简介围绕思科 Catalyst 3560-E 系列三层交换机整理的配置文档面向网络运维初学者、企业网管及备考思科认证的技术人员帮助其系统理解企业级三层交换机的特性与命令行配置方法。压缩包内仅含 1 个 PDF 文件约 591KB体量轻便适合在实验环境或日常巡检时随时查阅。正文先从设备概述、万兆上行链路、TwinGig SFP 转换器、模块化电源、PoE 供电与冗余电源等硬件特性切入再展开访问方式、接口说明、端口与 MAC 地址表设置、VLAN 划分、静态路由及 RIP/OSPF 路由协议、ACL 与 802.1X 安全策略、QoS 流量分类标记、配置备份恢复等实操内容目录按“特性介绍—配置命令—案例验证”组织便于按模块跳读和对照练习。对初次接触 IOS 命令行的读者可依据目录从基础参数配置逐步过渡到 VLAN 间路由与安全策略验证减少盲目试错。已有 508 人学习可作为网络实验搭建、设备调试和故障排查的参考材料。1. 一台 3560 摆在机柜上装不上 OSPF多半不是操作者的问题上周帮人收拾一台二手的 Catalyst 3560G-24TS需求很朴素内网划三个 VLAN用这台思科三层交换机做 VLAN 间路由默认路由再指向出口。Console 线插好、ip routing打开、三个 SVI 地址配完VLAN 之间确实通了可router ospf 1敲进去回报的是% Invalid input detected。折腾半天才确认这台机器跑的是 SMI 镜像手里能用的路由协议只有静态和 RIPOSPF、EIGRP 要 EMI 才有。很多人把三层交换机当成“插上电、配个地址”的网络工具实际经验是3560 系列真正的安装起点不是上电是先把型号和特性集核对清楚否则后面所有配置都会卡在一条根本不存在的命令上。这篇就按一台 3560 从拆箱到跑通三层转发的顺序写适合拿它做小型办公网核心、实验室出口网关或者刚接手一台来历不明的二手设备的人。2. 开箱先清点3560、3560G 与 3560-E 的型号、特性集和电源对不上就别急着上电三层交换机的“安装”和装一台服务器不太一样服务器装错最多重装系统交换机选错型号或特性集往往是配到一半才发现某个命令不存在前面写的 VLAN 和路由全得推翻重来。所以第 2 章不碰命令行只做一件事把手里这台机器的端口、上行、软件镜像和供电能力四项核对清楚写在一张纸上后面每一步都对着这张纸走。这一章看着像抄参数实际是整个配置流程里最省时间的一段尤其是二手设备面板上的丝印和实际跑的镜像经常对不上。2.1 先认型号3560、3560G、3560-E 的端口和上行差在哪3560 这个系列跨度不小同样是“3560”端口速率、上行类型、是否带 PoE 完全不同。面板上能看到WS-C3560-24PS-S这种完整编号最后一位-S或-E就是软件镜像等级先记下来。常见的几档我列成表对照机箱标签核对产品编号下行端口上行端口镜像WS-C3560-24PS-S24×10/100带 PoE2×SFP 千兆SMIWS-C3560-48PS-E48×10/100带 PoE4×SFP 千兆EMIWS-C3560G-24TS-S24×10/100/10004×SFP 千兆SMIWS-C3560G-48TS-E48×10/100/10004×SFP 千兆EMIWS-C3560E-24TD24×10/100/10002×X2 万兆IP Base/IP ServicesWS-C3560E-24PD24×10/100/1000带 PoE2×X2 万兆IP Base/IP ServicesWS-C3560E-48TD48×10/100/10002×X2 万兆IP Base/IP ServicesWS-C3560E-48PD48×10/100/1000带 PoE2×X2 万兆IP Base/IP ServicesWS-C3560E-48PD-F48×10/100/1000每口 15.4W PoE2×X2 万兆IP Base/IP Services这里有两个容易被忽略的差别。第一3560 和 3560G 的上行是 SFP 千兆3560-E 的上行是 X2 万兆接口物理形态完全不同模块买错了插不进去。第二3560-E 支持 Cisco TwinGig 转换器能把一个 X2 万兆口拆成两个 SFP 千兆口前期先用千兆上行、后面业务涨了再换万兆不用动接入层。我一般建议预算紧的场景先上千兆 SFP把 TwinGig 转换器留着做扩容选项而不是一上来就买万兆模块。硬件底子也顺手记一下排查性能问题时用得上3560G 系列是 32Gbps 交换矩阵、38.7Mpps 转发率128MB DRAM 配 32MB Flash3560-48PS 是 17.6Gbps、13.1Mpps16MB Flash3560-24PS 是 8.8Gbps、6.6Mpps。MAC 地址表最多 12000 条单播路由最多 11000 条组播路由和 IGMP 群组各 1000 条。千兆口支持 9000 字节 MTU、桥接最大 9018 字节巨型帧10/100 口上的 MPLS 标记帧是 1546 字节。这些数字不用背但当你发现某个 VLAN 里主机数超过一万、或者要开 jumbo frame 跑存储流量时得知道上限在哪。2.2 特性集决定你能敲哪些命令SMI/EMI 与 IP Base/IP Services这一节是整篇里最该先看的部分。3560 和 3560G 用的是 SMI/EMI 两档SMI 只给静态路由和 RIPv1/v2可以后续升级到 EMIEMI 才有 OSPF、EIGRP、BGPv4 这类动态路由。3560-E 换了个说法叫 IP Base、IP Services、Advanced IP ServicesIP Base 有 QoS、限速、ACL、静态路由和 RIPIP Services 才放开硬件转发的单播和组播路由包括 EIGRP、OSPF、BGP、PIMAdvanced IP Services 再加 IPv6 路由RIPng、OSPFv3。3560-E 用许可证文件控制特性集交换机启动时 IOS 会检查这个文件按许可证类型激活对应功能所以同一台机器可以通过换许可证升级不用换硬件。上电前先把镜像确认了一条命令就够Switch enable Switch# show version # 关注输出里的 System image file 和下面的 License 信息 Switch# show license # 3560-E 上会列出当前激活的 feature set例如 ipservices 或 ipbaseshow version里的System image file那一行文件名中间通常带ipbase、ipservices、advipservices字样这是最快的判断方式show license在 3560-E 上能看到当前激活的许可证和可升级项。如果show license提示命令不存在说明这台是老平台的 3560/3560G回到 SMI/EMI 那套判断逻辑看型号尾缀和show version里有没有IP Services字样。注意二手机器经常出现“型号尾缀是 -E、实际刷了 -S 镜像”的情况。以show version的实际输出为准不要相信面板丝印。选哪个特性集取决于你要不要跑 OSPF/EIGRP。只有两三个 VLAN、一条默认路由指向出口防火墙的小网络IP Base 甚至 SMI 都够用静态路由配置简单、排错路径短出问题一眼能看穿。一旦要接两台以上三层设备、要做路由冗余和负载均衡就必须上 IP Services 或 EMI否则router ospf根本敲不进去。我的习惯是只要规划里出现第二台三层设备就直接按 IP Services 备货避免后面为了一个特性集停机换镜像。2.3 电源与 PoE 预算15.4W × 48 不是随便配的带 PoE 的 3560 最容易翻车的地方在电源。3560-E 是单电源插槽可选四种模块C3K-PWR-1150WAC1150W带 740W PoE、C3K-PWR-750WAC750W用于 24 口机型带 370W PoE、C3K-PWR-265WAC265W24/48 口数据机型无 PoE、C3K-PWR-265WDC265W 直流同样无 PoE。24 口 PoE 机型能同时带满 24 个 15.4W 全功率端口48 口 PoE 机型要带满 48 个 15.4W 端口必须上 1150W 电源否则就得靠智能电源管理降额比如 24 个 15.4W 端口加 48 个 7.7W 端口这样的组合。算 PoE 预算的方法很直接把要接的 IP 电话、无线 AP 的额定功率加起来乘 1.2 留余量再对比电源的 PoE 预算。比如 20 台 15.4W 的 AP 就是 308W750W 电源的 370W PoE 预算刚好卡在边缘夏天机柜温度一高就容易掉电重启这种情况我会直接上 1150W。冗余方面3560-E 可以接 RPS 2300 冗余电源系统一台 RPS 2300 能给 6 台交换机中的 2 台同时提供备用电源主电源故障时透明切换且支持热插拔。真要上 RPS记得把 RPS 的告警线也接上不然切换了没人知道。2.4 线材、终端和固件准备Console 线、TFTP 与 IOS 镜像物理连接只需要两样一根 Console 线RJ45 转 USB 或 RJ45 转 DB9看笔记本有没有串口和一根网线。Console 口是 RS-232 标准3560-E 还额外提供一个带外以太网管理端口但首次配置仍然建议走 Console因为管理口本身的 IP 可能也是空的。终端软件用任意串口工具即可参数固定9600 波特率、8 数据位、无校验、1 停止位、无流控。这组参数从很老的型号一直沿用到 3560基本不用试错。固件准备分两块。一块是 IOS 镜像如果机器里的镜像损坏或者要升级特性集需要提前把对应文件放到 TFTP 服务器上别等到机器起不来才去找文件。另一块是配置文件备份通道同样用 TFTP 最省事Windows 上用 tftpd32、Linux 上用 tftpd-hpa 都行服务器和交换机管理地址要能互通。我习惯在笔记本上固定一个 192.168.99.0/24 的地址和交换机的初始管理地址放同一网段插上线就能传文件不用再改网络。3. 首次接入与基线配置Console、管理地址和配置备份一次做对线接好、终端参数对上接下来是把一台空配置的 3560 变成一个能远程登录、能保存配置、能恢复的可用设备。这一章的所有命令都是基线后面配 VLAN 和路由都建立在它上面。很多人跳过这一步直接配业务结果设备重启一次配置全丢或者密码忘了只能按 Mode 按钮恢复出厂前面几小时的活白干。3.1 Console 接入与启动自检打开终端软件、给交换机上电屏幕上会连续刷出启动信息。这段输出不是噪音里面有价值的信息不少IOS 镜像文件名、内存大小、POST 自检结果、以及各个接口的初始化状态。看到Press RETURN to get started就按回车进入用户模式Switch。如果启动过程中出现%Error opening flash:或者反复重启先别急着配那是镜像或 Flash 的问题按 Ctrl-C 中断启动进 ROMMON 处理。启动信息里重点看三行System image file is ...确认镜像cisco WS-C3560...确认型号Base ethernet MAC Address记下来后面做端口安全和 DHCP 绑定会用到。自检阶段如果有POST: ... Failed说明某块硬件有问题PoE 控制器或者某个端口组可能已经坏了这种机器不适合做核心。Switch enable Switch# show inventory # 列出机箱型号、序列号和已插入的模块二手设备核对配置时很有用 Switch# show flash: # 确认 IOS 镜像文件存在、剩余空间够不够放新镜像show inventory的输出比面板丝印可靠PID 和 VID 都是设备自己报的show flash:除了看文件还要看剩余空间3560G 只有 32MB Flash两个镜像文件很容易塞满升级前先删旧镜像删之前确认新镜像能正常启动这个顺序别搞反。3.2 最小可用配置主机名、密码、管理地址基线配置的目标是能远程登录、密码受保护、有管理地址、配置能保存。下面这段可以直接抄把地址和密码换成自己的Switch enable Switch# configure terminal Switch(config)# hostname SW-CORE-01 SW-CORE-01(config)# enable secret Str0ng#Pass2024 SW-CORE-01(config)# service password-encryption # 明文密码在 show running-config 里会变成 7 号加密避免被人一眼看走 SW-CORE-01(config)# interface vlan 1 SW-CORE-01(config-if)# ip address 192.168.99.10 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# ip default-gateway 192.168.99.1 # 注意这条只在未开启 ip routing 的二层模式下有效 SW-CORE-01(config)# line con 0 SW-CORE-01(config-line)# logging synchronous SW-CORE-01(config-line)# exec-timeout 10 0 SW-CORE-01(config-line)# exit SW-CORE-01(config)# line vty 0 4 SW-CORE-01(config-line)# login local SW-CORE-01(config-line)# transport input ssh SW-CORE-01(config-line)# exit SW-CORE-01(config)# username admin privilege 15 secret Adm1n#Pass SW-CORE-01(config)# ip domain-name lab.local SW-CORE-01(config)# crypto key generate rsa modulus 1024 SW-CORE-01(config)# end SW-CORE-01# write memory逐项说明。enable secret用的是不可逆哈希优先级高于enable password两者都配时以 secret 为准。service password-encryption把配置文件里的明文密码转成弱加密防的是肩窥不是破解。interface vlan 1是管理 SVI配完必须no shutdown很多人漏这条然后困惑为什么 ping 不通。ip default-gateway是二层模式下的默认网关一旦后面执行了ip routing这条命令就失效了要换成全局的ip route 0.0.0.0 0.0.0.0 192.168.99.1这是 3560 上非常经典的一个坑。line con 0下的logging synchronous让日志输出不打断你正在敲的命令exec-timeout 10 0是 10 分钟无操作自动断开。VTY 线路只留 SSHtransport input ssh直接禁掉 Telnet配合crypto key generate rsa生成的密钥对比后面再补安全配置省事。write memory等价于copy running-config startup-config配完不保存重启就回到出厂状态。3.3 端口命名与 MAC 地址表先看清再动手3560 的端口命名是gigabitEthernet 0/1这种格式0 是模块号1 是端口号3560 是固定配置交换机模块号基本都是 0。批量操作前先用show interfaces status把物理状态过一遍SW-CORE-01# show interfaces status # 输出 notconnect / connected / err-disabled / disabled 四种状态 SW-CORE-01# show interfaces status err-disabled # 单独看被 err-disable 的端口排查端口安全、BPDU guard 触发时必用 SW-CORE-01# show mac address-table # 看 MAC 地址学习情况VLAN、MAC、类型、对应端口 SW-CORE-01# show mac address-table aging-time # 默认 300 秒改小能让异常 MAC 更快老化show interfaces status的Vlan列会显示端口当前所属 VLANDuplex和Speed列能看出协商结果出现a-half这种自动协商成半双工的情况说明对端设备有问题千兆口半双工基本等于不能用。show mac address-table是排查“某个 IP 到底接在哪个口”的第一手工具配合show arp或show ip arp能快速定位。3560 的 MAC 表上限是 12000 条正常办公网很难打满但如果某个端口 learning 速率异常往往是环路或者 MAC 泛洪攻击这时候show mac address-table count看总数变化趋势比看单条记录更有效。端口描述是个小习惯但收益很大配业务口时顺手加一行SW-CORE-01(config)# interface gigabitEthernet 0/1 SW-CORE-01(config-if)# description TO-AP-3F-EAST SW-CORE-01(config-if)# speed 1000 SW-CORE-01(config-if)# duplex full SW-CORE-01(config-if)# no shutdowndescription会出现在show interfaces status、show running-config和网管系统的拓扑图里半年后回来排障这行字能省掉很多猜。speed和duplex在对接老设备时建议手工写死自动协商在两端能力不一致时容易掉到半双工。3.4 配置备份与镜像恢复给自己留后悔药基线配完第一件事是备份不是继续往下配。3560 的配置和镜像都能通过 TFTP 传出来SW-CORE-01# copy running-config tftp://192.168.99.100/SW-CORE-01.cfg # 把当前运行配置存到 TFTP 服务器文件名按设备名日期命名 SW-CORE-01# copy flash: tftp://192.168.99.100/ # 备份 IOS 镜像按提示输入镜像文件名 SW-CORE-01# show archive # 配置了 archive 之后可以看历史配置快照copy running-config tftp:需要 TFTP 服务器可达、目录可写Windows 防火墙经常挡掉 69 端口传之前先在本机ping一下交换机管理地址。镜像备份要看 Flash 剩余空间镜像文件通常十几兆传的时候别中断。恢复时反过来copy tftp: running-config或copy tftp: flash:配置恢复后记得copy running-config startup-config否则重启又没了。更进一步可以启用配置归档让交换机每次保存时自动留一份快照SW-CORE-01(config)# archive SW-CORE-01(config-archive)# path flash:archive-config SW-CORE-01(config-archive)# write-memory SW-CORE-01(config-archive)# time-period 1440path指定归档目录write-memory表示每次执行write memory时自动归档一份time-period 1440是每 1440 分钟一天自动归档一次。Flash 空间有限归档文件会累积定期用dir flash:archive-config清理旧文件。这个功能在改错一条命令导致全网中断时特别有用比凭记忆回滚靠谱得多。4. 从二层到三层VLAN、Trunk、SVI 与路由协议的具体配法基线有了接下来才是这台 3560 的正事把端口分成几个 VLAN用 SVI 做网关让 VLAN 之间能按策略互通再和出口设备跑起路由。这一章的配置顺序不能乱先建 VLAN 再分端口先起 SVI 再开路由顺序反了会出现 SVI 一直 down、路由表里没有直连网段这类看起来很奇怪的现象。4.1 建 VLAN 与划分端口VLAN 的创建和端口划分是最基础的一步命令不多但有两个细节决定了后面顺不顺VLAN 名称要写端口模式要显式指定。SW-CORE-01(config)# vlan 10 SW-CORE-01(config-vlan)# name OFFICE SW-CORE-01(config-vlan)# vlan 20 SW-CORE-01(config-vlan)# name SERVER SW-CORE-01(config-vlan)# vlan 99 SW-CORE-01(config-vlan)# name MGMT SW-CORE-01(config-vlan)# exit SW-CORE-01(config)# interface range gigabitEthernet 0/1 - 8 SW-CORE-01(config-if-range)# switchport mode access SW-CORE-01(config-if-range)# switchport access vlan 10 SW-CORE-01(config-if-range)# spanning-tree portfast SW-CORE-01(config-if-range)# spanning-tree bpduguard enable SW-CORE-01(config-if-range)# no shutdownvlan 10进入 VLAN 配置模式name OFFICE给 VLAN 起名字show vlan brief里就能看到名字而不是光秃秃的编号排障时省事。interface range支持连续端口批量操作格式是0/1 - 8注意减号两边有空格。switchport mode access显式把端口设成接入模式不写的话端口默认是动态模式会自动协商成 trunk接终端设备时容易出怪问题。switchport access vlan 10把端口划进 VLAN 10。spanning-tree portfast让接终端的端口跳过 STP 的监听和学习阶段插上网线几秒内就能通不加的话默认要等 30 秒左右。spanning-tree bpduguard enable是配套的安全措施PortFast 端口如果收到 BPDU说明有人把交换机接到了这个原本该接终端的口上BPDU guard 会直接把端口 err-disable 掉防止环路。这两条要成对出现只开 PortFast 不开 BPDU guard等于给自己埋了个环路隐患。删除 VLAN 用no vlan 10但要注意如果还有端口属于这个 VLAN删掉 VLAN 后这些端口会变成 inactive 状态得先把端口改到别的 VLAN 或者改回默认 VLAN 1。批量清理时我一般先show vlan brief确认没有活动端口再删。4.2 Trunk 与 VTP把 VTP 关掉更省心交换机之间互联的端口要配成 trunk让多个 VLAN 的流量带着 802.1Q 标签通过。3560 支持 ISL 和 802.1Q 两种封装配 trunk 之前必须先指定封装方式这是新手最容易漏的一步。SW-CORE-01(config)# interface gigabitEthernet 0/24 SW-CORE-01(config-if)# description UPLINK-TO-CORE-02 SW-CORE-01(config-if)# switchport trunk encapsulation dot1q SW-CORE-01(config-if)# switchport mode trunk SW-CORE-01(config-if)# switchport trunk native vlan 999 SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,99 SW-CORE-01(config-if)# no shutdownswitchport trunk encapsulation dot1q必须在switchport mode trunk之前执行顺序反了会报错因为 3560 默认的封装协商状态是 auto不指定就没法进入 trunk 模式。switchport trunk native vlan 999把 native VLAN 改成一个不承载业务的空 VLANnative VLAN 的流量是不打标签的两端不一致会导致 VLAN 流量串台改成 999 并保证两端一致是最稳妥的做法。switchport trunk allowed vlan显式列出允许通过的 VLAN不用all这样新增 VLAN 时不会无意中把它放行到不该去的地方也减少了不必要的广播泛洪。VTP 是思科早期的 VLAN 同步协议服务器模式的交换机可以把 VLAN 数据库推给同域的其他交换机。听起来方便实际是个高风险功能一台配置错误的交换机接入网络可能把整个域的 VLAN 数据库覆盖掉导致全网 VLAN 消失。我的做法是一律vtp mode transparent让每台交换机自己管自己的 VLAN 数据库手工同步SW-CORE-01(config)# vtp mode transparent SW-CORE-01(config)# vtp domain LAB-NET SW-CORE-01(config)# vtp version 2 SW-CORE-01(config)# vtp password Vtp#2024vtp mode transparent下交换机不参与 VTP 同步但会转发 VTP 报文VLAN 配置完全本地生效。vtp domain和vtp password在 transparent 模式下不影响行为但写上能避免从服务器模式切换过来时残留旧配置。真要统一管理 VLAN用网管系统下发比 VTP 可控得多。4.3 SVI 与 ip routing三层网关成型前面三步都是二层的事到这一步才真正把 3560 变成三层交换机。核心是两条全局开ip routing然后给每个 VLAN 配一个 SVI 地址作为网关。SW-CORE-01(config)# ip routing SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# description OFFICE-GW SW-CORE-01(config-if)# ip address 10.10.10.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# interface vlan 20 SW-CORE-01(config-if)# description SERVER-GW SW-CORE-01(config-if)# ip address 10.10.20.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# interface vlan 99 SW-CORE-01(config-if)# ip address 10.10.99.10 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# end SW-CORE-01# show ip interface briefip routing是全局开关不开的话 SVI 只能当管理地址用VLAN 之间不通。每个 SVI 的ip address就是这个 VLAN 内主机的默认网关no shutdown同样不能漏。SVI 的状态有个特性VLAN 内必须至少有一个端口处于 up 状态或者 trunk 允许该 VLAN 且有活动链路SVI 才会 up。刚配完 SVI 发现show ip interface brief里是down/down先回去看 VLAN 里有没有活端口这是最高频的一个疑问。show ip interface brief能看到所有接口的 IP、状态和协议状态show ip route能看到路由表里有没有这些直连网段。配完三个 SVI路由表里应该出现三条C开头的直连路由对应三个网段。没有的话不是路由没配是 SVI 没起来。4.4 静态路由、RIP 与 OSPF 怎么选VLAN 间通了之后还要让这台交换机知道怎么去外面的网络以及让外面的设备知道怎么回来。三种选择按网络规模挑# 方案一只有一条出口静态默认路由最简单 SW-CORE-01(config)# ip route 0.0.0.0 0.0.0.0 10.10.99.1 # 方案二SMI 镜像下的小网络RIPv2 SW-CORE-01(config)# router rip SW-CORE-01(config-router)# version 2 SW-CORE-01(config-router)# no auto-summary SW-CORE-01(config-router)# network 10.10.10.0 SW-CORE-01(config-router)# network 10.10.20.0 SW-CORE-01(config-router)# passive-interface vlan 10 # 方案三IP Services / EMI 镜像OSPF SW-CORE-01(config)# router ospf 1 SW-CORE-01(config-router)# router-id 10.10.99.10 SW-CORE-01(config-router)# network 10.10.10.0 0.0.0.255 area 0 SW-CORE-01(config-router)# network 10.10.20.0 0.0.0.255 area 0 SW-CORE-01(config-router)# passive-interface vlan 10 SW-CORE-01(config-router)# passive-interface vlan 20静态默认路由适合单出口场景0.0.0.0 0.0.0.0表示所有未知目的地下一跳是出口设备的接口地址。RIP 的network后面跟的是主类网段version 2开启无类路由no auto-summary关闭自动汇总不加这条在 10.x 这种连续网段上容易出现路由汇总错误。passive-interface让接终端的 VLAN 不发 RIP 报文但继续宣告网段减少无用广播。OSPF 的network用反掩码wildcard mask0.0.0.255对应 /24router-id手工指定成管理地址不指定会从接口里挑一个重启后可能变影响邻居关系。passive-interface在 OSPF 里同样重要接终端的接口没必要跑 OSPF 邻居。选哪个方案我一般的判断是单出口 单台三层设备静态路由两台以上三层设备但网络扁平RIP 也能用追求收敛速度和可扩展性直接 OSPF别在 RIP 上耗时间。4.5 HSRP两台 3560 的网关冗余核心网关只有一台这台挂了全网断所以要两台 3560 做 HSRP。思路是两台交换机在同一个 SVI 上配同一个虚拟 IP主机网关指向虚拟 IP主设备故障时备设备接管。# 主设备 SW-CORE-01 SW-CORE-01(config)# track 1 interface gigabitEthernet 0/24 line-protocol SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# standby 10 ip 10.10.10.254 SW-CORE-01(config-if)# standby 10 priority 110 SW-CORE-01(config-if)# standby 10 preempt SW-CORE-01(config-if)# standby 10 track 1 decrement 20 # 备设备 SW-CORE-02同样的 SVI 上 SW-CORE-02(config)# interface vlan 10 SW-CORE-02(config-if)# standby 10 ip 10.10.10.254 SW-CORE-02(config-if)# standby 10 priority 100standby 10 ip的 10 是组号同一个组的两台设备共享一个虚拟 IP主机网关填 10.10.10.254。priority默认 100主设备配 110 让它成为 Active备设备保持 100。preempt是抢占不加的话主设备恢复后不会自动抢回 Active 角色会一直由备设备承担链路状态和实际转发路径就对不上了。track 1 interface gigabitEthernet 0/24 line-protocol配合standby 10 track 1 decrement 20意思是上行口断掉时优先级减 20从 110 降到 90低于备设备的 100备设备自动接管。这个配置能避免“网关还活着但上联断了”的黑洞场景是 HSRP 里最值得加的一段。配完在每台设备上用show standby brief看状态应该一台 Active 一台 Standby虚拟 IP 那一列两边一致。5. ACL、端口安全与限速3560 加固时的五种翻车现场排查安全配置和前面的 VLAN、路由不一样配错了不一定马上报错往往是某个业务突然不通、某个端口莫名其妙 down 掉然后回头一层层查。本文还有配套的精品资源点击获取 
长河君 · 2026/10/24 12:00:44 · 阅读 1.2k Cisco 3560三层交换机配置全流程：型号特性集、VLAN路由与HSRP
简介围绕思科 Catalyst 3560-E 系列三层交换机整理的配置文档面向网络运维初学者、企业网管及备考思科认证的技术人员帮助其系统理解企业级三层交换机的特性与命令行配置方法。压缩包内仅含 1 个 PDF 文件约 591KB体量轻便适合在实验环境或日常巡检时随时查阅。正文先从设备概述、万兆上行链路、TwinGig SFP 转换器、模块化电源、PoE 供电与冗余电源等硬件特性切入再展开访问方式、接口说明、端口与 MAC 地址表设置、VLAN 划分、静态路由及 RIP/OSPF 路由协议、ACL 与 802.1X 安全策略、QoS 流量分类标记、配置备份恢复等实操内容目录按“特性介绍—配置命令—案例验证”组织便于按模块跳读和对照练习。对初次接触 IOS 命令行的读者可依据目录从基础参数配置逐步过渡到 VLAN 间路由与安全策略验证减少盲目试错。已有 508 人学习可作为网络实验搭建、设备调试和故障排查的参考材料。1. 一台 3560 摆在机柜上装不上 OSPF多半不是操作者的问题上周帮人收拾一台二手的 Catalyst 3560G-24TS需求很朴素内网划三个 VLAN用这台思科三层交换机做 VLAN 间路由默认路由再指向出口。Console 线插好、ip routing打开、三个 SVI 地址配完VLAN 之间确实通了可router ospf 1敲进去回报的是% Invalid input detected。折腾半天才确认这台机器跑的是 SMI 镜像手里能用的路由协议只有静态和 RIPOSPF、EIGRP 要 EMI 才有。很多人把三层交换机当成“插上电、配个地址”的网络工具实际经验是3560 系列真正的安装起点不是上电是先把型号和特性集核对清楚否则后面所有配置都会卡在一条根本不存在的命令上。这篇就按一台 3560 从拆箱到跑通三层转发的顺序写适合拿它做小型办公网核心、实验室出口网关或者刚接手一台来历不明的二手设备的人。2. 开箱先清点3560、3560G 与 3560-E 的型号、特性集和电源对不上就别急着上电三层交换机的“安装”和装一台服务器不太一样服务器装错最多重装系统交换机选错型号或特性集往往是配到一半才发现某个命令不存在前面写的 VLAN 和路由全得推翻重来。所以第 2 章不碰命令行只做一件事把手里这台机器的端口、上行、软件镜像和供电能力四项核对清楚写在一张纸上后面每一步都对着这张纸走。这一章看着像抄参数实际是整个配置流程里最省时间的一段尤其是二手设备面板上的丝印和实际跑的镜像经常对不上。2.1 先认型号3560、3560G、3560-E 的端口和上行差在哪3560 这个系列跨度不小同样是“3560”端口速率、上行类型、是否带 PoE 完全不同。面板上能看到WS-C3560-24PS-S这种完整编号最后一位-S或-E就是软件镜像等级先记下来。常见的几档我列成表对照机箱标签核对产品编号下行端口上行端口镜像WS-C3560-24PS-S24×10/100带 PoE2×SFP 千兆SMIWS-C3560-48PS-E48×10/100带 PoE4×SFP 千兆EMIWS-C3560G-24TS-S24×10/100/10004×SFP 千兆SMIWS-C3560G-48TS-E48×10/100/10004×SFP 千兆EMIWS-C3560E-24TD24×10/100/10002×X2 万兆IP Base/IP ServicesWS-C3560E-24PD24×10/100/1000带 PoE2×X2 万兆IP Base/IP ServicesWS-C3560E-48TD48×10/100/10002×X2 万兆IP Base/IP ServicesWS-C3560E-48PD48×10/100/1000带 PoE2×X2 万兆IP Base/IP ServicesWS-C3560E-48PD-F48×10/100/1000每口 15.4W PoE2×X2 万兆IP Base/IP Services这里有两个容易被忽略的差别。第一3560 和 3560G 的上行是 SFP 千兆3560-E 的上行是 X2 万兆接口物理形态完全不同模块买错了插不进去。第二3560-E 支持 Cisco TwinGig 转换器能把一个 X2 万兆口拆成两个 SFP 千兆口前期先用千兆上行、后面业务涨了再换万兆不用动接入层。我一般建议预算紧的场景先上千兆 SFP把 TwinGig 转换器留着做扩容选项而不是一上来就买万兆模块。硬件底子也顺手记一下排查性能问题时用得上3560G 系列是 32Gbps 交换矩阵、38.7Mpps 转发率128MB DRAM 配 32MB Flash3560-48PS 是 17.6Gbps、13.1Mpps16MB Flash3560-24PS 是 8.8Gbps、6.6Mpps。MAC 地址表最多 12000 条单播路由最多 11000 条组播路由和 IGMP 群组各 1000 条。千兆口支持 9000 字节 MTU、桥接最大 9018 字节巨型帧10/100 口上的 MPLS 标记帧是 1546 字节。这些数字不用背但当你发现某个 VLAN 里主机数超过一万、或者要开 jumbo frame 跑存储流量时得知道上限在哪。2.2 特性集决定你能敲哪些命令SMI/EMI 与 IP Base/IP Services这一节是整篇里最该先看的部分。3560 和 3560G 用的是 SMI/EMI 两档SMI 只给静态路由和 RIPv1/v2可以后续升级到 EMIEMI 才有 OSPF、EIGRP、BGPv4 这类动态路由。3560-E 换了个说法叫 IP Base、IP Services、Advanced IP ServicesIP Base 有 QoS、限速、ACL、静态路由和 RIPIP Services 才放开硬件转发的单播和组播路由包括 EIGRP、OSPF、BGP、PIMAdvanced IP Services 再加 IPv6 路由RIPng、OSPFv3。3560-E 用许可证文件控制特性集交换机启动时 IOS 会检查这个文件按许可证类型激活对应功能所以同一台机器可以通过换许可证升级不用换硬件。上电前先把镜像确认了一条命令就够Switch enable Switch# show version # 关注输出里的 System image file 和下面的 License 信息 Switch# show license # 3560-E 上会列出当前激活的 feature set例如 ipservices 或 ipbaseshow version里的System image file那一行文件名中间通常带ipbase、ipservices、advipservices字样这是最快的判断方式show license在 3560-E 上能看到当前激活的许可证和可升级项。如果show license提示命令不存在说明这台是老平台的 3560/3560G回到 SMI/EMI 那套判断逻辑看型号尾缀和show version里有没有IP Services字样。注意二手机器经常出现“型号尾缀是 -E、实际刷了 -S 镜像”的情况。以show version的实际输出为准不要相信面板丝印。选哪个特性集取决于你要不要跑 OSPF/EIGRP。只有两三个 VLAN、一条默认路由指向出口防火墙的小网络IP Base 甚至 SMI 都够用静态路由配置简单、排错路径短出问题一眼能看穿。一旦要接两台以上三层设备、要做路由冗余和负载均衡就必须上 IP Services 或 EMI否则router ospf根本敲不进去。我的习惯是只要规划里出现第二台三层设备就直接按 IP Services 备货避免后面为了一个特性集停机换镜像。2.3 电源与 PoE 预算15.4W × 48 不是随便配的带 PoE 的 3560 最容易翻车的地方在电源。3560-E 是单电源插槽可选四种模块C3K-PWR-1150WAC1150W带 740W PoE、C3K-PWR-750WAC750W用于 24 口机型带 370W PoE、C3K-PWR-265WAC265W24/48 口数据机型无 PoE、C3K-PWR-265WDC265W 直流同样无 PoE。24 口 PoE 机型能同时带满 24 个 15.4W 全功率端口48 口 PoE 机型要带满 48 个 15.4W 端口必须上 1150W 电源否则就得靠智能电源管理降额比如 24 个 15.4W 端口加 48 个 7.7W 端口这样的组合。算 PoE 预算的方法很直接把要接的 IP 电话、无线 AP 的额定功率加起来乘 1.2 留余量再对比电源的 PoE 预算。比如 20 台 15.4W 的 AP 就是 308W750W 电源的 370W PoE 预算刚好卡在边缘夏天机柜温度一高就容易掉电重启这种情况我会直接上 1150W。冗余方面3560-E 可以接 RPS 2300 冗余电源系统一台 RPS 2300 能给 6 台交换机中的 2 台同时提供备用电源主电源故障时透明切换且支持热插拔。真要上 RPS记得把 RPS 的告警线也接上不然切换了没人知道。2.4 线材、终端和固件准备Console 线、TFTP 与 IOS 镜像物理连接只需要两样一根 Console 线RJ45 转 USB 或 RJ45 转 DB9看笔记本有没有串口和一根网线。Console 口是 RS-232 标准3560-E 还额外提供一个带外以太网管理端口但首次配置仍然建议走 Console因为管理口本身的 IP 可能也是空的。终端软件用任意串口工具即可参数固定9600 波特率、8 数据位、无校验、1 停止位、无流控。这组参数从很老的型号一直沿用到 3560基本不用试错。固件准备分两块。一块是 IOS 镜像如果机器里的镜像损坏或者要升级特性集需要提前把对应文件放到 TFTP 服务器上别等到机器起不来才去找文件。另一块是配置文件备份通道同样用 TFTP 最省事Windows 上用 tftpd32、Linux 上用 tftpd-hpa 都行服务器和交换机管理地址要能互通。我习惯在笔记本上固定一个 192.168.99.0/24 的地址和交换机的初始管理地址放同一网段插上线就能传文件不用再改网络。3. 首次接入与基线配置Console、管理地址和配置备份一次做对线接好、终端参数对上接下来是把一台空配置的 3560 变成一个能远程登录、能保存配置、能恢复的可用设备。这一章的所有命令都是基线后面配 VLAN 和路由都建立在它上面。很多人跳过这一步直接配业务结果设备重启一次配置全丢或者密码忘了只能按 Mode 按钮恢复出厂前面几小时的活白干。3.1 Console 接入与启动自检打开终端软件、给交换机上电屏幕上会连续刷出启动信息。这段输出不是噪音里面有价值的信息不少IOS 镜像文件名、内存大小、POST 自检结果、以及各个接口的初始化状态。看到Press RETURN to get started就按回车进入用户模式Switch。如果启动过程中出现%Error opening flash:或者反复重启先别急着配那是镜像或 Flash 的问题按 Ctrl-C 中断启动进 ROMMON 处理。启动信息里重点看三行System image file is ...确认镜像cisco WS-C3560...确认型号Base ethernet MAC Address记下来后面做端口安全和 DHCP 绑定会用到。自检阶段如果有POST: ... Failed说明某块硬件有问题PoE 控制器或者某个端口组可能已经坏了这种机器不适合做核心。Switch enable Switch# show inventory # 列出机箱型号、序列号和已插入的模块二手设备核对配置时很有用 Switch# show flash: # 确认 IOS 镜像文件存在、剩余空间够不够放新镜像show inventory的输出比面板丝印可靠PID 和 VID 都是设备自己报的show flash:除了看文件还要看剩余空间3560G 只有 32MB Flash两个镜像文件很容易塞满升级前先删旧镜像删之前确认新镜像能正常启动这个顺序别搞反。3.2 最小可用配置主机名、密码、管理地址基线配置的目标是能远程登录、密码受保护、有管理地址、配置能保存。下面这段可以直接抄把地址和密码换成自己的Switch enable Switch# configure terminal Switch(config)# hostname SW-CORE-01 SW-CORE-01(config)# enable secret Str0ng#Pass2024 SW-CORE-01(config)# service password-encryption # 明文密码在 show running-config 里会变成 7 号加密避免被人一眼看走 SW-CORE-01(config)# interface vlan 1 SW-CORE-01(config-if)# ip address 192.168.99.10 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# ip default-gateway 192.168.99.1 # 注意这条只在未开启 ip routing 的二层模式下有效 SW-CORE-01(config)# line con 0 SW-CORE-01(config-line)# logging synchronous SW-CORE-01(config-line)# exec-timeout 10 0 SW-CORE-01(config-line)# exit SW-CORE-01(config)# line vty 0 4 SW-CORE-01(config-line)# login local SW-CORE-01(config-line)# transport input ssh SW-CORE-01(config-line)# exit SW-CORE-01(config)# username admin privilege 15 secret Adm1n#Pass SW-CORE-01(config)# ip domain-name lab.local SW-CORE-01(config)# crypto key generate rsa modulus 1024 SW-CORE-01(config)# end SW-CORE-01# write memory逐项说明。enable secret用的是不可逆哈希优先级高于enable password两者都配时以 secret 为准。service password-encryption把配置文件里的明文密码转成弱加密防的是肩窥不是破解。interface vlan 1是管理 SVI配完必须no shutdown很多人漏这条然后困惑为什么 ping 不通。ip default-gateway是二层模式下的默认网关一旦后面执行了ip routing这条命令就失效了要换成全局的ip route 0.0.0.0 0.0.0.0 192.168.99.1这是 3560 上非常经典的一个坑。line con 0下的logging synchronous让日志输出不打断你正在敲的命令exec-timeout 10 0是 10 分钟无操作自动断开。VTY 线路只留 SSHtransport input ssh直接禁掉 Telnet配合crypto key generate rsa生成的密钥对比后面再补安全配置省事。write memory等价于copy running-config startup-config配完不保存重启就回到出厂状态。3.3 端口命名与 MAC 地址表先看清再动手3560 的端口命名是gigabitEthernet 0/1这种格式0 是模块号1 是端口号3560 是固定配置交换机模块号基本都是 0。批量操作前先用show interfaces status把物理状态过一遍SW-CORE-01# show interfaces status # 输出 notconnect / connected / err-disabled / disabled 四种状态 SW-CORE-01# show interfaces status err-disabled # 单独看被 err-disable 的端口排查端口安全、BPDU guard 触发时必用 SW-CORE-01# show mac address-table # 看 MAC 地址学习情况VLAN、MAC、类型、对应端口 SW-CORE-01# show mac address-table aging-time # 默认 300 秒改小能让异常 MAC 更快老化show interfaces status的Vlan列会显示端口当前所属 VLANDuplex和Speed列能看出协商结果出现a-half这种自动协商成半双工的情况说明对端设备有问题千兆口半双工基本等于不能用。show mac address-table是排查“某个 IP 到底接在哪个口”的第一手工具配合show arp或show ip arp能快速定位。3560 的 MAC 表上限是 12000 条正常办公网很难打满但如果某个端口 learning 速率异常往往是环路或者 MAC 泛洪攻击这时候show mac address-table count看总数变化趋势比看单条记录更有效。端口描述是个小习惯但收益很大配业务口时顺手加一行SW-CORE-01(config)# interface gigabitEthernet 0/1 SW-CORE-01(config-if)# description TO-AP-3F-EAST SW-CORE-01(config-if)# speed 1000 SW-CORE-01(config-if)# duplex full SW-CORE-01(config-if)# no shutdowndescription会出现在show interfaces status、show running-config和网管系统的拓扑图里半年后回来排障这行字能省掉很多猜。speed和duplex在对接老设备时建议手工写死自动协商在两端能力不一致时容易掉到半双工。3.4 配置备份与镜像恢复给自己留后悔药基线配完第一件事是备份不是继续往下配。3560 的配置和镜像都能通过 TFTP 传出来SW-CORE-01# copy running-config tftp://192.168.99.100/SW-CORE-01.cfg # 把当前运行配置存到 TFTP 服务器文件名按设备名日期命名 SW-CORE-01# copy flash: tftp://192.168.99.100/ # 备份 IOS 镜像按提示输入镜像文件名 SW-CORE-01# show archive # 配置了 archive 之后可以看历史配置快照copy running-config tftp:需要 TFTP 服务器可达、目录可写Windows 防火墙经常挡掉 69 端口传之前先在本机ping一下交换机管理地址。镜像备份要看 Flash 剩余空间镜像文件通常十几兆传的时候别中断。恢复时反过来copy tftp: running-config或copy tftp: flash:配置恢复后记得copy running-config startup-config否则重启又没了。更进一步可以启用配置归档让交换机每次保存时自动留一份快照SW-CORE-01(config)# archive SW-CORE-01(config-archive)# path flash:archive-config SW-CORE-01(config-archive)# write-memory SW-CORE-01(config-archive)# time-period 1440path指定归档目录write-memory表示每次执行write memory时自动归档一份time-period 1440是每 1440 分钟一天自动归档一次。Flash 空间有限归档文件会累积定期用dir flash:archive-config清理旧文件。这个功能在改错一条命令导致全网中断时特别有用比凭记忆回滚靠谱得多。4. 从二层到三层VLAN、Trunk、SVI 与路由协议的具体配法基线有了接下来才是这台 3560 的正事把端口分成几个 VLAN用 SVI 做网关让 VLAN 之间能按策略互通再和出口设备跑起路由。这一章的配置顺序不能乱先建 VLAN 再分端口先起 SVI 再开路由顺序反了会出现 SVI 一直 down、路由表里没有直连网段这类看起来很奇怪的现象。4.1 建 VLAN 与划分端口VLAN 的创建和端口划分是最基础的一步命令不多但有两个细节决定了后面顺不顺VLAN 名称要写端口模式要显式指定。SW-CORE-01(config)# vlan 10 SW-CORE-01(config-vlan)# name OFFICE SW-CORE-01(config-vlan)# vlan 20 SW-CORE-01(config-vlan)# name SERVER SW-CORE-01(config-vlan)# vlan 99 SW-CORE-01(config-vlan)# name MGMT SW-CORE-01(config-vlan)# exit SW-CORE-01(config)# interface range gigabitEthernet 0/1 - 8 SW-CORE-01(config-if-range)# switchport mode access SW-CORE-01(config-if-range)# switchport access vlan 10 SW-CORE-01(config-if-range)# spanning-tree portfast SW-CORE-01(config-if-range)# spanning-tree bpduguard enable SW-CORE-01(config-if-range)# no shutdownvlan 10进入 VLAN 配置模式name OFFICE给 VLAN 起名字show vlan brief里就能看到名字而不是光秃秃的编号排障时省事。interface range支持连续端口批量操作格式是0/1 - 8注意减号两边有空格。switchport mode access显式把端口设成接入模式不写的话端口默认是动态模式会自动协商成 trunk接终端设备时容易出怪问题。switchport access vlan 10把端口划进 VLAN 10。spanning-tree portfast让接终端的端口跳过 STP 的监听和学习阶段插上网线几秒内就能通不加的话默认要等 30 秒左右。spanning-tree bpduguard enable是配套的安全措施PortFast 端口如果收到 BPDU说明有人把交换机接到了这个原本该接终端的口上BPDU guard 会直接把端口 err-disable 掉防止环路。这两条要成对出现只开 PortFast 不开 BPDU guard等于给自己埋了个环路隐患。删除 VLAN 用no vlan 10但要注意如果还有端口属于这个 VLAN删掉 VLAN 后这些端口会变成 inactive 状态得先把端口改到别的 VLAN 或者改回默认 VLAN 1。批量清理时我一般先show vlan brief确认没有活动端口再删。4.2 Trunk 与 VTP把 VTP 关掉更省心交换机之间互联的端口要配成 trunk让多个 VLAN 的流量带着 802.1Q 标签通过。3560 支持 ISL 和 802.1Q 两种封装配 trunk 之前必须先指定封装方式这是新手最容易漏的一步。SW-CORE-01(config)# interface gigabitEthernet 0/24 SW-CORE-01(config-if)# description UPLINK-TO-CORE-02 SW-CORE-01(config-if)# switchport trunk encapsulation dot1q SW-CORE-01(config-if)# switchport mode trunk SW-CORE-01(config-if)# switchport trunk native vlan 999 SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,99 SW-CORE-01(config-if)# no shutdownswitchport trunk encapsulation dot1q必须在switchport mode trunk之前执行顺序反了会报错因为 3560 默认的封装协商状态是 auto不指定就没法进入 trunk 模式。switchport trunk native vlan 999把 native VLAN 改成一个不承载业务的空 VLANnative VLAN 的流量是不打标签的两端不一致会导致 VLAN 流量串台改成 999 并保证两端一致是最稳妥的做法。switchport trunk allowed vlan显式列出允许通过的 VLAN不用all这样新增 VLAN 时不会无意中把它放行到不该去的地方也减少了不必要的广播泛洪。VTP 是思科早期的 VLAN 同步协议服务器模式的交换机可以把 VLAN 数据库推给同域的其他交换机。听起来方便实际是个高风险功能一台配置错误的交换机接入网络可能把整个域的 VLAN 数据库覆盖掉导致全网 VLAN 消失。我的做法是一律vtp mode transparent让每台交换机自己管自己的 VLAN 数据库手工同步SW-CORE-01(config)# vtp mode transparent SW-CORE-01(config)# vtp domain LAB-NET SW-CORE-01(config)# vtp version 2 SW-CORE-01(config)# vtp password Vtp#2024vtp mode transparent下交换机不参与 VTP 同步但会转发 VTP 报文VLAN 配置完全本地生效。vtp domain和vtp password在 transparent 模式下不影响行为但写上能避免从服务器模式切换过来时残留旧配置。真要统一管理 VLAN用网管系统下发比 VTP 可控得多。4.3 SVI 与 ip routing三层网关成型前面三步都是二层的事到这一步才真正把 3560 变成三层交换机。核心是两条全局开ip routing然后给每个 VLAN 配一个 SVI 地址作为网关。SW-CORE-01(config)# ip routing SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# description OFFICE-GW SW-CORE-01(config-if)# ip address 10.10.10.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# interface vlan 20 SW-CORE-01(config-if)# description SERVER-GW SW-CORE-01(config-if)# ip address 10.10.20.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# interface vlan 99 SW-CORE-01(config-if)# ip address 10.10.99.10 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# end SW-CORE-01# show ip interface briefip routing是全局开关不开的话 SVI 只能当管理地址用VLAN 之间不通。每个 SVI 的ip address就是这个 VLAN 内主机的默认网关no shutdown同样不能漏。SVI 的状态有个特性VLAN 内必须至少有一个端口处于 up 状态或者 trunk 允许该 VLAN 且有活动链路SVI 才会 up。刚配完 SVI 发现show ip interface brief里是down/down先回去看 VLAN 里有没有活端口这是最高频的一个疑问。show ip interface brief能看到所有接口的 IP、状态和协议状态show ip route能看到路由表里有没有这些直连网段。配完三个 SVI路由表里应该出现三条C开头的直连路由对应三个网段。没有的话不是路由没配是 SVI 没起来。4.4 静态路由、RIP 与 OSPF 怎么选VLAN 间通了之后还要让这台交换机知道怎么去外面的网络以及让外面的设备知道怎么回来。三种选择按网络规模挑# 方案一只有一条出口静态默认路由最简单 SW-CORE-01(config)# ip route 0.0.0.0 0.0.0.0 10.10.99.1 # 方案二SMI 镜像下的小网络RIPv2 SW-CORE-01(config)# router rip SW-CORE-01(config-router)# version 2 SW-CORE-01(config-router)# no auto-summary SW-CORE-01(config-router)# network 10.10.10.0 SW-CORE-01(config-router)# network 10.10.20.0 SW-CORE-01(config-router)# passive-interface vlan 10 # 方案三IP Services / EMI 镜像OSPF SW-CORE-01(config)# router ospf 1 SW-CORE-01(config-router)# router-id 10.10.99.10 SW-CORE-01(config-router)# network 10.10.10.0 0.0.0.255 area 0 SW-CORE-01(config-router)# network 10.10.20.0 0.0.0.255 area 0 SW-CORE-01(config-router)# passive-interface vlan 10 SW-CORE-01(config-router)# passive-interface vlan 20静态默认路由适合单出口场景0.0.0.0 0.0.0.0表示所有未知目的地下一跳是出口设备的接口地址。RIP 的network后面跟的是主类网段version 2开启无类路由no auto-summary关闭自动汇总不加这条在 10.x 这种连续网段上容易出现路由汇总错误。passive-interface让接终端的 VLAN 不发 RIP 报文但继续宣告网段减少无用广播。OSPF 的network用反掩码wildcard mask0.0.0.255对应 /24router-id手工指定成管理地址不指定会从接口里挑一个重启后可能变影响邻居关系。passive-interface在 OSPF 里同样重要接终端的接口没必要跑 OSPF 邻居。选哪个方案我一般的判断是单出口 单台三层设备静态路由两台以上三层设备但网络扁平RIP 也能用追求收敛速度和可扩展性直接 OSPF别在 RIP 上耗时间。4.5 HSRP两台 3560 的网关冗余核心网关只有一台这台挂了全网断所以要两台 3560 做 HSRP。思路是两台交换机在同一个 SVI 上配同一个虚拟 IP主机网关指向虚拟 IP主设备故障时备设备接管。# 主设备 SW-CORE-01 SW-CORE-01(config)# track 1 interface gigabitEthernet 0/24 line-protocol SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# standby 10 ip 10.10.10.254 SW-CORE-01(config-if)# standby 10 priority 110 SW-CORE-01(config-if)# standby 10 preempt SW-CORE-01(config-if)# standby 10 track 1 decrement 20 # 备设备 SW-CORE-02同样的 SVI 上 SW-CORE-02(config)# interface vlan 10 SW-CORE-02(config-if)# standby 10 ip 10.10.10.254 SW-CORE-02(config-if)# standby 10 priority 100standby 10 ip的 10 是组号同一个组的两台设备共享一个虚拟 IP主机网关填 10.10.10.254。priority默认 100主设备配 110 让它成为 Active备设备保持 100。preempt是抢占不加的话主设备恢复后不会自动抢回 Active 角色会一直由备设备承担链路状态和实际转发路径就对不上了。track 1 interface gigabitEthernet 0/24 line-protocol配合standby 10 track 1 decrement 20意思是上行口断掉时优先级减 20从 110 降到 90低于备设备的 100备设备自动接管。这个配置能避免“网关还活着但上联断了”的黑洞场景是 HSRP 里最值得加的一段。配完在每台设备上用show standby brief看状态应该一台 Active 一台 Standby虚拟 IP 那一列两边一致。5. ACL、端口安全与限速3560 加固时的五种翻车现场排查安全配置和前面的 VLAN、路由不一样配错了不一定马上报错往往是某个业务突然不通、某个端口莫名其妙 down 掉然后回头一层层查。本文还有配套的精品资源点击获取