企业官网建设流程全解析

不少刚接触网络的朋友，都会经历一个特别拧巴的阶段：名词都认识，路由器、交换机、AP、DHCP、ARP、广播帧、信道，这些词翻来覆去看了好几遍，可一旦要自己组网、排错，脑子里的知识就串不到一起。尤其是"路由器与交换机的关系"，看着像一回事，又好像不是一回事。今天这篇是初级知识串联的第五篇，专门把这个关系拎出来讲透，顺便把前面聊过的DHCP、ARP、广播帧、AP、信道全部拉回一条线上，读完你会有一种"原来它们各管一段"的通透感。

1. 连法决定关系：路由器和交换机在拓扑图里的位置为什么不同

1.1 从"楼栋大门"到"室内房门"的分工直觉

先别急着背定义，我们从一个最常见的家庭组网说起。宽带线进来，接路由器，路由器后面又接了一台交换机，交换机下面挂着三四台电脑，客厅里还有两个无线信号。这个拓扑几乎人人家里都有，但很少有人停下来想过：为什么不能省掉其中一个？

我的经验是，把路由器想成楼栋的安保大门，交换机想成楼里的走廊和房门牌。你住在1号楼，朋友住在3号楼，你的任务是把一封信从1号楼送到3号楼。楼栋大门负责告诉你"3号楼在小区哪条路上，怎么走过去"——这是路由器干的活，它管的是不同楼栋、不同网络之间的路径。而当你走进3号楼之后，信具体递给301还是302，靠的是走廊里每一户的房门牌——这是交换机干的活，它管的是同一栋楼里、同一个局域网内，数据到底送到哪个具体设备。

这个比喻虽然简单，但特别能解释拓扑位置。路由器永远站在网络的边界上，它的WAN口对外，LAN口对内；交换机则站在网络内部，把所有需要互联的设备聚在一起。只要有两个以上设备要互传文件，交换机的工作就出现了；只要有两个网段要互通，路由器的任务就出现了。拓扑图上谁在边缘、谁在中间，本质上是由它们的工作层次决定的。

1.2 二层交换和三层路由的根本依据：认不认IP

为什么交换机会站在网络内部？因为它不认IP。交换机工作在数据链路层，也就是常说的二层，它收到一个数据帧之后，只关心帧头的源MAC地址和目标MAC地址，然后查自己的MAC地址表，决定从哪个物理端口转发出去。MAC地址是网卡的"身份证"，全世界唯一，但它有个致命的短板——它不包含任何"人在哪栋楼"的信息。所以交换机只能在一个广播域内工作，它天然没有能力判断"你要找的设备在不在这个楼里"。

路由器不一样，路由器工作在网络层，也就是三层。它认的是IP地址，IP地址自带网络号加主机号的结构。路由器拿到数据包之后，会取出目标IP，查路由表，决定下一跳交给谁。路由表里全是"哪个网段走哪个接口"的条目，相当于一张全城道路图。也正因为路由器接管了"跨网段"这个职责，它必须隔离广播域：每一个接口都是一个独立广播域的边界，LAN侧的广播请求到了路由器这里就停下，不会漫无目的地扩散到WAN侧。

这里顺便回应一个高频疑惑：三层交换机是不是就是路由器？严格说，三层交换机是把路由器的部分能力集成进了交换芯片，它既能二层查MAC转发表，也能三层查路由表做VLAN间路由。但它通常不带NAT、不带无线管理、也没有家用路由器那种PPPoE拨号能力。所以"三层的活"和"路由器的全部职责"不是一回事，这个坑后面排错时会反复遇到。

2. DHCP不神秘：为什么分配IP这个活默认落在路由器头上

2.1 DHCP请求天生是广播帧，交换机只会把它撒向全屋

先问一句：为什么DHCP要用广播？原因很简单：一台刚插上网线的主机，此时完全不知道网络里谁会给它发地址。它手里只有一张网卡，没有任何服务器信息，所以只能站在楼道里喊一嗓子："谁能给我一个IP，我在这！"这一嗓子就是DHCP Discover报文，目标地址一定是255.255.255.255，也就是广播地址。

这个广播帧发到交换机上之后，交换机干什么？它没有任何犹豫，除了收到这个帧的端口之外，向所有其他端口复制转发。交换机对广播帧的处理规则很简单，就是无条件泛洪，MAC地址表在这种帧面前完全用不上，因为目标MAC是全F，没有哪个具体端口能对应。你可以打开抓包软件看一眼，只要主机发起DHCP流程，必然先出现连续好几个广播帧，然后才会有单播的Offer、Request和Ack出现。

很多新手在这里会困惑：交换机会不会"回复"DHCP请求？不会。交换机就是个传话的，它把所有端口都吼了一遍，谁来应答是别人的事。要是整个二层网络里根本没有任何DHCP服务器，主机会等一段时间，然后放弃，自己给自己配一个169.254开头的地址。这就是为什么你单独拿一台交换机、不接任何路由器，电脑网卡显示"未识别的网络"的原因——交换机本身不具备分配地址的能力，它只负责把请求广播出去。

2.2 家用路由器上的"DHCP服务器"开关，管的就是这件事

家用无线路由器之所以看起来"什么都会"，是因为厂商把很多功能塞进了同一个盒子。在DHCP这件事上，它的角色是服务器。默认配置下，路由器会开启一个DHCP服务，地址池通常是192.168.1.100到192.168.1.200，你的电脑连上后，它从池子里挑一个没被占用的地址发出去，租期一般24小时。

这里有个非常实用的排错点：很多人换了路由器之后，手机、电脑老是显示"已连接但无法上网"，折腾半天网络设置，其实问题出在旧DHCP租约上。设备还记得之前从旧路由器拿到的IP、网关、DNS，它不会立刻重新请求，得等到租约时间过半才会续租。所以换完路由器，我习惯先把光猫、路由、交换机的电全断了，等两分钟再逐个上电，让终端重新走一遍完整DHCP流程，这个操作比在电脑上敲三天命令都管用。

还有一点值得说清楚：交换机能不能参与DHCP？严格说它不会给你发IP，但企业级的二层交换机可以开DHCP Snooping功能，监听二层网络里的DHCP报文，只信任连接合法DHCP服务器的端口，其他端口发出的Offer直接丢弃。所以"分配IP"这件事的根在路由器，交换机更多是扮演一个"保安"的角色，保证广播域里没有冒牌的DHCP来捣乱。

2.3 静态IP和DHCP并存时，怎么判断该信谁

什么时候不需要DHCP？办公环境里服务器、打印机经常手动配置固定IP。这样做的原因和DHCP无关，而是这些设备的地址必须在很长一段时间内保持稳定，别人访问它时不能今天一个地址明天另一个。但固定IP有个前提：IP不能被路由器地址池覆盖，否则就会冲突。我的习惯是设计地址池时，把静态IP区域单独划出去，比如路由器地址池设成192.168.1.100到200，打印机固定成192.168.1.50，服务器固定成10，这样两边永远井水不犯河水。

3. ARP广播帧的路径最能说明问题：交换机无脑放大，路由冷静隔离

3.1 交换机对待广播帧的三条行为规则

前面提到MAC地址表，这里展开讲一下交换机看到不同帧时的三种反应，这是理解"为什么广播域这么重要"的钥匙。

第一种，单播帧且MAC表里有记录，交换机精确转发，从对应端口发出去，其他端口不动。第二种，单播帧但MAC表里没有记录，交换机不知道目标设备连在哪个端口，只能原样复制成多份，向除了入端口以外的所有端口泛洪，这个行为叫未知单播泛洪。第三种，广播帧，目标MAC是FF:FF:FF:FF:FF:FF，不管MAC表里有什么，交换机直接泛洪。

看到这三种行为的共同点了吗？交换机的"泛洪"本质上是一种无奈之举：它不知道目标在哪，就只能到处问。而ARP请求恰好就是最典型的广播帧。主机A要找主机B的MAC地址，会在局域网里发一个ARP请求："谁是192.168.1.5，请把你的MAC告诉我。"这个请求到交换机，交换机马上复制给所有端口。B收到后回应一个单播的ARP Reply，A就知道B的MAC地址了。

这个过程很高效，但代价是：广播帧会占用所有端口的带宽。网络里偶尔几个广播帧无所谓，但要是设备特别多，或者有人故意制造大量ARP请求，交换机端口就会被这些"问路广播"塞满，正常的数据转发反而变慢。这就是后文要说的广播风暴问题。

3.2 路由器收到ARP广播后为什么停下，这才是隔离的精髓

路由器和交换机对广播帧的态度截然不同。交换机是来者不拒，见广播就泛洪；路由器则是直接停手。一个ARP请求如果到达路由器LAN口，路由器会看一眼目标IP是不是自己接口网段的地址，是就正常应答；如果不是，它不会把请求转发到WAN口或其他接口。

为什么？因为路由器每个接口都属于独立广播域。如果路由器转发广播帧，那所有接在它上面的网段都会共享广播，隔离就失去了意义。试想一下：办公室里有十个网段，如果路由器把这十个网段的广播全部互相转发，那么任何一台电脑发起ARP请求，另外九个网段的所有设备都能听到，广播流量直接放大十倍，网络迟早瘫痪。

这个设计逻辑非常关键。你可以把路由器想象成一堵墙，墙这边的人喊话，墙那边的人听不到。只有需要真正送信的时候，路由器才会把信从墙上的门递出去，这个"送信"的过程就是三层路由。二层广播的根本边界，就这么被路由器定义出来了。

3.3 "网关"这个概念，就是路由器与交换机关系的教材级体现

理解了上面的逻辑，"网关"这个词就特别好懂了。网关实际上是路由器在一个局域网内的接口IP，比如192.168.1.1。它是这个广播域里所有设备"出门"的必经之门。

跨网段通信时有个经典细节：主机A要和主机B通信，先拿自己的子网掩码和目标IP做按位与运算，判断B和自己是不是同一个网段。如果发现不在同一网段，A不会直接ARP请求B的MAC，而是ARP请求网关的MAC。数据帧被封装成"目标MAC=网关MAC，目标IP=B的IP"，交给路由器。路由器收到后，剥掉二层帧头，根据目标IP查路由表，找到下一跳，再套上新的二层帧头继续转发。

整个过程里，三层IP地址全程不变，两层MAC地址却被来回改写。交换机看到的永远是MAC和端口的对应关系，路由器看到的是IP和路径的对应关系。不同网段互通缺了谁都不行：没有路由器，包出不了门；没有交换机，包到不了正确的房间。

4. 跨网段访问的接力赛：一次网页浏览里路由器与交换机的完整分工

4.1 从浏览器输入网址到页面出现，帧级流程到底怎么走

前面讲概念讲得比较散，这一节把它们串成一个完整的故事。假设你在电脑A上访问一个网站，网站服务器在另一个网段，中间拓扑是：电脑A -> 交换机1 -> 路由器 -> 交换机2 -> 服务器B。

第一步，浏览器先做域名解析。电脑A发现DNS服务器不在自己网段，于是把DNS查询包交给网关，也就是路由器。此时帧头是：目标MAC=网关MAC，目标IP=DNS服务器IP。交换机1收到这帧，查MAC表，发现网关MAC对应上联口，直接转发给路由器。路由器剥掉帧，查路由表，把包转到出口，再封装新帧发给下一跳。整个过程里交换机只是精确转发，路由器负责真正把包往前挪了一步。

第二步，域名解析成功后，浏览器发起TCP三次握手。TCP连接建立完成后，HTTP请求发出。这时的数据包同样先到交换机1，查表转发给路由器，路由器改帧转发，到达交换机2，然后服务器B回复响应。响应路径完全反过来，但行为完全一样：交换机查二层表，路由器查三层表，各干各的。

4.2 TTL递减发生在哪一层，为什么交换机永远不掺和

有个只有路由器在意的字段叫TTL，中文叫生存时间。每经过一台路由器，TTL值减1，减到0就丢弃。TTL的意义是防止数据包在网络里兜圈子兜到天荒地老。你平时用traceroute工具看路径的时候，会看到每一跳的IP地址，那些地址几乎全是路由器的接口。中间隔了多少台交换机，你是完全看不出来的，因为交换机不碰IP头，TTL对它来说根本不存在。

这也解释了为什么家里那台交换机即使坏了，你也很难通过"路径变长"这个现象判断出来——它根本不出现在路由路径里。它只影响二层链路，表现为局域网内互访变慢、丢包，却不会影响数据包跳数。

4.3 如果只有交换机组网，没有路由器会发生什么

最直接的后果是：不同网段永远无法互通。假设你把两台电脑配置成不同网段，又用一台交换机连在一起，两台电脑各自发出ARP请求，广播都在同一个广播域里，可双方只会应答自己网段的地址。请求发到对方网段时，因为对方网关不存在，ARP请求直接石沉大海，数据包被丢弃。

更麻烦的是广播域的失控。交换机越级联，整个二层网状结构里的所有设备共享同一个广播域，任何一张网卡发广播，全网都得听。设备少还好，设备一多，广播帧会占据大量带宽，网络从"慢"变成"卡死"。所以正规网络里必须用路由器划分广播域，这也是"路由器和交换机不能互相替代"的根本原因。

不过这里也要补一句：现在很多企业会用三层交换机替代一部分路由器的工作，通过网络划分VLAN来隔离广播域，VLAN间路由交给三层交换机完成。这个方案的成本比真路由器低，速度比软件路由快。但它解决的是"网段间转发"这一部分，真正连接外部网络的边界路由，还得由专门的路由设备来干。

5. 无线路由器里的"三合一"：路由、交换、AP和信道的关系盘点

5.1 拆开一台家用无线路由器，等于同时看见三个角色

家用无线路由器之所以容易让人误解，是因为它把所有功能都塞进了一个壳子里。拆开看，里面至少有三大块：一部分管路由，负责WAN口到LAN口的地址转换和路由转发；一部分是交换芯片，负责背后那四个LAN口之间互访，它本质上就是一台四口交换机；还有一部分是无线模块，也就是AP，负责把有线信号转成Wi-Fi信号发射出去。

顺便说一个冷知识：你用网线把两台电脑都插到无线路由器的LAN口上，两台电脑互传文件时走的是交换芯片，根本不需要经过路由部分。只有当电脑需要访问WAN口外面、也就是公网时，数据才会被交给路由部分处理。很多教程让读者"把路由器当交换机用"时关闭DHCP，其实就是告诉路由部分"你不要参与内网，只留交换芯片干活"。

理解了这三合一之后，很多故障就好判断了。比如Wi-Fi能连上但上不了网，问题可能出在AP部分正常、路由部分拨号失败；再比如两个LAN口之间互传慢，问题多半出在交换芯片的性能上，和无线信道毫无关系。故障发生在哪一段，直接对应到盒子里是哪块芯片的事。

5.2 信道是什么，为什么它只和AP有关而和交换机无关

信道是无线通信里的概念。Wi-Fi信号在2.4GHz和5GHz两个频段上工作，2.4GHz频段又被划分成不同的信道，相当于一条高速公路被画成许多车道。同一信道里如果同时有好几个AP工作，它们就会互相干扰，数据吞吐量直线下降。

商用经验里，部署多个AP时最讲究信道规划。2.4GHz下一般选用1、6、11这三个互不重叠的信道，让相邻AP尽量错开；5GHz频段信道更多，干扰也小得多。但这套规划只影响无线链路，也就是AP和终端之间那段"空气介质"。交换机走的是网线，信道对它毫无影响，这和"MAC地址表"一样，属于不同层面的东西。

有个常见的错误理解是"信道太少导致网速慢"，其实只要你的AP不和邻居抢信道，通常不会出问题。家用路由器默认是自动选信道，它启动时会扫描周围的无线环境，挑一个最空的信道使用。如果家里Wi-Fi突然变差，可以进管理页面手动换个信道试试，这是一个成本几乎为零的优化手段。

5.3 企业网络里的AP、AC、交换机怎么排队

企业无线网络里，角色分得比家用清楚得多。每个AP通过网线接到PoE交换机上，由PoE交换机同时供电和传输数据；AC（无线控制器）通过管理协议统一配置所有AP的信道、功率、SSID；路由器只负责三层转发和上联出口。整条链路里，交换机只认识MAC帧，AP负责无线接入，AC负责调配信道，路由器负责跨网段寻路，职责一览无余。

这种架构下最考验人的是跨层排错：终端连不上Wi-Fi，可能是AP信道被干扰；连上Wi-Fi拿不到IP，可能是交换机的VLAN配置把DHCP报文挡了；拿到IP上不了网，可能又是路由表缺一条回程路由。如果不把"无线问题""二层问题""三层问题"分开排查，光靠切换信道解决不了任何与路由相关的故障。

6. 排错场景教会我的事：两个与路由器/交换机关系相关的典型故障

6.1 设备拿不到IP？先把"DHCP广播被中断"的可能性过一遍

我这里有一个印象很深的案例：某小型办公室，三台台式机接在一台交换机上，交换机再上行接到一台无线路由器的LAN口。某天台式机突然全部显示"未识别的网络"，但手机连Wi-Fi却一切正常。

判断思路要从头和尾同时捋：手机走Wi-Fi正常，说明路由器本身和它的DHCP服务是好的。问题出在有线这一段。我先检查交换机上联口是不是松了，网线没插紧是最常见的原因；随后手动给一台电脑配静态IP，发现静态IP能Ping通路由器的LAN口，说明二层链路是通的，问题确实出在DHCP应答没有回来；再查交换机的端口配置，发现有人把那个上联口设置成了独立VLAN，端口间隔离，DHCP广播被交换机拒之门外，自然拿不到地址。

这个案例值得写在这里，是因为它同时用到两个知识点：第一，DHCP Discover是广播帧，依赖交换机完整转发；第二，路由器是DHCP服务器的实际所有者，二层不通，再好的DHCP服务也白搭。排查这类问题，我的固定顺序是：先看链路状态，再手动配IP测试二层通不通，最后才查DHCP配置和VLAN隔离。

6.2 广播帧异常放大：一次二层环路引发的"全网卡死"

另一个典型的故障是广播风暴。现象很统一：所有设备突然变慢，交换机指示灯疯狂乱闪，网内Ping网关延迟上千毫秒。正常情况下，交换机对广播帧泛洪是可控的，但当网络里出现二层环路时，广播帧会在环路里反复复制转发，形成指数级增长的广播风暴。

我第一次遇到时走了弯路，盯着路由器日志查了半天，以为是路由器故障。后来才发现是某根网线被员工无意间把交换机的两个口"回环"到了一起。环路不解决，路由器就算再怎么处理路由表，也无济于事，因为广播风暴根本没到三层就被二层卡死了。处理办法很简单，把造成环路的网线拔掉，网络立刻恢复。

这个案例的教训是：看到全网变慢，第一反应不要急着怀疑路由器，先确认二层网络里有没有环路。如果交换机支持生成树协议，它会自动封锁冗余端口，那就不会有风暴；家用小交换机大多没有生成树，布线时就要格外小心，别把两个口串成圈。

6.3 一套小实验，把标题里的六个词全串一遍

纸上谈兵终究不如动手，这里给你一套在家就能复现的实验清单，只要一台无线路由器、一台网管交换机、两台电脑和一根网线。

实验一，验证DHCP和广播帧：把两台电脑接到交换机上，交换机接路由器LAN口，开启抓包工具，然后重启其中一台电脑。你会看到电脑发出DHCP Discover广播帧，交换机泛洪，路由器回复Offer，整个完整流程清清楚楚。

实验二，验证广播域边界：在路由器WAN口再接一台小交换机，把第三台电脑放上去，仍然用抓包工具看LAN口广播，你会发现LAN口的ARP请求不会出现在WAN口交换机上。路由器稳稳地守住了广播域的边界。

实验三，验证交换机替代不了路由器：把网关改为一个不存在的地址，你会发现浏览器完全无法打开外网，但两台电脑之间仍然可以互传文件，因为二层通信照样工作，三层路由却已经断了。

实验四，验证信道对无线的影响：把路由器无线信道固定死在1，然后在2.4GHz频段找一台设备持续传输，再手动把信道切到11，对比无线吞吐变化。这一步会让你直观感受到AP的信道规划为什么重要。

这套实验做完，DHCP、ARP、广播帧、交换机、路由器、AP、信道这几个词就不再是孤立的术语了，它们会被同一个物理环境串成一条完整的数据通路，以后再遇到什么"网不行"的鬼故事，你也知道该从哪一层开始找问题了。