前面五十多课，我们一直在跟园区网打交道，终端接入、VLAN、网关、出口，这套东西很熟。但如果把场景换成数据中心——机房里一排排机柜、成千上万台服务器，你会发现传统三层架构突然就不好使了。Rx 明显偏低往往是端面脏、弯折或熔接差，先清洁端面、更换跳纤再测，具体门限以模块规格为准。把你的数据中心组网（服务器规模、Spine/Leaf 数、是否 VXLAN，打码）发在评论区，我帮你看架构和收敛比合不合理

平时没事，一到早上大家集中开电脑、连 WiFi，AC 的 CPU 就蹿到 80% 以上，时不时有人喊网慢。有个单位图省事，访客和办公共用一个 WiFi、一个网段，安全检查时外来设备能直接访问内网共享和打印机，当场被点名。整改就是前面这套：访客独立 SSID 和 VLAN20、ACL 封内网、Portal 认证加用户隔离，AP 一台没动，只改逻辑配置，复查一次通过。所以管理 VLAN 通常还要配合

到这一课，交换机、VLAN、VLANIF、DHCP、静态路由就全串起来了，几十人的网，你已经能独立交付。还有一点：一台核心带 50 人很轻松，但以后要上无线、监控、大量 AP，选设备时也要看它的路由表容量、ARP 表项和转发性能，别等终端一多，设备自己先扛不住。我的习惯是先当“装修工”，再当“接线工”：先画图纸（规划），再分区（VLAN），再布水电（地址、网关、路由），最后才通电验收。周五快下班，

下一课我们把前面学的东西串起来，做一个完整的综合案例：一家 50 人的公司，一台三层交换机，把 VLAN、VLANIF、DHCP、静态路由全部配通，从空配置到能上网，一步不落地走一遍。有一种故障叫地址冲突：一台设备手动配了地址，DHCP 又把同一个地址发给了别人，结果两台设备互相抢，时通时断，还会弹“地址冲突”提示。排查命令我已经放在上面了，把你的“踩坑经历”写在评论区，我帮你一起复盘，看看私接

设备连上网络，地址是谁发的、地址池怎么规划、跨 VLAN 怎么靠中继发地址、租期和 Option 43 又是怎么回事，还有私接 DHCP 怎么防。但真正用起来，下一跳写地址还是写接口、默认路由怎么发、怎么做一条“平时不露面、断了才顶替”的浮动备份、以及那条听起来很玄的“黑洞路由”，里面全是门道。，路由还没加，结果这个网段的人全上不了网——包一查，命中了 /16 黑洞，被直接丢了。把你的答案写在评论

交换机篇到这里就收尾了——从第一次登录，到 VLAN、聚合、生成树、堆叠，再到接入保护，二层这摊事基本讲全。接下来进入路由篇，第一件事是把“地址”搞明白：IP 地址、子网掩码、CIDR、VLSM，以及面试必考的“这一段到底有多少可用地址”。绑定后这个口只认这个 MAC，换设备就不通。这台路由器一上电，就开始给周围的电脑“发地址、发网关”，谁先抢到它的地址，就被它带着走——而它的出口根本没正确连公司

开了 BPDU 防护，边缘端口一旦收到 BPDU，就自动把口关闭（或退回普通端口），把风险掐死在门口。因为在支持多 VLAN 的 PVST/MSTP 里，桥 ID 里还藏了一个扩展字段（VLAN 或实例号），优先级实际被拆成“高位优先级 + 低位实例号”，步进是 4096。这一课把环路和经典 STP 讲清楚了，可它“一断网要等 30 秒”的毛病，在很多业务里是不能接受的。园区网里，接入交换机到核心

三层交换机内部有专门的硬件芯片（ASIC），三层转发和二层一样在硬件里完成，一次路由之后，后续数据包直接线速转发，不占用 CPU。如果你像我一样，在某些小场景还会推荐它，讲讲是哪种场景、当时的设备和预算是什么样。上两课把网切得明明白白，结果切完第二天，甲方财务就打电话来：“报销系统坏了，全公司都登不上，是不是你搞的？这两种没有绝对优劣，规模小就集中、规模大就分布，在设计阶段定好，别等楼盖起来再改。

可你算笔账：一栋楼里五六个 VLAN，接入到核心就得拉五六根线，多占五六个交换机端口，布线、光模块、端口都得加钱，VLAN 一多线就乱成麻，扩容时还得再拉。反过来，核心要给财务电脑回帧，最终从 Access 口出去时，标签被剥掉，电脑收到的还是无标签帧。整个过程里，标签只在交换机之间的 Trunk 上“穿戴”，进出终端都不碰标签——这正是 Access 和 Trunk 配合的默契：终端只管收发，标

把 VLAN 编号和网段第三段对齐（VLAN10 对应 192.168.10.x、VLAN20 对应 192.168.20.x），以后看到 IP 就知道它在哪个 VLAN，看到 VLAN 就知道该用什么网段，省心又不容易错。排查时我先在交换机上看了端口流量，财务那台口的广播速率几乎顶到了百兆，把它的网线一拔，全网立刻恢复——印证了判断。动工前先花十分钟把“哪个业务用哪个号、对应哪个网段”列成一张表