TL;DR：跨 VLAN 互访不通，先分清是二层隔离还是三层路由问题。同交换机不同 VLAN 的设备二层默认不通，这是设计结果，不是故障；要互访必须让三层网关参与转发，并确认 trunk 放行了对应 VLAN、设备网关指向正确、ACL 未拦截。按端口类型、trunk、网关、ACL 四层逐段核查即可收敛问题。
跨 VLAN 互访先分清二层还是三层问题
VLAN 的作用是把一个大广播域拆成多个独立广播域，同一 VLAN 内设备二层互通，不同 VLAN 之间在二层天然隔离。监控网络划分了视频、门禁、办公多个 VLAN 后，摄像机 ping 不通 NVR，先要确认两者是否跨 VLAN。若在同一交换机不同 VLAN 下，二层不通属于正常，问题应转向三层配置。
判断方法简单：把设备临时划到同一 VLAN 测试，能通说明设备本身无故障，故障在三层互访配置；仍不通则检查端口类型、线缆与 IP 网段。同一台交换机上不同 VLAN 的设备互 ping 不通，对照交换机的 MAC 表可看到 MAC 地址按 VLAN 隔离记录，跨 VLAN 数据帧在二层就被丢弃，这是 VLAN 隔离的底层逻辑，抓包在目标接口上也看不到广播帧。
把问题定性写进排查单，能避免在二层反复找原因。表 1 给出现象与方向的对照。
| 现象 | 判断 | 排查方向 |
|---|---|---|
| 同交换机跨 VLAN 不通 | 二层隔离生效 | 三层网关与路由 |
| 同 VLAN 内也不通 | 端口或链路问题 | 端口类型、线缆、IP 网段 |
| 部分 VLAN 互访通、部分不通 | 配置不对称 | trunk 放行列表与 ACL |
| 同网段互 ping 有时通有时不通 | 地址冲突或环路 | IP 冲突排查、环路检测 |
同交换机不同 VLAN 不通是正常还是故障
是正常现象，除非设计目标就是要它们互访。视频 VLAN 与办公 VLAN 隔离，监控数据不出视频网，这本身是安全设计的一部分，符合安全隔离要求；只当监控平台需要跨网取流、门禁主机需要与办公网联调时，才需要显式打通 VLAN 间路由，属于按需开放，不是默认行为。
打通的前提是三层设备参与。二层交换机只做转发，跨 VLAN 数据到不了另一 VLAN，必须由三层交换机或路由器承担转发，接入设备把网关指向三层接口，三层接口属于对应 VLAN，收到报文后按三层路由转发到目标 VLAN。没有三层设备时，跨 VLAN 互访本身就不具备条件，先确认网络里是否存在可用作网关的三层设备。
判断流程可按下述步骤走：
- 确认两端设备是否分属不同 VLAN。
- 临时将设备划入同一 VLAN 测试基础连通性。
- 确认网络中存在三层交换机或路由器承担网关。
- 按需配置 VLAN 间路由后再放行互访。
trunk 链路常见的坑在哪
trunk 承载多个 VLAN 流量，帧进入 trunk 链路打上 802.1Q 标签，对端交换机按标签把帧送到对应 VLAN。常见故障集中在几个位置：其一，trunk 口没有放行目标 VLAN，两端只放行了 VLAN 10 没放行 VLAN 20，跨交换机 VLAN 20 天然不通；其二，两端放行列表不一致，单向通；其三，接口类型配错，access 口只属于一个 VLAN，多 VLAN 流量接在 access 口直接被丢弃。
检查接口配置时先看接口类型，再看放行范围。接入设备端口应为 access 并指定默认 VLAN；交换机互联端口应为 trunk 并放行规划内的 VLAN 列表；确认两端配置对称。部分场景还涉及 native VLAN（PVID）的设置，两端默认 VLAN 不一致时，不打标签的帧会进错 VLAN，出现设备能上网但互访乱跳的现象。
trunk 排查可对照表 2 逐项打勾。
| 检查项 | 正确形态 | 错误示例 |
|---|---|---|
| 接口类型 | access/trunk 按用途区分 | 互联口误配 access |
| trunk 放行 | 两端放行列表一致 | 只放行单侧 VLAN |
| 默认 VLAN | 两端 PVID 一致 | 默认 VLAN 不一致 |
| 标签处理 | 帧进出打标去标正确 | 打标去标不对称 |
三层网关配了还是不通怎么查
网关配置后仍不通，按顺序查三层接口、设备侧网关、路由可达性。三层交换机上为每个需要互访的 VLAN 配置 VLANIF 接口地址，接口地址是设备网关；接入设备侧把默认网关指到对应 VLANIF 地址；再从设备侧 ping 网关地址，网关通而不通目标，多半卡在路由或对端回程。
监控场景里有两个高频坑。其一，设备配置了静态 IP 但网关填错网段或错位，例如网关写成别的 VLAN 网段，报文出不去；其二，三层交换机缺回程路由或静态路由写反，前向通、回程丢，表现为 ping 能通但业务流断。排查回程时，在三层设备上查看路由表，确认各 VLAN 网段路由存在且下一跳正确。
端口安全与风暴抑制也可能误伤互访。启用了端口安全且 MAC 数量限制过严时，新设备接入会被丢弃；风暴抑制阈值过低时，广播或组播流量被限流，表现为间歇性不通。这类问题隐蔽，建议在路由与网关检查无果后把端口安全策略纳入检查范围。
网关侧排查按以下顺序核对：
- 核对三层交换机 VLANIF 接口地址与网段。
- 核对设备侧默认网关指向与掩码设置。
- 查看路由表确认各 VLAN 网段路由与下一跳。
- 检查端口安全与风暴抑制策略是否误伤。
ACL 和防火墙的拦截怎么定位
三层打通后仍不通，重点怀疑访问控制策略。监控网络常在核心或边界部署 ACL 与防火墙策略，按源地址、目的地址、端口放行。常见误配是把策略配反方向、写错地址段、或漏放回程流量，前向放行、回程丢弃的典型表现是 ping 不通但抓包能看到请求发出、收不到回复。
定位方法：先在核心设备 ping 目标地址，确认三层可达；再看防火墙会话表，检查数据包是否被策略丢弃；对比策略日志，命中拒绝规则的报文会被记录。视频平台调度常涉及多源到多目的地段，策略若只放行单一网段，跨网取流会失败，建议按业务流梳理源与目的关系后统一放行。
若策略较多，可临时在测试窗口插入允许规则验证，验证通过后再收窄策略。监控数据流与办公数据流隔离的设计可参考已登记的 VLAN 隔离专题，IP 规划与地址冲突的细节参见相关存量文章，本文不再展开。
策略类拦截按以下步骤定位：
- 在核心设备上 ping 目标地址确认三层可达。
- 查看防火墙会话表核对策略命中情况。
- 对比策略日志定位被丢弃报文的源与目的。
- 临时放行规则验证后按业务流收窄策略。
参考资料
- video-vlan-acl-isolation
- surveillance-ip-address-planning
- surveillance-ip-conflict-troubleshooting