一条线跑多个VLAN：路由器单臂路由互通实操
小机房里就一台路由器、一台交换机，却要按部门划好几个 VLAN——采购一条线、财务一条线，互访还要管控。没有三层交换机时，经典解法是单臂路由：交换机一口配成 trunk 挂到路由器，路由器那个物理口上起多个子接口，一个子接口当一个 VLAN 的网关。一条物理线承载全部 VLAN 间流量，配置不难，坑都藏在封装与 VLAN ID 的对应关系上。
操作步骤
-
交换机侧备货：按部门建好 VLAN（vlan batch），接终端的口划 access 到对应 VLAN，连接路由器的口配 trunk 并放行全部业务 VLAN。为什么：单臂路由的二层前提是 trunk 放行，交换机侧 VLAN 没建全，路由器子接口起的再多也没用。
-
路由器起子接口：物理口下 interface 接口.编号 的形式建子接口，每个 VLAN 一个，编号习惯与 VLAN ID 一致方便对账。为什么：子接口就是「一条线上虚拟出的多个网关」，编号对齐 VLAN ID，排障时看接口名就知道服务谁。
-
封装对应不能错：每个子接口下 dot1q termination vid 对应 VLAN ID，再配该网段的 IP 地址做网关。为什么：dot1q vid 配错是单臂路由头号翻车点——VLAN 10 的流量到了 VLAN 20 的网关上，表现为跨 VLAN 全不通而 VLAN 内正常。
-
ARP 广播要放开：子接口配 arp broadcast enable，否则子接口不主动发 ARP，可能起不来邻居。为什么：这是华为实现下的必配项，漏配的症状是「配了地址 ping 不通网关」，很多老教程漏了这行。
-
互通与管控：起子接口后各 VLAN 默认可互访（都挂在同一路由器上），财务等敏感网段用 ACL 在子接口方向上限制来源。为什么：互通是单臂路由的产物，管控是设计的要求——不留 ACL，划 VLAN 就只剩广播隔离的意义。
-
带宽账要算：所有 VLAN 间流量挤一条物理线，按高峰期跨网段流量评估接口带宽，必要时上链路聚合或多线分担。为什么：单臂架构的天花板就在这条线，虚机备份、大文件共享这类跨网段大流量会把单口打满。
三条边界先知道
- 单臂是过渡形态：跨 VLAN 流量长起来后应升级三层交换机做网关，路由器回归出口本职。
- VLAN 1 别当业务用：trunk 原生 VLAN 与业务 VLAN 分开，避免打 tag 语义混乱。
- DHCP 走全局池：各网段地址由路由器全局地址池按子接口下发，手工静态IP的终端自行登记。
贵州诚鑫致达科技给预算紧的小客户组网，单臂路由是常配的过渡方案——先把部门隔离做起来，规模到了再平移到三层交换机，账号与 ACL 都能沿用。
企业存储选型参考｜贵州诚鑫致达
做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。