办公室里隔出不同的工位区域物理空间是同一个房间物理接口但每个区域各干各的活子接口。数据帧就像走进这间办公室的人门口的保安看一眼他身上贴的标签VLAN ID就告诉他去哪个区域报到。3.2 802.1Q标签的作用与封装过程802.1Q也叫Dot1Q是一种在以太网帧中插入VLAN标签的协议标准。标准以太网帧本来没有VLAN字段802.1Q在源MAC地址和类型/长度字段之间插入了4个字节其中用12个比特位来标识VLAN ID取值范围是0到4095。交换机在Access口收到PC发来的普通数据帧时会打上这个端口所属VLAN的802.1Q标签。这个带标签的帧通过Trunk口传给路由器。路由器物理接口收到后一看帧里有标签就知道这是VLAN 10的帧于是把它交给配置了encapsulation dot1Q 10的子接口G0/0.10来处理。子接口解封装后取出里面的IP包查路由表发现目标网段192.168.20.0/24是直连网段通过子接口G0/0.20于是把数据包重新封帧从G0/0.20转发出去。VLAN 20那边的PC收到回复包后整个流程反过来再来一遍。这就是单臂路由实现VLAN间通信的完整数据面过程。关键点在于每次转发都要经过“剥标签→查路由→重新打标签”的过程。3.3 路由器如何区分不同VLAN的数据帧路由器区分不同VLAN的数据帧靠的就是帧里的802.1Q标签。这也是为什么子接口上必须配置encapsulation dot1Q vlan-id这条命令。这条命令是在告诉路由器“当物理接口收到标签为X的帧时请交给本子接口处理”。有个很常见的错误做法是只配IP不配封装。比如你在子接口G0/0.10上配置了IP 192.168.10.1但忘了敲encapsulation dot1Q 10。结果就是路由器根本不认这个子接口因为物理接口收上来的帧带着VLAN 10的标签但路由器不知道VLAN 10的帧应该匹配哪个子接口。数据包到了路由器就被丢弃你ping不通查配置发现IP看着好像没问题非常容易卡在这一步排查半天查不出来。封装命令的格式在不同厂商设备上略有差异。Cisco上是encapsulation dot1Q 10华为上是dot1q termination vid 10但逻辑完全一样。理解了这个原理你在任何厂商设备上都能快速上手。4. 单臂路由完整配置过程与验证方法4.1 交换机配置步骤先说明一下我这里全程用Cisco Packet Tracer里的设备做演示。你们在真机上操作时的命令顺序可以稍有不同但核心内容一样。交换机上的配置很简单一共三部分创建VLAN、划分接口到VLAN、配置Trunk口。第一步创建VLAN 10和VLAN 20vlan 10 name VLAN10 vlan 20 name VLAN20第二步把F0/1划分到VLAN 10F0/2划分到VLAN 20interface FastEthernet0/1 switchport mode access switchport access vlan 10 interface FastEthernet0/2 switchport mode access switchport access vlan 20第三步配置F0/24为Trunk口interface FastEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20这里有个小细节在Packet Tracer里交换机的switchport trunk allowed vlan这条命令默认情况下Trunk口是允许所有VLAN通过的。所以如果你不写这条命令其实Trunk口也能转发VLAN 10和VLAN 20的流量。但显式地把它写出来第一是为了安全避免其他VLAN的流量意外跑到路由器上第二也是更重要的是让你自己清楚这条Trunk链路到底承载了哪些VLAN。生产环境里我强烈建议你这样做有些网络工程师图省事所有Trunk口都保留默认的allow all安全审计的时候这就是一个妥妥的批评点。另外提醒一下Cisco交换机如果要对端是路由器建议在F0/24上加上switchport nonegotiate。不然交换机可能会一直向路由器发送DTP协商帧虽然路由器收到后不会回应不会导致故障但没有必要让这些无用的协商帧在链路上跑着玩。4.2 路由器子接口配置步骤路由器上的配置是这个实验的精华所在。先说物理接口再创建子接口。物理接口需要做的就是把它开启并且不要配置IP地址interface GigabitEthernet0/0 no shutdown有人可能会问为什么不给物理接口配IP因为物理接口的职责只是接收和发送带标签的数据帧它本身不承担三层网关的功能所以不需要IP。真正干活的是子接口。接下来创建子接口G0/0.10对应VLAN 10interface GigabitEthernet0/0.10 encapsulation dot1Q 10 ip address 192.168.10.1 255.255.255.0再创建子接口G0/0.20对应VLAN 20interface GigabitEthernet0/0.20 encapsulation dot1Q 20 ip address 192.168.20.1 255.255.255.0这就完成了。核心命令就这四条。但这里有几个我踩过的坑逐一说给你听。第一个坑配置子接口时很多人会顺手在物理接口上配置了IP地址。一旦物理接口有了IP子接口就算配置了也没用。因为路由器的路由表里物理接口直连的那个网段会影响整个选路逻辑而且数据帧在物理接口上直接就被处理了压根不会按照标签分给子接口。所以记住物理接口上坚决不配置IP。第二个坑子接口没有开启和关闭的概念它随物理接口。只要物理接口是up的子接口就是up的。所以如果你想重启子接口只需要对物理接口执行shutdown再no shutdown即可。第三个坑在Cisco路由器上子接口默认不会启动。虽然你创建了子接口但如果你不敲encapsulation dot1Q命令这个子接口就不会转发任何数据流量。这也是很多人配置完发现ping不通时容易忽略的点。你查show ip interface brief子接口状态是up但就是不通原因往往就是没封装VLAN或封装错了编号。4.3 连通性验证与常用排查命令配置完成后怎么验证实验是否成功我建议按以下顺序层层验证。第一步验证接口状态。在路由器上执行show ip interface brief输出里应该能看到G0/0.10和G0/0.20都是up/up状态。如果显示down/down或者up/down那说明物理链路有问题或者子接口封装配置有问题。顺便看一眼PC的网卡状态是否正常ARP能不能解析到网关。第二步验证PC到网关的连通性。在PC1上ping 192.168.10.1这测试的是PC1能不能到自己的网关。如果这一步不通别急着看路由器配置先检查PC1的IP地址和网关是否配对了再检查交换机F0/1是否划到了正确的VLAN。我遇到过很多次配置半天发现是PC的IP和网关不在同一个网段纯属手误。第三步验证跨VLAN通信。在PC1上ping 192.168.20.10。如果通了实验就成功了。如果不通那你需要在路由器上抓包或者进一步排查。还有一个反向验证的思路也特别好用。你可以在交换机上查看MAC地址表执行show mac address-table。正常情况下在PC1 ping完PC2之后你应该能看到交换机的F0/24口上学习到了路由器的MAC地址而且这个MAC地址出现在多个VLAN的表项里。这就证明Trunk链路确实在承载多个VLAN的流量。4.4 华为设备配置参考现在国内很多企业用华为设备我把华为的配置命令也贴出来方便你们对照学习。逻辑完全一样只是语法不同。交换机上的配置vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20路由器上的配置interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable华为路由器上有一句arp broadcast enable很多教程里都会提到。这是因为华为路由器子接口默认不处理广播报文而ARP请求就是广播报文。如果不开启这个功能PC发ARP请求想解析网关MAC地址的时候路由器收到广播包会直接丢弃PC永远学不到网关的MAC无法通信。Cisco设备上默认允许子接口处理广播所以没有这个问题。这个差异点很值得记下来跨厂商排查时非常有用。5. 实验中的核心原理复盘数据帧在单臂路由中的完整流转路径实验做完连通性也验证通过了如果你只是到这里就收工那这个实验的学习价值就少了一大半。真正要理解的是PC1和PC2通信时数据帧在每一条链路上到底是什么样子的。我把完整的数据流转路径拆解一遍你跟着走一遍很多概念就能串起来了。第一步PC1发起ping 192.168.20.10。PC1检查自己的IP和目标的IP发现不在同一个网段一个是192.168.10.0/24一个是192.168.20.0/24于是它决定把数据包发给默认网关192.168.10.1。PC1需要知道网关的MAC地址于是发送ARP请求广播询问“谁是192.168.10.1”。第二步这个ARP请求广播帧从PC1发出到达交换机F0/1口。交换机发现F0/1属于VLAN 10于是给这个帧打上VLAN 10的标签然后在VLAN 10内部泛洪。由于F0/24是Trunk口且允许VLAN 10通过这个带VLAN 10标签的帧通过Trunk链路发到了路由器G0/0物理接口。第三步路由器物理接口收到这个带VLAN 10标签的帧根据标签值10把它交给子接口G0/0.10。子接口G0/0.10处理完ARP请求把自己的MAC地址作为应答返回。回程的ARP应答帧从路由器发出时同样带着VLAN 10的标签经过交换机后交换机在F0/1口把标签剥掉以普通数据帧的形式交给PC1。此时PC1已经学到了网关的MAC地址。第四步PC1发出真正的ICMP Echo Request包目的MAC是网关MAC目的IP是192.168.20.10。这个包同样被交换机打上VLAN 10标签通过Trunk链路传给路由器最终交给G0/0.10子接口。第五步G0/0.10子接口剥掉VLAN 10标签取出里面的IP包查询路由表。路由表里有两个直连网段192.168.10.0/24在G0/0.10192.168.20.0/24在G0/0.20。目标地址192.168.20.10匹配第二个网段所以路由器把数据包从G0/0.20子接口转发出去封装VLAN 20标签从物理接口发出。第六步交换机从F0/24口收到这个带VLAN 20标签的帧由于F0/2属于VLAN 20交换机把标签剥掉把原始帧从F0/2口发给PC2。PC2收到ICMP Echo Request发现目标IP就是自己于是回复Echo Reply。回程路径完全对称。整个流程走完你会发现单臂路由的一个很明显的特性南北向流量PC到网关和东西向流量PC到PC全部都要经过路由器。而不像三层交换机那样可以在交换机内部直接完成VLAN间转发。这既是单臂路由的优势简单、低成本也是它最大的瓶颈所有流量绕一圈路由器成了性能瓶颈。所以生产环境里单臂路由通常只用于流量较小的场景大流量场景基本不会用。但这个实验的原理和三层交换机内部转发数据包的方式高度相似把单臂路由吃透了你理解三层交换的硬件转发逻辑会容易很多。6. 单臂路由实验的扩展思考与常见误区6.1 单臂路由和三层交换机选哪个做实验的时候可以顺便思考一个生产层面的问题什么情况下用单臂路由什么情况下应该用三层交换机我的经验是如果只是临时组网、实验室环境或者路由器本来就是网络中的核心设备而且性能足够强那单臂路由完全够用。但如果网络中东西向流量非常大比如两个VLAN之间有大量文件共享、数据库访问那单臂路由就不合适了。因为所有流量都要在路由器的子接口之间走一遍路由器CPU就会成为瓶颈。而三层交换机直接查硬件转发表如Cisco的CEF表项转发不经过CPU转发性能是路由器望尘莫及的。所以在正经的生产环境中VLAN间路由基本都用三层交换机上的SVI接口来实现单臂路由更多是在特定场景下作为补充或者备份方案存在。但这不意味着单臂路由不值得学。实际上理解单臂路由的数据帧流转过程是理解三层交换机SVI转发过程的绝佳铺垫。三层交换机SVI的转发逻辑本质上和单臂路由一模一样区别只是转发引擎一个是硬件一个是软件处理位置一个在交换机内部一个在外接路由器。你看懂一个另一个就通了。6.2 实验中最常见的三个配置错误这个实验我帮人排查过很多次最常遇到的问题集中在下面三个地方。第一个是Trunk链路没有正常建立。你配了switchport mode trunk但可能因为DTP协商失败链路实际还是以Access模式在工作。验证方法是在交换机上执行show interfaces trunk看Trunk口是否列出。如果输出为空说明Trunk没起来这时候要么手动指定两端都为trunk要么检查有没有打错接口编号。第二个是VLAN封装编号和交换机上的VLAN划分对不上。比如交换机里VLAN 10在F0/1口但路由器子接口上封装的是encapsulation dot1Q 20那PC1发的帧到路由器后会被交给G0/0.20和G0/0.10的IP完全不搭通信自然失败。排查时在路由器上执行show dot1q vlan或者show vlans可以清晰看到每个子接口对应了哪个VLAN ID一眼就能对照出问题。第三个是PC的网关设置错误。这个虽然看起来入门但在紧急排查时经常被忽略。PC1的网关必须是192.168.10.1PC2的网关必须是192.168.20.1。你要是把PC2的网关也填成192.168.10.1那PC2发出的包会被扔给一个不属于它网段的网关路由器收不到也回不了整个实验必然失败。务必在配置前就把IP规划表列好哪个网段配哪个网关一目了然。6.3 扩展到802.1Q VLAN间路由的更多变体单臂路由实验做完后如果想继续深入可以再做两个变体实验。第一个变体是“Trunk上只允许特定VLAN”。在上面的实验里交换机F0/24的Trunk口如果没有显式限制VLAN默认会允许所有VLAN通过。你可以尝试在Trunk口上限制只允许VLAN 10通过然后观察VLAN 20还能不能和路由器通信。这个实验能帮你理解allowed vlan的实际作用以及Trunk链路两端的VLAN许可列表为什么要严格对齐。第二个变体是“在真实路由器上增加一个VLAN 30两个网段的互通”。比如再增加一个VLAN 30网段192.168.30.0/24交换机上新建VLAN 30F0/3口加入VLAN 30路由器上新建子接口G0/0.30并封装dot1Q 30然后验证三个VLAN两两互通。这个扩展非常有价值因为它能验证你对子接口配置的理解是不是举一反三而不是背命令。6.4 实验后的思考题我给你们留三道思考题能把这几个问题答清楚说明你是真的理解了这个实验而不只是跟着教程敲了一遍命令。第一个问题如果交换机的Trunk口上不允许VLAN 20通过但VLAN 20里的PC配置的网关是192.168.20.1也就是路由器子接口G0/0.20那VLAN 20的PC能ping通自己的网关吗答案是不能。因为Trunk链路不允许VLAN 20的标签通过VLAN 20的ARP请求压根到不了路由器。这个问题考察的是Trunk链路和VLAN标签的联动关系。第二个问题如果路由器上有多个子接口但交换机Trunk口只允许了部分VLAN通过那其他VLAN的子接口状态显示是什么在Cisco路由器上执行show ip interface brief你会发现那些没有流量到达的子接口可能显示为up/up但实际是“假活”。因为子接口是否up取决于物理接口状态而和有没有流量无关。这个问题考察的是接口状态和业务连通性之间的本质区别。第三个问题如果PC1要ping一个公网地址比如8.8.8.8在路由器上配置了默认路由指向运营商的前提下单臂路由能否把这个包送出去可以。PC把包发给网关192.168.10.1路由器在路由表里查找目标地址匹配默认路由从出接口转发出去。这里有个容易忽略的配置点如果路由器上还配置了NAT需要保证NAT匹配的ACL没有搞错内网网段范围。这个问题是把单臂路由和外网通信结合起来思考对后面学NAT非常有帮助。7. 写在最后的一些实操心得这个实验我在学习阶段做过至少五六遍后来带新人也带他们做过很多遍。每次做完都有新的体会最后说几个我自己的经验总结。第一模拟器里做实验没问题不代表真机上就没问题。Packet Tracer对很多细节做了简化处理比如DTP协商、STP收敛这些过程模拟器上基本感知不到。有条件的话建议在真机或者GNS3/EVE-NG的完整IOS镜像里再做一遍那种感觉是完全不一样的。第二这个实验最大的价值在于让你彻底理解VLAN标签的来龙去脉。很多人在配置完单臂路由后对“交换机给数据帧打标签、路由器剥标签重新打标签”这个过程还是模模糊糊的。我建议你在Packet Tracer的模拟模式下把ICMP包从PC1到PC2的整个过程逐帧看一遍观察每个帧在每条链路上是否有VLAN标签、标签值是多少。这个操作能帮你把实验里所有抽象的概念全部落地。第三做网络实验一定要养成“先规划再动手”的习惯。别一上来就敲命令先把拓扑画出来、把IP地址和VLAN规划表写出来、把预期结果写下来然后再配置。这样出了问题你能很快定位到是哪一步没配置对。这个习惯在生产环境的网络割接和变更中尤其重要我见过的很多事故根源都是动手前没有规划清楚。单臂路由虽然是个老技术但它承载着VLAN、Trunk、802.1Q封装、子接口、路由转发这一整套核心知识的串联任务。踏踏实实把这个实验做明白你的网络基础就算是真正扎稳了。如果这个实验做完还有余力下一步我建议你把三层交换机上的SVI配置实验再做一遍对比一下两套方案各自的特点和适用场景这会对你的整体网络架构思维提升非常有帮助。