简介这份PDF资料面向网络工程师、运维人员及备考思科认证的学习者系统讲解Cisco Catalyst 3560-E系列三层交换机的功能特性与配置方法帮助读者掌握企业级交换机的部署与运维技能。资源包内含1个PDF文件大小约591KB内容涵盖设备概述、软件平台、万兆上行链路与TwinGig SFP转换器、模块化电源、PoE供电、冗余电源等硬件特性并延伸至高性能IP路由、QoS服务质量、高级安全特性及智能PoE管理等技术要点。配置部分则从Console、Telnet、SSH等接入方式讲起逐步展开IP地址设置、VLAN划分、端口配置、路由协议启用、ACL与802.1X安全设置、QoS策略定义以及配置备份恢复等实操环节目录结构清晰便于按模块查阅。目前已有508人学习下载适合需要系统理解3560-E交换机原理并落地配置的网络从业者参考。1. 三层交换机为什么它既能当交换机又能当路由器很多人第一次接触三层交换机时脑子里会冒出一个疑问这东西到底算交换机还是路由器它明明长得像交换机一堆网口但又能配 IP 地址、跑路由协议甚至能做访问控制。更让人困惑的是同样一个 VLAN 间的数据转发用路由器做和用三层交换机做配置命令长得完全不一样但效果看起来差不多。这个问题的答案藏在“一次路由多次交换”这八个字里。传统路由器转发每一个数据包都要查路由表、做最长匹配、重写 MAC 头整个过程由 CPU 或专用转发引擎完成速度受限于软件处理能力。而三层交换机把路由计算和路由转发拆开了路由协议跑在 CPU 上负责计算路由表但真正转发时硬件 ASIC 芯片直接查一张“快速转发表”用硬件线速完成转发。这就是为什么一台三层交换机可以做到几十 Gbps 的交换容量而同等价格的路由器吞吐量可能只有它的零头。以 Catalyst 3560 为例它的交换矩阵从 8.8Gbps 到 32Gbps 不等转发率最高 38.7Mpps支持最多 11000 条单播路由和 12000 个 MAC 地址。这些数字背后是一套完整的硬件转发架构。搞懂这套机制你才能理解为什么有些配置命令在二层和三层之间切换时行为完全不同也才能明白为什么某些 ACL 能硬件转发、某些却会让性能断崖式下跌。接下来的内容会从硬件架构讲到 VLAN 间路由的实现再落到端口安全、ACL、限速这些实战配置的底层逻辑。2. 硬件转发架构路由表是怎么变成线速转发的2.1 控制平面与数据平面的分离三层交换机内部实际上有两个独立运作的世界。一个是控制平面由 CPU 和内存负责跑 IOS 系统、路由协议、STP、管理协议。另一个是数据平面由 ASIC 芯片和 TCAM 组成负责实际的数据包转发。控制平面计算出路由表后会把它“下发”到数据平面的硬件转发表里。这个过程叫“路由表编程”。以 3560 为例它支持静态路由、RIP、OSPF、EIGRP 甚至 BGPv4但这些协议的计算结果最终都要写入硬件。硬件转发表里存的不是完整的路由表而是经过压缩和优化的转发条目。比如一条 OSPF 学到的路由在硬件里可能只保留目的网段、下一跳 MAC、出接口这几个关键字段。当数据包进入端口ASIC 直接查表、重写 MAC 头、从对应端口送出全程不经过 CPU。这种架构带来的直接后果是路由协议收敛速度受 CPU 影响但转发性能不受路由条目数量影响。只要硬件表项没满转发就是线速的。3560 最多支持 11000 条单播路由这个数字就是硬件表项的容量上限。超过之后部分路由会“降级”到软件转发性能立刻掉下来。2.2 TCAM 与 ACL 的硬件匹配访问控制列表在三层交换机上的行为和路由器完全不同。路由器上的 ACL 是软件逐条匹配的列表越长性能越差。但 3560 把 ACL 编译后写入 TCAM三态内容寻址存储器匹配是并行的、硬件级的。无论 ACL 有 10 条还是 100 条匹配时间几乎一样。但 TCAM 有容量限制。3560 的 TCAM 被划分为多个区域分别用于 ACL、QoS 分类、路由表等。如果你配了太多 ACL或者 ACL 里用了 TCAM 不支持的匹配字段比如某些复杂的二层和四层组合这些规则会被“踢”到软件路径处理。现象就是配置能生效但流量一上去 CPU 就飙高转发延迟变大。常见的实现思路是把最常用的、需要线速转发的规则放在 ACL 前面把复杂的、匹配频率低的规则放在后面。同时尽量用标准 ACL 或扩展 ACL 的简单形式避免在一条规则里混合太多条件。3560 每个快速以太网或千兆端口最多支持 64 个策略控制器这个数字就是硬件能同时处理的 QoS 策略上限。2.3 从 VLAN 到 SVI三层接口的本质三层交换机上最核心的概念是 SVI交换机虚拟接口。当你给一个 VLAN 配了 IP 地址就创建了一个 SVI。这个 SVI 在逻辑上相当于一个路由器接口但它的实现方式和物理接口完全不同。物理接口的 MAC 地址是烧在硬件里的而 SVI 的 MAC 地址是从交换机的 MAC 地址池里分配的。3560 的每个 SVI 都有一个独立的 MAC 地址这些地址来自同一个基地址加上不同的偏移量。当 VLAN 间的数据包需要路由时ASIC 会用 SVI 的 MAC 地址重写源 MAC然后查路由表找到目的 VLAN 的 SVI再用目的 SVI 的 MAC 重写目的 MAC最后从目的 VLAN 的某个端口送出。这个过程完全在硬件里完成不经过 CPU。但前提是源和目的都在同一台交换机上且路由表里有一条直连路由指向目的网段。如果目的网段需要通过下一跳路由器到达ASIC 会查硬件转发表里的下一跳信息重写 MAC 后从对应端口送出。只有当硬件表里没有匹配条目时数据包才会被送到 CPU触发软件路由查找这就是所谓的“慢路径”。3. VLAN 间路由与 VTP配置背后的状态机3.1 VLAN 配置与端口分配VLAN 的配置看起来简单但底层涉及一个数据库同步的问题。3560 上创建 VLAN 时实际上是在 VLAN 数据库里插入一条记录包含 VLAN ID、名称、状态。这个数据库存在 flash 里的 vlan.dat 文件中而不是 running-config 里。这就是为什么你删掉 VLAN 后running-config 里看不到变化但 show vlan 里已经没了。端口分配给 VLAN 有两种模式access 和 trunk。access 端口只属于一个 VLAN进入的数据包不带标签trunk 端口可以承载多个 VLAN数据包带 802.1Q 标签。3560 的 ASIC 在处理 access 端口时会给进入的帧打上内部 VLAN 标签用于内部转发从 access 端口送出时再把标签剥掉。这个过程对用户透明但理解它才能明白为什么 trunk 端口上的 native VLAN 配置不一致会导致 VLAN 跳变。配置 VLAN 接口地址时实际上是在创建 SVI。命令interface vlan 10进入 SVI 配置模式ip address给 SVI 配 IP。这个 IP 就是该 VLAN 内主机的网关。3560 支持每个 VLAN 一个 SVISVI 的状态取决于该 VLAN 内是否有 up 的端口。如果 VLAN 里所有端口都 down 了SVI 也会 down即使你手动 no shutdown 也没用。3.2 VTP 域与数据库同步VTP 是思科的私有协议用于在多台交换机之间同步 VLAN 数据库。它的工作模式有三种server、client、transparent。Server 可以创建、修改、删除 VLAN并把变更通告出去client 只能接收同步不能本地修改transparent 不参与同步但会转发 VTP 通告。VTP 最大的坑在于修订号。每次修改 VLAN修订号加一。如果一台高修订号的交换机接入网络它会覆盖所有低修订号的交换机导致 VLAN 配置丢失。常见的做法是在把新交换机接入生产网络前先把它配成 transparent 模式或者把它的 VTP 域名改成一个不存在的域名清空修订号后再改回来。3560 支持 VTP v1、v2 和 v3。v3 支持扩展 VLAN 和主服务器模式但配置更复杂。如果网络里有多台交换机建议统一用 v2 或 v3不要混用。VTP 修剪功能可以减少不必要的广播流量但需要所有交换机都启用才有效。3.3 HSRP网关冗余的状态机HSRP 是三层交换机上实现网关冗余的常用协议。它的核心是一个虚拟 MAC 地址和虚拟 IP 地址由多台交换机组成一个组一台活跃、一台 standby。活跃交换机负责转发发往虚拟 IP 的流量standby 监听活跃交换机的 hello 消息。如果活跃交换机故障standby 在几秒内接管虚拟 IP 和 MAC。3560 每台设备最多支持 32 条 HSRP 链路。HSRP 的抢占功能默认关闭意味着如果活跃交换机重启后恢复它不会自动抢回活跃状态除非配置了 preempt。优先级默认 100数值越大越优先。跟踪功能可以监控上行接口状态如果上行链路故障自动降低优先级触发切换。HSRP 的 hello 时间默认 3 秒hold 时间 10 秒。如果网络抖动导致 hello 丢失可能触发不必要的切换。常见的优化是把 hello 时间调到 1 秒hold 时间调到 3 秒但要注意这会增加协议流量。另一个坑是HSRP 的虚拟 MAC 地址是 0000.0c07.acXXXX 是组号。如果网络里有其他设备也用这个 MAC 段可能冲突。4. 端口安全与访问控制从 802.1X 到 ACL 的硬件实现4.1 端口安全的三种绑定方式3560 的端口安全功能允许你限制端口上允许的 MAC 地址数量或者指定具体的 MAC 地址。配置方式有三种静态绑定、动态学习、粘滞学习。静态绑定是手动指定 MAC动态学习是让端口自动学但限制数量粘滞学习是动态学到的 MAC 自动转为静态绑定交换机重启后不丢失。底层实现上端口安全依赖 ASIC 里的 MAC 地址表。每个端口有一个允许的 MAC 地址列表进入的帧如果源 MAC 不在列表里直接丢弃并触发违规动作。违规动作有三种protect、restrict、shutdown。protect 是静默丢弃不告警restrict 是丢弃并发 SNMP trapshutdown 是直接关闭端口需要手动或自动恢复。常见的坑是如果端口上接了 IP 电话和 PC电话的 MAC 和 PC 的 MAC 都要允许。如果只允许一个另一个设备上线时端口会被 shutdown。另外粘滞学习的 MAC 地址存在 running-config 里如果交换机重启且配置没保存这些 MAC 会丢失需要重新学习。4.2 802.1X 与 MAB 的认证流程802.1X 是一种基于端口的网络接入控制协议。它的工作流程是客户端supplicant发起认证交换机authenticator把认证请求转发给 RADIUS 服务器服务器验证通过后交换机打开端口。3560 支持多种 802.1X 扩展VLAN 分配、ACL 分配、语音 VLAN、访客 VLAN、多域认证。多域认证允许在同一端口上同时认证 IP 电话和 PC并把它们放入不同的 VLAN。电话用 CDP 或 LLDP 发现语音 VLANPC 用 802.1X 认证。如果 PC 没有 802.1X 客户端可以用 MABMAC 地址旁路把 PC 的 MAC 地址作为用户名和密码发给 RADIUS 服务器。802.1X 的坑在于如果 RADIUS 服务器不可达端口默认是关闭的。可以配置 critical VLAN 或 critical ACL让认证失败时端口进入一个受限 VLAN至少保证基本连通性。另外802.1X 的重新认证周期默认是 3600 秒如果设得太短会增加服务器负担设得太长设备变更后权限不能及时收回。4.3 ACL 的硬件匹配与单向访问3560 支持标准 ACL、扩展 ACL、VACL、PACL。标准 ACL 只匹配源 IP扩展 ACL 匹配源、目的、协议、端口。VACL 用于 VLAN 内部流量过滤PACL 用于物理端口。这些 ACL 都会被编译进 TCAM硬件并行匹配。单向访问控制列表是一个经典需求VLAN3 可以访问其他 VLAN但其他 VLAN 不能访问 VLAN3。用普通 ACL 很难实现因为 ACL 是无状态的。3560 支持 reflect 和 evaluate 关键字实现自反 ACL。Reflect 规则会记录出站流量的会话信息evaluate 规则检查入站流量是否属于已建立的会话。这样就能实现“只允许回包不允许主动发起”的效果。配置自反 ACL 时要注意reflect 规则要放在出站方向evaluate 规则放在入站方向。会话超时时间默认 300 秒可以调整。如果会话表满了新会话会被丢弃。3560 的 TCAM 里有一部分专门用于自反 ACL 的会话表容量有限大量短连接可能耗尽表项。4.4 端口限速与 QoS 策略3560 的端口限速通过 QoS 策略实现。基本流程是定义 class-map 匹配流量定义 policy-map 指定限速动作把 policy-map 应用到接口。限速的粒度可以到 8Kbps支持基于源/目的 IP、MAC、TCP/UDP 端口的匹配。底层实现上限速用的是令牌桶算法。ASIC 里有一个令牌桶按配置的速率往桶里放令牌数据包转发时消耗令牌。如果桶空了数据包被丢弃或标记。3560 支持单速率和双速率令牌桶可以配置突发大小。常见的坑是限速策略应用在接口的 input 方向时匹配的是进入交换机的流量应用在 output 方向时匹配的是从交换机送出的流量。如果配反了限速不生效。另外限速策略会占用 TCAM 表项如果策略太复杂可能影响其他 ACL 的硬件卸载。5. 避坑与排查那些配置看起来对但就是不生效的场景5.1 VLAN 间路由不通SVI 状态是 up 但 ping 不通现象两台主机在不同 VLANSVI 都配了 IPshow ip interface brief 显示 up/up但互相 ping 不通。原因最常见的是主机网关配错或者主机所在端口的 VLAN 分配错误。另一个常见原因是 SVI 的 IP 和主机不在同一网段或者子网掩码配错。还有一种情况是VLAN 里没有任何 up 的端口SVI 虽然显示 up但实际上没有流量能进来。解决先用 show vlan 确认端口在正确的 VLAN 里再用 show interface status 确认端口 up。然后检查主机的 IP、掩码、网关。如果都正确用 show ip route 确认直连路由存在。最后检查是否有 ACL 拦截了流量。5.2 ACL 配了但流量没被过滤现象配置了扩展 ACL 拒绝某个网段访问应用到接口后流量依然能通。原因ACL 的方向配反了。应用到接口的 in 方向时匹配的是进入接口的流量out 方向匹配的是从接口送出的流量。如果 ACL 应该过滤进入交换机的流量却应用在 out 方向就不生效。另一个原因是 ACL 里没有 permit 其他流量但默认末尾有 deny any如果顺序不对可能误杀。解决用 show ip interface 确认 ACL 应用的方向。用 show access-lists 查看匹配计数确认规则是否被命中。如果计数不增长说明流量没走这条 ACL。5.3 HSRP 切换后部分主机断网现象HSRP 活跃交换机故障standby 接管但部分主机 ping 不通网关。原因主机的 ARP 缓存里还是旧的虚拟 MAC 地址但新活跃交换机的 MAC 地址表里没有这些主机的 MAC导致回包时泛洪或丢弃。另一个原因是 HSRP 的抢占延迟没配standby 接管后原活跃交换机恢复又抢回去导致来回切换。解决配置 preempt delay让原活跃交换机恢复后等待一段时间再抢占。同时检查交换机的 MAC 地址表老化时间默认 300 秒可以适当调短。如果主机支持可以配置 gratuitous ARP让切换后主动更新主机的 ARP 缓存。5.4 端口安全导致 IP 电话断线现象配置端口安全后IP 电话偶尔断线过一会又恢复。原因端口安全限制了 MAC 地址数量但 IP 电话可能有两个 MAC 地址一个用于语音一个用于 PC 透传。如果只允许一个 MAC电话的第二个 MAC 上线时触发违规端口被 shutdown。如果配置了自动恢复端口过一会又 up然后再次触发循环往复。解决用 show port-security interface 查看违规计数和允许的 MAC 数量。把最大 MAC 数调到 2 或 3或者用粘滞学习让交换机自动学。如果电话和 PC 都接在同一个端口确保语音 VLAN 配置正确电话的 MAC 在语音 VLAN 里PC 的 MAC 在数据 VLAN 里。5.5 限速策略导致语音质量下降现象配置了端口限速后IP 电话通话出现断续、杂音。原因限速策略把语音流量也限了或者限速的突发大小设得太小语音包被丢弃。语音流量对延迟和丢包非常敏感即使限速值看起来够用如果突发大小不够瞬间的流量高峰也会导致丢包。解决用 class-map 把语音流量单独分类给它更高的限速值或不限速。用 show policy-map interface 查看各类流量的匹配和丢弃计数。如果语音流量被丢弃调整限速值或突发大小。更好的做法是用 QoS 的优先级队列把语音流量放入严格优先级队列而不是简单限速。6. 从 3560 看三层交换机的设计取舍3560 是一台很典型的“接入层三层交换机”。它的设计目标不是替代核心路由器而是在接入层提供线速路由和丰富的安全特性。这个定位决定了它的很多取舍。第一个取舍是硬件表项容量。3560 支持 11000 条单播路由和 12000 个 MAC 地址这个容量在接入层够用但如果用来跑全网的 OSPF表项很快会满。满了之后部分路由会降级到软件转发性能断崖式下跌。所以 3560 通常只用来跑直连路由和少量汇总路由默认路由指向核心。这不是缺陷而是定位决定的。第二个取舍是 TCAM 的分配。TCAM 总量有限要在 ACL、QoS、路由表、自反 ACL 会话表之间分配。如果你配了大量 ACL路由表能用的 TCAM 就少了。反过来如果路由表很大ACL 的容量就受限。常见的做法是在接入层只配必要的 ACL把复杂的策略放到核心或防火墙上做。3560 的 TCAM 分配可以通过命令调整但调整后需要重启而且不是所有 IOS 版本都支持。第三个取舍是 PoE 功率预算。3560-E 的 48 端口 PoE 配置需要 1150W 电源才能支持所有端口 15.4W 全功率。如果用 750W 电源只能支持部分端口全功率或者所有端口半功率。这个取舍直接影响 IP 电话和无线 AP 的部署密度。智能电源管理允许你动态分配功率但需要提前规划每个端口的最大功率需求。第四个取舍是软件特性集的激活。3560 用许可证文件控制特性集IP Base 只有静态路由和 RIPIP Services 才有 OSPF、EIGRP、BGP。这个设计让硬件成本分摊更灵活但也意味着你买到的硬件可能被软件锁住了能力。升级特性集需要购买许可证然后重启交换机。这个过程中交换机会检查许可证文件激活对应特性。从那以后我每次配三层交换机都会先确认三件事硬件表项容量够不够、TCAM 分配是否合理、电源预算是否满足 PoE 需求。这三件事决定了网络能不能稳定跑起来而不是配置命令写得对不对。希望帮到你。本文还有配套的精品资源点击获取