★ FEATURED ARTICLE 简介面向网络工程师与思科设备初学者的三层交换机配置文档围绕 Catalyst 3560-E 系列展开重点解决企业级交换机的功能理解与基础配置问题。全包仅含 1 个 PDF 文件大小约 591KB内容以文档形式系统整理设备概述、IOS 软件、万兆上行链路、TwinGig SFP 转换器、模块化电源、PoE 供电与冗余电源等硬件要点。配置部分覆盖 Console、Telnet、SSH、Web 接入方式运行状态查看3560 接口说明与配置交换机启动及基本配置案例端口和 MAC 地址表设置VLAN 特性与配置并延伸至路由协议、ACL 安全、QoS 策略、备份恢复等操作。目录按功能模块分层便于按章节查阅和对照实验。已有 508 人学习适合作为网络工具类参考资料帮助读者建立从设备认知到配置落地的完整思路也便于排查端口、VLAN 与路由相关配置问题。1. 为什么接入层要自己承担三层网关三层交换机配置这件事很多人第一次真正接触它是因为接入层换了一台 48 口设备办公、语音、监控三个网段要隔开监控网段只允许运维网段访问其余一律拒绝。直觉方案是找一台路由器做单臂路由、再加防火墙过滤在中小型园区里更省事的做法是让 3560 系列三层交换机自己承担 SVI 网关和 ACL 过滤一台设备同时把二层接入与三层转发处理掉。这套方案解决三个诉求网段划分可控、网关双活不掉线、跨网段访问有明确边界。适合正在做网络课程设计、毕业设计或者要交付一份接入层配置方案的读者。三层交换机配置看着是敲命令实际七成工作量在顺序上先定能力边界再铺二层最后开三层和安全。2. 设备能力与配置基线3560 系列的端口形态、电源与特性集怎么定先把设备能干什么摸清楚再谈怎么配。这一步跳过的人后面十有八九会在「为什么 router ospf 敲不进去」或者「48 口 PoE 全开为什么掉电」上卡住。选型不是挑最贵的是让端口数、上行带宽、供电预算三件事同时兜住未来三年的接入需求。2.1 端口形态、上行链路与电源组合3560 系列里带 E 后缀的机型端口形态基本是 24 口或 48 口千兆电口加 2 个 X2 万兆上行槽位型号后缀 TD 表示纯数据、PD 表示支持 PoE。表格化之后更容易看清差异型号电口上行PoE3560E-24TD24 × 10/100/10002 × X2 万兆不支持3560E-24PD24 × 10/100/10002 × X2 万兆支持3560E-48TD48 × 10/100/10002 × X2 万兆不支持3560E-48PD48 × 10/100/10002 × X2 万兆支持3560E-48PD-F48 × 10/100/10002 × X2 万兆全端口 15.4W上行那一栏是这套方案里最容易被低估的部分。X2 槽位可以插万兆模块也可以插一个 X2 转双 SFP 的转换模块TwinGig把一个万兆槽位拆成两个千兆光口。这个设计对预算敏感的园区很友好一期先上千兆上行接核心二期业务涨了把转换模块拔下来换成万兆模块接入层交换机不用动配线间不用改造。我在做课程设计时一般会把这个演进路径写进方案文档评审老师看到的不是「买了一台交换机」而是「有一套可扩展的接入层规划」。电源是第二个坑点。这台设备只有一个电源插槽可选 1150W 交流、750W 交流、265W 交直流几种规格PoE 机型必须配 PoE 电源。24 口 PoE 机型在 750W 电源下可以同时点亮 24 个 15.4W 全功率端口48 口 PoE 机型想做到 48 口全功率得上 1150W 电源740W PoE 预算。如果只是给 IP 电话和无线 AP 供电实际单口功耗往往在 78W那 48 口用 750W 电源做智能电源管理也够但要在方案里把预算算清楚——按 48 × 7.7W 估算留出余量。再往上一层是高可用一台冗余电源系统可以给多台交换机做备用供电主电源故障时透明切换电源模块支持热插拔。转发能力这边32Gbps 交换矩阵、38.7Mpps 包转发是千兆机型的数据另有低配版本是 17.6Gbps / 13.1Mpps 和 8.8Gbps / 6.6Mpps。MAC 地址表最多 12000 条单播路由 11000 条组播路由和 IGMP 组 1000 条MTU 可配到 9000 字节、巨型帧 9018 字节。这些数字在毕设答辩里很有用当被问到「这台设备能不能撑住三个 VLAN、三百个终端」时直接拿表说话比说「应该没问题」有说服力得多。2.2 特性集分水岭IP Base 与 IP Services 决定你能配什么同一台硬件装不同软件镜像能力天差地别。这一步没确认后面所有路由配置都是空中楼阁。特性集典型能力适用场景IP Base基础 QoS、限速、ACL、静态路由、RIP纯二层接入 简单网关IP ServicesEIGRP、OSPF、BGP、PIM、PBR需要动态路由的中型园区Advanced IP ServicesIPv6 路由RIPng、OSPFv3双栈演进环境镜像激活靠许可证文件交换机启动时读取许可证类型来决定放开哪些特性。这意味着升级特性集不一定要换硬件换许可证、重启即可。我一般会在方案文档里单独列一行「设备软件基线」写清每台设备当前镜像和计划升级的镜像避免配置到一半发现 OSPF 敲不进去只能干瞪眼。2.3 一份可以直接抄的配置基线不管后面配什么业务先有一份基线。这份基线解决的是「设备能被安全地管起来」而不是业务功能。顺序上我习惯先做不可逆的、再做可逆的先关掉不必要的服务再开管理通道。enable configure terminal hostname SW-A-3F enable secret Str0ng!Pass service password-encryption no ip domain-lookup ip domain-name lab.local ! 管理账号与 SSH禁用明文 telnet username netops privilege 15 secret NetOps!2024 ip ssh version 2 line vty 0 15 transport input ssh login local exec-timeout 10 0 logging synchronous exit ! 关闭未使用端口避免误插 interface range gigabitEthernet 0/41 - 48 shutdown description UNUSED-RESERVED exit ! 端口因错误被关闭后自动尝试恢复 errdisable recovery cause bpduguard errdisable recovery cause psecure-violation errdisable recovery interval 300 end write memoryenable secret与enable password的区别在于前者做哈希后者明文别混用。no ip domain-lookup是为了避免敲错命令时设备去解析域名、命令行卡住几十秒——这个细节百分之八十的初学者都遇到过属于典型的现象诡异、原因简单。errdisable recovery这两行是整个基线里最值钱的两行端口因为 BPDU Guard 触发或者端口安全违规被自动关闭后300 秒会自己回来不用半夜跑到机房插拔网线。管理地址放在独立的 VLAN 99接口配好之后别忘了默认网关。这里有个容易混淆的点三层交换机一旦开启ip routingip default-gateway就失效了必须写成默认路由。基线阶段还没开路由功能用ip default-gateway没问题但这一行要在方案里标注「开启路由后替换为 ip route 0.0.0.0 0.0.0.0」。3. 二层底座Console 开局、VLAN 划分与 Trunk 的落地顺序二层是所有问题的地基。VLAN 划错、Trunk 封装不一致、Native VLAN 两端不匹配任何一个都会表现为「网不通」而现象完全一样排查时极其折磨人。这一章按「先能登录、再划网段、最后加固接入侧」的顺序推。3.1 从 Console 到 SSH 的最小可管路径新设备开箱只有一个办法进去Console 线接上终端软件设 9600-8-N-1敲回车看到Switch。给设备起名、配管理地址、开 SSH这三件事做完才算脱离现场。configure terminal interface vlan 99 description MGMT ip address 10.10.99.11 255.255.255.0 no shutdown exit ip default-gateway 10.10.99.1 ! 验证 end show ip interface brief show ip sshinterface vlan 99创建的是一个 SVI它的 up 条件是VLAN 99 在 VLAN 数据库里存在并且至少有一个处于 up 状态的端口属于 VLAN 99 或允许该 VLAN 通过 Trunk。所以配完 SVI 发现line protocol是 down先别怀疑地址配错去看有没有端口把 VLAN 99 带起来——把上行 Trunk 的 allowed 列表里加上 99或者临时把某个接入口划进 VLAN 99。SSH 能否连上取决于三件事ip ssh version 2已配、crypto key generate rsa生成过密钥、VTY 下transport input ssh。第二条经常被漏漏了的表现是show ip ssh显示 SSH 未启用。密钥长度选 1024 以上课程设计环境 1024 够用实际项目按现行规范走。3.2 VLAN 划分、Access/Trunk 与 VTP 的取舍VLAN 规划要在打命令之前定完包括 VLAN 号、名字、网段、网关地址和用途。落地的时候VLAN 名字虽然是可选项但强烈建议写——三个月后回来看vlan 20名字叫 VOICE 和名字为空排查效率差一个量级。vlan 10 name OFFICE vlan 20 name VOICE vlan 30 name CAMERA vlan 99 name MGMT exit ! 接入端口静态 access开 PortFast 与 BPDU Guard interface range gigabitEthernet 0/1 - 16 switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable no shutdown exit ! 上联端口静态 Trunk限定允许列表 interface gigabitEthernet 0/49 description UPLINK-TO-CORE switchport trunk encapsulation dot1q switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,20,30,99 switchport nonegotiate no shutdown exit ! VTP 用透明模式避免误删全网络 VLAN vtp mode transparent vtp domain CAMPUS vtp version 2switchport nonegotiate关掉 DTP 协商是安全基线的一部分不让别人插一台设备上来就自动变成 Trunk。native vlan 999把未打标签的流量扔进一个不存在的 VLAN防止 Native VLAN 跳帧攻击同时强制两端必须一致——不一致的话 Trunk 能起来但 VLAN 内流量就是不通这是最难查的一类故障。VTP 我一般直接用透明模式。服务器模式在实验室里很爽一台配完全网同步但在真实环境里一台设备误接入、配置号更高的域名一冲整个 VLAN 数据库被清空接入层瞬间瘫痪。透明模式下每台设备自己管自己的 VLAN多打几行命令换一份安心这笔账怎么算都值。3.3 接入侧加固端口安全、PVLAN 与 802.1X接入层最脆弱的不是上行是墙面信息面板。任何一个工位都可能被插上私接路由器或者随身 Wi-Fi所以这一层的策略要写死。端口安全用 sticky MAC 学习把首次学到的地址钉在配置里interface range gigabitEthernet 0/1 - 16 switchport port-security switchport port-security maximum 2 switchport port-security mac-address sticky switchport port-security violation restrict switchport port-security aging time 30 switchport port-security aging type inactivity exitmaximum 2是给 IP 电话 PC 串接留的口子。violation restrict会丢弃违规帧并计数不会直接把端口关掉导致大面积断网如果环境严格可以改成shutdown但一定要配合前面基线里的errdisable recovery。同一 VLAN 内主机互访需要控制时用私有 VLAN 做二层隔离只留一个上联口能三层出去vlan 300 private-vlan isolated vlan 301 private-vlan primary private-vlan association 300 exit interface gigabitEthernet 0/10 switchport mode private-vlan host switchport private-vlan host-association 301 300 exit interface vlan 301 private-vlan mapping 300 exit需要按身份控制接入时上 802.1X。这套配置在不同软件版本上命令有差异新版本用authentication开头的命令老版本用dot1x开头的命令方案里要写清目标版本。aaa new-model radius server RAD1 address ipv4 10.10.99.20 auth-port 1812 acct-port 1813 key RadiusKey!2024 exit aaa authentication dot1x default group radius dot1x system-auth-control interface range gigabitEthernet 0/17 - 40 authentication host-mode multi-domain authentication port-control auto dot1x pae authenticator authentication event fail action authorize vlan 999 authentication event no-response action authorize vlan 999 exithost-mode multi-domain允许同一端口上电话进语音 VLAN、PC 进数据 VLAN各自认证互不干扰event fail action authorize vlan 999把认证失败的终端扔进隔离 VLAN只给一个 Portal 地址比直接拒绝体验好得多。这两个事件动作在实际部署里是「后悔药」没有它认证服务器一挂全楼断网。4. 三层转发与互通控制SVI、HSRP、路由协议和 ACL 的配合二层通不代表三层通。开了 SVI 之后最容易出现的情况是「同网段能 ping跨网段不通」而原因往往只是一个ip routing没敲。这一章把三层转发拆成四件事开路由、做网关冗余、跑动态路由、用 ACL 划边界。4.1 SVI 与 VLAN 间路由的三步三层交换机的 VLAN 间路由靠 SVI 实现本质是每个 VLAN 一个虚拟接口做网关。顺序是开全局路由功能 → 配 SVI 地址 → 指默认路由。ip routing interface vlan 10 ip address 10.10.10.1 255.255.255.0 no shutdown exit interface vlan 20 ip address 10.10.20.1 255.255.255.0 no shutdown exit interface vlan 30 ip address 10.10.30.1 255.255.255.0 no shutdown exit ! 开启 ip routing 后ip default-gateway 失效用默认路由代替 ip route 0.0.0.0 0.0.0.0 10.10.99.1三步里最容易忘第一步。ip routing是全局开关默认关闭不敲的话所有 SVI 只当管理接口用跨网段流量一律不转发。判断方法很简单show ip route里如果只有直连网段、没有C以外的条目而 SVI 状态都是 up/up那就去看全局配置有没有ip routing。默认路由这一行也有个隐形前提下一跳必须可达。如果 10.10.99.1 不在任何直连网段里路由表里这条会是不可用状态show ip route能看到但流量出不去。管理 VLAN 和上联口要规划在同一网段或者让上联口用三层端口配地址。4.2 HSRP 双网关与故障切换单网关的设备一挂整个 VLAN 的终端全部失联。HSRP 用两台设备共享一个虚拟 IP 和虚拟 MAC终端只认虚拟地址主设备故障时备设备接管终端无感知。! 主设备 track 1 interface gigabitEthernet 0/49 line-protocol interface vlan 10 standby version 2 standby 10 ip 10.10.10.254 standby 10 priority 110 standby 10 preempt delay minimum 120 standby 10 track 1 decrement 20 exit ! 备设备 interface vlan 10 standby version 2 standby 10 ip 10.10.10.254 standby 10 priority 100 standby 10 preempt exit几个参数值得展开。standby version 2支持更多组和 IPv6两端版本必须一致不一致的表现是各说各话、双活。priority 110比备机默认的 100 高主机才抢得动。preempt delay minimum 120是血泪经验设备重启后路由表还没收敛完就抢回主角色流量过来了却转发不出去白掉两分钟延迟 120 秒等 OSPF 收敛完再抢占切换才平滑。track绑定上行口上行断了自动降 20备机升主。验证只认一条命令show standby brief。三个 VLAN 三组 HSRP输出里Active和Standby要交叉分布——VLAN 10 主机在 A、VLAN 20 主机在 B这样两台设备都在转发没有一台闲着的备份机。4.3 RIP 与 OSPF 的落地差异接入层三层交换机要不要跑动态路由取决于规模。三五个网段、一条上联静态路由就够了多台三层设备互联、需要负载均衡和快速收敛才上动态路由。! RIP配置简单收敛慢适合小规模 router rip version 2 no auto-summary network 10.10.0.0 passive-interface default no passive-interface gigabitEthernet 0/49 exit! OSPF需要 IP Services 特性集 router ospf 1 router-id 10.10.99.11 passive-interface default no passive-interface gigabitEthernet 0/49 network 10.10.10.0 0.0.0.255 area 0 network 10.10.20.0 0.0.0.255 area 0 network 10.10.30.0 0.0.0.255 area 0 network 10.10.99.0 0.0.0.255 area 0 exit两段的共同点是passive-interface default加单独放开上联口。这个写法比逐个把接入 VLAN 设成 passive 更安全新加一个业务 VLAN 时忘了改配置也不会把 OSPF Hello 发到终端网段里去省了一次翻车。router-id建议手工指定成管理地址不指定的话设备会自己挑一个接口地址多台设备间容易撞。RIP 和 OSPF 的差别在验收时特别明显拔掉一条上联RIP 可能要等几十秒才切换OSPF 通常几秒内收敛。如果毕设里要做「链路故障切换」这个演示点用 OSPF 效果好得多。4.4 用 ACL 控制 VLAN 之间谁能访问谁ACL 是三层交换机最有价值的部分也是方案里最能体现设计思路的地方。三种典型策略写法不一样挂的方向也不一样。案例一VLAN 10 与 VLAN 20 互不访问但都能访问 VLAN 30。做法是在两个 SVI 的入方向挂同一份 ACLip access-list extended BLOCK_10_20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255 deny ip 10.10.20.0 0.0.0.255 10.10.10.0 0.0.0.255 permit ip any any exit interface vlan 10 ip access-group BLOCK_10_20 in exit interface vlan 20 ip access-group BLOCK_10_20 in exitSVI 上的in表示「进入该 SVI 的三层流量」也就是从该网段发起、要往其他网段去的流量。两个网段各挂一次互访双向都堵死各自访问 VLAN 30 不受影响因为最后那条permit ip any any兜住了。这里有个隐性细节ACL 末尾默认隐含 deny如果不写permit ip any any配完这一条整个 VLAN 只能访问本网段。案例二所有 VLAN 不能访问 VLAN 30但 VLAN 30 可以访问其他所有 VLAN。挂在 VLAN 30 的出方向最省条目ip access-list extended PROTECT_V30 permit ip 10.10.30.0 0.0.0.255 any deny ip any 10.10.30.0 0.0.0.255 permit ip any any exit interface vlan 30 ip access-group PROTECT_V30 out exit为什么挂out而不是inout方向的流量是「从交换机发往 VLAN 30 主机」的外部进来的流量要想到达 VLAN 30必然走这个方向。第一条permit ip 10.10.30.0 ... any让 VLAN 30 自己发起的会话不受影响第二条把外部主动访问挡在外面第三条放行其他。这个顺序不能调调了要么内部出不去要么外部进得来。案例三单向访问VLAN 10 可以主动访问 VLAN 20VLAN 20 不能主动访问 VLAN 10。用自反 ACL 实现靠reflect生成临时表项、evaluate引用ip access-list extended FROM_V10 permit tcp 10.10.10.0 0.0.0.255 any reflect REFLECT10 permit icmp 10.10.10.0 0.0.0.255 any reflect REFLECT10 deny ip any any exit ip access-list extended FROM_V20 evaluate REFLECT10 deny ip any any exit interface vlan 10 ip access-group FROM_V10 in exit interface vlan 20 ip access-group FROM_V20 in exitreflect在 VLAN 10 发起连接时动态生成一条反向表项允许回程包VLAN 20 主动发起的流量匹配不到任何表项直接被deny掉。这套写法在硬件平台上会占用 TCAM 资源自反表项数量和超时时间都要在方案里写明别指望它能扛住几万条并发。5. 避坑排查五处一配就翻车的地方和它的因配置命令本身不难难的是配完之后不通而且不通的样子长得一模一样。这一章按「现象 → 原因 → 解决」把项目里最高频的五处翻车点拆开每一条都是真实踩过的。5.1 Trunk 起来了 VLAN 不通封装、Native VLAN 和允许列表现象两端show interfaces trunk都显示 trunking但 VLAN 10 的主机互相 ping 不通同交换机内部 VLAN 10 却正常。原因有三个层次。第一封装没显式指定某些机型默认协商成 ISL另一端是 dot1q协商能成但打标方式不同。第二两端 Native VLAN 不一致未打标签的帧被扔进不同 VLANVLAN 1 的管理流量和一些老设备的帧会丢。第三allowed vlan列表里根本没放行这个 VLAN而 Trunk 状态照样显示 trunking——这是最隐蔽的一条。解决两端都写switchport trunk encapsulation dot1q支持多封装的机型必须写、switchport mode trunk、switchport nonegotiateNative VLAN 统一成一个不承载业务的空闲 VLANallowed vlan显式列出业务 VLAN 号。排查时先看show interfaces trunk的Vlans allowed and active那一行有没有目标 VLAN比猜快十倍。5.2 SVI 配好还是不通路由没开、特性集不够、SVI 没起来现象管理地址能 ping 通SVI 状态 up/up地址也在但跨网段就是不通。原因通常三条。一ip routing没开三层交换机退化成一个带 IP 的二层设备。二设备装的是 IP Base 镜像router ospf 1敲进去直接报错而不是「配了不生效」。三SVI 虽然是 up/up但对应的 VLAN 里没有任何活动端口或者上行 Trunk 没放行该 VLAN。解决按show ip route→show ip interface brief→show interfaces trunk的顺序看一遍。show ip route里出现目标网段的直连条目说明路由功能正常show ip interface brief里 SVI 的 status 列是 up 而 protocol 列 down说明 VLAN 里没活动端口两个都正常还不通去看 Trunk 的 allowed 列表。注意特性集不足时的报错信息可能是% Invalid input detected at ^ marker非常像打错字很容易被当成拼写错误反复重敲。先show version确认镜像的 Software 特性行比怀疑自己手残高效。5.3 HSRP 双活或频繁切换抢占、版本和优先级现象两台设备的同一个 VLAN 同时是 Active或者日志里反复出现状态切换。原因双活通常是standby version两端不一致或者配置的组号不同频繁切换通常是优先级只差一点点、上行口 flapping 触发 track 反复升降或者preempt没配延迟、设备重启后运行时间还短就抢回主角色。解决两端强制standby version 2组号按 VLAN 号映射VLAN 10 用组 10VLAN 20 用组 20主机优先级 110 备机 100主机必须配preempt delay minimum 120。验证用show standby brief加debug standby events但 debug 要在维护窗口开HSRP 的日志刷起来能淹掉整个终端。5.4 端口限速配了不生效方向和挂载点选错现象policy-map 配好了show policy-map interface有命中计数但实际带宽没被限住或者限的是反方向。原因三层交换机只支持入方向应用service-policy input做限速出方向通常要靠队列整形另外 ACL 匹配的是「进入该接口」的流量挂到 Trunk 上去限某个 VLAN 的上行方向判断反了就成了限下行的行为。还有一种情况是全局mls qos没开策略图能配但不生效。解决先确认mls qos已启用再把分类 ACL 写清楚明确「限的是哪个源到哪个目的」。挂载点选在上联 Trunk 的input方向才是限制「从接入侧往上行发」的流量。限速参数里police 20000000 375000表示平均 20Mbps、突发桶 375000 字节突发给得太小会导致 TCP 吞吐上不去实测时用大文件传输看稳定值别用 ping 判断。5.5 端口安全加 802.1X 上线后大面积掉线现象策略下发完一两个小时后整层楼陆续报网络不可用show interfaces status里大片err-disabled。原因有三。端口安全的 sticky MAC 老化时间和终端的休眠唤醒节奏不匹配PC 睡眠、换网卡、Wi-Fi 和有线切换都会重新学习超过maximum就直接违规。802.1X 认证失败或者 RADIUS 不可达时没有配置事件动作默认是拒绝等于全端口关门。语音 VLAN 没单独放行IP 电话作为第三方设备没有 802.1X 客户端认证过不去连带 PC 一起断。解决端口安全的maximum按实际串接设备数给电话 PC 至少 2违规动作先用restrict观察计数稳定后再考虑shutdown。802.1X 必须配authentication event fail action authorize vlan和no-response action authorize vlan把失败的终端扔进隔离 VLAN 而不是直接掐线。语音设备要么用 MAB 按 MAC 放行要么开multi-domain让电话和数据流分别认证。上线节奏上先在两三个端口做试点跑满一周再批量推——这一条是我用一次全校断网换来的。6. 验收与答辩一份能过评审的验证清单配置敲完不等于方案交付。评审看的从来不是命令数量而是「你怎么证明它是对的」。我通常会把验收拆成三层二层通、三层通、策略生效每一层对应固定的验证命令和预期输出做成表格随方案一起交。验收项验证命令通过判据VLAN 划分show vlan brief业务端口归属正确未用端口在保留 VLANTrunk 状态show interfaces trunk封装 dot1q、Native VLAN 一致、允许列表含业务 VLANMAC 学习show mac address-table interface g0/1终端 MAC 学在预期端口和 VLAN三层路由show ip route直连网段齐、默认路由可达网关冗余show standby brief三个 VLAN 的主备交叉分布路由邻居show ip ospf neighbor状态 FULL无频繁 flapACL 生效show ip access-lists有匹配计数拒绝条目计数增长答辩环节最容易被问的两个问题提前准备好答案。第一个是「你这套配置如果上联断了会怎样」——现场拔掉 Trunk展示 HSRP 切换和 OSPF 收敛用show standby brief的变化说话比背概念强。第二个是「为什么用 VLAN 30 挂 out 方向的 ACL而不是 in」——把 4.4 里那个顺序逻辑讲清楚out 方向过滤的是发往该网段的流量permit 自己网段在前、deny 外部在后顺序错了策略就废了。这类问题答不上来前面配得再对也会被判定为「抄的」。演示顺序建议固定先展示 VLAN 和 Trunk 的二层状态再 ping 同网段验证接入再 ping 跨网段验证 SVI然后演示 ACL 拦截用扩展 ping 指定源地址ping 10.10.30.10 source vlan 20这种写法一定要会否则没法证明 ACL 是你在控制而不是碰巧不通最后拔线演示冗余。从那以后我每次交方案验收清单都强制走一遍一条不落地打勾哪怕某条明显「肯定没问题」。翻车最多的从来不是复杂配置是那些你确信不用看的switchport access vlan。希望帮到你。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
