目标网络：内网一台服务器连接防火墙，防火墙连接多个网络，但由于防火墙接口有限，所以考虑以子接口实现网络互访。现通过防火墙物理接口可以做通，但用子接口不能做通。现能ping通防火墙子接口地址192.168.2.1，但防火墙ping不通目的服务器192.168.2.3，由此导致内网也不能ping通目标机器192.168.2.3
------解决方案--------------------------------------------------------
网关和路由正确?
------解决方案--------------------------------------------------------
路由器、防火墙如果使用子接口，一般需要封装VLAN ID！
------解决方案--------------------------------------------------------
楼上正解，doc1q透传vlan id吧