简介：这份PDF资料面向网络工程师、运维人员及备考思科认证的学习者，系统讲解Cisco Catalyst 3560-E系列三层交换机的功能特性与配置方法，帮助读者掌握企业级交换机的部署与运维技能。资源包内含1个PDF文件，大小约591KB，内容涵盖设备概述、软件平台、万兆上行链路与TwinGig SFP转换器、模块化电源、PoE供电、冗余电源等硬件特性，并延伸至高性能IP路由、QoS服务质量、高级安全特性及智能PoE管理等技术要点。配置部分则从Console、Telnet、SSH等接入方式讲起，逐步展开IP地址设置、VLAN划分、端口配置、路由协议启用、ACL与802.1X安全设置、QoS策略定义以及配置备份恢复等实操环节，目录结构清晰，便于按模块查阅。目前已有508人学习下载，适合需要系统理解3560-E交换机原理并落地配置的网络从业者参考。
1. 三层交换机：为什么它既能当交换机又能当路由器
很多人第一次接触三层交换机时，脑子里会冒出一个疑问：这东西到底算交换机还是路由器？它明明长得像交换机，一堆网口，但又能配 IP 地址、跑路由协议，甚至能做访问控制。更让人困惑的是，同样一个 VLAN 间的数据转发，用路由器做和用三层交换机做，配置命令长得完全不一样，但效果看起来差不多。
这个问题的答案，藏在“一次路由，多次交换”这八个字里。传统路由器转发每一个数据包都要查路由表、做最长匹配、重写 MAC 头，整个过程由 CPU 或专用转发引擎完成，速度受限于软件处理能力。而三层交换机把路由计算和路由转发拆开了：路由协议跑在 CPU 上，负责计算路由表；但真正转发时，硬件 ASIC 芯片直接查一张“快速转发表”，用硬件线速完成转发。这就是为什么一台三层交换机可以做到几十 Gbps 的交换容量，而同等价格的路由器吞吐量可能只有它的零头。
以 Catalyst 3560 为例，它的交换矩阵从 8.8Gbps 到 32Gbps 不等，转发率最高 38.7Mpps，支持最多 11000 条单播路由和 12000 个 MAC 地址。这些数字背后是一套完整的硬件转发架构。搞懂这套机制，你才能理解为什么有些配置命令在二层和三层之间切换时行为完全不同，也才能明白为什么某些 ACL 能硬件转发、某些却会让性能断崖式下跌。接下来的内容，会从硬件架构讲到 VLAN 间路由的实现，再落到端口安全、ACL、限速这些实战配置的底层逻辑。
2. 硬件转发架构：路由表是怎么变成线速转发的
2.1 控制平面与数据平面的分离
三层交换机内部实际上有两个独立运作的世界。一个是控制平面，由 CPU 和内存负责，跑 IOS 系统、路由协议、STP、管理协议。另一个是数据平面，由 ASIC 芯片和 TCAM 组成，负责实际的数据包转发。控制平面计算出路由表后，会把它“下发”到数据平面的硬件转发表里。这个过程叫“路由表编程”。
以 3560 为例，它支持静态路由、RIP、OSPF、EIGRP 甚至 BGPv4，但这些协议的计算结果最终都要写入硬件。硬件转发表里存的不是完整的路由表，而是经过压缩和优化的转发条目。比如一条 OSPF 学到的路由，在硬件里可能只保留目的网段、下一跳 MAC、出接口这几个关键字段。当数据包进入端口，ASIC 直接查表、重写 MAC 头、从对应端口送出，全程不经过 CPU。
这种架构带来的直接后果是：路由协议收敛速度受 CPU 影响，但转发性能不受路由条目数量影响。只要硬件表项没满，转发就是线速的。3560 最多支持 11000 条单播路由，这个数字就是硬件表项的容量上限。超过之后，部分路由会“降级”到软件转发，性能立刻掉下来。
2.2 TCAM 与 ACL 的硬件匹配
访问控制列表在三层交换机上的行为和路由器完全不同。路由器上的 ACL 是软件逐条匹配的，列表越长性能越差。但 3560 把 ACL 编译后写入 TCAM（三态内容寻址存储器），匹配是并行的、硬件级的。无论 ACL 有 10 条还是 100 条，匹配时间几乎一样。
但 TCAM 有容量限制。3560 的 TCAM 被划分为多个区域，分别用于 ACL、QoS 分类、路由表等。如果你配了太多 ACL，或者 ACL 里用了 TCAM 不支持的匹配字段（比如某些复杂的二层和四层组合），这些规则会被“踢”到软件路径处理。现象就是：配置能生效，但流量一上去 CPU 就飙高，转发延迟变大。
常见的实现思路是：把最常用的、需要线速转发的规则放在 ACL 前面，把复杂的、匹配频率低的规则放在后面。同时尽量用标准 ACL 或扩展 ACL 的简单形式，避免在一条规则里混合太多条件。3560 每个快速以太网或千兆端口最多支持 64 个策略控制器，这个数字就是硬件能同时处理的 QoS 策略上限。
2.3 从 VLAN 到 SVI：三层接口的本质
三层交换机上最核心的概念是 SVI（交换机虚拟接口）。当你给一个 VLAN 配了 IP 地址，就创建了一个 SVI。这个 SVI 在逻辑上相当于一个路由器接口，但它的实现方式和物理接口完全不同。
物理接口的 MAC 地址是烧在硬件里的，而 SVI 的 MAC 地址是从交换机的 MAC 地址池里分配的。3560 的每个 SVI 都有一个独立的 MAC 地址，这些地址来自同一个基地址加上不同的偏移量。当 VLAN 间的数据包需要路由时，ASIC 会用 SVI 的 MAC 地址重写源 MAC，然后查路由表找到目的 VLAN 的 SVI，再用目的 SVI 的 MAC 重写目的 MAC，最后从目的 VLAN 的某个端口送出。
这个过程完全在硬件里完成，不经过 CPU。但前提是：源和目的都在同一台交换机上，且路由表里有一条直连路由指向目的网段。如果目的网段需要通过下一跳路由器到达，ASIC 会查硬件转发表里的下一跳信息，重写 MAC 后从对应端口送出。只有当硬件表里没有匹配条目时，数据包才会被送到 CPU，触发软件路由查找，这就是所谓的“慢路径”。
3. VLAN 间路由与 VTP：配置背后的状态机
3.1 VLAN 配置与端口分配
VLAN 的配置看起来简单，但底层涉及一个数据库同步的问题。3560 上创建 VLAN 时，实际上是在 VLAN 数据库里插入一条记录，包含 VLAN ID、名称、状态。这个数据库存在 flash 里的 vlan.dat 文件中，而不是 running-config 里。这就是为什么你删掉 VLAN 后，running-config 里看不到变化，但 show vlan 里已经没了。
端口分配给 VLAN 有两种模式：access 和 trunk。access 端口只属于一个 VLAN，进入的数据包不带标签；trunk 端口可以承载多个 VLAN，数据包带 802.1Q 标签。3560 的 ASIC 在处理 access 端口时，会给进入的帧打上内部 VLAN 标签，用于内部转发；从 access 端口送出时，再把标签剥掉。这个过程对用户透明，但理解它才能明白为什么 trunk 端口上的 native VLAN 配置不一致会导致 VLAN 跳变。
配置 VLAN 接口地址时，实际上是在创建 SVI。命令interface vlan 10进入 SVI 配置模式，ip address给 SVI 配 IP。这个 IP 就是该 VLAN 内主机的网关。3560 支持每个 VLAN 一个 SVI，SVI 的状态取决于该 VLAN 内是否有 up 的端口。如果 VLAN 里所有端口都 down 了，SVI 也会 down，即使你手动 no shutdown 也没用。
3.2 VTP 域与数据库同步
VTP 是思科的私有协议，用于在多台交换机之间同步 VLAN 数据库。它的工作模式有三种：server、client、transparent。Server 可以创建、修改、删除 VLAN，并把变更通告出去；client 只能接收同步，不能本地修改；transparent 不参与同步，但会转发 VTP 通告。
VTP 最大的坑在于修订号。每次修改 VLAN，修订号加一。如果一台高修订号的交换机接入网络，它会覆盖所有低修订号的交换机，导致 VLAN 配置丢失。常见的做法是：在把新交换机接入生产网络前，先把它配成 transparent 模式，或者把它的 VTP 域名改成一个不存在的域名，清空修订号后再改回来。
3560 支持 VTP v1、v2 和 v3。v3 支持扩展 VLAN 和主服务器模式，但配置更复杂。如果网络里有多台交换机，建议统一用 v2 或 v3，不要混用。VTP 修剪功能可以减少不必要的广播流量，但需要所有交换机都启用才有效。
3.3 HSRP：网关冗余的状态机
HSRP 是三层交换机上实现网关冗余的常用协议。它的核心是一个虚拟 MAC 地址和虚拟 IP 地址，由多台交换机组成一个组，一台活跃、一台 standby。活跃交换机负责转发发往虚拟 IP 的流量，standby 监听活跃交换机的 hello 消息。如果活跃交换机故障，standby 在几秒内接管虚拟 IP 和 MAC。
3560 每台设备最多支持 32 条 HSRP 链路。HSRP 的抢占功能默认关闭，意味着如果活跃交换机重启后恢复，它不会自动抢回活跃状态，除非配置了 preempt。优先级默认 100，数值越大越优先。跟踪功能可以监控上行接口状态，如果上行链路故障，自动降低优先级，触发切换。
HSRP 的 hello 时间默认 3 秒，hold 时间 10 秒。如果网络抖动导致 hello 丢失，可能触发不必要的切换。常见的优化是把 hello 时间调到 1 秒，hold 时间调到 3 秒，但要注意这会增加协议流量。另一个坑是：HSRP 的虚拟 MAC 地址是 0000.0c07.acXX，XX 是组号。如果网络里有其他设备也用这个 MAC 段，可能冲突。
4. 端口安全与访问控制：从 802.1X 到 ACL 的硬件实现
4.1 端口安全的三种绑定方式
3560 的端口安全功能允许你限制端口上允许的 MAC 地址数量，或者指定具体的 MAC 地址。配置方式有三种：静态绑定、动态学习、粘滞学习。静态绑定是手动指定 MAC，动态学习是让端口自动学，但限制数量，粘滞学习是动态学到的 MAC 自动转为静态绑定，交换机重启后不丢失。
底层实现上，端口安全依赖 ASIC 里的 MAC 地址表。每个端口有一个允许的 MAC 地址列表，进入的帧如果源 MAC 不在列表里，直接丢弃并触发违规动作。违规动作有三种：protect、restrict、shutdown。protect 是静默丢弃，不告警；restrict 是丢弃并发 SNMP trap；shutdown 是直接关闭端口，需要手动或自动恢复。
常见的坑是：如果端口上接了 IP 电话和 PC，电话的 MAC 和 PC 的 MAC 都要允许。如果只允许一个，另一个设备上线时端口会被 shutdown。另外，粘滞学习的 MAC 地址存在 running-config 里，如果交换机重启且配置没保存，这些 MAC 会丢失，需要重新学习。
4.2 802.1X 与 MAB 的认证流程
802.1X 是一种基于端口的网络接入控制协议。它的工作流程是：客户端（supplicant）发起认证，交换机（authenticator）把认证请求转发给 RADIUS 服务器，服务器验证通过后，交换机打开端口。3560 支持多种 802.1X 扩展：VLAN 分配、ACL 分配、语音 VLAN、访客 VLAN、多域认证。
多域认证允许在同一端口上同时认证 IP 电话和 PC，并把它们放入不同的 VLAN。电话用 CDP 或 LLDP 发现语音 VLAN，PC 用 802.1X 认证。如果 PC 没有 802.1X 客户端，可以用 MAB（MAC 地址旁路），把 PC 的 MAC 地址作为用户名和密码发给 RADIUS 服务器。
802.1X 的坑在于：如果 RADIUS 服务器不可达，端口默认是关闭的。可以配置 critical VLAN 或 critical ACL，让认证失败时端口进入一个受限 VLAN，至少保证基本连通性。另外，802.1X 的重新认证周期默认是 3600 秒，如果设得太短，会增加服务器负担；设得太长，设备变更后权限不能及时收回。
4.3 ACL 的硬件匹配与单向访问
3560 支持标准 ACL、扩展 ACL、VACL、PACL。标准 ACL 只匹配源 IP，扩展 ACL 匹配源、目的、协议、端口。VACL 用于 VLAN 内部流量过滤，PACL 用于物理端口。这些 ACL 都会被编译进 TCAM，硬件并行匹配。
单向访问控制列表是一个经典需求：VLAN3 可以访问其他 VLAN，但其他 VLAN 不能访问 VLAN3。用普通 ACL 很难实现，因为 ACL 是无状态的。3560 支持 reflect 和 evaluate 关键字，实现自反 ACL。Reflect 规则会记录出站流量的会话信息，evaluate 规则检查入站流量是否属于已建立的会话。这样就能实现“只允许回包，不允许主动发起”的效果。
配置自反 ACL 时要注意：reflect 规则要放在出站方向，evaluate 规则放在入站方向。会话超时时间默认 300 秒，可以调整。如果会话表满了，新会话会被丢弃。3560 的 TCAM 里有一部分专门用于自反 ACL 的会话表，容量有限，大量短连接可能耗尽表项。
4.4 端口限速与 QoS 策略
3560 的端口限速通过 QoS 策略实现。基本流程是：定义 class-map 匹配流量，定义 policy-map 指定限速动作，把 policy-map 应用到接口。限速的粒度可以到 8Kbps，支持基于源/目的 IP、MAC、TCP/UDP 端口的匹配。
底层实现上，限速用的是令牌桶算法。ASIC 里有一个令牌桶，按配置的速率往桶里放令牌，数据包转发时消耗令牌。如果桶空了，数据包被丢弃或标记。3560 支持单速率和双速率令牌桶，可以配置突发大小。
常见的坑是：限速策略应用在接口的 input 方向时，匹配的是进入交换机的流量；应用在 output 方向时，匹配的是从交换机送出的流量。如果配反了，限速不生效。另外，限速策略会占用 TCAM 表项，如果策略太复杂，可能影响其他 ACL 的硬件卸载。
5. 避坑与排查：那些配置看起来对但就是不生效的场景
5.1 VLAN 间路由不通，SVI 状态是 up 但 ping 不通
现象：两台主机在不同 VLAN，SVI 都配了 IP，show ip interface brief 显示 up/up，但互相 ping 不通。
原因：最常见的是主机网关配错，或者主机所在端口的 VLAN 分配错误。另一个常见原因是 SVI 的 IP 和主机不在同一网段，或者子网掩码配错。还有一种情况是：VLAN 里没有任何 up 的端口，SVI 虽然显示 up，但实际上没有流量能进来。
解决：先用 show vlan 确认端口在正确的 VLAN 里，再用 show interface status 确认端口 up。然后检查主机的 IP、掩码、网关。如果都正确，用 show ip route 确认直连路由存在。最后检查是否有 ACL 拦截了流量。
5.2 ACL 配了但流量没被过滤
现象：配置了扩展 ACL 拒绝某个网段访问，应用到接口后，流量依然能通。
原因：ACL 的方向配反了。应用到接口的 in 方向时，匹配的是进入接口的流量；out 方向匹配的是从接口送出的流量。如果 ACL 应该过滤进入交换机的流量，却应用在 out 方向，就不生效。另一个原因是 ACL 里没有 permit 其他流量，但默认末尾有 deny any，如果顺序不对，可能误杀。
解决：用 show ip interface 确认 ACL 应用的方向。用 show access-lists 查看匹配计数，确认规则是否被命中。如果计数不增长，说明流量没走这条 ACL。
5.3 HSRP 切换后部分主机断网
现象：HSRP 活跃交换机故障，standby 接管，但部分主机 ping 不通网关。
原因：主机的 ARP 缓存里还是旧的虚拟 MAC 地址，但新活跃交换机的 MAC 地址表里没有这些主机的 MAC，导致回包时泛洪或丢弃。另一个原因是 HSRP 的抢占延迟没配，standby 接管后，原活跃交换机恢复又抢回去，导致来回切换。
解决：配置 preempt delay，让原活跃交换机恢复后等待一段时间再抢占。同时检查交换机的 MAC 地址表老化时间，默认 300 秒，可以适当调短。如果主机支持，可以配置 gratuitous ARP，让切换后主动更新主机的 ARP 缓存。
5.4 端口安全导致 IP 电话断线
现象：配置端口安全后，IP 电话偶尔断线，过一会又恢复。
原因：端口安全限制了 MAC 地址数量，但 IP 电话可能有两个 MAC 地址（一个用于语音，一个用于 PC 透传）。如果只允许一个 MAC，电话的第二个 MAC 上线时触发违规，端口被 shutdown。如果配置了自动恢复，端口过一会又 up，然后再次触发，循环往复。
解决：用 show port-security interface 查看违规计数和允许的 MAC 数量。把最大 MAC 数调到 2 或 3，或者用粘滞学习让交换机自动学。如果电话和 PC 都接在同一个端口，确保语音 VLAN 配置正确，电话的 MAC 在语音 VLAN 里，PC 的 MAC 在数据 VLAN 里。
5.5 限速策略导致语音质量下降
现象：配置了端口限速后，IP 电话通话出现断续、杂音。
原因：限速策略把语音流量也限了，或者限速的突发大小设得太小，语音包被丢弃。语音流量对延迟和丢包非常敏感，即使限速值看起来够用，如果突发大小不够，瞬间的流量高峰也会导致丢包。
解决：用 class-map 把语音流量单独分类，给它更高的限速值或不限速。用 show policy-map interface 查看各类流量的匹配和丢弃计数。如果语音流量被丢弃，调整限速值或突发大小。更好的做法是用 QoS 的优先级队列，把语音流量放入严格优先级队列，而不是简单限速。
6. 从 3560 看三层交换机的设计取舍
3560 是一台很典型的“接入层三层交换机”。它的设计目标不是替代核心路由器，而是在接入层提供线速路由和丰富的安全特性。这个定位决定了它的很多取舍。
第一个取舍是硬件表项容量。3560 支持 11000 条单播路由和 12000 个 MAC 地址，这个容量在接入层够用，但如果用来跑全网的 OSPF，表项很快会满。满了之后，部分路由会降级到软件转发，性能断崖式下跌。所以 3560 通常只用来跑直连路由和少量汇总路由，默认路由指向核心。这不是缺陷，而是定位决定的。
第二个取舍是 TCAM 的分配。TCAM 总量有限，要在 ACL、QoS、路由表、自反 ACL 会话表之间分配。如果你配了大量 ACL，路由表能用的 TCAM 就少了。反过来，如果路由表很大，ACL 的容量就受限。常见的做法是：在接入层只配必要的 ACL，把复杂的策略放到核心或防火墙上做。3560 的 TCAM 分配可以通过命令调整，但调整后需要重启，而且不是所有 IOS 版本都支持。
第三个取舍是 PoE 功率预算。3560-E 的 48 端口 PoE 配置需要 1150W 电源才能支持所有端口 15.4W 全功率。如果用 750W 电源，只能支持部分端口全功率，或者所有端口半功率。这个取舍直接影响 IP 电话和无线 AP 的部署密度。智能电源管理允许你动态分配功率，但需要提前规划每个端口的最大功率需求。
第四个取舍是软件特性集的激活。3560 用许可证文件控制特性集，IP Base 只有静态路由和 RIP，IP Services 才有 OSPF、EIGRP、BGP。这个设计让硬件成本分摊更灵活，但也意味着你买到的硬件可能被软件锁住了能力。升级特性集需要购买许可证，然后重启交换机。这个过程中，交换机会检查许可证文件，激活对应特性。
从那以后我每次配三层交换机，都会先确认三件事：硬件表项容量够不够、TCAM 分配是否合理、电源预算是否满足 PoE 需求。这三件事决定了网络能不能稳定跑起来，而不是配置命令写得对不对。希望帮到你。
本文还有配套的精品资源，点击获取
