VLAN技术隔离二次广播域来减少广播的影响，并增强网络的安全性和可管理性，缺点是严格地隔离了不同VLAN间的任何二层流量。单臂路由就是通过一台路由器使VLAN间的数据通过路由器进行三层转发。
每个vlan分配一个单独的路由器物理接口，但由于路由器接口有限， 一个物理接口可以配置子接口（逻辑接口）的方式来实现一当多的功能。数据仅通过一条物理链路传输，故为单臂路由。
1、在交换上SW1 SW2 SW3创建access接口和trunk接口
SW2，配置与交换机间接口为trunk，允许所有vlan通过，与PC的接口为access，定义为vlan 10和vlan 20
[SW2]int g0/0/1
[SW2-GigabitEthernet0/0/1]port link-type access
[SW2-GigabitEthernet0/0/1]port default vlan 10
[SW2-GigabitEthernet0/0/1]INT G0/0/3
[SW2-GigabitEthernet0/0/3]port link-type access
[SW2-GigabitEthernet0/0/3]port default vlan 20
[SW2]int g0/0/2
[SW2-GigabitEthernet0/0/2]port link-type trunk
[SW2-GigabitEthernet0/0/2]port trunk allow-pass vlan all
SW3，配置与交换机间接口为trunk，允许所有vlan通过，与PC的接口为access，定义为vlan 30
[SW3]int g0/0/1
[SW3-GigabitEthernet0/0/1]port link-type access
[SW3-GigabitEthernet0/0/1]port default vlan 30
[SW3]int g0/0/2
[SW3-GigabitEthernet0/0/2]port link-type trunk
[SW3-GigabitEthernet0/0/2]port trunk allow-pass vlan all
SW1，配置交换机之间，交换机与路由器之间的接口为trunkm，允许所有vlan通过。
[SW1]vlan batch 10 20 30
[SW1]int g0/0/1
[SW1-GigabitEthernet0/0/1]port link-type trunk
[SW1-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[SW1-GigabitEthernet0/0/1]int g0/0/2
[SW1-GigabitEthernet0/0/2]port link-type trunk
[SW1-GigabitEthernet0/0/2]port trunk allow-pass vlan all
[SW1-GigabitEthernet0/0/2]int g0/0/3
[SW1-GigabitEthernet0/0/3]port link-type trunk
[SW1-GigabitEthernet0/0/3]port trunk allow-pass vlan all
R路由器配置，配置子接口IP
[R-GigabitEthernet0/0/1.1]int g0/0/1.1
[R-GigabitEthernet0/0/1.1]ip address 192.168.1.254 24
[R-GigabitEthernet0/0/1.1]int g0/0/1.2
[R-GigabitEthernet0/0/1.2]ip address 192.168.2.254 24
[R-GigabitEthernet0/0/1.2]int g0/0/1.3
[R-GigabitEthernet0/0/1.3]ip address 192.168.3.254 24
R路由器配置，配置路由器子接口封装VLAN。不同vlan不同网段的pc通信，路由器进行转发，交换机SW1发送到R路由器都加上了VLAN标签，路由器作为三层设备，默认无法处理带了vlan标签的数据包。需要配置对vlan的封装，使路由器能够识别和处理vlan标签，剥离或者封装vlan标签。
[R]int g0/0/1.1
[R-GigabitEthernet0/0/1.1]dot1q termination vid 10 #剥离tag进行三层转发，发送报文时将tag添加到报文中
[R-GigabitEthernet0/0/1.1]arp broadcast enable #开启子接口的arp广播功能
[R-GigabitEthernet0/0/1.1]int g0/0/1.2
[R-GigabitEthernet0/0/1.2]dot1q termination vid 20
[R-GigabitEthernet0/0/1.2]arp broadcast enable
[R-GigabitEthernet0/0/1.2]int g0/0/1.3
[R-GigabitEthernet0/0/1.3]dot1q termination vid 30
[R-GigabitEthernet0/0/1.3]arp broadcast enable
配置完成后，display ip interface brief查看接口状态，物理状态和协议状态都正常。
最后ping测试连通性。
两台oPC处于不同的网络中，这时PC1将数据包发送自己的网关即路由器R子接口G0/0/1.1的地址192.168.1.254/24。路由器接收到数据包时，PC1发送的VLAN 10的数据帧和自身G0/0/1.1接口配置的VLAN ID一样，便会剥离vlan标签后通过三层路由转发。
dis ip routing-table查看路由表，目的地址192.168.2.1所属网段在路由表上出接口为192.168.2.254，将数据帧发送给接口G0/0/1.2，接口G0/0/1.2接收到一个剥离vlan 标签的数据帧时，便会加上自身接口配置的vlan 20后再进行转发。