4. 子网配置实战：在路由器/交换机上配置子网接口、VLAN间路由

4.1 核心原理：为什么需要子网接口与VLAN间路由

在真实企业网络中，一个广播域内设备数量过多会带来广播风暴、安全隔离困难、故障定位复杂等问题。将网络划分为多个子网（VLAN）后，不同子网之间默认无法通信，因为它们属于不同的广播域。此时就需要三层设备（路由器或三层交换机）提供子网接口，并启用VLAN间路由，让不同子网的终端可以互相访问。

子网接口有两种典型形态：

• 路由器子接口（Router Sub-interface）：在路由器的物理以太网口上，通过 dot1q 封装创建多个逻辑子接口，每个子接口对应一个VLAN，并配置独立的IP地址作为该VLAN的网关。
• 三层交换机VLANIF接口（SVI）：在交换机上创建VLAN后，为每个VLAN配置一个虚拟三层接口（VLANIF），并分配IP地址。三层交换机内部通过硬件芯片完成VLAN间的高速路由转发。

4.2 方法流程：路由器子接口配置步骤

以华为AR系列路由器为例，配置子接口实现VLAN间路由的完整流程如下：

1. 在交换机上创建VLAN，并将端口划分到对应VLAN，上联口配置为Trunk。
2. 在路由器物理接口下创建子接口，使用 dot1q termination vid 封装VLAN标签。
3. 为每个子接口配置IP地址，作为对应VLAN内终端的网关。
4. 启用ARP广播（华为设备需执行 arp broadcast enable）。
5. 配置终端默认网关，指向对应子接口的IP地址。

# 交换机 SW1 配置
vlan batch 10 20 30
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
# 其余端口类似，分别划入 VLAN 20、30

# 路由器 R1 配置
interface GigabitEthernet0/0/0.10
 dot1q termination vid 10
 ip address 192.168.10.1 255.255.255.0
 arp broadcast enable
#
interface GigabitEthernet0/0/0.20
 dot1q termination vid 20
 ip address 192.168.20.1 255.255.255.0
 arp broadcast enable
#
interface GigabitEthernet0/0/0.30
 dot1q termination vid 30
 ip address 192.168.30.1 255.255.255.0
 arp broadcast enable

4.3 案例/场景：三层交换机VLANIF配置

对于纯二层交换机+路由器的组网，子接口方式非常实用。但如果网络规模较大、VLAN间流量密集，推荐使用三层交换机直接配置VLANIF接口，转发性能远优于路由器子接口。以下是一个典型办公网案例：

# 三层交换机 S5700 配置
vlan batch 10 20 30
#
interface Vlanif10
 ip address 192.168.10.254 255.255.255.0
#
interface Vlanif20
 ip address 192.168.20.254 255.255.255.0
#
interface Vlanif30
 ip address 192.168.30.254 255.255.255.0
#
# 各接入端口划分VLAN，此处省略

配置完成后，在PC-A（192.168.10.10）上测试连通性：

C:\> ping 192.168.20.10
Pinging 192.168.20.10 with 32 bytes of data:
Reply from 192.168.20.10: bytes=32 time<1ms TTL=127
Reply from 192.168.20.10: bytes=32 time<1ms TTL=127

如果ping不通，按以下顺序排查：

• 检查终端IP、掩码、网关配置是否正确。
• 在交换机上执行 display ip interface brief 确认VLANIF接口状态为UP。
• 检查端口是否划分到正确的VLAN，Trunk口是否放行了对应VLAN。
• 检查终端防火墙是否拦截ICMP。

4.4 误区/复盘：子接口与VLANIF的选型陷阱

误区一：路由器子接口数量越多越好。实际上，路由器子接口共享物理接口的带宽，当多个VLAN同时进行大流量转发时，会形成带宽瓶颈。例如千兆物理口下，三个VLAN各占约333Mbps理论带宽。而三层交换机的VLANIF接口由硬件芯片转发，各VLAN间可达到线速交换。

误区二：子接口的VLAN编号必须与IP网段对应。虽然为了便于管理通常一一对应，但技术上VLAN ID与IP网段没有强制绑定关系。不过强烈建议保持对应，否则后期排障时极易混淆。

误区三：配置完VLANIF后忘记启用VLAN。在华为设备上，如果VLAN未被创建或未包含任何物理端口，VLANIF接口会处于DOWN状态。必须确保VLAN已创建且至少有一个Access口或Trunk口放行该VLAN。