简介：围绕思科 Catalyst 3560-E 系列三层交换机整理的配置文档，面向网络运维初学者、企业网管及备考思科认证的技术人员，帮助其系统理解企业级三层交换机的特性与命令行配置方法。压缩包内仅含 1 个 PDF 文件，约 591KB，体量轻便，适合在实验环境或日常巡检时随时查阅。正文先从设备概述、万兆上行链路、TwinGig SFP 转换器、模块化电源、PoE 供电与冗余电源等硬件特性切入，再展开访问方式、接口说明、端口与 MAC 地址表设置、VLAN 划分、静态路由及 RIP/OSPF 路由协议、ACL 与 802.1X 安全策略、QoS 流量分类标记、配置备份恢复等实操内容，目录按“特性介绍—配置命令—案例验证”组织，便于按模块跳读和对照练习。对初次接触 IOS 命令行的读者，可依据目录从基础参数配置逐步过渡到 VLAN 间路由与安全策略验证，减少盲目试错。已有 508 人学习，可作为网络实验搭建、设备调试和故障排查的参考材料。

1. 一台 3560 摆在机柜上：装不上 OSPF，多半不是操作者的问题

上周帮人收拾一台二手的 Catalyst 3560G-24TS，需求很朴素：内网划三个 VLAN，用这台思科三层交换机做 VLAN 间路由，默认路由再指向出口。Console 线插好、ip routing打开、三个 SVI 地址配完，VLAN 之间确实通了，可router ospf 1敲进去，回报的是% Invalid input detected。折腾半天才确认，这台机器跑的是 SMI 镜像，手里能用的路由协议只有静态和 RIP，OSPF、EIGRP 要 EMI 才有。很多人把三层交换机当成“插上电、配个地址”的网络工具，实际经验是：3560 系列真正的安装起点不是上电，是先把型号和特性集核对清楚，否则后面所有配置都会卡在一条根本不存在的命令上。这篇就按一台 3560 从拆箱到跑通三层转发的顺序写，适合拿它做小型办公网核心、实验室出口网关，或者刚接手一台来历不明的二手设备的人。

2. 开箱先清点：3560、3560G 与 3560-E 的型号、特性集和电源对不上就别急着上电

三层交换机的“安装”和装一台服务器不太一样，服务器装错最多重装系统，交换机选错型号或特性集，往往是配到一半才发现某个命令不存在，前面写的 VLAN 和路由全得推翻重来。所以第 2 章不碰命令行，只做一件事：把手里这台机器的端口、上行、软件镜像和供电能力四项核对清楚，写在一张纸上，后面每一步都对着这张纸走。这一章看着像抄参数，实际是整个配置流程里最省时间的一段，尤其是二手设备，面板上的丝印和实际跑的镜像经常对不上。

2.1 先认型号：3560、3560G、3560-E 的端口和上行差在哪

3560 这个系列跨度不小，同样是“3560”，端口速率、上行类型、是否带 PoE 完全不同。面板上能看到WS-C3560-24PS-S这种完整编号，最后一位-S或-E就是软件镜像等级，先记下来。常见的几档我列成表，对照机箱标签核对：

这里有两个容易被忽略的差别。第一，3560 和 3560G 的上行是 SFP 千兆，3560-E 的上行是 X2 万兆，接口物理形态完全不同，模块买错了插不进去。第二，3560-E 支持 Cisco TwinGig 转换器，能把一个 X2 万兆口拆成两个 SFP 千兆口，前期先用千兆上行、后面业务涨了再换万兆，不用动接入层。我一般建议预算紧的场景先上千兆 SFP，把 TwinGig 转换器留着做扩容选项，而不是一上来就买万兆模块。

硬件底子也顺手记一下，排查性能问题时用得上：3560G 系列是 32Gbps 交换矩阵、38.7Mpps 转发率，128MB DRAM 配 32MB Flash；3560-48PS 是 17.6Gbps、13.1Mpps，16MB Flash；3560-24PS 是 8.8Gbps、6.6Mpps。MAC 地址表最多 12000 条，单播路由最多 11000 条，组播路由和 IGMP 群组各 1000 条。千兆口支持 9000 字节 MTU、桥接最大 9018 字节巨型帧，10/100 口上的 MPLS 标记帧是 1546 字节。这些数字不用背，但当你发现某个 VLAN 里主机数超过一万、或者要开 jumbo frame 跑存储流量时，得知道上限在哪。

2.2 特性集决定你能敲哪些命令：SMI/EMI 与 IP Base/IP Services

这一节是整篇里最该先看的部分。3560 和 3560G 用的是 SMI/EMI 两档：SMI 只给静态路由和 RIPv1/v2，可以后续升级到 EMI；EMI 才有 OSPF、EIGRP、BGPv4 这类动态路由。3560-E 换了个说法，叫 IP Base、IP Services、Advanced IP Services：IP Base 有 QoS、限速、ACL、静态路由和 RIP；IP Services 才放开硬件转发的单播和组播路由，包括 EIGRP、OSPF、BGP、PIM；Advanced IP Services 再加 IPv6 路由（RIPng、OSPFv3）。3560-E 用许可证文件控制特性集，交换机启动时 IOS 会检查这个文件，按许可证类型激活对应功能，所以同一台机器可以通过换许可证升级，不用换硬件。

上电前先把镜像确认了，一条命令就够：

Switch> enable Switch# show version # 关注输出里的 System image file 和下面的 License 信息 Switch# show license # 3560-E 上会列出当前激活的 feature set，例如 ipservices 或 ipbase

show version里的System image file那一行，文件名中间通常带ipbase、ipservices、advipservices字样，这是最快的判断方式；show license在 3560-E 上能看到当前激活的许可证和可升级项。如果show license提示命令不存在，说明这台是老平台的 3560/3560G，回到 SMI/EMI 那套判断逻辑，看型号尾缀和show version里有没有IP Services字样。

注意：二手机器经常出现“型号尾缀是 -E、实际刷了 -S 镜像”的情况。以show version的实际输出为准，不要相信面板丝印。

选哪个特性集，取决于你要不要跑 OSPF/EIGRP。只有两三个 VLAN、一条默认路由指向出口防火墙的小网络，IP Base 甚至 SMI 都够用，静态路由配置简单、排错路径短，出问题一眼能看穿。一旦要接两台以上三层设备、要做路由冗余和负载均衡，就必须上 IP Services 或 EMI，否则router ospf根本敲不进去。我的习惯是：只要规划里出现第二台三层设备，就直接按 IP Services 备货，避免后面为了一个特性集停机换镜像。

2.3 电源与 PoE 预算：15.4W × 48 不是随便配的

带 PoE 的 3560 最容易翻车的地方在电源。3560-E 是单电源插槽，可选四种模块：C3K-PWR-1150WAC（1150W，带 740W PoE）、C3K-PWR-750WAC（750W，用于 24 口机型，带 370W PoE）、C3K-PWR-265WAC（265W，24/48 口数据机型，无 PoE）、C3K-PWR-265WDC（265W 直流，同样无 PoE）。24 口 PoE 机型能同时带满 24 个 15.4W 全功率端口；48 口 PoE 机型要带满 48 个 15.4W 端口，必须上 1150W 电源，否则就得靠智能电源管理降额，比如 24 个 15.4W 端口加 48 个 7.7W 端口这样的组合。

算 PoE 预算的方法很直接：把要接的 IP 电话、无线 AP 的额定功率加起来，乘 1.2 留余量，再对比电源的 PoE 预算。比如 20 台 15.4W 的 AP 就是 308W，750W 电源的 370W PoE 预算刚好卡在边缘，夏天机柜温度一高就容易掉电重启，这种情况我会直接上 1150W。冗余方面，3560-E 可以接 RPS 2300 冗余电源系统，一台 RPS 2300 能给 6 台交换机中的 2 台同时提供备用电源，主电源故障时透明切换，且支持热插拔。真要上 RPS，记得把 RPS 的告警线也接上，不然切换了没人知道。

2.4 线材、终端和固件准备：Console 线、TFTP 与 IOS 镜像

物理连接只需要两样：一根 Console 线（RJ45 转 USB 或 RJ45 转 DB9，看笔记本有没有串口）和一根网线。Console 口是 RS-232 标准，3560-E 还额外提供一个带外以太网管理端口，但首次配置仍然建议走 Console，因为管理口本身的 IP 可能也是空的。终端软件用任意串口工具即可，参数固定：9600 波特率、8 数据位、无校验、1 停止位、无流控。这组参数从很老的型号一直沿用到 3560，基本不用试错。

固件准备分两块。一块是 IOS 镜像，如果机器里的镜像损坏或者要升级特性集，需要提前把对应文件放到 TFTP 服务器上，别等到机器起不来才去找文件。另一块是配置文件备份通道，同样用 TFTP 最省事，Windows 上用 tftpd32、Linux 上用 tftpd-hpa 都行，服务器和交换机管理地址要能互通。我习惯在笔记本上固定一个 192.168.99.0/24 的地址，和交换机的初始管理地址放同一网段，插上线就能传文件，不用再改网络。

3. 首次接入与基线配置：Console、管理地址和配置备份一次做对

线接好、终端参数对上，接下来是把一台空配置的 3560 变成一个能远程登录、能保存配置、能恢复的可用设备。这一章的所有命令都是基线，后面配 VLAN 和路由都建立在它上面。很多人跳过这一步直接配业务，结果设备重启一次配置全丢，或者密码忘了只能按 Mode 按钮恢复出厂，前面几小时的活白干。

3.1 Console 接入与启动自检

打开终端软件、给交换机上电，屏幕上会连续刷出启动信息。这段输出不是噪音，里面有价值的信息不少：IOS 镜像文件名、内存大小、POST 自检结果、以及各个接口的初始化状态。看到Press RETURN to get started就按回车，进入用户模式Switch>。如果启动过程中出现%Error opening flash:或者反复重启，先别急着配，那是镜像或 Flash 的问题，按 Ctrl-C 中断启动进 ROMMON 处理。

启动信息里重点看三行：System image file is ...确认镜像；cisco WS-C3560...确认型号；Base ethernet MAC Address记下来，后面做端口安全和 DHCP 绑定会用到。自检阶段如果有POST: ... Failed，说明某块硬件有问题，PoE 控制器或者某个端口组可能已经坏了，这种机器不适合做核心。

Switch> enable Switch# show inventory # 列出机箱型号、序列号和已插入的模块，二手设备核对配置时很有用 Switch# show flash: # 确认 IOS 镜像文件存在、剩余空间够不够放新镜像

show inventory的输出比面板丝印可靠，PID 和 VID 都是设备自己报的；show flash:除了看文件，还要看剩余空间，3560G 只有 32MB Flash，两个镜像文件很容易塞满，升级前先删旧镜像，删之前确认新镜像能正常启动，这个顺序别搞反。

3.2 最小可用配置：主机名、密码、管理地址

基线配置的目标是：能远程登录、密码受保护、有管理地址、配置能保存。下面这段可以直接抄，把地址和密码换成自己的：

Switch> enable Switch# configure terminal Switch(config)# hostname SW-CORE-01 SW-CORE-01(config)# enable secret Str0ng#Pass2024 SW-CORE-01(config)# service password-encryption # 明文密码在 show running-config 里会变成 7 号加密，避免被人一眼看走 SW-CORE-01(config)# interface vlan 1 SW-CORE-01(config-if)# ip address 192.168.99.10 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# ip default-gateway 192.168.99.1 # 注意：这条只在未开启 ip routing 的二层模式下有效 SW-CORE-01(config)# line con 0 SW-CORE-01(config-line)# logging synchronous SW-CORE-01(config-line)# exec-timeout 10 0 SW-CORE-01(config-line)# exit SW-CORE-01(config)# line vty 0 4 SW-CORE-01(config-line)# login local SW-CORE-01(config-line)# transport input ssh SW-CORE-01(config-line)# exit SW-CORE-01(config)# username admin privilege 15 secret Adm1n#Pass SW-CORE-01(config)# ip domain-name lab.local SW-CORE-01(config)# crypto key generate rsa modulus 1024 SW-CORE-01(config)# end SW-CORE-01# write memory

逐项说明。enable secret用的是不可逆哈希，优先级高于enable password，两者都配时以 secret 为准。service password-encryption把配置文件里的明文密码转成弱加密，防的是肩窥不是破解。interface vlan 1是管理 SVI，配完必须no shutdown，很多人漏这条，然后困惑为什么 ping 不通。ip default-gateway是二层模式下的默认网关，一旦后面执行了ip routing，这条命令就失效了，要换成全局的ip route 0.0.0.0 0.0.0.0 192.168.99.1，这是 3560 上非常经典的一个坑。

line con 0下的logging synchronous让日志输出不打断你正在敲的命令，exec-timeout 10 0是 10 分钟无操作自动断开。VTY 线路只留 SSH，transport input ssh直接禁掉 Telnet，配合crypto key generate rsa生成的密钥对，比后面再补安全配置省事。write memory等价于copy running-config startup-config，配完不保存，重启就回到出厂状态。

3.3 端口命名与 MAC 地址表：先看清再动手

3560 的端口命名是gigabitEthernet 0/1这种格式，0 是模块号，1 是端口号，3560 是固定配置交换机，模块号基本都是 0。批量操作前先用show interfaces status把物理状态过一遍：

SW-CORE-01# show interfaces status # 输出 notconnect / connected / err-disabled / disabled 四种状态 SW-CORE-01# show interfaces status err-disabled # 单独看被 err-disable 的端口，排查端口安全、BPDU guard 触发时必用 SW-CORE-01# show mac address-table # 看 MAC 地址学习情况，VLAN、MAC、类型、对应端口 SW-CORE-01# show mac address-table aging-time # 默认 300 秒，改小能让异常 MAC 更快老化

show interfaces status的Vlan列会显示端口当前所属 VLAN，Duplex和Speed列能看出协商结果，出现a-half这种自动协商成半双工的情况，说明对端设备有问题，千兆口半双工基本等于不能用。show mac address-table是排查“某个 IP 到底接在哪个口”的第一手工具，配合show arp或show ip arp能快速定位。3560 的 MAC 表上限是 12000 条，正常办公网很难打满，但如果某个端口 learning 速率异常，往往是环路或者 MAC 泛洪攻击，这时候show mac address-table count看总数变化趋势比看单条记录更有效。

端口描述是个小习惯但收益很大，配业务口时顺手加一行：

SW-CORE-01(config)# interface gigabitEthernet 0/1 SW-CORE-01(config-if)# description TO-AP-3F-EAST SW-CORE-01(config-if)# speed 1000 SW-CORE-01(config-if)# duplex full SW-CORE-01(config-if)# no shutdown

description会出现在show interfaces status、show running-config和网管系统的拓扑图里，半年后回来排障，这行字能省掉很多猜。speed和duplex在对接老设备时建议手工写死，自动协商在两端能力不一致时容易掉到半双工。

3.4 配置备份与镜像恢复：给自己留后悔药

基线配完，第一件事是备份，不是继续往下配。3560 的配置和镜像都能通过 TFTP 传出来：

SW-CORE-01# copy running-config tftp://192.168.99.100/SW-CORE-01.cfg # 把当前运行配置存到 TFTP 服务器，文件名按设备名+日期命名 SW-CORE-01# copy flash: tftp://192.168.99.100/ # 备份 IOS 镜像，按提示输入镜像文件名 SW-CORE-01# show archive # 配置了 archive 之后可以看历史配置快照

copy running-config tftp:需要 TFTP 服务器可达、目录可写，Windows 防火墙经常挡掉 69 端口，传之前先在本机ping一下交换机管理地址。镜像备份要看 Flash 剩余空间，镜像文件通常十几兆，传的时候别中断。恢复时反过来copy tftp: running-config或copy tftp: flash:，配置恢复后记得copy running-config startup-config，否则重启又没了。

更进一步可以启用配置归档，让交换机每次保存时自动留一份快照：

SW-CORE-01(config)# archive SW-CORE-01(config-archive)# path flash:archive-config SW-CORE-01(config-archive)# write-memory SW-CORE-01(config-archive)# time-period 1440

path指定归档目录，write-memory表示每次执行write memory时自动归档一份，time-period 1440是每 1440 分钟（一天）自动归档一次。Flash 空间有限，归档文件会累积，定期用dir flash:archive-config清理旧文件。这个功能在改错一条命令导致全网中断时特别有用，比凭记忆回滚靠谱得多。

4. 从二层到三层：VLAN、Trunk、SVI 与路由协议的具体配法

基线有了，接下来才是这台 3560 的正事：把端口分成几个 VLAN，用 SVI 做网关，让 VLAN 之间能按策略互通，再和出口设备跑起路由。这一章的配置顺序不能乱，先建 VLAN 再分端口，先起 SVI 再开路由，顺序反了会出现 SVI 一直 down、路由表里没有直连网段这类看起来很奇怪的现象。

4.1 建 VLAN 与划分端口

VLAN 的创建和端口划分是最基础的一步，命令不多，但有两个细节决定了后面顺不顺：VLAN 名称要写，端口模式要显式指定。

SW-CORE-01(config)# vlan 10 SW-CORE-01(config-vlan)# name OFFICE SW-CORE-01(config-vlan)# vlan 20 SW-CORE-01(config-vlan)# name SERVER SW-CORE-01(config-vlan)# vlan 99 SW-CORE-01(config-vlan)# name MGMT SW-CORE-01(config-vlan)# exit SW-CORE-01(config)# interface range gigabitEthernet 0/1 - 8 SW-CORE-01(config-if-range)# switchport mode access SW-CORE-01(config-if-range)# switchport access vlan 10 SW-CORE-01(config-if-range)# spanning-tree portfast SW-CORE-01(config-if-range)# spanning-tree bpduguard enable SW-CORE-01(config-if-range)# no shutdown

vlan 10进入 VLAN 配置模式，name OFFICE给 VLAN 起名字，show vlan brief里就能看到名字而不是光秃秃的编号，排障时省事。interface range支持连续端口批量操作，格式是0/1 - 8，注意减号两边有空格。switchport mode access显式把端口设成接入模式，不写的话端口默认是动态模式，会自动协商成 trunk，接终端设备时容易出怪问题。switchport access vlan 10把端口划进 VLAN 10。

spanning-tree portfast让接终端的端口跳过 STP 的监听和学习阶段，插上网线几秒内就能通，不加的话默认要等 30 秒左右。spanning-tree bpduguard enable是配套的安全措施：PortFast 端口如果收到 BPDU，说明有人把交换机接到了这个原本该接终端的口上，BPDU guard 会直接把端口 err-disable 掉，防止环路。这两条要成对出现，只开 PortFast 不开 BPDU guard，等于给自己埋了个环路隐患。

删除 VLAN 用no vlan 10，但要注意：如果还有端口属于这个 VLAN，删掉 VLAN 后这些端口会变成 inactive 状态，得先把端口改到别的 VLAN 或者改回默认 VLAN 1。批量清理时我一般先show vlan brief确认没有活动端口，再删。

4.2 Trunk 与 VTP：把 VTP 关掉更省心

交换机之间互联的端口要配成 trunk，让多个 VLAN 的流量带着 802.1Q 标签通过。3560 支持 ISL 和 802.1Q 两种封装，配 trunk 之前必须先指定封装方式，这是新手最容易漏的一步。

SW-CORE-01(config)# interface gigabitEthernet 0/24 SW-CORE-01(config-if)# description UPLINK-TO-CORE-02 SW-CORE-01(config-if)# switchport trunk encapsulation dot1q SW-CORE-01(config-if)# switchport mode trunk SW-CORE-01(config-if)# switchport trunk native vlan 999 SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,99 SW-CORE-01(config-if)# no shutdown

switchport trunk encapsulation dot1q必须在switchport mode trunk之前执行，顺序反了会报错，因为 3560 默认的封装协商状态是 auto，不指定就没法进入 trunk 模式。switchport trunk native vlan 999把 native VLAN 改成一个不承载业务的空 VLAN，native VLAN 的流量是不打标签的，两端不一致会导致 VLAN 流量串台，改成 999 并保证两端一致是最稳妥的做法。switchport trunk allowed vlan显式列出允许通过的 VLAN，不用all，这样新增 VLAN 时不会无意中把它放行到不该去的地方，也减少了不必要的广播泛洪。

VTP 是思科早期的 VLAN 同步协议，服务器模式的交换机可以把 VLAN 数据库推给同域的其他交换机。听起来方便，实际是个高风险功能：一台配置错误的交换机接入网络，可能把整个域的 VLAN 数据库覆盖掉，导致全网 VLAN 消失。我的做法是一律vtp mode transparent，让每台交换机自己管自己的 VLAN 数据库，手工同步：

SW-CORE-01(config)# vtp mode transparent SW-CORE-01(config)# vtp domain LAB-NET SW-CORE-01(config)# vtp version 2 SW-CORE-01(config)# vtp password Vtp#2024

vtp mode transparent下交换机不参与 VTP 同步，但会转发 VTP 报文，VLAN 配置完全本地生效。vtp domain和vtp password在 transparent 模式下不影响行为，但写上能避免从服务器模式切换过来时残留旧配置。真要统一管理 VLAN，用网管系统下发比 VTP 可控得多。

4.3 SVI 与 ip routing：三层网关成型

前面三步都是二层的事，到这一步才真正把 3560 变成三层交换机。核心是两条：全局开ip routing，然后给每个 VLAN 配一个 SVI 地址作为网关。

SW-CORE-01(config)# ip routing SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# description OFFICE-GW SW-CORE-01(config-if)# ip address 10.10.10.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# interface vlan 20 SW-CORE-01(config-if)# description SERVER-GW SW-CORE-01(config-if)# ip address 10.10.20.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# interface vlan 99 SW-CORE-01(config-if)# ip address 10.10.99.10 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# end SW-CORE-01# show ip interface brief

ip routing是全局开关，不开的话 SVI 只能当管理地址用，VLAN 之间不通。每个 SVI 的ip address就是这个 VLAN 内主机的默认网关，no shutdown同样不能漏。SVI 的状态有个特性：VLAN 内必须至少有一个端口处于 up 状态，或者 trunk 允许该 VLAN 且有活动链路，SVI 才会 up。刚配完 SVI 发现show ip interface brief里是down/down，先回去看 VLAN 里有没有活端口，这是最高频的一个疑问。

show ip interface brief能看到所有接口的 IP、状态和协议状态，show ip route能看到路由表里有没有这些直连网段。配完三个 SVI，路由表里应该出现三条C开头的直连路由，对应三个网段。没有的话不是路由没配，是 SVI 没起来。

4.4 静态路由、RIP 与 OSPF 怎么选

VLAN 间通了之后，还要让这台交换机知道怎么去外面的网络，以及让外面的设备知道怎么回来。三种选择，按网络规模挑：

# 方案一：只有一条出口，静态默认路由最简单 SW-CORE-01(config)# ip route 0.0.0.0 0.0.0.0 10.10.99.1 # 方案二：SMI 镜像下的小网络，RIPv2 SW-CORE-01(config)# router rip SW-CORE-01(config-router)# version 2 SW-CORE-01(config-router)# no auto-summary SW-CORE-01(config-router)# network 10.10.10.0 SW-CORE-01(config-router)# network 10.10.20.0 SW-CORE-01(config-router)# passive-interface vlan 10 # 方案三：IP Services / EMI 镜像，OSPF SW-CORE-01(config)# router ospf 1 SW-CORE-01(config-router)# router-id 10.10.99.10 SW-CORE-01(config-router)# network 10.10.10.0 0.0.0.255 area 0 SW-CORE-01(config-router)# network 10.10.20.0 0.0.0.255 area 0 SW-CORE-01(config-router)# passive-interface vlan 10 SW-CORE-01(config-router)# passive-interface vlan 20

静态默认路由适合单出口场景，0.0.0.0 0.0.0.0表示所有未知目的地，下一跳是出口设备的接口地址。RIP 的network后面跟的是主类网段，version 2开启无类路由，no auto-summary关闭自动汇总，不加这条在 10.x 这种连续网段上容易出现路由汇总错误。passive-interface让接终端的 VLAN 不发 RIP 报文但继续宣告网段，减少无用广播。

OSPF 的network用反掩码（wildcard mask），0.0.0.255对应 /24，router-id手工指定成管理地址，不指定会从接口里挑一个，重启后可能变，影响邻居关系。passive-interface在 OSPF 里同样重要，接终端的接口没必要跑 OSPF 邻居。选哪个方案我一般的判断是：单出口 + 单台三层设备，静态路由；两台以上三层设备但网络扁平，RIP 也能用；追求收敛速度和可扩展性，直接 OSPF，别在 RIP 上耗时间。

4.5 HSRP：两台 3560 的网关冗余

核心网关只有一台，这台挂了全网断，所以要两台 3560 做 HSRP。思路是两台交换机在同一个 SVI 上配同一个虚拟 IP，主机网关指向虚拟 IP，主设备故障时备设备接管。

# 主设备 SW-CORE-01 SW-CORE-01(config)# track 1 interface gigabitEthernet 0/24 line-protocol SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# standby 10 ip 10.10.10.254 SW-CORE-01(config-if)# standby 10 priority 110 SW-CORE-01(config-if)# standby 10 preempt SW-CORE-01(config-if)# standby 10 track 1 decrement 20 # 备设备 SW-CORE-02，同样的 SVI 上 SW-CORE-02(config)# interface vlan 10 SW-CORE-02(config-if)# standby 10 ip 10.10.10.254 SW-CORE-02(config-if)# standby 10 priority 100

standby 10 ip的 10 是组号，同一个组的两台设备共享一个虚拟 IP，主机网关填 10.10.10.254。priority默认 100，主设备配 110 让它成为 Active，备设备保持 100。preempt是抢占，不加的话主设备恢复后不会自动抢回 Active 角色，会一直由备设备承担，链路状态和实际转发路径就对不上了。

track 1 interface gigabitEthernet 0/24 line-protocol配合standby 10 track 1 decrement 20，意思是上行口断掉时优先级减 20，从 110 降到 90，低于备设备的 100，备设备自动接管。这个配置能避免“网关还活着但上联断了”的黑洞场景，是 HSRP 里最值得加的一段。配完在每台设备上用show standby brief看状态，应该一台 Active 一台 Standby，虚拟 IP 那一列两边一致。

5. ACL、端口安全与限速：3560 加固时的五种翻车现场排查

安全配置和前面的 VLAN、路由不一样，配错了不一定马上报错，往往是某个业务突然不通、某个端口莫名其妙 down 掉，然后回头一层层查。

本文还有配套的精品资源，点击获取