一台办公室电脑能访问内网服务器，却打不开外部网站。查看地址配置，电脑是 `192.168.20.18/28`，默认网关填成了 `192.168.20.33`。两个地址都以 `192.168.20` 开头，看起来离得很近，问题却恰好出在这里。对这台电脑而言，`192.168.20.33` 并不属于它所在的子网。发往外部网站的数据包需要交给默认网关，而电脑在交出数据包之前，必须先找到网关所在的网络接口。连这一跳都走不通，后面的路由器再强也无从发挥作用。

日常说的「主机和默认网关必须在同一子网」，是在描述普通以太网环境中的一条配置原则。它背后的要求更精确一些，主机选定的下一跳，必须能通过相应的出站接口直接到达。对常见的 `IPv4` 局域网，主机通过自己的地址和子网掩码建立直连路由，并据此判断网关地址是否位于可直接到达的范围。理解了「下一跳必须可达」，就能看懂为什么常规配置要把网关放在同一子网，也能理解某些特殊配置为什么表面上违反这句话，通信却依然成立。

先把「网关」想成一次交接，而不是一条通往终点的完整路线。电脑访问外部网站时，网站的 `IP` 地址依然是数据包的目标地址。默认网关只是电脑决定把这个数据包交给谁，让对方继续转发。假定电脑地址为 `192.168.20.18/28`，默认网关为 `192.168.20.17`，访问目标为 `203.0.113.8`。离开电脑时，`IP` 数据包的目标地址是 `203.0.113.8`。在普通以太网中，承载这个数据包的第一帧，则要送往网关接口的 `MAC` 地址。

这里有两个容易混淆的「目的地」。网络层关心数据包最终要去的 `IP` 地址，链路层关心当前这一段链路上，帧要交给哪个设备。跨越路由器时，数据包沿途的链路层封装会随每一跳变化，而最终目标 `IP` 地址不会因为主机把包交给默认网关，就自动变成网关的地址。默认网关能够工作，靠的正是主机先完成这次本地交接。

现在回到那台 `192.168.20.18/28` 的电脑。`/28` 表示前 `28` 位属于网络前缀，对应子网掩码 `255.255.255.240`。最后一个字节每 `16` 个地址构成一个地址块。地址 `18` 落在 `16` 到 `31` 这一块，因此主机所在的网络是 `192.168.20.16/28`。在通常的局域网配置中，`192.168.20.16` 是网络地址，`192.168.20.31` 是广播地址，可供普通主机接口使用的地址从 `192.168.20.17` 到 `192.168.20.30`。

`192.168.20.17` 落在这个范围内，适合作为该子网内路由器接口的地址。`192.168.20.33` 则落在下一块，也就是 `192.168.20.32/28`。只看地址的前三段会误判；主机判断本地范围，依据的是完整的子网掩码。把主机地址与掩码逐位进行「与」运算，得到 `192.168.20.16`。用同一个掩码处理 `192.168.20.33`，得到 `192.168.20.32`。两个网络地址不同，按照这份普通配置，主机不会把 `192.168.20.33` 当作本子网内的邻居。

有人会想到一个看似合理的办法，让电脑先把数据交给另一个路由器，再由那个路由器转交给 `192.168.20.33`。问题是，默认网关正是电脑在没有更具体路线时要依靠的那个下一跳。如果电脑为了到达默认网关，还得依靠这条默认路由，逻辑就绕回了原点。电脑需要一条独立、可实际执行的路径，才能找到第一跳。普通家庭或办公网络把网关接口配置在主机所在子网，正是为了让这件事直接成立。

在以太网中，这个过程还能从 `ARP` 看得更清楚。电脑准备把包交给 `192.168.20.17` 时，需要知道该接口的 `MAC` 地址。它可以在本地链路上发送 `ARP` 请求，询问谁拥有这个 `IP` 地址。拥有该地址的网关接口回应后，电脑便能构造以网关 `MAC` 为目的地址的以太网帧，把原本发往远端的 `IP` 数据包放进帧里。路由器收到帧、取出数据包，再依据自己的路由表决定后续转发方向。

`ARP` 请求不是一种可以穿过任意路由器、在整个互联网中寻找地址的广播。它工作在本地链路的范围内。如果某个网关接口位于另一条链路，电脑不能单凭知道它的 `IP` 地址，就直接取得那个接口的 `MAC` 地址并把帧送过去。网关地址和主机处于同一子网，是普通配置用来表达「这个下一跳就在可直接到达的链路上」的方式。

此处还要把「同一子网」和「接在同一台交换机上」分开。两台设备插在同一台交换机的两个端口，端口却可能属于不同的 `VLAN`。它们的广播通常不会直接相通，主机发出的 `ARP` 请求也到不了另一侧。反过来，一台路由器的上联接口与主机隔着多台交换机，只要交换网络把它们接入同一个可达的二层网络，主机依然可以与这个网关接口完成本地交接。物理距离、交换机台数，以及地址看上去是否相似，都不能单独替代对子网和链路可达性的判断。

办公室里常见的情形是，交换机为员工电脑分配办公 `VLAN`，防火墙或三层交换机在这个 `VLAN` 上提供一个网关接口。电脑获得 `192.168.20.18/28`，网关接口使用 `192.168.20.17/28`。电脑要访问不在本地路由覆盖范围内的目标，就把包交给 `.17`；网关再根据内部路由和外部连接继续处理。如果误把另一个业务 `VLAN` 的网关 `.33` 填进电脑，故障往往表现为本地同子网设备还能通信，外部目标却访问失败。这个现象不说明外部网站有问题，故障可能在第一跳之前就已出现。

沿着数据包的行动顺序排查，比反复更换网站地址有效。可以先看主机地址、前缀长度、默认路由和出站接口；再确认网关地址经过该前缀计算后，是否属于主机的直连范围；随后检查到网关的邻居解析和二层连通性。`Windows` 上可以用 `ipconfig /all` 查看地址与网关，用 `route print` 看路由，用 `arp -a` 看邻居记录。`Linux` 上可以用 `ip addr`、`ip route` 和 `ip neigh` 查看对应信息。访问某个具体目标时，`Linux` 的 `ip route get` 还能显示系统实际选择的出站路径。诊断时不能只盯着默认网关配置框，因为主机最终依据的是路由表，其他接口上的路由也可能影响选择。

还可以用一个更熟悉的地址规模校验这条原则。主机为 `192.168.1.100/24`，网关为 `192.168.1.1`，两者经 `255.255.255.0` 计算后，都属于 `192.168.1.0/24`。如果掩码改为 `/25`，`192.168.1.100` 属于 `192.168.1.0/25`，`192.168.1.1` 仍在这一半，网关依旧符合常规配置。若把网关填成 `192.168.1.200`，情况就变了，主机属于地址范围为 `.0` 到 `.127` 的子网，`.200` 属于 `.128` 到 `.255` 的另一个子网。同样是 `192.168.1` 开头，结果完全取决于前缀长度。

掩码配置错误也会制造更隐蔽的故障。假定电脑使用 `192.168.1.100/16`，真实网络规划却要求它使用 `/24`。电脑会把大量 `192.168.x.x` 目标误认为直连邻居，尝试在本地链路解析这些目标，而不是交给原本能够转发它们的网关。反向的错误同样麻烦，掩码设得过窄时，原本应直接通信的设备可能被当作远端目标。因而检查默认网关是否同子网，不能脱离主机掩码单独比较两串数字。

这也解释了为什么「能够 `ping` 通网关」是有用的线索，却不能充当全部结论。收到回应，说明当时存在一条使报文往返的路径，但未必证明网络规划、默认路由选择及后续转发都正确。收不到回应，也不能仅凭这一点断言网关不可达，因为设备可能限制 `ICMP` 回应。更扎实的证据是把路由选择、邻居解析、接口和交换网络的状态放在一起看。对于前面那台 `/28` 电脑，计算得出 `.33` 不在它的直连前缀内，是比猜测网关是否愿意回应更早、更直接的一步。

说到这里，「必须在同一子网」还需要补上适用边界。它是普通主机地址与默认网关的可靠配置规则，不是说网关地址只要在前缀之外，任何网络系统都绝对无法工作。路由系统真正需要的是一条能让主机到达下一跳的路径。一些环境会显式添加到网关的主机路由，或使用系统支持的特殊直连设定，让主机在指定接口上尝试联系一个看似不属于接口前缀的地址。`Linux` 路由配置中的 `onlink` 就属于这类机制，它允许把下一跳按直接连接到指定链路处理。

这种配置能否通信，仍取决于实际链路是否承载该网关，以及邻居解析能否成功。`onlink` 不是把远处的路由器瞬间搬到本地，它只是改变了系统对下一跳是否按直连处理的判断。若网关接口根本不在能够互通的链路上，配置再特殊，也送不出有效的第一跳。某些服务提供商、虚拟机网络或点对点链路会有意采用特殊地址与路由安排；排查它们时，应当阅读接口路由和服务提供方的网络设计，而不能机械地套用家庭路由器的地址布局。

`Proxy ARP` 也容易引起误会。在特定配置中，一台路由器可以替别的地址回答本地链路上的 `ARP` 请求，使主机把帧发给它。这种机制可以让某些原本看似不在同一物理网络的通信得以进行，但前提依旧是主机决定在这条本地链路上对相应地址发起解析，而且代理设备能收到请求并正确转发。一个填错了的默认网关地址，不会因为网络里存在 `Proxy ARP`，就自动获得一条可用路线。

到了 `IPv6`，沿用「两个地址经同一个 `IPv4` 掩码计算后属于同一子网」这种表述，反而容易误导。`IPv6` 的默认路由器通常通过邻居发现机制与主机在同一链路上交互，下一跳常使用链路本地地址。它依然满足第一跳要能在相应链路上到达的要求，只是地址配置与邻居发现方式和普通 `IPv4` 网关不同。跨越 `IPv4`、`IPv6`、点对点连接和虚拟网络，稳定不变的思路都是先弄清楚主机如何把包交给第一跳。

还有一个工程实践中的细节，默认网关不是主机发送每一个数据包时都必须经过的设备。若目标落在主机的直连路由内，主机通常会尝试直接交付给目标；若路由表中存在更具体的路径，也会按相应路径转发。默认路由处理的是没有被其他更具体路由覆盖的目的地址。「同一子网」要求针对的是普通配置下那个准备作为下一跳的网关接口，不能理解为主机与所有通信目标都要处于同一子网。

回看开头的故障，地址计算已经把线索收紧。`192.168.20.18/28` 所在子网是 `192.168.20.16/28`，而 `192.168.20.33` 属于 `192.168.20.32/28`。如果网络设计本来安排 `.17` 作为这台电脑所在 `VLAN` 的网关，应把电脑的默认网关修正为 `.17`。如果 `.33` 确实是指定网关，则需要核对主机地址、掩码、接口所属 `VLAN` 和整套网络规划，不能只改大掩码来迎合一个地址。掩码一改，主机对于哪些目标属于本地、哪些目标应送往路由器的判断都会一起改变，影响范围远超网关这一项。

因此，这句话值得记住的部分不是形式上的「两个地址看起来挨得近」，而是发送动作本身。电脑遇到远端目标，可以不知道通往终点的每一段道路，但必须知道如何把数据包送到负责接手的第一台路由器。在最常见的 `IPv4` 局域网里，同一子网的主机地址和网关地址，让主机能够通过直连路由与本地邻居解析完成这次交接。第一跳有了着落，默认网关才真正成为通往其他网络的出口。

## 参考资料

[《RFC 1122》，主机的本地与远端判断及网关选择](https://www.rfc-editor.org/rfc/rfc1122)

[《RFC 826》，以太网地址解析协议](https://www.rfc-editor.org/rfc/rfc826)

[Microsoft Learn，理解 `TCP/IP` 地址与子网划分](https://learn.microsoft.com/en-us/troubleshoot/windows-client/networking/tcpip-addressing-and-subnetting)

[Linux `ip-route` 手册，直连路由与 `onlink` 配置](https://man7.org/linux/man-pages/man8/ip-route.8.html)

[《RFC 4861》，`IPv6` 邻居发现与默认路由器](https://www.rfc-editor.org/rfc/rfc4861)

一台办公室电脑能访问内网服务器，却打不开外部网站。查看地址配置，电脑是 192.168.20.18/28，默认网关填成了 192.168.20.33。两个地址都以 192.168.20 开头，看起来离得很近，问题却恰好出在这里。对这台电脑而言，192.168.20.33 并不属于它所在的子网。发往外部网站的数据包需要交给默认网关，而电脑在交出数据包之前，必须先找到网关所在的网络接口。连这一跳都走不通，后面的路由器再强也无从发挥作用。

默认网关为什么要和主机在同一子网，关键在于第一跳能不能送达

一台办公室电脑能访问内网服务器，却打不开外部网站。查看地址配置，电脑是 192.168.20.18/28，默认网关填成了 192.168.20.33。两个地址都以 192.168.20 开头，看起来离得很近，问题却恰好出在这里。对这台电脑而言，192.168.20.33 并不属于它所在的子网。发往外部网站的数据包需要交给默认网关，而电脑在交出数据包之前，必须先找到网关所在的网络接口。连这一跳都走不

紫薇堂堂主

网络与通信

后端

运维

办公室电脑无法打开外网，根源是默认网关192.168.20.33不在主机192.168.20.18/28的子网内，导致第一跳不可达。文章剖析了“下一跳必须可达”的底层原理，对比ARP、IPv6及特殊路由配置，提供ipconfig、route等诊断方法，并给出修正网关或核查VLAN规划的解决思路。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

默认网关为什么要和主机在同一子网，关键在于第一跳能不能送达-腾讯云开发者社区-腾讯云

默认网关为什么要和主机在同一子网，关键在于第一跳能不能送达

默认网关为什么要和主机在同一子网，关键在于第一跳能不能送达

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐