主备堆叠三层网络速成理解¶

面向“要尽快能看懂、能画出来、能大致配出来”的同学。
默认你只对 IP、交换机、路由器这些词有点印象，但还没形成体系。

一、先搞清楚：我们到底要搭一张什么样的网？¶

目标网络长这样（文字版）：

核心层：两台核心交换机做 堆叠（Master + Standby），承担所有网关和对外出口。
汇聚层：每栋楼/每个区域 1–2 台 汇聚交换机，上联到核心堆叠，下联多个接入。
接入层：一堆 接入交换机，每个接电脑、AP、摄像头等终端。
出口：核心再接一台防火墙/出口路由器，上网或接上级网络。

一句话总结：

终端 → 接入 → 汇聚 → 核心堆叠 → 出口
二层在下面跑，三层网关和路由集中在核心堆叠。

只要你能：

画出上面的三层结构；
说清每一层干什么；
大致能说出“这台 PC 上网时，数据从哪走到哪”，

那就已经入门成功了。

二、从“数据是怎么走的”一口气串起来¶

以“办公室一台 PC 访问外网”为例，用最关键的 5 步串联：

PC → 接入交换机（Access 口）
PC 发 ARP 找网关，或者直接发往网关 IP。
报文打到接入交换机上某个 Access 端口，被打上所属 VLAN，比如 VLAN 10（办公网）。
接入交换机二层转发到汇聚
接入到汇聚是 Trunk 口，允许 VLAN 10、VLAN 99 等多个 VLAN 通过。
报文在链路上传输时，带上 VLAN 标签（10）。
汇聚交换机继续二层转发到核心堆叠
汇聚到核心是 Eth-Trunk + Trunk，多条物理口捆成一条逻辑上联。
报文仍然带着 VLAN 10 标签被转发到核心堆叠。
核心堆叠三层网关处理
核心上有 VLANIF 10（三层接口），IP 就是 PC 配的网关，比如 192.168.10.254。
PC 到其它 VLAN 或外网的流量，都会先打到这个网关。
核心查路由表，决定下一跳：是去内网某段，还是缺省路由丢给防火墙。
核心 → 防火墙（出口）→ 运营商/上级网络
对“所有我不认识的网段”，核心有一条默认路由 0.0.0.0/0 指向防火墙。
防火墙做 NAT、安全策略后，再把流量发到运营商。

先牢牢记住这条链路，比死记硬背命令有用多了：

PC → 接入（Access） → 汇聚（Trunk） → 核心堆叠（网关 + 路由） → 出口

三、10 个关键名词，一次讲清¶

1. MAC 地址 & IP 地址¶

MAC：像“网卡身份证”，只在同一二层网络内用来找设备。
IP：像“门牌号 + 小区号”，跨网通信都看 IP。

记忆：MAC 找“门”，IP 找“楼”。

2. 网关（Gateway）¶

某个网段设备要找“外网段”的目标时，必须先把包丢给的 三层设备接口。
核心堆叠上通常会有多个 VLANIF：
VLANIF 10：办公网关
VLANIF 20：服务器网关
VLANIF 30：访客网关

记忆：“不在我这个小区的，都先找门卫（网关）问路”。

3. VLAN¶

把一堆物理接入口，逻辑上切成几个“互相隔离的二层小区”。
同一 VLAN 内广播互通，不同 VLAN 默认不互通。

记忆：VLAN = 在同一台/几台交换机里划出不同小区。

4. Access 口¶

用来接 PC、打印机这类终端。
属于一个固定 VLAN，进出报文都是不带标签（Untagged）。

记忆：“终端只管插上网线，其它交给交换机”。

5. Trunk 口¶

常用于交换机之间、交换机到核心/路由器的上联。
可以承载多个 VLAN，链路上的报文带 VLAN 标签（Tagged）。

记忆：“大马路上跑很多小区的车，每辆车挂一个小区牌子（VLAN ID）”。

6. PVID¶

端口默认 VLAN ID。
进来的“没挂牌”的车（不带 VLAN 标签的报文），会自动挂上 PVID 对应的标牌。

7. 路由表 & 最长前缀匹配¶

每条路由：目的网段 + 掩码 + 下一跳/出接口 + 来源/优先级。
查路由时：谁的掩码更长（更具体），就选谁。

记忆：“先找最精确的地址，再看来源优先级”。

8. 缺省路由 `0.0.0.0/0`¶

当路由表里没有更精确的网段匹配时，就走这一条。
常用来“把所有未知网段丢给出口防火墙”。

9. 堆叠（Stack）¶

多台交换机通过专用端口 + 协议，虚拟成一台“大交换机”。
带来三大好处：
高可用：主设备挂了，备用顶上。
可扩展：增加成员，相当于多插了几块“扩展板”。
易管理：一个管理 IP、一份配置。

10. 堆叠角色：Master / Standby / Slave¶

Master：主控板，大脑。
Standby：备用主控，大脑备份。
Slave：业务板，负责转发。

记忆：一台机框交换机：1 主控 + 1 备用 + 多块业务板。

四、一步步搭出一张“最小可用”主备堆叠网络¶

下面不是某厂商真实命令，而是“步骤级”的思路，你可以对照任何厂商 CLI 去实现。

第一步：核心堆叠先起来¶

准备两台支持堆叠的核心交换机，规划好：
堆叠端口和堆叠 ID；
谁做 Master，谁做 Standby（可以靠优先级/手动指定）。
连接堆叠线，完成堆叠配置和重启。
确认：
逻辑上只看到一台设备；
成员状态：一台是 Master，一台是 Standby；
堆叠链路状态正常。

心里要有的画面：

“我现在有了一台大号的三层交换机，只不过是两台物理设备拼在一起。”

第二步：在核心上规划 VLAN 和网关接口¶

按典型场景来：

VLAN 10：办公网
VLAN 20：服务器网
VLAN 30：访客网
VLAN 99：管理网

在核心堆叠上做三件事：

创建上面的 VLAN。
为每个 VLAN 创建三层接口（VLANIF）并配置 IP（网关）：
VLANIF 10 → 192.168.10.254/24
VLANIF 20 → 192.168.20.254/24
VLANIF 30 → 192.168.30.254/24
VLANIF 99 → 192.168.99.254/24
配置一条缺省路由指向出口：
0.0.0.0/0 → 防火墙内侧 IP，比如 192.168.99.1。

做到这里，你已经有了“一台能当全网网关的核心设备”。

第三步：核心 ↔ 汇聚之间的上联¶

在核心堆叠上，从每台成员各挑 1–2 个接口，与汇聚做 Eth-Trunk（链路聚合）。
把这条聚合口设为 Trunk：
放行业务 VLAN（10、20、30）和管理 VLAN（99）。
在汇聚交换机上做对称配置：
下联核心的口也做 Eth-Trunk + Trunk；
同样放行业务 VLAN + 管理 VLAN。

要点：

只要是“交换机 ↔ 上级交换机”，通常都是 Trunk 或聚合 + Trunk。

第四步：汇聚 ↔ 接入之间的上联和下联¶

对每个接入交换机：

下联终端的口：
配成 Access；
按部门/用途划进对应 VLAN（10、20 或 30）。
上联汇聚的口：
配成 Trunk；
放行该接入需要承载的业务 VLAN + 管理 VLAN。

在汇聚交换机上，对应这些上联也配成 Trunk，并放行同样的 VLAN。

五、常见疑惑用场景一次消除¶

1. “为什么我配了 VLAN，终端还是不通别的网段？”¶

排查顺序：

终端 IP/掩码/网关是不是在正确网段？
终端接的端口是不是 Access，并且划进了对应 VLAN？
接入到汇聚、汇聚到核心的 Trunk 口上，有没有放行该 VLAN？
核心上对这个 VLAN，有没有配置 VLANIF 和 IP（网关）？
核心上有没有到目标网段的路由，或者至少有缺省路由？

只要按这个顺序走一遍，基本不会迷路。

2. “堆叠对日常运维有什么直观好处？”¶

日常登录：只用连核心堆叠的一个管理 IP。
扩容：要多几个上联口，就往堆叠里再加一台成员，划口进来即可。
故障时：某台成员死了，只要整个堆叠还有 Master 在，业务大体还活着。

可以把心态从“管理很多台核心/汇聚”切换成“管理一台大的逻辑核心 + 若干普通交换机”。

3. “排故时怎么利用三层架构来定位？”¶

记一个顺口溜：

一台不通看终端，
一片不通看接入/汇聚，
全网乱看核心/出口。

再结合前面的排查路径：

能 ping 本机 IP → 网卡 OK；
能 ping 网关 → 二层/三层到网关 OK；
能 ping 内网其它网段 → 核心路由大致 OK；
到不了外网 → 看核心到防火墙的路由 + 防火墙策略/NAT。

六、从“看不懂图”到“自己能画一张图”¶

建议你照着下面步骤，自己在纸上画一张，并用自己的网络环境代入：

画出两台核心交换机，用一条粗线连起来，标注“堆叠（Master/Standby）”。
在核心下面画 1–2 台汇聚，用粗线连到核心，标注“Eth-Trunk + Trunk（VLAN 10/20/30/99）”。
在汇聚下面画几台接入交换机，上联到汇聚，标注“Trunk（同 VLAN）”。
在接入下面画 PC、服务器、AP，用短线接到 Access 口，标注“VLAN 10/20/30”。
在核心一侧画防火墙，再画一朵“云”，标注“Internet/上级网络”，中间写“默认路由 → 防火墙”。

最后，再在图边上写清楚：

每个 VLAN 的网关 IP；
PC 所在 VLAN、IP、网关；
数据从 PC 到外网的整条路径。

当你能：

不看资料就画出这张图；
用 2–3 分钟给别人讲清“包从哪一个设备，按什么规则走到下一个设备”；

那你就已经真正“吃透”了主备堆叠三层网络的核心思路，剩下只是在具体厂商设备上对照命令实现而已。