华为交换机划分了 VLAN，同一台设备上不同 VLAN 之间居然还能互通，隔离为什么没生效？

直接给结论：先分清这是不是「故障」。两个 VLAN 各配了三层网关（VLANIF 接口）时，跨 VLAN 流量走路由转发，互通是设计内的正常行为——二层隔离不等于三层断开，真要它们不相通，得动路由或上 ACL。「居然还能互通」多数带着惊讶而来，但网络里互通是默认态、隔离是要特意做的动作，抱着这个前提排查，方向感就有了。排除了设计因素，再看配置错漏：放行列表配错、PVID 配错，或者把「端口隔离」错当成「VLAN 隔离」。

第一步：先看有没有 VLANIF

display ip interface brief    # 看有没有 Vlanif 接口带地址
display vlan                  # 看端口归属

VLANIF10、VLANIF20 都配了地址且设备开着路由，两个网段天然互通——这不是隔离失效，是三层网关在干活。交换机之间的级联链路也要看一眼：两台交换机间若存在多条链路且都放行了同批 VLAN，生成树没收敛好时同样出现异常通路。要断开：删掉其中一个网关，或加 ACL 拦跨网段流量，或把三层管控挪到统一设备上做。很多「隔离没生效」的投诉，答案就在这一步。顺带核一句网关地址有没有配在同一台设备上——网关配错位置，隔离边界也跟着乱。设计意图先白纸黑字写下「哪些段该通、哪些不该」，验证才有对照。

第二步：没有网关还互通，查端口配置

• trunk 口的放行列表把不该放的 VLAN 放了，两段流量从同一条链路混了过去；
• hybrid 口的 untag 列表配多，把本该分开的网段合到了一起；
• 接入口 PVID 配错：配置里写的是 VLAN 10 和 20，实际包都塞进了同一个 VLAN 走——这类手误最常见也最难一眼看出，逐口核对才踏实。

核对顺序从可疑端口往两端延伸：先看互通的两个终端各接在哪个口，再沿链路把途经端口的类型、放行、PVID 串起来看，半路一处错配就现形。

第三步：别把两种「隔离」搞混

端口隔离是同一 VLAN 内端口之间互相不可见，VLAN 是把端口分进不同广播域，两套机制管的事不同。拿端口隔离的思路去理解 VLAN 互通，就会得出「隔离没生效」的误判——先明确业务要的是哪种隔离，再选对应的工具，配置和预期才对得上。另外留意上联口：接入交换机上联核心的 trunk 若放行过宽，跨设备的互通也会让人误以为本机隔离失效——隔离是逐段成立的，链路上任何一段通了，两端就通。

割接完成后拿真实业务流量验证，比看配置表踏实得多。验收单上把每对「该断的段」列成表格逐项打钩，验收过的边界在改动时重新过一遍。贵州诚鑫致达科技做网络改造验收时都按「先看网关、再查端口、后验流量」的顺序过一遍——隔离是不是真隔住了，测了才算。

企业存储选型参考｜贵州诚鑫致达

做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。