二层交换机靠 MAC 地址表转发，广播域被 VLAN 隔开之后，VLAN 之间在二层上完全不可见。要让 VLAN 10 的 PLC 访问 VLAN 20 的服务器，就需要一个既能看 IP、又能看 MAC 的设备在中间转——三层交换机做的就是这个活。
三层交换机给每个 VLAN 建一个逻辑接口，常见叫法是 Vlanif，另一套命名体系里叫 SVI（Switch Virtual Interface）。这个接口有 IP 地址、有 MAC 地址、也参与 ARP，对主机来说它就是一个普通的网关。配上 IP 之后，指向该网段的直连路由会自动进路由表，不需要手写。
二层与三层的分界线在 IEEE 802.1Q 这层标记上：带 VLAN 标签的帧在交换机内部按 MAC 表转，网关收到后的下一跳转发就要查 IP 路由表。同一网段的流量永远走二层，只有跨网段才触发三层转发——这决定了网关该建在哪一层设备上：建在接入层，跨网段流量要跑上核心再绕回来；建在核心层，路径最短。
第一步，划 VLAN。 802.1Q 的 VLAN ID 是 12 bit，可用范围 1–4094。工业网里常见做法是按功能划：控制网、监控网、办公网、设备管理网各一个，别按物理位置划——设备会挪，功能不会。
第二步，建 Vlanif 并配 IP。 每个 VLAN 一个网段，网关地址通常取该网段的第 1 个可用地址（如 192.168.10.1/24）。同网段主机把网关指向它，跨网段请求才会被送到三层设备。
第三步，确认路由表。 如果整个网络的网段都挂在这一台三层交换机上，配完 Vlanif 就已经通了，路由表里全是直连（Direct）条目。此时不需要任何静态路由、不需要跑协议。这一条最容易被过度设计：几十台接入交换机、十几个 VLAN 全挂一台核心三层机，配完 Vlanif 就完事，硬上 OSPF 只会多出一堆可能出错的配置。
只有出现"多个三层设备"的时候，才需要在这几个设备之间交换路由信息。
| 维度 | 静态路由 | OSPF |
|---|---|---|
| 配置工作量 | 每个远端网段一条，新增网段要全网改 | 宣告网段即可，新增自动扩散 |
| 故障倒换 | 无自动切换，需配浮动静态路由或探测 | 靠邻居超时，默认死区 40 s，可调 |
| 收敛时间 | 人工介入，分钟级 | 默认 40 s；调 hello 3 s/dead 12 s 后约 12 s；加 BFD 可到 150 ms |
| 资源开销 | 几乎为零 | 邻居报文与 SPF 计算占用 CPU，路由条目多时更明显 |
| 排错难度 | 路由表一眼看完，好排查 | 要看邻居状态、LSA、区域划分 |
| 适用规模 | 三五个网段、拓扑几乎不变 | 十几个网段以上、有冗余链路 |
| 标准 | 厂商实现，无协议标准 | IETF RFC 2328（OSPFv2） |
判断标准可以落到一条线上：远端网段超过 5 个，或者存在两条以上可达路径，用 OSPF；否则用静态路由。 工业现场常见的"总部 + 3 个车间"，静态路由加主备两条默认路由就够了，配 OSPF 反而要处理区域和 DR 选举。
真正卡人的是收敛时间。OSPF 在广播型网络上的默认参数是 Hello 10 秒、Dead 40 秒——链路断了，邻居要等 40 秒才宣告失效。产线上 40 秒的通信中断等同于一次停产。三种压缩手段：
把 Hello/Dead 调成 3 秒 / 12 秒，收敛约 12 秒，仍是产线不可接受的量级；
配 BFD（RFC 5880），检测周期可设 50 毫秒 × 3 次 = 150 毫秒触发倒换，代价是两端设备都要支持且 CPU 要有余量；
下层直接用环网保护协议（RSTP 按 IEEE 802.1D-2004 收敛 1 秒级，MRP 按 IEC 62439-2 可到 200 毫秒级），把冗余恢复留在二层，三层只管路径选择。
实际项目里最常见的是第三种加第二种的组合：环网负责链路级的快速恢复，OSPF 加 BFD 负责跨网段路径的快速切换。
场景设定：一个园区有 8 个 VLAN，每 VLAN 一个 /24 网段；1 台核心三层工业交换机（8 口千兆 + 4 个 SFP 光口），下挂 6 台二层接入交换机；另有 1 台跨厂区的三层交换机，通过一对光纤与核心互联，其下挂 4 个网段。逐步算。
第一步，算地址总量。 每 VLAN 一个 /24，可用主机地址 254 个。8 个本地 VLAN × 254 = 2032 个地址；跨厂区那台再挂 4 个网段 × 254 = 1016 个。合计 3048 个可用地址。按工业项目常见的 30% 余量规划，实际设备数应控制在 2345 台以内。
第二步，算路由条目。 本地 8 个 VLAN 在核心上配了 Vlanif，路由表里是 8 条直连路由。要到达跨厂区那 4 个网段，需要 4 条路由条目——静态路由就是 4 条，OSPF 则是把 4 个网段宣告进去由协议生成。这个规模下两者的路由表几乎一样（12 条左右），差异只体现在新增网段时要不要改配置。
第三步，算二层与三层的转发能力需求。 一台千兆口在 64 字节小帧下的线速转发率是 1000 Mbps ÷ (64 + 20) 字节 × 8 = 1.488 Mpps。三层交换机用 ASIC 做路由查询，能做到每口 1.488 Mpps 线速；纯 CPU 转发的路由器在同一条件下往往只有几百 kpps，差了三个数量级。这也是园区内部跨 VLAN 互访该用三层交换机而不是路由器的原因。
第四步，算收敛时间。 若用 OSPF 默认参数，跨厂区光纤断开后，核心要在 Dead 40 秒后才切换。按一条产线每分钟产出 20 件产品、每件毛利 5 元估算，40 秒损失约 13 件 = 65 元；看起来不多，但若断的是整条线的控制网，实际损失是停工工时与报废品，量级完全不同。把核心与跨厂区交换机之间配 BFD（50 毫秒 × 3）后，倒换降到 150 毫秒，产线侧基本无感知。
第五步，算 ARP/MAC 老化带来的抖动。 三层交换机的 ARP 表默认老化 20 分钟、MAC 表默认 300 秒。切换瞬间若目标 MAC 已老化，需要重新 ARP 泛洪，会额外增加几十毫秒延迟和一段广播流量。冗余链路切换频繁的场景，把关键网段的 ARP 老化调到 5–10 分钟更稳，代价是 IP 冲突时被发现的延迟变长。
下面这段是通用语法的示意片段，用来说明配置先后与参数位置，不代表任何厂商的真实命令行。
; 步骤 1：建 VLAN vlan batch 10 20 30 ; 步骤 2：把端口划进 VLAN（上行口用 trunk 放行多个 VLAN） interface GigabitEthernet0/0/1 port link-type access port default vlan 10 ; 步骤 3：建 Vlanif 并配网关地址（直连路由自动生成） interface Vlanif10 ip address 192.168.10.1 255.255.255.0 ; 步骤 4-1：静态路由（指向跨厂区网段） ip route-static 10.20.0.0 255.255.255.0 192.168.10.254 ; 步骤 4-2：或改用 OSPF，宣告本地网段 ospf 1 router-id 192.168.10.1 area 0.0.0.0 network 192.168.10.0 0.0.0.255 ; 步骤 5：跨厂区链路上加 BFD，把收敛压到 150 ms bfd bind peer-ip 192.168.10.254 discriminator local 100 remote 200 min-tx-interval 50 min-rx-interval 50 detect-multiplier 3
顺序上要注意两点：Vlanif 必须在对应 VLAN 建好之后才能配 IP；trunk 口如果不放行某个 VLAN，那台交换机的 Vlanif 建了也不通。这两处在现场排障里占比很高。
三层工业交换机做园区内路由是合适的，但有几条边界必须清楚：
单网关就是单点故障。 所有网段的网关都在一台设备上，这台机器挂了全网不通。要冗余就得上 VRRP（RFC 5798）做网关虚拟化，两台设备共享一个虚拟 IP，切换时间通常在 1–3 秒；更严格的控制网则用设备侧的双网卡与冗余协议。
子网划得越细不等于越好。 8 个 /24 是舒服的规模；划成 32 个 /26 之后，广播域虽然更小，但路由条目、ARP 表、DHCP 作用域的数量都翻倍，管理成本涨得比收益快。
三层转发的 ACL 与表项有上限。 工业交换机的路由表容量、ACL 条目数远小于数据中心设备，几百条以上就要查规格书，别默认能装。
广播与环路仍是三层之上的隐患。 三层能隔广播域，隔不了同一 VLAN 内的环路。端口隔离、风暴抑制、生成树必须配好，否则一次接线失误就能把核心打满。
| 现象 | 可能根因 | 排查动作 |
|---|---|---|
| 同 VLAN 能通，跨 VLAN 不通 | 主机网关填错，或 Vlanif 未配 IP | 在主机侧看网关与 ARP，核对 Vlanif 状态 |
| 部分网段通、部分不通 | trunk 口未放行对应 VLAN | 检查链路两端的允许 VLAN 列表 |
| 断链后 40 秒才恢复 | OSPF Dead 时间默认值未调，且无 BFD | 调 hello/dead 或启用 BFD |
| 切换后短时丢包 | ARP/MAC 表项老化后需重新学习 | 缩短老化时间或加静态 ARP 绑定 |
| 核心 CPU 占用高 | 路由条目过多引发频繁 SPF，或存在环路 | 看邻居震荡日志，收敛路由条目 |
| 改了一台接入机就要动核心 | 用了静态路由且网段新增频繁 | 改 OSPF，或把网段集中到核心 |
网段全挂一台三层设备 → 只配 Vlanif，别上协议。
远端网段 ≤ 5 且拓扑固定 → 静态路由 + 备用浮动路由。
远端网段 > 5 或存在多路径 → OSPF，同时配 BFD。
要求切换 < 1 秒 → 冗余放在二层（RSTP/MRP），三层只做选路。
要求网关不中断 → 两台设备配 VRRP，或采用设备级冗余。
不确定该用几层 → 优先把 VLAN 与地址规划做对，协议选择的影响远小于地址规划错误。
锐应科技的工业交换机产品线里，8 口千兆 + 4 个 SFP 上联的机型支持三层静态路由与 OSPF，可在 工业交换机方案页 查看端口与三层能力；园区里若同时有 PON 接入，OLT 上联可直接接到这台三层交换机的光口，参考 PON 接入方案。
园区内跨 VLAN 互访可以，广域网出口不行。三层交换机强在 ASIC 线速转发与低成本高密度端口，但 NAT、VPN、策略路由、流量整形这些特性通常很弱或没有。通行组网是三层交换机做园区核心与 VLAN 间路由，出口接一台路由器做 NAT 与专线接入，两者分工而不是替代。
Vlanif 的 IP 地址是逻辑的，只要 Vlanif 里有任意一个物理端口处于 up 状态，Vlanif 就 up。如果该 VLAN 的所有物理端口都 down，Vlanif 也会 down，直连路由从路由表里消失，该网段的流量立刻不可达。所以判断 Vlanif 是否可用，不能只看配置，要看它下挂的物理端口有没有可用的。
三个高频原因：接口没宣告进区域（network 语句的网段或反掩码写错，比如该写 0.0.0.255 写成 0.0.0.0 之外的掩码）；两端 router-id 冲突；或者接口被设成了静默（silent）模式。排障顺序是先看邻居状态是 Init 还是 ExStart，Init 卡住多半是单向可达，ExStart 卡住多半是 MTU 或 router-id 不一致。
不会。每 VLAN 254 个可用地址，8 个共 2032 个。工业现场一个车间放 30–60 台设备是常态，一个 /24 装一个车间的控制设备绰绰有余，还留了扩容空间。真正会浪费的是"每个 VLAN 只放几台设备却各占一个 /24"，这种情况下不如按楼层或产线合并 VLAN，把数量压到 4–6 个。
能，而且很常见。做法是把稳定的本地网段走直连、跨广域或第三方的固定网段走静态路由，把需要自动倒换的骨干部分交给 OSPF；再通过路由引入（import-route）把静态路由注入 OSPF。注意引入时要打 tag 或做路由过滤，否则两边的路由互相引入容易形成次优路径。
三层工业交换机的路由配置，工作量集中在两块：Vlanif 网关与地址规划做对，剩下的协议选择反而简单——网段少、拓扑稳就用静态路由，网段多或有冗余链路就上 OSPF 并配 BFD。真正决定项目成败的是收敛时间，OSPF 默认 40 秒的死区在产线上不可用，把冗余下放到二层环网、把三层的倒换交给 BFD，才能把中断压到 150 毫秒级。锐应科技在 关于锐应 页面列出了工业交换机与 PON 两条产品线的完整规格，需要三层组网方案时可以直接对照选型。
