做网络这行绕不开交换机和路由。哪怕你以后主攻安全、无线、数据中心头一年干的大部分活还是跟交换机打交道。H3CNE的GB0-192考试里交换机原理这块占比不算低更重要的是它直接决定你后面排障时是“瞎猜”还是“有逻辑地猜”。很多人配置命令背得滚瓜烂熟但问他交换机为什么能把帧送到正确的端口反而说不上来。这篇文章我就把交换机工作原理这件事讲透从MAC地址表到VLAN再到STP防环最后用一套完整配置实例把原理串起来。适合正准备考H3CNE的同学也适合刚入行、配置全靠抄的网工新人。1. 先搞懂交换机到底在干什么很多人觉得交换机很简单——插上电线接上就能上网。但真要往深了问它为什么能做到“该往哪发就往哪发”而不是像老式集线器那样全网广播这就要从交换机的本质说起。1.1 从集线器到交换机一次“降噪”革命早期局域网用集线器它是个物理层设备不管收到谁的信号都会从所有端口原样发出去。一台电脑发数据全网都听得见一个100M的集线器实际可用带宽被所有设备瓜分人一多就卡成PPT。交换机和集线器最大的区别就在于交换机是二层设备它懂“数据帧”里的地址信息能根据目的MAC地址把帧“精准投递”到对应的端口其他端口不受打扰。这个转变听起来只是技术升级实际是网络从“共享式”走向“交换式”的关键一步。每台设备独享端口带宽A发往B的数据C和D完全感知不到既提升了效率也顺带做了隔离。这也是为什么后来所有园区网接入层都换成了交换机没有谁再用集线器。1.2 交换机在数据通路里的角色要理解交换机的工作得先把它放在整个网络分层里看。OSI七层模型里交换机主要工作在第二层数据链路层处理的对象是以太网帧。帧的头部有三个关键字段目的MAC地址、源MAC地址、类型/长度字段后面才是IP数据包。交换机拿到一个帧只关心目的MAC和源MAC不关心里面的IP是多少。这就决定了它的转发能力很强因为二层处理不像三层路由那样要查最长前缀匹配几个硬件查表动作就完成了。一台框式交换机每秒能转发的帧数可以到亿级别靠的就是这套简单高效的第二层查表转发机制。注意区分三层交换机是一个“二层交换三层路由”的复合体。做VLAN间通信时要启用三层接口但普通端口间转发走的还是二层的查MAC表逻辑。核心结论交换机的本职工作就是维护一张MAC地址表然后根据这张表做出转发决策。所有的二层功能——VLAN隔离、生成树防环、端口安全——都是围绕这个核心机制展开的。2. 交换机工作原理的三大核心机制2.1 MAC地址学习交换机怎么“记住”每台设备MAC地址表是交换机的心脏。它记录了三条信息MAC地址、对应的VLAN、从哪个端口学到的。刚开机的交换机MAC地址表是空的它一个设备都不认识。那它怎么知道主机A接在哪个端口上答案是“偷听”。任何一台设备只要发送数据帧帧里有源MAC地址交换机就把这个源MAC和接收端口记录到表里。这个过程叫MAC地址学习是交换机最基本的自学习能力。举个例子主机A接在GE1/0/1第一次发包时交换机发现源MAC是00e0-fc00-0001从GE1/0/1进来于是把这条表项写进MAC地址表。[H3C]display mac-address MAC Address VLAN ID State Port 00e0-fc00-0001 1 Learned GE1/0/1注意State字段有几种状态Learned表示动态学到的Static是手工配置的静态表项还有黑洞MAC等特殊情况。考试里经常考这个动态表项有老化时间默认300秒H3C设备静态表项不会老化适合绑定关键服务器。2.2 数据帧转发决策转发、泛洪、丢弃的三岔路口学习的目的是为了转发。当交换机收到一个数据帧时它会看目的MAC然后在MAC地址表里查如果查到了并且对应的端口和接收端口不是同一个就转发到该端口如果查到了但对应的端口就是接收端口说明目的设备跟源设备在同一端口下直接丢弃正确做法如果查不到就对除了接收端口以外的所有端口泛洪flooding这个“三选一”就是交换机工作的核心逻辑。泛洪是很多人不理解的地方——为什么查不到要广播因为交换机不知道目的设备在哪只能“广而告之”等对方回复。这有点像你在小区里找一个人不知道他家门牌号只能在小区的广播里喊一嗓子。泛洪会带来一个问题广播帧目的MAC全F、组播帧、未知单播帧都会泛洪。VLAN可以把泛洪限制在一个虚拟广播域内这就是后来VLAN技术的意义。泛洪增多会消耗交换机CPU和链路带宽所以攻击者经常伪造大量不存在的MAC地址来制造泛洪属于典型的安全威胁。2.3 MAC地址老化与漂移两个容易忽略的细节MAC表不是永久有效的。因为设备可能被挪到其他端口或者网卡被拔掉如果表项一直保留交换机会把帧发给错误的端口。所以动态表项有老化时间到期后删除。设备继续通信就会重新学习这个机制保证了MAC表能自我修正。MAC地址漂移就要麻烦一些。正常情况下同一个MAC只能在一个端口下稳定存在。如果发现同一个源MAC频繁从一个端口跳到另一个端口说明网络里出现了环路或者有人在做二层攻击。我记得有一次用户报障说办公网时通时断上去一看交换机日志里全是MAC地址漂移告警。最后定位是一台服务器开了双网卡没有做bonding又用普通网线把两个口接到了交换机上导致交换机在两个端口间反复学习同一个MAC。排查这种问题一条命令就够了[H3C]display mac-address mac-move解决思路也很直接要么把服务器做成链路聚合eth-trunk要么干脆拔掉一边的线。这个案例充分说明原理学得好排障才有方向而不是盲目重启。3. VLAN交换机如何做到“广播隔离”交换机自学习解决了精准转发但二层网络有个天然弱点广播域太大。几百台电脑在同一个VLAN里任何一台发ARP广播其余全部会收到既浪费带宽也埋下安全隐患。VLAN的提出就是为了把一个大二层切成多个逻辑隔离区域。3.1 VLAN的本质与802.1Q标签VLAN虚拟局域网的核心思想是在以太网帧里打一个“标签”这个标签用12bit表示VLAN ID范围是1到4094。交换机内部按VLAN ID收发数据同一个VLAN的帧才能互相转发不同VLAN的帧即使从同一个端口进出也是“鸡同鸭讲”。这就是为什么“隔VLAN如隔山”。两个用户哪怕接在同一台交换机上分属不同VLAN二层是完全隔离的不能直接通信。要通信必须走三层——用VLAN接口SVI做网关经过路由转发。考试里常考802.1Q的格式在标准以太网帧的源MAC后面插入4字节Tag其中包含2字节Tag Protocol Identifier固定0x8100和2字节Tag Control Information低12位就是VLAN ID。记住这几个数字0x8100、12bit、4094基本就能应付选择题。3.2 Access口、Trunk口和PVID一张表讲透接口类型是VLAN配置里最容易绕晕的地方。我见过不少新手命令敲完了VLAN就是不通最后发现是接口模式理解错了。Access口用于连接终端设备只允许一个VLAN通过。Trunk口用于交换机之间互连允许多个VLAN通过。这里有个关键概念PVIDPort VLAN ID它决定“不带标签的帧进入端口后属于哪个VLAN”。Access口收到不带标签的帧打上PVID对应的VLAN标签发出时剥掉标签。所以终端感知不到VLAN的存在。Trunk口收到不带标签的帧同样打上PVID发出时只有PVID对应的VLAN会去掉标签其他VLAN保留标签。这是VLAN原理最重要的一个知识点。很多互为Trunk的两台交换机如果默认PVID都为1那么VLAN 1的帧在链路上是不打标签的这时两端PVID都必须同为1否则帧会进错VLAN。我自己习惯的做法Trunk口上把PVID改成某个专用管理VLAN或者干脆把管理VLAN的allow-pass去掉避免VLAN 1的管理流量和业务流量混在一起。接口类型用途接收不带标签帧发送帧典型配置对象Access接终端打上PVID标签剥掉标签PC、打印机、服务器Trunk交换机互联打上PVID标签PVID的VLAN剥标签其余保留交换机之间、交换机与路由器单臂路由3.3 三层交换与VLAN间路由的延伸VLAN隔离之后用户要互访怎么办三层交换机的作用就来了。每个VLAN对应一个VLAN接口这个接口就是该VLAN内PC的网关。PC发往其他网段的数据先送到网关MAC三层交换机再查路由表把包从目标VLAN的三层接口发出去。H3C配置里给VLAN接口配IP就是起一个SVI[H3C]interface Vlan-interface 10 [H3C-Vlan-interface10]ip address 192.168.10.1 255.255.255.0注意SVI所在的VLAN必须存在而且至少有一个物理端口属于该VLAN否则三层接口会处于down状态。这是初学者最容易踩的坑三层口UP不起来先查VLAN里有没有物理端口。VLAN部分的核心是理解“标签在链路中传递”的逻辑。Access管的是终端到交换机的这段Trunk管的是交换机之间的这段。搞清楚标签在哪打上、在哪剥掉才是真的懂VLAN而不是只知道敲命令。4. 环路与STP交换网络不能没有“防环”VLAN解决了广播域隔离的问题但它挡不住一个更隐蔽的威胁——二层环路。拓扑里只要出现一条冗余链路广播风暴就会把整个VLAN打瘫。4.1 广播风暴是怎么发生的想象一个只有三台交换机的三角形拓扑。A发一个广播帧给BB泛洪给CC又泛洪回A……这个帧在网络里不断转发放大带宽瞬间被占满交换机CPU飙升全网瘫痪。整个过程只要十几秒。更坑的是这种故障在初期“看起来”不是故障——所有端口都是UP的指示灯都在闪但业务就是卡死。很多人第一反应是重启设备重启完确实通了但过一阵又卡死因为环路一直存在。环路产生的原因多数是人为的。有两台交换机之间本来只有一根线为了“增加带宽”就再加一根或者服务器做了双网卡没做链路聚合直接两根网线插到不同交换机上。这些操作在二层网络里都等同于制造环路。要防环靠人盯着不现实必须协议来解决这就是STP生成树协议的由来。4.2 STP的选举逻辑和端口状态STP的思想不复杂在存在环路的网络里选出一个根桥然后计算各交换机到根桥的最短路径把非最短路径上的端口阻塞掉。物理链路还在只是逻辑上“断路”了。这样网络中不再有环冗余链路平时不工作一旦主链路断开备份链路自动激活。STP选根桥的关键参数是Bridge ID由优先级加MAC地址组成数值小的成为根桥。默认所有交换机优先级都是32768所以MAC最小的设备往往是根桥。考试常考的几点BPDU报文交换机之间交换的协议报文包含Root ID、Cost、Bridge ID等根端口Root Port非根桥上到达根桥开销最小的端口指定端口Designated Port每条链路上负责转发BPDU的端口阻塞端口Blocking不转发数据但持续监听BPDU的端口端口状态转换是STP里最容易考的选择题。从Blocking到Listening到Learning再到Forwarding是个逐步收敛的过程。Learning状态比较特殊它不转发数据帧但已经开始学MAC地址表了目的就是为了在转发前把MAC学到位避免一开始就产生不必要的泛洪。4.3 RSTP与MSTP现代网络的默认选择STP收敛要30到50秒这在现代网络里太慢了。RSTP快速生成树把收敛时间压缩到秒级以内端口状态简化为Discarding、Learning、Forwarding三种最关键的是引入了P/A协商机制指定端口可以快速进入转发态根本不用等待。如果网络里有多个VLAN我用的是MSTP多生成树。它可以把多个VLAN映射到不同实例每个实例各自跑一棵生成树实现不同VLAN的负载分担。比如VLAN 10和VLAN 20的流量走不同的冗余链路互不浪费。H3C设备上开启MSTP很简单[H3C]stp mode mstp [H3C]stp region-configuration [H3C-mst-region]region-name h3c [H3C-mst-region]instance 1 vlan 10 [H3C-mst-region]instance 2 vlan 20 [H3C-mst-region]active region-configuration这里有个很容易忽略的细节多台交换机的域配置必须完全一致域名、实例映射否则MSTP会认为它们不在同一个域生成树计算会出错。不少生产事故就是因为有人改了某一台的实例映射没同步到其他设备。STP这块我的经验是考试把端口状态和选举逻辑背熟工作里必须会用display stp和display stp brief看端口角色。如果端口状态全是Blocking先别慌这可能恰恰说明防环在工作。5. 一个配置实例把原理串起来完整走一遍前面讲了这么多原理不落到配置上总是虚的。下面我用一个最常见的接入场景把MAC学习、VLAN隔离、链路聚合这几点串起来演示一遍。5.1 场景规划一台交换机三个部门VLAN假设一台H3C S5130交换机接了一个办公区。规划如下VLAN 10销售部网关192.168.10.1/24VLAN 20技术部网关192.168.20.1/24上联口GE1/0/24做Trunk对接核心交换机同时允许VLAN 10和20通过GE1/0/1到GE1/0/10划入VLAN 10GE1/0/11到GE1/0/20划入VLAN 20这个场景很典型核心就是VLAN隔离加Trunk上联。三层网关放在核心交换机上接入交换机纯做二层转发。5.2 完整配置命令与含义先创建VLAN再把端口批量划进去[H3C]vlan 10 [H3C-vlan10]name sales [H3C-vlan10]quit [H3C]vlan 20 [H3C-vlan20]name tech [H3C-vlan20]quit [H3C]interface range GE1/0/1 to GE1/0/10 [H3C-if-range]port access vlan 10 [H3C-if-range]quit [H3C]interface range GE1/0/11 to GE1/0/20 [H3C-if-range]port access vlan 20 [H3C-if-range]quit上联口做Trunk[H3C]interface GE1/0/24 [H3C-GE1/0/24]port link-type trunk [H3C-GE1/0/24]port trunk permit vlan 10 20 [H3C-GE1/0/24]quit这里的port access vlan 10就是Access口模式下指定PVID等价于告诉交换机这个口的帧属于VLAN 10。上联口只放行VLAN 10和20其他VLAN的帧一律丢弃这是最低限度的安全策略。配置完要验证看MAC表是否正常学习[H3C]display mac-address vlan 10 [H3C]display vlan 10正常的话display vlan 10会看到GE1/0/1到GE1/0/10都在这个VLAN下状态是UP。如果端口没UP查网线和物理状态如果端口UP但没有MAC学习那就要怀疑终端网卡没有正常发包。5.3 扩展Eth-Trunk链路聚合的配置如果这台交换机到核心之间流量很大单条千兆链路不够可以加一条物理链路做成Eth-Trunk。链路聚合之后两条链路在逻辑上变成一条stp视为一个端口不会形成环路。配置如下[H3C]interface Bridge-Aggregation 1 [H3C-Bridge-Aggregation1]port link-type trunk [H3C-Bridge-Aggregation1]port trunk permit vlan 10 20 [H3C-Bridge-Aggregation1]quit [H3C]interface GE1/0/23 [H3C-GE1/0/23]port link-aggregation group 1 [H3C-GE1/0/23]quit [H3C]interface GE1/0/24 [H3C-GE1/0/24]port link-aggregation group 1 [H3C-GE1/0/24]quit注意三点两端的聚合组ID不要求一致但成员端口数量要对应成员端口的速率、双工模式必须一致否则协商不上如果成员口上原来有Access配置要先改掉否则加不进聚合组。Eth-Trunk配置完成后display link-aggregation summary会看到对应的聚合口状态为UP成员口是Selected。链路聚合和堆叠是两个概念容易混。Eth-Trunk是把多条物理链路绑成一个逻辑链路两台设备还是独立的IRF堆叠是把多台设备虚拟成一台统一管理。H3C的热词里经常出现“华三交换机堆叠配置”指的就是IRF。初学者先把Eth-Trunk练熟再学堆叠会容易很多。6. 常见故障与排查技巧实录原理学完配置也敲过接下来才是真正考验人的环节出了问题怎么查。二层网络的故障排查基本离不开那几条display命令。6.1 一套标准的二层排障思路我自己的排障顺序固定下来之后基本没有绕弯路先看物理层端口状态是否为UP有没有CRC错误协商速率正确吗再看MAC表终端有没有被正确学到学到的端口对不对然后看VLAN端口VLAN对不对Trunk放行列表全不全最后看STP端口角色是不是Forwarding有没有被阻塞对应的命令依次是[H3C]display interface GE1/0/1 [H3C]display mac-address [H3C]display vlan [H3C]display stp brief这个顺序其实就是数据流的方向物理层不通过后面全免谈物理通了看二层学习二层学了看VLAN归属VLAN对了看STP有没有挡路。每次排障我都按这个节奏走既快又不容易漏。6.2 三个真实场景ping不通、广播风暴、MAC漂移场景一PC接上交换机能获取地址但ping不通网关。拿到这个故障先查物理层和VLAN。一般情况下问题出在PC所接的端口被划到了错误VLAN或者上联Trunk没有放行该VLAN。有人习惯配置完不看告警结果端口被stp阻塞了也不知道。display stp brief能一眼看出端口是Discarding还是Forwarding。场景二整网突然很卡交换机所有端口指示灯狂闪。典型的广播风暴特征。先断开所有冗余链路观察现象是否消失。如果断开某条链路后恢复了说明环路就在这条链路上。确认环路后开启STP让协议自动阻塞冗余口。切记不要指望重启设备能解决底层环路重启只是治标。场景三服务器IP能通但时断时续日志出现大量MAC漂移。前面说过的服务器双网卡场景。先display mac-address mac-move看漂移记录找到涉及的两个端口然后把其中一边物理口关闭或将网卡做链路聚合。如果是有人私接小交换机导致下挂设备MAC漂移则需要开启端口安全策略限制单端口MAC地址数量[H3C]interface GE1/0/1 [H3C-GE1/0/1]port-security max-mac-count 56.3 考试与工作的分界线命令记多少才够H3CNE的GB0-192考试重点在选择题和情景题对命令记忆的要求不算高很多题目给的是简写形式选正确选项即可。但工作中用到的命令范围其实很收窄翻来覆去就那么几条display mac-address、display vlan、display stp brief、display link-aggregation summary、display interface、display current-configuration。把这六条吃透比背一百条冷门命令有用得多。H3C的模拟器叫HCLH3C Cloud Lab集成了S5820V2等主流交换机镜像。官方提供免费下载装完就能跑VLAN、STP、Eth-Trunk这些实验跟真实设备的命令行几乎一致。有条件的话再配合SecureCRT或Xshell做终端连接。刚开始学的时候我建议每个知识点都跑一遍模拟器验证原理加实操双管齐下记忆会牢固很多。7. 给备考者和新人的几个实用心得7.1 先建体系再抠细节交换机原理这块的知识点本身不深但知识点之间关联很密。MAC学习和STP、VLAN和三层路由、链路聚合这些内容单独看都不难难的是理解它们怎么配合。我建议学习时先画一条链路PC发帧、交换机查MAC表、VLAN决定广播域、STP保证无环、Trunk跨设备传递、网关完成跨VLAN路由。这一条链路走通了整个交换机的知识框架就立住了。7.2 配置前先规划别急着敲命令很多新人的习惯是拿到设备直接敲命令配到一半发现VLAN规划有问题又从头开始。我把踩过的坑总结成模板先画拓扑图标注VLAN划分、网关地址、Trunk口和STP域再动手配置。多花十分钟规划能省下一个小时的返工时间。7.3 原理题要会“翻译成白话”考试中遇到概念辨析题我的技巧是把技术名词翻译成生活场景。比如“未知单播泛洪”就是“不知道门牌号只能挨家挨户问”“STP根桥选举”就是“小区里选一个物业中心所有消息都通过它中转”。能把原理用大白话讲给别人听这才叫真掌握了。最后再分享一个小技巧。学交换机原理的时候很多人忽视了一个好帮手——抓包工具Wireshark。我在模拟器里让两台PC互相ping然后在Trunk口做镜像抓包亲眼看到带VLAN Tag的帧长什么样比看十遍教材都管用。技术这东西眼见为实。等你亲眼见过802.1Q标签在链路里的样子再去考试和排障心里会踏实得多。