2. Catalyst交换架构与分段基础
在 Catalyst 交换机上做网络分段，第一步不是敲 VLAN 命令，而是理解“包到底在芯片里怎么走”。Catalyst 的分段能力，本质上是 ASIC 转发表、VLAN/VXLAN 标识、SVI 路由和硬件资源四者共同作用的结果。理解这条链路，才能判断一条分段策略是“线速转发”还是“被硬件资源卡住”。
ASIC 转发机制：分段策略的执行者
Catalyst 交换机采用固定流水线（fixed pipeline）ASIC 架构。一个帧进入端口后，依次经过入站解析、查表、ACL/QoS 策略、出站重写等阶段，全部由硬件在固定时钟周期内完成。关键点在于：分段策略（ACL、VLAN 映射、SVI 路由）必须能被编译进 ASIC 的 TCAM 和转发表，才能线速执行。如果某条策略无法硬件卸载，就会被送到 CPU 软件转发，性能骤降。
以 Catalyst 9000 系列为例，其 UADP ASIC 使用统一转发表，L2 MAC 表、L3 路由表、ACL 表共享 TCAM 资源。这意味着：VLAN 数量、ACL 条目数、SVI 数量不是彼此独立的，它们竞争同一块硬件资源。设计分段时，必须把“策略规模”当作容量规划的一部分。
转发路径上还有一个重要概念：一次路由、多次交换。同一 VLAN 内流量只查 MAC 表，不经过路由；跨 VLAN 流量必须经过 SVI 路由，查路由表并重写二层头。因此，VLAN 划分越细，跨 VLAN 流量越多，SVI 路由压力越大。
VLAN 与 VXLAN：分段的两种标识层
VLAN 是传统二层分段手段，12 位标识，理论最多 4094 个可用 VLAN。它的问题在于：VLAN 是全局广播域，跨设备扩展需要 Trunk 或 VTP，且 4094 的上限在大型园区/数据中心很快耗尽。
VXLAN 用 24 位 VNI（VXLAN Network Identifier），理论上支持约 1600 万个分段。它把二层帧封装进 UDP，通过 IP 网络传输，实现“二层分段跨三层网络延伸”。在 Catalyst 上，VXLAN 通常与 SD-Access 或 EVPN 配合，由交换机 ASIC 完成封装/解封装。
两者关系可以这样理解：VLAN 是本地标识，VXLAN 是全局标识。在 SD-Access 架构中，每个 VXLAN 分段（VN）内部仍可映射到本地 VLAN，形成“全局 VNI + 本地 VLAN”的两级标识。设计时要明确：分段边界到底划在 VLAN 层还是 VNI 层，这决定了策略下发点和故障域范围。
SVI 与路由转发：分段之间的“门”
SVI（Switch Virtual Interface）是 VLAN 的三层接口，是跨 VLAN 通信的网关。配置 SVI 后，交换机为该 VLAN 维护一个路由接口，流量从源 VLAN 进入 SVI，查路由表，再从目的 VLAN 的 SVI 发出。
关键细节：SVI 的 up/down 状态取决于该 VLAN 内是否有活动端口。如果 VLAN 内所有端口都 down，SVI 也会 down，路由条目被撤销。这在分段设计中容易踩坑——一个只用于隔离的“空 VLAN”如果没有活动端口，其 SVI 无法作为网关使用。
另一个重点是路由表规模与 TCAM 的关系。每增加一个 SVI，就增加一条直连路由；如果启用 OSPF/BGP，还会引入动态路由。Catalyst 的 L3 表项有硬件上限，超过后新路由无法安装，表现为“路由学得到但转发表里没有”。分段越细，SVI 越多，路由表越大，越要关注这个上限。
硬件资源对分段策略的影响
这是最容易被忽视、却最决定成败的部分。Catalyst 的硬件资源主要包括：
- TCAM 表项：ACL、QoS 分类、策略路由共用。每条 ACL 规则占用一个或多个 TCAM entry，带通配符的规则可能展开成多条。
- MAC 地址表：每个 VLAN 的 MAC 表有独立上限，VLAN 越多，单 VLAN 可用表项越少。
- L3 路由表：SVI 和动态路由共享，有硬件上限。
- VLAN 数量：部分平台对同时活跃的 VLAN 数有限制，不是配了就能用。
举例说明：假设某 Catalyst 平台 TCAM 可用 ACL 表项为 4096 条。你计划为 200 个 VLAN 各下发一条 10 行的入站 ACL，总需求 2000 条，看似够用。但如果每条 ACL 含通配符展开，实际占用可能翻倍到 4000 条，接近上限。此时新增一个 VLAN 的 ACL 就可能安装失败，表现为“配置命令能敲进去，但 show 命令显示未生效”。
因此，分段设计必须做资源预算：先统计每个 VLAN 需要的 ACL 行数、SVI 数、路由条目数，再对照平台规格表核算。如果超限，就要合并 VLAN、精简 ACL、或用 VXLAN 把策略集中到边界设备。
把四者串起来：一个分段设计的判断顺序
实际设计时，建议按以下顺序判断，而不是先配 VLAN：
- 确定分段边界：按部门、安全等级还是应用类型划分？边界决定 VLAN/VNI 数量。
- 估算策略规模：每个分段需要多少 ACL 行、是否需要 QoS 分类、是否走策略路由。
- 核算硬件资源：对照平台 TCAM、MAC 表、L3 表规格，判断是否超限。
- 选择标识层：本地分段用 VLAN，跨站点/大规模用 VXLAN。
- 规划 SVI 与路由：确定哪些 VLAN 需要 SVI，路由协议如何收敛，避免空 VLAN 导致 SVI down。
总结来说，Catalyst 的分段不是“配 VLAN”这么简单。ASIC 决定了策略能否线速执行，VLAN/VXLAN 决定了分段的标识和范围，SVI 决定了分段之间的路由可达性，而硬件资源决定了这套设计能不能真正落地。四者缺一不可，任何一环超限，分段策略就会从“线速”退化为“软件转发”甚至“配置不生效”。