3560三层交换机配置详解：VLAN、SVI、HSRP与ACL实战

发布时间：2026/10/24 23:32:01
3560三层交换机配置详解：VLAN、SVI、HSRP与ACL实战

简介：《思科三层交换机配置详解 以3560为例》是一份面向网络工程师、运维人员和思科设备初学者的实战型PDF文档，围绕Catalyst 3560-E系列展开，帮助读者理解企业级三层交换机的功能特性与配置方法。压缩包内仅含1个PDF文件，大小约591KB，内容按“设备介绍—配置实践”组织，涵盖万兆上行链路、TwinGig SFP转换器、模块化/冗余电源、PoE、QoS、ACL、802.1X及IPv4/IPv6路由等要点，并给出访问设备、接口配置、VLAN划分、MAC地址表、启动及基本配置案例等操作说明。已有508人学习下载，适合用来梳理3560系列的知识框架、对照CLI命令完成实验配置，也可作为故障排查与安全加固的参考手册。

1. 一台二手 3560 摆在桌上，才是理解三层交换的开始

实验室角落那台 WS-C3560G-24TS，风扇声比机柜里任何设备都响，但它是我见过最划算的思科三层交换机配置练习平台。很多人把三层交换理解成“能配 SVI 就是三层”，真上手才发现问题全藏在细节里：VLAN 起不来、Trunk 封装顺序错、HSRP 不抢占、ACL 配了不生效，每一个都能让你对着屏幕坐半小时。这份以 Catalyst 3560 为例的配置详解，从型号后缀、特性集差异、Console 接入、VLAN 与 Trunk，一路讲到 SVI、HSRP、OSPF、ACL、端口限速和安全防护，等于把一台三层交换机从开箱到上线的链路完整走了一遍。适合刚接触企业网、手里有真机或模拟器、需要一套能照着敲的配置参照的人；也适合把它当网络工具手册，配置前翻两页确认参数和边界。

2. 认识 3560：型号后缀、特性集与供电预算

买二手设备最容易犯的错，是只看“24 口千兆”就下单，回来发现没有 PoE，或者镜像里根本没有 OSPF。3560 这个家族横跨三代产品，后缀里每个字母都在告诉你它能干什么，先把这张表读明白，后面配置能省一半返工。

2.1 型号后缀怎么读：端口数、PoE 与上行链路

3560 家族大致分三档：基础版 Catalyst 3560（10/100 下行）、千兆版 3560G（10/100/1000 下行）、增强版 3560-E（X2 万兆上行、模块化电源）。型号里的TS表示纯数据口加 SFP 上行，PS表示带 PoE 的百兆口，TD/PD是 3560-E 的万兆上行版本，末尾的-S和-E分别对应标准多层软件镜像和增强多层软件镜像。

型号下行端口上行镜像典型位置
WS-C3560-24PS-S24×10/100 PoE2×SFPSMI小型接入
WS-C3560-48PS-E48×10/100 PoE4×SFPEMI接入+轻量路由
WS-C3560G-24TS-S24×10/100/10004×SFPSMI千兆接入
WS-C3560G-48TS-E48×10/100/10004×SFPEMI汇聚
WS-C3560E-24TD24×10/100/10002×X2IP Base汇聚上行
WS-C3560E-48PD-F48×10/100/1000 PoE 15.4W2×X2IP Base全端口 PoE

硬件参数上，3560G-24TS/PS 和 3560G-48TS/PS 是 32Gbps 交换矩阵、38.7Mpps 转发率，128MB DRAM、32MB Flash；3560-48PS 是 17.6Gbps、13.1Mpps、16MB Flash；3560-24PS 是 8.8Gbps、6.6Mpps。MAC 地址表最多 12000 条，单播路由 11000 条，MTU 可到 9000 字节，千兆口桥接最大帧 9018 字节。这些数字决定了它能不能扛住你机柜里的终端数量，别等到 MAC 表刷满才开始查手册。

有一个物理细节必须提前知道：3560G 的最后两个千兆电口和 SFP 上行口是 Combo 复用关系，插了光模块，对应的电口就失效。我见过有人把服务器接在 23、24 口，又插了 SFP 上联，然后反复排查“端口怎么不通”，最后发现是物理层共用。上架前先在图纸上标清楚哪两个口是复用的。

2.2 SMI 与 EMI：特性集决定命令能不能敲

这是 3560 最容易被忽略的一道坎。SMI 镜像只有静态路由和 RIPv1/RIPv2，EMI 镜像才有 OSPF、EIGRP、BGPv4、PIM、PBR。3560-E 换成 IP Base / IP Services / Advanced IP Services 的叫法，IP Base 覆盖 QoS、限速、ACL 和基础 RIP，IP Services 才放开硬件单播组播路由，Advanced IP Services 再加 IPv6。

特性SMI / IP BaseEMI / IP ServicesAdvanced IP Services
静态路由、RIP支持支持支持
OSPF、EIGRP、BGP不支持支持支持
PIM、DVMRP 隧道不支持支持支持
PBR不支持支持支持
IPv6 路由不支持不支持支持

拿到设备第一件事不是接线，是敲show version看镜像名和 license：

SW> enable SW# show version SW# show license

show version最后一行的System image file会告诉你跑的是c3560-ipbasek9-mz还是c3560-ipservicesk9-mz；带k9才有加密特性，SSH 才能生成密钥。3560-E 还能通过 license 文件透明升级特性集，非 E 系列只能换镜像。我一般会在机房贴一张标签，写清楚每台设备当前镜像和可升级方向，避免半年后自己也忘了。

2.3 电源与 PoE 预算：48 口全功率不是插上就行

3560-E 的电源是模块化的，插槽只有一个，选错电源直接决定你能不能带满 PoE。可选型号有 C3K-PWR-265WAC、C3K-PWR-265WDC、C3K-PWR-750WAC、C3K-PWR-1150WAC，PoE 预算差别很大。

电源功率PoE 预算适用场景
C3K-PWR-265WAC265W024/48 口纯数据
C3K-PWR-265WDC265W0直流供电场景
C3K-PWR-750WAC750W370W24 口 PoE
C3K-PWR-1150WAC1150W740W48 口全功率 PoE

算一下就明白：802.3af 单口 15.4W，24 口满载 369.6W，750W 电源的 370W 预算刚好卡住；48 口满载 739.2W，只有 1150W 电源的 740W 才够。如果预算不够，可以走智能电源管理，配成 24 个 15.4W 或 48 个 7.7W 的组合，但这就意味着部分 AP 或话机可能拿不到全功率。

上线前用这两条命令确认供电状态：

SW# show power inline SW# show env all

show power inline会列出每个 PoE 口的分配功率、剩余预算和状态；show env all看温度、风扇和电源在位情况。曾经有一次无线 AP 反复重启，查了半天配置，最后是 PoE 预算被几台话机吃满，AP 上电瞬间掉电。这类问题不看电源表根本定位不到。

3. 从 Console 到可管：基础配置与 VLAN 骨架

设备上电后第一件事不是配业务，是把自己“能管住它”。管理通道选错，后面每次改配置都得抱着笔记本蹲机柜；VLAN 骨架没搭好，三层路由配得再漂亮也是空中楼阁。

3.1 三条管理通道与带外管理口

3560 的接入方式有三种：Console 口、Telnet/SSH、3560-E 额外带一个带外以太网管理口。Console 是保底手段，线序 9600-8-N-1，用 RJ-45 转 USB 线接到笔记本，SecureCRT 或 PuTTY 都能连。带外管理口的好处是独立于业务 VLAN，业务口全挂也能进去救火，3560-E 上我一般会把它接到独立管理交换机。

生产环境不要用 Telnet。SSH 需要设备有加密镜像（k9），配置时先设域名再生成密钥：

SW-CORE-01(config)# ip domain-name lab.local SW-CORE-01(config)# crypto key generate rsa modulus 1024 SW-CORE-01(config)# username admin privilege 15 secret Adm1n@Lab SW-CORE-01(config)# line vty 0 15 SW-CORE-01(config-line)# login local SW-CORE-01(config-line)# transport input ssh SW-CORE-01(config-line)# exec-timeout 10 0

ip domain-name是生成 RSA 密钥的前置条件，不设会直接报错；modulus 1024在 3560 这个年代的设备上是稳妥值，设 2048 可能因为 CPU 太慢卡住几分钟；transport input ssh直接关掉 Telnet，比事后审计省心。exec-timeout 10 0是十分钟无操作自动断开，机房临时离开不至于留一个永不超时的会话。

如果crypto key generate rsa提示命令不存在，别怀疑配置写错了，是镜像不带 k9。这种情况下要么换镜像，要么退回 Telnet 加 ACL 限制源地址，没有第三条路。

3.2 基础配置：主机名、管理地址、默认网关与保存

管理 VLAN 我习惯单独划一个，不占用 VLAN 1。VLAN 1 在所有 Trunk 上默认放行，用它做管理等于把门开在走廊上。下面是上电后的第一段配置：

switch> enable switch# configure terminal switch(config)# hostname SW-CORE-01 SW-CORE-01(config)# enable secret Str0ngP@ss SW-CORE-01(config)# service password-encryption SW-CORE-01(config)# no ip domain-lookup SW-CORE-01(config)# vlan 99 SW-CORE-01(config-vlan)# name MGMT SW-CORE-01(config-vlan)# exit SW-CORE-01(config)# interface vlan 99 SW-CORE-01(config-if)# description MGMT-SVI SW-CORE-01(config-if)# ip address 10.10.99.2 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# ip default-gateway 10.10.99.1 SW-CORE-01(config)# end SW-CORE-01# write memory

no ip domain-lookup是必配项。敲错一条命令时，设备会尝试把错误字符串当域名解析，运气不好卡十几秒，机房现场能把人急死。enable secret存的是 MD5 散列，service password-encryption只是把明文密码做弱加密，两者都要开。管理地址配在 SVI 上，no shutdown不能漏，很多人配完地址发现 ping 不通，就是 SVI 还处于 administratively down 状态。

这里有个分水岭：如果这台交换机后面要开ip routing做三层转发，ip default-gateway会失效，必须改成默认路由ip route 0.0.0.0 0.0.0.0 10.10.99.1。这个坑我在第 5 章会单独展开，因为它太常见了。

3.3 VLAN 创建、Access 口与 Trunk 口

VLAN 规划要在接线之前定好，别一边配一边改。下面这段是接入层的标准骨架：

SW-CORE-01(config)# vlan 10 SW-CORE-01(config-vlan)# name OFFICE SW-CORE-01(config)# vlan 20 SW-CORE-01(config-vlan)# name GUEST SW-CORE-01(config)# interface range gigabitEthernet 0/1 - 12 SW-CORE-01(config-if-range)# description OFFICE-PC SW-CORE-01(config-if-range)# switchport mode access SW-CORE-01(config-if-range)# switchport access vlan 10 SW-CORE-01(config-if-range)# spanning-tree portfast SW-CORE-01(config-if-range)# spanning-tree bpduguard enable SW-CORE-01(config-if-range)# no shutdown SW-CORE-01(config-if-range)# exit

interface range是批量配置的关键，3560 支持逗号和连字符混写，比如gi0/1-4,gi0/7。switchport mode access要显式写，默认的 dynamic 模式会跑 DTP 协商，接终端没有任何好处。portfast让接入口跳过生成树监听学习阶段，终端插上就能通；bpduguard配合 portfast 使用，一旦接入口收到 BPDU 就 err-disable，防止有人把家用交换机接进接入层造成环路。

上行 Trunk 的配置顺序有讲究：

SW-CORE-01(config)# interface gigabitEthernet 0/24 SW-CORE-01(config-if)# description UPLINK-TO-CORE SW-CORE-01(config-if)# switchport trunk encapsulation dot1q SW-CORE-01(config-if)# switchport mode trunk SW-CORE-01(config-if)# switchport trunk native vlan 999 SW-CORE-01(config-if)# switchport trunk allowed vlan 10,20,99 SW-CORE-01(config-if)# no shutdown

switchport trunk encapsulation dot1q必须在switchport mode trunk之前敲。3560 支持 ISL 和 802.1Q 两种封装，默认是 negotiate，直接切 trunk 模式会报Command rejected: An interface whose trunk encapsulation is Auto can not be configured to trunk mode。这不是 bug，是设备要求你先明确封装类型。

native vlan 999是安全习惯。Native VLAN 的流量不打标签，两端不一致会导致 VLAN 跳跃，改成不用的 999 并保证两端一致，能挡掉一类攻击。allowed vlan显式列出放行的 VLAN，比默认全放行更可控，也方便排错时一眼看出业务 VLAN 有没有被漏掉。

3.4 VTP 与 Native VLAN：别让域号把 VLAN 库冲掉

VTP 的设计初衷是减少 VLAN 配置工作量，但在接入层它更像一个容易出问题的机制：一台 revision 号更高的交换机接进来，能把全网 VLAN 库覆盖掉，包括删除你正在用的业务 VLAN。

我的做法是全部改透明模式：

SW-CORE-01(config)# vtp mode transparent SW-CORE-01(config)# vtp domain LAB-NET SW-CORE-01(config)# vtp version 2

透明模式下设备只转发 VTP 通告，不参与同步，VLAN 库各自维护。代价是新增 VLAN 要逐台配置，但换来的是不会被别人的 revision 号误伤。如果非要用 Server/Client 模式，至少把 domain 和密码设上，并且新设备接入前先改 domain 或重置 revision。

Native VLAN 与 VTP 的配合也有个细节：Trunk 两端 native VLAN 不一致时，CDP 会报Native VLAN mismatch，但业务可能还能通，因为两边都把无标签帧归到了各自的 native VLAN。这种“能通但不对”的状态最危险，排查时容易漏。上架后show interfaces trunk一眼扫过去，native VLAN 和 allowed VLAN 两列必须两端对齐。

4. 三层转发与安全边界：SVI、HSRP、OSPF 与 ACL

二层骨架搭完，交换机还只是一台“能划 VLAN 的盒子”。真正让它变成三层网关的，是ip routing、SVI、冗余网关和路由协议这一串配置；而让它能放心上线的，是 ACL、端口安全和限速这道边界。

4.1 ip routing 与 SVI：三层转发的开关

3560 默认是二层模式，SVI 上配了地址也不会转发跨网段流量，必须全局开路由：

SW-CORE-01(config)# ip routing SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# description GW-OFFICE SW-CORE-01(config-if)# ip address 10.10.10.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown SW-CORE-01(config-if)# exit SW-CORE-01(config)# interface vlan 20 SW-CORE-01(config-if)# ip address 10.10.20.1 255.255.255.0 SW-CORE-01(config-if)# no shutdown

SVI 处于 up/up 状态是有条件的：VLAN 必须存在、VLAN 不能被 shutdown、并且该 VLAN 内至少有一个 up 的 access 口，或者有一条放行该 VLAN 的 up Trunk。三个条件缺一个，show ip interface brief里就是 down，哪怕你配了地址、敲了no shutdown也没用。这是新手最容易卡住的地方，明明配置没问题，就是不通，最后发现是那个 VLAN 一个口都没接。

开了ip routing之后，管理流量的默认网关写法要跟着变：

SW-CORE-01(config)# no ip default-gateway 10.10.99.1 SW-CORE-01(config)# ip route 0.0.0.0 0.0.0.0 10.10.99.1

ip default-gateway只在设备作为二层设备工作时生效，一旦开启路由功能，它就被忽略。远程 SSH 断连、网管平台失联，十有八九是这一条没改。

4.2 HSRP：优先级、抢占与上行跟踪

两台 3560 做网关冗余，HSRP 是最稳的选择。核心是虚拟 IP、优先级、抢占三个参数：

SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# standby 10 ip 10.10.10.254 SW-CORE-01(config-if)# standby 10 priority 110 SW-CORE-01(config-if)# standby 10 preempt delay minimum 30 SW-CORE-01(config-if)# standby 10 track 1 decrement 30 SW-CORE-01(config-if)# exit SW-CORE-01(config)# track 1 interface gigabitEthernet 0/24 line-protocol

standby 10 ip里的 10 是组号，同一个 VLAN 两端必须一致，不同 VLAN 用不同组号方便排错。优先级默认 100，主网关设 110，备网关保持默认。preempt默认关闭，不配它，主设备恢复后也不会抢回流量，会一直挂在备机上跑——这不是故障，是默认行为，很多人误以为 HSRP 坏了。

preempt delay minimum 30让设备启动后等 30 秒再抢占，避开路由协议还没收敛的时间窗，否则会出现“抢回来了但路由没准备好”的短暂黑洞。track跟踪上行口，一旦上行 down，优先级减 30，备机接管。减多少要算：主 110 减 30 是 80，低于备机的 100，才能触发切换；如果减 10 变成 100，和备机相同，谁接管就看 IP 大小了，这种配置等于没配。

验证用一条命令：

SW-CORE-01# show standby brief

输出里看 Active/Standby 角色、优先级、抢占状态和跟踪对象状态，四个字段对齐才算配好。

4.3 OSPF 与 RIP：邻居起不来先看这几项

SMI 镜像只能跑 RIP，EMI 才能跑 OSPF。RIP 配置简单，但 15 跳限制和 30 秒更新周期在现在的网络里基本只能做实验：

SW-CORE-01(config)# router rip SW-CORE-01(config-router)# version 2 SW-CORE-01(config-router)# no auto-summary SW-CORE-01(config-router)# network 10.10.10.0 SW-CORE-01(config-router)# network 10.10.20.0

version 2必须显式开，v1 是有类路由，不认子网掩码；no auto-summary关掉自动汇总，否则 10.10.10.0/24 和 10.10.20.0/24 会被汇总成 10.0.0.0/8 发出去，邻居路由表直接乱掉。

OSPF 是更现实的选择：

SW-CORE-01(config)# router ospf 1 SW-CORE-01(config-router)# router-id 10.10.0.1 SW-CORE-01(config-router)# network 10.10.10.0 0.0.0.255 area 0 SW-CORE-01(config-router)# network 10.10.20.0 0.0.0.255 area 0 SW-CORE-01(config-router)# passive-interface default SW-CORE-01(config-router)# no passive-interface gigabitEthernet 0/24 SW-CORE-01(config-router)# exit

router-id一定要手配。不配的话设备会自己选：先看有没有 Loopback 地址，没有就选活动接口里最大的 IP，这个值在运行中改起来要重启 OSPF 进程，生产环境很麻烦。network后面跟的是反掩码，0.0.0.255对应/24，写成255.255.255.0会直接报错。

passive-interface default加no passive-interface白名单，是我比较推荐的写法：默认所有接口不发送 Hello，只在上联口放开。这样接入口不会莫名其妙建立邻居，也减少了不必要的 LSA 泛洪。

邻居状态用这两条看：

SW-CORE-01# show ip ospf neighbor SW-CORE-01# show ip ospf interface gigabitEthernet 0/24

邻居卡在INIT说明单向收到 Hello，查链路；卡在2WAY在广播网络里属于正常（DR/BDR 选举），但如果只有两台设备还卡 2WAY，多半是优先级都设成了 0；卡在EXSTART/EXCHANGE优先查 MTU 是否一致，一端 1500 一端 9000 就会卡在这里，show interfaces对比一下最快。

4.4 VLAN 间访问控制：三种典型需求的 ACL 写法

企业网里 VLAN 间默认互通，但总有几个网段需要隔离。3560 支持路由 ACL（配在 SVI 的 in/out 方向）和 VLAN ACL（VACL，配在 VLAN 上），选哪个取决于你要拦的是“跨网段流量”还是“VLAN 内所有流量”。

需求一：VLAN 10 和 VLAN 20 不能互访，但都能访问 VLAN 30。用路由 ACL 配在源 SVI 的入方向：

SW-CORE-01(config)# ip access-list extended ACL-V10-IN SW-CORE-01(config-ext-nacl)# permit ip 10.10.10.0 0.0.0.255 10.10.30.0 0.0.0.255 SW-CORE-01(config-ext-nacl)# deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255 SW-CORE-01(config-ext-nacl)# permit ip any any SW-CORE-01(config-ext-nacl)# exit SW-CORE-01(config)# interface vlan 10 SW-CORE-01(config-if)# ip access-group ACL-V10-IN in

VLAN 20 的 SVI 上配一条镜像规则即可。关键在最后那句permit ip any any：扩展 ACL 末尾隐含deny ip any any，不补这一条，除了 VLAN 30 以外所有流量都会被丢掉，包括上网和 DNS。

需求二：所有 VLAN 都不能访问 VLAN 30，但 VLAN 30 可以访问其他 VLAN。这种“单向隔离”用 VACL 更省事：

SW-CORE-01(config)# ip access-list extended VACL-PROTECT-30 SW-CORE-01(config-ext-nacl)# permit ip 10.10.30.0 0.0.0.255 any SW-CORE-01(config-ext-nacl)# deny ip any 10.10.30.0 0.0.0.255 SW-CORE-01(config-ext-nacl)# permit ip any any SW-CORE-01(config-ext-nacl)# exit SW-CORE-01(config)# vlan access-map MAP-30 10 SW-CORE-01(config-access-map)# match ip address VACL-PROTECT-30 SW-CORE-01(config-access-map)# action forward SW-CORE-01(config-access-map)# exit SW-CORE-01(config)# vlan filter MAP-30 vlan-list 10,20

VACL 的action forward表示命中 permit 的放行，命中 deny 的丢弃，逻辑和路由 ACL 相反，写的时候容易绕晕。vlan filter只作用在 VLAN 10 和 20 上，VLAN 30 自己不受影响，正好实现单向。

需求三：单向访问，A 能主动访问 B，B 不能主动访问 A。用反射 ACL：

SW-CORE-01(config)# ip access-list extended A-TO-B SW-CORE-01(config-ext-nacl)# permit ip 10.10.10.0 <p> <a href="https://download.csdn.net/download/weixin_42421584/89204431" style="color:#ec7500;font-size:14px;"> 本文还有配套的精品资源，点击获取 </a> <img alt="menu-r.4af5f7ec.gif" src="https://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif" style="width:16px;margin-left:4px;vertical-align:text-bottom;cursor:text;"> </p>