简介：《思科三层交换机配置详解 以3560为例》是一份面向网络工程师、运维人员及CCNA/CCNP备考者的PDF资料，系统讲解Cisco Catalyst 3560-E系列交换机的硬件特性与配置方法。内容覆盖该系列交换机的端口密度、万兆上行链路、TwinGig SFP转换器、模块化电源、PoE供电与冗余电源等亮点，并重点演示了如何通过Console、Telnet、SSH或Web方式接入设备，完成IP地址、VLAN、端口属性、路由协议、访问控制列表及QoS等典型配置。对常用CLI命令和排错思路也有涉及，适合作为园区网或数据中心场景下三层交换机的快速上手参考。资源包为单一PDF文档，共1个文件，约591KB，目录按“功能应用—接口说明—配置案例—VLAN与端口管理”逐层展开，结构清晰，便于按需查阅。目前已有504人学习下载，适合需要快速掌握思科三层交换机配置要点的初学者，也可供有经验者对照命令复查配置细节。
1. 三层交换机值得折腾吗：3560让VLAN间路由从“绕路”变“直连”
如果你是刚接触思科设备，或者在公司里见过几台挂在机柜里呼呼转的3560，那你肯定有过一个疑问：二层交换机不是已经在跑了吗，为什么还要加个“三层”头衔？一句话说透：二层交换机只能转发同VLAN的数据，三层交换机能在VLAN之间做路由转发，相当于把“路由器”的功能塞进了交换机里。没有它，你要么用一台路由器做单臂路由，扛着几十个网段的流量跑；要么让每个VLAN自己出互联网，那得浪费多少出口带宽和公网地址。思科3560是经典的园区接入汇聚设备，用它讲三层交换机配置，既能覆盖SVI、VLAN间路由这些核心操作，又能把静态路由、OSPF、DHCP都串起来，特别适合刚接手企业网络的新人，或者准备从模拟器走向真机的工程师。下面这套配置思路，我按“先二层、再三层、再排错”的顺序讲，每一步都给可复现命令。
2. 先让交换机跑起来：VLAN、Access口和Trunk口的正确打开方式
2.1 登录与基础信息：先看清3560的软硬件再动手
配置三层交换机之前，第一件事不是敲命令，而是确认你手上这台设备到底是什么状态。3560有多个软件版本，普通版能跑OSPF、EIGRP基础路由，增强版（IP Services）才能跑组播、PBR这些高级特性。拿到一台未知的3560，我习惯先敲这几条：
Switch> enable Switch# show version Switch# show running-config Switch# show vlan briefshow version看IOS版本和交换机型号，确认是3560还是3560G，后者千兆口多。show running-config看当前生效配置，重点看有没有残留的VLAN或接口配置，避免你新配的和旧配置打架。show vlan brief直接列出现有VLAN和对应端口，这是判断“到底哪些口能通哪些口不能通”的最快途径。
生产环境里我见过不少同事上来就配，配了半天发现ping不通，最后show run一看，交换机上还留着上一任工程师的旧VLAN划分。所以这种“只看不摸”的命令，不是浪费时间，是给你后面的排错打下对照基准。如果设备是全新的，记得先改主机名，方便后续多台设备区分：
Switch(config)# hostname CORE-3560 CORE-3560(config)#主机名改了之后，配置里、日志里、远程登录提示符都会变，靠它就能快速定位自己在哪台设备上操作。标签不清晰、几十台交换机堆在一起的时候，这条命令能救命。
2.2 划分VLAN：从广播域到隔离，这两条命令必须同时做
3560上创建VLAN有两种写法，一种老式vlan database，一种新式vlan <id>。我强烈建议你直接用第二种，因为它在全局配置模式下完成，逻辑清晰，还能顺便给VLAN起名字：
CORE-3560(config)# vlan 10 CORE-3560(config-vlan)# name OFFICE CORE-3560(config-vlan)# exit CORE-3560(config)# vlan 20 CORE-3560(config-vlan)# name GUEST CORE-3560(config-vlan)# exit CORE-3560(config)# vlan 100 CORE-3560(config-vlan)# name MGMT这里创建了办公网（vlan 10）、访客网（vlan 20）和设备管理网（vlan 100）。VLAN号不一定非得是连续的，但你要有个心里谱：业务VLAN从低段开始，管理VLAN单独放，别和业务混在一起。name不是必须，但强烈建议写，因为过了三个月你自己都会忘了vlan 20是干什么用的。
创建VLAN之后，紧接着要把物理端口划进VLAN。这一步最容易被新人跳过：光建了VLAN，端口还在默认的VLAN 1里，等于白搭。端口划分有Access和Trunk两种模式，先把接终端的口设成Access：
CORE-3560(config)# interface range GigabitEthernet0/1-12 CORE-3560(config-if-range)# switchport mode access CORE-3560(config-if-range)# switchport access vlan 10 CORE-3560(config-if-range)# exit CORE-3560(config)# interface range GigabitEthernet0/13-24 CORE-3560(config-if-range)# switchport mode access CORE-3560(config-if-range)# switchport access vlan 20interface range批量处理端口，省得一个一个敲。switchport mode access强制端口走Access模式，避免自动协商带来不可控的DTP（动态中继协议）。switchport access vlan把端口绑定到指定VLAN。这里有个细节：光写switchport access vlan不写switchport mode access，如果交换机之前该口被配过Trunk，这条access配置可能不生效。所以两条命令必须成对出现，这是血泪经验。
2.3 把端口交给正确的VLAN：Access与Trunk选择的标准
Access口连接PC、打印机、IP电话这类终端设备。Trunk口连接交换机、路由器或者服务器上的双网卡绑定。3560的接口默认是动态模式（dynamic desirable），这时候接入一台思科交换机，两边可能自动协商成Trunk，导致终端接上去VLAN全乱。更稳的做法是明确指定模式：
CORE-3560(config)# interface GigabitEthernet0/24 CORE-3560(config-if)# switchport mode trunk CORE-3560(config-if)# switchport trunk allowed vlan 10,20switchport trunk allowed vlan是限制Trunk上传哪些VLAN。两台交换机之间如果只有vlan 10和vlan 20需要互通，就别放行所有VLAN，减少广播风暴和无用流量。思科默认Trunk放行所有VLAN，为了安全，把它收窄是必须的。
还有个常踩的坑是native VLAN。Trunk口上思科默认native VLAN是VLAN 1，不打标签。如果对端设备或者防火墙把native VLAN改了，两个设备会在同一个Trunk上互相不了解对方，出现“端口UP、三层不通”的怪问题。生产环境我一般不会去改native VLAN，除非安全规范要求必须改，那就两边同时改到位，并且一定要加上switchport trunk native vlan同步配置。
3. 用SVI打通三层的任督二脉：VLAN间路由与DHCP配置
3.1 为什么单臂路由不行：从性能与排错聊起
早期园区网做VLAN间通信，常用路由器单臂路由：路由器一个物理口划分多个子接口，每个子接口对应一个VLAN，用802.1Q封装标签。这样做能通，但有两个硬伤。第一，所有跨VLAN流量都要过路由器的一个物理口，带宽上限就是那个口的速率，3560是千兆口，你两个VLAN之间都是千兆流量，单臂路由跑满就成了瓶颈。第二，排错麻烦，子接口必须封装dot1q、必须指定VLAN、还得保证和对端Trunk的native VLAN一致，某一个环节错位就丢包。
3560这种三层交换机提供了SVI（Switch Virtual Interface）方案。你只要给VLAN 10建一个接口vlan10，给VLAN 20建一个接口vlan20，然后在交换机上启用IP路由，两个VLAN之间的流量就在交换机背板上直接交换转发，不经外部链路，既不占带宽，又比单臂路由稳定。这才是“三层交换机”的核心价值。
3.2 创建SVI与IP地址：让VLAN变成一个“网段”
SVI是一个虚拟接口，代表这个VLAN对应的三层网关。给SVI配上IP地址后，这个VLAN里的终端就能通过这个IP作为网关去访问其他网段。配置命令如下：
CORE-3560(config)# interface vlan 10 CORE-3560(config-if)# ip address 192.168.10.1 255.255.255.0 CORE-3560(config-if)# no shutdown CORE-3560(config-if)# exit CORE-3560(config)# interface vlan 20 CORE-3560(config-if)# ip address 192.168.20.1 255.255.255.0 CORE-3560(config-if)# no shutdown每个SVI地址就是这个VLAN的网关。终端PC写192.168.10.2/24，网关必须填192.168.10.1。注意，no shutdown必须写，因为新创建的SVI默认是down状态，很多人忘了这步，拿着show ip interface brief看到Vlan10是down/down，一查才发现是administratively down。
这里也顺手把管理VLAN的SVI配出来，方便后续远程管理：
CORE-3560(config)# interface vlan 100 CORE-3560(config-if)# ip address 192.168.100.2 255.255.255.0 CORE-3560(config-if)# no shutdown管理VLAN地址你爱用哪个网段都行，但建议单独划一个，别用业务地址段冒充管理地址，否则安全审计时容易说不清。
3.3 开启IP转发：三层交换机的核心开关
做完SVI，如果不敲一条命令，VLAN间路由依然不通，因为交换机默认只做二层转发。开启IP路由的命令是：
CORE-3560(config)# ip routing这条命令给3560打开了真实的IP路由转发功能。敲完以后，show ip route才能看到直连路由：
Gateway of last resort is not set C 192.168.10.0/24 is directly connected, Vlan10 C 192.168.20.0/24 is directly connected, Vlan20 C 192.168.100.0/24 is directly connected, Vlan100看到三条C路由，就说明SVI生效了。这时你用一台接在vlan 10里的PC去ping vlan 20的网关，应该能通。如果还不通，别急着查VLAN，先查这两台PC的网关和掩码是否正确。
从这一刻开始，3560已经从二层交换机变成了名副其实的三层交换机。你后面配静态路由、OSPF，都是以这条ip routing为基础的。忘了这条命令，你会发现在接口上敲ip address居然报错，因为二层口根本不接受三层的IP配置。
3.4 让交换机自己分配IP：DHCP配置与排除地址
VLAN间路由通了以后，网络维护最大的精力消耗来自IP地址管理。手工给每台PC敲IP容易出错、容易冲突，所以让3560做DHCP Server是常见做法。在全局配置下建立DHCP池：
CORE-3560(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.100 CORE-3560(config)# ip dhcp pool OFFICE CORE-3560(dhcp-config)# network 192.168.10.0 255.255.255.0 CORE-3560(dhcp-config)# default-router 192.168.10.1 CORE-3560(dhcp-config)# dns-server 223.5.5.5 114.114.114.114 CORE-3560(dhcp-config)# lease 0 8excluded-address是保留地址，把网关、服务器、打印机这些需要固定IP的地址段排除在外，避免DHCP分配给别的终端。default-router给客户端下发网关地址，这个网关必须和SVI地址一致，否则终端拿到配置也上不了网。dns-server按你的实际需要填，别照抄我的例子。lease 0 8指租期8小时，办公网建议4到8小时，访客网可以更短。
DHCP配置完成后，先不急着接电脑，在交换机上敲show ip dhcp binding能看到当前分配列表。如果PC拿到的是169.254开头的地址，说明DHCP没通，再去查SVI是不是down了，或者交换机端口是不是没划到对应VLAN。
4. 跨交换机甚至跨网段互联：静态路由与OSPF的最小配置
4.1 三层链路怎么做：把物理端口改成三层口
很多网络结构里，3560作为汇聚层，上面还要接核心交换机或者防火墙。这时你需要一条三层链路把3560和上层设备连起来，而不是用Trunk口传VLAN。把物理口变成三层口，命令是：
CORE-3560(config)# interface GigabitEthernet0/24 CORE-3560(config-if)# no switchport CORE-3560(config-if)# ip address 10.0.0.2 255.255.255.252 CORE-3560(config-if)# no shutdownno switchport把物理口从二层模式切换成三层路由口，此后该口直接配IP，不再处理VLAN标签。这个口本质变成一个路由器的接口，连接对端设备的互联地址。互联地址用30位掩码（/30）最省地址，两个可用IP正好给两端设备。
注意，no switchport在3560上需要IOS支持，大部分标准版都支持，但有些早期型号需要ip base或ip services特性，如果敲完提示“command not allowed”，先查特性集。另外，一个Port-channel口也可以设成三层口，做法一样，先no switchport再ip address。
4.2 静态路由：告诉交换机外面的世界怎么走
当你有多个网段，又不想让每台三层交换机都跑动态路由协议时，静态路由最直接。3560的静态路由配置很简单：
CORE-3560(config)# ip route 0.0.0.0 0.0.0.0 10.0.0.1 CORE-3560(config)# ip route 192.168.100.0 255.255.255.0 10.0.0.1第一条是默认路由，下一跳是上游防火墙或核心设备的互联地址。第二条是到管理网的静态路由，如果你管理网不在本机直连网段，就需要这样指明下一跳。静态路由的下一跳必须和本机某个三层接口在同一网段，否则路由不会生效，show ip route里那条路由会变成“非法或不可达”。
有一个非常重要的点：如果在第3章里你忘了敲ip routing，那么ip route命令虽然能输进去，但交换机不会真正用起来，因为二层交换机根本不查IP路由表。这也是很多人用Cisco Packet Tracer模拟器练了一百遍，到真机上却发现路由不生效的核心原因。
4.3 OSPF：多台三层交换机之间的动态路由
网络规模一旦超过三台三层设备，静态路由管理起来就是灾难。比如你加一个新网段，得去每台设备上敲一遍静态路由。OSPF能自动宣告网段、自动计算路径，是园区网里最常用的动态路由协议。3560上配OSPF非常经典：
CORE-3560(config)# router ospf 100 CORE-3560(config-router)# network 192.168.10.0 0.0.0.255 area 0 CORE-3560(config-router)# network 192.168.20.0 0.0.0.255 area 0 CORE-3560(config-router)# network 192.168.100.0 0.0.0.255 area 0 CORE-3560(config-router)# network 10.0.0.0 0.0.0.3 area 0 CORE-3560(config-router)# passive-interface default CORE-3560(config-router)# no passive-interface GigabitEthernet0/24router ospf 100里的100是进程号，本设备内局部标识，可以和邻设备不同。network后面跟的是一个“反掩码”，即子网掩码按位取反，/24就写0.0.0.255，/30就写0.0.0.3。这里宣告的是直连网段，不宣告乱七八糟的广播地址。把每个SVI网段都宣告进area 0，OSPF邻居就会学到这些路由。
passive-interface default是个好习惯：把所有接口默认设为被动，不在这些接口上发送OSPF hello包，只接收本地路由。然后只在你真正要和邻居建立邻接关系的三层口上启用OSPF。这样能防止内网接口频繁发送OSPF组播报文，还能减少别人误接进来形成错误邻居的风险。
两台3560之间建立OSPF邻接之后，show ip ospf neighbor能看到邻居状态变成Full，show ip route ospf能看到学习到的OSPF路由。自学的网段被互相宣告，之后你加新VLAN，只要在对应交换机上配置network宣告，全网自动收敛，这才是动态路由的价值。
5. 搜索关键词：#思科三层交换机配置# 遇到的高频坑与排查全家桶
5.1 坑一：VLAN间ping不通，为什么SVI都配了还不通？
现象：SVI地址配了，show ip route能看到直连路由，但两个VLAN下的PC互ping丢包或不通。原因最常见的不是路由，而是网关或接口问题。终端PC的默认网关没有写成交换机SVI的IP。比如Vlan10的SVI地址是192.168.10.1，PC的第4个地址如果填成了192.168.10.2但网关漏填或者填成了别的地址，跨VLAN报文就不知道该发给谁。解决办法：在PC上按静态配置指定网关，或用DHCP下发的网关来检查。还有就是二层口没划进VLAN：PC的网线插的物理口还在VLAN 1，哪怕SVI配得再对，报文进错了广播域，也到不了SVI。用show vlan brief查该物理口归属，用show interface status查端口状态，能快速定位。
5.2 坑二：Trunk口封装不匹配，和华为对接最常出的问题
现象：思科3560和华为交换机之间用Trunk口互联，show interface trunk能看到Trunk口是auto或on状态，但两边VLAN之间互通不了。原因：思科默认Trunk封装是802.1Q，测试时可能会跑ISL，但华为、H3C、锐捷只支持802.1Q。如果思科口协商成ISL了，对端根本不认识。另外，native VLAN两边必须一致。解决：在思科口上明确指定switchport trunk encapsulation dot1q。老型号3560有这条命令，新型号默认就是dot1q，不用再敲。对华为侧，确保port link-type trunk和port trunk allow-pass vlan与思科放行的VLAN一致。我在帮朋友调试混搭网络时，十次有八次是native VLAN不一致，两边都看show interface trunk，把native VLAN改成同一个，问题立刻消失。
5.3 坑三：no switchport打不上，交换机当成路由器用的边界
现象：在3560的某个物理接口上敲no switchport，提示“interface cannot be configured as routed”，或者敲进去了，但show ip interface brief显示该口还是二层。原因：有些3560的接口默认不支持三层模式，或者该接口被划进了某个Port-channel成员，或IOS特性集不支持。解决：先确认该接口是否属于某个EtherChannel，如果是，要从channel组里移除或直接删除channel，再试no switchport。再用show ver看IOS是ipbase还是ipservices，ipbase一般支持SVI和静态路由，但物理口三层模式要看具体版本。有些地方你可以不用物理口做三层，直接建一个SVI和对面用Trunk互通，效果一样，没必要死磕no switchport。
5.4 坑四：DHCP池满了或终端拿到错网段地址
现象：PC能从DHCP拿到地址，但网段是错乱的，或者拿不到。比如Vlan10的终端拿到192.168.20.x的地址。原因：交换机的VLAN配置和DHCP池不对应。很可能是Trunk口放行了所有VLAN，或者PC接口的PVID不对，比如PC物理口划到了Vlan20，但DHCP服务在Vlan10的SVI上，于是DHCP discover报文从Vlan20进来，跑到Vlan20对应DHCP池去分配。解决：查show dhcp server statistics和show ip dhcp binding，看分配出去的地址段属于哪个VLAN。再检查PC所在物理口show vlan id 20是否绑定了不该绑的口。另外，DHCP池被排除地址以外又被别的保留IP占满，也会分配不出，用excluded-address规划好保留范围。
5.5 坑五：二层口接三层终端，MAC地址漂移
现象：交换机日志大量报“mac address-table update”，某台服务器的MAC地址在两个端口之间来回跳。原因：服务器、防火墙或路由器多网卡接入交换机的不同VLAN，但内部启用了同一个MAC做冗余，或者有人私自接了一台家用路由器进来，DHCP冲突。解决：在接入端口上做switchport port-security maximum 1限制只允许一个MAC地址，能一定程度防止乱接设备。更彻底的办法是启用DHCP snooping，只信任连接合法DHCP服务器的端口，其他端口收到DHCP报文时丢弃，这样能防止私接小路由器乱发DHCP地址。3560上开启DHCP snooping的做法是全局开启、VLAN宣告信任口，具体写法如下：
CORE-3560(config)# ip dhcp snooping vlan 10,20 CORE-3560(config)# ip dhcp snooping CORE-3560(config)# interface GigabitEthernet0/24 CORE-3560(config-if)# ip dhcp snooping trust如果网络规模小，至少也给关键服务端口加上port-security：
CORE-3560(config)# interface range GigabitEthernet0/13-24 CORE-3560(config-if-range)# switchport port-security CORE-3560(config-if-range)# switchport port-security maximum 2 CORE-3560(config-if-range)# switchport port-security violation restrictmaximum 2允许两个MAC，给PC和IP电话双设备留余量。violation restrict比shutdown温柔，端口不down但丢弃违规流量，适合在排查期使用。
5.6 坑六：模拟器里配置好，真机上却生效不了
现象：用思科模拟器练了三层交换，换成真机3560后发现命令结构完全不一样。原因：模拟器默认开启ip routing，很多模拟器里的3560镜像自动支持三层转发，而真机默认路由关闭；模拟器里的接口默认全是三层口，但真机接口默认全是二层口。解决：真机上先敲ip routing，再确保接口是三层模式，即no switchport或使用SVI。另外模拟器里敲interface vlan 10后会自动创建VLAN 10，真机上必须先用vlan 10创建，否则会报错或无效果。这就是为什么建议你在模拟器上开练时，尽量用接近真实IOS版本的镜像，并且每次新建拓扑都先确认默认配置。
6. 让3560在现网活得更稳：一个来自一线的小技巧与验证习惯
6.1 先备份再动手：配置前的“后悔药”
动任何生产配置之前，我都会先把当前配置导出一份。3560支持TFTP或FTP备份，如果没有TFTP服务器，至少用show running-config把屏幕输出复制保存成一个txt文件。更正式的方式是在交换机上：
CORE-3560# copy running-config tftp: Address or name of remote host []? 192.168.100.10 Destination filename [core3560-config]? core3560-20250601.txt这条命令会把运行配置上传到TFTP服务器。万一配置改坏了，直接copy tftp: running-config或config t里粘贴回来就能还原。生产经验告诉我，花三分钟备份，能省下三小时排障。
6.2 常用验证命令记住了：show是排错第一语言
配置完三层交换后，我必查的命令是：
show ip interface brief show vlan brief show interface trunk show ip route show ip dhcp bindingshow ip interface brief一眼看出哪些SVI和物理三层口是up/up、配了什么IP。show vlan brief验证端口归属。show interface trunk检查Trunk状态和放行VLAN。show ip route确认路由表里有没有你预期的路由条目。show ip dhcp binding看实际发生了什么。这5条命令控制在两分钟内能完成全套检查，比你在PC侧反复ping要高效得多。
6.3 管理口的特殊处理：VLAN 1与native VLAN
不少人图省事，把所有端口都留在VLAN 1，然后用VLAN 1的SVI做管理。这对小实验没问题，但上了生产，VLAN 1是native VLAN，默认不打标签跨越所有Trunk链路，也是各类二层攻击最常见的载体。我的习惯是把管理VLAN单独用vlan 100（或者你喜欢的编号），然后把所有连接终端的端口的native VLAN从1改成管理VLAN之外的编号，或直接让管理SVI挂在vlan 100上。更重要的是，给VLAN 1的SVI配置一个与业务网段不同的管理地址，同时限制只有特定ACL能访问它。不过刚接触三层交换机的同事不需要一步到位，先把VLAN隔离、SVI路由、DHCP跑通，再慢慢收紧管理面。
我在最后一台真机上踩过最冤的坑，就是改配置前没copy run start，折腾到晚上断电，第二天设备回到初始配置，全机房都打不通电话。自从养成了“改三段保存一次”的习惯，再没在持久化上翻过车。3560说到底是台老而弥坚的盒子，命令就这些，坑也就那么几个，照着上面的顺序一步步验证，你也能把它调得服服帖帖。希望帮到你。
本文还有配套的精品资源，点击获取
