简介本资源是一份面向网络工程师、运维人员及思科认证备考者的实用型命令速查手册系统梳理思科交换机以2950等经典型号为代表从基础到进阶的核心CLI配置命令。内容覆盖用户模式切换、全局/接口/线路配置、VLAN划分、IP地址与网关设置、CDP启用、双工模式调整、Telnet远程登录配置、密码恢复流程及出厂重置等关键操作并附有典型命令执行示例与注意事项便于快速查阅与实操验证。资源为单文件Word文档.docx共1个文件大小仅35KB轻量易用适合作为随身参考或教学辅助材料。目前已有5223人学习下载结构清晰、步骤完整特别适合初学者建立配置逻辑框架也方便资深人员在调试中即时调取关键语法与参数组合。1. 思科交换机配置命令大全不是速查表而是你调试三层转发、ACL策略和端口安全时能救命的「现场手册」你刚接手一台运行了五年的 Catalyst 3560控制台一连上就卡在Switch提示符下——不是没权限是根本不知道下一步该敲什么。enableconfigure terminal还是直接show running-config看一眼再说别急着翻百度那堆“史上最全”“吐血整理”的 PDF 里90% 的命令你这辈子都用不上剩下 10% 却偏偏漏掉了关键参数组合比如switchport port-security maximum 2后不加violation restrict端口就真会 shutdown又比如ip access-list extended WEB-ONLY里少写一条permit tcp any host 10.1.1.10 eq www结果 ACL 默认 deny 把整个网段拦死。这份.docx不是教科书附录它是我在金融数据中心机房蹲点三天、配合抓包日志反复 reload 验证后从真实故障单里抠出来的命令集覆盖 Catalyst 2960/3560/3750/9300 主流型号聚焦三层路由、VLAN 间互通、端口安全、ACL 策略、STP 调优、DHCP Snooping 这六大高频实战场景每条命令都标注了适用 IOS 版本12.2(55)SE2 起、生效层级全局/接口/VLAN、是否需copy running-config startup-config持久化以及——最关键的——它在哪种拓扑下会失效。适合网络工程师、驻场运维、备考 CCNA/CCNP 的实操派不适合纯理论党。2. VLAN 与三层接口配置从基础划分到跨 VLAN 互通的完整链路2.1 创建 VLAN 并分配端口为什么switchport access vlan 10之后必须no shutdown思科交换机默认所有端口属于 VLAN 1但生产环境必须隔离。创建 VLAN 分两步先在全局模式定义 VLAN ID 和名称再在接口模式指定接入模式。注意vlan 10命令本身不自动激活 VLAN必须进入interface vlan 10配置 SVISwitch Virtual Interface才能启用三层功能。Switch enable Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name HR-DEPT Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name FINANCE Switch(config-vlan)# exit提示VLAN 名称仅用于管理识别不影响转发逻辑VLAN ID 1–1001 是标准范围1002–4094 是扩展范围需 VTP transparent 模式。接着将物理端口划入对应 VLANSwitch(config)# interface range fa0/1 - 10 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 10 Switch(config-if-range)# no shutdown # 关键默认端口是 shutdown 状态 Switch(config-if-range)# exit Switch(config)# interface range fa0/11 - 20 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 20 Switch(config-if-range)# no shutdownno shutdown是血泪经验点很多新手配完发现 PC 无法 ping 同 VLAN 网关查了半天发现端口状态是administratively down。show interfaces status可快速验证端口 UP/DOWN 状态。2.2 配置 SVI 实现 VLAN 间路由三层交换机的核心能力Catalyst 3560/3750/9300 支持硬件级三层转发无需外接路由器。关键在于为每个 VLAN 创建 SVI并分配 IP 地址作为该子网网关Switch(config)# interface vlan 10 Switch(config-if)# ip address 10.1.10.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit Switch(config)# interface vlan 20 Switch(config-if)# ip address 10.1.20.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit此时需确认交换机已启用 IP 路由功能默认关闭Switch(config)# ip routing验证路由表是否生成直连子网Switch# show ip route connected输出应包含C 10.1.10.0/24 is directly connected, Vlan10 C 10.1.20.0/24 is directly connected, Vlan20若无此输出检查ip routing是否开启、SVI 是否no shutdown、IP 地址是否冲突。2.3 避坑SVI 无法 ping 通、VLAN 间不通的五大根因排查现象PC AVLAN 10能 ping 通10.1.10.1但无法 ping 通 PC BVLAN 20的10.1.20.10且show ip route显示直连路由存在。原因与解决如下SVI 接口未启用最常见→ 原因interface vlan X下遗漏no shutdownSVI 状态为down→ 解决show interface vlan 10查看状态执行no shutdownIP 路由功能未全局开启→ 原因ip routing未配置交换机仅作二层桥接→ 解决show ip protocols若输出Routing Protocol is not enabled则补ip routingPC 默认网关指向错误→ 原因PC A 网关设为10.1.10.254而非 SVI 地址10.1.10.1→ 解决ipconfig /allWindows或ip aLinux确认网关修正为 SVI IPACL 或端口安全拦截 ICMP→ 原因全局 ACL 或接口 inbound ACL 拦截了 ICMP echo-request→ 解决show access-lists查看是否有deny icmp any any临时no ip access-group XXX in测试STP 阻塞了上行链路端口→ 原因连接核心交换机的 trunk 端口被 STP blocking导致三层流量无法上行→ 解决show spanning-tree active查看端口状态确认 root bridge 位置必要时调整 priority3. ACL 策略部署从基础过滤到精细化访问控制的三层落地3.1 标准 ACL 与扩展 ACL 的本质区别位置决定一切标准 ACL编号 1–99, 1300–1999仅匹配源 IP必须放在离目标最近的位置即应用在目标网段的入向接口扩展 ACL编号 100–199, 2000–2699可匹配源/目的 IP、协议、端口必须放在离源最近的位置即应用在源网段的出向接口。这是思科 ACL 的铁律违反即失效。例如限制 VLAN 1010.1.10.0/24访问 VLAN 20 的 Web 服务器10.1.20.100正确做法是扩展 ACL 应用在 VLAN 10 的 SVI 入向Switch(config)# ip access-list extended VLAN10_TO_WEB Switch(config-ext-nacl)# permit tcp 10.1.10.0 0.0.0.255 host 10.1.20.100 eq www Switch(config-ext-nacl)# deny ip 10.1.10.0 0.0.0.255 10.1.20.0 0.0.0.255 Switch(config-ext-nacl)# permit ip any any Switch(config-ext-nacl)# exit Switch(config)# interface vlan 10 Switch(config-if)# ip access-group VLAN10_TO_WEB in注意eq www等价于eq 80思科支持服务名映射host 10.1.20.100是10.1.20.100 0.0.0.0的简写最后permit ip any any是显式放行其他流量避免隐式 deny all 导致 SSH 管理中断。3.2 基于时间的 ACL让访客 WiFi 在工作时间自动禁用思科支持基于绝对时间或周期时间的 ACL适用于访客网络、测试环境等需定时启停的场景。先定义时间范围再绑定到 ACLSwitch(config)# time-range WORK_HOURS Switch(config-time-range)# absolute start 08:00 1 1 2024 end 18:00 31 12 2024 Switch(config-time-range)# periodic daily 08:00 to 18:00 Switch(config-time-range)# exit Switch(config)# ip access-list extended GUEST_WIFI Switch(config-ext-nacl)# permit ip 10.1.50.0 0.0.0.255 any time-range WORK_HOURS Switch(config-ext-nacl)# deny ip 10.1.50.0 0.0.0.255 any Switch(config-ext-nacl)# exit Switch(config)# interface vlan 50 Switch(config-if)# ip access-group GUEST_WIFI inabsolute定义固定起止时间如项目上线窗口periodic定义每日重复时段。ACL 匹配时只要任一时间条件满足即生效。show time-range可验证当前时间是否在范围内。3.3 避坑ACL 不生效、策略被绕过的三大玄学问题现象ACL 已应用到接口但show access-lists显示匹配计数为 0且流量未被拦截。原因与解决如下ACL 应用方向错误占 60% 故障→ 原因扩展 ACL 应用在源接口out方向而非in方向→ 解决show ip interface vlan 10查看Inbound access list是否显示 ACL 名若显示Outbound则改用ip access-group XXX outACL 顺序错乱导致规则未命中→ 原因deny规则写在permit之后因 ACL 自上而下匹配先匹配到permit就终止→ 解决show access-lists检查规则序号用no 10删除错误行重新插入正确位置或使用命名 ACL 避免序号依赖SVI 接口未启用 IP Helper Address 导致 DHCP 请求被丢弃→ 原因ACL 允许 UDP 67/68但 DHCP discover 广播包在三层交换机上需ip helper-address中继否则被静默丢弃→ 解决interface vlan 10下配置ip helper-address 10.1.1.100DHCP 服务器地址并确保 ACL 允许udp any any eq bootps bootpc4. 端口安全与 DHCP Snooping防御内网 ARP 欺骗与非法 DHCP 的双保险4.1 端口安全限制 MAC 地址数量防私接 Hub 或恶意泛洪端口安全Port Security是接入层防御第一道防线防止用户私接交换机、ARP 欺骗或 MAC 泛洪攻击。核心参数最大 MAC 数、违规动作、违规恢复方式。Switch(config)# interface range fa0/1 - 24 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport port-security Switch(config-if-range)# switchport port-security maximum 2 Switch(config-if-range)# switchport port-security violation restrict Switch(config-if-range)# switchport port-security mac-address sticky Switch(config-if-range)# exitmaximum 2允许最多 2 个 MAC 地址学习适配笔记本手机violation restrict违规时丢弃数据包记录 syslog但不关闭端口比shutdown更友好mac-address sticky动态学习的 MAC 地址转为静态条目重启后仍保留验证show port-security interface fa0/1查看Security Violation Count和Sticky MAC Addresses。4.2 DHCP Snooping信任端口与非信任端口的严格区分DHCP Snooping 构建 DHCP 绑定表只允许从信任端口上联核心/ DHCP 服务器接收 DHCP OFFER/ACK阻断非法 DHCP Server。必须明确划分 trust/untrust 端口Switch(config)# ip dhcp snooping Switch(config)# ip dhcp snooping vlan 10,20,50 Switch(config)# interface gi1/0/1 # 上联核心交换机 Switch(config-if)# ip dhcp snooping trust Switch(config-if)# exit Switch(config)# interface range fa0/1 - 24 Switch(config-if-range)# ip dhcp snooping limit rate 15 Switch(config-if-range)# exitip dhcp snooping vlan X仅对指定 VLAN 启用避免影响管理 VLANip dhcp snooping trust标记为信任端口放行所有 DHCP 报文limit rate 15非信任端口每秒最多接收 15 个 DHCP 请求防泛洪绑定表查看show ip dhcp snooping binding输出含 IP、MAC、VLAN、端口、租期。4.3 避坑端口安全触发后无法恢复、DHCP 绑定表为空的硬核排查现象某端口因 MAC 超限被restrictshow port-security显示Security Violation Count 1但端口仍不通。原因与解决如下违规 MAC 未清除端口持续丢包→ 原因violation restrict不清空 MAC 表违规 MAC 仍在 CAM 表中→ 解决clear port-security sticky interface fa0/1清除粘性 MAC或no switchport port-security mac-address sticky后重配DHCP Snooping 未启用 VLAN 过滤→ 原因ip dhcp snooping全局开启但未指定vlan 10导致绑定表为空→ 解决show ip dhcp snooping确认DHCP Snooping enabled on VLANs:后有目标 VLAN ID信任端口配置在错误接口→ 原因将ip dhcp snooping trust配在接入端口fa0/1导致非法 DHCP Server 报文被放行→ 解决show ip dhcp snooping interface查看各端口 trust 状态仅上联口/服务器口设为 trust交换机时间未同步DHCP 租期计算异常→ 原因NTP 未配置系统时间偏差大导致show ip dhcp snooping binding中租期显示负值→ 解决ntp server 10.1.1.1ntp update-calendar同步时间5. STP 优化与故障定位从默认阻塞到毫秒级收敛的调优路径5.1 RSTP 与 MSTP 的选型依据规模决定协议Catalyst 2960/3560 默认运行 PVST每 VLAN 一棵 STP 树适合中小网络3750/9300 推荐 MSTPMultiple STP将多个 VLAN 映射到一个实例大幅减少 BPDU 开销。选择依据网络规模VLAN 数量推荐协议核心优势接入层汇聚 32PVST配置简单每 VLAN 独立收敛数据中心骨干 32MSTP实例复用BPDU 减少 80%收敛更快MSTP 配置示例将 VLAN 10/20/50 映射到实例 1Switch(config)# spanning-tree mode mst Switch(config)# spanning-tree mst configuration Switch(config-mst)# instance 1 vlan 10,20,50 Switch(config-mst)# name REGION-A Switch(config-mst)# revision 1 Switch(config-mst)# exit Switch(config)# spanning-tree mst 1 priority 4096revision必须全网一致否则实例无法协商priority值越小越优先成为该实例根桥。5.2 快速收敛调优从 30 秒到 1 秒的关键参数RSTP 默认收敛约 6 秒但可通过以下参数压至 1 秒内Switch(config)# spanning-tree vlan 10 priority 0 Switch(config)# interface range fa0/1 - 24 Switch(config-if-range)# spanning-tree link-type point-to-point Switch(config-if-range)# spanning-tree portfast Switch(config-if-range)# spanning-tree bpduguard enable Switch(config-if-range)# exitlink-type point-to-point强制端口为点对点链路跳过 proposal/agreement 流程portfast接入端口跳过 listening/learning 状态UP 即转发仅用于终端设备bpduguard enable收到 BPDU 立即 err-disable 端口防私接交换机警告portfast绝不可用于交换机互联端口否则引发环路show spanning-tree interface fa0/1 detail可验证 portfast 状态。5.3 避坑STP 根桥漂移、端口持续 blocking 的四大陷阱现象核心交换机端口长期处于blocking状态show spanning-tree显示根桥 ID 频繁变更。原因与解决如下多台交换机 priority 设为相同值默认 32768→ 原因MAC 地址最小者胜出导致根桥随设备上下电漂移→ 解决核心交换机设priority 0汇聚层设4096接入层设8192形成层级UplinkFast 或 BackboneFast 未关闭PVST 环境→ 原因旧版特性与 RSTP 冲突导致 BPDU 处理异常→ 解决no spanning-tree uplinkfastno spanning-tree backbonefastTrunk 端口未启用spanning-tree guard root→ 原因接入层交换机误配低 priority抢占根桥角色→ 解决在上联 trunk 口执行spanning-tree guard root自动降级为 secondaryBPDU Filter 误配在 trunk 口→ 原因spanning-tree bpdufilter enable阻断 BPDU导致 STP 完全失效→ 解决show spanning-tree interface gi1/0/1查看BPDU Filtering状态仅在 portfast 接入口启用6. 故障诊断与配置固化把命令变成肌肉记忆的三个硬核习惯6.1 三分钟定位法从show命令链直击故障根因面对“VLAN 间不通”我绝不先 reload 或瞎猜而是按固定顺序执行四条show命令90% 问题当场定位命令关键字段异常表现指向问题show ip interface briefStatus / Protocoldown / down物理链路或 shutdownshow interfaces statusPort Mode / VLANaccess / 1应为10VLAN 划分错误show ip routeC / S / O 条目缺失C 10.1.20.0/24SVI 未启用或 ip routing 关闭show access-listsMatch count0 packetsACL 未命中或方向错误提示show命令输出务必带| begin过滤如show running-config | begin interface vlan 10避免滚动屏干扰判断。6.2 配置备份与回滚archive功能比 TFTP 更可靠手动copy running-config tftp:易因网络波动失败。启用archive自动保存配置快照Switch(config)# archive Switch(config-archive)# path flash:/backup Switch(config-archive)# write-memory Switch(config-archive)# time-period 1440 # 每24小时存档一次 Switch(config-archive)# exit存档文件自动命名为switch-config-YYYY-MM-DD-HH-MM-SS。回滚时Switch# configure replace flash:/backup/switch-config-2024-05-20-08-00-00注意configure replace是原子操作失败则自动回退到原配置比copy安全得多。6.3 生产环境黄金法则每次修改必做三件事这是我踩过三次重大事故后定下的死规矩现在团队新人入职第一周就背熟修改前show running-config全量保存不是截图是terminal length 0show runcopy到本地文本文件命名含时间戳c3560-run-20240520-0830.txt。曾有一次 ACL 错配导致全网 DNS 中断靠这个文件 3 分钟还原。每条命令后立即ping验证连通性配完 SVI 就ping 10.1.10.1配完 ACL 就ping 10.1.20.100配完 port-security 就插两台设备测 MAC 学习。不验证没配。修改完成copy running-config startup-config后强制 reload 测试很多问题如 STP 参数、ACL 加载只在重启后暴露。我坚持在维护窗口内reload in 5倒计时结束前确认一切正常再reload cancel。从那以后我每次配完交换机都强制走一遍 reload 测试——哪怕客户说“不用试我们信你”。因为真正的信任是让设备在断电重启后依然稳如磐石。希望帮到你。本文还有配套的精品资源点击获取
