一、技术背景
VLAN（Virtual Local Area Network）用于划分二层广播域，实现网络隔离，提高网络安全性和广播控制能力。不同VLAN属于不同广播域，二层交换机不会转发跨VLAN流量，因此不同VLAN内的终端无法直接通信。
实现VLAN间通信需要具备三层转发能力的设备，常见方案包括：
单臂路由（Router-on-a-Stick）
三层交换机SVI（Switch Virtual Interface）
其中，单臂路由通过路由器单个物理接口创建多个子接口，实现多个VLAN之间的三层通信，是中小规模网络常用方案之一。
二、适用场景
单臂路由适用于以下网络环境：
企业分支机构
小型办公网络
学校实验室
网络培训环境
临时网络部署
VLAN数量较少（通常5～10个以内）
对于大型园区网络、数据中心或高并发业务网络，应优先采用三层交换机。
三、工作原理
3.1 网络结构
单臂路由采用"一条物理链路承载多个VLAN"的方式。
Router
GE0/0/1
│
Trunk
│
Layer2 Switch
┌────┼────┐
VLAN10 VLAN20 VLAN30交换机与路由器之间建立802.1Q Trunk链路，所有VLAN数据均通过该链路传输。
路由器在同一个物理接口下创建多个子接口，每个子接口对应一个VLAN。
例如：
每个子接口即对应VLAN的默认网关。
3.2 数据转发流程
以VLAN10访问VLAN20为例：
① PC1发现目标地址属于其他网段。
② PC1将数据发送至默认网关（GE0/0/1.10）。
③ 数据经过Trunk接口到达路由器。
④ 子接口GE0/0/1.10根据802.1Q识别VLAN10。
⑤ 路由器完成三层路由查找。
⑥ 数据由GE0/0/1.20重新封装VLAN20标签。
⑦ 数据返回交换机。
⑧ 交换机将数据转发至VLAN20目标主机。
整个过程中：
二层交换机负责VLAN隔离与转发。
路由器负责三层路由。
802.1Q负责VLAN标签封装。
四、实验环境
网络规划
交换机：
S1（汇聚）
S2（接入）
S3（接入）
路由器：
R1
五、配置步骤
5.1 配置VLAN
创建业务VLAN。
vlan 10
vlan 20
vlan 305.2 配置Access接口
终端接入口配置为Access模式，并加入对应VLAN。
interface Ethernet0/0/1
port link-type access
port default vlan 105.3 配置Trunk接口
交换机之间以及交换机连接路由器接口配置为Trunk。
interface GigabitEthernet0/0/1
port link-type trunk生产环境建议：
port trunk allow-pass vlan 10 20 30不建议：
port trunk allow-pass vlan all原因：
减少广播域传播
提高安全性
避免非法VLAN通过
5.4 配置路由器子接口
interface GigabitEthernet0/0/1.10
ip address 192.168.1.254 24其它VLAN配置方式相同。
5.5 配置802.1Q封装
dot1q termination vid 10作用：
接收数据时去除VLAN Tag
发送数据时添加VLAN Tag
如果未配置该命令，路由器无法识别对应VLAN的数据帧。
5.6 开启ARP广播
arp broadcast enable作用：
支持ARP广播
建立ARP缓存
保证不同VLAN正常通信
六、验证配置
完成配置后，应依次验证以下内容。
验证接口状态
display interface brief确认：
Physical Up
Protocol Up
验证子接口
display ip interface brief确认：
子接口已创建
IP地址正确
验证路由表
display ip routing-table应看到：
192.168.1.0/24 Direct
192.168.2.0/24 Direct
192.168.3.0/24 Direct说明三个网络均已成为直连路由。
验证连通性
依次执行：
ping 网关
ping 同VLAN
ping 跨VLAN全部成功说明单臂路由工作正常。
七、生产环境最佳实践
在生产网络中部署单臂路由时，建议遵循以下原则：
Trunk接口仅允许业务需要的VLAN通过，避免使用
allow-pass vlan all。子接口命名与VLAN保持一致，例如
GE0/0/1.10对应VLAN 10，便于维护。每个子接口只绑定一个VLAN，避免混用配置。
将子接口IP地址规划为对应VLAN的默认网关，并统一地址规划规范。
为Trunk链路启用链路监控，及时发现接口异常。
定期检查ARP表、MAC地址表和路由表，排查异常通信问题。
在跨VLAN流量较大的场景中，优先采用三层交换机承担路由功能，避免单臂路由成为性能瓶颈。
对关键网络建议部署冗余网关或双链路方案，提高可用性。
八、常见故障排查
九、单臂路由与三层交换机对比
对于企业生产环境而言，单臂路由更适合作为中小规模网络或实验环境的解决方案；随着VLAN数量、业务规模和跨VLAN流量的增长，应逐步迁移至三层交换机架构，以获得更高的性能、可扩展性和可靠性。
十、总结
单臂路由通过在路由器单个物理接口上创建多个802.1Q子接口，实现不同VLAN之间的三层通信，是理解VLAN间路由机制的重要技术。其部署成本低、配置简单，适用于中小规模网络、实验环境及临时网络场景。
在工程实践中，应重点关注Trunk配置、子接口与VLAN的映射关系、802.1Q封装以及ARP广播等关键配置。同时，应避免将所有VLAN无差别放通，并充分认识到单臂路由在带宽、性能和可靠性方面的限制。当网络规模扩大或业务对性能和可用性要求提高时，应优先采用三层交换机实现VLAN间路由。这样既能满足生产环境的性能需求，也更符合现代企业网络的架构设计。