华为eNSP实战：配置静态路由实现不同VLAN间通信

先调整好心态再动手：很多朋友刚学网络时，都会碰到一个问题——同一个交换机下的电脑，明明连在同一个设备上，但 A 电脑就是 ping 不通 B 电脑。查了一圈发现两台电脑的 IP 地址不在同一个网段，VLAN 也对不上，于是开始怀疑交换机坏了、网线松了、电脑中毒了。其实问题往往没那么复杂，这大概率是没做三层通信配置导致的。

本文就围绕“配置静态路由实现不同 VLAN 不同网段之间的通信”这个主题展开。文章会先讲清楚 VLAN、网段、三层通信这些基础概念，再用华为 eNSP 模拟器做一套完整的组网实战，手把手教大家配置静态路由，最后给出常见故障排查思路和工程实践建议。无论你是刚接触网络的在校学生，还是刚入门的企业网络运维，这篇文章都值得收藏。

1. 背景与核心概念

1.1 VLAN 隔离了广播域，但同时也隔离了通信

VLAN（Virtual Local Area Network，虚拟局域网）的核心作用是把一个物理局域网在逻辑上划分成多个互相隔离的广播域。默认情况下，不同 VLAN 之间是二层隔离的，也就是说——VLAN 10 的设备发出的广播帧、组播帧，VLAN 20 的设备根本收不到。

那 VLAN 10 和 VLAN 20 之间想通信怎么办？这就必须引入三层设备，比如路由器或三层交换机。VLAN 解决的是“隔离”问题，三层路由解决的是“打通”问题。

“不同 VLAN 不同网段”的典型场景如下：

PC1 想访问 PC2，首先要将数据包发给自己的网关（192.168.10.254），然后由网关设备根据路由表决定如何转发到 192.168.20.0/24 网段，最终交给 PC2。这个过程中，网关所在的三层设备必须有一条指向对端网段的路由，否则数据包会被丢弃。

1.2 什么是静态路由

静态路由是由网络管理员手动配置的路由表条目，它告诉路由器“去某个网段的数据包，下一跳应该交给谁”。

例如：

去 192.168.20.0/24 网段的数据包，下一跳交给 192.168.30.2

这就是一条最简单的静态路由。

与动态路由（如 OSPF、RIP）相比，静态路由有以下特点：

• 配置简单：一条命令就能搞定，不需要协议协商。
• 不占用链路带宽：动态路由会有协议报文交互，静态路由没有。
• 路径可控：管理员可以精确指定数据包走哪条路，便于故障排查。
• 缺点：网络拓扑变化时需要手动修改，无法自动适应。

1.3 三层通信的基本前提

要让不同 VLAN 的网段互通，至少满足以下条件：

1. 终端设备配置了正确的 IP 地址和网关。
2. 二层路径可达：交换机 VLAN 划分正确，Trunk 放行对应 VLAN。
3. 三层设备上配置了各 VLAN 的网关地址（接口 IP 或子接口 IP）。
4. 三层设备路由表中存在到达目标网段的路由条目，且下一跳可达。
5. 路径上所有中间设备都配置了正确的路由（常见漏配是只配了去程路由，没配回程路由）。

很多人静态路由配完了还是不通，问题往往就出在“只配了去程，没配回程”，或者“网关设备接口 IP 与 PC 不在同一网段”。这些都是我们要重点排查的对象。

2. 典型组网架构分析

在动手配置之前，先把组网思路理清楚。不同 VLAN 不同网段的三层互通，常见的有三种方案。

2.1 方案一：单臂路由

把一台路由器的物理接口通过子接口的方式划分成多个逻辑接口，每个子接口对应一个 VLAN 的网关。

拓扑示意：

PC1(VLAN10) --- 交换机 --- 路由器 子接口 G0/0/0.10 PC2(VLAN20) --- 交换机 --- 路由器 子接口 G0/0/0.20

路由器和交换机之间只有一根物理链路，通过 802.1Q Trunk 允许 VLAN 10、VLAN 20 通过。

2.2 方案二：三层交换机 + VLANIF 接口

在三层交换机上创建 VLANIF 接口，分别配置 VLAN 10 和 VLAN 20 的网关 IP，启用交换机的三层路由功能。

拓扑示意：

PC1(VLAN10) --- 三层交换机 VLANIF10: 192.168.10.254 PC2(VLAN20) --- 三层交换机 VLANIF20: 192.168.20.254

三层交换机本身就是三层设备，可以同时作为两个 VLAN 的网关，不同 VLAN 的流量可以直接在三层交换机内部路由。这种方式在园区网中非常常见。

2.3 方案三：多台路由器 + 静态路由

如果两台终端不在同一个园区，而是分布在不同地理位置，分别接在不同的路由器下，这时就需要在路由器之间配置静态路由，逐跳打通。

拓扑示意：

PC1(VLAN10) --- LSW1 --- AR1 --- 互联链路 --- AR2 --- LSW2 --- PC2(VLAN20)

AR1 和 AR2 之间通过一个独立的互联网段（例如 192.168.30.0/30）相连，AR1 要配置去往 192.168.20.0/24 的静态路由，AR2 要配置去往 192.168.10.0/24 的静态路由。

2.4 本文实战选择哪种方案

为了把“静态路由”讲透，本文选择方案三：用两台路由器（AR1、AR2）、两台交换机（LSW1、LSW2）和两台 PC，完整演示“不同 VLAN、不同网段、跨路由器”的通信过程。这个拓扑比单臂路由更贴近真实的企业分支互联场景，也能把静态路由的作用展示得最清晰。

整体拓扑如下：

PC1（VLAN10，192.168.10.1/24）—— LSW1 —— AR1 ——（互联网段 192.168.30.0/30）—— AR2 —— LSW2 —— PC2（VLAN20，192.168.20.1/24）

各设备 IP 规划：

3. 环境准备与工具说明

本文实验基于华为 eNSP（Enterprise Network Simulation Platform）模拟器。eNSP 是华为官方推出的图形化网络仿真工具，使用起来比较方便，尤其适合学习和验证华为设备的命令操作。

3.1 需要用到的设备

在 eNSP 中拖入以下设备：

• 2 台路由器，使用 AR 系列设备。
• 2 台二层交换机，使用 S5700 系列（支持 Trunk 和 VLAN 配置）。
• 2 台 PC。

3.2 版本说明

不同版本的 eNSP 在设备型号和命令支持上可能有细微差异，本实验不依赖太高阶的特性，只用到基础的接口 IP、VLAN、Trunk 和静态路由命令。实际项目中使用不同厂商设备时，命令会有差异，但设计思路是通用的：先规划地址，再配置二层，再配置三层，最后验证路由。

如果你用的是真实设备，强烈建议先在测试环境或模拟器上验证配置，确认无误后再对生产设备做变更，避免影响在线业务。

4. 核心原理拆解

4.1 VLAN 与 Trunk 的关系

二层交换机默认情况下所有接口都属于 VLAN 1。我们需要手动把 PC 连接的接口划入指定 VLAN，同时把交换机与路由器相连的接口配置为 Trunk，并放行对应 VLAN。

• Access 接口：通常连接终端设备，只能属于一个 VLAN，发出的帧不带 VLAN Tag。
• Trunk 接口：通常连接交换机之间或交换机与路由器之间，可以放行多个 VLAN，发出的帧带有 VLAN Tag（除了 Native VLAN）。

这里有一个概念容易被忽视：在华为交换机上，Trunk 接口的 PVID 默认是 VLAN 1。如果不小心把 Trunk 口的 PVID 设置成了某个业务 VLAN，而该 VLAN 又没有放行，就会出现“某些帧能通，某些帧不通”的怪现象。

4.2 路由器是怎么转发跨网段数据的

当 PC1（192.168.10.1）访问 PC2（192.168.20.1）时：

1. PC1 发现目标 IP 与自己不在同一网段，于是将数据帧的目的 MAC 地址写成网关（192.168.10.254）的 MAC 地址，源 IP 是自己的 IP。
2. 数据帧到达 AR1 的 G0/0/0 接口，AR1 解开二层帧头，看到目的 IP 是 192.168.20.1。AR1 查询自己的路由表。
3. 如果 AR1 路由表中有“192.168.20.0/24 下一跳 192.168.30.2”这条路由，AR1 就会把数据包重新封装，下一跳指向 AR2（192.168.30.2）。
4. AR2 收到数据包后，查询路由表，发现 192.168.20.0/24 是自己的直连网段，于是交给 G0/0/0 接口，再通过交换机 LSW2 转发给 PC2。

反过来，PC2 回复 PC1 时，AR2 也必须知道“去 192.168.10.0/24 的下一跳是 192.168.30.1”。这就是前面提到的往返路由都要配置。

4.3 静态路由命令详解

华为设备配置静态路由的核心命令是：

ip route-static 目标网段 掩码 下一跳地址

例如：

ip route-static 192.168.20.0 255.255.255.0 192.168.30.2

参数含义：

• 192.168.20.0是目标网络地址。
• 255.255.255.0表示子网掩码是 24 位。
• 192.168.30.2是下一跳 IP 地址，即数据包应该交给谁。

如果不想一条一条地写，也可以配置默认路由（默认路由也叫缺省路由）：

ip route-static 0.0.0.0 0.0.0.0 192.168.30.2

默认路由的含义是：路由表中没有明确匹配条目时，一律交给 192.168.30.2。

在真实项目中，如果分支节点只有一条出口链路，往往配置默认路由指向主出口网关；如果内部有多个网段需要精确控制路径，再配置明细静态路由。这两种方式可以同时存在，路由器会优先匹配最长前缀的明细路由。

5. 完整实战：eNSP 配置静态路由实现 VLAN 间通信

下面进入核心部分。打开 eNSP，按照前面的拓扑图拖入设备并连接，然后逐台设备进行配置。

5.1 PC 与交换机之间的 VLAN 配置

5.1.1 LSW1 配置

先配置交换机 LSW1，把连接 PC1 的接口划入 VLAN 10，把连接 AR1 的接口配置为 Trunk 并放行 VLAN 10。

system-view sysname LSW1 # 创建 VLAN 10 vlan 10 description VLAN10_Users quit # 连接 PC1 的接口，假设是 GE0/0/1，配置为 Access，划入 VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit # 连接 AR1 的接口，假设是 GE0/0/2，配置为 Trunk，放行 VLAN 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 quit

说明：

• port default vlan 10是把 Access 接口的 PVID 设置为 VLAN 10，这样从该接口收到的无 Tag 帧会被打上 VLAN 10 的 Tag。
• port trunk allow-pass vlan 10是允许 Trunk 口转发 VLAN 10 的帧。

5.1.2 LSW2 配置

同理配置 LSW2，把 PC2 划入 VLAN 20，并放行 VLAN 20 到 AR2。

system-view sysname LSW2 vlan 20 description VLAN20_Users quit interface GigabitEthernet0/0/1 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 20 quit

如果网络里后续还要加 VLAN 30、VLAN 40，只需要在 Trunk 允许列表中追加即可，例如：

port trunk allow-pass vlan 20 30 40

在 Huawei 设备上，重复执行port trunk allow-pass vlan命令会覆盖之前的配置，所以一般写在一行里。如果已经存在旧配置，要仔细确认是否覆盖了原有 VLAN。

5.2 路由器接口 IP 配置

5.2.1 AR1 配置

AR1 上需要配置两个接口：

• G0/0/0 连接 LSW1，作为 VLAN 10 的网关。
• G0/0/1 连接 AR2，作为互联接口。

system-view sysname AR1 # 配置 G0/0/0，作为 VLAN10 网关 interface GigabitEthernet0/0/0 ip address 192.168.10.254 255.255.255.0 quit # 配置 G0/0/1，连接 AR2 interface GigabitEthernet0/0/1 ip address 192.168.30.1 255.255.255.252 quit

这里掩码选择 255.255.255.252，也就是/30，表示互联网段只有 4 个可用地址：192.168.30.0、192.168.30.1、192.168.30.2、192.168.30.3。其中 192.168.30.0 是网络地址，192.168.30.3 是广播地址，实际可用的是 192.168.30.1 和 192.168.30.2。

5.2.2 AR2 配置

AR2 上配置 G0/0/0 作为 VLAN 20 的网关，G0/0/1 连接 AR1。

system-view sysname AR2 interface GigabitEthernet0/0/0 ip address 192.168.20.254 255.255.255.0 quit interface GigabitEthernet0/0/1 ip address 192.168.30.2 255.255.255.252 quit

5.3 配置静态路由

这是整个实验最关键的一步。

5.3.1 AR1 上配置去往 VLAN 20 网段的静态路由

AR1 直连网段是 192.168.10.0/24 和 192.168.30.0/30。它并不知道 192.168.20.0/24“住在哪里”，所以需要管理员告诉它：去 192.168.20.0/24，下一跳是 192.168.30.2。

ip route-static 192.168.20.0 255.255.255.0 192.168.30.2

5.3.2 AR2 上配置去往 VLAN 10 网段的静态路由

AR2 同样不知道 192.168.10.0/24 的路。配置一条反向路由：

ip route-static 192.168.10.0 255.255.255.0 192.168.30.1

两条静态路由配置完成后，可以查看路由表，确认路由是否生效：

display ip routing-table

在 AR1 上，输出中应该能看到：

Destination/Mask Proto Pre Cost Flags NextHop Interface 192.168.20.0/24 Static 60 0 RD 192.168.30.2 GigabitEthernet0/0/1

在 AR2 上同理能看到 192.168.10.0/24 的 Static 路由。

5.4 PC 配置

在 eNSP 中双击 PC1，配置：

• IP 地址：192.168.10.1
• 子网掩码：255.255.255.0
• 网关：192.168.10.254

PC2 配置：

• IP 地址：192.168.20.1
• 子网掩码：255.255.255.0
• 网关：192.168.20.254

注意，PC 的网关地址必须与路由器上对应接口的 IP 保持一致。网关配错了，数据包连第一跳都出不去。

5.5 运行与验证

配置完成后，在 PC1 上执行 ping 192.168.20.1，预期结果是能够 ping 通。

在真实环境中，第一次 ping 可能会因为 ARP 解析等操作有 1-2 个丢包，但只要后续能通就没问题。eNSP 模拟器上也经常出现“首包超时、后续包正常”的情况，这属于正常现象。

如果 PC1 能 ping 通 PC2，说明整个二三层链路、VLAN 放行、静态路由配置都是正确的。

为了更彻底地验证，还可以在 PC2 上反向 ping 192.168.10.1，检查反向路由是否也没问题。

5.6 三层交换机的扩展说明

如果你使用的是三层交换机，而不是路由器加二层交换机的组合，那么配置思路会略有不同。三层交换机直接创建 VLANIF 接口来充当网关：

interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit

在华为三层交换机上，创建 VLANIF 后会自动生成直连路由，所以两个 VLAN 之间的通信不需要再配置静态路由，直接通过交换机三层转发即可。

但如果三层交换机需要和其他路由器跨设备通信，那就仍然需要配置静态路由，指向对端设备的下一跳地址。这也是不少新手容易误解的地方——三层交换机内部 VLAN 间路由是自动的，跨设备跨网段仍然需要路由协议或静态路由。

6. 常见问题与排查思路

以下是在配置“不同 VLAN 不同网段通信”时，最容易遇到的几类问题。按照优先级从高到低排列。

6.1 PC 无法 ping 通网关

在华为交换机上，可以使用以下命令查看接口状态：

display interface brief

如果某个接口显示为 DOWN，说明物理链路没通。

6.2 VLAN 配置正确但仍不通

这里特别强调：Trunk 口有两类关键属性，一类是“哪些 VLAN 被允许通过”，另一类是“这个接口默认属于哪个 VLAN（PVID）”。很多人只关注了 allow-pass，却忽略了 PVID。

在华为设备上，查看 Trunk 口配置的命令：

display interface GigabitEthernet0/0/2

输出信息中会包含Port Trunk allow-pass vlan和Port PVID两行。

6.33 静态路由配置了但 ping 不通

提供一组常用排查命令：

# 查看路由器接口 IP display ip interface brief # 查看路由表 display ip routing-table # 测试到下一跳的连通性 ping 192.168.30.2 # 查看 VLAN 配置 display vlan # 查看 Trunk 口配置 display interface GigabitEthernet0/0/2

6.43 Windows 电脑和打印机不在同一网段如何排查

最近看到不少热搜场景是“Windows 电脑 IP 和打印机 IP 不在一个网段，搜索不到打印机”。其实原理和本文完全一致：

• 打印机的 IP 在 192.168.20.0/24，电脑的 IP 在 192.168.10.0/24。
• 两个设备如果都在同一个二层交换机下，但 VLAN 不同，那么默认是二层隔离的。
• 如果两台设备之间的网关设备（路由器/三层交换机）配置了正确的路由，理论上它们是可以互通的。
• 但是很多打印机软件使用组播/广播协议去自动发现设备，广播域被 VLAN 隔离后，自动搜索就会失败。

解决思路：要么把电脑和打印机划到同一个 VLAN 同一个网段；要么在路由器上配置跨网段路由后，手动添加打印机 IP 进行访问；要么配置基于 IP 子网的 VLAN，让特定网段自动映射到对应 VLAN。对于后一种方式，华为交换机上支持基于 IP 子网划分 VLAN，命令类似：

vlan 20 ip-subnet-vlan 1 ip 192.168.20.0 255.255.255.0

但这种方式只影响二层 VLAN 的划分策略，三层互通仍然需要网关路由。

6.5 是否所有华为交换机划 VLAN 的方法都一样

很多新手在学完华为交换机后，会问“是不是所有华为交换机划 VLAN 都一样”。答案是不完全一样。

• 盒式接入交换机（如 S5700 早期系列）和框式交换机（如 S7700、S9700 系列）在 VLAN 创建、接口加入方式上有一定相似度，但框式设备的接口编号通常是“槽位号/板卡号/端口号”，配置时需要留意。
• 部分交换机在默认情况下开启的是“VLAN 1 即为全部接口”的模式，需要额外确认。
• 高端框式交换机还可能涉及“VLAN 池”、“Super VLAN”、“MUX VLAN”等高级特性，这些不是标配命令，需要根据具体设备型号查阅资料确认。

所以稳妥的做法是：实验环境先用模拟器验证，生产环境以设备官方文档为准。

7. 最佳实践与工程建议

7.1 地址规划要统一规范

不要随手分配 IP。建议 IP 地址规划遵循以下原则：

• 每个 VLAN 对应一个独立的 /24 网段，便于记忆和管理。
• 网关地址统一使用网段内的最后一个可用地址（例如 .254），这样在所有设备上保持一致，排查问题时“看网关”一眼就能判断对错。
• 互联网段单独规划一个段，例如 192.168.30.0/30、192.168.31.0/30，不要和业务网段混在一起。
• 记录一份 IP 地址规划表，标注设备、接口、VLAN、IP、用途，后续排障会轻松很多。

7.2 静态路由命名和注释习惯

华为设备支持给静态路由配置描述信息，方便后续维护：

ip route-static 192.168.20.0 255.255.255.0 192.168.30.2 description TO_VLAN20

虽然很多人并不习惯写 description，但在生产环境中，面对几十条静态路由时，没有描述信息基本靠猜。建议对于重要静态路由，都加上描述信息，说明这条路由是“去哪个网段，走哪个下一跳”。

7.3 注意往返路由对称性

静态路由的经典问题就是单向通。去程路由配了，回程没有配，就会导致 ping 请求能过去，但 ping 回复回不来。

在排查时，不要只盯着一台路由器看，要沿着数据包的转发路径逐跳分析。从 PC1 发起 ping，每一步的源 IP、目的 IP、源 MAC、目的 MAC 是怎么变化的，梳理清楚之后，就知道问题出在哪一跳。

7.4 安全管理与最小权限原则

在配置路由和 VLAN 时，还应该考虑安全边界：

• 不同部门、不同安全等级的业务尽量划分在不同 VLAN，并通过 ACL 或防火墙策略控制互访范围，而不是无脑把所有网段全部打通。
• 生产设备配置修改前，先备份当前配置，可以用display current-configuration查看当前配置，也可以用 FTP/TFTP 方式备份配置文件。
• 如果必须清空某段静态路由，使用undo ip route-static命令时，要确保不会影响其他业务流量。

示例命令：

undo ip route-static 192.168.20.0 255.255.255.0 192.168.30.2

7.5 静态路由与动态路由如何选择

文章写到这里，多聊一句生产环境选型。

如果网络规模很小，只有几条静态路由，手动配置完全够用。但如果网络规模较大、链路存在冗余备份、拓扑经常变化，建议使用动态路由协议，例如 OSPF。动态路由能自动感知拓扑变化、自动收敛，运维成本更低。

静态路由比较适合：

• 小型办公网络。
• 分支节点只有一条出口链路。
• 需要精确控制业务流向的场景。
• 网络拓扑固定、长期不变的环境。

动态路由更适合：

• 中大型园区网络。
• 多链路负载均衡和冗余备份。
• 经常增加网络节点、调整链路的环境。
• 需要快速收敛排除单点故障的场景。

7.6 浮动静态路由实现冗余

在多出口场景下，还可以利用浮动静态路由实现主备切换。核心思路是给同一条目的网段配置两条静态路由，但主路由优先级（Preference）更低，备路由优先级更高，主链路故障后自动切换到备用链路。

华为设备默认静态路由优先级是 60，可以通过preference参数修改：

# 主路由，默认优先级 60 ip route-static 192.168.20.0 255.255.255.0 192.168.30.2 # 备用路由，优先级 70，优先级值越大越不优先 ip route-static 192.168.20.0 255.255.255.0 192.168.40.2 preference 70

当主链路正常时，路由器优先使用 192.168.30.2 作为下一跳；当主链路故障后，会自动切换到 192.168.40.2。这种方式部署简单、效果直接，是小规模网络里很实用的冗余方案。

8. 总结与学习路线

通过本文的实验，你已经完整实践了“配置静态路由实现不同 VLAN 不同网段之间的通信”的全流程。回顾一下关键点：

• VLAN 是二层隔离技术，跨 VLAN 通信必须经过三层设备。
• 静态路由的核心是手动告诉路由器“目标网段往哪个下一跳走”。
• 往返路由都要配置，这是排障时最容易忽略的点。
• 二层故障查 VLAN、Trunk、PVID；三层故障查接口 IP、路由表。
• 华为 eNSP 模拟器适合练手，真实设备操作时一定要先备份、再变更、后验证。

下一步你可以继续学习以下内容：

1. 单臂路由（子接口 + 802.1Q 封装）的配置。
2. 三层交换机 VLANIF 接口的原理与配置。
3. OSPF 动态路由协议的基本配置。
4. 基于 IP 子网的 VLAN 自动划分。
5. ACL 访问控制列表，控制 VLAN 之间的互访权限。

网络这个东西，命令记不住很正常，关键在于把“数据包转发路径”这个思维模型建立起来。遇到问题别急着乱配，先画拓扑，标好 IP 和 VLAN，再从二层到三层逐层排查，绝大多数问题都能定位出来。

希望这篇文章对你有帮助，建议收藏备用。如果你在配置过程中有其他报错，也欢迎在评论区交流，大家一起把问题弄清楚。