简介：本资源是一份面向网络工程师、高校通信/计算机专业学生及思科认证备考者的三层交换机实操指南，聚焦Cisco Catalyst 3560-E系列设备的全面配置与应用。内容系统覆盖设备硬件特性（如万兆上行、PoE供电、冗余电源）、IOS软件操作、VLAN划分、静态/动态路由（RIP/OSPF）、QoS策略、ACL安全控制、802.1X认证及配置备份恢复等核心技能，特别适合搭建企业级局域网或开展网络实验教学。资源为单个PDF文件，共1个，大小591KB，结构清晰，含15个技术模块与详细CLI命令示例，目录完整呈现从设备接入、基础配置到高级服务部署的全流程。目前已有503人学习下载，内容源自攻城狮论坛实践整理，兼具理论说明与可直接复用的操作步骤，是入门到进阶掌握三层交换机工程落地的高实用性参考资料。
1. 为什么3560三层交换机的配置总在实训现场“掉链子”？——它不是二层设备的简单升级，而是路由策略、VLAN间通信、ACL与QoS的协同黑匣子
你手头有一台Cisco Catalyst 3560，接上Console线、打开SecureCRT，敲下enable后却卡在% Access denied；或者明明配好了SVI接口和静态路由，PC之间就是ping不通；又或者在模拟器里跑通了，一上真机就发现端口状态异常、STP阻塞、DHCP relay不生效……这些不是操作失误，而是3560作为典型企业级三层交换机，其配置逻辑天然嵌套着三层转发路径、硬件ASIC查表机制、IOS版本差异和默认安全策略四重约束。它不像家用路由器点几下就能上网，也不像二层交换机只管MAC学习——3560的ip routing开关一开，整台设备就从“数据链路层转发器”变成“轻量级路由引擎”，所有VLAN间流量必须经由SVI（Switch Virtual Interface）参与路由决策，而SVI本身又受制于VLAN存在性、IP地址唯一性、ARP响应权限等隐性规则。本文不讲IOS命令字典，只聚焦真实工程场景：如何用最小有效配置让3560真正承担起部门网关、跨VLAN访问控制、基于源地址的策略路由（PBR）等核心任务，并避开那些连思科官方文档都一笔带过的硬件级坑。适合刚接手3560运维的网络工程师、备考CCNA/CCNP的实操者，以及在ENSP或Packet Tracer中反复失败后想搞清底层逻辑的实训学员。
2. 从物理上线到三层通路：3560基础配置的三步闭环验证法
3560的配置不是线性堆砌命令，而是一个“物理层→数据链路层→网络层”逐层闭环验证的过程。跳过任一环，后续所有高级功能（如策略路由、ACL限速）都会失效。我坚持用三步闭环法启动每台新3560：先确认物理连接可被识别，再验证VLAN与SVI的绑定关系是否成立，最后用真实终端测试三层可达性。这比直接抄一段“万能配置模板”可靠十倍。
2.1 物理端口状态诊断：别信show ip interface brief，先看show interfaces status
很多翻车始于误判端口物理状态。show ip interface brief只显示三层接口状态，但3560的端口可能因双工不匹配、速率协商失败或模块供电不足而处于err-disabled——此时即使配置了IP，up/up也永远不出现。
Switch# show interfaces status Port Name Status Vlan Duplex Speed Type Fa0/1 Server-DB connected 10 a-full a-100 10/100BaseTX Gi0/1 Uplink-to-Core err-disabled 1 auto auto 1000BaseT注意：
err-disabled状态常见于启用了spanning-tree bpduguard但收到非法BPDU，或配置了switchport port-security后MAC地址溢出。恢复方法不是no shutdown，而是先shutdown再no shutdown，或执行errdisable recovery cause psecure-violation（需提前启用errdisable自动恢复）。
关键参数说明：
Status列必须为connected（非notconnect或err-disabled）Duplex和Speed应为a-full/a-100（自协商成功），若显示half或10，需在两端强制设为full 100Type列确认物理介质匹配（如1000BaseT对应千兆电口，1000BaseSX对应千兆光模块）
2.2 VLAN与SVI的强绑定：为什么interface vlan 10配了IP却无法ping通？
SVI（Switch Virtual Interface）是3560实现三层转发的核心载体，但它不是“配了就生效”的虚拟接口——它必须满足三个硬性条件才能进入up状态：
- 对应VLAN必须已通过
vlan 10命令创建（不能仅靠switchport access vlan 10隐式创建） - 至少一个物理端口或Trunk端口已明确属于该VLAN（
show vlan brief中VLAN 10下有端口） - SVI接口未被
shutdown，且IP地址未与其他接口冲突
验证命令链：
Switch# show vlan brief VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active Fa0/2, Fa0/3, Fa0/4, Fa0/5 10 HR-Dept active Fa0/1, Gi0/2 20 IT-Dept active Fa0/6, Fa0/7 Switch# show ip interface brief | include Vlan Interface IP-Address OK? Method Status Protocol Vlan1 unassigned YES unset down down Vlan10 192.168.10.1 YES manual up up Vlan20 192.168.20.1 YES manual up up逻辑说明：
show vlan brief输出中HR-Dept状态为active且包含端口，证明VLAN 10已激活；show ip interface brief中Vlan10状态为up/up，说明SVI已就绪。若此处显示down/down，90%概率是VLAN未创建或无端口归属。
2.3 三层通路闭环验证：用ping和traceroute定位真实断点
配置完SVI后，必须用真实终端（非交换机自身）验证三层通路。3560自身ping成功不代表客户端可达——因为交换机内部路由表与客户端ARP表可能不同步。
标准验证流程：
- 客户端PC配置IP（如192.168.10.100/24）、网关指向SVI IP（192.168.10.1）
- 在PC上
arp -a确认已学习到网关MAC（应为3560的MAC，非其他设备） ping 192.168.10.1（测试直连网段）ping 192.168.20.1（测试跨VLAN，需ip routing已启用）- 若步骤4失败，立即在3560上执行：
若返回Switch# traceroute 192.168.20.100 source 192.168.10.1 Type escape sequence to abort. Tracing the route to 192.168.20.100 VRF info: (vrf in name/id, vrf out name/id) 1 192.168.20.100 1 msec 1 msec 1 msec* * *，说明路由表无路径或ACL拦截；若返回1 192.168.20.1 1 msec，则问题在目标端。
参数说明：
traceroute的source参数指定源IP，强制使用SVI接口发送探测包，避免因多SVI导致源地址选择错误。
3. 让3560真正承担网关职责：ip routing开启后的五项必调配置
ip routing命令看似简单，却是3560从二层交换机蜕变为三层设备的分水岭。一旦启用，IOS将激活CEF（Cisco Express Forwarding）硬件转发表，所有跨VLAN流量经SVI路由转发。但默认配置下，它几乎无法胜任生产环境网关——缺省路由未设、ICMP重定向未禁、ARP老化过长、路由协议未选型、管理接口未隔离。这五项配置必须同步完成，否则会出现“能通但极不稳定”的玄学故障。
3.1 默认路由与下一跳：为什么ip route 0.0.0.0 0.0.0.0 10.0.0.1常失效？
3560的静态路由依赖出接口可达性。若下一跳10.0.0.1不在直连网段，必须确保该地址所属网段的SVI或物理接口已up，否则路由条目不会载入路由表（show ip route中不显示）。
正确做法是绑定出接口而非单纯IP：
Switch(config)# ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/1 10.0.0.1逻辑说明：
GigabitEthernet0/1是3560连接上游核心设备的物理端口，IOS会检查该接口的链路状态及ARP表中10.0.0.1的MAC地址。若10.0.0.1不可达，路由条目仍会存在但标记为inactive（show ip route中显示[AD/Metric] via ... inactive）。
验证命令：
Switch# show ip route 0.0.0.0 S* 0.0.0.0/0 [1/0] via 10.0.0.1, GigabitEthernet0/1S*表示静态默认路由且已激活（*号代表该路由可用于转发）。
3.2 禁用ICMP重定向：避免客户端路由表被“悄悄篡改”
3560默认启用ICMP重定向（ip redirects），当检测到更优路径时向客户端发送ICMP重定向报文。但在多出口或策略路由场景下，这会导致客户端ARP缓存混乱，出现“时通时断”。
关闭命令：
Switch(config)# no ip redirects血泪经验：某银行网点3560配置双上联（主备ISP），启用ICMP重定向后，部分Windows PC自动将网关改为备用链路IP，导致业务系统超时。关闭后故障消失。
3.3 ARP老化时间调优：arp timeout 1200为何比默认4小时更合理？
3560默认ARP老化时间为14400秒（4小时）。在动态IP环境（如DHCP分配）中，客户端IP变更后，3560仍保留旧ARP条目，导致流量发往已失效MAC，表现为“能ping通网关但无法访问外网”。
建议值：
Switch(config)# arp timeout 1200 # 20分钟参数说明：
1200秒足够覆盖DHCP租期（通常24小时）的波动，又避免频繁ARP请求影响CPU。对高密度终端网络（如学校机房），可进一步降至600（10分钟）。
3.4 启用CEF加速：ip cef是三层转发性能的基石
3560的三层转发依赖CEF（Cisco Express Forwarding）构建FIB（Forwarding Information Base）和邻接表。未启用时，所有包走进程交换（process switching），CPU占用率飙升，吞吐量不足100Mbps。
启用命令：
Switch(config)# ip cef验证：
Switch# show ip cef summary IP CEF Summary: 0 prefixes (0 pending, 0 incomplete, 0 queued) 0 paths (0 pending, 0 incomplete, 0 queued) 0 adjacency entries (0 pending, 0 incomplete, 0 queued) 0 CEF entries (0 pending, 0 incomplete, 0 queued)注意：
show ip cef summary输出中prefixes和paths非零才表示CEF已生效。若全为0，检查是否遗漏ip routing。
3.5 管理VLAN隔离：为什么interface Vlan1必须shutdown？
VLAN 1是3560默认管理VLAN，但生产环境严禁使用。原因有三：
- 安全风险：VLAN 1默认允许所有端口加入，易成攻击面
- STP根桥冲突：若未手动指定根桥，VLAN 1的BID可能成为根，打乱拓扑
- 资源竞争：管理流量与业务流量共享同一SVI队列
正确做法：
Switch(config)# interface Vlan1 Switch(config-if)# shutdown Switch(config-if)# exit Switch(config)# vlan 999 Switch(config-vlan)# name MGMT-VLAN Switch(config-vlan)# exit Switch(config)# interface Vlan999 Switch(config-if)# ip address 172.16.99.1 255.255.255.0 Switch(config-if)# no shutdown提示：新SVI（Vlan999）需分配独立网段，且确保接入该VLAN的端口（如
Fa0/24）已划入VLAN 999。
4. 基于源地址的策略路由（PBR）：3560实现流量分流的硬核落地
标题中“基于源地址的策略路由”是3560高级配置的试金石。它允许根据源IP、源端口等条件，将流量导向特定下一跳，绕过传统最长匹配原则。典型场景：财务部PC（192.168.10.0/24）走专线，普通员工（192.168.20.0/24）走互联网。但3560的PBR有严格限制——仅支持set ip next-hop（不支持set interface），且必须配合route-map和ip policy在SVI接口应用。
4.1 PBR配置四要素：access-list→route-map→ip policy→SVI应用
PBR不是单条命令，而是四层指令的精确咬合：
定义匹配条件（ACL）：仅匹配源IP，不涉及目的地址
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 any创建路由映射（route-map）：关联ACL并设置动作
Switch(config)# route-map PBR-FINANCE permit 10 Switch(config-route-map)# match ip address 101 Switch(config-route-map)# set ip next-hop 10.0.1.1 # 专线网关 Switch(config-route-map)# exit在SVI接口应用策略：PBR只能应用在SVI（VLAN接口），不能用于物理端口
Switch(config)# interface Vlan10 Switch(config-if)# ip policy route-map PBR-FINANCE验证策略生效：
show route-map显示匹配计数Switch# show route-map PBR-FINANCE route-map PBR-FINANCE, permit, sequence 10 Match clauses: ip address (access-lists) : 101 Set clauses: ip next-hop 10.0.1.1 Policy routing matches: 42 packets, 3210 bytes
逻辑说明：
Policy routing matches计数器递增，证明PBR已捕获流量。若为0，检查ACL是否匹配源IP（注意反掩码写法）、route-map序列号是否正确（permit 10）、SVI是否启用ip policy。
4.2 PBR的三大硬约束：为什么你的策略总不生效？
3560的PBR有不可绕过的硬件限制，违反任一即失效：
| 约束项 | 正确做法 | 违反后果 |
|---|---|---|
| ACL必须为扩展ACL | access-list 101 permit ip ...（编号100-199） | 标准ACL（1-99）不被route-map识别，show route-map无匹配计数 |
| 下一跳必须直连 | set ip next-hop 10.0.1.1中10.0.1.0/24需有SVI或物理接口 | 下一跳不可达时，PBR静默失败，流量回退至普通路由 |
SVI必须启用ip routing | show ip protocols确认Routing Protocol is "static" | 若ip routing未开，ip policy命令被拒绝 |
避坑 / 常见问题 / 排查
现象1：
show route-map显示匹配计数为0，但ACL测试show access-lists 101命中正常
原因：ip policy route-map XXX命令未在SVI接口下执行，或执行后未exit回到全局配置模式导致命令未保存。
解决：进入interface Vlan10后，逐行输入ip policy route-map PBR-FINANCE，输入完毕后Ctrl+Z退出，再write memory。现象2：PBR生效，但财务部PC无法访问内网其他VLAN（如192.168.20.0/24）
原因：PBR仅处理“去往外部网络”的流量，any匹配包括内网地址。ACL应细化为access-list 101 permit ip 192.168.10.0 0.0.0.255 10.0.0.0 0.255.255.255（仅匹配公网段）。
解决：重写ACL，明确目的地址范围，或添加deny语句排除内网网段。现象3：启用PBR后，3560 CPU持续90%以上
原因：PBR强制所有匹配流量走进程交换（process switching），而非CEF硬件转发。3560的PBR不支持CEF加速。
解决：限制PBR应用范围——仅对关键业务IP做策略，避免any泛匹配；或评估升级至3750/3850系列（支持CEF-PBR）。
5. 配置安全加固：3560的七道防线与两个致命疏漏
3560出厂配置极度宽松，enable password明文存储、Telnet明文传输、SNMP社区字符串为public——这在实训环境中尚可容忍，但一旦接入生产网络，等于敞开大门。安全加固不是“加密码”那么简单，而是从访问控制、协议加密、日志审计到硬件防护的七层纵深防御。其中两个疏漏最致命：service password-encryption未启用导致所有密码明文可见；login block-for 120 attempts 3 within 60未配置导致暴力破解无成本。
5.1 访问控制层：Console、VTY、AUX的差异化认证
3560支持三种登录方式，每种需独立加固：
| 接口类型 | 加固要点 | 命令示例 |
|---|---|---|
| Console | 本地物理接入，必须设enable secret且禁用明文密码 | enable secret 5 $1$abc$xyzno enable password |
| VTY（Telnet/SSH） | 远程管理，强制SSHv2，禁用Telnet | line vty 0 15transport input sshlogin localexec-timeout 5 0 |
| AUX | 辅助端口（极少用），直接禁用 | line aux 0no exec |
参数说明：
exec-timeout 5 0表示5分钟无操作自动登出；transport input ssh仅允许SSH连接，telnet必须显式移除。
5.2 协议加密层：SSH密钥生成与版本锁定
3560 IOS 12.2(55)SE及以上支持SSHv2，但需手动启用RSA密钥：
Switch(config)# crypto key generate rsa modulus 1024 Switch(config)# ip ssh version 2 Switch(config)# ip ssh time-out 60 Switch(config)# ip ssh authentication-retries 2逻辑说明：
modulus 1024是最低安全要求（768已被攻破）；ip ssh version 2禁用不安全的SSHv1；authentication-retries 2限制密码尝试次数。
5.3 日志审计层：本地日志与Syslog服务器双备份
3560默认日志仅存内存，重启即失。必须导出至本地Flash和远程Syslog：
Switch(config)# logging on Switch(config)# logging buffered 100000 debugging Switch(config)# logging flash:/syslog.log Switch(config)# logging 192.168.255.100 # Syslog服务器IP Switch(config)# logging trap warnings参数说明：
buffered 100000设置内存日志缓冲区为100KB；flash:/syslog.log将日志写入Flash文件；trap warnings仅上报warning及以上级别（避免info刷屏）。
5.4 端口安全层：switchport port-security的三种违规模式
端口安全是防MAC泛洪和非法接入的核心。3560支持三种违规动作：
| 模式 | 触发条件 | 行为 | 适用场景 |
|---|---|---|---|
protect | MAC数超限 | 丢弃新MAC帧，不告警 | 低优先级接入点（如打印机） |
restrict | MAC数超限 | 丢弃+记日志+发SNMP trap | 主要办公端口 |
shutdown | MAC数超限 | 端口err-disabled | 高安全区域（如财务室） |
配置示例（Restrict模式）：
Switch(config)# interface Fa0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 2 Switch(config-if)# switchport port-security violation restrict Switch(config-if)# switchport port-security mac-address sticky注意：
sticky参数将首次学习的MAC固化为安全地址，重启后仍生效，避免每次重配。
5.5 ACL过滤层：控制平面与数据平面的分离防护
3560的ACL分为两类：
- 数据平面ACL：应用在SVI或物理端口，过滤用户流量（
ip access-group） - 控制平面ACL（CPACL）：保护交换机CPU，过滤发往CPU的协议（如SNMP、SSH）
CPACL配置（保护CPU）：
Switch(config)# control-plane Switch(config-cp)# service-policy input CP-PROTECT Switch(config-cp)# exit Switch(config)# policy-map CP-PROTECT Switch(config-pmap)# class CLASS-SNMP Switch(config-pmap-c)# police 8000 1000 conform-action transmit exceed-action drop Switch(config-pmap-c)# exit Switch(config-pmap)# class CLASS-SSH Switch(config-pmap-c)# police 4000 500 conform-action transmit exceed-action drop Switch(config-pmap-c)# exit Switch(config-pmap)# class class-default Switch(config-pmap-c)# drop Switch(config-pmap-c)# exit Switch(config)# class-map match-all CLASS-SNMP Switch(config-cmap)# match access-group 150 Switch(config-cmap)# exit Switch(config)# class-map match-all CLASS-SSH Switch(config-cmap)# match access-group 151 Switch(config-cmap)# exit Switch(config)# access-list 150 permit udp any any eq snmp Switch(config)# access-list 151 permit tcp any any eq 22逻辑说明：CPACL通过
control-plane命令绑定到CPU，限制SNMP和SSH流量速率，防止单一协议耗尽CPU资源。
5.6 时间服务层：NTP校时与时区设定
时间不同步导致日志无法关联、证书失效、ACL时间策略错乱。3560必须同步NTP：
Switch(config)# ntp server 192.168.255.10 prefer Switch(config)# ntp source Vlan999 Switch(config)# clock timezone CST 8 Switch(config)# clock summer-time CST recurring提示：
ntp source指定NTP报文从管理SVI（Vlan999）发出，避免走业务VLAN导致延迟。
5.7 硬件防护层：BPDU Guard与Root Guard的STP加固
STP攻击可致网络瘫痪。3560需在接入端口启用：
Switch(config)# spanning-tree portfast bpduguard default Switch(config)# spanning-tree guard root参数说明：
bpduguard default对所有portfast端口启用BPDU防护；guard root防止本交换机成为非预期根桥。
避坑 / 常见问题 / 排查
现象1：配置
switchport port-security后，端口频繁err-disabled
原因：sticky学习的MAC地址未保存，重启后丢失，新设备接入触发违规。
解决：执行copy running-config startup-config保存配置；或改用switchport port-security mac-address xxxx.xxxx.xxxx手动绑定。现象2：
show logging显示大量%LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan10, changed state to down
原因：VLAN 10无活动端口，SVI自动down。但若该SVI承载PBR或ACL，则策略失效。
解决：确保每个SVI至少有一个access或trunk端口归属；或配置interface Vlan10下no autostate（慎用，可能影响路由收敛）。现象3：SSH连接成功，但
show users看不到会话，show ssh显示No SSH v2 sessions
原因：crypto key generate rsa未执行，或密钥长度不足1024位。
解决：删除旧密钥crypto key zeroize rsa，重新生成modulus 1024；检查show crypto key mypubkey rsa确认密钥存在。
6. 实战技巧：用show tech-support快速定位3560的“亚健康”状态
show tech-support不是故障后的救命稻草，而是日常巡检的黄金眼。它打包输出3560所有配置、状态、计数器、日志的快照，但信息量巨大（常超10MB），新手常陷入“看了等于没看”的困境。我总结了一套三分钟速读法：聚焦CPU Utilization、Memory Utilization、Interface Status、Routing Table Size、Security Violations五个核心区块，即可判断设备是否处于亚健康状态——即尚未宕机，但已埋下隐患。
6.1 CPU利用率：阈值不是70%，而是连续5分钟>60%
3560的CPU设计为突发处理（如ARP、ACL匹配），持续高负载意味着协议栈异常。show tech-support中定位：
-- output truncated -- CPU utilization for five seconds: 65%/0%; one minute: 62%; five minutes: 68%关键指标：
five minutes: 68%> 60%即预警。常见原因：
- ACL规则过多（>50条）且未优化顺序（应将高频匹配规则置顶）
- 启用
debug命令未关闭（undebug all）- NTP服务器不可达，持续重试
6.2 内存利用率：关注Processor Pool而非I/O Pool
3560内存分为Processor（CPU进程）和I/O（接口缓冲）两池。show tech-support中：
Processor Memory Total: 128000K bytes Used: 85200K bytes (66%) Free: 42800K bytes I/O Memory Total: 16384K bytes Used: 12000K bytes (73%) Free: 4384K bytes血泪经验：
Processor Pool> 70%时，Telnet/SSH响应延迟明显；I/O Pool> 80%时，端口input queue drops激增。解决方案：
- 清理冗余配置（
no ip http server、no snmp-server community public）- 降低日志级别（
logging trap warnings）- 升级IOS至内存优化版本（如
c3560-ipservicesk9-mz.122-55.SE12.bin）
6.3 接口状态：input errors与output buffer failures的隐性关联
show tech-support的Interface区块中，重点扫视：
FastEthernet0/1 is up, line protocol is up Input errors: 123456 Output buffer failures: 0 CRC: 123456 Giants: 0 Runts: 0玄学关联：
Input errors与CRC数值完全相等，99%是双工不匹配（一端auto一端full）；Output buffer failures> 0，说明该端口流量超过背板带宽，需检查QoS策略或更换千兆上联。
6.4 路由表大小：Total number of routes超2000即需警惕
3560路由表容量有限（约4000条），但实际可用远低于此。show tech-support中：
IP Routing Table Total number of routes: 1842 Directly connected: 12 Static: 5 RIP: 0 OSPF: 0 BGP: 0边界值：
Total number of routes> 2000时，新增静态路由可能失败（% Invalid next hop）。对策：
- 合并明细路由为汇总路由（
ip route 10.0.0.0 255.255.0.0 10.0.1.1替代10条10.0.1.0/24）- 删除未使用的静态路由（
no ip route ...）
6.5 安全违规：Security violations是端口安全的晴雨表
show tech-support末尾的Security区块：
Security violations: 12 Port Fa0/1: 8 violations Port Fa0/2: 4 violations排查路径：
show port-security interface Fa0/1查看违规类型（Security violation count）show mac address-table dynamic interface Fa0/1查看当前学习MAC- 若MAC数=最大值，检查是否有人插Hub或VMware虚拟网卡
我养成了每周五下午执行一次show tech-support | redirect flash:/tech-$(date).txt的习惯，用Python脚本自动解析上述五项指标，生成红/黄/绿三色报告。这比等告警邮件更早发现隐患——毕竟，3560不会告诉你它累了，它只会突然%SYS-2-CONTROLLER_ERR然后沉默。希望帮到你。
本文还有配套的精品资源，点击获取
