简介《思科三层交换机配置详解 以3560为例》是一份面向网络工程师、运维人员和思科设备初学者的实战型PDF文档围绕Catalyst 3560-E系列展开帮助读者理解企业级三层交换机的功能特性与配置方法。压缩包内仅含1个PDF文件大小约591KB内容按“设备介绍—配置实践”组织涵盖万兆上行链路、TwinGig SFP转换器、模块化/冗余电源、PoE、QoS、ACL、802.1X及IPv4/IPv6路由等要点并给出访问设备、接口配置、VLAN划分、MAC地址表、启动及基本配置案例等操作说明。已有508人学习下载适合用来梳理3560系列的知识框架、对照CLI命令完成实验配置也可作为故障排查与安全加固的参考手册。1. 一台二手 3560 摆在桌上才是理解三层交换的开始实验室角落那台 WS-C3560G-24TS风扇声比机柜里任何设备都响但它是我见过最划算的思科三层交换机配置练习平台。很多人把三层交换理解成“能配 SVI 就是三层”真上手才发现问题全藏在细节里VLAN 起不来、Trunk 封装顺序错、HSRP 不抢占、ACL 配了不生效每一个都能让你对着屏幕坐半小时。这份以 Catalyst 3560 为例的配置详解从型号后缀、特性集差异、Console 接入、VLAN 与 Trunk一路讲到 SVI、HSRP、OSPF、ACL、端口限速和安全防护等于把一台三层交换机从开箱到上线的链路完整走了一遍。适合刚接触企业网、手里有真机或模拟器、需要一套能照着敲的配置参照的人也适合把它当网络工具手册配置前翻两页确认参数和边界。2. 认识 3560型号后缀、特性集与供电预算买二手设备最容易犯的错是只看“24 口千兆”就下单回来发现没有 PoE或者镜像里根本没有 OSPF。3560 这个家族横跨三代产品后缀里每个字母都在告诉你它能干什么先把这张表读明白后面配置能省一半返工。2.1 型号后缀怎么读端口数、PoE 与上行链路3560 家族大致分三档基础版 Catalyst 356010/100 下行、千兆版 3560G10/100/1000 下行、增强版 3560-EX2 万兆上行、模块化电源。型号里的TS表示纯数据口加 SFP 上行PS表示带 PoE 的百兆口TD/PD是 3560-E 的万兆上行版本末尾的-S和-E分别对应标准多层软件镜像和增强多层软件镜像。型号下行端口上行镜像典型位置WS-C3560-24PS-S24×10/100 PoE2×SFPSMI小型接入WS-C3560-48PS-E48×10/100 PoE4×SFPEMI接入轻量路由WS-C3560G-24TS-S24×10/100/10004×SFPSMI千兆接入WS-C3560G-48TS-E48×10/100/10004×SFPEMI汇聚WS-C3560E-24TD24×10/100/10002×X2IP Base汇聚上行WS-C3560E-48PD-F48×10/100/1000 PoE 15.4W2×X2IP Base全端口 PoE硬件参数上3560G-24TS/PS 和 3560G-48TS/PS 是 32Gbps 交换矩阵、38.7Mpps 转发率128MB DRAM、32MB Flash3560-48PS 是 17.6Gbps、13.1Mpps、16MB Flash3560-24PS 是 8.8Gbps、6.6Mpps。MAC 地址表最多 12000 条单播路由 11000 条MTU 可到 9000 字节千兆口桥接最大帧 9018 字节。这些数字决定了它能不能扛住你机柜里的终端数量别等到 MAC 表刷满才开始查手册。有一个物理细节必须提前知道3560G 的最后两个千兆电口和 SFP 上行口是 Combo 复用关系插了光模块对应的电口就失效。我见过有人把服务器接在 23、24 口又插了 SFP 上联然后反复排查“端口怎么不通”最后发现是物理层共用。上架前先在图纸上标清楚哪两个口是复用的。2.2 SMI 与 EMI特性集决定命令能不能敲这是 3560 最容易被忽略的一道坎。SMI 镜像只有静态路由和 RIPv1/RIPv2EMI 镜像才有 OSPF、EIGRP、BGPv4、PIM、PBR。3560-E 换成 IP Base / IP Services / Advanced IP Services 的叫法IP Base 覆盖 QoS、限速、ACL 和基础 RIPIP Services 才放开硬件单播组播路由Advanced IP Services 再加 IPv6。特性SMI / IP BaseEMI / IP ServicesAdvanced IP Services静态路由、RIP支持支持支持OSPF、EIGRP、BGP不支持支持支持PIM、DVMRP 隧道不支持支持支持PBR不支持支持支持IPv6 路由不支持不支持支持拿到设备第一件事不是接线是敲show version看镜像名和 licenseSW enable SW# show version SW# show licenseshow version最后一行的System image file会告诉你跑的是c3560-ipbasek9-mz还是c3560-ipservicesk9-mz带k9才有加密特性SSH 才能生成密钥。3560-E 还能通过 license 文件透明升级特性集非 E 系列只能换镜像。我一般会在机房贴一张标签写清楚每台设备当前镜像和可升级方向避免半年后自己也忘了。2.3 电源与 PoE 预算48 口全功率不是插上就行3560-E 的电源是模块化的插槽只有一个选错电源直接决定你能不能带满 PoE。可选型号有 C3K-PWR-265WAC、C3K-PWR-265WDC、C3K-PWR-750WAC、C3K-PWR-1150WACPoE 预算差别很大。电源功率PoE 预算适用场景C3K-PWR-265WAC265W024/48 口纯数据C3K-PWR-265WDC265W0直流供电场景C3K-PWR-750WAC750W370W24 口 PoEC3K-PWR-1150WAC1150W740W48 口全功率 PoE算一下就明白802.3af 单口 15.4W24 口满载 369.6W750W 电源的 370W 预算刚好卡住48 口满载 739.2W只有 1150W 电源的 740W 才够。如果预算不够可以走智能电源管理配成 24 个 15.4W 或 48 个 7.7W 的组合但这就意味着部分 AP 或话机可能拿不到全功率。上线前用这两条命令确认供电状态SW# show power inline SW# show env allshow power inline会列出每个 PoE 口的分配功率、剩余预算和状态show env all看温度、风扇和电源在位情况。曾经有一次无线 AP 反复重启查了半天配置最后是 PoE 预算被几台话机吃满AP 上电瞬间掉电。这类问题不看电源表根本定位不到。3. 从 Console 到可管基础配置与 VLAN 骨架设备上电后第一件事不是配业务是把自己“能管住它”。管理通道选错后面每次改配置都得抱着笔记本蹲机柜VLAN 骨架没搭好三层路由配得再漂亮也是空中楼阁。3.1 三条管理通道与带外管理口3560 的接入方式有三种Console 口、Telnet/SSH、3560-E 额外带一个带外以太网管理口。Console 是保底手段线序 9600-8-N-1用 RJ-45 转 USB 线接到笔记本SecureCRT 或 PuTTY 都能连。带外管理口的好处是独立于业务 VLAN业务口全挂也能进去救火3560-E 上我一般会把它接到独立管理交换机。生产环境不要用 Telnet。SSH 需要设备有加密镜像k9配置时先设域名再生成密钥SW-CORE-01(config)# ip domain-name lab.local SW-CORE-01(config)# crypto key generate rsa modulus 1024 SW-CORE-01(config)# username admin privilege 15 secret Adm1nLab SW-CORE-01(config)# line vty 0 15 SW-CORE-01(config-line)# login local SW-CORE-01(config-line)# transport input ssh SW-CORE-01(config-line)# exec-timeout 10 0ip domain-name是生成 RSA 密钥的前置条件不设会直接报错modulus 1024在 3560 这个年代的设备上是稳妥值设 2048 可能因为 CPU 太慢卡住几分钟transport input ssh直接关掉 Telnet比事后审计省心。exec-timeout 10 0是十分钟无操作自动断开机房临时离开不至于留一个永不超时的会话。如果crypto key generate rsa提示命令不存在别怀疑配置写错了是镜像不带 k9。这种情况下要么换镜像要么退回 Telnet 加 ACL 限制源地址没有第三条路。3.2 基础配置主机名、管理地址、默认网关与保存管理 VLAN 我习惯单独划一个不占用 VLAN 1。VLAN 1 在所有 Trunk 上默认放行用它做管理等于把门开在走廊上。下面是上电后的第一段配置switch enable switch# configure terminal switch(config)# hostname SW-CORE-01 SW-CORE-01(config)# enable secret Str0ngPss SW-CORE-01(config)# service password-encryption SW-CORE-01(config)# no ip domain-lookup SW-CORE-01(config)# vlan 99 SW-CORE-01(config-vlan)# name MGMT SW-CORE-01(config-vlan)# exit SW-CORE-01(config)# interface vlan 99 SW-CORE-01(config-if)# description MGMT-SVI SW-CORE-01(config-if)# ip address 10.10.99.2 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# ip default-gateway 10.10.99.1 SW-CORE-01(config)# end SW-CORE-01# write memoryno ip domain-lookup是必配项。敲错一条命令时设备会尝试把错误字符串当域名解析运气不好卡十几秒机房现场能把人急死。enable secret存的是 MD5 散列service password-encryption只是把明文密码做弱加密两者都要开。管理地址配在 SVI 上no shutdown不能漏很多人配完地址发现 ping 不通就是 SVI 还处于 administratively down 状态。这里有个分水岭如果这台交换机后面要开ip routing做三层转发ip default-gateway会失效必须改成默认路由ip route 0.0.0.0 0.0.0.0 10.10.99.1。这个坑我在第 5 章会单独展开因为它太常见了。3.3 VLAN 创建、Access 口与 Trunk 口VLAN 规划要在接线之前定好别一边配一边改。下面这段是接入层的标准骨架SW-CORE-01(config)# vlan 10 SW-CORE-01(config-vlan)# name OFFICE SW-CORE-01(config)# vlan 20 SW-CORE-01(config-vlan)# name GUEST SW-CORE-01(config)# interface range gigabitEthernet 0/1 - 12 SW-CORE-01(config-if-range)# description OFFICE-PC SW-CORE-01(config-if-range)# switchport mode access SW-CORE-01(config-if-range)# switchport access vlan 10 SW-CORE-01(config-if-range)# spanning-tree portfast SW-CORE-01(config-if-range)# spanning-tree bpduguard enable SW-CORE-01(config-if-range)# no shutdown SW-CORE-01(config-if-range)# exitinterface range是批量配置的关键3560 支持逗号和连字符混写比如gi0/1-4,gi0/7。switchport mode access要显式写默认的 dynamic 模式会跑 DTP 协商接终端没有任何好处。portfast让接入口跳过生成树监听学习阶段终端插上就能通bpduguard配合 portfast 使用一旦接入口收到 BPDU 就 err-disable防止有人把家用交换机接进接入层造成环路。上行 Trunk 的配置顺序有讲究SW-CORE-01(config)# interface gigabitEthernet 0/24 SW-CORE-01(config-if)# description UPLINK-TO-CORE SW-CORE-01(config-if)# switchport trunk encapsulation dot1q SW-CORE-01(config-if)# switchport mode trunk SW-CORE-01(config-if)# switchport trunk native vlan 999 SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,99 SW-CORE-01(config-if)# no shutdownswitchport trunk encapsulation dot1q必须在switchport mode trunk之前敲。3560 支持 ISL 和 802.1Q 两种封装默认是 negotiate直接切 trunk 模式会报Command rejected: An interface whose trunk encapsulation is Auto can not be configured to trunk mode。这不是 bug是设备要求你先明确封装类型。native vlan 999是安全习惯。Native VLAN 的流量不打标签两端不一致会导致 VLAN 跳跃改成不用的 999 并保证两端一致能挡掉一类攻击。allowed vlan显式列出放行的 VLAN比默认全放行更可控也方便排错时一眼看出业务 VLAN 有没有被漏掉。3.4 VTP 与 Native VLAN别让域号把 VLAN 库冲掉VTP 的设计初衷是减少 VLAN 配置工作量但在接入层它更像一个容易出问题的机制一台 revision 号更高的交换机接进来能把全网 VLAN 库覆盖掉包括删除你正在用的业务 VLAN。我的做法是全部改透明模式SW-CORE-01(config)# vtp mode transparent SW-CORE-01(config)# vtp domain LAB-NET SW-CORE-01(config)# vtp version 2透明模式下设备只转发 VTP 通告不参与同步VLAN 库各自维护。代价是新增 VLAN 要逐台配置但换来的是不会被别人的 revision 号误伤。如果非要用 Server/Client 模式至少把 domain 和密码设上并且新设备接入前先改 domain 或重置 revision。Native VLAN 与 VTP 的配合也有个细节Trunk 两端 native VLAN 不一致时CDP 会报Native VLAN mismatch但业务可能还能通因为两边都把无标签帧归到了各自的 native VLAN。这种“能通但不对”的状态最危险排查时容易漏。上架后show interfaces trunk一眼扫过去native VLAN 和 allowed VLAN 两列必须两端对齐。4. 三层转发与安全边界SVI、HSRP、OSPF 与 ACL二层骨架搭完交换机还只是一台“能划 VLAN 的盒子”。真正让它变成三层网关的是ip routing、SVI、冗余网关和路由协议这一串配置而让它能放心上线的是 ACL、端口安全和限速这道边界。4.1 ip routing 与 SVI三层转发的开关3560 默认是二层模式SVI 上配了地址也不会转发跨网段流量必须全局开路由SW-CORE-01(config)# ip routing SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# description GW-OFFICE SW-CORE-01(config-if)# ip address 10.10.10.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# interface vlan 20 SW-CORE-01(config-if)# ip address 10.10.20.1 255.255.255.0 SW-CORE-01(config-if)# no shutdownSVI 处于 up/up 状态是有条件的VLAN 必须存在、VLAN 不能被 shutdown、并且该 VLAN 内至少有一个 up 的 access 口或者有一条放行该 VLAN 的 up Trunk。三个条件缺一个show ip interface brief里就是 down哪怕你配了地址、敲了no shutdown也没用。这是新手最容易卡住的地方明明配置没问题就是不通最后发现是那个 VLAN 一个口都没接。开了ip routing之后管理流量的默认网关写法要跟着变SW-CORE-01(config)# no ip default-gateway 10.10.99.1 SW-CORE-01(config)# ip route 0.0.0.0 0.0.0.0 10.10.99.1ip default-gateway只在设备作为二层设备工作时生效一旦开启路由功能它就被忽略。远程 SSH 断连、网管平台失联十有八九是这一条没改。4.2 HSRP优先级、抢占与上行跟踪两台 3560 做网关冗余HSRP 是最稳的选择。核心是虚拟 IP、优先级、抢占三个参数SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# standby 10 ip 10.10.10.254 SW-CORE-01(config-if)# standby 10 priority 110 SW-CORE-01(config-if)# standby 10 preempt delay minimum 30 SW-CORE-01(config-if)# standby 10 track 1 decrement 30 SW-CORE-01(config-if)# exit SW-CORE-01(config)# track 1 interface gigabitEthernet 0/24 line-protocolstandby 10 ip里的 10 是组号同一个 VLAN 两端必须一致不同 VLAN 用不同组号方便排错。优先级默认 100主网关设 110备网关保持默认。preempt默认关闭不配它主设备恢复后也不会抢回流量会一直挂在备机上跑——这不是故障是默认行为很多人误以为 HSRP 坏了。preempt delay minimum 30让设备启动后等 30 秒再抢占避开路由协议还没收敛的时间窗否则会出现“抢回来了但路由没准备好”的短暂黑洞。track跟踪上行口一旦上行 down优先级减 30备机接管。减多少要算主 110 减 30 是 80低于备机的 100才能触发切换如果减 10 变成 100和备机相同谁接管就看 IP 大小了这种配置等于没配。验证用一条命令SW-CORE-01# show standby brief输出里看 Active/Standby 角色、优先级、抢占状态和跟踪对象状态四个字段对齐才算配好。4.3 OSPF 与 RIP邻居起不来先看这几项SMI 镜像只能跑 RIPEMI 才能跑 OSPF。RIP 配置简单但 15 跳限制和 30 秒更新周期在现在的网络里基本只能做实验SW-CORE-01(config)# router rip SW-CORE-01(config-router)# version 2 SW-CORE-01(config-router)# no auto-summary SW-CORE-01(config-router)# network 10.10.10.0 SW-CORE-01(config-router)# network 10.10.20.0version 2必须显式开v1 是有类路由不认子网掩码no auto-summary关掉自动汇总否则 10.10.10.0/24 和 10.10.20.0/24 会被汇总成 10.0.0.0/8 发出去邻居路由表直接乱掉。OSPF 是更现实的选择SW-CORE-01(config)# router ospf 1 SW-CORE-01(config-router)# router-id 10.10.0.1 SW-CORE-01(config-router)# network 10.10.10.0 0.0.0.255 area 0 SW-CORE-01(config-router)# network 10.10.20.0 0.0.0.255 area 0 SW-CORE-01(config-router)# passive-interface default SW-CORE-01(config-router)# no passive-interface gigabitEthernet 0/24 SW-CORE-01(config-router)# exitrouter-id一定要手配。不配的话设备会自己选先看有没有 Loopback 地址没有就选活动接口里最大的 IP这个值在运行中改起来要重启 OSPF 进程生产环境很麻烦。network后面跟的是反掩码0.0.0.255对应/24写成255.255.255.0会直接报错。passive-interface default加no passive-interface白名单是我比较推荐的写法默认所有接口不发送 Hello只在上联口放开。这样接入口不会莫名其妙建立邻居也减少了不必要的 LSA 泛洪。邻居状态用这两条看SW-CORE-01# show ip ospf neighbor SW-CORE-01# show ip ospf interface gigabitEthernet 0/24邻居卡在INIT说明单向收到 Hello查链路卡在2WAY在广播网络里属于正常DR/BDR 选举但如果只有两台设备还卡 2WAY多半是优先级都设成了 0卡在EXSTART/EXCHANGE优先查 MTU 是否一致一端 1500 一端 9000 就会卡在这里show interfaces对比一下最快。4.4 VLAN 间访问控制三种典型需求的 ACL 写法企业网里 VLAN 间默认互通但总有几个网段需要隔离。3560 支持路由 ACL配在 SVI 的 in/out 方向和 VLAN ACLVACL配在 VLAN 上选哪个取决于你要拦的是“跨网段流量”还是“VLAN 内所有流量”。需求一VLAN 10 和 VLAN 20 不能互访但都能访问 VLAN 30。用路由 ACL 配在源 SVI 的入方向SW-CORE-01(config)# ip access-list extended ACL-V10-IN SW-CORE-01(config-ext-nacl)# permit ip 10.10.10.0 0.0.0.255 10.10.30.0 0.0.0.255 SW-CORE-01(config-ext-nacl)# deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255 SW-CORE-01(config-ext-nacl)# permit ip any any SW-CORE-01(config-ext-nacl)# exit SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# ip access-group ACL-V10-IN inVLAN 20 的 SVI 上配一条镜像规则即可。关键在最后那句permit ip any any扩展 ACL 末尾隐含deny ip any any不补这一条除了 VLAN 30 以外所有流量都会被丢掉包括上网和 DNS。需求二所有 VLAN 都不能访问 VLAN 30但 VLAN 30 可以访问其他 VLAN。这种“单向隔离”用 VACL 更省事SW-CORE-01(config)# ip access-list extended VACL-PROTECT-30 SW-CORE-01(config-ext-nacl)# permit ip 10.10.30.0 0.0.0.255 any SW-CORE-01(config-ext-nacl)# deny ip any 10.10.30.0 0.0.0.255 SW-CORE-01(config-ext-nacl)# permit ip any any SW-CORE-01(config-ext-nacl)# exit SW-CORE-01(config)# vlan access-map MAP-30 10 SW-CORE-01(config-access-map)# match ip address VACL-PROTECT-30 SW-CORE-01(config-access-map)# action forward SW-CORE-01(config-access-map)# exit SW-CORE-01(config)# vlan filter MAP-30 vlan-list 10,20VACL 的action forward表示命中 permit 的放行命中 deny 的丢弃逻辑和路由 ACL 相反写的时候容易绕晕。vlan filter只作用在 VLAN 10 和 20 上VLAN 30 自己不受影响正好实现单向。需求三单向访问A 能主动访问 BB 不能主动访问 A。用反射 ACLSW-CORE-01(config)# ip access-list extended A-TO-B SW-CORE-01(config-ext-nacl)# permit ip 10.10.10.0 p a hrefhttps://download.csdn.net/download/weixin_42421584/89204431 stylecolor:#ec7500;font-size:14px; 本文还有配套的精品资源点击获取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p