一台 1RU，四种供给 C9350 把比特、瓦特、算力与信任装进同一台接入交换机，让配线间成为园区最靠近用户的智能边缘。

C9350# show lldp neighbors

接入交换机欠终端的，从来不只是一根网线

把接入交换机剥到只剩本分，它要对每个终端交付五样东西：比特、瓦特、规则、可信，以及可被管理。过去十年，这五样需求是同时变大的——所以只换更快端口的升级，解决的只是其中一项。

如果五样需求同时变大，一台 1RU 的盒子要换掉哪些部件才跟得上？

背板解剖：C9350 的 7 个关键部件

点击图上区域或右侧列表

C9350 背板（图片来源：Cisco 数据表 Figure 3）。正面另有 USB-C Console、USB-C Host 口、蓝色定位灯与上联模块槽。

• 1三个热插拔电源位
• 2三个 N+1 风扇模块
• 3StackWise-1.6T 端口
• 4StackPower+ 端口
• 5USB 3.0 SSD 槽
• 6RJ-45 Console
• 7RJ-45 管理口

从背面看，C9350 有三样上一代没有的东西：第三个电源位、可更换的 SSD 槽、可选进出风方向的风扇。点击任一部件查看。

C9350# show power inline

配线间控制台：48 个端口，到底要多少电、多少上联？

决定一台接入交换机够不够用的，不是端口数，而是两本账：电力预算和上联收敛比。C9350-48HX 两本账都给得很宽——装满三块 1600W 电源，PoE 预算 4320W，正好等于 48 × 90W；上联最高 4 × 100G，48 个 10G 端口全部跑满时收敛比也只有 1.2 : 1。

边界：Multigigabit 端口在 10/100 Mbps 下只支持全双工；48HXG 的 24 个 1G 口同样不支持 10/100 半双工^[2]。老旧的半双工设备接入前需要确认。

C9350# show policy-map interface

不堵：一个出口拥塞，凭什么让去别处的流量陪着等？

C9350 的 Silicon One A100 用“虚拟输出队列 + 信用调度”把拥塞关在拥塞的那个出口里。这是它与上一代 UADP 接入交换机在缓冲架构上最根本的差别：不是缓冲更大，而是排队的方式变了。

数据来源：架构白皮书^[1]、BRKARC-2668 第 31 页^[3]。

机制清楚了。那么，一个包在 A100 里实际走过哪些站？

落到 QoS 配置上的三个变化

• 8 个队列、最多 7 个优先级队列：入口策略把流量映射到 traffic-class 0–7，出口排队策略只匹配 traffic-class^[3]。
• 三段式策略：入口分类/限速/标记 → 出口排队（整形、优先级、带宽分配）→ 出口标记，中间由信用调度器衔接^[3]。
• 需要更深缓冲时：C9350-48HXG 额外内置 8 GB DDR 内存用于深缓冲，吸收突发流量，并可与其他 C9350 混合堆叠^[2]。

边界：VOQ 消除的是“无辜者被拖累”，不是拥塞本身。出口长期超订时，包仍会在该出口对应的 VOQ 上按策略（如 WRED）丢弃——只是只丢该丢的那一份。

C9350# show sdm prefer

记得住：同样 1RU，凭什么能装下 8 倍的安全规则？

零信任把策略推到了离终端最近的地方，接入交换机要记住的东西因此暴涨。A100 用三张“中央表”分工：LPM 查路由，CEM 查精确匹配，HCAM 查策略。其中 HCAM 以散列表为主、TCAM 兜底，让 C9350 默认就能装下 32K 条 ACE——C9300X 的 4 倍，C9300 的 8 倍。

来源：BRKARC-2668 第 80 页“Choose the right Access Switch for legacy Migration”^[3]。C9350 数值为硬件能力；数据表按当前软件给出的可用规模为 IPv4 路由 192,000、Security ACL 5,000–32,000（仅第一种 ACL 类型可用扩展规模）^[2]，设计时以所用 IOS XE 版本为准。

规则多了，为什么不直接把 TCAM 做大四倍？

C9350# show switch stack-bandwidth

八台如一台：一根堆叠线断了，谁该受影响？

StackWise-1.6T 把堆叠从专有协议改成了标准以太网：VXLAN 封装、基于 SPF 的最短路径转发，由 A100 内专用的堆叠 NPU 线速处理。结果是，环上一根线断了，只有这根线两端的两台从 1.6T 降到 800G，其余成员仍然全速。

来源：架构白皮书^[1]、数据表^[2]。

以太网化之后，多出来的三个好处

• 布线更自由：成环方式不再受限，6 台堆叠可以有多种接法，不再强制一根跨越首尾的长线缆^[3]。
• 无包长限制、与包类型无关：堆叠流量用 VXLAN 封装，中间成员只看堆叠头逐跳转发^[1]。
• 为更大的集群铺路：新架构基于标准以太网与 IS-IS SPF，设计上可支持超过 8 个节点，并与 C9610 的新一代 StackWise Virtual 同源^[3]。

边界：C9350 只能使用 STACK-T1A 系列堆叠线（50 cm / 1 m / 3 m），与 C9300 及更早的堆叠线、StackPower 线均不兼容；同一堆叠内成员需使用相同许可级别^[2]。

数据平面合成了一台，电呢？八台各自的电源能不能也“合成一个”？

C9350# show app-hosting list

配线间里多出来的一台小服务器

C9350 给接入交换机配了一套服务器级的控制平面：x86 CPU、16 GB DDR5、最高 240 GB 可更换 SSD。其中 4 vCPU 与 8 GB 内存专门划给容器，再用 2 个 10G AppGig 端口把应用直接接到转发芯片上——应用离用户只有一跳，又与交换机自身的控制与转发相互隔离。

交换机为什么需要跑应用？把应用放在机房的服务器上不行吗？

来源：架构白皮书^[1]、数据表^[2]、BRKARC-2668 第 8、66、67 页^[3]。

边界：交换机上的算力是为“贴近网络边缘的轻量服务”准备的，不是要替代机房服务器。具体可托管哪些应用、各自占用多少资源，以 Cisco 认证应用列表与 IOS XE 版本说明为准。

C9350# show platform integrity

自证清白：从上电第一条指令开始的信任链

C9350 的安全不只在 ACL 里，而是从“这台设备是不是它自己”开始。Trust Anchor module 作为硬件信任根，逐级验证引导代码与 IOS XE 镜像；这条链在硬件上已为后量子签名做好准备，数据表列出的 PQC 支持始于 IOS XE 26.2.1。数据在线路上则由线速 MACsec 与最高 100G 的硬件 IPsec 保护。

那么，量子计算机威胁的到底是这条链的哪一环？

设备本身可信了，那么从它身上经过的数据呢？

看得见才管得住：硬件 Flexible NetFlow、NBAR 应用识别、SPAN/ERSPAN 镜像、IP Device Tracking 提供终端与应用可见性；与 Cisco XDR 的集成将在后续软件版本提供^[2]。

C9350# show license summary

一台硬件，两种管理：今天的选择，不锁死明天

C9350 把硬件、软件、许可证和支持合成一个系统。同一台交换机、同一份许可证，开箱即可选择被 Catalyst Center（本地）或 Meraki Dashboard（云）认领——不需要 -M 专用型号，不需要转换 CLI，也不必在采购那一刻押注管理方式^[3]。

管理方式为什么值得在硬件层面保持可选？

C9350# show inventory

选型：先问终端，再问端口

C9350 家族共 16 个型号，全部基于 A100、全部支持 StackWise-1.6T、全部可在 Catalyst Center 与 Meraki 之间选择管理方式。差别只在三件事上：下行介质与速率、每口供电等级、以及要不要双 ASIC 带来的 400G 上联。

上联网络模块

所有上联端口线速、与下行端口功能一致；支持在线插拔与 ACT2 硬件认证；交换机默认不含上联模块^[1][2]。

C9350# show running-config

四个场景：四种供给，各自唱主角

同一台 C9350，在不同的楼里被不同的需求“点名”。下面四个场景各以一种供给为主，说明该选哪个型号、开哪些能力。

C9350# write memory

回到起点：这台 1RU 交付了什么

开篇的问题是：五样需求同时变大，接入交换机要换掉什么？C9350 的答案是把芯片、堆叠、供电、控制平面和信任根一起换掉，于是一台 1RU 同时交付四种供给，并用统一的运营方式交到你手里。

1. 比特——拥塞只惩罚拥塞者。A100 的 VOQ + 信用调度把拥塞关在拥塞的出口里；48 × 10G mGig 下行、最高 400G 上联、1.6T 堆叠，让 Wi-Fi 7 的有线回程不再是瓶颈。
2. 瓦特——电是接入层的第二种带宽。三电源位、48 口同时 90W、StackPower+ 共享电力池、Perpetual / Fast PoE，让供电与转发同样可靠。
3. 算力——应用离用户只有一跳。4 vCPU、8 GB、最高 240 GB SSD 与 2 × 10G AppGig，在配线间里托管 ThousandEyes、Spaces 与认证应用，又与转发隔离。
4. 信任——信任根今天就要为明天的攻击者准备。TAm 硬件信任根、PQC 就绪的启动链、线速 MACsec-256 与 100G IPsec，加上 32K 条 ACE 的分段能力。
5. 运营——今天的管理选择不锁死明天。同一硬件、同一许可证，在 Catalyst Center 与 Meraki 之间开箱选择，并以 xFSU、SMU 热补丁、GIR 缩短维护窗口。

决策清单

References

参考资料

1. Cisco. Cisco C9350 Series Smart Switches Architecture White Paper. 更新于 2025-11-20.
2. Cisco. Cisco C9350 Series Smart Switches Data Sheet. 更新于 2026-10-20.
3. Kenny Lei. Cisco C9000 Smart Switches Architecture（BRKARC-2668）. Cisco Live 2025.
4. Cisco. Cisco Power Calculator.
5. Cisco. Cisco Feature Navigator.
6. Cisco. Cisco Silicon One Product Family White Paper.
7. Cisco Meraki. Cloud Management with IOS XE Overview.
8. NIST. FIPS 204: Module-Lattice-Based Digital Signature Standard（ML-DSA）. 2024.
9. NIST. SP 800-208: Recommendation for Stateful Hash-Based Signature Schemes（LMS / XMSS）. 2020.

产品照片与架构图版权归 Cisco 所有，取自上述官方资料。本文研究截止日期：2026 年 10 月 20 日。

Glossary

术语表

A100/L

Cisco Silicon One 家族中面向企业接入的 ASIC，16 nm 单 slice，约 1.3 Tbps / 1.5 Bpps。

VOQ

虚拟输出队列：每个入口为每个出口各维护一条队列，避免队头阻塞。

队头阻塞（HOL）

单一队列中，队首包因目的出口拥塞而停住，连带阻塞其后去往畅通出口的包。

SMS / PD

共享内存缓冲 / 包描述符。包体存于 SMS，芯片内流转与排队的是 PD。

LPM / CEM / HCAM

最长前缀匹配表（路由）/ 中央精确匹配表（MAC、主机路由等）/ 算法 TCAM（ACL、QoS、NetFlow）。

TCAM

三态内容寻址存储器，可按任意掩码并行匹配，速度快但功耗高、密度低。

SDM 模板

决定 ASIC 表项资源如何在各功能之间分配的模板，C9350 默认为 Access 模板。

OGACL

对象组 ACL，用地址组、服务组书写规则，在 Silicon One 上把组成员展开到 CEM。

mGig

Multigigabit，在铜缆上提供 2.5G / 5G / 10G 速率。

UPOE / UPOE+

Cisco 高功率 PoE，对应 IEEE 802.3bt Type 3（60W）/ Type 4（90W）。

Perpetual / Fast PoE

交换机软件重启时保持供电 / 来电后在系统启动完成前即开始供电。

StackWise-1.6T

C9350 的以太网化堆叠，VXLAN 封装、SPF 路径，最多 8 台，1.6 Tbps。

StackPower+

最多 4 台交换机共享电源池，55A 线缆，支持共享与冗余模式。

IOx / AppGig

IOS XE 的应用托管框架（Docker、LXC、KVM）/ 连接应用与数据平面的专用 10G 端口。

TAm / SUDI

Trust Anchor module 硬件信任根 / 写入硬件的安全设备唯一标识证书。

PQC

后量子密码，能抵抗量子计算攻击的密码算法，如 LMS、ML-DSA。

MACsec

IEEE 802.1AE 链路层加密，C9350 以 AES-GCM-256 线速执行。

TrustSec / SGT

按身份标签（Security Group Tag）而非 IP 地址执行的分段策略。

xFSU / SMU / GIR

扩展快速软件升级 / 软件维护更新（热补丁）/ 优雅插入与移除。

SSO / NSF

有状态切换 / 不间断转发，保证控制平面切换时转发不中断。