交换机是网络中至关重要的设备，负责数据帧的转发和隔离冲突域，其稳定运行直接影响整个网络的性能，对交换机进行日常检查和故障排查时，掌握常用的检查命令是网络管理员的核心技能，这些命令能够帮助管理员快速获取交换机的运行状态、配置信息、端口状态、流量数据等关键信息，从而定位问题并采取相应的优化措施，以下将详细介绍交换机常用的检查命令，涵盖系统状态、端口信息、MAC地址表、VLAN配置、路由信息、安全特性以及日志监控等多个方面。
在检查交换机之前，通常需要通过Console口、Telnet或SSH等方式登录到交换机的命令行界面（CLI），不同品牌和型号的交换机，其命令语法可能略有差异，但核心功能和逻辑相似，以下以主流的Cisco IOS命令为例进行说明,其他厂商设备可参考其官方文档进行类比。
系统状态与基本信息检查 了解交换机的基本运行状态是排查问题的第一步，通过相关命令可以获取设备型号、操作系统版本、运行时间、CPU和内存使用率等信息。
- show version：该命令显示交换机的硬件和软件信息，包括设备型号、IOS版本、系统启动时间、配置寄存器值、接口数量以及已安装的模块信息，通过“uptime”字段可以了解交换机已连续运行的时间,这对于判断是否因重启导致的问题非常重要。
- show inventory：列出所有硬件组件的详细信息，如模块、电源、风扇等，包括其序列号、部件号和描述,便于硬件故障的定位和更换。
- show processes cpu sorted：按CPU使用率排序显示所有进程的信息，帮助识别导致CPU过高的异常进程，正常情况下，CPU使用率应保持较低水平，若持续过高，可能存在网络攻击、配置错误或硬件故障。
- show memory statistics：显示交换机的内存使用情况，包括已用内存、空闲内存、内存池信息等，内存不足可能导致设备性能下降或崩溃,定期检查内存使用情况是必要的。
端口信息与状态检查 端口是交换机连接其他设备（如服务器、路由器、其他交换机）的接口,端口状态的异常是网络故障的常见原因。
- show interface status：以表格形式显示所有端口的物理状态（如connected、notconnect、disabled等）、速率（如10/100/1000Mbps）、双工模式（half/full）、VLAN成员资格等信息，通过该命令可以快速发现物理链路故障、端口被手动关闭或速率/双工模式不匹配等问题。
- show interface [interface-id]：查看特定端口的详细状态信息，包括输入/输出数据包数量、错误包数量、CRC错误、丢包率、广播包数量等，若某个端口的CRC错误计数持续增加，可能表明物理链路质量差（如网线损坏、接口接触不良）。
- show interface [interface-id] description：显示端口的描述信息，良好的端口描述有助于管理员快速识别端口连接的设备或用途,方便管理和故障排查。
- show interface [interface-id] switchport：显示二层交换端道的详细配置，包括所属VLAN、链路类型（access/trunk）、封装协议（如ISL、802.1Q）、允许通过的VLAN列表等，这对于排查VLAN配置错误、Trunk链路问题非常有用。
MAC地址表检查 MAC地址表是交换机转发数据帧的依据，记录了MAC地址与端口的对应关系，MAC地址表异常（如表项丢失、泛洪）可能导致通信问题或安全风险。
- show mac-address-table：显示整个MAC地址表的内容，包括MAC地址、对应的VLAN、端口类型（如动态、静态）和老化时间，通过该命令可以检查是否存在异常MAC地址（如大量未知MAC地址泛洪）,或特定设备的MAC地址是否正确学习到对应端口。
- show mac-address-table address [mac-address]：查看特定MAC地址在MAC地址表中的详细信息,用于定位该MAC地址所连接的端口。
- show mac-address-table aging-time：显示MAC地址表的老化时间，即动态MAC地址表项在未收到数据包后将被删除的时间，合理的老化时间（通常默认为300秒）可以平衡表项更新和表项容量。
VLAN配置检查 VLAN用于隔离广播域，提高网络的安全性和性能,VLAN配置错误会导致用户无法通信或广播风暴。
- show vlan：显示所有VLAN的信息，包括VLAN ID、名称、状态（active/suspended）、以及属于该VLAN的端口列表，通过该命令可以检查VLAN是否正确创建,端口是否被正确划分到相应VLAN。
- show vlan brief：以简洁的表格形式显示VLAN ID和对应端口,快速查看VLAN与端口的映射关系。
- show vlan [vlan-id]：显示特定VLAN的详细信息，如名称、状态、端口成员等,用于排查特定VLAN的问题。
路由信息检查（三层交换机） 对于具备三层路由功能的三层交换机,需要检查其路由表以确认数据包的转发路径。
- show ip route：显示IP路由表，包括直连路由、静态路由和动态路由协议（如OSPF、EIGRP、RIP）学习到的路由，通过路由表可以确认目的网络是否存在、下一跳地址是否正确、路由度量值是否合理。
- show ip protocols：显示当前运行的路由协议及其参数，如OSPF的区域ID、进程ID、Router ID，EIGRP的AS号、邻居等,用于检查路由协议的运行状态和配置。
- show ip interface brief：显示所有三层接口的IP地址状态、状态（up/down）和协议状态,确保接口IP配置正确且处于可用状态。
安全特性检查 交换机的安全特性如端口安全、ACL（访问控制列表）等对于网络安全至关重要。
- show port-security [interface [interface-id]]：显示端口安全的配置和状态，包括最大MAC地址数、违规处理方式（protect/restrict/shutdown）、当前学习的MAC地址数量以及违规计数等，通过该命令可以检查端口安全是否生效,是否存在MAC地址超限或违规情况。
- show access-lists [access-list-number]：显示ACL的配置内容，包括ACL规则（permit/deny）、源/目的IP地址、端口等，以及匹配数据包的计数,用于检查ACL是否按预期规则过滤流量。
日志与错误监控 交换机的日志和错误信息能够提供设备运行过程中的异常事件线索。
- show logging：显示交换机的系统日志缓冲区内容，包括时间戳、日志级别（如error、warning、info）、日志模块和描述信息，通过日志可以发现端口up/down事件、配置变更、硬件故障等。
- show debug：显示当前启用的调试选项，调试命令能提供更详细的实时运行信息，但会消耗较多系统资源，通常在故障排查临时开启，使用完毕后需及时关闭（使用undebug all）。
以下表格总结了部分核心检查命令及其主要功能：
| 命令类别 | 常用命令 | 主要功能 |
|---|---|---|
| 系统状态 | show version | 查看设备型号、IOS版本、运行时间、硬件组件信息 |
| show processes cpu sorted | 查看CPU使用率及进程排序，定位高CPU进程 | |
| 端口信息 | show interface status | 查看所有端口的物理状态、速率、双工模式、VLAN成员 |
| show interface [interface-id] | 查看特定端口的详细流量、错误统计信息 | |
| MAC地址表 | show mac-address-table | 查看整个MAC地址表，包括MAC、VLAN、端口、类型 |
| show mac-address-table address [mac] | 查看特定MAC地址的表项信息 | |
| VLAN配置 | show vlan | 查看所有VLAN信息、名称、状态、成员端口 |
| 路由信息（三层） | show ip route | 查看IP路由表，确认路由路径 |
| 安全特性 | show port-security | 查看端口安全配置、状态、学习到的MAC地址及违规计数 |
| 日志与错误 | show logging | 查看系统日志，定位异常事件 |
在实际工作中，网络管理员需要根据具体的故障现象，灵活组合使用上述命令进行综合分析，当用户反映无法访问网络时，可先通过show interface status检查用户端口状态，再通过show mac-address-table查看用户MAC地址是否被正确学习，然后通过show vlan确认端口VLAN配置是否正确，必要时使用show logging查看是否有相关异常日志。
相关问答FAQs
Q1: 当交换机某个端口的“input errors”计数持续增加时，可能的原因有哪些？如何排查？
A1: 端口“input errors”计数增加通常表明接收数据时存在问题，可能原因包括：
- 物理链路问题：网线质量差、水晶头接触不良、模块或端口硬件故障，可尝试更换网线、插拔端口或更换模块测试。
- 速率/双工模式不匹配：端口与对端设备（如网卡、其他交换机）的速率或双工模式不一致（如端口强制全双工，对端为自协商半双工），会导致大量CRC错误，可通过
show interface [interface-id]查看当前速率和双工设置，并与对端设备对比，确保配置一致。 - 网络流量过大：端口广播风暴或组播流量异常也可能导致错误计数增加，可通过
show interface counters errors进一步细分错误类型，并结合流量分析工具（如NetFlow）定位异常流量来源。 - 对端设备故障：对端网卡故障也可能发送错误数据包，可将对端设备更换到其他正常端口测试判断。
Q2: 如何检查交换机是否存在MAC地址泛洪攻击？
A2: MAC地址泛洪攻击是指攻击者发送大量不同源MAC地址的帧，导致交换机MAC地址表被填满，进而被迫将所有未知单播帧广播到所有端口，引发安全风险，可通过以下步骤检查：
- 查看MAC地址表大小和当前条目：使用
show mac-address-table count查看MAC地址表当前条目数和最大容量，若当前条目数接近或达到最大容量，且端口流量异常，需警惕泛洪攻击。 - 观察端口广播/组播流量：使用
show interface [interface-id] counters查看端口的广播包和组播包数量，若广播包数量异常激增（远超正常水平），可能存在泛洪攻击。 - 检查端口安全配置：使用
show port-security [interface [interface-id]]查看端口是否启用安全功能，如设置最大MAC地址数量（如switchport port-security maximum 1）和违规处理模式（如switchport port-security violation restrict），若未启用，建议配置以限制端口学习MAC地址数量。 - 启用端口安全或动态ARP检测（DAI）：对于接入层端口，启用端口安全可有效防御MAC泛洪攻击；对于VLAN，可启用DAI（动态ARP检测）防止ARP欺骗，间接缓解相关攻击。
- 分析流量特征：通过专业流量分析工具或交换机的镜像端口功能捕获并分析异常流量，确认是否存在大量不同源MAC地址的帧。
通过以上方法和命令，网络管理员可以全面检查交换机的运行状态，及时发现并解决各类网络问题，确保网络的稳定、安全和高效运行。
