1 以太网在分层里回答什么问题
S13 用分层与封装区分了不同证据的解释范围。本课把镜头放到机房里：服务器通过网线接入交换机，交换机又连接其他服务器或网关。在这段局部网络内，数据要以什么形式传送，设备怎样识别接收者，交换机凭什么选择出口？以太网是局域网中常见的二层技术家族，主要回答这些问题。这里的“二层”沿用数据链路层的简称，讨论的对象是帧、链路地址和交换边界。
发送时，上层交来的内容成为以太网帧的载荷。帧带有目的 MAC、源 MAC 等信息，接收设备据此处理，再把合适的载荷交给上层。例如，服务器发出承载 IP 数据包的以太网帧，交换机通常依据帧的目的 MAC 决定向哪个端口发送，而不是替服务器解释应用请求。接收方取出 IP 数据包后，才继续按上层规则处理。帧有检查传输差错的机制，但这并不等于保证应用数据一定送达。
设 srv-a 经交换机连接 srv-b，路径经过 2 根接入网线。二层要解决的是帧怎样沿这些链路到达正确接口；如果目标在另一个 IP 网络，主机还需要决定交给哪个网关。此时本地帧的目的 MAC 往往是网关接口的 MAC，IP 数据包的目的地址仍然指向远端目标。沿路的二层封装可以变化，不能把某段链路上的 MAC 当成贯穿全程的地址。
因此，看到端口亮灯只证明部分物理条件成立，看到交换机学到 MAC 也只证明某个源地址的帧曾从某端口进入。它们都不足以证明远端服务可用。后续每个判断都要注明证据在哪个接口、哪个 VLAN、哪个时间窗口采到，避免把局部观察扩大成整条路径的结论。本课不展开无线接入和光学物理层，把精力留给机房中可重复检查的以太网行为。
2 帧、MAC 与广播域：谁和谁能直接对话
常见以太网 MAC 地址为 48 位，也就是 6 字节，通常写成 6 组十六进制数，例如 02:00:00:00:00:0a。源 MAC 说明这帧从哪个二层接口发出，目的 MAC 表示它要交给哪个二层接收者。MAC 是链路范围内使用的标识，不编码 IP 子网，也不能根据它推算服务器位于哪个机柜。网卡、虚拟网卡和网桥等接口都可能拥有 MAC；把它简单理解成“整台机器唯一且永远不变的身份证”会造成误判。
本课使用的 02:... 地址属于本地管理的单播地址，可由管理员或虚拟化平台分配；设备出厂烧录的地址通常由厂商按全球管理地址规则分配，但软件仍可能改写接口当前使用的地址。排查时记录当前运行值，不能只抄机身标签。同一二层域内应避免重复 MAC，否则交换机可能把同一个地址在多个端口之间反复学习。
目的地址有不同的交付含义。单播面向 1 个接口；广播地址 ff:ff:ff:ff:ff:ff 面向广播域内的接收者；组播面向某个接收组。组播的转发还可能受交换机的组成员管理影响，不能一概当成广播。本课先用单播和广播理解交换。广播域则是二层广播可被传播到的范围，它可能跨越多台相连交换机，也可能只是同一台交换机上的部分端口。
例如，A、B、C 的接入口属于 VLAN 20，D 的接入口属于 VLAN 30。A 发出广播时，交换机可以把它复制给 VLAN 20 中其他合格出口，包括 B、C 的方向；D 不会仅因插在同一台交换机上就收到这份广播。广播域的边界不是机箱边缘。所谓能“直接对话”，也不是凭双方 IP 看起来接近就成立，而是要有允许帧双向到达的二层路径。
以常见 MTU 1500 为例，1500 字节通常指可承载的上层包大小，不包含全部以太网头部和校验字段。不要把它误解为应用每次必须发送 1500 字节，也不要把每种抓包工具显示的帧长度直接与它比较。后面用小报文测试连通性时，即使成功，也没有覆盖大报文的 MTU 条件；证据需要保留实际测试大小。
3 交换机做什么：学习、转发、淹没
交换机维护 MAC 地址表，常被称为转发表或 CAM 表。入门时可以把一条动态记录理解为“在某个 VLAN 中，某个源 MAC 最近从哪个端口出现”。关键是学习依据来自帧的源地址。交换机收到 A 发来的帧，即使还不知道目的 B 在哪里，也已经可以记录 A 的入口。学习不是主动询问所有设备的姓名，更不要求交换机先知道 A 的 IP。
看一个从空表开始的过程。A 接 p1，B 接 p2，C 接 p3，3 个端口都属于 VLAN 20。A 向 B 发送单播帧，交换机先学习 (20, A) → p1。如果查不到 B，就向该 VLAN 内其他允许转发的端口复制这帧，本例为 p2、p3，不会送回入口 p1。这种行为称为未知单播淹没。C 的网卡通常不会把目的 MAC 属于 B 的普通单播作为本机流量交给上层，但帧仍然占用了到 C 的链路带宽。
B 回复 A 时，交换机学习 (20, B) → p2，再查到 A 位于 p1，只向 p1 转发。之后 A 再发给 B，通常就只经过 p2。如果目的 MAC 的已知出口就是入口，正常桥接转发不需要再把帧从其他端口送出。这里的“已知”是当前表项状态，不是对设备身份的永久承诺；电源关闭、接线变化、老化和配置都可能改变结果。
广播与未知单播可能都表现为向多个端口复制，但原因不同。广播本来就要求域内传播；未知单播则是交换机暂时缺少目的位置。不能看到复制就认定故障。故障线索是：本应已经稳定学到的地址持续缺失、同一个地址不断换端口，或者淹没量相对业务基线异常升高。判断还要扣除镜像端口、冗余链路和抓包位置带来的观察差异。
用教学容量 8192 条做一次规模估算：假设某表容量确为 8192 条，且每个地址占 1 条，已有 6000 条不同记录，则账面余量是 2192 条。接上 1 台承载 3000 个活跃虚拟接口的服务器，新增需求可能远大于“多接了 1 台机器”的直觉。实际容量可能在多个 VLAN 或功能间共享，超额行为也依设备实现而定，不能把这个数字当成所有型号的规格。记录老化同样要看设备实际配置；例如配置为 300 秒时，长期没有源帧刷新的动态条目可能消失，下一次发往该地址的单播又会触发淹没。
4 冲突域与全双工：为何还要关心线缆与端口
早期集线器把多个端口连成共享传输介质。多台设备同时发送可能产生冲突，所以它们需要共享发送机会。假设 4 台主机接在同一个半双工集线器上，它们共享冲突域；接在现代交换机的 4 个独立接入口上，各条链路分别工作。交换机隔开冲突域，并不自动隔开广播域，这正是“换成交换机就没有广播”的说法出错的地方。
现代服务器到交换机通常使用全双工链路，发送和接收可以同时进行，正常情况下不再靠共享介质上的冲突退避来协调。标称 1 Gbit/s 全双工意味着每个方向各有该速率的链路能力，不能据此保证应用一定达到相同吞吐量，也不能把它说成单方向 2 Gbit/s。应用处理、协议开销和对端条件仍然会限制实际速率。
线缆与端口仍然重要。插头松动、线缆损伤、协商失败或端口配置不一致，都可能表现为链路反复上下线、错误计数增长或速度低于预期。比如预期 1000 Mb/s，实际只协商到 100 Mb/s，即使小包 ping 正常，也已不满足吞吐验收条件。历史设备或特定配置下，一端强制全双工、另一端协商成半双工，可能导致丢包和性能异常；不要把“全双工已经普及”当成不检查协商结果的理由。
MTU 也要作为接口条件记录。两端显示 MTU 1500，并不能单独证明路径中所有设备都能处理预期帧长；如果只有大报文失败，应继续检查路径上的限制和封装开销。本课先要求区分速率、双工、MTU、链路错误这些不同维度，不用更改 MTU 的方式盲目尝试修复所有不通问题。
帧尾的 FCS 是接收端检查比特差错的依据：发送端按帧内容计算校验值，接收端重新计算并比较。若传输中有比特改变，校验通常会失败，接收端便丢弃该帧。普通以太网不会因为这次校验失败就在原链路上自动重发；若载荷属于 TCP，恢复可能由上层重传完成，应用看到的就可能是延迟升高或吞吐下降。服务器上的普通抓包往往看不到已被网卡丢弃的坏帧，因此“抓包没有错误帧”不能推翻端口校验错误持续增长的证据。
例如 A 向 B 发送文件，A 接入口接收方向的 CRC 错误在 60 秒内从 12 增至 212，而 B 接入口没有对应增长。这里应先调查 A 发往交换机这一段，包括 A 的发送侧、线缆和交换机接收侧；不能仅凭计数就断定是 B 的网卡损坏。保留起止计数、流量方向和接口对应关系，再在允许的维护窗口替换已知正常的跳线，重复同样负载。若错误增量消失，才获得了支持线缆问题的对照证据。累计值可能来自很久以前，设备重启或计数器清零也会改变读数，所以应比较同一窗口的增量。
还要把校验丢帧与队列丢帧分开。假设 4 个接入口同时各向 1 个上联发送 1 Gbit/s 流量，而上联只有 1 Gbit/s，短时间内进入的数据就可能超过出口能发出的数量。交换机先用缓冲吸收突发，缓冲耗尽后可能丢弃后续帧；所有链路仍可保持全双工且没有 CRC 错误。此时出口队列丢弃增长、入口校验正常，更支持出口拥塞的方向。应对照各入口流量和同一出口的队列统计，不能把增加链路速率前的每次丢包都归结为坏网线。
报文大小也会改变压力。同样的链路比特率下，小帧意味着每秒需要处理更多帧；每帧还占用帧间隙等线上开销，应用可用吞吐不会等于端口标称值。验收时至少说明发送方向、帧长或上层报文大小、持续时间，以及是否有其他流量竞争出口。若低负载小包通过、并发传输时丢包，应分别检查链路错误增量和出口拥塞证据，再决定是修复物理连接还是调整流量与出口容量。
5 VLAN 直觉：同一交换机上的隔离
VLAN 可以把交换网络划分为多个逻辑二层域。常见可用 VLAN ID 范围是 1–4094，具体保留与使用限制还要看平台。它不是给端口增加“更快”的等级，也不是应用账号权限。VLAN 20 与 VLAN 30 中的设备即使接在同一台交换机上，普通二层转发也不会直接跨越这个边界。需要跨域通信时，通常要引入第 3 层转发及相应策略。
接入口 access 的直觉是把普通终端收到和发出的未标记帧归入某个指定 VLAN。干道口 trunk 则用于在同一条链路上传递多个 VLAN 的流量，例如连接两台交换机；两端必须对允许传递哪些 VLAN 达成一致。有些平台还会配置未标记流量所归属的 VLAN，因此不能只看到“trunk”这个词就认定所有 VLAN 均可通过。本课不展开标签的位字段，先掌握入口归属和沿途允许范围。
设 A 在交换机甲的 access VLAN 20，B 在交换机乙的 access VLAN 20，中间 trunk 仅允许 VLAN 10 和 30。两端接入口数字相同仍然不通，因为 VLAN 20 没有连续穿过中间链路。把中间允许列表加入 VLAN 20 后，还需确认端口实际处于转发状态。相反，A 在 VLAN 20、B 在 VLAN 30，即使都配置成 192.0.2.x/24，也不能靠相同前缀把广播越过 VLAN 边界。
常见设计会让同一个 IP 子网对应同一个二层域，这样主机关于“直接找邻居”的判断与广播能覆盖的范围一致。它是便于理解和运维的设计对应，不意味着 VLAN ID 与 IP 前缀存在数学换算，也不意味着交换机会自动核验 IP 配置。把 VLAN 20 改成 VLAN 30，不会自动把主机地址从某个网段改到另一个网段。例题中的同域判断还假设没有端口隔离、访问控制等额外限制，实际验收必须把这些条件写出来。
6 看本机与交换机：ip link、MAC 表与端口状态
先确定检查的是哪个接口。服务器可能同时有管理口、业务口、虚拟接口与聚合接口，名字相近不代表连接方向相同。ip -br link 适合快速列出接口，ip link show dev eno1 展示更完整的链路信息。下面是教学输出，接口名和 MAC 要替换成现场实际值：
$ ip -br link
lo UNKNOWN 00:00:00:00:00:00 <LOOPBACK,UP,LOWER_UP>
eno1 UP 02:00:00:00:00:0a <BROADCAST,MULTICAST,UP,LOWER_UP>
eno2 DOWN 02:00:00:00:00:1a <BROADCAST,MULTICAST>
$ ip link show dev eno1
2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP
link/ether 02:00:00:00:00:0a brd ff:ff:ff:ff:ff:ffUP 标志表达管理上已启用，LOWER_UP 表示底层报告链路可用。管理上关闭是 admin down；管理已启用但没有载波，是另一类问题。下面这种接口不能因为包含 UP 就认定线已接好：
eno1: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 state DOWN没有载波应检查对端端口、线缆和收发条件。反过来，有载波也不能证明 VLAN 正确。若安装了 ethtool 且接口支持查询，可以查看协商结果；虚拟接口不一定提供同样信息，工具缺失或字段不支持不是链路故障证据。
$ ethtool eno1
Speed: 1000Mb/s
Duplex: Full
Auto-negotiation: on
Link detected: yes主机侧的接口状态要与交换侧的学习结果对照。下面分别是 Linux 网桥和交换机的示意输出，两者不是同一套命令语法，也不要求普通服务器一定存在网桥：
$ bridge fdb show br br0
02:00:00:00:00:0a dev swp1 master br0 vlan 20 dynamic
02:00:00:00:00:0b dev swp2 master br0 vlan 20 dynamic
switch# show mac address-table dynamic vlan 20
VLAN MAC address Type Port
20 02:00:00:00:00:0a dynamic p1
20 02:00:00:00:00:0b dynamic p2Linux 网桥输出会随版本、VLAN 感知模式及硬件卸载状态变化；物理交换机命令也随厂商变化。读取时关注 VLAN、MAC、端口、动态或静态属性，别把设备自身的本地条目当成远端学习条目。检查端口配置时再记录 access VLAN、trunk 允许列表、管理状态、运行状态和错误计数。最好让两端在同一时间窗口产生少量受控流量，然后查询，避免把已经老化的静态截图当成现在的路径。教学上常见的动态 MAC 老化时间为 300 秒量级：若两台主机在 5 分钟内没有互相发帧，表项可能被清除，下一次未知单播会再次淹没。验收记录应写清查询时刻与最近一次流量时刻，而不是只贴一张无时间戳的表项截图。把老化时间写进方案附录，便于对照厂商默认值。
7 常见坑：环路、错 VLAN、把 L2 通当成 L3 通
交换机之间多接 1 根线不一定增加带宽。如果新增连接形成二层环路，而又没有有效的环路控制，广播和未知单播的副本可能循环传播。以太网帧没有用于这种二层转发的逐跳 TTL，不能指望它像某些第 3 层报文一样自然耗尽。症状可能是端口流量突然激增、设备响应变慢、重复帧和 MAC 来回移动，同时影响多个业务。
STP 一类机制通过阻止部分冗余路径参与普通转发来避免环路。看到某条冗余链路未转发，不应立即把它强制打开。比如 2 台交换机之间已有 1 条正常转发路径，新增第 2 条路径后，应该先确认它被设计成聚合还是由环路控制管理，再解释端口状态。临时断线也应依据端口图和变更权限执行，避免把唯一上联拔掉。验收记录必须说明冗余路径由什么机制负责。
错 VLAN 则常表现为链路亮着、接口也 UP，但主机找不到预期邻居。IPv4 中，主机会用 ARP 查询邻居的 MAC，例如广播询问“谁拥有 192.0.2.11”。若 B 被接入 VLAN 30，而 A 在 VLAN 20，A 的请求通常无法通过二层交换到达 B。此时先检查 VLAN 与接线比反复修改 DNS 更有针对性，因为请求使用的已经是数字 IP，尚未涉及域名解析。
还有一种相反误判：抓到了对方帧，就宣称 IP 配置正确。二层帧能到达只解决局部交付条件，IP 掩码、网关和路由仍可能错误。例如 A 认为某地址在本地，便直接发 ARP；另一台配置不同的主机却可能把回复交给网关。两边的发送决策不对称，单方向截图无法解释全部行为。S15 会展开这些 IP 判断，本课先把结论限制为“在指定 VLAN、指定方向观察到了指定帧”。
8 案例：机房两台服务器「二层互通」验收
现有 srv-a 和 srv-b，各有 1 个业务接口。约定 srv-a 的当前 MAC 为 02:00:00:00:00:0a，接交换机 p1；srv-b 为 02:00:00:00:00:0b，接 p2。两端使用 VLAN 20，目标是交付可追溯的二层互通结果。先把端口、机柜位置和网线两端标签写进记录，确认检查对象是业务接口，防止在管理网验证成功后误签业务网验收。
第 1 步检查接口与端口：两端管理状态启用、有载波，协商均为预期的 1000 Mb/s 全双工，MTU 按方案为 1500。交换机 p1、p2 均为 access VLAN 20，运行状态允许转发。若中间经过多台交换机，再列出所有承载 VLAN 20 的 trunk，确认允许列表连续。每一项都保留采集时间；没有载波的接口应先处理链路条件，不能用修改 IP 来替代。
第 2 步让双方产生可辨认的源帧。可以在批准的测试环境中临时使用 192.0.2.10/24 与 192.0.2.11/24 作为示例地址，通过少量 ARP 和双向通信触发学习；这些文档地址要替换为现场获准地址并检查冲突。它们只是测试载体，不用一次 ping 成功代替整份二层验收。随后查询 VLAN 20 的 MAC 表，预期看到 A 在 p1、B 在 p2，且连续观察中不跳到意外端口。
第 3 步检查转发是否符合学习状态。首次通信前表为空，发生短暂未知单播淹没是可解释的。双方表项建立后，用受控目的单播观察预期出口，确认没有持续、异常的未知单播扩散。需要直接观察复制行为时，可在批准的测试端口使用镜像或抓包，并说明镜像方向和过滤条件。交换机只显示 2 条正确表项，仍不足以证明任何时候都没有淹没；没有可观测条件时，应写明这一项尚未直接验证。
第 4 步形成交接结论：在约定时间窗口内，两端链路参数符合要求，VLAN 20 路径连续，MAC 双向学习到约定端口，受控帧能够双向交付，未见测试范围内的异常扩散和地址漂移。若小包通过而业务吞吐未测试，就保留这个边界。端口图、MAC 表和测试记录一起归档，后续人员才知道换线后应该恢复什么，而不是只剩一句“网络已通”。
9 排查案例：能 ping 网关却到不了同网段邻居
A 配置为 192.0.2.10/24，网关为 192.0.2.1，B 的预期地址为 192.0.2.11/24。现场现象是 A 能 ping 网关，ping B 却失败。这个结果说明到网关的往返测试在当时成功，不能证明 B 已上线，也不能证明 A 与 B 的端口归属一致。更不能据此写“Internet down”：失败目标是预期同网段的邻居，现有证据没有覆盖互联网路径。
先确认 A 实际如何找 B。这里先假设 A 的地址与路由判断确实将 B 视为本地邻居，完整核查方法留到 S15。A 此时通常要先通过 ARP 取得 B 的 MAC，再发送承载 ICMP Echo 的帧。下面是邻居查询与抓包摘要的教学样本；arp 属于旧工具，未安装时使用 ip neigh 即可。
$ ip neigh show dev eno1
192.0.2.1 lladdr 02:00:00:00:00:01 REACHABLE
192.0.2.11 FAILED
$ arp -n
Address HWtype HWaddress Flags Mask Iface
192.0.2.1 ether 02:00:00:00:00:01 C eno1
192.0.2.11 (incomplete) eno1
抓包摘要：
12:00:01 ARP, Request who-has 192.0.2.11 tell 192.0.2.10
12:00:02 ARP, Request who-has 192.0.2.11 tell 192.0.2.10
12:00:03 ARP, Request who-has 192.0.2.11 tell 192.0.2.10
观察窗口内未见对应 ARP ReplyFAILED 表示这次邻居解析失败，不是永久判定 B 损坏；STALE 则不能直接读成故障，它可能只是条目需要重新确认。缓存中有地址也不代表目标此刻在线。若 ping 显示 Destination Host Unreachable，先看是谁报告的，并结合抓包判断是否因本机解析失败而产生。它与“已向 B 发出 ICMP，收到某设备返回的不可达报文”不是同一条证据链。
路径 A 是 B 没有处于正确接入状态。到 B 本机查看 ip link show dev eno1，如果缺少管理 UP 标志，先确认为什么被关闭；若管理已启用但显示 NO-CARRIER，检查线缆与对端。假设 B 接口正常，却发现交换机 p2 是 access VLAN 30，而 A 在 VLAN 20，就有了具体的域边界差异。A 能 ping 网关，是因为网关的相应接口仍在 VLAN 20，并不能抵消 B 的 VLAN 错误。
switch# show mac address-table dynamic vlan 20
VLAN MAC address Port
20 02:00:00:00:00:0a p1
20 02:00:00:00:00:01 uplink1
未见预期的 02:00:00:00:00:0b
端口核对摘要：p2，access VLAN 30，link up这份 MAC 缺失本身只说明当前表中没有 B 的动态记录，B 可能静默或条目已老化；与端口 VLAN 30 的配置证据结合，才支持“接入域错误”的判断。按变更流程恢复正确归属后，重新产生 B 的源帧，确认 VLAN 20 中出现正确表项，再复查 ARP 与双向通信。修复必须有前后对照，不能只凭配置命令执行成功签字。
路径 B 是地址位置不稳定或接线不符。例如每隔 2 秒查询一次，在连续 3 次采样中看到 B 的 MAC 从 p2 变为 p7，再回到 p2，这叫 MAC 漂移的线索。可能原因包括重复 MAC、未受控环路，也可能有合法迁移或冗余切换，不能立即认定网卡坏了。如果 MAC 稳定出现在 p7，而资产记录写的是 p2，沿网线标签核查实际连接；B 可能被接入了另一个网段对应的端口。先对齐物理端口与 VLAN，再解释地址学习，不要追着缓存反复清表。
路径 C 是继续调查策略与第 3 层处理，但进入这条路径要有依据。若 A 的 ARP 请求到达 B，B 的回复也回到 A，邻居表出现了核实后的 B MAC，而 ICMP 仍失败，再检查端点防火墙、交换机 ACL 或后续第 3 层配置。有些策略也能过滤 ARP，所以“请求无回复”仍需比较 A 出口、B 入口与回复方向的观察。ACL 的规则细节留到后续课程；本课要求先定位丢失发生在哪一步，把 ARP 未获回复与解析成功后的 IP 流量失败分开交接。
放进方案里
方案里的二层验收应写成可重复执行的条件。为每台服务器列出业务接口名、当前 MAC、机柜位置、交换机名、端口号和 VLAN ID；若经过多台交换机，还要列出中间端口及 trunk 允许列表。明确哪一方负责机柜内跳线、跨机柜布线、端口配置和服务器接口配置。需要重接线时，值班人员应能从记录找到负责人，并知道变更后必须重新检查哪些端口。
链路条件单独列出预期速率、双工、MTU、管理状态和运行状态，保留测试前后错误计数及时间。学习条件写明由谁产生源帧，在哪个 VLAN 查询哪些 MAC，预期出现在哪些端口，观察多久；说明老化或首次学习造成的正常短暂淹没，以及如何识别持续异常扩散。冗余链路要注明环路控制或聚合的责任方与运行证据，避免把任何阻塞端口都当作待修复故障。
测试记录应覆盖双向路径。可以约定先产生少量通信，再保存邻居解析结果、交换机 MAC 表和受控抓包摘要；对未测试的报文大小、吞吐量和故障切换明确留项。任何“无异常”的结论都附带观察窗口与范围，不能用空闲时刻的截图替代负载期间的行为。没有镜像或抓包条件时，把未直接观察淹没行为写清楚，避免超出证据签字。
交接时让第 2 名人员按记录独立分类：若 ARP 请求反复发出而没有回复，先查邻居接入、VLAN 和帧的往返路径；若已获得正确邻居 MAC，但本机把目标交给错误网关，或路由选择不符合方案，归入 IP 配置问题并转交后续检查。记录实际目标、接口、时间和报文方向，使接手者能区分“ARP 失败”与“IP 路由失败”。最终签字依据是端口事实、双向学习和测试证据共同满足约定，而不是口头描述“已经能 ping”。
10 小结：走向 IP 寻址（S15）与云上 VPC 对照
以太网帧解决局部链路上的交付，交换机根据源 MAC 学习位置，再根据目的 MAC 转发或淹没。VLAN 划分广播范围，链路状态、转发表与邻居解析分别提供不同证据。判断时可以用 3 个问题自检：这个帧属于哪个 VLAN，交换机从哪里学到源 MAC，目的方向的路径是否经过了实际验证？
S15 将解释主机怎样根据 IP 地址、掩码和路由决定直接找邻居还是交给网关。云上 VPC 常提供子网、虚拟网卡和路由等抽象，但不同云的广播、ARP 与转发实现可能不同，不能照搬物理交换机的观察方法。可迁移的是证据边界：先读平台承诺，再核对接口、邻居与转发路径。S17 再讨论 TCP 如何在 IP 之上组织传输；本课的二层验收只为这些上层行为提供局部交付条件。
下一课转向 S16 IPv6：把本章验收过的结论带进后续主题，写成可检查的方案约束。