Android 6.0 运行时权限（第二篇）：用独立 PermissionsActivity 构建全应用统一的权限检测架构
2026/10/10 11:57:30
简介：本资源是一份面向网络工程初学者与备考人员的深度原理解析文档，聚焦二层交换机、三层交换机及路由器在互联网架构中的核心作用与本质差异。内容严格依据OSI七层模型展开，系统对比三类设备的工作层级（数据链路层 vs 网络层）、转发机制（MAC查表 vs IP路由+ARP协同）、典型应用场景（局域网内高效交换 vs 子网间高速转发 vs 跨网络智能选路）及关键性能边界（广播域隔离、回路处理、负载均衡、子网划分能力等）。全文逻辑严密，含大量原理图解式描述与真实通信流程拆解，如三层交换机“一次路由、多次交换”的映射表生成机制、路由器TTL递减与路由表动态更新过程等。资源为单文件PDF，大小253KB，轻量易读，适合作为课堂补充、实验预习或认证考试（如HCIA、CCNA）原理巩固材料。目前已有1387人学习下载，内容完整、表述精准，是理解网络设备分层协作关系不可多得的入门级原理指南。
1. 二层交换机、三层交换机和路由器到底在“转”什么：一张表看懂谁查MAC、谁查IP、谁管跨网段——网络工程师入职前必须亲手画透的转发逻辑图
很多人学完“二层/三层/路由”还是分不清：为什么同一VLAN里插两台电脑就能通，加个路由器反而要配IP才能ping通？为什么交换机背板上标着“支持三层”，却不能直接当路由器用？问题不在概念记不牢，而在没亲手拆开设备内部的转发流水线——它不是抽象模型，而是一条真实存在的、带判断分支的硬件通路。这篇笔记不讲OSI七层套话，只聚焦一个动作：当一个以太网帧从端口进来，设备内部究竟执行了哪几步决策，才决定把它从哪个口甩出去？我们会用最简配置复现三类设备对同一帧的处理差异，重点落在查什么表、走哪条路径、失败时停在哪一步。适合刚接触企业网络的运维新人、备考HCIA/CCNA的学员，以及需要给非网络同事讲清“为什么这里必须换设备”的一线实施工程师。你不需要有实验室机架，一台装了EVE-NG或GNS3的笔记本+三台虚拟设备（甚至纯手绘流程图）就能跑通全部逻辑。
2. 从一帧以太网报文开始：逐层拆解二层交换机的“MAC地址学习+泛洪+转发”闭环
2.1 二层交换机的核心动作只有三步：收帧 → 查MAC表 → 决定单播/泛洪/丢弃
二层交换机本质是基于MAC地址的桥接设备，它不理解IP，只认数据链路层的源/目的MAC。其转发引擎依赖一张动态构建的MAC地址表（也称CAM表），这张表记录着“某个MAC地址出现在哪个物理端口”。关键在于：表是自学习的，不是手动配的。我们用GNS3中的一台Cisco Catalyst 2960模拟器来验证：
# 进入交换机CLI，清空现有MAC表（确保从零开始） Switch> enable Switch# clear mac address-table dynamic # 查看当前MAC表（应为空） Switch# show mac address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- ---- ----- All 0100.0ccc.cccc STATIC CPU All 0100.0ccc.cccd STATIC CPU # （无动态条目）现在，从PC1（连接Switch Fa0/1）向PC2（连接Fa0/2）发送一个ping包。第一帧发出时，交换机因MAC表为空，会执行泛洪（Flooding）：把帧从除接收口外的所有端口广播出去。PC2收到后回包，此时交换机在接收回包的端口（Fa0/2）上学习到PC2的MAC，并写入MAC表；同理，PC1的MAC也会被学习到Fa0/1。后续通信就变成精准单播。
提示：泛洪≠广播。泛洪是交换机对未知单播帧（目的MAC不在MAC表中）的处理动作，广播帧（目的MAC为
ff:ff:ff:ff:ff:ff）和组播帧（目的MAC首字节为奇数）默认也会泛洪，但这是另一套规则。
2.2 手动验证MAC学习过程：用debug命令抓取“学习瞬间”
光看show mac是静态快照，要看到学习动作本身，需开启调试：
Switch# debug mac address-table notification MAC address table notification debugging is on # 此时再从PC1 ping PC2，控制台立即输出： %SW_MATM-4-MACFLAP_NOTIF: Host 0050.7966.6800 in vlan 1 is flapping between port Fa0/1 and port Fa0/2 # 注意：这不是错误！而是告诉你“这个MAC刚在Fa0/1出现，现在又在Fa0/2出现”，即学习完成。参数说明：
vlan 1：默认VLAN，所有端口初始归属；Fa0/1/Fa0/2：物理接口编号，学习结果直接绑定到物理口，与IP无关；0050.7966.6800：PC网卡真实MAC（可用ipconfig /all或ifconfig查看）。
为什么必须强调“物理端口”？因为这是二层转发的硬约束：MAC表不存IP，不存子网，不存路由，只存“MAC→物理口”的映射。一旦PC1换到Fa0/3口，交换机立刻重新学习，旧条目老化（默认300秒）后自动清除。这种机制决定了二层设备天然无法隔离广播域——VLAN是它唯一能做的逻辑隔离，但VLAN间通信必须靠三层设备。
3. 当流量要跨VLAN：三层交换机如何用“SVI接口+路由表”替代传统路由器
3.1 三层交换机不是“交换机+路由器合体”，而是用ASIC芯片把路由功能固化进转发流水线
很多初学者误以为三层交换机=二层交换机+一个软件路由模块。错。真正的三层交换机（如Cisco 3750、华为S5735）在硬件层面集成了专用路由ASIC，它让IP报文转发延迟降到微秒级，远超软件路由。其核心能力是：在同一个设备上同时维护MAC地址表和IP路由表，并根据报文类型自动选择查表路径。
我们配置两个VLAN（VLAN 10/20），并为每个VLAN创建SVI（Switch Virtual Interface）作为网关：
# 创建VLAN并分配端口 Switch(config)# vlan 10 Switch(config-vlan)# name HR Switch(config)# vlan 20 Switch(config-vlan)# name IT Switch(config)# interface range fa0/1-5 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 10 Switch(config)# interface range fa0/6-10 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 20 # 启用SVI并配置IP（即网关地址） Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 Switch(config-if)# no shutdown Switch(config)# interface vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0 Switch(config-if)# no shutdown # 启用IP路由（关键！默认关闭） Switch(config)# ip routing此时，PC1（192.168.10.10/24）ping PC2（192.168.20.10/24）即可通。抓包会发现：PC1发给网关192.168.10.1的帧，目的MAC是交换机VLAN 10 SVI的MAC；交换机查路由表，发现192.168.20.0/24直连，于是将IP包重新封装，目的MAC换成VLAN 20 SVI的MAC，从对应端口发出。整个过程不经过CPU软件栈，全由ASIC芯片完成。
注意：
ip routing命令是开关，不启用则SVI仅作管理口，不参与三层转发。
3.2 对比实验：关闭ip routing后，跨VLAN ping为何彻底失效？
Switch(config)# no ip routing # 关闭三层路由 # 此时再从PC1 ping PC2： # PC1发ARP请求：“谁有192.168.20.1？” → 交换机VLAN 10 SVI响应（因SVI仍up） # PC1发ICMP包给192.168.20.1，目的MAC是SVI的MAC # 但交换机因路由关闭，查路由表无匹配项，直接丢弃该IP包 # PC1收不到任何回复，显示"Request timed out"关键结论：SVI的IP地址只是网关标识，真正决定能否转发的是ip routing状态和路由表内容。这解释了为什么有些三层交换机“配了IP却不通”——忘了开路由，或者路由表里没有目标网段。
4. 路由器的不可替代性：NAT、ACL、广域网协议与“一次路由、多次交换”的真相
4.1 路由器的核心价值不在“路由”，而在“边界控制”：它天生是网络的守门人
如果三层交换机已能做VLAN间路由，为什么企业出口还要放一台路由器？答案藏在协议栈深度和策略执行粒度里。路由器（如Cisco ISR系列）的转发引擎设计目标是：处理异构网络互联、执行复杂策略、承担广域网终结。它和三层交换机的差异不是“能不能路由”，而是“在什么场景下更可靠、更安全、更可控”。
我们用最典型的互联网出口场景对比：
- 三层交换机：可配置静态路由指向ISP，但无法做NAT（网络地址转换），公网IP不够时，内网用户无法访问互联网；
- 路由器：原生支持
ip nat inside/outside，一条命令即可将192.168.10.0/24映射到单一公网IP。
# 在路由器上配置PAT（端口地址转换） Router(config)# interface GigabitEthernet0/0 Router(config-if)# ip address 203.0.113.1 255.255.255.0 Router(config-if)# ip nat outside Router(config-if)# exit Router(config)# interface GigabitEthernet0/1 Router(config-if)# ip address 192.168.10.1 255.255.255.0 Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# ip nat inside source list 1 interface GigabitEthernet0/0 overload Router(config)# access-list 1 permit 192.168.10.0 0.0.0.255参数深挖：
overload：启用PAT，允许多个内网IP共用一个公网IP，靠端口号区分；access-list 1：定义哪些内网网段允许NAT，这是策略入口；ip nat inside/outside：明确标记网络方向，NAT只在inside→outside流量触发。
没有这个能力，三层交换机再快也变不成互联网出口设备。
4.2 路由器的“一次路由、多次交换”机制：Cef（思科快速转发）如何提升性能
高端路由器采用Cef（Cisco Express Forwarding）技术，它构建两张核心表：
- FIB（Forwarding Information Base）：路由表的镜像，专供ASIC查询，含下一跳和出接口；
- Adjacency Table（邻接表）：存储下一跳的二层重写信息（如ARP解析后的MAC）。
当第一个包到达，CPU查路由表生成FIB和邻接表条目；后续同流包直接由ASIC查FIB+邻接表，完成“IP查表→MAC重写→硬件转发”全流程，延迟<10μs。这正是路由器能在万兆链路上线速转发的关键。
提示：三层交换机的硬件路由也类似，但邻接表通常只支持以太网，而路由器Cef支持PPP、HDLC、Frame Relay等广域网协议，这是根本差异。
5. 避坑指南：新手必踩的5个“看似合理实则致命”的配置错误
5.1 现象：二层交换机上VLAN间能通，但PC无法获取DHCP地址
原因：DHCP Discover包是广播帧（目的MACff:ff:ff:ff:ff:ff），二层交换机默认泛洪，但DHCP Server若在另一个VLAN，泛洪不会跨VLAN——VLAN本质是广播域隔离。
解决：在三层设备（交换机SVI或路由器）上配置ip helper-address，将广播转为单播发给DHCP Server：
interface vlan 10 ip helper-address 192.168.100.100 # DHCP服务器IP5.2 现象：三层交换机配置了SVI和ip routing，但VLAN间ping不通
原因：PC的默认网关未指向SVI IP，或SVI接口处于shutdown状态（新手常忘敲no shutdown）。
排查：
show ip interface brief确认SVI状态为up/up；show running-config interface vlan 10检查IP配置；- 在PC上执行
route print（Windows）或ip route（Linux），确认默认网关正确。
5.3 现象：路由器配置了NAT，内网能上网，但无法从外网SSH登录内网服务器
原因：NAT只处理inside→outside，反向流量（outside→inside）需显式配置端口映射（Static NAT）。
解决：
ip nat inside source static tcp 192.168.10.100 22 203.0.113.1 2222 extendable # 将外网203.0.113.1:2222映射到内网192.168.10.100:225.4 现象：三层交换机上show ip route能看到直连路由，但ping直连网段失败
原因：直连路由存在，但对应VLAN的SVI接口未启用（shutdown），或物理端口未划入该VLAN。
验证：show vlan brief确认端口所属VLAN；show interface vlan 10看SVI状态。
5.5 现象：路由器上配置了OSPF，邻居始终down，debug ip ospf adj显示“Hello mismatch”
原因：OSPF Hello包携带子网掩码，若两端接口掩码不一致（如一端255.255.255.0，另一端255.255.0.0），OSPF拒绝建立邻居。
血泪经验：在广域网串口上，OSPF默认不检查掩码（因点对点链路无子网概念），但以太网接口严格校验——务必统一掩码！
6. 终极验证法：用Wireshark抓包定位“卡在哪一层”，一张图说清三次握手的完整路径
6.1 抓包位置决定成败：必须在三个关键点同步抓包
要真正吃透转发逻辑，不能只信ping结果。我坚持在以下三点同时抓包：
- PC1网卡（源端）：看发出的原始帧结构；
- 交换机/路由器入接口镜像端口（如SPAN端口）：看设备收到的帧；
- PC2网卡（目的端）：看最终接收的帧。
以PC1（192.168.10.10）→ PC2（192.168.20.10）为例，三次握手的帧变化如下表：
| 步骤 | PC1发出帧 | 交换机入接口收到帧 | PC2收到帧 | 关键变化说明 |
|---|---|---|---|---|
| SYN | 源MAC: PC1, 目的MAC: VLAN10 SVI, 源IP: 192.168.10.10, 目的IP: 192.168.20.10 | 同左 | 源MAC: VLAN20 SVI, 目的MAC: PC2, 源IP/目的IP不变 | 三层交换机查路由表，将目的MAC重写为VLAN20 SVI的MAC，从VLAN20端口发出 |
| SYN-ACK | 源MAC: PC2, 目的MAC: VLAN20 SVI, 源IP: 192.168.20.10, 目的IP: 192.168.10.10 | 同左 | 源MAC: VLAN10 SVI, 目的MAC: PC1, 源IP/目的IP不变 | 反向路径，VLAN20 SVI查路由，重写MAC为VLAN10 SVI，发往VLAN10端口 |
| ACK | 源MAC: PC1, 目的MAC: VLAN10 SVI, 源IP: 192.168.10.10, 目的IP: 192.168.20.10 | 同左 | 源MAC: VLAN20 SVI, 目的MAC: PC2 | 同SYN，完成三次握手 |
提示：若在PC2抓包看到目的MAC是VLAN10 SVI而非PC2自身，说明交换机未正确执行三层转发——可能SVI未UP，或路由表缺失。
6.2 用show platform forward命令直击硬件转发引擎（仅限支持设备）
在高端三层交换机（如Catalyst 9300）上，可查看ASIC实际执行的转发动作：
Switch# show platform forward information Interface: Vlan10 Input Packets: 12450 Output Packets: 12448 Dropped Packets: 2 # 查路由表无匹配，丢弃 Last Dropped Reason: No route to host这个No route to host比ping timeout精准十倍——它明确告诉你：不是链路问题，是路由表里根本没有192.168.20.0/24这条路。
6.3 我的随身验证清单：5分钟内定位90%的连通性问题
每次遇到“配了就是不通”，我必按此顺序查：
- 物理层：
show interface status看端口connected且速率匹配； - 数据链路层：
show mac address-table确认源/目的MAC已学习； - 网络层：
show ip route看目标网段是否存在，下一跳是否可达； - 策略层：
show access-lists检查ACL是否隐式deny； - 应用层：
telnet <网关IP> 22测试TCP端口是否开放（绕过ICMP过滤）。
这条清单救过我太多次。有一次客户说“SVI配了IP就是ping不通”，我按序检查，发现第1步show interface vlan 10显示line protocol is down，追查发现VLAN 10下没有任何活动端口——VLAN成了“空壳”，自然无法UP。重启端口后秒通。
希望帮到你。
本文还有配套的精品资源，点击获取