校园网环境下，同一网段下的设备通信为什么还要经过网关？

[DeltaC]

校园网环境

手机 inet 172.18.17.20 netmask 255.255.0.0

电脑 inet 172.18.17.27 netmask 255.255.0.0

在电脑上 traceroute

traceroute to 172.18.17.20 (172.18.17.20), 30 hops max, 60 byte packets
 1  _gateway (172.18.255.254)  3.990 ms  4.610 ms  3.825 ms
 2  172.18.17.20 (172.18.17.20)  97.555 ms * *

电脑路由表

❯ route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.18.255.254  0.0.0.0         UG    600    0        0 wlan0
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 docker0
172.18.0.0      0.0.0.0         255.255.255.0   U     0      0        0 br-f29964e7f1bb
172.18.0.0      0.0.0.0         255.255.0.0     U     600    0        0 wlan0
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0

我的疑问是：电脑和手机在同一网段下，按照我的理解，通信应该不经过网关，因此 traceroute 应该一步到位，但实验并非如此，这是为什么呢？

[flynaj]

应该是做了网络隔离，防止网络风暴。每个 IP 都是隔离开的，通讯只能通过网关。

[swulling]

看下 arp

[pennai]

一般公共网络为了 arp 泛洪会划分 vlan 减小广播域的，这时候不同 vlan 之间通信要经过交换机，所以 trace route 会显示路由器（三层交换机或路由交换机）

[ysc3839]

抓包看看目标 MAC 吧，如果目标 MAC 确实是手机的 MAC ，可能是被强制重定向了。大概是为了过滤内网设备之间的流量。

[JustSong]

你用的是无线网吧？我猜是不是无线网和以太网不太一样呢，无线网要经过路由器中转一下

[smallfount]

intra-vlan 隔离了呗。。。简单的说就是没有纯 2 层 client 之间通信了。。所有 client 都是被隔离的状态所有的流量都需要适配 gateway 的放行规则。。。现在很常见的做法拉

[A01514035]

我觉得 6 楼说的很有道理，有可能是这样。
看了一下我校的，同一网段下的设备通信不需要经过网关。
两个有线网连接的设备不需要。
手机无线网，电脑有线网，也不需要。

[testver]

网络隔离吧，我家里的几个 unifi ap ，来宾的无线网就设置成网络隔离的。

[NewYear]

@smallfount

你好，请问具体用的是哪种技术（只搜到 802.1Q ），按照你给的关键字查了也没查明白。对于这种明明应该在同一个广播域，却不在同一个广播域，似乎是通过路由进行中转的方式，还是很感兴趣的。

[smallfount]

@NewYear
我报的是 Aruba 用的 intra-vlan deny 。
一般各个公司的设备名字不太一样功能大同小异。。。。大部分都是通过 ACL 控制来完成的其实。。。

[NewYear]

@smallfount 谢谢分享。