“交换机基本原理与配置”这八个字摆在培训目录里毫不起眼但真让它变得值钱的是那些配错一个端口类型就得查到后半夜的现场。我带过几个刚入行的同事命令敲得飞快switchport mode trunk背得滚瓜烂熟可链路一不通第一反应永远是“重启试试”——他们脑子里缺一张图不知道一个数据帧从主机网卡出来以后在交换机内部到底经过了哪几道关卡、被做了什么判断。这篇东西想干的事很朴素把交换机基本原理与配置这两件事绑在一起讲先把“它凭什么这么转发”说透再落到命令行上把这些判断变成能直接抄的配置。内容覆盖二层转发流程、MAC 地址表、VLAN 划分、Access/Trunk/Hybrid 三种端口类型、管理面配置以及我这些年踩出来的排障顺序写给刚摸网络设备的新人也写给那些“会配但说不清为什么这么配”的老手拿来对一遍思路。不聊认证考点只讲现场能用的。1. 先搞清楚交换机站在网络的哪个位置1.1 从冲突域说起它到底解决了什么问题要理解交换机得先回到它取代的那个东西——集线器。集线器是个纯物理层设备一个口收到的电信号会原样复制到所有其他口整个设备就是一个冲突域。所有接在它上面的机器共享同一份带宽谁想发数据都得先听线路忙不忙这就是早年 CSMA/CD 那套载波监听多路访问/冲突检测的机制。八台机器接一个百兆集线器理想情况下每台平均只有十几兆而且同时发送就会碰撞、退避、重传实际体验比理论值还差一大截。交换机做的最关键一件事是把一个冲突域切成每端口一个冲突域。每个端口独立收发支持全双工收发各走一对线互不干扰也就不存在“碰撞”这个概念了。这一步的价值经常被低估它不是“变快了一点”而是从“一群人抢一个话筒”变成了“每个人一条独立电话线”。理解了这一点后面所有配置动作的动机就顺了——我们配 VLAN、配 Trunk、配端口安全本质上都是在管理“谁和谁能听到谁说话”这件事。还有个容易混淆的点交换机分割的是冲突域不是广播域。默认情况下一台交换机上所有端口仍在同一个广播域里一个广播帧照样会被泛洪到所有端口。要切广播域就得上 VLAN。这个区别是新手最容易犯迷糊的地方我见过有人以为“接了交换机广播就不扩散了”结果几十台机器一个广播风暴直接把整栋楼的网打瘫。1.2 一个帧进交换机以后到底发生了什么抛开所有厂商的实现细节一台二层交换机处理一个入站帧动作可以归成三步学源、查目的、动起来。这三步是整篇文章的地基配置出问题时脑子里过一遍这三步八成能定位到方向。第一步学习。帧从某个端口进来交换机读它的源 MAC连同这个入端口号和所属 VLAN ID写进 MAC 地址表同时打上一个老化计时器常见默认 300 秒。这里有个关键细节表项是“源 MAC VLAN 端口”的三元组不是单纯的 MAC。同一个 MAC 出现在不同 VLAN 里会被记成两条独立表项这也是为什么跨 VLAN 排障时不能只看 MAC 表就下结论。第二步查目的。拿目的 MAC 去表里查结果有三种查到且出端口就是入端口丢弃这叫过滤说明两台机器已经在同一个口下面不需要交换机转发查到且出端口是别的口从那个口转发出去单播转发查不到或者目的 MAC 是广播/组播地址就从同 VLAN 内除入端口外的所有端口发出去泛洪。第三步动起来。转发也好泛洪也好出去的帧要不要带 VLAN 标签取决于出端口的类型和配置这就是后面 Access/Trunk/Hybrid 要解决的问题。理解了这三步很多“玄学故障”就不玄了。比如“换了台机器网络就不通”本质是新机器的 MAC 表里没有靠泛洪本来也能通但如果中间某个环节把泛洪挡住了比如端口隔离、私有 VLAN、ACL就会表现成完全不通。再比如“刚插上不通等一会儿又通了”往往是 MAC 表项老化或者 STP 收敛过程中的正常现象。1.3 接入、汇聚、核心分层不是摆样子组网分层这件事很多人觉得是厂商卖设备的说法其实它对应的是真实的流量模型和故障域控制需求。接入层负责把终端接进来端口密度高、单端口带宽需求低、功能简单汇聚层做策略收敛和 VLAN 终结是二层和三层交接的地方核心层只求快和稳尽量不做复杂策略。落到选型上我一般按这个思路算账。假设一层楼 200 个信息点接入交换机 24 口一台考虑预留和冗余大概需要 10 台。每台接入给两个千兆上行做链路聚合汇聚侧就需要 20 个千兆口。这里有个收敛比的估算终端实际并发流量远小于线速办公场景按 1:20 到 1:30 估收敛比是常见做法200 个千兆口理论上限 200G实际汇聚上行给 20G 绰绰有余。但如果是机房服务器区收敛比要往 1:3 甚至 1:1 靠因为存储和备份流量是真能吃满带宽的。提醒一句收敛比不是拍脑袋的数字最好拿现网的端口流量趋势图反推。我见过一个项目照搬办公区的 1:25 收敛比去做研发测试网结果一到批量编译、镜像拉取的高峰时段上行直接打满丢包丢得莫名其妙。分层还有个隐性好处是缩小故障域。接入层某台设备环路影响范围被 STP 和上行带宽限制在一个小圈子里要是全网扁平化组网一台设备抽风能顺着广播域烧到整个网络。这个代价我在早期项目里付过后面就再也不敢图省事扁平化了。2. 三个绕不开的核心机制MAC表、VLAN、端口类型2.1 MAC 地址表是怎么“长”出来的MAC 地址表不是配置出来的是学出来的这点必须先建立正确认知。设备上电时表是空的第一个帧进来才开始长。所以任何“新接入设备不通”的问题第一步都该问它的帧有没有真的到达交换机的某个端口端口有没有 upVLAN 对不对表项分两类。动态表项靠学习得来老化时间到了自动清掉常见默认 300 秒也就是说终端静默五分钟以上表项就没了之后第一个包还得泛洪一次。静态表项手工绑死不会老化通常用在需要固定转发路径或者安全绑定的场景。静态表不是越多越好绑多了维护成本高而且一旦终端换网卡就全废我的习惯是只在确实需要防伪冒的少量关键端口上做。项目动态表项静态表项来源自动学习源 MAC手工配置老化默认 300 秒可调不老化容量占用随终端数量增长固定占用典型用途普通终端接入安全绑定、关键服务器风险表被打满后泛洪终端更换需同步维护表容量是个容易被忽略的坑。接入交换机 MAC 表通常几 K 到十几 K看着够用但如果下面挂了虚拟化环境或者级联了一堆小交换机MAC 数量会爆炸式增长。表满之后新 MAC 学不进来交换机退化成“全部泛洪”表现就是网络突然变慢、广播量飙升但看配置一切正常。这种情况查show mac address-table count一看就明白。还有个进阶概念叫 MAC 漂移同一个 MAC 在短时间内从两个不同端口学到交换机就会反复改表。正常情况下不该出现一旦出现八成是环路或者有人私接了台小路由/小交换机把网络搞成了环。这个后面排障章节细说。2.2 VLAN把一台物理交换机切成多台VLAN 的本质是把广播域做逻辑切分。一台 48 口交换机不配 VLAN就是一个大广播域任何一台机器的 ARP 请求都会打到所有端口上切成 10 个 VLAN就相当于逻辑上变成 10 台独立的交换机广播只在本 VLAN 内泛洪。这个“逻辑独立”带来三个直接收益。第一是广播抑制VLAN 越多单个广播域越小广播风暴的破坏半径越小。第二是安全隔离不同 VLAN 默认二层不通要通必须经过三层设备做策略天然多了一道闸。第三是管理灵活性按部门、按楼层、按业务划 VLAN人员搬工位不用重新拉线改个端口 VLAN 就行。VLAN ID 的可用范围是 1 到 4094其中 VLAN 1 是默认 VLAN所有端口初始都属于它。我的习惯是永远不往 VLAN 1 里放业务原因有三一是它是所有设备的默认值谁插上都在里面隔离形同虚设二是很多协议报文默认走 VLAN 1容易和业务混在一起三是万一配置失误VLAN 1 的问题排查起来最乱。管理 VLAN 我也会单独开一个比如 VLAN 99业务和管理彻底分开。规划 VLAN 时最好落一张表别到现网里现编VLAN ID名称用途网段规划备注10office办公终端按点位规模规划接入端口 Access20voice语音终端独立小网段需要 QoS 配合30server服务器区按业务细分收敛比要低99mgmt设备管理小型管理网段仅管理员可达VLAN 划完之后必须清楚一件事VLAN 只解决二层隔离不解决三层互通。两个 VLAN 之间要通信必须有三层设备路由器、三层交换机、防火墙做网关VLAN 接口上配 IP 才能当网关用。新手最常见的误解是“我建了两个 VLAN为什么它们不通”答案是它们本来就不该通通才需要额外配。2.3 Access、Trunk、Hybrid三种端口类型怎么选这是交换机配置里最容易出错、也最值得反复讲的部分。三种端口类型的差别说到底就两个问题这个口下面接的是什么以及帧出去的时候带不带标签。Access 口接终端。帧进来时如果没带标签就打上该口 PVID默认就是端口所在 VLAN的标签帧出去时剥掉标签再发。终端网卡不懂 802.1Q只能收无标签帧所以接 PC、打印机、摄像头这类哑终端一律 Access。Trunk 口接交换机、路由器这类懂标签的设备。它可以承载多个 VLAN帧出去时默认带标签只有 Native VLAN默认 VLAN 1的帧不带标签。Trunk 上必须配允许通过的 VLAN 列表这条规则是本篇最容易翻车的地方——两端列表不一致或者中间某段漏了一个 VLAN就只有那一个 VLAN 不通其他都正常非常迷惑人。Hybrid 口介于两者之间可以按 VLAN 精细控制每个 VLAN 出去时带不带标签灵活但也更容易配错。它适合一个口既要接终端又要承载特殊业务的场景实际项目里我用得不多因为可读性差交接给别人容易看不懂。端口类型常见对端入方向出方向使用建议AccessPC、摄像头、打印机打 PVID 标签剥标签接哑终端默认选它Trunk交换机、路由器、AP带标签则透传不带则打 PVID除 Native VLAN 外都带标签级联链路首选Hybrid混合场景同 Trunk按 VLAN 单独指定 tag/untag用得少配置需注释端口类型改错是断网的高频原因。把一个本该 Access 的口配成 Trunk终端发来的无标签帧会被打上 PVID 之后按 Trunk 规则处理表现可能是“能拿到地址但访问异常”也可能是干脆不通取决于对端怎么配。改之前先确认对端是什么设备。还有两个细节值得记一下。第一Trunk 两端的Native VLAN 最好显式改成同一个不承载业务的 VLAN别都留在默认值上否则两端不一致会造成 VLAN 跳跃属于安全隐患。第二Access 口的 PVID 改了之后别忘了端口本身的 VLAN 归属也会跟着变有些命令体系里这两者是同一个值改一个等于改另一个操作前先想清楚影响范围。3. 从零配通一台接入交换机完整实操记录3.1 开局准备Console 连接与初始体检新设备到手第一件事不是插网线是走 Console。原因很实在新设备没有管理 IP网络上也没人认识它Console 是唯一的带外入口。用一根 Console 线现在多是 USB 转串口接上终端软件里波特率一般 9600、8 位数据位、无校验、1 位停止位、无流控这个参数组合是行业惯例配错了就是一片乱码。连上之后先别急着敲配置做三件事。第一看设备型号、软件版本、序列号记下来存档后面升级和报障都用得上。第二看现有配置确认是不是二手设备带着历史配置有的话先备份再清空别在一个不明来路的配置上叠加。第三看端口状态和日志确认没有硬件告警、没有反复 up/down 的端口硬件问题越早发现越好。# 通用命令风格示例不同设备命令有差异按自家手册对齐 show version show running-config show interface status show logging初始配置我固定做这几项改设备名带位置信息比如楼层-机柜-序号方便日后定位、设置时区与时间、配置管理 VLAN 接口 IP、开 SSH 关 Telnet、配置本地管理员账号、设置 Console 和远程登录的超时。这几步看着琐碎但都是后面运维省事的关键。设备名不带位置出了故障你在几百台里靠 IP 找机器那才叫遭罪。时间同步别跳过。日志时间戳不准事后排查等于两眼一抹黑尤其涉及“几点几分断的”这种问题时间对不上就没法关联多个设备的日志。3.2 划 VLAN、配 Access 端口假设这台接入交换机下挂办公终端规划 VLAN 10 办公、VLAN 20 语音、VLAN 99 管理。先建 VLAN再往端口上挂。configure terminal vlan 10 name office vlan 20 name voice vlan 99 name mgmt exit然后配 Access 口。假设 1 到 20 口接办公 PCinterface range GigabitEthernet0/0/1-20 switchport mode access switchport access vlan 10 spanning-tree portfast no shutdown exit这里portfast有的体系叫边缘端口值得单独说一句。接终端的口不会有环路风险开启之后端口 up 立刻进入转发状态跳过 STP 的监听学习阶段终端拿地址能快十几秒。不开的话用户感觉就是“插上网线要等半天才能上网”投诉率极高。但只对确认接终端的口开级联口绝对不能开否则环路保护就失效了。语音口一般配成 Access 挂 voice VLAN或者用 Hybrid 让语音和数据分别走不同 VLAN。实际部署里更常见的是 IP 话机串接 PC 的方式话机自己打 voice VLAN 标签PC 的无标签流量走数据 VLAN这需要在端口上同时指定两个 VLAN。这块配置各厂商差异较大建议照着自己设备的配置手册来别凭记忆套。配完一定要验证show vlan brief show interface switchportshow vlan brief看 VLAN 建没建对、端口有没有真的加进去show interface switchport看单个口的模式、PVID、允许 VLAN。我养成的习惯是每配完一组口就核对一次别一口气配完几十个口再回头查出了错根本不知道是哪一步偏的。3.3 上行 Trunk 配置与放行规则上行口是这台接入交换机连汇聚的链路通常配 Trunk 并做链路聚合。假设用两个万兆口做聚合放行 VLAN 10、20、99。interface range TenGigabitEthernet0/0/49-50 switchport mode trunk switchport trunk allowed vlan 10,20,99 switchport trunk native vlan 999 channel-group 1 mode active exit几个要点。第一允许列表要显式写全不要图省事用all一是安全上收窄暴露面二是避免不必要的广播泛洪穿过上行。第二Native VLAN 改成一个不承载业务的空闲 VLAN上面例子里的 999两端必须一致。第三聚合模式两端要匹配主动/被动或者静态捆绑一边主动一边被动能协商上两边都被动就起不来这是聚合不通的头号原因。聚合起来之后别以为就万事大吉。要确认聚合组真的成了、成员口都在转发show etherchannel summary show interfaces trunkshow interfaces trunk这张表特别值得看它会列出每个 Trunk 口允许的 VLAN、活动的 VLAN、以及 Native VLAN两端对一遍能省掉大量“某个 VLAN 就是不通”的排查时间。带宽这块也说一句。两个万兆聚合不等于 20G 单流带宽聚合是按流哈希分流的同一条 TCP 流只会走其中一条成员链路。所以别指望聚合能解决单流大带宽需求它解决的是多会话并发的总带宽和链路冗余。3.4 管理面管理 VLAN、SSH、时间与保存管理面配置的原则是能远程管但不给别人管。管理 VLAN 单独开只允许管理员网段访问ACL 收口。interface Vlan99 ip address 10.99.0.11 255.255.255.0 no shutdown exit ip route 0.0.0.0 0.0.0.0 10.99.0.1 username netadmin privilege 15 secret 密码占位 ip domain-name example.local crypto key generate rsa modulus 2048 line vty 0 4 transport input ssh login local exec-timeout 10 0 exit注意这里密码占位不是让你真写这个字符串实际部署要么用强密码要么接统一认证。密码策略我一般要求 12 位以上、大小写数字符号混合、定期更换且不同设备不能复用同一个密码——一台设备泄露导致全网沦陷的案例太多了。时间同步和管理面是一套的clock timezone CST 8 0 ntp server 10.99.0.5再配个日志服务器把日志推出去设备本地日志容量有限重启就没了推出去才能做长期回溯。最后保存配置。这一步听着像废话但我见过太多人配完一堆直接断电重启回到出厂状态然后一脸茫然。配置完成、验证通过立刻保存并且在变更记录里写清楚改了什么、为什么改、谁改的、什么时候改的。copy running-config startup-config3.5 验证清单与抓包核对配置这东西“看起来对”和“实际通”是两回事。我固定跑一遍清单检查项命令/方法期望结果VLAN 是否建全查看 VLAN 表规划中的 VLAN 全部存在端口归属查看端口 switchport 信息模式、VLAN、PVID 符合设计Trunk 放行查看 trunk 信息两端允许列表一致聚合状态查看聚合组成员口均为转发状态MAC 学习查看 MAC 表终端 MAC 出现在预期端口与 VLAN网关连通ping 网关通且延迟稳定跨 VLAN 策略从终端访问对端按设计放通或阻断抓包核对是最后一环也是最有说服力的一环。在交换机上做端口镜像把上行口流量镜像到一个空闲口接上抓包工具看三件事ARP 有没有正常请求和应答、VLAN 标签在 Trunk 上是不是符合预期、DHCP 交互是否完整。我遇到过一个问题查了两小时最后抓包发现是上行 Trunk 上某个 VLAN 没放行导致 DHCP 请求根本没到服务器而show run里那行配置看起来“好像写了”——其实是写在了另一个聚合成员口上。4. 排障实录那些年踩过的坑4.1 VLAN 不通的标准排查顺序“某个 VLAN 不通”是我被问得最多的一类问题。我的固定顺序是从下往上、分段验证不跳步。第一步确认物理层。端口是不是 up光模块有没有告警速率双工有没有协商成半双工半双工会导致大量冲突和丢包是个隐蔽杀手。第二步确认接入配置。端口模式对不对access VLAN 是不是规划的那个PVID 有没有被改过。第三步确认 MAC 学习。终端 MAC 到底学没学到、学在哪个 VLAN、哪个端口这一步能直接区分“帧没进来”和“进来了但没转发出去”。第四步确认 Trunk 放行。两端允许列表、Native VLAN、活动 VLAN 逐个对。第五步确认三层。网关有没有配、ARP 表里有没有、路由对不对。第六步抓包定位丢在哪一跳。这里有个经验先看 MAC 表再看配置。配置是“应该怎样”MAC 表是“实际怎样”两者对不上问题就出在中间。很多次我一看 MAC 表里终端学在了 VLAN 1 里立刻就知道是端口 access VLAN 没配或者配错了根本不用往下查。4.2 环路、广播风暴与 MAC 漂移环路是二层网络最凶的故障没有之一。一根网线两头插在同一台交换机上广播帧就会无限循环放大几秒钟能把整台设备的 CPU 打满网络直接瘫痪。识别特征很典型设备 CPU 飙高、端口指示灯狂闪、用户大面积断网、日志里刷 STP 相关告警、MAC 表里同一个 MAC 在两个端口之间反复横跳。看到 MAC 漂移告警第一反应就该是找环路。show spanning-tree show mac address-table | include 可疑MAC show interface counters rate处置上STP 是基础防线必须开根桥要手工指定在汇聚或核心别让接入设备随机当根。同时开 BPDU 保护接终端的边缘口收到 BPDU 就自动 err-disable和根桥保护防止下面接入设备抢根。这两个保护一开绝大多数误接环路能被自动掐掉。私接小交换机、私接路由器 LAN 口互连是环路的两大来源。光靠技术手段拦不干净还得配合端口安全和用户宣导。我给接入端口做了 MAC 数量限制之后环路类故障下降了七八成。万一环路已经发生先断开可疑链路保命再查日志定位。别在风暴中慢慢敲命令设备 CPU 满的时候你连命令行都进不去。4.3 常见问题速查表现象可能原因快速验证处置新机器插上不通端口未 up / VLAN 配错查端口状态与 MAC 表修正 access VLAN只有某个 VLAN 不通Trunk 允许列表漏配两端对比 trunk 信息补全允许列表跨设备通信时通时断Native VLAN 不一致对比两端 Native VLAN统一改为空闲 VLAN网络突然极慢环路、广播风暴看 CPU、MAC 漂移日志断环、查 STP 保护上电后要等很久才能上网未开边缘端口看端口 STP 状态终端口开启 portfast大量终端同时掉线MAC 表被打满查 MAC 表项计数收敛下挂设备、扩表链路聚合起不来两端模式不匹配查聚合组状态统一为主动/被动组合管理口 ping 不通管理 VLAN 未放行查管理 VLAN 与 ACL放行管理网段5. 上线之后才想起来的事安全与运维习惯5.1 端口安全与未使用端口处理设备配通只是开始能不能长期稳住靠的是收口。第一件要做的事是关掉不用的端口并且划到一个隔离的垃圾 VLAN 里。会议室、空工位那些没人用的口是外来设备接入的首选入口不关就是敞着门。interface range GigabitEthernet0/0/21-48 shutdown switchport access vlan 999 exit第二件事是端口安全。限制单端口学习的 MAC 数量超出就触发保护动作丢弃、告警或者 err-disable。办公口一般限 1 到 2 个接话机串 PC 的限 2 个接小交换机的口限 8 到 16 个。这个数字别一刀切按实际场景给给太紧会误杀给太松等于没限。第三件事是关闭不必要的服务和协议。闲置的 Web 管理、明文登录、自动发现类协议能关就关减少暴露面。这些配置单独看都不起眼堆在一起就是攻击面。5.2 配置备份、变更记录与版本管理我吃过最大的亏是在一次紧急变更后忘了存备份设备硬件故障返修回来配置全没了靠记忆重建花了整整一天还漏了几个端口。从那以后我的规矩是改之前备份改之后备份定期备份。备份不光是存在本地。理想的做法是配置自动定时导出到一台备份服务器文件名带设备名和日期保留多个版本。这样出了问题可以 diff 两个版本一眼看出哪一行被改动了比人肉回忆快一百倍。变更记录也别嫌麻烦至少写清四件事时间、设备、改了什么、为什么改。我见过太多“配置和文档对不上”的现场最后谁都不知道那行配置是谁加的、加了干什么用的删也不是留也不是。有记录这些问题基本消失。监控方面重点关注几个指标端口流量趋势、端口 up/down 次数频繁抖动的口往往是线缆或模块要坏、CPU 和内存、MAC 表项数量、STP 拓扑变更次数。这几个指标能覆盖大部分二层侧隐患提前发现比事后救火便宜太多。我个人在实际操作中的体会是交换机这玩意儿的配置命令本身不难难点全在“知道自己在改什么”。每敲一条命令之前问自己一句这条命令改变了哪个判断环节是改变了帧的标签处理还是改变了泛洪范围还是改变了转发状态能答上来配置就稳答不上来就算当下通了也只是运气好。