路由器与二层交换机及PC直连时，路由器创建VLAN以实现通信，其核心原理在于路由器必须承担起"三层网关"和"VLAN终结者"的双重角色，以弥补二层交换机无法进行IP路由的缺陷。这个过程涉及数据链路层（二层）与网络层（三层）之间的逻辑与功能交接，其背后机制可从以下几个层面展开。
一、 基础网络模型与设备角色界定
在该场景中，各设备扮演的角色和功能边界是理解原理的前提：
| 设备 | 工作层次 | 核心功能 | 在VLAN通信中的局限性 |
|---|---|---|---|
| PC | 三层（网络层及以上） | 产生和接收IP数据包，具备IP地址。 | 默认只能与同网段（同VLAN）设备通信。 |
| 二层交换机 | 二层（数据链路层） | 基于MAC地址表进行帧交换，可划分VLAN隔离广播域。 | 无法识别和处理IP包头，不能在不同IP网段（即不同VLAN）间转发数据。 |
| 路由器 | 三层（网络层） | 基于路由表进行IP数据包的路由转发，连接不同网络。 | 物理接口通常属于一个广播域，默认不支持VLAN标签。 |
关键矛盾：PC间需要基于IP进行跨网段通信，但连接它们的二层交换机仅能进行二层VLAN内转发。路由器作为三层设备，其传统物理接口又不直接感知或处理VLAN标签。
二、 路由器创建VLAN的解决方案与原理
为解决上述矛盾，主要有两种主流方案，其本质都是让路由器接口能够识别并处理来自不同VLAN的流量。
方案一：路由器使用多个物理接口（多臂路由）
这是最直观的方案。路由器为每个需要互通的VLAN分配一个独立的物理接口。
1. 网络拓扑与数据流
PC1 (VLAN 10) <--> [SW Access端口 VLAN10] <--> [Router Interface G0/0/1]
PC2 (VLAN 20) <--> [SW Access端口 VLAN20] <--> [Router Interface G0/0/2]- 交换机侧：连接PC的端口配置为
Access模式，并分别划分到VLAN 10和VLAN 20。连接路由器的两个端口也配置为对应VLAN的Access模式。 - 路由器侧：两个物理接口
G0/0/1和G0/0/2分别配置为VLAN 10和VLAN 20的网关IP地址（如192.168.10.1/24和192.168.20.1/24）。
2. 通信原理与功能交接
- PC1 -> PC2的流程 ：
- PC1（三层决策） ：判断目标IP
192.168.20.2与自身不在同一网段，将IP数据包发往默认网关192.168.10.1。 - 二层交换机（二层转发） ：收到发自PC1的以太网帧（目的MAC为路由器
G0/0/1的MAC）。根据MAC地址表和入端口VLAN信息，将帧从属于VLAN 10的端口转发给路由器。此处完成第一次交接：交换机基于MAC和VLAN完成二层寻址，将帧送达网关设备。 - 路由器（三层路由） ：接口
G0/0/1收到帧，解封装后得到IP数据包。查询路由表，发现目标网络192.168.20.0/24是其直连路由（通过接口G0/0/2）。因此，路由器执行路由转发：将数据包从G0/0/2接口发出，源MAC地址改为G0/0/2的MAC，目的MAC地址为PC2的MAC（通过ARP获得）。 - 二层交换机（二层转发）：从属于VLAN 20的端口收到路由器发来的帧，根据目的MAC地址表将帧转发给PC2。
- PC2（三层接收）：接收并处理IP数据包。
- PC1（三层决策） ：判断目标IP
逻辑交接点 ：交换机与路由器之间的物理链路 。交换机在此处交付的是带有VLAN成员身份（由Access端口决定）但无标签的以太网帧 ；路由器则在此终结该VLAN的二层域 ，并开启三层路由进程。路由器的每个物理接口在逻辑上等同于一个独立VLAN的网关。
方案二：路由器使用子接口（单臂路由）
这是更高效的方案，通过逻辑子接口在单个物理链路上承载多个VLAN。
1. 网络拓扑与数据流
PC1 (VLAN 10) <--> [SW] <--(Trunk)--> [Router Physical Interface G0/0/1.1 (VLAN10)]
PC2 (VLAN 20) <--> [SW] <--(Trunk)--> [Router Physical Interface G0/0/1.2 (VLAN20)]- 交换机侧：连接路由器的单一物理端口配置为
Trunk模式，允许VLAN 10和20的带标签帧通过。 - 路由器侧：在物理接口
G0/0/1上创建两个逻辑子接口（如G0/0/1.1和G0/0/1.2），并分别配置dot1q termination vid命令来终结指定的VLAN标签（如10和20），同时为每个子接口配置对应VLAN的网关IP。
2. 通信原理与功能交接
- PC1 -> PC2的流程 ：
- PC1（三层决策） ：同上，将包发往网关
192.168.10.1。 - 二层交换机（二层标记与转发） ：收到PC1的帧（无标签），根据入端口VLAN信息，在从
Trunk端口转发前，为其添加VLAN 10的802.1Q标签。然后将带标签的帧从Trunk口发往路由器。 - 路由器子接口（二层终结与三层网关） ：物理接口
G0/0/1收到带VLAN 10标签的帧。系统根据标签VLAN ID=10，将其递交给配置了终结VLAN 10的子接口G0/0/1.1处理。该子接口执行关键操作：剥离802.1Q标签，恢复为标准以太网帧，然后进行三层路由处理 。查询路由表后，发现目标网络需要通过子接口G0/0/1.2（VLAN 20）转发。 - 路由器子接口（三层转发与二层封装） ：路由引擎将数据包交给子接口
G0/0/1.2。该子接口需要将数据包发往VLAN 20。它为IP数据包封装新的以太网帧头，源MAC为自己，目的MAC为PC2，并在帧头中插入VLAN 20的802.1Q标签，然后从物理接口发出。 - 二层交换机（二层标记与转发）：从Trunk口收到带VLAN 20标签的帧，根据标签确定目标VLAN，移除标签后，从属于VLAN 20的Access端口转发给PC2。
- PC2（三层接收）：接收并处理IP数据包。
- PC1（三层决策） ：同上，将包发往网关
逻辑交接点 ：路由器子接口 。这里是二层与三层功能的核心交接面。
- 入方向（接收来自交换机的帧） ：子接口作为VLAN终结点 ，剥离VLAN标签，完成二层处理，将纯IP数据包上交三层路由引擎。这标志着二层传输的终结 和三层路由的开始。
- 出方向（发送帧至交换机） ：子接口作为VLAN发起点 ，在封装以太网帧时主动添加VLAN标签，将三层路由后的数据包"打上"目标VLAN的标记，交还给二层链路传输。这标志着三层路由的完成 和二层传输的恢复。
三、 方案对比与总结
| 特性 | 多臂路由（多物理接口） | 单臂路由（子接口） |
|---|---|---|
| 物理接口消耗 | 多（每个VLAN一个） | 少（多个VLAN共享一个） |
| 链路利用率 | 低，每个VLAN独占链路带宽 | 高，所有VLAN流量共享单条链路带宽，可能产生瓶颈 |
| 配置复杂度 | 较低，逻辑简单直观 | 较高，需配置子接口和VLAN终结 |
| 功能交接位置 | 路由器物理接口 | 路由器逻辑子接口 |
| 适用场景 | VLAN数量少、对带宽要求高的小型网络 | VLAN数量多、节省路由器端口的中小型网络 |
| 本质 | 物理隔离下的网关分离 | 逻辑隔离下的网关集成 |
背后原理核心 ：无论采用哪种方案，路由器创建或关联VLAN的根本目的，是为原本被二层交换机隔离的每个广播域（VLAN）提供一个三层逻辑接口（网关） 。这个接口成为该VLAN内主机进行跨网段通信的"出口"和"入口"。数据包在此经历"解封装-路由决策-再封装"的过程，实现从基于MAC/VLAN的二层交换，到基于IP地址的三层路由的关键跨越。功能的交接就发生在这个三层接口上：它终结了来自某个VLAN的二层帧，并开启了通往其他IP网络（或其他VLAN）的三层路径。