华为交换机 VLANIF 三层互通配置与排障

VLAN 只隔离二层广播域，跨 VLAN 通信必须在三层设备上终结 VLAN，这一点很多"配置不通"的现场其实都是规划问题而不是命令问题：VLAN 编号、网段、网关地址这三件事没定下来就上命令行，后面必然反复返工。本文按"先规划、再配置、后验证"的顺序，讲清华为交换机用 VLANIF 接口实现 VLAN 间三层互通的完整流程，并给出 VLANIF 不 UP、跨 VLAN 不通的高频排查路径。

先做规划：三件事定下来再碰命令行

• VLAN 编号 — 按部门或用途划分，预留扩容空间；建议 VLAN 编号与网段第三段保持可读的对应关系。
• 网段 — 每个 VLAN 一个独立网段，避免同网段跨 VLAN 这种需要额外代理的复杂场景。
• 网关地址 — 通常取网段第一个可用地址，即对应 VLANIF 接口的 IP。

规划明确之后，配置本质上是"把纸上的规划翻译成命令"，剩下的问题都能用验证命令定位。

配置：VLAN、端口与 VLANIF

<Huawei> system-view
[Huawei] sysname CORE-SW

# 1. 批量创建 VLAN
[CORE-SW] vlan batch 10 20 30

# 2. 接入端口划入 VLAN（以 VLAN 10 为例）
[CORE-SW] interface GigabitEthernet0/0/1
[CORE-SW-GigabitEthernet0/0/1] port link-type access
[CORE-SW-GigabitEthernet0/0/1] port default vlan 10
[CORE-SW-GigabitEthernet0/0/1] quit

# 3. 上行链路放行多个 VLAN
[CORE-SW] interface GigabitEthernet0/0/24
[CORE-SW-GigabitEthernet0/0/24] port link-type trunk
[CORE-SW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30
[CORE-SW-GigabitEthernet0/0/24] quit

# 4. 配置各 VLAN 的网关（VLANIF 接口）
[CORE-SW] interface Vlanif10
[CORE-SW-Vlanif10] ip address 192.168.10.1 255.255.255.0
[CORE-SW-Vlanif10] description Gateway-for-VLAN10
[CORE-SW-Vlanif10] quit

[CORE-SW] interface Vlanif20
[CORE-SW-Vlanif20] ip address 192.168.20.1 255.255.255.0
[CORE-SW-Vlanif20] quit

[CORE-SW] interface Vlanif30
[CORE-SW-Vlanif30] ip address 192.168.30.1 255.255.255.0
[CORE-SW-Vlanif30] quit

三个细节容易出错。第一，VLANIF 接口编号必须对应已存在的 VLAN，编号对不上就不会生成接口。第二，VLANIF 的 UP 状态依赖该 VLAN 内至少有一个 UP 的端口，VLAN 里没有任何成员端口时 VLANIF 会是 DOWN。第三，终端网关要配置为对应 VLANIF 的 IP，网关配错是最常见的"命令都对但就是不通"。

验证：四步走

# 1. VLAN 是否存在、端口是否正确加入
<CORE-SW> display vlan
<CORE-SW> display vlan 10

# 2. VLANIF 接口状态与地址
<CORE-SW> display interface Vlanif10
<CORE-SW> display ip interface brief

# 3. 直连路由是否生成（VLANIF UP 后应自动出现）
<CORE-SW> display ip routing-table

# 4. 端到端连通性
<CORE-SW> ping -a 192.168.10.1 192.168.20.1

第三步最关键：VLANIF 配置正确且 UP 时，路由表里应出现对应网段的直连路由。如果接口 UP 但路由表没有该网段，通常是地址配置没提交成功或掩码不一致。用 ping -a 指定源地址，可以排除源地址选择带来的干扰。

ARP 与 MAC 层交叉验证

<CORE-SW> display arp | include 192.168.10
<CORE-SW> display mac-address vlan 10
<CORE-SW> display interface GigabitEthernet0/0/1 | include current state

ARP 表里有对端条目、MAC 表里能看到终端，说明二层学到位了；若 ARP 表为空而 MAC 表有，问题通常在网关地址或终端掩码上。

高频故障与排查路径

• VLANIF 不 UP — 该 VLAN 内没有 UP 的成员端口；或者 VLAN 未创建成功。先 display vlan 确认成员，再看接口物理状态。
• 同 VLAN 内不通 — 端口 PVID 与 port default vlan 不一致，或端口被划入错误的 VLAN。华为的 Hybrid 模式下 PVID 与 untagged 列表不匹配是典型原因。
• 跨交换机同 VLAN 不通 — Trunk 链路 allow-pass 未放行该 VLAN，或两端 PVID 不一致。逐跳用 display vlan 看允许列表。
• 跨 VLAN 不通但网关可 ping 通 — 终端网关配置错误，或终端掩码与网关不在同一网段。检查终端 IP、掩码、网关三件套。
• 能 ping 通网关但不能访问远端网段 — 表现为单向不通，通常是远端缺少回程路由。

运维习惯

每次变更后导出配置并按"设备 IP + 日期"命名存档，同时在变更记录里写清改了什么、为什么改。真正让排查变快的不是敲命令的速度，而是三个月后你还能不能查到当时的配置基线。

如果三层互通之后需要运行路由协议，静态和动态路由的配置方式参见本站 华为交换机 OSPF 配置；链路聚合与冗余上行的配置参见 华为 Eth-Trunk 链路聚合配置；对接 DHCP 服务器跨网段分配地址的场景参见 华为交换机 DHCP Relay 配置。

原文链接：https://support.huawei.com/enterprise/zh/doc/EDOC1000069491/b699322c