网络设备全景

这一课你将能做到

1. 一句话说清交换机、路由器、防火墙、负载均衡器各自的转发依据
2. 看懂一台服务器的「网卡—网关—出口」路径上每台设备做了什么
3. 在云上找到这四类设备的对应物（子网 / 路由表 / 安全组 / SLB）

为什么要学

设备是概念的载体。你以后排障说的每一句话——「查下 MAC 表」「放行下五元组」「看下健康检查」——都对应某台设备的某个模块。云没有消灭设备，只是把它们变成了控制台里的表单。这一课给你设备视角的全景图，并直接映射到本站的 Nginx + K8s + 云上部署场景。另外，「画出你熟悉的公司网络拓扑」几乎是网络岗必考的面试题，答题素材就来自这一课。

先建立图像

 PC ── 交换机(L2:按MAC转发) ── 路由器(L3:按IP选路) ── Internet
                                 │
                        防火墙(L4:按五元组放行 / 拒绝)
                                 │
                     负载均衡(L4/L7:按策略分发到多台后端)
                                 │
                        ┌────────┼────────┐
                      web1     web2     web3

四类设备四个关键字：MAC、IP、五元组、分发策略。记住这张图，后面所有排障命令都是在问这四类设备中的某一台。

跟着做

步骤 1：看本机的「路由器视角」

ip route                # 内核路由表，等价于路由器的选路依据
ip route get 8.8.8.8    # 模拟查表：这个包从哪个口、哪个网关走
tracepath -n 你的网关IP  # 看逐跳

步骤 2：看交换机视角——ARP 与 MAC 表

ip neigh                # 本机 ARP 缓存：IP ↔ MAC

真交换机上对应 show mac address-table（学到的 MAC 在哪个口）；云上没有直接对应物，被虚拟化封装了，但排查 Pod 间二层问题时，CNI 网桥的转发表就是它的等价物。

步骤 3：看防火墙视角——五元组规则

sudo iptables -L INPUT -n --line-numbers    # 本机防火墙规则（顺序即优先级）
# 云上等价物：安全组 / 网络 ACL
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT   # 放行 443

步骤 4：搭一个最小七层负载均衡（Nginx）

upstream backend {
    server 127.0.0.1:8081;
    server 127.0.0.1:8082;
}
server {
    listen 80;
    location / {
        proxy_pass http://backend;
    }
}

python3 -m http.server 8081 & python3 -m http.server 8082 &
curl -s localhost | head -3    # 多跑几次，轮流命中两个后端

生产上连续 502 时，先在这个最小实验里复现分发与摘除行为，排除云上变量再查生产配置。

云上对应：NLB（四层，按 IP+端口转发）、SLB/ALB（七层，按 HTTP 规则分流），健康检查配置位置也在各自控制台里。

步骤 5：传统设备 ↔ 云上四件套对照

传统设备	云上形态	你在哪配
交换机	VPC 子网 / VSwitch	控制台网络页
路由器	VPC 路由表	路由表条目