VLAN间通信必须依赖三层设备，因VLAN是二层广播域隔离技术，不同VLAN间MAC不可见、交换机默认不跨VLAN转发，且二层设备无法解析IP地址进行路由决策。

先确认子网边界是否真被防火墙拦截

子网划分后，跨子网通信必须经过三层设备（如路由器、三层交换机或防火墙）。如果业务包在子网间不通，不能默认归因为“防火墙拦截”，得先验证流量是否真的抵达了防火墙。常见误判是：源主机配置错误（比如网关设错）、路由缺失、VLAN未透传，导致包根本没走到防火墙就丢了。

建议按顺序检查：

• 从源主机 ping 同子网网关 —— 验证二层可达性和本地网关配置是否正确
• 从源主机 ping 目标子网的网关IP（不是目标主机）—— 确认三层路由已下发且下一跳可达
• 登录防火墙，用 策略命中日志 或 会话表（session table） 查看是否有匹配该流的会话条目；没有会话，说明包没到防火墙，问题在前段

检查防火墙策略是否覆盖了子网通信路径

子网划分后，原有“any-to-any”策略往往失效。很多防火墙默认只放行内网到外网（trust-to-untrust），而新划的两个内网子网之间（如192.168.10.0/24 ↔ 192.168.20.0/24）属于 trust-to-trust 流量，若未显式放行，会被默认拒绝。

重点核查：

• 策略的 源区域/目的区域 是否包含这两个子网所在的接口区域（例如 LAN 和 SERVER）
• 策略的 源地址/目的地址 是否精确填写了对应子网网段（如 192.168.10.0/24），而非笼统写 “any” 或 “内网地址簿” 却漏更新
• 策略的 服务/端口 是否包含业务实际使用的协议（如 TCP 8080、UDP 53），注意 DNS、NTP、健康检查等辅助流量也常被忽略

验证 ARP 与路由协同是否正常

即使防火墙策略正确，子网间通信仍可能卡在二层。典型现象是：能 ping 通网关，但 ping 不通目标子网内任何主机；抓包发现源主机反复发 ARP 请求目标主机 IP，却收不到应答。

这通常意味着：

• 目标子网的网关（即防火墙对应接口）未开启 代理 ARP，且目标主机自身没有配置指向该网关的静态路由
• 防火墙接口未启用 同一子网多IP 或 辅助IP 功能，无法响应非直连子网的ARP请求
• 交换机上该 VLAN 的 三层接口或 SVI 地址未配置，或物理链路未将子网流量导向防火墙

用策略日志+抓包定位具体拦截点

当确认流量到达防火墙但被丢弃时，打开防火墙的 安全策略日志（如华为USG的“策略命中日志”，FortiGate的“traffic log”），过滤源/目的IP和端口，查看是哪条规则触发了 deny 行为。日志中会明确记录匹配的策略ID、动作、原因（如“no matching policy”、“service not allowed”）。

进阶排查可配合抓包：

• 在防火墙入向接口抓包：确认包是否收到、MAC/IP是否正确、TTL是否异常
• 在出向接口抓包：确认包是否发出、目的MAC是否为下一跳、是否被NAT改写
• 对比两端抓包，若入向有包、出向无包，基本锁定是策略或NAT规则阻断