简介《S5700系列三层千兆路由交换机操作手册_V1.0》面向企业网络、校园网及ISP场景中的工程技术人员、开通维护与网络管理人员系统讲解烽火S5700系列三层千兆路由交换机的CLI配置方法与典型应用。手册覆盖基础配置、文件系统与文件上传下载、链路聚合、VLAN及VLAN转换并延伸至静态路由、OSPFv2、路由策略、QoS队列调度与拥塞控制、安全访问控制、MSTP/BFD/VRRP可靠性机制以及设备与运维管理配置过程配有功能原理和举例便于按模块查阅和现场排错。压缩包仅含1个PDF文件约6.89MB适合作为日常配置参考与版本V310R240的学习资料。该手册已有617人学习适合希望系统掌握设备配置、补齐路由交换知识或进行故障排查的读者收藏使用。1. 一台三层千兆路由交换机的手册到底该怎么用机房里那台三层千兆路由交换机上架之后真正让人卡住的通常不是装柜子、插模块而是手册翻开之后不知道从哪一节开始照做。这份 S5700 系列三层千兆路由交换机的操作手册 V1.0 对应软件版本 V310R240九个章节从基础配置一路排到运维管理每一节基本是「技术原理—配置过程—配置举例」的三段式结构。它不是命令字典具体参数得去配套的命令行手册里核对它真正值钱的地方是告诉你一段业务该按什么顺序配、配完之后用哪几条命令验证、出问题往哪一层回退。刚接手设备开通的工程人员可以照着顺序走一遍要给现网做整改的维护人员则可以把它当成一份可核对的流程清单来用而不是临时抱佛脚翻命令。2. 从 Console 到 VLAN 透传手册第 1、2 章的落地顺序第 1 章和第 2 章是整本手册里被翻得最烂的两章也是最容易被人跳过的两章。很多人拿到设备第一反应是插网线 Telnet 上去改配置结果发现管理口地址没配、Telnet 没开、用户权限级别不对来回折腾半小时。手册把这两章排在最前面是有道理的先把带外通道打通再把文件系统摸清楚最后才动二层转发。顺序反了后面每一次改配置都在赌运气。2.1 先认接口再选登录通道手册 1.2 节把接口分成管理接口和物理接口两类这个划分决定了你第一次登录该走哪条路。管理接口是独立于业务转发的带外通道业务口全 down 的时候它还在物理接口就是前面板那一排千兆口跑业务也跑带内管理。第一次上电、设备还是出厂配置的时候唯一能进去的路是 Console。Console 口登录的物理条件是线序和波特率手册里给的是标准串口参数速率、数据位、停止位、校验位一个都不能错速率错了看到的就是一堆乱码。这条血泪经验很多人都有过以为设备坏了其实是终端软件里波特率选成了 115200 而设备跑的是 9600。进得去之后视图是分层的用户视图、特权视图、全局配置视图、接口视图每层的提示符不一样敲错视图是新手最常见的翻车点。带内通道我一般按「先 SSH 后 Telnet」的顺序配Telnet 明文传输只在临时调试时开配完立刻关。下面这段是创建管理用户、开 SSH 的典型写法视图层级和手册第 1 章一致具体命令关键字以命令行手册为准# 进入特权视图再进全局配置视图 enable configure terminal # 创建管理用户用户名 netadmin权限级别 15密码密文存储 username netadmin privilege 15 password cipher Admin12345 # 开启 SSH 服务并生成 RSA 密钥对模长 2048 ip ssh server enable crypto key generate rsa modulus 2048 # 指定 VTY 线路只允许 SSH 接入最多 5 个并发会话 line vty 0 4 login local transport input ssh exit这段配置的逻辑顺序不能颠倒先有本地用户VTY 才能做login local认证先开 SSH 服务密钥生成才有落点。privilege 15是最高权限级别手册 1.4.5 节专门讲了用户与权限的对应关系工程开通阶段用高级别没问题交付前建议按角色拆成两三个低级别账号运维只给查看和部分配置权限。transport input ssh这一行是很多人漏掉的不写的话 VTY 默认还可能接受 Telnet等于 SSH 白配了。提示密钥生成是阻塞操作在低端设备上可能要十几秒期间终端没反应不代表卡死别急着断电。2.2 文件系统与配置备份TFTP 和 zmodem 各管一段手册 1.5 到 1.7 节讲文件系统、配置文件和上传下载这部分内容看着枯燥但它决定了你出故障时有没有后悔药。设备里的存储分两类系统文件启动镜像和配置文件running-config / startup-config。日常改的是运行配置掉电不丢的是启动配置两者之间靠一条保存命令连接。太多人改完配置直接拔电源重启之后发现全没了这就是没执行保存。备份通道手册给了两条TFTP 走网络zmodem 走串口。前者快适合批量后者不需要网络可达设备网络还没通的时候它是唯一选择。我一般在上架当天就把出厂配置和交付配置各备一份命名带上日期和版本号。# 查看存储目录与剩余空间确认镜像和配置文件都在 dir # 查看当前运行配置 show running-config # 将运行配置写入启动配置掉电不丢 write # 通过 TFTP 把启动配置备份到服务器 copy startup-config tftp://192.168.1.100/s5700-20240612-v1.cfg # 需要回滚时反向拉取覆盖前先备份当前配置 copy tftp://192.168.1.100/s5700-20240612-v1.cfg startup-config参数上要注意三点。第一TFTP 服务器的地址必须和设备管理口或某个 VLANIF 同网段可达跨网段要保证路由和 ACL 放行TFTP 走 UDP 69很多安全策略会顺手把它拦掉。第二备份文件名带日期是硬要求我见过同目录下五个都叫backup.cfg的现场最后没人分得清哪个是割接前的。第三回滚不是覆盖完就完事覆盖的是启动配置必须重启或者手动加载才生效中间这段时间设备跑的仍然是旧运行配置容易误判。zmodem 的用法在手册 1.7.2 节串口终端软件里选发送/接收文件设备侧敲对应的上传下载命令速率受串口波特率限制几百 KB 的配置能忍几十 MB 的镜像就别想了。它的价值场景很单一但很关键设备网络没通、又必须把镜像刷进去的时候。2.3 VLAN 与 Trunk二层转发的骨架第 2 章是整本手册里篇幅最大的一章以太网接口、MAC 表、ARP、链路聚合、VLAN、QinQ 全在里面。实际工作中最高频的是 VLAN 和链路聚合这两块。VLAN 的配置本身不复杂复杂的是端口类型的选择access 口属于一个 VLANtrunk 口透传多个 VLANhybrid 口可以按需打不打标签。手册 2.6 节把基于接口的 VLAN 划分讲得比较细照着配就行。# 创建业务 VLAN 和服务器 VLAN vlan 10 name office exit vlan 20 name server exit # 上联口配 trunk放行 10 和 20 interface GigabitEthernet 0/1 port link-type trunk port trunk allow-pass vlan 10 20 exit # 接入口配 access划进 VLAN 10 interface GigabitEthernet 0/2 port link-type access port access vlan 10 exitport trunk allow-pass vlan这一行是重点trunk 口默认只放行 VLAN 1不显式放行的话对端过来的带标签帧到这儿就被丢了表现是链路 up、业务不通非常典型的排查场景。另外一个细节改了端口 link-type 之后端口下的 VLAN 相关配置可能被重置所以正确顺序是先定 link-type再配 allow-pass 或 access vlan顺序反了要重配一遍。2.4 链路聚合先建组再挂成员链路聚合在手册 2.5 节分手工模式和 LACP 静态模式。手工模式两端都强制 up不协商配错一端也能起来但流量可能全跑一条LACP 模式会协商一端配错就起不来反而更容易发现问题。我倾向 LACP出问题时的现象更明确。# 创建聚合组 1工作模式为 LACP 静态 interface Eth-Trunk 1 mode lacp-static exit # 把两个物理口加入聚合组成员口下不要再配业务属性 interface GigabitEthernet 0/3 eth-trunk 1 exit interface GigabitEthernet 0/4 eth-trunk 1 exit # 验证查看聚合组状态与成员口 show eth-trunk 1几个硬性约束同一聚合组内的成员口速率、双工必须一致光口和电口不能混绑成员口加入聚合组之后端口下原有的 VLAN 配置要以聚合组为准成员口上单独配的业务属性不生效两端聚合组的模式必须匹配一端 LACP 一端手工大概率起不来。验证的时候不要只看聚合组是 up要进成员口逐个看两个成员口都 Selected 才算真正生效一个 Selected 一个 Unselected 的情况在双绞线长度差异大或者光模块不匹配时很常见。3. 三层能力怎么落地VLANIF、静态路由与 OSPFv2 的先后顺序二层通了只是把接入打通真正让这台设备区别于二层交换机的是第 3 章 IP 业务和第 4 章三层路由。这两章的逻辑关系是先有 VLANIF 这种逻辑三层接口才谈得上配地址有了地址才谈得上路由有了路由才谈得上 DHCP 中继把跨网段的地址发下去。顺序错了配一半发现不通回头找不到是哪一环断的。3.1 VLANIF 是三层的第一道门槛VLANIF 接口是给 VLAN 配的三层逻辑口一个 VLAN 对应一个 VLANIF配了 IP 就能做该网段的网关。手册 3.2 节给的配置项不多但坑集中在两处一是 VLAN 必须先创建VLANIF 才能 up二是 VLANIF 里至少要有一个物理口处于 up 状态并且属于该 VLAN否则 VLANIF 协议状态是 down地址配了也不通。# 先确保 VLAN 已创建再把地址配到 VLANIF 上 vlan 10 exit interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 no shutdown exit # 验证查看接口状态与地址 show ip interface brief show interface Vlanif 10show ip interface brief这条命令建议养成习惯一眼能看到所有三层口的物理状态、协议状态和地址比逐个show interface快得多。协议状态 down 而物理状态 up 的 VLANIF九成是底下没有活着的成员口。3.2 静态路由写之前先想清楚回程静态路由在手册 4.2 节语法简单到没什么可讲的目的网段 掩码 下一跳。但它是最容易写错的一类配置因为错误不会报错只会表现为「去得回不来」。默认路由0.0.0.0/0指向出口网关这是常规操作问题在于写完之后对端设备上有没有回程路由如果没有你这边能 ping 出去回来的包在上一跳就被丢了。# 默认路由指向出口网关 ip route-static 0.0.0.0 0.0.0.0 192.168.10.254 # 明细路由去 172.16.20.0/24 走另一台三层设备 ip route-static 172.16.20.0 255.255.255.0 192.168.10.253 # 验证查看路由表确认下一跳和出接口 show ip route参数上有个容易被忽略的点多条静态路由到同一目的网段时优先级preference决定谁生效值小的优先等价路由可以做负载分担但前提是优先级相同。排查「路由明明配了却不生效」先看路由表里这条在不在再看它的优先级有没有被别的路由压住最后看下一跳是否可达下一跳不可达的静态路由不会进转发表这是很多人卡住的地方因为配置确实「配上了」。3.3 OSPFv2区域划分和 network 宣告OSPFv2 在手册 4.3 节是这套设备做中型网络动态路由的主力。配置骨架就三件事起进程、划区域、宣告网段。看起来简单实际翻车点集中在宣告方式和邻居状态上。# 启动 OSPF 进程 1指定 Router ID ospf 1 router-id 10.0.0.1 # 进入区域 0骨干区域 area 0.0.0.0 # 宣告直连网段注意反掩码 network 192.168.10.0 0.0.0.255 network 10.0.0.1 0.0.0.0 exit exit # 验证邻居状态与路由学习情况 show ospf neighbor show ospf routingnetwork后面跟的是反掩码255.255.255.0要写成0.0.0.255这个转换新手经常写反。Router ID 建议手工指定别依赖自动选举否则设备重启后 ID 变了排查日志会对不上。邻居状态要看是不是 Full停在 ExStart 或者 Exchange 多半是 MTU 不匹配或接口 MTU 被改过邻居 Full 了但路由没学到要查区域划分是不是跨了非骨干区域以及有没有做路由策略把路由过滤掉了。3.4 DHCP 服务器与中继地址池别建错设备手册 3.3 节把 DHCP 服务器和中继放在一起讲这个安排很实用因为现网里两者经常同时存在核心交换机做 DHCP 服务器给某些网段发地址另一些网段因为网关在别处需要配 DHCP 中继把请求转过去。判断标准很简单谁是这个网段的网关地址池就建在谁身上或者至少建在能直达该网段的设备上。DHCP 中继的本质是把广播报文改成单播发给指定的服务器地址所以中继口必须配服务器的 IP且中间路由可达。# DHCP 服务器全局开启建地址池 dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.20 exit # 在网关接口上应用全局地址池 interface Vlanif 10 dhcp select global exit # DHCP 中继在需要中继的接口上指定服务器地址 interface Vlanif 20 dhcp select relay dhcp relay server-ip 192.168.10.1 exitexcluded-ip-address这段排除范围是必须配的网关、服务器、打印机这些静态地址如果不排除早晚会被动态分配出去撞车。中继场景下最容易犯的错是服务器上的地址池没写gateway-list或者写的网关和实际网关不一致客户端拿到地址但上不了网抓包能看到 DHCP 交互全流程正常问题出在网关字段上。4. QoS、安全与可靠性三块最容易被跳过的配置手册第 5 到第 7 章很多人在开通阶段直接跳过QoS 觉得带宽够用不用管安全觉得内网没必要可靠性觉得单机也能跑。等出了事再回来翻往往已经在生产环境上了。这三块的价值不在于配得多复杂而在于出问题时有没有兜底。4.1 队列调度与拥塞控制先分类再排队手册第 5 章讲 QoS核心是两个动作队列调度和拥塞控制。队列调度决定拥塞时先发谁的包拥塞控制决定队列满了之后丢谁。两者都建立在一个前提上——报文得先被分类和标记不打标记的流量默认进同一个队列配了等于没配。# 定义流分类匹配语音 VLAN 的流量 traffic classifier voice operator or if-match vlan-id 30 exit # 定义流行为标记 DSCP 为 EF保证转发优先级 traffic behavior voice-behavior remark dscp ef exit # 定义流策略把分类和行为绑起来 traffic policy voice-policy classifier voice behavior voice-behavior exit # 在入方向上应用 interface GigabitEthernet 0/5 traffic-policy voice-policy inbound exitif-match的匹配条件越具体越好用 VLAN 或者 ACL 圈定范围别用泛匹配把所有流量都标成高优先级——那样等于没分级。remark dscp ef是给报文打标记下游设备如果信任这个标记就能接着按优先级调度不信任的话标记白打。队列调度部分手册给了 SP、WRR、WFQ 几种方式实际配置里最稳的是混合模式关键业务走 SP 保证时延其余流量走 WRR 按权重分带宽纯 SP 的问题是低优先级队列可能被饿死。4.2 安全配置端口安全与访问控制手册第 6 章讲安全涵盖身份验证、访问控制这些内容。落到日常最高频的两条是端口安全和 ACL。端口安全用来限制某个接入口能学到多少个 MAC防止有人私接小交换机或者乱插设备把 MAC 表撑爆ACL 用来做最基础的访问控制比如只允许管理网段访问设备的 VTY。# 端口安全单口最多学习 2 个 MAC超限丢弃并告警 interface GigabitEthernet 0/6 port-security enable port-security max-mac-num 2 port-security protect-action restrict exit # 基础 ACL只允许 192.168.100.0/24 访问设备管理面 acl number 2000 rule 10 permit source 192.168.100.0 0.0.0.255 rule 20 deny source any exit line vty 0 4 acl 2000 inbound exitprotect-action有三个取值丢弃、告警、关闭端口。办公区我一般用 restrict超限直接丢包并记日志不关端口避免误伤机房核心接入可以用 shutdown宁可断也不让异常 MAC 进来。ACL 的规则顺序是从小到大匹配第一条命中就生效所以permit的具体规则一定要排在deny any前面写反了整个网段就被自己关在门外了。4.3 VRRP、MSTP、BFD可靠性三件套的组合顺序手册第 7 章的可靠性配置三个协议各管一段MSTP 管二层防环和链路冗余VRRP 管三层网关冗余BFD 管故障的快速检测。这三个不是随便配的顺序上有讲究。先把 MSTP 配好因为 VRRP 的虚拟网关建立在 VLANIF 上而 VLANIF 能不能快速切换取决于二层拓扑收敛速度。MSTP 的实例划分要和 VLAN 规划对应不同实例的根桥分开避免所有流量都走同一台设备。# MSTP创建域配置实例与 VLAN 映射 stp region-configuration region-name core instance 1 vlan 10 20 instance 2 vlan 30 40 active region-configuration exit # 实例 1 的根桥优先级调低 stp instance 1 priority 4096 # VRRPVLANIF 10 上做主备网关主设备优先级 120 interface Vlanif 10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30 exitpreempt-mode timer delay 30这个延迟参数是防止主设备重启后立刻抢回导致刚收敛的拓扑再抖一次。BFD 用来加速 VRRP 和静态路由的故障感知正常 VRRP 靠通告报文超时判断秒级挂上 BFD 能做到毫秒级代价是两端都要配参数要对齐。三件套里最容易漏的是 BFD 的对端配置只在一端开会话起不来而 VRRP 会照常工作你以为加速了其实没有。5. 五条踩坑记录从现象反推到配置下面这几条都是从现网里扒出来的每一条都符合「配置看着没问题、现象却完全不对」的特征。写出来不是为了吓人是让你遇到同类现象时少走两小时弯路。5.1 Trunk 口链路 up业务全不通现象上联口指示灯正常show interface显示 up但下面挂的终端全拿不到地址跨 VLAN 访问全断。原因trunk 口没有显式放行对应的 VLAN。很多型号的 trunk 口默认只放行 VLAN 1业务 VLAN 的带标签帧到这儿直接被丢弃不报错、不告警日志里什么都没有。解决show interface GigabitEthernet 0/1看端口 VLAN 放行列表缺哪个补哪个port trunk allow-pass vlan all可以用但不建议现网一律按需放行放行列表本身就是一层隔离。改完之后用show vlan确认 VLAN 存在且成员口正确。5.2 链路聚合起来了流量只跑一条现象show eth-trunk 1显示聚合组 up两个成员口都是 up但抓包或者看接口流量统计一条跑满一条几乎为零。原因两端聚合模式不匹配一端 LACP 一端手工或者成员口的速率、双工不一致还有一种情况是流量哈希算法单一源目 MAC 相同的一条流只会走一个成员口这是正常的不是故障。解决两端模式先对齐再看成员口状态是不是都是 Selected有 Unselected 的说明协商没通过查物理层和模块最后确认是不是单流场景多开几条并发流再看分布。5.3 OSPF 邻居 Full路由学不到现象show ospf neighbor显示邻居状态 Full但show ospf routing里没有对端的业务网段。原因邻居 Full 只代表 LSDB 同步完成路由能不能进表还取决于宣告范围、区域划分和路由策略。最常见的是对端没有network宣告那个网段或者宣告在了错误区域其次是本端做了路由过滤或者路由策略把条目拒了。解决先在对端设备上show ospf routing看它自己有没有这条路由没有就是宣告问题有的话回到本端查show ip route和路由策略配置。跨非骨干区域的邻居即使 Full 也不会直接交换路由得靠虚连接或者区域调整这一点手册在区域章节里提过但很容易被忽略。5.4 配置备份恢复后设备行为和原来不一样现象把割接前的配置文件恢复到设备上重启之后大部分业务正常但个别功能不生效。原因配置文件只覆盖配置项不覆盖文件系统里的东西。比如某些特性依赖独立的证书、密钥文件或者补丁包配置里只有引用路径文件不在就失效另外配置文件的版本和设备当前运行的软件版本不一致时部分命令会被忽略。解决备份的时候同时备配置文件和dir的完整输出恢复前先比对软件版本版本不一致先降/升级。恢复后不要只看show running-config逐项show验证关键特性状态比如 SSH 密钥是否存在、VRRP 是否 Master、聚合组是否 Selected。5.5 双机做了 VRRP出现双主现象主备两台设备的 VLANIF 上都显示 VRRP 状态 Master终端时通时断ARP 表里同一个虚拟 IP 对应两个 MAC。原因两台设备之间 VRRP 通告报文不通。中间隔了二层设备但没放行 VRRP 协议报文或者 ACL 把组播地址拦了两边都收不到对方通告各自认为自己是 Master。解决先确认两台设备的 VRRP 配置里 vrid、virtual-ip 完全一致认证方式和密码一致再查中间链路是否放行了 VRRP 报文最后看优先级配置如果两台优先级相同会按接口 IP 大小选举容易出现和预期相反的选举结果手工把主设备优先级调高并配置抢占延迟。6. 把手册变成可复现的配置基线我的三步验证法手册翻熟了之后真正拉开差距的不是记得住多少条命令而是有没有一套固定的验证动作。我现在的习惯是把每次交付拆成三步每一步都留可回看的证据。第一步是配置基线快照。设备配完、业务验证通过之后立刻做三件事show running-config保存成文本、dir输出存一份、show version记下软件版本。三份文件放同一个目录命名带设备编号和日期。这份快照就是后续所有对比的原点没有它三个月后没人说得清当时配了什么。第二步是变更前后的差异比对。任何一次配置修改改之前拉一份当前配置改完再拉一份用文本比对工具过一遍。这一步能抓出大量「顺手改的」和「忘了删的」配置尤其是临时加的调试命令和测试 ACL。手工比对太累的话写个小脚本每次都跑#!/bin/bash # 变更前后配置比对输出差异行 BEFOREcfg-before-$(date %Y%m%d).txt AFTERcfg-after-$(date %Y%m%d).txt # 通过 SSH 拉取运行配置设备已开 SSH 且脚本机可达 ssh netadmin192.168.10.2 show running-config $AFTER # 与变更前快照比对只看差异 diff -u $BEFORE $AFTER脚本本身没什么技术含量价值在于把「比对」变成不需要动脑的固定动作。ssh那行要求脚本机能带内访问设备执行账号建议单独建一个只读级别别拿管理账号跑定时任务。第三步是分层验证。二层看show vlan和show mac-address确认 VLAN 成员和 MAC 学习正常三层看show ip interface brief和show ip route确认接口协议状态和路由表业务层从终端侧 ping 网关、ping 跨网段、ping 外网三层都通才算完。跳过任何一层问题都会在别的地方冒出来。验证层关键命令判定标准二层show vlan / show mac-addressVLAN 成员口齐全MAC 能学到三层show ip interface brief / show ip route接口协议 up路由条目存在业务ping / tracert网关、跨网段、出口三段通从那以后我每次上架新设备都强制把这三步走完再交付哪怕工期再紧也不省。省下来的那二十分钟往往要用两个小时的夜间排障来还。手册给的是方法和边界真正让它变成战力的是你自己补上去的那套固定动作。希望帮到你。本文还有配套的精品资源点击获取