S5700三层交换机上架配置：Console、VLAN、OSPF与备份

简介面向网络工程师、设备运维人员与备考网络方向的学习者这份《S5700系列三层千兆路由交换机操作手册_V1.0》是烽火通信官方技术文档用于解决设备开局配置、业务开通与日常维护中缺少系统操作依据的问题适合从入门到进阶的交换机组网实践场景。资源包共1个文件为PDF格式约6.89MB单册即覆盖完整手册内容便于随查随用。手册基于V310R240软件版本编写从基础配置入手讲解设备连接、登录、系统与文件系统配置、文件上传下载继而展开二层以太网的链路聚合、VLAN及VLAN转换IP业务中的静态路由、OSPFv2与路由策略以及QoS的队列调度与拥塞控制。安全配置涉及身份验证、访问控制与加密可靠性配置涵盖MSTP、BFD与VRRP设备管理部分则包括硬件配置、日志管理、软件升级与诊断并延伸至SNMP、RMON运维管理。各功能均按技术原理、配置过程与配置举例三部分组织配合命令行关键字与参数约定说明读者可直接对照完成配置与排错。目前已有617人学习下载适合需要按模块查阅操作依据、快速上手设备调试的读者收藏使用。1. 上架之后第一件事把操作手册 V1.0 和 V310R240 对上号机柜螺丝拧完、双路电源插好、Console 线一接很多人才开始翻 S5700 系列三层千兆路由交换机的操作手册 V1.0。最容易翻车的不是命令不会敲是版本没对上手册封面对应的软件版本是 V310R240而设备出厂烧的可能是更高的补丁版本个别命令字、视图提示、VTY 下的认证参数都会挪位置。照着截图原样敲回车报语法错误人第一反应是怀疑线坏了。这台三层千兆路由交换机在接入层和中小汇聚层出镜率很高配置量不算大但环节一个不少Console 登录、管理地址、VLAN 与 VLANIF、静态路由或 OSPFv2再往后才是 QoS、安全和 MSTP/VRRP。少配一条现象都是“网不通”而排查成本几乎全压在你有没有提前留好管理通道和配置备份上。下面按实际落地顺序走先把登录通道坐实再打系统基线然后一层层把业务配通最后用几条 show 输出和一次真实转发确认它真的在干活。2. 带外通道落地Console、Telnet、SSH 三条登录路径的配置顺序设备到货后第一步不是配业务是确保“以后还能进得去”。这三条路是递进关系Console 是保底通道永远可用Telnet 和 SSH 是日常运维通道必须在管理面收口之后才开。顺序颠倒的后果很常见——先开了 Telnet 再想起来改密码中间那段时间设备就是裸奔的。2.1 Console 口第一个会话终端参数与视图切换Console 线接的是设备面板上的 CON 口不是业务口。终端软件按 9600 波特率、8 位数据位、无校验、1 位停止位、无流控起会话这是绝大多数企业级交换机的默认串口参数。上电后先别急着敲命令让启动信息滚完看到提示符出现再动手中间那些自检输出里往往藏着风扇、电源、板卡的告警后面排查时很有用。# 登录后第一件事确认软件版本和手册封面上的 V310R240 对一下 display version # 进入系统视图视图提示符会从 变成 [ ] system-view # 给设备起个能一眼认出来的名字多台设备同柜时全靠它区分 sysname S5700-CORE-01display version的输出里重点看三行软件版本、补丁版本、BootROM 版本。手册 V1.0 覆盖的是 V310R240如果实际版本比它高后面的命令要以命令行手册为准别硬套操作手册里的截图。system-view之后提示符从中括号包起来说明已经进了配置视图再往下interface、vlan、ospf这些都是一级级嵌套的子视图敲quit逐层退敲return直接回用户视图。视图搞混是新手最常见的卡点在系统视图下敲port link-type access会直接报错因为这条命令只在接口视图下有效。我一般的习惯是敲完interface GigabitEthernet 0/0/1之后盯一眼提示符确认括号里变成了接口名再往下写。2.2 管理地址落在 VLANIF 上Telnet 与 SSH 的开启顺序交换机没有专门的管理网口时管理地址要挂在一个独立 VLAN 的 VLANIF 接口上。我一般单独划一个管理 VLAN比如 999只放一条上行口进去业务 VLAN 里绝不掺管理流量。这样做的直接好处是业务侧 VLAN 出问题、环路、广播风暴都不会把带内管理通道一起拖死。# 建管理 VLAN描述写清楚半年后回来看还认识 vlan 999 description MGMT quit # 管理地址配在 VLANIF 上掩码按管理网段来 interface Vlanif 999 ip address 10.10.99.2 255.255.255.0 quit # 上行口划进管理 VLAN interface GigabitEthernet 0/0/24 port link-type access port default vlan 999 quit管理地址通了之后再考虑开远程登录。这里有个顺序问题先建账号、配权限最后才ssh server enable。反过来做设备在账号还没配好的时候就已经对外监听端口了。# 先建本地账号密码用不可逆加密存储 aaa local-user netops password irreversible-cipher YourStrongPass2024 local-user netops privilege level 15 local-user netops service-type ssh quit # 再开服务、再配 VTY ssh server enable user-interface vty 0 4 authentication-mode scheme protocol inbound ssh quitauthentication-mode scheme表示走 AAA 账号密码而不是 VTY 线路密码这是能不能做分级授权的前提。protocol inbound ssh只放 SSH 进来Telnet 直接被挡在门外如果现场还有老脚本跑 Telnet过渡期可以先写all但要在变更单里标一个下线时间别让它长期躺着。privilege level 15是最高权限只给变更窗口用日常巡检账号给到 2 级能跑display就够了。SSH 首次连接会提示主机密钥指纹这是正常的。密钥对在设备首次启用 SSH 服务时生成如果换过设备或者恢复过出厂配置指纹会变客户端报“密钥不匹配”不是被攻击是设备重新生成了。2.3 管理面收口ACL 白名单、认证方式与超时管理通道能通只是及格线收口才算落地。三条必做源地址白名单、超时自动断、失败次数限制。尤其是把设备挂到办公网段之后扫描器一天能敲几百次 SSH日志刷得比业务日志还快。# 基本 ACL只允许运维网段访问管理面 acl number 2000 rule 5 permit source 10.10.99.0 0.0.0.255 rule 10 deny quit # 应用到 VTY 线路并设置空闲超时 user-interface vty 0 4 acl 2000 inbound idle-timeout 10 0 quitrule 5、rule 10的步长是 5中间留出插入空间后面要临时放行某个地址加一条rule 8就行不用重排整个 ACL。idle-timeout 10 0是 10 分钟 0 秒会话空闲到点自动断避免有人开着终端去开会、回来发现配置被人接着敲。这里有个取舍ACL 拒掉之后被拒的连接不会有任何回应客户端看到的是“连接超时”而不是“拒绝连接”。好处是不暴露设备存在坏处是自己人换了网段之后排查半天以为设备死了。所以我一般在变更记录里写清楚允许访问的源网段出问题先对一下自己电脑的地址。3. 系统基线四件事主机名、时钟、账号、配置文件登录通道打开之后别急着配 VLAN。先把系统基线打平时钟、账号、配置保存习惯。这三样东西在设备正常跑的时候完全感受不到价值等出故障要查日志、要回滚配置的时候缺一样都得现场重来。我见过最惨的一次是设备重启后配置回滚到出厂状态原因就是改完没保存谁都没注意。3.1 时钟与 NTP时间戳对不齐日志等于废纸交换机本地时钟出厂是乱跑的断电几天再上电时间可能差出几个月。这时候display logbuffer打出来的日志全是错的时间戳跟上游设备、防火墙、服务器的日志一对完全串不起来。多设备联合排查时时间不同步基本等于放弃日志这条线索。# 设置时区和本地时间先给个大致准确的基准 clock timezone CST add 08:00:00 clock datetime 2024-06-01 09:00:00 # 再挂 NTP让设备自己校准 ntp-service enable ntp-service unicast-server 10.10.99.1 # 验证同步状态 display clock display ntp-service statusclock timezone CST add 08:00:00里的偏移量按所在时区填写错这一行后面所有日志时间戳都会整体偏移。ntp-service unicast-server指向内网 NTP 源管理网段能通就行别指公网地址。配完不要只看display clock显示的时间对不对要看display ntp-service status里的同步状态和层级。状态显示已同步层级在合理范围内才算真的挂上了。如果一直显示未同步先查管理网段到 NTP 源的三层可达性再看设备有没有配 ACL 把 NTP 报文挡了。3.2 账号与权限把出厂默认口令彻底换掉出厂默认账号是公开信息设备一旦接入网络几分钟内就可能被扫到。这一条是血泪经验不用讨论“我们内网很安全”内网横向移动的第一步就是找默认口令的设备。权限分级按角色来巡检账号给 2 级只能跑display类命令变更账号给 15 级用完即改密码。密码策略能开就开最短长度、复杂度、有效期这三项配上去成本很低。# 建巡检账号只给查看权限 aaa local-user monitor password irreversible-cipher Inspect2024 local-user monitor privilege level 2 local-user monitor service-type ssh quit # 删除或禁用出厂默认账号 aaa undo local-user admin quitundo local-user admin之前务必确认新账号已经能登录成功并且权限足够。顺序反了就是把自己锁在门外只能拿 Console 线现场救。我一般的做法是新开一个终端窗口用新账号实际登一次确认没问题再回原窗口删旧账号。3.3 配置文件与文件系统save、备份与 TFTP 上传下载配置改完不保存重启就白干这是最没有技术含量但发生频率最高的翻车。操作手册里对文件系统的章节写得比较细实际用到的就是dir、save、display saved-configuration这几条加上一次外传备份。# 看当前 flash 里有什么剩余空间够不够放新版本 dir # 保存当前配置到启动配置文件 save # 核对保存下来的内容重点看刚改的那几段在不在 display saved-configurationsave的时候会提示确认文件名直接回车用默认的启动配置文件即可。有些版本会问“是否覆盖”看清楚再按 Y。保存完一定要display saved-configuration翻一遍确认改动的接口、VLAN、路由都在里面别只看“保存成功”四个字。外传备份走 TFTP 最省事维护笔记本上起个 TFTP 服务网线接到管理 VLAN 的接入口就行。# 把配置文件传到维护服务器文件名带上设备名和日期 tftp 10.10.99.1 put flash:/config.cfg S5700-CORE-01-20240601.cfgput是设备往外传get是从服务器往设备拉升级版本、恢复配置都靠这两个方向。文件名里带设备名和日期是因为半年后你会收到一堆config.cfg完全分不清哪份是哪台。传完在服务器上核对文件大小几 KB 的文件如果变成 0 字节多半是 TFTP 服务目录权限或者防火墙拦了别当成设备问题。4. 业务面打通VLAN、VLANIF、静态路由到 OSPFv2 的落地顺序二层不通就配三层三层不通就上路由协议这是很多人赶工期的顺序也是后面返工量最大的顺序。正确的做法是一层一层验证VLAN 内能通、VLAN 间能通、跨网段能通每一层都有对应的 show 命令可以确认。4.1 二层先跑通VLAN 创建与端口加入先建 VLAN再把端口划进去顺序不能反。端口划进一个不存在的 VLAN有的版本会报错有的版本会静默失败后者更坑。# 批量建业务 VLAN vlan batch 10 20 30 # 接入口接终端、接服务器 interface GigabitEthernet 0/0/1 port link-type access port default vlan 10 quit # 干道口上联到汇聚或核心 interface GigabitEthernet 0/0/23 port link-type trunk port trunk allow-pass vlan 10 20 30 quitport default vlan 10是把接入口划进 VLAN 10不写的话默认待在 VLAN 1。port trunk allow-pass vlan必须显式列出要放行的 VLAN不列就不通这是最常见的“链路起来了但业务不通”的原因之一。有些版本支持all我一般不用放行范围写死更安全出了问题也好对。VLAN 1 不要用来承载业务。它是所有端口的默认 VLAN生成树、协议报文都在上面跑业务流量混进去之后抓包分析会非常难受。管理 VLAN、业务 VLAN 全部分开是这类三层千兆路由交换机的基本规范。4.2 三层网关VLANIF 地址与 ARP 核对每个需要互通的 VLAN 配一个 VLANIF 接口地址就是该网段的网关。配完不是看提示符返回就完事要确认接口状态是 up、ARP 表里能看到终端。# 给 VLAN 10 配网关地址 interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit # 核对接口状态和地址 display ip interface brief # 看 ARP 学习情况终端上电后应该能学到 display arpdisplay ip interface brief里重点看两列物理状态和协议状态两个都是 up 才算真的起来。VLANIF 的 up 依赖两点——VLAN 存在且 VLAN 里至少有一个端口处于 up 状态。只建了 VLANIF 没划端口接口会一直是 down这时候配路由、配 OSPF 全是无效操作。display arp是二层到三层过渡的关键检查点。终端能 ping 通网关ARP 表里一定有对应表项ping 不通但 ARP 表里有问题多半在终端侧或者掩码配错。4.3 路由上线静态路由兜底再切 OSPFv2小网络或者上联只有一条链路时静态路由够用而且可预测。跨设备、多路径的场景才上 OSPFv2。切换节奏我一般是这样先用静态路由把业务跑起来确认转发正常再开 OSPF观察邻居建立、路由学习完成最后撤静态。# 默认路由下一跳指向上联设备 ip route-static 0.0.0.0 0.0.0.0 192.168.10.254 # 明细静态路由去往特定网段 ip route-static 172.16.20.0 255.255.255.0 192.168.10.254 # 核对路由表 display ip routing-table0.0.0.0 0.0.0.0是默认路由掩码全 0 表示匹配任意目的地址。明细路由优先级更高两者共存时按最长匹配走。静态路由没有自动收敛能力上联断了它不会消失这是它跟 OSPF 最大的区别也是很多“链路断了业务还往死路走”的根源。OSPFv2 的配置要注意network后面跟的是反掩码不是子网掩码这一点写错的人极多。# 启动 OSPF 进程router-id 用管理地址或者 Loopback 地址 ospf 1 router-id 10.10.99.2 area 0 network 192.168.10.0 0.0.0.255 network 10.10.99.0 0.0.0.255 quit quit # 核对邻居和学到的路由 display ospf peer brief display ospf routingrouter-id建议固定成 Loopback 或者管理地址不要让它自动选。设备重启后接口 up 顺序变化自动选的 router-id 可能变邻居关系会重建一次。network只在匹配的接口上启用 OSPF并宣告对应网段写大了会宣告不该宣告的接口写小了邻居建不起来。display ospf peer brief里状态必须是 Full卡在 ExStart、Exchange 都说明参数有问题。4.4 可靠性别抢跑链路聚合、MSTP、VRRP 的开启时机刚把业务配通就上可靠性特性是另一种常见返工。链路聚合没配好两条线一起接上去直接起环路VRRP 没配优先级主备关系跟预期相反MSTP 域参数不一致两台设备各算各的树。这些都要在业务稳定、链路拓扑确认之后再动。# 静态 LACP 聚合两端模式必须一致 interface Eth-Trunk 1 mode lacp-static quit interface GigabitEthernet 0/0/21 eth-trunk 1 quit interface GigabitEthernet 0/0/22 eth-trunk 1 quit # VRRP 双网关优先级高的当主 interface Vlanif 10 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120 quit聚合口两端的成员口数量、速率、模式都要一致一端lacp-static另一端手工模式聚合口起不来但物理口是 up 的现象很迷惑。VRRP 的priority默认 100主设备配大一点比如 120抢占延迟按业务容忍度设。虚拟 IP 要和实地址同网段配完在终端上ping这个虚拟地址再从主设备上display vrrp确认状态是 Master。5. 避坑排查五条装完才暴露的翻车记录下面这五条都是配置敲完、业务“看起来能跑”过一两天才冒出来的问题。每条按现象、原因、解决三段记遇到类似的先对现象。5.1 登录与保存类Console 能登Telnet 和 SSH 死活连不上。现象是管理网段 ping 得通SSH 客户端卡在连接阶段超时。原因通常是两个VLANIF 起来了但没配user-interface vty或者 VTY 下的protocol inbound只写了ssh而客户端用的是 Telnet。还有一种情况是 ACL 2000 已经应用到 VTY而自己电脑的地址不在白名单里。解决方法是先从 Console 进display current-configuration | include vty看配置再确认display acl 2000的匹配情况最后核对本机地址。改完配置重启所有改动消失。现象是设备重启后主机名、VLAN、路由全回到旧状态。原因只有一个改完没save或者save的时候文件名敲错存成了另一个文件启动时加载的还是原来的。解决方法是每次变更结束强制走一遍save再display saved-configuration对比当前配置两边一致才算结束。我现在的习惯是变更单最后一行永远写“已保存并核对”不写不签字。undo local-user admin之后再也登不进去。现象是新账号还没验证就删了旧账号SSH 直接认证失败。原因是权限变更没有做二次验证。解决办法只有 Console 现场恢复接串口进 AAA 视图重建账号。预防做法是新开一个终端窗口用新账号实际登录一次成功之后再删旧的。5.2 转发与路由类接入口插上电脑DHCP 拿不到地址手工配 IP 也 ping 不通网关。现象是端口灯亮display interface显示 up但业务不通。原因大概率是端口还在 VLAN 1或者port default vlan写了一个不存在的 VLAN。解决方法是display vlan看 VLAN 是否存在、成员口对不对再display port vlan确认端口实际所属 VLAN。有些版本端口划进不存在的 VLAN 会静默失败只能靠这两条命令对。OSPF 邻居一直卡在 ExStart 或者 Exchange。现象是display ospf peer brief里状态不动路由学不到。原因是两端接口 MTU 不一致或者网络类型不匹配也可能是 router-id 冲突。解决方法是两端display interface对 MTUdisplay ospf interface对网络类型display ospf brief对 router-id。MTU 不一致在跨厂商对接时特别常见临时改成一致就能验证。TFTP 备份失败提示超时或者文件为 0 字节。现象是设备上敲tftp命令后长时间无响应。原因是管理面到 TFTP 服务器没有三层可达或者服务器防火墙挡了 UDP 69也可能是 flash 空间不足导致写入失败。解决方法是先在设备上ping服务器地址再display tftp类命令看传输状态服务器侧确认 TFTP 服务目录可写。备份文件传完一定在服务器上看大小0 字节的备份等于没有备份。6. 装完怎么验证用 show 输出和一次真实转发把黑匣子打开配置敲完不等于装完。交换机不像服务器装完系统起个服务就能看到端口监听它的“跑通”要靠一组状态输出加一次端到端转发来证明。我一般按下面这张表逐项过全部对得上才算交付。验证项命令期望结果设备版本display version与手册对应的 V310R240 一致或已记录实际版本接口状态display ip interface brief业务 VLANIF 物理、协议双 up端口归属display port vlan接入口、干道口 VLAN 与规划一致MAC 学习display mac-address终端 MAC 出现在正确端口和 VLANARP 表项display arp网关能学到终端地址无异常重复路由表display ip routing-table直连、静态、OSPF 路由齐全且下一跳正确OSPF 邻居display ospf peer brief状态 Full无频繁重建日志display logbuffer无反复 up/down、无认证失败刷屏表格过完只是静态检查还得让流量真的跑一次。从 VLAN 10 里的一台终端 ping 网关再 ping VLAN 20 里的终端最后 traceroute 一个跨网段地址。# 终端侧先网关再跨网段最后看路径 ping 192.168.10.1 ping 192.168.20.10 tracert 172.16.20.10三段结果含义不同ping 网关通说明二层接入和 VLANIF 没问题ping 跨网段通说明 VLANIF 之间路由正常tracert 路径正确说明上联和路由协议收敛没问题。任何一段不通就回到对应的 show 命令上查别跳步。还有一条容易被忽略断开再恢复。把上联口 shutdown 再 undo shutdown观察 OSPF 邻居重建、路由恢复、业务恢复的耗时。这个动作能暴露静态路由不会自动失效、BFD 没联动、VRRP 抢占延迟过长这类问题而这些恰恰是在真故障发生时才会暴露的。做完这一整套设备才算真的落地。从那以后我每次交付交换机不管工期多紧save加display saved-configuration对比这一遍都强制走完TFTP 备份文件在服务器上确认大小之后才关终端。不是因为流程好看是被“重启回到出厂配置”坑过一次那次半夜在现场重新配了四十多条命令。希望帮到你。本文还有配套的精品资源点击获取