總覽與定位
網路線該插哪？數據機、交換器、路由器各自在做什麼——從接線痛點建立設備心智模型。
你已經會算子網路、看懂 Gateway，也看過 NAT 如何改寫公私有 IP。可是打開機櫃或家用寬頻盒時，眼前仍是一團線：
- 牆上那條「網路線」先接數據機（Modem）還是路由器（Router）？
- 為什麼筆電插在交換器（Switch）上，同辦公室能互 ping，卻上不了網？
- 「家用 Wi‑Fi 盒子」到底是一台設備還是 Modem＋Router＋AP 的整合體？
本篇不重複 IP／CIDR／NAT 細節，專注設備角色與L2／L3 分工：誰看 MAC、誰看 IP、VLAN 怎麼切開廣播域，以及家用／小型辦公室的基本實體拓樸該怎麼接。
由內而外的五個角色：注意中間兩格——Switch 停在 MAC、Router 才開始看 IP，這條界線是本篇所有除錯判斷的起點。
承接「網路分層」與「IPv4／NAT」：分層告訴你 Switch 停在 L2、Router 做到 L3；定址告訴你同網段直送、跨網段交 Gateway。本篇把抽象層對回實體設備與接線。DNS 解析留給下一條支線。
三台設備，三種工作
Modem、Switch、Router 常被「一體機」混在一起；拆開角色，接線與除錯才不會猜。
賣場裡的「無線路由器」常是 Modem（或光纖 ONU）＋ Router＋ Wi‑Fi AP＋ 簡易 Switch 埠的整合。面試與除錯時先問：這台盒子現在扮演哪幾個角色？橋接模式（Bridge）會關掉內建路由，讓後面那台真正的 Router 接手。
| 設備 | 主要看什麼 | 典型問題 | 不會幫你做的事 |
|---|---|---|---|
| Modem | ISP 線路同步 | 整戶完全沒連線、光貓燈不亮 | 內網 IP 規劃、VLAN |
| Switch | MAC 位址 | 同網段互連慢／環路廣播風暴 | 跨網段上網、NAT |
| Router | IP／路由表 | 能互 ping 但上不了網、Gateway 設錯 | 在「純 L2」域內當交換器（除非開路由介面） |
角色對照：先判斷故障在「線路／同網段／跨網段」哪一層，再對應設備。
L2 vs L3：誰拆哪層信封
交換器用 MAC 在「同一條街」投遞；路由器看 IP 才能跨到「另一條街」。
- 學習來源 MAC ↔ 埠的對應（MAC Table）
- 已知目的 MAC → 單播轉發到該埠
- 未知目的 MAC → 對同 VLAN 其他埠洪泛（Flood）
- 不解析、不改寫 IP Header
- 查路由表：最長前綴匹配
- 跨介面轉送時重寫 L2 Header（新的 Src/Dst MAC）
- TTL 遞減；到 0 丟棄並可回 ICMP Time Exceeded
- 常兼 DHCP／NAT／ACL（家用與邊緣場景）
同網段兩台主機通訊：封包只需要 Switch（以及兩端的 NIC）就能走完——Router 甚至不會看到這幀（除非鏡像或錯誤接線）。跨網段時，主機先把 Frame 的目的 MAC 設成預設閘道的 MAC，Switch 把幀送到 Router 埠，Router 拆開看 IP 再往下一跳封裝。
要送 Frame 就得先填目的 MAC，但主機手上通常只有 IP。ARP（Address Resolution Protocol）就是負責「IP → MAC」的查詢：主機在本地廣播域喊一聲「誰有 192.168.1.20？請告訴我你的 MAC」（廣播），持有該 IP 的主機單播回覆自己的 MAC，結果暫存在 ARP cache。
關鍵分流：目的 IP 在同網段 → ARP 問對方本人的 MAC，Frame 直送；目的 IP 跨網段 → 主機改 ARP 問預設閘道的 MAC，把 Frame 交給 Router。這正是後面 demo 與速查表反覆出現「用 ARP 取對端 MAC」的來由。
代表 Host ↔ Switch ↔ Router 的 L2 路徑與 IP／遮罩設定大致正確。若 Gateway 通但外網不通，問題多半在路由、NAT、DNS 或 Modem／ISP——而不是「交換器壞了」。
MAC 學習：交換器的大腦
轉發、洪泛、過濾——三個動作都來自同一張會過期的 MAC 位址表。
交換器對每一個進來的 Frame 做兩件事：
- 學習（Learn）：記錄「來源 MAC 從哪個埠進來」。
- 轉發決策（Forward）：查目的 MAC——命中就往該埠送；沒命中就對同 VLAN 其他埠洪泛；若目的 MAC 就在進來的同一埠，則過濾（不回送）。
| 情況 | MAC Table | 行為 |
|---|---|---|
| 首次看到來源 MAC | 新增／更新埠 | Learn |
| 目的 MAC 已知 | 命中 | Unicast Forward |
| 目的 MAC 未知或廣播 | 未命中 | Flood（同 VLAN） |
| 目的 MAC 在 ingress 同埠 | 命中但同埠 | Filter（不回送） |
老化（Aging）：一段時間沒再見到該 MAC，表項會刪除——下次又變未知而洪泛。
兩台 Switch 多餘線路形成環，廣播／未知單播會在環上無限放大（廣播風暴）。因為 L2 的 Frame 沒有 TTL 可以自然衰減，一旦成環就停不下來。正式環境靠 STP（Spanning Tree Protocol）：選出 Root Bridge、把會造成環路的多餘埠設為 blocking，邏輯上留一棵無環的樹；收斂較慢的原始 STP 現多由 RSTP（快速）／MSTP（多實例、每組 VLAN 一棵樹）取代。實驗室亂接最常見的「整個網段瞬間掛掉」就是沒開 STP 的環路。
VLAN：邏輯切開廣播域
同一台實體 Switch，也可以變成多個互不相通的 L2 島嶼。
VLAN（Virtual LAN）把埠（或標籤）分組：預設同 VLAN 才能 L2 互通。跨 VLAN 通訊必須經過 Router（或 L3 Switch 的 SVI）——這叫 Router-on-a-stick 或層三交換。
- Access 埠：接 Host，通常只屬一個 VLAN，進出不帶（或剝掉）802.1Q Tag。
- Trunk 埠：接另一台 Switch／Router，可攜多個 VLAN 的 Tag。
- 原生 VLAN：Trunk 上未標籤流量所屬的 VLAN；兩邊必須一致，否則會有安全與互通問題。
差別具體長在 Frame 裡：VLAN 資訊靠一段 4-byte 的 802.1Q Tag（含 12-bit VLAN ID）插在 Src MAC 與 EtherType 之間。Access 埠對 Host 隱藏這件事，Trunk 埠才真正攜帶 Tag：
| 埠類型 | 線上的 Frame 樣貌 | 重點 |
|---|---|---|
| Access（接 Host） | [Dst MAC][Src MAC][Type][Payload] 無 Tag |
Host 不需懂 VLAN；Switch 在入口打 Tag、出口剝 Tag |
| Trunk（接 Switch/Router） | [Dst MAC][Src MAC][802.1Q VID=10][Type][Payload] |
多個 VLAN 共用一條線，靠 Tag 區分屬於哪個廣播域 |
同一台 Switch 兩個 Access 埠設不同 VLAN，就像被隔成兩台實體交換器；要它們互通，Frame 得先走 Trunk 帶著 Tag 交給 L3。
跨 VLAN 怎麼走？最經典的 Router-on-a-stick：Switch 用一條 Trunk 連到 Router，Router 上為每個 VLAN 開一個子介面（subinterface）各當該 VLAN 的 Gateway；封包上到 Router、換 VLAN Tag、再沿 Trunk 送回。L3 Switch 則把這件事收進機內的 SVI（VLAN 介面），省去外接路由的一趟往返。
VLAN 是 L2 廣播域邊界；IP 子網路是 L3 定址邊界。設計上幾乎總是「一個 VLAN 配一個 subnet」，這樣 Gateway／ACL／DHCP 範圍才直覺。兩者概念不同，請勿在面試混成同一個詞。
實體拓樸：線該怎麼接
家用與小型辦公室的預設接線順序，對應「訊號 → 路由 → 交換 → 終端」。
典型有線路徑（由外而內）：
- ISP 線路 →
Modem / ONU（光貓、纜線數據機） Modem的 LAN 口 →Router的 WAN 口Router的 LAN 口 →Switch上聯埠Switch各埠 → 電腦、印表機、AP、NAS
同一條路徑改用直向堆疊呈現「由外而內」的層級：每一列的右欄寫的是「這台設備的哪個口朝外、哪個口朝內」——接錯線幾乎都錯在這一欄。
| 錯誤接法 | 常見症狀 | 為什麼 |
|---|---|---|
| Host 直接只接 Switch，Switch 沒上聯 Router | 同網段可通，無外網 | 缺 L3 Gateway／NAT 出口 |
| Router WAN 誤插到 Switch 級聯 | 雙 NAT、位址混亂、UPnP 怪病 | 多了一層路由邊界 |
| 兩台 Router 都開 DHCP 同網段 | IP 衝突、Gateway 亂跳 | 兩個地址權威互搶 |
| Modem 後串兩台「路由模式」一體機 | 外網不穩、Port Forward 失效 | 雙重 NAT；應讓其中一台改 Bridge |
除錯口訣：先確認「誰在發 DHCP、誰是預設閘道、WAN 口是否真的朝向 ISP」。
互動 · 點選兩台主機，看 Frame 實際怎麼走
主機掛在哪個埠、屬哪個 VLAN，決定了 forward／flood／filter、要不要交給 Gateway、以及誰改寫了信封——全部即時算出來。
拓樸畫布：粗藍線是本次算出來的實際路徑，虛線是同一個 VLAN 內收到泛洪複本的鏈路。點主機盒切換來源／目的，點下方徽章換 VLAN（改埠的 VLAN 會連帶清空 MAC 表，與真實交換器一致）；IP 末碼由主機序號、網段由 VLAN 算出。
每一列是一個 L2 區段：綠色的 MAC 欄代表在 Router 被整組改寫，而 Src／Dst IP 兩列相同——這就是「L3 換信封、不換收件人」。
面試與常見誤區速查
設備角色、L2／L3 邊界、VLAN 與接線——高頻題一次對齊。
| 問題 | 期望答法（精簡） |
|---|---|
| Switch 跟 Router 差在哪？ | Switch 看 MAC、同廣播域轉發；Router 看 IP、跨網段轉送並重寫 MAC。 |
| 為什麼同網段流量不經 Router？ | 目的 IP 在本地子網路，Host 用 ARP 取對端 MAC，Frame 由 Switch 直送。 |
| VLAN 解決什麼？ | 在同一實體交換器上隔離廣播域與安全邊界；跨 VLAN 需 L3。 |
| 家用「路由器」是什麼？ | 常是多功能一體機（路由＋交換埠＋Wi‑Fi±Modem）；概念上仍要拆角色。 |
| 能 ping Gateway 但無外網？ | L2／預設閘道多半 OK；查路由、NAT、DNS、Modem／ISP。 |
①「Switch 用 IP 轉發」——錯，那是 Router／L3 Switch 的路由功能。
②「VLAN 就是子網路」——相關但一層二層；實務常 1:1，概念勿混。
③「交換器壞了所以上不了網」——先確認上聯與 Gateway；純 L2 故障通常是同網段也不通。