谈国平三层网络架构这个词，几乎每个网络工程师入行都会遇到。它不是什么高深理论，而是把一张企业网按功能切成了核心层、汇聚层、接入层，说白了就是把网络设备和线路按照“谁负责转发、谁负责策略、谁负责接入终端”的角色拆开，各干各的活。很多新人第一反应是“这不就是多买几台交换机吗”，但真正动手做项目、用ensp搭拓扑时才发现，这个分层背后藏着一整套设计逻辑，比如网关放哪、VLAN怎么划、STP怎么防环、链路冗余怎么做、安全策略在哪层下发，这些细节直接决定网络稳定性和排障效率。
这篇内容我按自己平常带人做项目的思路来写：先说清楚三层架构到底是什么、每层该干什么，再从设计原理上解释为什么要这样分层，然后给一套基于ensp搭建小型企业网的完整配置思路，最后聊一聊在实际项目里常见的坑和排查方法。适合刚入行的网络工程师、准备数通方向认证考试的同学，以及想从“会配置”进阶到“会设计”的运维朋友。
1. 三层架构到底拆的是哪三层
1.1 接入层：终端设备的第一道门
接入层是离用户最近的那一层，PC、打印机、IP电话、无线AP，统统从这里接入网络。它的核心任务只有两个：第一，给终端提供端口；第二，在端口上做最基本的VLAN划分，让不同部门的流量从进入网络那一刻就被区分开。
很多人容易把接入层简单理解成“傻瓜交换机”，其实不对。在企业网里，接入层交换机通常要支持VLAN、port-security、DHCP snooping、风暴控制这些基本功能。比如财务部的PC只能属于VLAN 10，研发部的PC属于VLAN 20，如果有人在财务口插了一台设备想自己改IP接入研发网段，接入层的port-security和DHCP snooping就能在源头拦住。
接入层设备一般用性价比高的二层交换机，比如华为S5700系列、S2700系列。不要指望接入层承担路由功能，它的定位就是“多、便宜、能隔离”。端口密度高、转发性能够用、功耗低，这三条是接入层选型的核心指标。
我在带新人时经常说一句话：接入层就是网络这棵大树的根须，数量最多、最不起眼，但用户能感知到的网络质量，一半以上其实取决于接入层做得好不好。
1.2 汇聚层：策略与网关的聚集地
汇聚层是整个架构里的承上启下位置，有些人习惯叫它“分布层”。它把接入层上来的流量做一次收敛，再统一交给核心层。这一层要干的事情非常多：VLAN间路由（也就是终端的网关）、访问控制策略（ACL）、链路聚合、STP的根桥、QoS标记，以及安全防护策略的下发。
早期很多中小型网络设计里，终端网关直接放在核心层交换机上。这种设计省设备，但有个要命的问题：核心层一旦要处理大量终端的三层转发，CPU和转发引擎的压力会非常大，同时如果你想在网关上做策略，所有规则都堆在核心设备上，任何一次改动都可能影响全网。
所以在标准三层架构里，汇聚层往往是“最忙的一层”。它手里握着终端网关，意味着每个VLAN的ARP报文、广播报文、未知单播都在这一层终结，同时它还要向上与核心层建立路由邻居关系（可以是静态路由、OSPF或BGP），把收敛后的路由信息传给核心。
注意一个关键点：汇聚层向下跑的是二层（VLAN、STP），向上跑的是三层（路由），这一层同时充当了二层和三层之间的“翻译者”。这也是很多新手配置时最容易绕晕的地方——同一台设备上既有VLANIF接口，又有物理三层接口，再加上Trunk和Access混合配置，逻辑一旦理不清，就会出各种诡异故障。
1.3 核心层：只管一件事，转发
核心层的定位极其纯粹：高速转发，不做任何多余的策略处理。整张网所有的跨汇聚流量、出口流量、服务器区流量，都要经过核心层，所以它必须做到快速、稳定、可靠。
核心层设备选型上，三层交换机是标配，更高端的场景会上框式交换机或者用路由器做出口。但无论哪种，核心层都遵循同一个原则：大带宽、高冗余、低时延。端口上通常部署链路聚合或者双上行链路，协议上可能跑OSPF或静态路由，设备本身支持双电源、双主控，保证任何单点故障都影响不到全网。
这里要特别提一句：不要让核心层“管得太宽”。有些工程师为了省事，直接把ACL、QoS、网关甚至DHCP服务全堆在核心交换机上。短期看没问题，但一旦核心设备CPU飙升，影响的是全公司所有终端的网络质量。正确的设计思路是：核心层只做最快路径转发，策略和网关往下沉到汇聚层，这恰恰是三层架构存在的意义——把不同职责分配到不同设备上，各司其职。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 为什么非要分成三层，而不是两层或一层
2.1 故障域与影响范围控制
如果你只看表面，三层架构和两层架构最大的差别听起来很“空”——多了一层设备，拓