ENSP中配置VLAN后ping不通，常见原因有哪些？

Question

在ENSP中配置VLAN后ping不通，常见原因包括：① 交换机端口未正确划分到对应VLAN（如access口未执行`port default vlan X`，trunk口未允许VLAN通过）；② 缺少三层网关（如SVI接口未创建、IP未配置或未启用`no shutdown`）；③ 主机IP地址、子网掩码或默认网关配置错误（尤其跨VLAN通信时网关必须是SVI或路由器接口IP）；④ trunk链路两端VLAN允许列表不一致或native VLAN不匹配导致标签丢弃；⑤ 防火墙策略或ACL隐式拒绝ICMP；⑥ ENSP模拟器资源不足或设备版本兼容性问题（如CE6800系列部分版本SVI不生效）。建议按“物理连通→VLAN划分→IP配置→路由/网关→ACL/策略”逐层排查，并使用`display vlan`、`display ip interface brief`、`ping -r`等命令验证。

Answer 1

```html

一、物理连通性验证：链路层基础不可撼动

ENSP中VLAN通信失效的起点，永远是物理/数据链路层。需确认：网线连接状态（ENSP中连线是否为绿色实线）、设备电源状态（display device检查单板在线）、端口双工与速率协商（display interface GigabitEthernet 0/0/1观察line protocol is up）。特别注意：ENSP默认启用STP，若未关闭且拓扑存在环路，端口可能处于discarding状态——此时即使VLAN配置正确，二层转发亦被阻断。

二、VLAN划分与端口角色深度解析

• Access口：必须显式执行port default vlan 10（而非仅vlan 10），否则归属默认VLAN 1；
• Trunk口：需双侧同步配置port trunk allow-pass vlan 10 20，缺一不可；
• Hybrid口（常被忽略）：若混用，须明确port hybrid untagged vlan 10与port hybrid pvid vlan 10语义差异。

关键验证命令：display vlan输出应显示端口所属VLAN列表，且display port vlan可交叉比对实际生效状态。

三、三层网关构建：SVI或路由接口的“生死线”

设备类型	必需操作	高频陷阱
L3交换机（S5700/S6720）	创建SVI：interface Vlanif 10 → ip address 192.168.10.1 24 → undo shutdown	忘记undo shutdown导致接口administratively down
路由器（AR1220）	子接口封装：interface GigabitEthernet0/0/0.10 → dot1q termination vid 10 → ip address 192.168.10.254 24	未启用ARP广播：arp broadcast enable（部分版本默认关闭）

四、终端IP栈配置：跨VLAN通信的“信任锚点”

主机配置错误占比超40%。必须满足三要素严格匹配：

1. IP地址与SVI/路由器子接口位于同一子网（如SVI为192.168.10.1/24，PC必须设为192.168.10.x/24）；
2. 子网掩码精确一致（255.255.255.0 ≠ /24在某些ENSP版本解析异常）；
3. 默认网关必须指向SVI或路由器三层接口IP（绝不可指向其他PC或交换机管理IP）。

五、Trunk链路协同：标签世界的“外交协议”

graph LR
  A[SwitchA Trunk口] -->|允许VLAN 10,20| B[SwitchB Trunk口]
  A -->|Native VLAN=1| C[默认不打标流量]
  B -->|Native VLAN=99| D[丢弃未标记帧]
  style D fill:#ff6b6b,stroke:#333

Native VLAN不匹配是静默故障元凶：当SwitchA native VLAN=1，SwitchB native VLAN=99时，所有未标记帧在B侧被直接丢弃。解决方案：两端强制统一port trunk pvid vlan 1，或全局禁用native VLAN处理（undo port trunk allow-pass vlan 1）。

六、策略拦截层：ACL与防火墙的隐性屏障

华为设备默认启用firewall packet-filter default permit，但若手动配置ACL则触发隐式拒绝。典型误配：

acl number 3000
 rule 5 deny icmp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
 rule 10 permit ip

该ACL因rule 5精确匹配ICMP且无permit icmp规则，导致跨VLAN ping失败。验证命令：display acl 3000 + display firewall session table verbose观察会话建立状态。

七、ENSP模拟器特异性陷阱：版本与资源的双重枷锁

• CE6800系列兼容性：v200R005C00及更早版本存在SVI接口display ip interface brief显示UP但实际不转发的已知缺陷，需升级至v200R019或改用S6720替代；
• 内存溢出表现：ENSP主进程占用>2.8GB内存时，VLAN间路由表项可能无法同步至FIB，现象为display ip routing-table有直连路由但ping -r显示“Request time out”；
• 抓包佐证：在PC端Wireshark捕获到ARP请求发出但无ARP响应，基本定位为网关SVI未生效或ARP代理未开启。

```