简介烽火通信S5700系列三层千兆路由交换机操作手册V1.0定位于网络集成商、企业IT运维及工程技术人员系统讲解基于CLI的配置与维护方法适用于企业网、园区网、ISP等多样化网络环境。压缩包内为1个PDF文档体积6.89MB目前已有616人学习使用。手册层次分明从设备连接、登录方式、基本系统与文件系统配置等基础操作入手逐步展开二层以太网的链路聚合、VLAN与VLAN转换IP业务的静态路由、OSPFv2与路由策略以及QoS队列调度、拥塞控制等进阶功能安全部分涵盖身份验证、访问控制与加密可靠性部分详述MSTP、BFD、VRRP并进一步给出设备管理、日志与硬件配置和SNMP、RMON运维管理配置。各知识点以技术原理、配置过程和配置举例三层次呈现便于读者对照命令直接实践快速掌握S5700在实际项目中的部署、维护与排障能力是一份难得的官方操作参考。1. 烽火交换机 S5700一本能照着完成三层开局的操作手册烽火交换机 S5700 系列三层千兆路由交换机网上资料不少但真正能照着把 VLAN、静态路由、OSPF、VRRP 一串配置完整跑通的手册不多。这本 V1.0 操作手册对应的软件版本是 V310R240覆盖从 Console 登录、文件系统、链路聚合、VLAN/QinQ到静态路由、OSPFv2、QoS、安全、可靠性以及 SNMP/RMON 运维的全套 CLI 配置路径。对工程开通、设备维护和网络管理的人来说它不像是产品彩页更像是一张开局排错地图。适合那种“设备已经到手手册还没细看先想清楚每一步配置为什么这么写”的从业者。2. 基础配置Console、Telnet、SSH 三种登录方式与文件系统的五个关键动作2.1 先分清管理口与业务口开局路径的第一步拿到 S5700 的第一件事不是急着敲配置命令而是先分清手册里说的“管理接口”和“物理接口”。管理接口一般指 Console 口负责带外管理物理接口才是业务转发用的端口。开局时设备没有任何 IP带内管理根本进不去只能走 Console。连接方式是 console 线接笔记本串口然后在终端软件里建一个串口会话。常见的串口参数是 9600 波特率、8 位数据位、无校验、1 位停止位也就是常说的 9600-8-N-1。很多新手连不上问题不在设备而在 USB 转串口芯片驱动没装好或者串口号选错。我的习惯是先打开设备管理器看 COM 口是否枚举出来再检查终端软件的流控是不是被误开了。登录成功后会出现命令行提示符这时候才算真正进入设备。下一步才是配置设备名、管理 IP、登录密码这些基础内容。2.2 Console、Telnet、SSH 的配置链与取舍三种登录方式的配置顺序我的习惯是先用 Console 做初始配置开一个带内通道远程调完后立刻把 Telnet 关掉只留 SSH。Telnet 的配置比较简单先给管理 VLAN 配上 IP再进 VTY 用户界面设置认证方式和用户权限Switch system-view [Switch] interface vlanif 1 [Switch-Vlanif1] ip address 192.168.1.2 255.255.255.0 [Switch-Vlanif1] quit [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] authentication-mode password [Switch-ui-vty0-4] set authentication password cipher 设置一个密码 [Switch-ui-vty0-4] user privilege level 3这段逻辑很直白VLANIF 1 是管理网段的三层接口配好 IP 后设备就有带内地址了。VTY 0 4 表示同时允许 5 个远程登录会话认证方式选 password 最省事。user privilege level 3 这个参数决定了登录用户的权限级别给维护人员用可以给工程调试人员用也够但别直接给 15。SSH 的配置比 Telnet 多三件事生成主机密钥、VTY 里声明只接收 SSH 协议、在 AAA 里建一个本地用户并指定服务类型[Switch] rsa local-key-pair create [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] protocol inbound ssh [Switch-ui-vty0-4] authentication-mode aaa [Switch-ui-vty0-4] quit [Switch] aaa [Switch-aaa] local-user admin password cipher 设置一个强密码 [Switch-aaa] local-user admin service-type ssh [Switch-aaa] local-user admin privilege level 15protocol inbound ssh 是关键它把 VTY 通道限制成只接受 SSHTelnet 请求会被直接拒绝。local-user 是本地账号service-type 必须写成 ssh否则客户端登录时会报“服务类型不匹配”。我一般会顺手把 rsa 密钥长度选大一点太短的密钥在部分终端软件里会被安全性检查拦下来。提示SSH 配置后先别断开当前 Console 会话另开一个窗口验证 SSH 能正常登录确认无误再关 Console。否则配置写错设备就变成黑匣子了。2.3 文件系统与配置保存不 save 的配置等于白写手册里花了很大篇幅讲文件系统不是凑字数这是设备运维的后悔药。S5700 的配置文件、系统软件、日志文件都存在设备存储空间里目录操作和文件操作是日常维护的基础。我列一份高频命令参考操作常见命令说明查看当前目录dir列出文件及大小看剩余空间切换目录cd flash:/默认系统文件在 flash 根目录显示运行配置display current-configuration当前正在生效的配置显示保存配置display saved-configuration下次开机要加载的配置保存配置save把当前配置写入存储介质恢复出厂reset saved-configuration删除启动配置重启后失效配置保存是我反复强调的动作。很多维护事故的根因就一句话改完配置没保存设备一重启全都回到昨天。save 之后最好再执行一次 display saved-configuration 确认文件时间和内容这一步花不了十秒钟但能避免大半夜跑机房。设备文件上传下载方面手册提到了 TFTP 和 zmodem 两种路径。TFTP 适合批量备份配置文件但 TFTP 本身没有认证只能在临时调试网络里用跨公网传文件非常危险。zmodem 走的是串口会话文件小、网络环境差的时候反而更可靠。我在现场一般优先 zmodem 拉取配置再用 TFTP 做批量分发。注意文件传输前先 dir 确认存储空间够用不然传一半报错配置文件和系统镜像都有可能损坏。3. 二层以太网链路聚合、VLAN 与 QinQ 的配置顺序3.1 接口基础属性与 MAC、ARP 表让端口先“听话”S5700 的二层配置起点是物理接口属性。speed、duplex、link-type 这三个参数决定了一个端口能不能正常转发。手动配置速率和双工时两端必须一致否则会出现连接指示灯亮着、流量却跑不动的情况。现在多数场景下用自协商最省事除非是接服务器网卡这种需要固定速率的场景。MAC 表和 ARP 表的操作容易被忽略但排障时非常有用。常见做法是把关键服务器做成静态 MAC防止 MAC 漂移给网关地址做静态 ARP防止 ARP 欺骗[Switch] mac-address aging-time 300 [Switch] mac-address blackhole 0023-4567-89ab [Switch] mac-address static 0012-3456-789a interface gigabitethernet 0/0/1 vlan 10 [Switch] arp static 192.168.10.1 0012-3456-789amac-address aging-time 控制动态 MAC 的老化时间默认值偏短时大流量业务会频繁刷新表项老化的太慢则可能导致 MAC 表溢出。黑洞 MAC 的作用是丢弃匹配该源或目的 MAC 的报文常用在防 MAC 攻击场景。静态 ARP 表项优先级最高配了之后设备不会再学习这个 IP 对应的新 MAC适合网关和核心设备。3.2 链路聚合把多根物理链路合并成一条逻辑链路链路聚合在手册里叫端口汇聚价值很直接把多条物理链路绑成一个逻辑接口带宽叠加链路冗余。两台设备之间本来要跑 4 条千兆链路聚合后就是一个 4G 的逻辑口同时任何一根线断了流量会自动切到其他成员口。聚合有两种模式手工聚合和 LACP 动态聚合。手工聚合配置简单但两端状态需要人为保证一致LACP 模式让两端通过协议协商成员口状态更稳。现场部署我一般用 LACP[Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] mode lacp [Switch-Eth-Trunk1] quit [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] eth-trunk 1 [Switch-GigabitEthernet0/0/1] quit把端口加入聚合组之后这个成员口就不再单独转发二层流量它的属性要跟着 Eth-Trunk 接口走。这里有个经常翻车的点成员口加入聚合组之前如果已经配了不同的 VLAN 属性或速率双工对端设备协商时就会出问题。正确做法是先统一所有成员口的速率、双工和链路类型再执行 eth-trunk 加入命令。聚合配完一定要在两端各执行 display eth-trunk 确认成员口都是 Selected 状态。如果出现部分端口 Unselected先查物理链路和两端模式别急着改配置。3.3 VLAN 与 QinQ从本地隔离到跨园区透传VLAN 的配置本身不复杂但 S5700 手册把 VLAN、VLAN 转换和 QinQ 放在一起讲说明实际组网里经常要组合使用。先建 VLAN再把端口按 Access 或 Trunk 划分进去[Switch] vlan batch 10 20 30 [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch] interface gigabitethernet 0/0/24 [Switch-GigabitEthernet0/0/24] port link-type trunk [Switch-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30三种端口类型的行为差异拿一张表说明就够了链路类型入方向处理出方向处理适用位置Access带 Tag 的帧丢弃不带 Tag 的帧打上 PVID剥离 Tag 转发接终端、服务器Trunk放行的 VLAN 保留 Tag 转发PVID 对应的 VLAN 剥离 Tag其余保留交换机互连Hybrid可配置多个 VLAN 的 Tag 保留或剥离灵活控制特殊组网Trunk 口最常见的问题是两个一个是只配了 port trunk allow-pass vlan 但漏了 native vlan也就是 PVID导致对端设备收到不带 Tag 的帧无法识别另一个是两端 Trunk 放行的 VLAN 列表不一致VLAN 10 在 A 端通了、在 B 端断了查了半天发现是 B 端没放通。QinQ 的场景更偏运营商和园区骨干。它给内层 VLAN Tag 外面再套一层外层 Tag这样不同楼栋的相同 VLAN 可以在骨干网上复用。配双标签工作状态时端口要允许外层 VLAN 通过同时开启 QinQ 封装。这里要注意一个物理限制加了外层 Tag 后帧长度变大如果中间链路 MTU 设置太小大帧会被丢弃。手册里这个章节虽然篇幅不大但实际项目中涉及跨区域 VLAN 透传时非常实用。4. 三层路由与 IP 业务VLANIF、静态路由、OSPFv2 与 DHCP4.1 VLANIF二层转三层的网关位置VLAN 划分好之后不同 VLAN 之间默认是不能互访的因为它们处于不同的二层广播域。要让它们互通必须在三层交换机上给每个 VLAN 建一个 VLANIF 接口充当这个网段的网关。[Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Switch-Vlanif10] quit [Switch] interface vlanif 20 [Switch-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Switch-Vlanif20] quitVLANIF 的概念不复杂VLAN 是二层隔离域VLANIF 是给这个隔离域配的三层入口。配置完成后VLAN 10 的终端把网关指到 192.168.10.1VLAN 20 的终端把网关指到 192.168.20.1两个网段就能通过交换机内部路由互通。配完不是直接认为通了要验证三件事display ip interface brief 看 VLANIF 状态是否 Updisplay ip routing-table 看直连路由是否生成再用两个网段的终端互 ping。实际操作里 VLANIF 起不来多半是底层 VLAN 没有端口成员接口状态是 Down 的路由表里自然就没有直连路由。4.2 静态路由与 OSPFv2手工链路与动态路由的配置要点S5700 作为三层交换机接上游核心或出口路由器时必然要跑路由。静态路由是基础适用于网络规模小、拓扑稳定的场景[Switch] ip route-static 0.0.0.0 0.0.0.0 192.168.254.254 [Switch] ip route-static 10.1.0.0 255.255.0.0 192.168.254.253 preference 90第一条是默认路由把访问外网和未知网段的流量都扔给上游网关。第二条是回程路由preference 90 表示手动调低优先级用于做备份链路。静态路由的写在配置里很透明缺点是拓扑一变就要手工改所以核心区域建议跑动态路由。OSPFv2 的配置核心是进程、Router ID、区域和 network 四条线[Switch] ospf 1 router-id 10.0.0.1 [Switch-ospf-1] area 0.0.0.0 [Switch-ospf-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [Switch-ospf-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [Switch-ospf-area-0.0.0.0] network 10.0.0.0 0.0.0.255router-id 必须是全 OSPF 域内唯一一般用手工指定回环地址别依赖系统自动选不然设备重启后 router-id 可能变化。network 后面的掩码是反掩码0.0.0.255 对应 255.255.255.0这里是新手最容易写错的地方。区域 0 是骨干区域非骨干区域必须与骨干区域相连否则邻居关系建立不起来。配完 OSPF 后用 display ospf peer 看邻居状态是不是 Full用 display ip routing-table 看 OSPF 路由有没有进表。我遇到过不少次邻居一直卡在 ExStart 或 Exchange查到最后要么是两边的 network 宣告范围不一致要么是 hello 间隔或认证参数不匹配。这类问题靠“看配置”是看不出毛病的必须看协议状态。4.3 DHCP 服务器与中继地址下发的两种落地方式S5700 可以承担 DHCP 服务器角色给终端下发地址减少一台独立的 DHCP 服务器。全局地址池是常见做法[Switch] dhcp enable [Switch] ip pool office [Switch-ip-pool-office] network 192.168.10.0 mask 255.255.255.0 [Switch-ip-pool-office] gateway-list 192.168.10.1 [Switch-ip-pool-office] dns-list 223.5.5.5 [Switch-ip-pool-office] excluded-ip-address 192.168.10.1 192.168.10.99参数含义分别是地址池网段、下发给终端的网关地址、DNS 服务器、保留地址段。其中 excluded-ip-address 特别容易漏服务器和打印机这种要固定 IP 的设备必须先排除掉再分配否则地址冲突的工单能淹没人。如果终端和网关不在同一台设备上就要用 DHCP 中继。中继的作用是终端广播的 DHCP 请求到达交换机后交换机把请求单播转发给真正的 DHCP 服务器再把服务器的回应送回终端。配置中继时关键是三层接口上要指定 DHCP 服务器地址同时保证交换机到服务器之间路由可达。很多中继不生效不是中继配置的问题而是交换机到服务器这段路由没通。DHCP 配置完成后在一台终端上释放并重新获取地址然后在交换机上执行 display dhcp server statistics 查看地址分配计数。如果客户端一直拿不到地址先确认 VLANIF 和地址池网段是否一致再看设备上是否开了 DHCP Snooping 并拦截了合法请求。5. 避坑与常见问题S5700 配置里五个高频翻车现场这一章把这些年配置 S5700 过程中最常见的五类问题整理成“现象—原因—解决”三条式新手可以按图索骥熟手也能拿来当排障清单。5.1 登录与文件系统类Console 乱码、SSH 连不上、保存不生效现象一Console 线接上后终端全是乱码或者完全无输出。原因一般是串口终端参数和设备的默认参数不一致常见的有波特率选错、数据位校验位不匹配也有一些是 USB 转串口线芯片驱动没装好系统里根本没有出现对应的 COM 口。解决方法是确认串口会话参数为 9600-8-N-1关闭所有流控开关再检查设备管理器里 COM 口号换一个终端软件重新连接。Console 口本身一般不会坏十次里有九次是软件问题。现象二SSH 无论如何都连不上报错五花八门。原因集中在三个环节VTY 没有执行 protocol inbound ssh、本地用户没有配 service-type ssh、设备没有生成 RSA 主机密钥。解决思路是从设备侧往外查先 display ssh server status 确认 SSH 服务已开启再确认 VTY 配置最后确认本地用户权限和密码。真正发现问题后往往就是少了一条命令的事。现象三明明 save 了重启后配置还是丢。原因是把 save 和保存到启动配置文件搞混了。设备运行配置保存在内存里save 之后才写入存储介质成为下次启动加载的配置。有些版本里 save 还会要求输入配置文件名如果选了非默认文件名启动时加载的还是原文件。解决方法是 save 后立刻执行 display saved-configuration 确认配置文件时间和大小。三个月前吃过一次亏改完核心汇聚的 VLAN顺手 save 了以为万事大吉一周后设备重启整段业务配置全没了因为当时 stop 在了内存态。从那以后save 后必看 saved-configuration没有例外。现象四改动配置后发现错了想回滚无从下手只记得“好像改过几条命令”。原因是没有提前导出当前配置。S5700 支持 TFTP 和 zmodem 上传下载但很多人在配置前根本不会想到备份一次。解决方法是任何变更开始前先执行 display current-configuration 并把输出保存到本地文件这一步只花两分钟但能省掉一整晚的回滚猜谜过程。5.2 二层与三层类VLAN 通不了、聚合起不来、OSPF 邻居卡住现象五VLAN 之间 ping 不通或者终端能 ping 通网关但跨网段就断。这是个综合问题原因可能是 VLANIF 没建、Trunk 没放通、路由表缺条目也可能是终端网关指向错误。解决的排查路径我固定为三条命令display vlan display ip interface brief display ip routing-table这三条分别回答“二层 VLAN 和端口成员对不对”“三层接口是否 Up 且地址对不对”“路由表里有没有到目标网段的路径”。按这个顺序查大多数 VLAN 互通问题十分钟内能定位。切忌一上来就怀疑配置先看这三张表再动配置。现象六链路聚合成员口状态起不来流量仍走单链路。原因多半是成员口加入聚合组之前属性不一致比如有的口是 Access、有的口是 Trunk或者两端聚合模式一个手工一个 LACP。解决方法是把成员口的速率、双工、链路类型、VLAN 属性全部统一后再重新加入 Eth-Trunk。加入后两端分别执行 display eth-trunk 1确认成员口是不是 Selected 状态。聚合不像 VLAN两端配置必须严格对齐差一个参数就会出现会话成员全部掉线的情况。现象七OSPF 邻居起不来状态一直停在 Init 或 ExStart。原因集中在 network 反掩码写错、router-id 冲突、区域 ID 不一致、hello 间隔或认证参数不匹配。解决办法是看协议统计display ospf peer display ospf errordisplay ospf error 里的计数非常直接哪种错误在涨就查哪一项。比如出现 “Area Mismatch”就是两边区域不一致出现 “Auth-Type Mismatch”就是认证类型或密钥不一致。OSPF 排障最忌闷头改配置看一眼 error 统计方向立刻就有了。5.3 QoS 与可靠性类队列调度不生效、VRRP 切换异常这类问题不像二层三层那样天天遇到但一旦遇到就是割接级故障。先说 QoS 队列调度很多人配置了队列权重但拥塞发生时流量还是从缺省队列走。原因是接口的调度模式、队列映射和实际流量所属的优先级没有对齐。解决方法是先看清接口的 trust 模式和队列权重配置再用设备内置的队列统计确认各队列是否有流量命中。VRRP 的问题则更隐蔽。VRRP 主备切换失败先查优先级、虚拟 IP 和抢占模式两端是否一致用 display vrrp 查看当前主备状态。如果配置了 BFD 联动还要确认 BFD 会话状态是 Up。我见过一次割接中主设备被拔电后业务中断数分钟查到最后是 VRRP 和 BFD 的联动参数配置反向导致主备状态无法收敛。这类问题不做切换演练根本发现不了所以我的习惯是任何 VRRP 组网变更后必须做一次主备切换演练再收工。6. 上线前最后三件事QoS 队列验证、VRRP 切换演练与配置回滚前五章把 S5700 的主要配置链路走了一遍最后一章想聊三个容易被忽略但非常关键的验证习惯。它们不是手册里某一条具体命令而是把手册内容落地成生产力的动作。第一件事QoS 队列验证。配完队列调度后不要只看配置要看流量进了哪个队列。常见做法是临时打一路测试流量给报文打上指定 DSCP 标记再通过接口上的队列统计确认它进入了期望的队列。如果配置的权重和实际流量优先级对不上拥塞时还是会出现关键业务被丢弃的情况。第二件事VRRP 切换演练。配置完成后在备用设备上执行一次强制切换确认主备状态能正确翻转业务能自动恢复。VRRP 的坑不在配置而在没验证静态配置的 VRRP 在正常运行时看起来都是对的只有真正切一次才知道问题在哪。第三件事配置回滚闭环。任何变更都按这个顺序走# 变更前保存当前配置快照到本地 display current-configuration pre_change.cfg # 变更完成并验证后再执行一次保存 save # 变更后拉取新配置作为备份 display current-configuration post_change.cfg这套流程看起来简单但执行过的人都知道它才是真正的后悔药。有一次在线割接我把一个接口的 Trunk 放行列表改错了现场又没做快照只能凭记忆往回改结果越改越乱业务中断了将近一个小时。从那以后不管多小的变更我都强制走一遍“导出→变更→验证→保存→再导出”的闭环。希望帮到你。本文还有配套的精品资源点击获取