子接口为什么能带多网段
单臂部署或 VLAN 终结场景里，防火墙一个物理口通过 dot1q 子接口承载多个 VLAN，每个子接口是独立的三层接口，拥有自己的 IP 与掩码，需要各自加入安全区域，策略才能按源/目的区域正确匹配。父接口的工作模式决定了子接口能否创建，先配子接口再改父接口模式往往直接报错。
基本信息
| 适用平台 | 华为 USG、H3C SecPath 等支持子接口与安全区域的防火墙 |
|---|---|
| 接口形态 | 物理口上创建 dot1q 子接口，或创建 VLANIF 三层接口 |
| 关键动作 | 每个子接口或三层接口单独 import 到安全区域 |
| 对端配合 | 交换机 Trunk 必须放通对应 VLAN，两端封装一致 |
典型使用场景
- 单臂部署：防火墙只用一个物理口连接核心交换机，用子接口区分内网多个网段
- VLAN 间访问控制：不同 VLAN 互为不同区域，策略按区域约束横向流量
- 服务器区隔离：把服务器 VLAN 单独建成区域，只放行业务端口
- 渐进式改造：新增 VLAN 时只加子接口与区域归属，不必改动物理链路
- 故障定位辅助：按子接口统计流量，能快速判断是某个网段不通还是整体不通
华为配置示例
华为配置示例
system-view
interface GigabitEthernet1/0/1.10 # 创建 dot1q 子接口
vlan-type dot1q 10 # 绑定 VLAN 10
ip address 192.168.10.1 255.255.255.0 # 子接口网关地址
quit
security-zone name trust
import interface GigabitEthernet1/0/1.10 # 子接口加入安全区域
quit子接口不通排查
| 检查项 | 正确状态 | 异常表现 |
|---|---|---|
| 父接口模式 | 允许创建子接口 | 创建子接口时报错 |
| 子接口区域归属 | 已导入目标安全区域 | 会话不建立，被默认策略丢弃 |
| 对端 Trunk | 已放通该 VLAN | 子接口收不到任何流量 |
| 封装类型 | 两端 dot1q 一致 | 接口 up 但报文被丢弃 |
子接口数量多时逐条核对区域归属，漏配的子接口流量会被默认策略静默丢弃，现场表现只是「这个网段不通」。