摘要：今天要说的就是“三层交换机”，它处在OSI七层模型的第三层，所以叫三层交换机。关于三层交换机的这些配置要点，可以说是相当厉害了，全知道的怕是只有我这样的十年老网工
号主：老杨丨11年资深网络工程师，更多网工提升干货，
中午好，我的网工朋友。
“交换机”这个关键词可以说一直都是关注的焦点。
广义的交换机（switch）就是一种在通信系统中完成信息交换功能的设备，它像是“开关”一样的存在。
交换机没出现之前，我们常用的就是HUB集线器。用它的话，同一时刻网络上只能传输一组数据帧的通讯，如果发生碰撞还得重试，很不高效。
但交换机不同，它不仅有网桥、集线器和集线器的所有功能，还提供了更先进的功能，比如如虚拟局域网（VLAN）和更高的性能。
根据功能的不同，交换机分为二层交换机和三层交换机
今天要说的就是“三层交换机”，它处在OSI七层模型的第三层，所以叫三层交换机。关于三层交换机的这些配置要点，可以说是相当厉害了，全知道的怕是只有我这样的十年老网工
今日文章阅读福利：《 华为交换机开局配置一本通 》
顺手发个好东西！网工必备资料！！
私信发送暗号“一本通”，即可获取这份优质PDF资源。
三层交换机是一种能够执行第二层（数据链路层）和第三层（网络层）功能的网络设备。
它不仅能够像传统的二层交换机那样快速转发数据帧，还能够在网络层对数据包进行处理和路由，从而实现高效的VLAN间通信。这种能力使得三层交换机成为现代企业网络中不可或缺的一部分。
01三层交换机的工作原理和技术特点
VLAN间路由：三层交换机可以在不同的VLAN之间执行路由功能，而无需额外的路由器设备。高性能转发：相比传统路由器，三层交换机能够以接近线速的速度进行数据包的转发，显著提高了网络性能。集成的安全特性：许多现代三层交换机内置了防火墙、访问控制列表（ACLs）、端口安全等安全功能，有助于保护网络免受未经授权的访问和恶意攻击。QoS支持：高级的三层交换机还提供了服务质量（QoS）功能，允许网络管理员对流量进行优先级划分，确保关键应用和服务获得所需的带宽。单臂路由器是一种配置方法，其中一台路由器通过一个物理接口连接到交换机，并通过该接口上的多个子接口来实现不同VLAN之间的路由。这种方法通常用于不需要高性能路由的小型网络环境中。
01 单臂路由与多层交换的优点:
成本较低，因为它只需要一台路由器和一条物理链路。简化了网络设计，减少了所需的硬件数量。三层交换机可以在接近线速的情况下执行路由操作，因此比传统的路由器更快。所有的路由和交换功能都集中在一台设备上，简化了网络管理。许多高端三层交换机支持冗余电源和模块化设计，提高了系统的可靠性和可用性。可以轻松添加新的VLAN或端口，而不需要增加额外的硬件。性能受限于路由器的处理能力。配置相对复杂，需要在路由器上为每个VLAN配置子接口。创建所需的VLAN，并将其分配给相应的端口。为每个VLAN创建一个逻辑接口（通常称为VLAN接口或SVI），并为其分配IP地址。启用IP路由功能，以便三层交换机能够识别并路由不同VLAN之间的流量。如果需要动态路由，可以配置路由协议如RIP、OSPF或BGP等。04 配置示例
创建VLAN:
switch(config)# vlan 10switch(config-vlan)# name Marketingswitch(config-vlan)# exitswitch(config)# vlan 20switch(config-vlan)# name Engineeringswitch(config-vlan)# exit配置端口到VLAN:
switch(config)# interface gigabitethernet 0/1switch(config-if)# switchport mode accessswitch(config-if)# switchport access vlan 10switch(config-if)# exitswitch(config)# interface gigabitethernet 0/2switch(config-if)# switchport mode accessswitch(config-if)# switchport access vlan 20switch(config-if)# exit配置VLAN接口:
switch(config)# interface vlan 10switch(config-if)# ip address 192.168.10.1 255.255.255.0switch(config-if)# no shutdownswitch(config-if)# exitswitch(config)# interface vlan 20switch(config-if)# ip address 192.168.20.1 255.255.255.0switch(config-if)# no shutdownswitch(config-if)# exit启用路由功能:
switch(config)# ip routing配置路由协议:
switch(config)# router ospf 1switch(config-router)# network 192.168.10.0 0.0.0.255 area 0switch(config-ROUTEr)# network 192.168.20.0 0.0.0.255 area 0switch(config-router)# exit完成以上步骤后，三层交换机就能够实现不同VLAN之间的高效路由，并且可以根据网络需求选择合适的路由协议。
服务质量（Quality of Service, QoS）是网络管理中的一个重要概念，旨在确保关键业务流量得到优先处理，从而提高整体网络性能。
在现代网络中，各种应用和服务共享有限的带宽资源，而QoS机制可以帮助网络管理员有效地管理和优化这些资源。
01 不同类型的QoS策略
分类（Classification）：根据数据包的特征（如源IP地址、目的IP地址、端口号等）将流量分为不同的类别。标记（Marking）：为分类后的流量打上标签，以便后续的策略能够识别并对其进行处理。排队（Queuing）：为不同类别的流量分配不同的队列，以确保优先级较高的流量能够更快地被传输。限速（Rate Limiting）：限制特定类别的流量速率，避免某一类流量占用过多带宽而影响其他流量。整形（Shaping）：平滑流量速率，以确保流量不会超过预定的最大速率，从而避免拥塞。02 如何提高网络性能
首先，我们需要定义一组分类规则来确定哪些数据包属于特定的流量类别。这些规则可以基于源IP地址、目的IP地址、端口号等。根据定义的分类规则创建QoS策略，并指定这些规则下的数据包应该如何处理。将QoS策略应用到相应的接口上。03 具体配置示例
定义分类规则:
switch(config)# class-map type inspect VOICEswitch(config-cmap)# match protocol udp any 16384-32767switch(config-cmap)# exit配置QoS策略:
switch(config)# policy-map type inspect VOICE_POLICYswitch(config-pmap)# class VOICEswitch(config-pmap-c)# set dscp efswitch(config-pmap-c)# police rate 1000000 conform-action transmit exceed-action dropswitch(config-pmap-c)# priority level 1switch(config-pmap-c)# exit应用QoS策略:
switch(config)# interface gigabitethernet 0/1switch(config-if)# service-policy input VOICE_POLICYswitch(config-if)# exit在这个示例中，我们定义了一个名为VOICE的分类规则，用于匹配所有使用UDP协议且端口号在16384至32767之间的数据包。
接着，我们创建了一个策略映射VOICE_POLICY，当数据包匹配上述条件时，将被标记为DSCP值EF（Expeditious Forwarding，即优先转发），并且设置了每秒不超过1Mbps的流量限制，超出部分将被丢弃。最后，我们将这个策略映射应用到了接口gigabitethernet 0/1的输入方向上。
完成以上步骤后，所有符合定义的语音流量将被标记为优先级较高，并受到限速保护，从而确保语音通信的质量不受其他类型流量的影响。
04 策略路由策略路由（Policy-Based Routing, PBR）是一种高级路由技术，它允许网络管理员根据特定条件（如源IP地址、目的IP地址、协议类型等）来指定数据包的路由路径。
与传统的基于目的地的路由不同，PBR可以根据预设的策略将数据包导向不同的下一跳地址，从而实现更灵活的流量管理和优化。
01 策略路由的应用场景
负载均衡：通过将流量分散到多个出口链路上，可以实现网络负载的均衡。
服务质量保障：对于某些关键业务流量（如视频会议），可以通过策略路由将其优先发送到特定的链路上，以保证其服务质量。
安全策略实施：可以使用策略路由将来自特定源IP地址的数据包定向到防火墙或入侵检测系统进行检查。
02 如何配置策略路由
首先，我们需要定义一组匹配条件来确定哪些数据包将遵循策略路由规则。这些条件可以包括源IP地址、目的IP地址、端口号等。根据定义的匹配条件创建策略路由规则，并指定这些规则下的数据包应该如何路由。将策略路由规则应用到相应的接口上。03 具体配置示例
定义匹配条件:
switch(config)# ip access-list extended MARK_TRAFFICswitch(config-ext-nacl)# permit tcp any host 192.168.10.1 eq 80switch(config-ext-nacl)# exit创建策略路由规则:
switch(config)# class-map type inspect MARK_TRAFFICswitch(config-cmap)# match access-group name MARK_TRAFFICswitch(config-cmap)# exitswitch(config)# policy-map type inspect ROUTE_POLICYswitch(config-pmap)# class MARK_TRAFFICswitch(config-pmap-c)# set ip next-hop 192.168.100.1switch(config-pmap-c)# exitswitch(config-pmap)# exit应用策略路由:
switch(config)# interface gigabitethernet 0/1switch(config-if)# service-policy input ROUTE_POLICYswitch(config-if)# exit在这个示例中，我们定义了一个名为MARK_TRAFFIC的访问控制列表，用于匹配所有发往IP地址192.168.10.1端口80的TCP数据包。
接着，我们创建了一个策略映射ROUTE_POLICY，当数据包匹配上述条件时，将被重定向到IP地址192.168.100.1。最后，我们将这个策略映射应用到了接口gigabitethernet 0/1的输入方向上。
完成以上步骤后，所有发往192.168.10.1:80的TCP数据包将被策略路由到IP地址192.168.100.1，而不是按照默认路由进行转发。
来源：网络工程师俱乐部
