让不同网段互相通信
跨 VLAN 不通的完整检查顺序
本课问题：跨网段业务失败时，如何从终端一直查到回程？ 学完你能：按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。
前置知识
- 为什么去程通、回程缺失仍然失败
课堂开场
本课问题：跨网段业务失败时，如何从终端一直查到回程？
学完结果：按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。
预计时间：40 分钟。前置课：为什么去程通、回程缺失仍然失败。
范围控制：本课不跳层猜测，也不一次改多个变量。
02基础知识讲解
财务 VLAN30 无法访问服务器 VLAN60，但办公 VLAN10 正常；需要在不重启设备的前提下提交完整证据链。
本课最小拓扑或状态图：Finance PC VLAN30 ─ Access ─ Trunk ─ Core Vlanif30 → route/ACL → Vlanif60 ─ Server
直觉解释：像沿运输链逐个验收交接点：终端参数、接入 VLAN、二层上联、网关 ARP、路由、策略、服务和回程，上一段未通过就先停在那里。
正式定义：分层证据链是按数据包实际路径，分别证明端系统、二层广播域、三层邻接与路由、策略、服务及反向路径状态的方法。
判断依据：最后检查正向路由、策略、目标服务与回程。
| 重点 | 你要理解 | 判断依据 |
|---|---|---|
| 重点 1 | 先确认源终端地址、掩码和网关正确。 | 确认终端参数和 VLAN30 正常后，发现 Core 的 Vlanif30 Up 但服务器网关缺少 10.10.30.0/24 回程，由此定位单一缺口。 |
| 重点 2 | 再验证接入 VLAN、网关接口和 ARP。 | 服务器网段是 Vlanif60 的直连前缀，证明核心具备正向三层出口。 |
| 重点 3 | 最后检查正向路由、策略、目标服务与回程。 | 源终端连网关都失败时停在接入层和 ARP。 |
03正确理解与常见误解
正确示例：确认终端参数和 VLAN30 正常后，发现 Core 的 Vlanif30 Up 但服务器网关缺少 10.10.30.0/24 回程，由此定位单一缺口。
错误示例：同时改 Trunk、网关和默认路由，业务恢复后无法说明根因，也无法安全回滚。
- 术语与判断：先确认源终端地址、掩码和网关正确。
- 术语与判断：再验证接入 VLAN、网关接口和 ARP。
- 术语与判断：最后检查正向路由、策略、目标服务与回程。
04老师演示
演示环境：设备 SW1，华为 S5735-L24T4X-A，VRP V200R022C00SPC500，当前提示符 <SW1>，隔离课程网络。教师准备执行只读命令：
安全说明：命令来自“查看三层接口地址与状态”华为实现，用于华为VRP 中用于查看三层接口地址与状态的最小操作与核验方法。 执行前已确认当前设备、版本、视图、影响对象、停止条件和输出脱敏范围。
脱敏真实输出：
<SW1>display ip interface brief | exclude unassigned Vlanif30 10.10.30.1/24 up up; ARP 10.10.30.42 resolved 10.10.60.0/24 Direct 0 0 D 10.10.60.1 Vlanif60 ping -a 10.10.30.1 10.10.60.10: 0.00% packet loss
异常输出：
Vlanif30 is up/up, but remote lookup 10.10.30.42 returns Route not found 指定源 Ping 请求到达服务器，响应计数为 0 差异说明：本地网关正常但远端对财务终端无路由，且响应计数为零，证据指向回程；下一步仅检查服务器网关到 10.10.30.0/24 的匹配。 此时不能套用正常结论；先保存采集时间，再执行“查看与清理 ARP 表”对应的最小只读检查。
05逐行读懂输出
结论：当前输出可以支持“按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。”中的基础判断，但仍要完成跟做任务和业务验收，不能把单份输出当作全部证明。
- 第 1 行“Vlanif30 10.10.30.1/24 up up; ARP 10.10.30.42 resolved”：Vlanif30 双 up 且已解析财务终端 ARP，证明财务终端到网关这一段可用。
- 第 2 行“10.10.60.0/24 Direct 0 0 D 10.10.60.1 Vlanif60”：服务器网段是 Vlanif60 的直连前缀，证明核心具备正向三层出口。
- 第 3 行“ping -a 10.10.30.1 10.10.60.10: 0.00% packet loss”：指定源 Ping 零丢包证明财务网关到服务器的端到端 ICMP 往返成功，仍不证明应用端口。
06学员跟做
起始状态：使用隔离课程环境，SW1 当前配置保持阶段基线，学员已登录但尚未执行本课检查。目标状态：按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。
操作步骤：①记录故障范围并核对财务终端地址、掩码、网关；②按接入口 VLAN、Trunk、Vlanif30、ARP 顺序保存二层与网关证据；③查询正向路由、ACL 命中、服务端口和远端回程；④只修复已证实缺口，复测正反例并提交阶段考核证据链；⑤进入“阶段考核：网关与静态路由”独立完成相同目标。
成功标准：输出与规划一致，立即闯关全部目标通过，并能用自己的话说明三个重点。失败检查顺序：①源终端连网关都失败时停在接入层和 ARP；②网关可达但目的前缀缺失时检查路由与下一跳；③请求到达目标仍无响应时检查服务、策略和回程。
- 保存教师演示命令和本次学员输出，文件名含设备、日期和课次。
- 步骤标题只提示检查对象，不复制最终答案。
- 失败时一次只验证一个假设，不连续粘贴未知命令。
07安全、验证与回滚
本课以只读观察为主。只读命令仍可能暴露资产信息，保存输出前要替换序列号、真实公网地址、账号和其他敏感字段；任何清表、重启、删除或配置动作都不属于本课。
验证必须同时回答：配置或输入是否正确、设备状态是否符合预期、真实任务“按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。”是否完成。
08本课关联资源
按顺序完成：先看命令 → 立即闯关 → 可选加练 → 案例步骤 → 返回本页复盘。
- 必学命令：查看三层接口地址与状态打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：查看与清理 ARP 表打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：查看路由表与匹配结果打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：使用指定源地址 Ping打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 立即闯关：阶段考核：网关与静态路由打开资源 →目标：独立完成“按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。”对应的最小任务｜完成标准：规则引擎全部目标通过并保存关键输出。
- 加练闯关：组合：VLAN 网关与默认路由打开资源 →目标：在另一厂商或异常状态重复本课能力｜完成标准：不看最终答案完成并写出证据顺序。
- 关联案例：办公、研发、财务 VLAN 网关打开资源 →目标：在“办公、研发、财务 VLAN 网关”案例中负责财务到服务器路径验收：提交终端、VLAN、ARP、路由、策略、服务与回程七项证据，并注明唯一修复项。｜完成标准：提交该任务的输入、输出、判断和回滚记录。
09自测一：概念判断
先判断对错，再写出为什么。
- 判断 1：以下做法是正确的——同时改 Trunk、网关和默认路由，业务恢复后无法说明根因，也无法安全回滚。
- 判断 2：以下做法是正确的——确认终端参数和 VLAN30 正常后，发现 Core 的 Vlanif30 Up 但服务器网关缺少 10.10.30.0/24 回程，由此定位单一缺口。
10自测二：输出解读
重新阅读老师演示的第 2 行输出：它能直接证明什么？还不能证明“按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。”中的哪一部分？请写出下一条最小验证证据。
11自测三：小型操作
在隔离环境或纸面拓扑中完成：按终端地址、VLAN、ARP、网关、路由、策略和回程提交证据链。 保存关键输出，按“现象—证据—结论—下一步”写四行记录；不得复制本页最终结论。
答案与复盘
13下一课
本阶段完成后进入“地址服务与设备管理”。先通过阶段考核并提交本阶段证据，再解锁下一阶段。