企业官网建设流程全解析

开门见山说：eNSP里做单臂路由，最核心的不是敲几条命令，而是搞清楚为什么一个物理口能带多个VLAN跑，以及怎么把“内网路由”和“出网路径”接在一起。很多新手照着教程配置完，两个VLAN能互通就觉得自己会了，结果加上外网设备直接卡壳——要么PC能ping通网关却ping不通公网服务器，要么NAT配了但流量根本没匹配。这篇文章就把单臂路由从拓扑设计、地址规划、命令配置到外网NAT全链路讲透，配置可以直接“抄作业”，但每一条命令后面的原因我也会讲明白。适合刚学VLAN和路由的同学，也适合做完实验但没想通原理的人。

1. 单臂路由到底解决什么问题

1.1 为什么普通二层交换机做不了VLAN间通信

先说个最基础但很多人忽略的点：二层交换机对VLAN的处理是“隔离”而不是“路由”。交换机转发帧的时候，只看MAC地址和VLAN标签，同一个VLAN内的广播能互通，不同VLAN之间即便物理连着同一个交换机，数据帧也不会互相转发。这就像一栋楼里有两个独立房间，门是锁死的，二层交换机只负责在房间内部送信，它没有能力把信从这个房间递到另一个房间。

要让VLAN间通信发生，就必须有一个“三层设备”参与，也就是路由器或三层交换机。路由器根据目标IP地址查路由表，把数据包从一个子网转发到另一个子网。单臂路由，就是把原本需要多个物理接口做的事，压缩到一个物理接口上，靠子接口识别VLAN标签来完成转发。

1.2 单臂路由的转发原理拆解

单臂路由的“单臂”指的是一条物理链路。交换机的Trunk口连接路由器的物理口，交换机发往路由器的帧会带上802.1Q VLAN Tag。路由器在这个物理口上创建多个子接口，一个子接口对应一个VLAN，比如GE0/0/0.10对应VLAN 10，GE0/0/0.20对应VLAN 20。

电脑A发往电脑B的流程是这样：

• PC1发出数据包，目标IP是192.168.20.10，它发现不在自己网段，于是把包发给网关192.168.10.1。
• 交换机Access口收到帧，给帧打上VLAN 10的Tag，通过Trunk口转发给路由器。
• 路由器物理口收到带VLAN 10 Tag的帧，匹配到子接口GE0/0/0.10，剥掉Tag并查路由表，发现目标192.168.20.0/24网段在GE0/0/0.20。
• 路由器重新封装帧，打上VLAN 20的Tag，再从同一个物理口发回交换机。
• 交换机Trunk口收到后把Tag剥掉，从对应Access口发给PC2。

一个物理口，通过子接口就变成了“多个路由接口”，数据进出都走同一条链路，这就是“单臂”的含义。但也正因为入口和出口是同一条物理链路，带宽上限被限制在一个物理口的速度上。如果VLAN间流量特别大，单臂路由可能成为瓶颈，这在实际工程里需要考虑。

1.3 什么时候适合用单臂路由

单臂路由适合的特点是：VLAN数量不多、流量不大、路由器型号接口较少。比如一个小型办公网络，划分了2到3个VLAN，又没有三层交换机，那单臂路由就是性价比最高的方案。反过来，如果VLAN数量很多或者有大量跨VLAN视频传输，我会建议直接用三层交换机做VLANIF接口，转发效率比“路由器经Trunk口绕一圈”高得多。

在eNSP里做实验，重点是要建立“子接口=网关”这个认知。你把路由器看作一根网线分出好几个“虚拟门”，每个门对应一个VLAN的网关，数据从哪扇门进，就从对应的门走向对应的网络。

2. 搭建环境与最简拓扑设计

2.1 eNSP设备选型与拓扑结构

这次实验我用的拓扑非常经典：一台路由器、一台二层交换机、三台PC，外加一台模拟互联网的“远端服务器”。

设备方面，eNSP里路由器选AR2220就够用，这个型号支持子接口、NAT、ACL，完全能满足实验需求。交换机选S5700，这个型号在eNSP里支持VLAN和Trunk，做二层实验很顺手。PC直接用eNSP自带的PC，或者用Server设备模拟公网服务器都可以。

拓扑连接是这样：

• PC1 接到交换机 GE0/0/1，划分到VLAN 10
• PC2 接到交换机 GE0/0/2，划分到VLAN 20
• 交换机 GE0/0/24 用Trunk口连接路由器 GE0/0/0
• 路由器 GE0/0/1 连接“外网侧”路由器或公网服务器
• 公网服务器接在另一台路由器上，模拟一个公网网段

中间如果只接一台路由器和一个交换机，数据链路很短，排查起来也方便。想模拟外网时，再加一台路由器R2和一台Server设备，组成一个“模拟公网”环境。

2.2 VLAN与IP地址规划

地址规划这块建议先写在纸上再动手，不要边敲命令边拍脑袋。我常用的规划是这样：

为什么用100.64.1.0/30这条互联地址？这是运营商级NAT预留地址段，拿来做实验非常合适，不会和家用路由器的常见网段冲突，也能避免和eNSP里的虚拟网卡默认地址段撞车。203.0.113.0/24是文档保留的公网测试网段，现实中不会真的被路由，但用来模拟公网服务器正好。

2.3 子网掩码与网关关系

子网掩码和网关的关系很多新手容易模糊。在单臂路由实验里，PC1的掩码是24位，代表它在192.168.10.0/24这个网段里，网关必须是这个网段内的地址。路由器子接口GE0/0/0.10配的IP就是192.168.10.1，它和PC1在同一个三层网段，所以PC1能通过它出网。

如果掩码配错，比如PC1误配成255.255.255.0而网关是192.168.10.1，那一般还能通。但如果PC1配成16位掩码，那它就会认为192.168.20.10也在同一个“大网段”里，直接尝试ARP解析而不走网关，结果就是VLAN间ping不通。这种“掩码影响路由行为”的问题，我见得太多了，排查时第一个就要看掩码。

3. 核心配置实操与验证

3.1 交换机侧配置详解

交换机是单臂路由的“基础管道”，配置目标是：让PC1和PC2分别进入VLAN 10和VLAN 20，同时Trunk口允许这两个VLAN的Tagged帧通过。

进入系统视图后，先批量创建VLAN：

system-view sysname SW1 vlan batch 10 20

然后配置两个Access口：

interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20

最后配置Trunk口：

interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20

这个Trunk口非常关键。Access口在发帧时会剥掉VLAN Tag，Trunk口则会把带Tag的帧原样发给路由器。如果这里漏配了port trunk allow-pass vlan 10 20，帧会被交换机直接丢弃，路由器根本收不到任何数据。

配置完可以用display port vlan检查一下接口状态，确保GE0/0/1在VLAN10、GE0/0/2在VLAN20、GE0/0/24是Trunk且允许10和20通过。

3.2 路由器子接口配置详解

路由器上的配置是整个实验的灵魂。进路由器系统视图后，先关掉物理接口的IP（正常情况物理接口不配IP，直接配子接口），然后创建子接口。

system-view sysname R1 interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable

三条核心命令分别是：

• dot1q termination vid 10：告诉这个子接口只处理带VLAN 10标签的帧。
• ip address：给子接口配置IP，作为VLAN 10的网关。
• arp broadcast enable：允许子接口回应ARP广播请求。

很多人忘了第三条。子接口默认情况下对ARP广播报文是无响应的，如果不开arp broadcast enable，PC能ping通网关才怪。这个命令在eNSP里尤其重要，真实设备上部分环境默认可能开，但实验里最好都显式加上。

配置完子接口后，用display ip interface brief查看，应该能看到GE0/0/0.10和GE0/0/0.20都是up状态，且有IP地址。如果显示down，多半是Trunk口没配好，或者dot1q termination vid与交换机VLAN不一致。

3.3 PC配置与VLAN间连通性验证

PC1和PC2在eNSP里配置时，直接双击PC图标，在“IP配置”里填入地址和网关。PC1是192.168.10.10，网关192.168.10.1；PC2是192.168.20.10，网关192.168.20.1。

配置完成后，先做最基本的连通性测试：

• PC1 ping自己网关：ping 192.168.10.1，通说明Access口和子接口链路正常。
• PC2 ping自己网关：ping 192.168.20.1，通说明VLAN20链路正常。
• PC1 ping PC2：ping 192.168.20.10，通说明单臂路由生效。

如果PC1能ping通自己网关，但ping不通PC2，问题大概率在路由器子接口或Trunk口上。用display vlan看交换机VLAN信息，再用display ip routing-table看路由器有没有两条直连路由，基本就能定位。

4. 外网连接：默认路由与NAT配置

4.1 外网连接的整体思路

单臂路由只是把内部两个VLAN打通，要让内网PC访问“外网服务器”，还差两件事：一条去往外网的路径，以及出口的地址转换。

先说路径。路由器R1上必须有一条默认路由，把所有不匹配内网路由表的数据包都扔给外网对端设备：

ip route-static 0.0.0.0 0.0.0.0 100.64.1.2

这条命令的意思是：去往任何未知网段，下一跳都走100.64.1.2，也就是外网路由器R2的互联口。

再说地址转换。R1连接外网的接口是GE0/0/1，IP为100.64.1.1/30。内网PC的地址是192.168.10.10或192.168.20.10，这些是私有地址，在公网上不可路由。所以需要在R1出接口做NAT Outbound，把内网源地址转换成R1出接口的公网地址。

4.2 NAT配置与ACL匹配

NAT配置分为两部分：先写一条ACL，再在出接口调用。

acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quit

ACL 2000里允许了192.168.0.0/16这个范围，也就是内网两个网段都能做NAT。调用命令nat outbound 2000的意思是：从GE0/0/1出去的流量，如果源地址匹配ACL 2000，就自动转换成GE0/0/1的接口地址。

如果不配ACL只写nat outbound，默认只允许部分地址，内网流量可能匹配不上。用ACL的好处是能精确控制允许私网段出网的范围，以后加VLAN也方便，只需在ACL里放行新网段。

这里要特别强调：NAT只做“源地址转换”，它不负责路由。如果默认路由没配，数据包就算被NAT了，也不知道下一跳该往哪扔。默认路由和NAT是两件事，必须同时做好。

4.3 外网侧设备与连通性验证

外网侧我用一台路由器R2加一台Server设备模拟，拓扑如下：

• R2的GE0/0/0接R1的GE0/0/1，IP为100.64.1.2/30
• R2的GE0/0/1接Server，IP为203.0.113.1/24
• Server的IP是203.0.113.10/24，网关203.0.113.1

R2上配置：

system-view interface GigabitEthernet0/0/0 ip address 100.64.1.2 255.255.255.252 interface GigabitEthernet0/0/1 ip address 203.0.113.1 255.255.255.0

R2不需要配置NAT，因为R1已经把内网地址转换成了100.64.1.1。R2收到源地址为100.64.1.1的数据包后，查路由表发现目标203.0.113.0/24是直连网段，直接转发给Server即可。Server收到后回包给100.64.1.1，回到R1，再由R1做NAT反向转换，把目标地址替换回192.168.10.10，最终送达PC1。

验证顺序建议这样做：

• 在R1上用display ip routing-table确认存在默认路由。
• 在R1上用display nat session all查看NAT会话表。
• 在PC1上用ping 203.0.113.10发起测试。

第一次ping可能超时，因为路由器需要先ARP解析对端地址，这是正常现象。第二次、第三次ping能通，说明单臂路由、默认路由、NAT全链路都没问题。

5. 常见问题与排查技巧实录

5.1 问题速查表

做这个实验时，我把最常见的踩坑情况整理成了一张表，有同类问题的可以直接对照排查。

5.2 我印象最深的三个坑

先说ARP广播这个坑。第一次做单臂路由实验时，我配置完子接口后PC死活ping不通网关，查了半天IP和VLAN都没问题，后来才发现漏了arp broadcast enable。这个命令在教科书里经常被一笔带过，但实际环境里缺了它就是不行。后来我养成了习惯：创建任何子接口，第一行写dot1q termination vid，第三行立刻写arp broadcast enable，中间夹IP，顺序固定，不容易漏。

第二个坑是Trunk口只配了port link-type trunk，忘了port trunk allow-pass vlan。默认情况下Trunk口只放行VLAN 1，你要新建VLAN 10和20，必须显式放行。这个错误在eNSP里不会报错，设备一切正常，但数据帧就是过不去，只能用display port vlan一步步看。

第三个坑是NAT配置后PC还是上不了外网，我一度以为是ACL问题，最后发现默认路由写错了下一跳。NAT负责改IP，路由负责选路，两个功能都不完整就不可能出网。排查时我会先分开验证：在R1上ping 100.64.1.2通不通，通说明三层链路正常；再用display nat session all看有没有转换记录，没有说明ACL没匹配；有记录但Server不通，再回头看回程路由。

5.3 让实验更接近真实网络的三个建议

如果你做完基础实验还想继续深入，我建议按下面三个方向扩展：

第一，把内网改成三个VLAN。在交换机上加VLAN 30，再在路由器上增加一个子接口GE0/0/0.30，你会发现整个命令模式完全一样，只是VLAN编号和IP网段变化。多练几次后，单臂路由的“套路感”会非常强。

第二，在R1上加一条ACL限制外网访问。比如只让VLAN 10能访问外网，VLAN 20只能内网互访，只需修改ACL 2000的来源范围，让NAT只匹配192.168.10.0/24即可。这能帮你理解ACL和NAT的配合关系。

第三，换一种模拟外网的方式。除了用R2和Server模拟公网，还可以尝试用eNSP里的Cloud设备绑定真实网卡，让PC通过R1访问你电脑所在网络里的真实互联网主机。但说实话，这个方法对宿主机的网络环境要求比较高，虚拟网卡和物理网卡混杂时容易出奇怪问题，适合拿来测试NAT转换效果，不适合做基础路由学习。

最后说点实操体会

单臂路由在eNSP里看起来是个入门实验，但它把VLAN、Trunk、子接口、路由、NAT这几块知识全串起来了。我自己带过不少人做这个实验，发现大多数失败案例不是命令敲错，而是对“数据帧走到哪里带什么标签”没有画面感。建议你每敲完一段配置，就回看一下拓扑：PC到了交换机之后，帧是带Tag还是不带Tag，路由器收到后从哪个子接口处理，处理完又从哪个子接口出去。把这个流程在脑子里过一遍，比死记命令有用得多。

配置顺序也值得固化下来：先配交换机VLAN和Trunk，再配路由器子接口和内网网关，最后配默认路由和NAT。每一步都用ping验证一次，确认没问题再进下一步。台阶式推进虽然看起来慢，但能让你在出问题时第一时间知道是哪一级台阶出了问题。

如果实验过程中卡住，优先检查最简单的三层链路，也就是PCping网关。网关通了，问题集中在路由和NAT；网关不通，问题大概率在VLAN或Trunk。按照这个思路排查，基本上十分钟内都能定位。