Cisco 3560三层交换机接入层配置：VLAN、SVI、HSRP与ACL实战

简介：面向网络工程师与思科设备初学者的三层交换机配置文档，围绕 Catalyst 3560-E 系列展开，重点解决企业级交换机的功能理解与基础配置问题。全包仅含 1 个 PDF 文件，大小约 591KB，内容以文档形式系统整理设备概述、IOS 软件、万兆上行链路、TwinGig SFP 转换器、模块化电源、PoE 供电与冗余电源等硬件要点。配置部分覆盖 Console、Telnet、SSH、Web 接入方式，运行状态查看，3560 接口说明与配置，交换机启动及基本配置案例，端口和 MAC 地址表设置，VLAN 特性与配置，并延伸至路由协议、ACL 安全、QoS 策略、备份恢复等操作。目录按功能模块分层，便于按章节查阅和对照实验。已有 508 人学习，适合作为网络工具类参考资料，帮助读者建立从设备认知到配置落地的完整思路，也便于排查端口、VLAN 与路由相关配置问题。

1. 为什么接入层要自己承担三层网关

三层交换机配置这件事，很多人第一次真正接触它，是因为接入层换了一台 48 口设备：办公、语音、监控三个网段要隔开，监控网段只允许运维网段访问，其余一律拒绝。直觉方案是找一台路由器做单臂路由、再加防火墙过滤；在中小型园区里，更省事的做法是让 3560 系列三层交换机自己承担 SVI 网关和 ACL 过滤，一台设备同时把二层接入与三层转发处理掉。这套方案解决三个诉求：网段划分可控、网关双活不掉线、跨网段访问有明确边界。适合正在做网络课程设计、毕业设计，或者要交付一份接入层配置方案的读者。三层交换机配置看着是敲命令，实际七成工作量在顺序上：先定能力边界，再铺二层，最后开三层和安全。

2. 设备能力与配置基线：3560 系列的端口形态、电源与特性集怎么定

先把设备能干什么摸清楚，再谈怎么配。这一步跳过的人，后面十有八九会在「为什么 router ospf 敲不进去」或者「48 口 PoE 全开为什么掉电」上卡住。选型不是挑最贵的，是让端口数、上行带宽、供电预算三件事同时兜住未来三年的接入需求。

2.1 端口形态、上行链路与电源组合

3560 系列里带 E 后缀的机型，端口形态基本是 24 口或 48 口千兆电口，加 2 个 X2 万兆上行槽位，型号后缀 TD 表示纯数据、PD 表示支持 PoE。表格化之后更容易看清差异：

上行那一栏是这套方案里最容易被低估的部分。X2 槽位可以插万兆模块，也可以插一个 X2 转双 SFP 的转换模块（TwinGig），把一个万兆槽位拆成两个千兆光口。这个设计对预算敏感的园区很友好：一期先上千兆上行接核心，二期业务涨了，把转换模块拔下来换成万兆模块，接入层交换机不用动，配线间不用改造。我在做课程设计时一般会把这个演进路径写进方案文档，评审老师看到的不是「买了一台交换机」，而是「有一套可扩展的接入层规划」。

电源是第二个坑点。这台设备只有一个电源插槽，可选 1150W 交流、750W 交流、265W 交直流几种规格，PoE 机型必须配 PoE 电源。24 口 PoE 机型在 750W 电源下可以同时点亮 24 个 15.4W 全功率端口；48 口 PoE 机型想做到 48 口全功率，得上 1150W 电源（740W PoE 预算）。如果只是给 IP 电话和无线 AP 供电，实际单口功耗往往在 7～8W，那 48 口用 750W 电源做智能电源管理也够，但要在方案里把预算算清楚——按 48 × 7.7W 估算，留出余量。再往上一层是高可用：一台冗余电源系统可以给多台交换机做备用供电，主电源故障时透明切换，电源模块支持热插拔。

转发能力这边，32Gbps 交换矩阵、38.7Mpps 包转发是千兆机型的数据，另有低配版本是 17.6Gbps / 13.1Mpps 和 8.8Gbps / 6.6Mpps。MAC 地址表最多 12000 条，单播路由 11000 条，组播路由和 IGMP 组 1000 条，MTU 可配到 9000 字节、巨型帧 9018 字节。这些数字在毕设答辩里很有用：当被问到「这台设备能不能撑住三个 VLAN、三百个终端」时，直接拿表说话，比说「应该没问题」有说服力得多。

2.2 特性集分水岭：IP Base 与 IP Services 决定你能配什么

同一台硬件，装不同软件镜像，能力天差地别。这一步没确认，后面所有路由配置都是空中楼阁。

镜像激活靠许可证文件，交换机启动时读取许可证类型来决定放开哪些特性。这意味着升级特性集不一定要换硬件，换许可证、重启即可。我一般会在方案文档里单独列一行「设备软件基线」，写清每台设备当前镜像和计划升级的镜像，避免配置到一半发现 OSPF 敲不进去只能干瞪眼。

2.3 一份可以直接抄的配置基线

不管后面配什么业务，先有一份基线。这份基线解决的是「设备能被安全地管起来」，而不是业务功能。顺序上我习惯先做不可逆的、再做可逆的：先关掉不必要的服务，再开管理通道。

enable configure terminal hostname SW-A-3F enable secret Str0ng!Pass service password-encryption no ip domain-lookup ip domain-name lab.local ! 管理账号与 SSH，禁用明文 telnet username netops privilege 15 secret NetOps!2024 ip ssh version 2 line vty 0 15 transport input ssh login local exec-timeout 10 0 logging synchronous exit ! 关闭未使用端口，避免误插 interface range gigabitEthernet 0/41 - 48 shutdown description UNUSED-RESERVED exit ! 端口因错误被关闭后自动尝试恢复 errdisable recovery cause bpduguard errdisable recovery cause psecure-violation errdisable recovery interval 300 end write memory

enable secret与enable password的区别在于前者做哈希，后者明文，别混用。no ip domain-lookup是为了避免敲错命令时设备去解析域名、命令行卡住几十秒——这个细节百分之八十的初学者都遇到过，属于典型的现象诡异、原因简单。errdisable recovery这两行是整个基线里最值钱的两行：端口因为 BPDU Guard 触发或者端口安全违规被自动关闭后，300 秒会自己回来，不用半夜跑到机房插拔网线。

管理地址放在独立的 VLAN 99，接口配好之后别忘了默认网关。这里有个容易混淆的点：三层交换机一旦开启ip routing，ip default-gateway就失效了，必须写成默认路由。基线阶段还没开路由功能，用ip default-gateway没问题，但这一行要在方案里标注「开启路由后替换为 ip route 0.0.0.0 0.0.0.0」。

3. 二层底座：Console 开局、VLAN 划分与 Trunk 的落地顺序

二层是所有问题的地基。VLAN 划错、Trunk 封装不一致、Native VLAN 两端不匹配，任何一个都会表现为「网不通」，而现象完全一样，排查时极其折磨人。这一章按「先能登录、再划网段、最后加固接入侧」的顺序推。

3.1 从 Console 到 SSH 的最小可管路径

新设备开箱只有一个办法进去：Console 线接上，终端软件设 9600-8-N-1，敲回车看到Switch>。给设备起名、配管理地址、开 SSH，这三件事做完才算脱离现场。

configure terminal interface vlan 99 description MGMT ip address 10.10.99.11 255.255.255.0 no shutdown exit ip default-gateway 10.10.99.1 ! 验证 end show ip interface brief show ip ssh

interface vlan 99创建的是一个 SVI，它的 up 条件是：VLAN 99 在 VLAN 数据库里存在，并且至少有一个处于 up 状态的端口属于 VLAN 99 或允许该 VLAN 通过 Trunk。所以配完 SVI 发现line protocol是 down，先别怀疑地址配错，去看有没有端口把 VLAN 99 带起来——把上行 Trunk 的 allowed 列表里加上 99，或者临时把某个接入口划进 VLAN 99。

SSH 能否连上，取决于三件事：ip ssh version 2已配、crypto key generate rsa生成过密钥、VTY 下transport input ssh。第二条经常被漏，漏了的表现是show ip ssh显示 SSH 未启用。密钥长度选 1024 以上，课程设计环境 1024 够用，实际项目按现行规范走。

3.2 VLAN 划分、Access/Trunk 与 VTP 的取舍

VLAN 规划要在打命令之前定完，包括 VLAN 号、名字、网段、网关地址和用途。落地的时候，VLAN 名字虽然是可选项，但强烈建议写——三个月后回来看vlan 20，名字叫 VOICE 和名字为空，排查效率差一个量级。

vlan 10 name OFFICE vlan 20 name VOICE vlan 30 name CAMERA vlan 99 name MGMT exit ! 接入端口：静态 access，开 PortFast 与 BPDU Guard interface range gigabitEthernet 0/1 - 16 switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable no shutdown exit ! 上联端口：静态 Trunk，限定允许列表 interface gigabitEthernet 0/49 description UPLINK-TO-CORE switchport trunk encapsulation dot1q switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,20,30,99 switchport nonegotiate no shutdown exit ! VTP 用透明模式，避免误删全网络 VLAN vtp mode transparent vtp domain CAMPUS vtp version 2

switchport nonegotiate关掉 DTP 协商，是安全基线的一部分：不让别人插一台设备上来就自动变成 Trunk。native vlan 999把未打标签的流量扔进一个不存在的 VLAN，防止 Native VLAN 跳帧攻击，同时强制两端必须一致——不一致的话 Trunk 能起来，但 VLAN 内流量就是不通，这是最难查的一类故障。

VTP 我一般直接用透明模式。服务器模式在实验室里很爽，一台配完全网同步；但在真实环境里，一台设备误接入、配置号更高的域名一冲，整个 VLAN 数据库被清空，接入层瞬间瘫痪。透明模式下每台设备自己管自己的 VLAN，多打几行命令换一份安心，这笔账怎么算都值。

3.3 接入侧加固：端口安全、PVLAN 与 802.1X

接入层最脆弱的不是上行，是墙面信息面板。任何一个工位都可能被插上私接路由器或者随身 Wi-Fi，所以这一层的策略要写死。

端口安全用 sticky MAC 学习，把首次学到的地址钉在配置里：

interface range gigabitEthernet 0/1 - 16 switchport port-security switchport port-security maximum 2 switchport port-security mac-address sticky switchport port-security violation restrict switchport port-security aging time 30 switchport port-security aging type inactivity exit

maximum 2是给 IP 电话 + PC 串接留的口子。violation restrict会丢弃违规帧并计数，不会直接把端口关掉导致大面积断网；如果环境严格，可以改成shutdown，但一定要配合前面基线里的errdisable recovery。

同一 VLAN 内主机互访需要控制时，用私有 VLAN 做二层隔离，只留一个上联口能三层出去：

vlan 300 private-vlan isolated vlan 301 private-vlan primary private-vlan association 300 exit interface gigabitEthernet 0/10 switchport mode private-vlan host switchport private-vlan host-association 301 300 exit interface vlan 301 private-vlan mapping 300 exit

需要按身份控制接入时，上 802.1X。这套配置在不同软件版本上命令有差异，新版本用authentication开头的命令，老版本用dot1x开头的命令，方案里要写清目标版本。

aaa new-model radius server RAD1 address ipv4 10.10.99.20 auth-port 1812 acct-port 1813 key RadiusKey!2024 exit aaa authentication dot1x default group radius dot1x system-auth-control interface range gigabitEthernet 0/17 - 40 authentication host-mode multi-domain authentication port-control auto dot1x pae authenticator authentication event fail action authorize vlan 999 authentication event no-response action authorize vlan 999 exit

host-mode multi-domain允许同一端口上电话进语音 VLAN、PC 进数据 VLAN，各自认证互不干扰；event fail action authorize vlan 999把认证失败的终端扔进隔离 VLAN，只给一个 Portal 地址，比直接拒绝体验好得多。这两个事件动作在实际部署里是「后悔药」，没有它，认证服务器一挂全楼断网。

4. 三层转发与互通控制：SVI、HSRP、路由协议和 ACL 的配合

二层通不代表三层通。开了 SVI 之后，最容易出现的情况是「同网段能 ping，跨网段不通」，而原因往往只是一个ip routing没敲。这一章把三层转发拆成四件事：开路由、做网关冗余、跑动态路由、用 ACL 划边界。

4.1 SVI 与 VLAN 间路由的三步

三层交换机的 VLAN 间路由靠 SVI 实现，本质是每个 VLAN 一个虚拟接口做网关。顺序是：开全局路由功能 → 配 SVI 地址 → 指默认路由。

ip routing interface vlan 10 ip address 10.10.10.1 255.255.255.0 no shutdown exit interface vlan 20 ip address 10.10.20.1 255.255.255.0 no shutdown exit interface vlan 30 ip address 10.10.30.1 255.255.255.0 no shutdown exit ! 开启 ip routing 后，ip default-gateway 失效，用默认路由代替 ip route 0.0.0.0 0.0.0.0 10.10.99.1

三步里最容易忘第一步。ip routing是全局开关，默认关闭，不敲的话所有 SVI 只当管理接口用，跨网段流量一律不转发。判断方法很简单：show ip route里如果只有直连网段、没有C以外的条目，而 SVI 状态都是 up/up，那就去看全局配置有没有ip routing。

默认路由这一行也有个隐形前提：下一跳必须可达。如果 10.10.99.1 不在任何直连网段里，路由表里这条会是不可用状态，show ip route能看到但流量出不去。管理 VLAN 和上联口要规划在同一网段，或者让上联口用三层端口配地址。

4.2 HSRP 双网关与故障切换

单网关的设备一挂，整个 VLAN 的终端全部失联。HSRP 用两台设备共享一个虚拟 IP 和虚拟 MAC，终端只认虚拟地址，主设备故障时备设备接管，终端无感知。

! 主设备 track 1 interface gigabitEthernet 0/49 line-protocol interface vlan 10 standby version 2 standby 10 ip 10.10.10.254 standby 10 priority 110 standby 10 preempt delay minimum 120 standby 10 track 1 decrement 20 exit ! 备设备 interface vlan 10 standby version 2 standby 10 ip 10.10.10.254 standby 10 priority 100 standby 10 preempt exit

几个参数值得展开。standby version 2支持更多组和 IPv6，两端版本必须一致，不一致的表现是各说各话、双活。priority 110比备机默认的 100 高，主机才抢得动。preempt delay minimum 120是血泪经验：设备重启后路由表还没收敛完就抢回主角色，流量过来了却转发不出去，白掉两分钟；延迟 120 秒等 OSPF 收敛完再抢占，切换才平滑。track绑定上行口，上行断了自动降 20，备机升主。

验证只认一条命令：show standby brief。三个 VLAN 三组 HSRP，输出里Active和Standby要交叉分布——VLAN 10 主机在 A、VLAN 20 主机在 B，这样两台设备都在转发，没有一台闲着的备份机。

4.3 RIP 与 OSPF 的落地差异

接入层三层交换机要不要跑动态路由，取决于规模。三五个网段、一条上联，静态路由就够了；多台三层设备互联、需要负载均衡和快速收敛，才上动态路由。

! RIP：配置简单，收敛慢，适合小规模 router rip version 2 no auto-summary network 10.10.0.0 passive-interface default no passive-interface gigabitEthernet 0/49 exit

! OSPF：需要 IP Services 特性集 router ospf 1 router-id 10.10.99.11 passive-interface default no passive-interface gigabitEthernet 0/49 network 10.10.10.0 0.0.0.255 area 0 network 10.10.20.0 0.0.0.255 area 0 network 10.10.30.0 0.0.0.255 area 0 network 10.10.99.0 0.0.0.255 area 0 exit

两段的共同点是passive-interface default加单独放开上联口。这个写法比逐个把接入 VLAN 设成 passive 更安全：新加一个业务 VLAN 时忘了改配置，也不会把 OSPF Hello 发到终端网段里去，省了一次翻车。router-id建议手工指定成管理地址，不指定的话设备会自己挑一个接口地址，多台设备间容易撞。

RIP 和 OSPF 的差别在验收时特别明显：拔掉一条上联，RIP 可能要等几十秒才切换，OSPF 通常几秒内收敛。如果毕设里要做「链路故障切换」这个演示点，用 OSPF 效果好得多。

4.4 用 ACL 控制 VLAN 之间谁能访问谁

ACL 是三层交换机最有价值的部分，也是方案里最能体现设计思路的地方。三种典型策略，写法不一样，挂的方向也不一样。

案例一：VLAN 10 与 VLAN 20 互不访问，但都能访问 VLAN 30。做法是在两个 SVI 的入方向挂同一份 ACL：

ip access-list extended BLOCK_10_20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255 deny ip 10.10.20.0 0.0.0.255 10.10.10.0 0.0.0.255 permit ip any any exit interface vlan 10 ip access-group BLOCK_10_20 in exit interface vlan 20 ip access-group BLOCK_10_20 in exit

SVI 上的in表示「进入该 SVI 的三层流量」，也就是从该网段发起、要往其他网段去的流量。两个网段各挂一次，互访双向都堵死，各自访问 VLAN 30 不受影响，因为最后那条permit ip any any兜住了。这里有个隐性细节：ACL 末尾默认隐含 deny，如果不写permit ip any any，配完这一条整个 VLAN 只能访问本网段。

案例二：所有 VLAN 不能访问 VLAN 30，但 VLAN 30 可以访问其他所有 VLAN。挂在 VLAN 30 的出方向最省条目：

ip access-list extended PROTECT_V30 permit ip 10.10.30.0 0.0.0.255 any deny ip any 10.10.30.0 0.0.0.255 permit ip any any exit interface vlan 30 ip access-group PROTECT_V30 out exit

为什么挂out而不是in：out方向的流量是「从交换机发往 VLAN 30 主机」的，外部进来的流量要想到达 VLAN 30，必然走这个方向。第一条permit ip 10.10.30.0 ... any让 VLAN 30 自己发起的会话不受影响，第二条把外部主动访问挡在外面，第三条放行其他。这个顺序不能调，调了要么内部出不去，要么外部进得来。

案例三：单向访问，VLAN 10 可以主动访问 VLAN 20，VLAN 20 不能主动访问 VLAN 10。用自反 ACL 实现，靠reflect生成临时表项、evaluate引用：

ip access-list extended FROM_V10 permit tcp 10.10.10.0 0.0.0.255 any reflect REFLECT10 permit icmp 10.10.10.0 0.0.0.255 any reflect REFLECT10 deny ip any any exit ip access-list extended FROM_V20 evaluate REFLECT10 deny ip any any exit interface vlan 10 ip access-group FROM_V10 in exit interface vlan 20 ip access-group FROM_V20 in exit

reflect在 VLAN 10 发起连接时动态生成一条反向表项，允许回程包；VLAN 20 主动发起的流量匹配不到任何表项，直接被deny掉。这套写法在硬件平台上会占用 TCAM 资源，自反表项数量和超时时间都要在方案里写明，别指望它能扛住几万条并发。

5. 避坑排查：五处一配就翻车的地方和它的因

配置命令本身不难，难的是配完之后不通，而且不通的样子长得一模一样。这一章按「现象 → 原因 → 解决」把项目里最高频的五处翻车点拆开，每一条都是真实踩过的。

5.1 Trunk 起来了 VLAN 不通：封装、Native VLAN 和允许列表

现象：两端show interfaces trunk都显示 trunking，但 VLAN 10 的主机互相 ping 不通，同交换机内部 VLAN 10 却正常。

原因有三个层次。第一，封装没显式指定，某些机型默认协商成 ISL，另一端是 dot1q，协商能成但打标方式不同。第二，两端 Native VLAN 不一致，未打标签的帧被扔进不同 VLAN，VLAN 1 的管理流量和一些老设备的帧会丢。第三，allowed vlan列表里根本没放行这个 VLAN，而 Trunk 状态照样显示 trunking——这是最隐蔽的一条。

解决：两端都写switchport trunk encapsulation dot1q（支持多封装的机型必须写）、switchport mode trunk、switchport nonegotiate，Native VLAN 统一成一个不承载业务的空闲 VLAN，allowed vlan显式列出业务 VLAN 号。排查时先看show interfaces trunk的Vlans allowed and active那一行，有没有目标 VLAN，比猜快十倍。

5.2 SVI 配好还是不通：路由没开、特性集不够、SVI 没起来

现象：管理地址能 ping 通，SVI 状态 up/up，地址也在，但跨网段就是不通。

原因通常三条。一，ip routing没开，三层交换机退化成一个带 IP 的二层设备。二，设备装的是 IP Base 镜像，router ospf 1敲进去直接报错，而不是「配了不生效」。三，SVI 虽然是 up/up，但对应的 VLAN 里没有任何活动端口，或者上行 Trunk 没放行该 VLAN。

解决：按show ip route→show ip interface brief→show interfaces trunk的顺序看一遍。show ip route里出现目标网段的直连条目，说明路由功能正常；show ip interface brief里 SVI 的 status 列是 up 而 protocol 列 down，说明 VLAN 里没活动端口；两个都正常还不通，去看 Trunk 的 allowed 列表。

注意：特性集不足时的报错信息可能是% Invalid input detected at '^' marker，非常像打错字，很容易被当成拼写错误反复重敲。先show version确认镜像的 Software 特性行，比怀疑自己手残高效。

5.3 HSRP 双活或频繁切换：抢占、版本和优先级

现象：两台设备的同一个 VLAN 同时是 Active，或者日志里反复出现状态切换。

原因：双活通常是standby version两端不一致，或者配置的组号不同；频繁切换通常是优先级只差一点点、上行口 flapping 触发 track 反复升降，或者preempt没配延迟、设备重启后运行时间还短就抢回主角色。

解决：两端强制standby version 2，组号按 VLAN 号映射（VLAN 10 用组 10，VLAN 20 用组 20），主机优先级 110 备机 100，主机必须配preempt delay minimum 120。验证用show standby brief加debug standby events，但 debug 要在维护窗口开，HSRP 的日志刷起来能淹掉整个终端。

5.4 端口限速配了不生效：方向和挂载点选错

现象：policy-map 配好了，show policy-map interface有命中计数，但实际带宽没被限住，或者限的是反方向。

原因：三层交换机只支持入方向应用service-policy input做限速，出方向通常要靠队列整形；另外 ACL 匹配的是「进入该接口」的流量，挂到 Trunk 上去限某个 VLAN 的上行，方向判断反了就成了限下行的行为。还有一种情况是全局mls qos没开，策略图能配但不生效。

解决：先确认mls qos已启用，再把分类 ACL 写清楚，明确「限的是哪个源到哪个目的」。挂载点选在上联 Trunk 的input方向，才是限制「从接入侧往上行发」的流量。限速参数里police 20000000 375000表示平均 20Mbps、突发桶 375000 字节，突发给得太小会导致 TCP 吞吐上不去，实测时用大文件传输看稳定值，别用 ping 判断。

5.5 端口安全加 802.1X 上线后大面积掉线

现象：策略下发完，一两个小时后整层楼陆续报网络不可用，show interfaces status里大片err-disabled。

原因有三。端口安全的 sticky MAC 老化时间和终端的休眠唤醒节奏不匹配，PC 睡眠、换网卡、Wi-Fi 和有线切换都会重新学习，超过maximum就直接违规。802.1X 认证失败或者 RADIUS 不可达时没有配置事件动作，默认是拒绝，等于全端口关门。语音 VLAN 没单独放行，IP 电话作为第三方设备没有 802.1X 客户端，认证过不去，连带 PC 一起断。

解决：端口安全的maximum按实际串接设备数给（电话 + PC 至少 2），违规动作先用restrict观察计数，稳定后再考虑shutdown。802.1X 必须配authentication event fail action authorize vlan和no-response action authorize vlan，把失败的终端扔进隔离 VLAN 而不是直接掐线。语音设备要么用 MAB 按 MAC 放行，要么开multi-domain让电话和数据流分别认证。上线节奏上，先在两三个端口做试点，跑满一周再批量推——这一条是我用一次全校断网换来的。

6. 验收与答辩：一份能过评审的验证清单

配置敲完不等于方案交付。评审看的从来不是命令数量，而是「你怎么证明它是对的」。我通常会把验收拆成三层：二层通、三层通、策略生效，每一层对应固定的验证命令和预期输出，做成表格随方案一起交。

答辩环节最容易被问的两个问题，提前准备好答案。第一个是「你这套配置如果上联断了会怎样」——现场拔掉 Trunk，展示 HSRP 切换和 OSPF 收敛，用show standby brief的变化说话，比背概念强。第二个是「为什么用 VLAN 30 挂 out 方向的 ACL，而不是 in」——把 4.4 里那个顺序逻辑讲清楚：out 方向过滤的是发往该网段的流量，permit 自己网段在前、deny 外部在后，顺序错了策略就废了。这类问题答不上来，前面配得再对也会被判定为「抄的」。

演示顺序建议固定：先展示 VLAN 和 Trunk 的二层状态，再 ping 同网段验证接入，再 ping 跨网段验证 SVI，然后演示 ACL 拦截（用扩展 ping 指定源地址，ping 10.10.30.10 source vlan 20这种写法一定要会，否则没法证明 ACL 是你在控制而不是碰巧不通），最后拔线演示冗余。

从那以后我每次交方案，验收清单都强制走一遍，一条不落地打勾，哪怕某条明显「肯定没问题」。翻车最多的从来不是复杂配置，是那些你确信不用看的switchport access vlan。希望帮到你。

本文还有配套的精品资源，点击获取