跨VLAN互通不用单臂路由：交换机 VLANIF 网关配置

按部门划完 VLAN 之后，第一个冒出来的问题就是：销售部和财务部怎么互访？老教材会给"单臂路由"方案——一根线接路由器，子接口来回打标签。真到企业落地，这方案早被更干净的做法取代：直接在三层交换机上给每个 VLAN 建一个 VLANIF 网关，VLAN 间路由在交换机内部完成，不多拉一根线。本文走一遍配置逻辑。

原理一句话

VLANIF（vlan interface）是三层交换机上代表整个 VLAN 的三层接口：给 VLAN 10 建 VLANIF 并配上 192.168.10.1/24，这个地址就是 VLAN 10 内所有终端的网关。VLAN 20 同理配 192.168.20.1。两台"网关"同在一台交换机体内，VLAN 间流量直接走路由引擎，不再占用上行链路——这就是它比单臂路由干净的地方。

配置四步

第一步系统视图创建 VLAN 并按端口划分：接入电脑的口配 access 加进对应 VLAN。第二步逐个 VLAN 建 VLANIF 并配网关地址。第三步验证：任一台终端 ping 自己网关、再 ping 对端 VLAN 的网关，都通则三层已就位；VLAN 间默认放通，若涉及敏感部门，再上 VLANIF 间的 ACL 收口。第四步打通外网：交换机到出口路由器加一条默认路由指向出口，出口设备回程路由指向交换机 VLANIF 地址——两端路由对上，全网就活了。

三个常见坑

一是终端网关没改：VLANIF 建好了，终端还指着老网关（比如原单臂路由子接口地址），表现是同 VLAN 能通、跨 VLAN 不通——改 DHCP 下发的网关字段，比逐台改手填地址快。二是管理地址混用：有人拿交换机的管理 IP（VLANIF 1）当业务网关，VLAN 一多地址就乱，规范是管理面单独走管理 VLAN。三是接口宕了网关跟着失效：VLANIF 的 up 依赖该 VLAN 内至少一个端口 up，整层没人上线时网关消失，做热备设计时要把这一点算进去（这也是后续上 VRRP 的伏笔，本期不展开）。

验收清单

配完照单验收：每层终端拿到正确网关、跨 VLAN ping 通、敏感部门间访问控制生效、出口流量走新网关、DHCP 租约正常下发。五项全过，这轮 VLAN 化改造才算闭环。

VLANIF 方案的价值是把"划 VLAN"和"通 VLAN"收进一台设备，网段增长时只加接口不动线路。贵州诚鑫致达科技为企业做内网改造时，VLAN 规划、VLANIF 网关、DHCP 下发和部门间访问控制一次配齐，并留存一份"网段-网关-部门"对照表，后续加部门照表扩，不再动全网。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。