企业官网建设流程全解析

做园区网和接入网项目的朋友，对VLAN肯定不陌生。但真要把VLAN用明白，尤其是面对公共区域Wi-Fi、小区宽带、办公楼层这类“人多、业务杂、IP网段不够分”的场景，光会划VLAN是不够的。我常被问到这样一个问题：一个VLAN配一个网段，几百个VLAN就要几百个网段，这得浪费多少IP？有没有办法让多个VLAN共享同一个网关？答案是有的，就是华为设备上的VLAN聚合（VLAN Aggregation），也叫Super-VLAN。

这篇东西我本来只想简单写点配置命令，但后来想了想，光给命令不讲清楚里面的原理，很多人照着配完出了故障照样一头雾水。所以我把原理、实验、排障放在一起写完整，尽量用大白话把里面的门道讲透。如果你正在用华为交换机做接入网络，或者正在准备相关的网络认证实验，这篇文章应该能帮你省不少事。

1. VLAN聚合要解决的痛点：传统一VLAN一网段有多浪费

先从一个我实际做过的项目说起。某公司新办公区有5栋楼，每栋楼三层，每层需要隔离不同的业务：办公PC、视频会议、安防监控、无线终端。按常规做法，一个业务一个VLAN，一层楼就要4个VLAN，整栋楼12个，园区加起来60个VLAN。地址规划怎么办？每个VLAN单独给一个子网？那一个C类段只能扛住4个VLAN不到，60个VLAN至少得吃掉十几个C类段，而且每个段里还有很多地址根本用不上。

有人会说，现在IPv4不够用不都走私网段吗？私网地址确实管够，但你得继续往下想。IP不只是分地址那么简单，每个VLAN的网关地址要单独占用，设备终端的路由表要维护几十条网段路由，DHCP地址池要拆成几十个小池子，每池都有大量地址永远处于空闲状态。运维时想查一个问题，得在十几个网段之间来回切换排查，地址利用率低到令人发指。

就拿最典型的场景说，小区宽带接入网。一栋楼几十户，每户一个VLAN隔离，如果一户一个子网，一个48口交换机就能把地址池吃光，完全没有扩展性。VLAN聚合就是在这种背景下被普遍采用的方案：多个用户VLAN共用一个大网段，二层依然隔离，三层网关统一接入，地址规划从“一户一段”压缩成“一个大网段装下整栋楼”。

这个方案的核心思想其实很朴素：把“一个VLAN对应一个三层接口”这种强绑定关系拆开。让一个三层接口（Super-VLAN）承载多个仅做二层隔离的VLAN（Sub-VLAN），大家共用同一个网关地址，从IP层看，这些VLAN就像同一间大屋子里的不同隔断，互相看不见，但出门都走同一个大门。

VLAN聚合解决的不只是IP浪费问题，它顺带把广播域的控制也更精细了。Sub-VLAN之间二层完全隔离，广播只能在自己VLAN内部走，而三层又能互通或者有策略互通，这在安全隔离、抑制广播风暴上都是加分项。

2. 核心原理拆解：Super-VLAN、Sub-VLAN与VLANIF的三方关系

2.1 三层接口不绑物理端口，VLAN不再一对一

很多人看到VLAN聚合的配置会愣一下：怎么VLANIF接口是在一个“没有物理成员端口”的VLAN上创建的？这才是理解整个原理的关键。

传统VLAN里，VLAN负责把端口圈在一起形成一个广播域，VLANIF三层接口是这个广播域的网关。VLAN聚合把这个套路改了：Super-VLAN是个空壳VLAN，它不包含任何物理端口，只负责承载VLANIF三层接口；Sub-VLAN才是真正挂了用户端口的VLAN，但Sub-VLAN不创建VLANIF，没有独立网关。

这样，所有Sub-VLAN把数据送到三层时，都会“汇聚”到Super-VLAN绑定的那个VLANIF上。Sub-VLAN之间要通信，不再走“各自网关互导”，而是直接通过同一个网关完成路由转发。这就是“聚合”二字的含义：二层隔离、三层汇聚。

2.2 生活化类比，把Super-VLAN和Sub-VLAN一次搞懂

不熟悉这个机制的朋友，我建议这样去记：把Super-VLAN想成一家公司的总机号码，Sub-VLAN是各个分机。外部想找到这个公司里的任何人，只需要拨总机号码，由总机再转接到对应分机。分机和分机之间不能直接通话（二层隔离），但都可以通过总机中转。

在这个类比里，总机号码就是VLANIF上配的那个网关IP，所有Sub-VLAN内的终端都把网关指向它，终端之间只知道IP不知道对方的MAC，只有总机（三层网关）才能把数据准确送过去。这台“总机”是不是足够稳定、智能，直接决定了整个网络能不能通，这也是为什么代理ARP和路由表在VLAN聚合里特别重要。

2.3 同一网段却要“路由”，ARP代理是关键开关

VLAN聚合场景中最容易让新手懵掉的地方，就是流量的走向。既然所有Sub-VLAN共用同一个IP网段，那么Sub-VLAN内的PC A要访问Sub-VLAN内的PC B，在IP层看这俩属于同一网段，PC A会认为直接通过二层就能找到PC B，于是发出ARP广播请求PC B的MAC地址。

麻烦在于，PC A和PC B处于不同的Sub-VLAN，二层广播根本过不去，正常情况下这个请求会石沉大海。这时候就必须让网关替PC B应答这个ARP请求，也就是在Super-VLAN的VLANIF接口上开启代理ARP。网关收到PC A的ARP请求后，检查自己的路由表或转发表，发现目标IP可达，就会用自己的MAC地址回应PC A。此后PC A把数据帧的目的MAC写成网关MAC，发给网关，由网关在Sub-VLAN之间做三层转发。

所以记住一句话：Sub-VLAN之间想要互通，必须开代理ARP。不开，即使所有PC都在同一个网段里也ping不同；开了，同网段内三层互访才畅通。这个开关就是华为交换机VLANIF接口视图下的arp-proxy enable命令，我后面实验里会给你演示它到底影响什么。

2.4 一个聚合组里能装多少个Sub-VLAN

华为大多数框式交换机和中高端盒式交换机上，一个Super-VLAN下可以关联的Sub-VLAN数量没有硬性统一值，常见文档里写的是最多可以绑定几百个Sub-VLAN。实际我建议别照着上限去堆。Sub-VLAN越多，同一个广播域（三层网段）里的终端数量就越大，虽然二层隔离了广播，但网关需要处理ARP、路由、DHCP请求的并发压力会明显上升。把一个Super-VLAN下的Sub-VLAN控制在30个以内，单网关承载的用户数控制在几百量级，是比较稳重的一种设计习惯。

3. 实验环境准备与拓扑规划

3.1 设备选型和软件版本

本次实验我用的是华为S5720系列三层交换机，系统版本为V200R009及以上的通用版本，这类版本下Super-VLAN相关命令都比较成熟。如果你手上是S5700老版本或者S3700这种二层交换机，得注意：VLAN聚合必须有三层交换能力，二层交换设备支持不了，因为核心是那个VLANIF网关接口，纯二层设备没有这个能力。

如果你准备用自己的电脑模拟，可以使用华为的eNSP模拟器，一台S5700加两台PC就能完成全部实验。eNSP里S5700的版本对这些命令支持良好，实验结论和真机一致，适合平时练手。

3.2 拓扑设计：一台交换机、两个Sub-VLAN、一个Super-VLAN

为了把原理验证清楚，实验拓扑不用复杂，一台三层交换机就够了。

接入环境是某实验室的两组终端：A组接在GE0/0/1口，规划为VLAN 10，B组接在GE0/0/2口，规划为VLAN 20。两组终端共用192.168.100.0/24网段，网关统一为192.168.100.254，Super-VLAN为VLAN 100。

终端IP规划如下表：

为什么要用两个不同的Sub-VLAN？因为这样既能验证二层隔离效果（A、B之间直接二层不通），又能验证三层互通（开代理ARP后ping通），一个拓扑同时演示两种状态，原理理解起来非常直观。

4. 华为VLAN聚合完整配置实录

4.1 第一步：创建VLAN并设置聚合关系

登录交换机后，先批量创建所需VLAN，再指定Super-VLAN并挂载Sub-VLAN。整个过程不超过十条命令，但每一条的含义值得琢磨一下。

system-view vlan batch 10 20 100

这里先把Sub-VLAN 10、20和Super-VLAN 100都建出来。接着进入VLAN 100视图，执行两条关键命令：

vlan 100 aggregate-vlan sub-vlan 10 20

aggregate-vlan把VLAN 100标记为聚合VLAN（即Super-VLAN），这一步之后VLAN 100就不能再被普通端口直接加入了；sub-vlan 10 20将VLAN 10和VLAN 20挂为它的子VLAN。配置完成后可以用display vlan查看，VLAN 100下方的Sub-VLAN列表里会出现10和20，Super-VLAN标识为aggregate，Sub-VLAN标识为separate。

有一点要特别留意：如果你在Sub-VLAN视图下试图给VLAN 10创建VLANIF接口，命令会报错或者即使创建了也无法正确工作。Sub-VLAN本身不承载三层网关，这是VLAN聚合的结构性约束，很多初次上手的人在这里卡住，总想着“是不是VLANIF 10也要配上IP”，配完之后发现同网段的IP根本写不进去。

4.2 第二步：配置物理端口归属

端口归入Sub-VLAN和普通VLAN配置没有区别，这里使用access口示意。真实环境中如果上联口要承载多VLAN，就配置trunk口并放行相应Sub-VLAN。

interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit

接口绑定Sub-VLAN之后，PC A和PC B就处在两个不同的二层广播域里。这个状态先保持住，我们等会要在这种状态下观察通信行为。

4.3 第三步：创建VLANIF三层网关接口

VLANIF 100承载整个Super-VLAN的网关。这里配的IP就是Sub-VLAN内所有PC的网关地址：

interface Vlanif100 ip address 192.168.100.254 255.255.255.0

到这一步为止，PC A和PC B把网关都指向192.168.100.254之后，终端各自去ping网关是能通的，但PC A直接ping PC B大概率不通。你可以先停在这里做个测试，体会一下“同网段却不互通”的奇异现象，然后再进入下一步开代理ARP。

4.4 第四步：开启VLAN间代理ARP

这一步是Sub-VLAN之间三层互通的关键开关：

interface Vlanif100 arp-proxy enable

开启之后，VLANIF 100接口会对来自Sub-VLAN内、目标为其他Sub-VLAN IP地址的ARP请求进行代答，用自己的MAC地址伪装成目标主机的MAC，从而把流量引导到网关做三层转发。

配置到这里，完整命令序列已经结束。最终保存配置：

save

4.5 可选验证：DHCP动态分配场景下的配置

实际项目中终端往往不是手动指定IP，而是走DHCP动态获取。VLAN聚合场景下DHCP有两种配法，我更推荐在VLANIF上启用接口地址池，因为所有Sub-VLAN共用同一个三层接口，接口地址池天然就能覆盖所有Sub-VLAN的终端，不需要为每个VLAN单独建池。

dhcp enable interface Vlanif100 dhcp select interface

这样一个192.168.100.0/24的接口地址池就生效了。Sub-VLAN里不管是VLAN 10还是VLAN 20的终端，只要请求地址，网关都会从同一个池子里分配。终端之间的地址还是同网段，二层依旧隔离，和手动配置IP时的行为完全一致。

5. 通信行为验证与抓包分析

5.1 二层隔离验证：不插同VLAN，广播不出圈

先把代理ARP那一步撤销掉，或者干脆不配置，在PC A上ping PC B。按照常规局域网经验，两台PC在同一个网段，应该一ping就通，但此时结果会是超时。原因就是ARP请求被限制在VLAN 10内部，VLAN 20的PC B收不到这个广播，自然无法回应。

这个现象很有迷惑性，我当年第一次做这个实验时也觉得“见鬼了”。如果你在排障时遇到同网段不通而网关通的情况，一定要立刻想到VLAN聚合或VLAN间隔离的存在。

5.2 三层互通验证：代理ARP开启后的行为变化

开启arp-proxy enable之后，再在PC A上ping PC B，结果应该变成通。如果你在网关接口上抓包，会看到一个典型过程：

PC A首先广播一条ARP请求，询问192.168.100.20的MAC地址。这个广播到达交换机后，因为目标IP不在VLAN 10内，代理ARP逻辑触发，网关用自己的MAC回应了这条请求。PC A收到回应后，目标MAC被记录为网关MAC，随后发出的ICMP报文，目的MAC是网关的MAC，目的IP是192.168.100.20。网关收到后查路由表，发现目标地址经由VLAN 20可达，于是执行三层转发，把报文重写成VLAN 20的帧格式，再发给PC B。

PC B回包的过程完全对称。所以在抓包文件里，你能清楚看到两个方向的流量都经过了网关，而不是像普通二层交换机那样直接转发的MAC-to-MAC。

5.3 查看关键表项：MAC表、ARP表、路由表

在交换机上执行几条display命令，可以更加直观地看到聚合效果：

display vlan display mac-address display arp display ip routing-table

display vlan可以看到VLAN 100的类型是aggregate，下方关联10和20两个Sub-VLAN。display arp能发现从VLAN 10和VLAN 20学到的用户IP都记录在同一个三层接口VLANIF 100下。display ip routing-table则能看到该网段的三层直连路由挂在VLANIF 100，来自所有Sub-VLAN的流量都命中同一条直连路由。

我自己调试时喜欢把这三张表同时打开看，一旦某个Sub-VLAN的终端ARP学不到，问题往往出在物理端口没放行对应VLAN，或者终端网段的掩码和网关不匹配。

6. 常见故障与排查技巧实录

6.1 Sub-VLAN创建VLANIF不生效

这个问题几乎每周都能遇到。有人在VLAN 10视图下直接配置interface Vlanif10，然后试图配上和VLANIF100同网段的地址，系统会提示地址冲突或配置无效。原因前面已经说过：Sub-VLAN不允许拥有独立的三层网关接口，它是被聚合的对象，不是网关的承载体。

正确的做法永远是只在Super-VLAN对应的VLANIF上配置网关IP。如果你发现Sub-VLAN下的终端上不了网，第一反应应该是检查VLANIF接口是不是建错了对象，而不是先去Sub-VLAN上尝试添加接口。

6.2 VLAN间三层不通，ping一直丢包

排障步骤我建议这样走：

先用display vlan确认Sub-VLAN已经正确绑定到Super-VLAN上，Sub-VLAN列表不为空。然后用display interface Vlanif100确认三层接口是up状态，IP地址写对没有。接着在终端上ping网关，如果网关不通，问题大概率在物理链路或端口VLAN配置上；如果网关通了但VLAN间ping不通，检查VLANIF下是否开启了arp-proxy enable。

代理ARP是VLAN聚合VLAN间互通的必要条件，不是可选优化项。默认关闭时，别指望同网段能通。

6.3 上联trunk口忘放行Sub-VLAN导致丢包

这个坑在跨交换机部署时特别容易踩。Super-VLAN虽然在汇聚交换机上创建，但接入交换机如果只放行了自己的业务VLAN，没有在汇聚和接入之间的trunk口放行对应Sub-VLAN，用户流量在接入层就被拦住了。排查时记得在链路上所有trunk口检查display port vlan，确保每个Sub-VLAN都在放行列表中。

6.4 DHCP获取地址失败

如果终端拿不到地址，先确认dhcp enable已经全局开启，再确认VLANIF接口下已经配置dhcp select interface。还有一种情况是用户终端分布在多个Sub-VLAN，但其中某些Sub-VLAN对应的物理接口配置成了trunk但PVID不匹配，导致DHCP发现报文进入了错误的VLAN。

另外要检查地址池容量和网段掩码是否覆盖了所有终端的请求，这里是最常出问题的点：地址池容量明明够，但终端拿到的IP和网关不在同一网段，往往是接口地址池被系统自动截断，或在配置时手误。记着，接口地址池的网段永远与VLANIF地址一致，不要手动再去创建全局地址池来覆盖它。

6.5 代理ARP导致的安全与性能隐患

代理ARP开起来之后性能开销不容小觑。网关需要对每个跨Sub-VLAN的ARP请求做出响应，如果Sub-VLAN特别多、终端特别多，VLANIF接口的CPU占用会明显偏高。不建议把Sub-VLAN数量堆到几十上百。

安全方面也要注意：代理ARP意味着网关会替所有Sub-VLAN内的终端回应ARP请求，这相当于扩大了ARP欺骗的攻击面。如果有安全设备或防ARP欺骗功能，记得联动配置。比如在接入交换机上开启DHCP Snooping和动态ARP检测（DAI），把信任端口和不信任端口分清楚，可以很大程度上降低风险。

7. 核心命令速查与配置模板

给出一份可以复制后手工修改的完整配置模板，方便你在真机上快速跑起来：

system-view sysname SW-LAB vlan batch 10 20 100 vlan 100 aggregate-vlan sub-vlan 10 20 quit interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit interface Vlanif100 ip address 192.168.100.254 255.255.255.0 arp-proxy enable quit dhcp enable interface Vlanif100 dhcp select interface quit save

验证命令清单：

display vlan display arp display ip routing-table display interface Vlanif100 display dhcp server interface Vlanif100

8. 我的几个实际体会

VLAN聚合这个技术，配置量不大，难的是理解它改变的那个基本假设：VLAN和三层网关不再是绑定的。很多人学了传统VLAN就固化了一个“一个VLAN必须有自己网关”的印象，接触聚合时会本能地觉得别扭。想通这一点，剩下的命令基本都是机械操作。

我在项目中尤其喜欢用它来规划无线网络。无线SSID往往不区分楼层，但安全策略要求不同楼层用户隔离，VLAN聚合模式下所有无线终端可以在一个大网段里，楼层之间不同的Sub-VLAN又天然二层隔离，接入交换机上再叠加访问控制规则，整个方案既简洁又安全。

最后分享一个细节。实验做完后记得顺手清一遍ARP缓存，命令行执行reset arp all，不然终端在代理ARP开关切换时，可能因为缓存了旧的MAC地址而出现“配置没问题但就是不通”的诡异现象，这种问题最容易让人怀疑人生。