VLAN内能通、跨VLAN不通怎么办？按网关、Trunk和路由逐层排查

同一个VLAN里的电脑可以互相Ping通，换成不同VLAN就不通，应该先查哪里？先测试终端能否到达自己的默认网关，再检查VLAN是否沿上联链路正确传递、VLANIF是否正常，最后查看路由、ARP和安全策略。不要一上来就添加静态路由，也不必把整台交换机的配置重做一遍。

最有效的方法是把通信路径拆开：终端到本机网关、本机网关到目标网段、目标网关到目标终端。哪一段出现异常，就先检查那一段。

一、VLAN内能通信，为什么跨VLAN就不通？

VLAN把交换网络划分成不同的二层广播域。同一VLAN、同一IP网段内的主机，在二层路径正常且没有策略限制时，可以直接通信；不同VLAN的主机通常需要借助三层网关转发。

在华为交换机组网中，常见做法是在具备三层转发能力的交换机上配置VLANIF接口，分别作为不同VLAN的默认网关。跨VLAN流量要经过网关，因此多了几处可能出错的环节：

• 终端：IP地址、子网掩码或默认网关填写错误。
• 二层链路：接入口划错VLAN，上联Trunk未放行对应VLAN，或者链路状态异常。
• 三层接口：VLANIF不存在、IP地址错误或接口状态异常。
• 转发与策略：路由不匹配、ARP解析异常，或者ACL、防火墙等策略阻断流量。

要特别注意：同VLAN能通，只能证明参与这次通信的二层路径可用，不能证明通往三层网关的上联链路也正常。例如，两台电脑接在同一台接入交换机的VLAN 20端口上，即使上联没有放行VLAN 20，它们仍可能互相通信，却都无法访问网关。

二、第一步：从终端开始测试，判断故障卡在哪一段

假设PC-A属于VLAN 10，IP地址为192.168.10.10/24，默认网关为192.168.10.1；PC-B属于VLAN 20，IP地址为192.168.20.20/24，默认网关为192.168.20.1。先在终端核对IP、掩码和网关（Windows可使用ipconfig /all），再依次进行Ping测试。

1. PC-A Ping 192.168.10.1，PC-B Ping 192.168.20.1，分别验证到本机网关的路径。
2. 从PC-A Ping 192.168.20.1，检查是否能到达对端VLAN的三层接口。
3. 从PC-A Ping 192.168.20.20，并从PC-B反向Ping 192.168.10.10，验证双向终端通信。

这张表用于缩小范围，而不是直接下结论。Ping不通也可能只是ICMP被限制。如果设备或终端设置了安全策略，应结合ARP、路由表及实际业务访问结果判断，不要仅凭一次Ping就修改生产配置。

三、第二步：检查交换机的VLAN、Trunk和VLANIF

先看接入口和上联口：VLAN有没有走到网关？

在华为常见VRP交换机上，可先执行以下只读命令：

display interface brief
display port vlan
display vlan 10
display vlan 20

重点看三件事：物理端口是否Up；连接电脑的端口是否属于正确VLAN；连接上下级交换机的Trunk是否允许目标VLAN通过。若使用Hybrid端口，还要核对Tagged、Untagged和PVID配置是否与对端一致。

例如，VLAN 10的终端网关可达，VLAN 20的终端在本地能互通却到不了网关，这时应优先检查接入交换机到核心交换机的上联口，确认VLAN 20是否在允许列表内。Trunk端口物理Up，不代表所有VLAN都能通过。

再看VLANIF：地址和状态是否正确？

在承担网关功能的三层交换机上检查：

display ip interface brief
display interface Vlanif 10
display interface Vlanif 20

确认Vlanif10、Vlanif20是否存在，地址是否分别为192.168.10.1/24、192.168.20.1/24，以及Physical、Protocol状态是否正常。若接口Down，应结合VLAN成员端口、物理链路和实际配置继续查。

VLANIF显示Up，也不能证明所有接入终端都能到达它。只要符合接口Up的条件，核心交换机上的VLANIF就可能显示正常；但某台接入交换机的上联遗漏了VLAN 20，挂在这台交换机下的VLAN 20终端仍然无法访问网关。因此，VLANIF状态必须与端到端的VLAN放行情况一起看。

四、第三步：网关正常但仍跨VLAN不通，检查路由与安全策略

先查路由表，不要直接补静态路由

如果VLAN 10和VLAN 20的网关都配置在同一台具备三层转发能力的交换机上，且相关VLANIF正常工作，设备通常会生成对应的直连路由，这种场景一般不需要为两个直连网段再添加静态路由。

display ip routing-table 192.168.10.10
display ip routing-table 192.168.20.20

查看匹配路由的Proto、下一跳和出接口：正常的同机VLANIF直连网段，通常会匹配到Direct路由。如果网关分布在不同三层设备上，则还要检查设备之间是否有去程和回程路由。出现更具体的异常路由或策略路由时，也可能改变实际转发路径。

路由存在，再看ARP与流量限制

display arp
display current-configuration
display acl 3000

display arp用于查看设备是否学习到相关终端或下一跳的IP与MAC映射，以及出接口是否符合预期。ARP表里暂时没有某台终端，不一定就是故障，也可能是尚未触发通信或表项已老化；需要结合测试流量观察。

查看当前配置时，重点寻找VLANIF、物理接口上是否应用了traffic-filter、traffic-policy等策略。如果发现引用了ACL，再使用display acl加实际ACL编号核对规则；上面的3000只是示例编号。同时检查终端防火墙是否拦截ICMP或目标业务端口。

遇到网关在不同设备上的网络，还应检查回程路径。单向能Ping通、反向不通，或者只有某些业务不通时，尤其要留意策略是否只允许一个方向或部分协议通过。

五、华为交换机跨VLAN不通实例：从现象定位到修复

下面用一套简化实验说明。接入交换机Access-SW通过GigabitEthernet0/0/24连接三层交换机Core-SW；核心侧对应端口为GigabitEthernet0/0/1。两个VLAN都在接入交换机上有终端，核心交换机负责VLAN间路由。

故障现象：本地同VLAN互通，跨VLAN失败

实验中，同一接入交换机上各VLAN内的终端可以互Ping；PC-A能Ping通192.168.10.1，甚至能Ping通核心交换机的192.168.20.1；PC-B却Ping不通自己的网关192.168.20.1，PC-A与PC-B也无法互Ping。核心交换机的Vlanif10、Vlanif20均显示Up。

这时不用急着调整路由。PC-B到自己的网关都不通，应该先沿着VLAN 20的二层路径检查。

定位过程：发现接入上联遗漏VLAN 20

分别在两台交换机执行display port vlan，并查看VLAN 20成员。结果发现：核心侧上联允许VLAN 10、20通过；接入交换机GigabitEthernet0/0/24为Trunk，但允许列表里只有VLAN 10，没有VLAN 20。

这就解释了为什么本地VLAN 20主机能够互通，却无法到达核心网关：它们的流量在接入交换机上联处被挡住了。即使核心Vlanif20处于Up，也不能改变这条接入路径不通的事实。

修复与验证：只补缺失的VLAN，再重测

确认VLAN 20确实应该通过该上联后，在接入交换机对应接口下添加允许VLAN 20的配置：

system-view
interface GigabitEthernet0/0/24
port trunk allow-pass vlan 20
quit

然后重新执行display port vlan核对VLAN 20已被允许，再依次测试PC-B到192.168.20.1、PC-A到PC-B，以及PC-B到PC-A的通信。若仍有异常，再继续查看ARP和安全策略，而不是扩大配置修改范围。

这个实验说明，排查跨VLAN不通时，先确认终端能否到达自己的网关，再定位VLAN经过的链路，比直接重配VLANIF或添加路由更有效。实际网络的接口名称、命令支持情况与策略配置可能不同，应按设备型号和当前VRP版本核对后操作。

相关课程内容推荐 

华为认证入门学习：HCIA和HCNA的区别

思博华为认证课程： HCIA DATACOM初级网络工程师

华为399限时活动入门课程：HCIA初级网络工程师认证

华为认证值不值得考？华为网络工程师认证有哪些？

华为认证考试怎么考：如何参加华为认证考试？