经过一番研究，我发现 ASA 不允许从一个接口 ping 到另一个接口。所以这解释了为什么我能够在物理端口上设置内部接口时 ping 内部接口，但在将其设置为 VLAN 时却不能。

编辑：我会详细说明。如果我的内部界面：

interface GigabitEthernet0/2
 nameif inside
 security-level 100
 ip address 1.1.1.2 255.255.255.0

（即 GigabitEthernet0/2）未设置为 VLAN 并且具有（示例）1.1.1.2 的 IP，只要我从内部采购（当然，在子网上），我就可以直接 ping 这个接口.

但是，如果我将子接口设置为内部：

interface GigabitEthernet0/2
 no nameif
 no security-level
 no ip address
interface GigabitEthernet0/2.10
 vlan 10
 nameif inside
 security-level 100
 ip address 1.1.1.2 255.255.255.0

我将无法再 ping 这个地址，因为它被视为跨接口 ping。

我发现了这一点，并与思科代表确认了这一点。

对一开始的含糊回答表示歉意。

首次设置时，ASA5508 G1/3 是路由/L3 接口，您可以将其连接到 L3 端口（正如您所做的那样）或 L2 接入交换机端口（访问 VLAN，假设您有其 L3 VLAN 接口在您的网络）。

在第二个设置中，您将 ASA5508 G1/3 配置为子接口（封装 dot1q），您必须将另一端 L3 端口也配置为子接口（封装 dot1q）或 L2 中继端口（中继 a VLAN，假设您的网络中有其 L3 VLAN 接口）。

假设您的网络中有 VLAN 10 及其 L3 接口（与 ASA5508 G1/3 接口在同一 IP 范围内），以下配置应该适合您。稍后，您可以在防火墙和交换机之间中继更多 VLAN。

### On ASA5508 ###

interface GigabitEthernet1/3
 no nameif
 no security-level
 no ip address
!
interface GigabitEthernet1/3.10
 vlan 10
 nameif inside
 security-level 100
 ip address X.X.Y.253
!

### On your switch ###
!
interface GigabitEthernet0/x
 switchport mode trunk
 switchport trunk allow vlan 10
!

将端口配置为子接口时，不应在其主接口上留下任何配置。

如果您还想将交换机上的接口配置为子接口（封装 dot1q），这将没有任何意义，因为它会为您提供与第一次设置相同的结果。