烽火S5700三层交换机配置实战：登录、VLAN、路由与排错指南

简介烽火通信官方发布的 S5700 系列三层千兆路由交换机操作手册V1.0是一份面向企业网、校园网及 ISP 场景的 CLI 配置指南适用于工程技术人员、工程开通人员、设备维护人员和网络管理人员可帮助读者系统掌握该系列三层千兆路由交换机的开通、配置、维护和故障排查。整包共 1 个 PDF 文件压缩包约 6.89MB方便下载后离线浏览。手册基于 V310R240 软件版本按功能模块组织内容既介绍了设备连接、登录、文件系统与设备文件上传下载等基础操作也详细讲解了链路聚合、VLAN 及 VLAN 转换、静态路由、OSPFv2、路由策略、QoS 队列调度与拥塞控制、安全认证/访问控制/加密、MSTP/BFD/VRRP 可靠性保护以及 SNMP/RMON 运维管理等配置方法每一类功能均配有技术原理说明、配置过程和典型应用举例便于读者将命令直接迁移到实际设备。目前已有 616 人学习浏览可满足从初次部署到日常维护的完整需求。1. S5700 开局前先想清楚登录和保存才是最容易翻车的两步刚接手烽火 S5700 系列三层千兆路由交换机那会儿我以为它和二层交换机一样插上电配几个 VLAN 就能上线。实际开局第一天就翻车管理 IP 没配Telnet 登不进去设备已经在机柜里最后只能扛着笔记本蹲在机柜旁边插 Console 线狼狈得像在修老式路由器。S5700 这种三层千兆路由交换机在园区网、企业接入和 IDC 汇聚里非常常见操作手册对应软件版本 V310R240功能从二层 VLAN、链路聚合一直到 OSPFv2、VRRP、QoS 全覆盖。正因为功能多配置顺序反而比配置本身更重要先打通管理通道再配业务最后保存并验证。适合工程开通、网络运维和刚接触三层交换机的人照着走一遍。2. 登录与基础配置Console、Telnet、SSH 三条通道怎么选2.1 Console 登录串口参数错一个字就是乱码设备第一次上电没有 IP、没有用户名密码唯一能进系统的就是 Console 口。这一步看似简单串口参数却经常出问题。我见过不少同事在 SecureCRT 里直接点“快速连接”结果波特率没改成 9600屏幕上全是乱码还以为是设备坏了。# 新建串口会话设置以下参数后连接 波特率Bits per second: 9600 数据位Data bits: 8 停止位Stop bits: 1 奇偶校验Parity: None 流控Flow control: None这套参数是绝大多数网络设备 Console 口的默认值S5700 也不例外。流控一定选 None如果误开了硬件流控输入命令会出现“打一半丢字符”的诡异现象看起来像键盘失灵实际上是 RTS/CTS 在抢线。连接成功后按回车会看到lt;Switchgt;提示符这就是用户视图只能执行查看和 ping 之类的简单命令。# 从用户视图进入系统视图 lt;Switchgt; system-view # 修改设备名称便于多台设备统一管理 [Switch] sysname S5700-Coresystem-view 是两层视图的分界线。[Switch]表示系统视图VLAN、路由、接口配置基本都在这个视图下完成。sysname 后面跟的设备名不建议用默认的“Switch”几台设备堆在一起时display current-configuration一看全是 Switch根本分不清哪台是哪台。2.2 Telnet 与 SSH远程管理通道的两种配置套路Console 能登进去之后下一步就是打通远程管理通道。S5700 默认不开启 Telnet 或 SSH 服务需要在系统视图下手动配置。先给出一个完整的管理面配置示例再拆开讲每一段的作用。# 创建管理 VLAN 10 并配置 VLANIF 地址 [Switch] vlan 10 [Switch-vlan10] quit [Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.2 24 [Switch-Vlanif10] quit # 开启 Telnet 服务并配置 VTY 用户认证 [Switch] telnet server enable [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] authentication-mode aaa [Switch-ui-vty0-4] protocol inbound all [Switch-ui-vty0-4] quit # 创建本地账号并配置权限 [Switch] aaa [Switch-aaa] local-user admin password irreversible-cipher Admin123 [Switch-aaa] local-user admin service-type telnet ssh [Switch-aaa] local-user admin privilege level 15 [Switch-aaa] quit这段配置里VLANIF 地址是整个管理面的基础。VLAN 10 是管理 VLANip address 192.168.10.2 24给交换机配了一个三层管理地址之后 Telnet 和 SSH 都往这个地址连。authentication-mode aaa表示用本地账号数据库认证比老的authentication-mode password灵活得多后续加人、改权限都在 AAA 视图下操作不用再进 VTY 改配置。protocol inbound all允许 Telnet 和 SSH 同时接入内网调试时用 Telnet 方便外网或跨网段管理时切 SSH 更安全。privilege level 15是超级管理员级别级别不够的话很多命令敲了会直接提示权限不足。如果对安全性有要求用 SSH 替代 Telnet。V310R240 版本对 SSH 的支持已经比较成熟配置 SSH 需要先生成密钥对。# 生成 RSA 密钥对默认 2048 位 [Switch] rsa local-key-pair create The key modulus range is 512 to 2048. Input the bits in the modulus [default 2048]:2048 # 开启 SSH 服务 [Switch] ssh server enable # 限定 VTY 只允许 SSH 接入 [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] protocol inbound ssh [Switch-ui-vty0-4] quit密钥生成时如果选择 512 位老版本设备能通过但安全性太差现在扫描工具对弱密钥特别敏感最低建议 2048。protocol inbound ssh一旦配置Telnet 就被禁止了所以生产环境切换前要确认自己的 SSH 客户端能用别把自己锁在门外。2.3 系统基础配置设备名、用户权限与持久化保存远程管理通道通了之后不要急着配业务。先把设备的基础信息和用户权限整理好不然配置到一半发现权限不够或者重启后配置全丢那才叫欲哭无泪。# 配置系统时钟避免日志时间错乱 [Switch] clock timezone Beijing add 8 [Switch] clock datetime 14:30:00 2025-01-15 # 保存当前配置到配置文件 [Switch] save The current configuration will be written to the device. Are you sure to continue? (y/n)[n]:yclock timezone和clock datetime这两条经常被忽略但设备日志、ACL 时间段的判断都要依赖系统时钟。如果时间不准出问题排查日志时对不上号白折腾半天。最关键的还是saveS5700 的运行配置默认只存在内存里断电就没了。不执行 save 就拔电前面所有配置全部作废这是新手最容易踩的坑而且踩一次记一辈子。用户权限的分配也要在开局时想好。privilege level 15给管理员普通运维给到 level 3 就够用了只能看配置和做基础排查改不了业务。曾经有人图省事所有人共用一个 level 15 的账号后来某次误操作把一台汇聚交换机的配置清了大半查了半天不知道是谁干的从那以后我就坚持按人建账号权限分开。3. 二层网络配置VLAN 划分、链路聚合与接口属性的落地参数3.1 VLAN 创建与接口划分access 和 trunk 别混用管理面打通之后才轮到业务配置。S5700 的二层功能是它的基本功VLAN 划分和接口类型是这里最容易出分歧的地方。# 批量创建 VLAN 10 到 20 [Switch] vlan batch 10 to 20 # 创建指定 VLAN 并命名 [Switch] vlan 10 [Switch-vlan10] name Office [Switch-vlan10] quit # 将接口加入 VLAN 10access 模式 [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch-GigabitEthernet0/0/1] quit # 配置 trunk 接口并放行多个 VLAN [Switch] interface GigabitEthernet0/0/24 [Switch-GigabitEthernet0/0/24] port link-type trunk [Switch-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 to 20vlan batch 10 to 20是批量创建 VLAN 的快捷写法不需要一条条敲省很多事。port link-type access是把接口设为 access 模式这种模式只属于一个 VLAN通常接终端设备比如电脑、打印机。port default vlan 10就是把这个接口划分进 VLAN 10。trunk 接口则完全相反它是一条管道可以同时承载多个 VLAN 的流量一般用于交换机之间的级联或者交换机到路由器、防火墙的互联。配置 trunk 后必须用port trunk allow-pass明确放行哪些 VLAN否则默认只放行 VLAN 1业务 VLAN 的流量直接断掉。这里有一个排查经验VLAN 之间不通时先看 trunk 两端是否都放行了对应 VLAN再看两端 PVID 是否一致最后才看 IP 和路由顺序反了经常白忙活。3.2 链路聚合Eth-Trunk 手工汇聚与负载均衡链路聚合在 S5700 上叫 Eth-Trunk作用是把多个物理接口捆成一条逻辑链路既增加带宽又提供冗余。一个成员口断了流量自动切换到其他成员口物理链路故障基本无感知。# 创建 Eth-Trunk 逻辑接口 [Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] quit # 将两个物理接口加入聚合组 [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] eth-trunk 1 [Switch-GigabitEthernet0/0/1] quit [Switch] interface GigabitEthernet0/0/2 [Switch-GigabitEthernet0/0/2] eth-trunk 1 [Switch-GigabitEthernet0/0/2] quit # 进入聚合口配置 trunk 属性 [Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] port link-type trunk [Switch-Eth-Trunk1] port trunk allow-pass vlan 10 to 20 # 配置负载均衡方式 [Switch-Eth-Trunk1] load-balance src-dst-maceth-trunk 1中的 1 是聚合组编号物理接口加入聚合组后它的二层属性配置就失效了一切以 Eth-Trunk 口上的配置为准。所以别在成员口上配 access 或 trunk要配就配在interface eth-trunk 1下面很多人第一次配置时在物理口上配了 VLAN结果不生效就是这个原因。load-balance src-dst-mac是按源目的 MAC 做负载均衡适合普通二层转发场景。如果后续要做三层路由我一般会改成load-balance src-dst-ip按 IP 五元组哈希更均匀。要注意的是聚合两端设备必须使用相同的负载均衡模式否则报文会乱序表现为视频卡顿、文件传输中断但 ping 一直是通的很迷惑人。3.3 接口属性与 MAC 表速率、双工、老化时间VLAN 和聚合配置好了接口的基础属性也不能忽略。千兆口默认自协商一般没问题但遇到老设备或特殊线缆时自协商失败会导致接口 flapping日志里反复出现 up 和 down。# 强制接口速率和双工模式 [Switch] interface GigabitEthernet0/0/10 [Switch-GigabitEthernet0/0/10] speed 1000 [Switch-GigabitEthernet0/0/10] duplex full [Switch-GigabitEthernet0/0/10] quit # 配置 MAC 地址老化时间 [Switch] mac-address aging-time 300 # 配置黑洞 MAC丢弃指定 MAC 的报文 [Switch] mac-address blackhole 00e0-fc12-3456 vlan 10speed 1000和duplex full是强制千兆全双工适合两端型号明确的场景。但强制模式有一个副作用如果对端是自协商链路可能会协商失败所以非必要不强制保持默认反而更稳。mac-address aging-time 300把 MAC 表老化时间设为 300 秒默认一般是 300 秒如果网络里有大量终端频繁上下线可以适当缩短老化时间让 MAC 表更灵敏。黑洞 MAC 的作用是丢掉指定 MAC 的报文常用于屏蔽某个中毒终端或违规设备的流量比 ACL 简单直接配置一次就生效。4. 三层路由与 IP 业务VLANIF、静态路由、OSPFv2 和 DHCP 怎么配合4.1 VLANIF给每个 VLAN 配一个网关S5700 叫三层交换机核心能力就体现在 VLANIF 上。VLANIF 是一个虚拟三层接口每个 VLAN 对应一个路由流量从这里进出。VLAN 二层通不通是接口的事三层通不通就是 VLANIF 的事。# 创建 VLANIF 接口并配置 IP 地址 [Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Switch-Vlanif10] quit [Switch] interface vlanif 20 [Switch-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Switch-Vlanif20] quitVLANIF 的 IP 地址通常就是该 VLAN 内终端的网关地址。比如 VLAN 10 的网段是 192.168.10.0/24VLANIF 10 配 192.168.10.1那么 VLAN 10 里的终端就把网关指到 192.168.10.1。这里有两条不成文的规矩一是 VLAN 和 VLANIF 编号尽量一致vlan 10对应interface vlanif 10后面排查时一眼就能对上网段二是 VLANIF 的 IP 地址必须和 VLAN 内终端的网段一致如果配成了别的网段终端即使能拿到地址也出不了网。一个 VLAN 对应一个 VLANIF不能重复创建也不能一个 VLANIF 配置两个不同网段的 IP。如果 VLAN 之间要互通交换机只要创建了各自的 VLANIF 并且接口都在线默认就能互相路由。如果发现 VLAN 之间 ping 不通先查这两台终端所在的 VLAN 是否都创建了 VLANIF其次查接口是否 up最后才查路由。4.2 静态路由与 OSPFv2小网靠静态大网靠动态VLANIF 解决的是同一个交换机内部 VLAN 之间的互通跨交换机、跨三层设备就要靠路由协议了。小型网络用静态路由完全够用S5700 的静态路由配置很直白。# 配置到对端业务网段的静态路由 [Switch] ip route-static 192.168.30.0 24 192.168.20.254 # 配置默认路由 [Switch] ip route-static 0.0.0.0 0 192.168.20.254ip route-static 192.168.30.0 24 192.168.20.254的意思是去往 192.168.30.0/24 的流量下一跳交给 192.168.20.254。下一跳地址必须在交换机直连网段内这个条件经常被忽略。有人把下一跳写成了对端路由器的环回口地址结果报文出了交换机就不知道往哪扔路由表里看是存在的实际根本不可达。0.0.0.0 0是默认路由表示所有未知目标都交给这个下一跳。一般汇聚交换机连出口路由器时都会配一条默认路由指向路由器。如果网络规模大了静态路由条目太多维护成本会失控这时就要上 OSPFv2。# 创建 OSPF 进程并配置 Router ID [Switch] ospf 1 router-id 10.0.0.1 [Switch-ospf-1] area 0.0.0.0 [Switch-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [Switch-ospf-1-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [Switch-ospf-1-area-0.0.0.0] quit [Switch-ospf-1] quitospf 1是进程号同一台设备可以跑多个 OSPF 进程互不影响。router-id 10.0.0.1是 OSPF 路由器的身份标识全网必须唯一建议直接用设备接口的环回地址方便排查。network 192.168.10.0 0.0.0.255是反向掩码的通配写法0.0.0.255 表示匹配 192.168.10.0/24 这个网段。配置 OSPF 后要验证邻居关系display ospf peer能看到邻居状态。状态卡在 INIT 或 EXSTART 时最常见的原因是区域 ID 不一致或者两端接口的 MTU 不一致导致数据库同步失败。我一般会把所有核心设备放进 area 0OSPF 单区域是最好维护的多区域带来的好处远没有维护成本高。4.3 DHCP 服务器与中继让交换机自己发地址S5700 集成了 DHCP 服务器功能可以代替单独的 DHCP 服务器给终端下发地址小规模接入场景非常实用。# 全局开启 DHCP 功能 [Switch] dhcp enable # 创建全局地址池 [Switch] ip pool pool10 [Switch-ip-pool-pool10] network 192.168.10.0 mask 24 [Switch-ip-pool-pool10] gateway-list 192.168.10.254 [Switch-ip-pool-pool10] dns-list 223.5.5.5 114.114.114.114 [Switch-ip-pool-pool10] excluded-ip-address 192.168.10.1 192.168.10.50 [Switch-ip-pool-pool10] quit # 在 VLANIF 上引用全局地址池 [Switch] interface vlanif 10 [Switch-Vlanif10] dhcp select globaldhcp select global表示这个 VLANIF 从全局地址池分配地址。地址池里的gateway-list必须和 VLANIF 地址一致否则终端拿到地址但网关不对照样上不了网。excluded-ip-address排除地址段把交换机自身地址、打印机等固定 IP 设备排除出去避免冲突。如果 DHCP 服务器不在本地而是放在核心机房就需要开启 DHCP 中继。S5700 的配置方式是把 VLANIF 的 DHCP 模式改成 relay并指定服务器地址。# 配置 DHCP 中继将请求转发到远端服务器 [Switch] interface vlanif 20 [Switch-Vlanif20] dhcp select relay [Switch-Vlanif20] dhcp relay server-ip 192.168.100.10dhcp relay server-ip指向真正的 DHCP 服务器地址。开启中继后VLAN 20 内的终端广播的 DHCP 请求会被交换机转成单播发给服务器服务器再从对应网段的地址池分配。注意中继场景下VLANIF 的地址必须和终端网段一致否则服务器无法判断该从哪个地址池分配。5. 配置避坑与排查登录失效、VLAN 不通、配置丢失的修复顺序5.1 Console 与远程登录类故障现象一Console 连接后屏幕乱码按键显示异常字符。原因基本只有一个串口参数不对其中波特率错最常见也可能是终端软件把流控开成了 XON/XOFF。解决方法是重新检查串口对话框波特率改成 9600数据位 8停止位 1无校验流控设 None然后重新拔插一次串口线。换终端软件时不要直接沿用上一次的会话配置SecureCRT、Xshell、MobaXterm 对串口的默认参数并不一致。现象二Telnet 能连上但输入用户名密码后立刻断开。原因一般是 VTY 下没配认证方式默认配置不允许登录或者本地账号的 service-type 没包含 telnet账号存在但服务不匹配。解决方法是先用 Console 登录检查user-interface vty 0 4下是不是authentication-mode aaa再确认 AAA 视图里local-user admin service-type telnet是否配置完整。现象三SSH 登录提示没有匹配的 host key 算法。老版本 S5700 生成密钥后SSH 客户端用新算法协商失败。解决方法是重新生成密钥对并指定 RSA 密钥位数 2048同时确认protocol inbound ssh配在正确的 VTY 通道下。如果改了 SSH 配置还是不行在客户端用ssh -v看协商细节一眼就能定位是密钥算法问题还是认证方式问题。5.2 VLAN 和路由不通类故障现象四VLAN 10 的终端 ping 不到 VLAN 20 的终端。排查顺序很重要先看两台终端的 IP 和网关再看交换机接口状态和 VLAN 成员关系最后看路由表。常见的低级错误是某台终端把网关指到了交换机上不存在的 VLANIF 地址或者终端接的接口没有加入对应 VLAN。用display vlan查看接口与 VLAN 的对应关系接口状态是 up 但 display 里没有这个接口那八成是物理口没加进 VLAN。现象五静态路由配了display ip routing-table也能看到但业务始终不通。最常见的原因是下一跳不在直连网段里。静态路由的下一跳必须让交换机通过直连接口能直接到达如果下一跳是隔了一跳的地址路由表里这条路由会显示为 Invalid。解决方法是把下一跳改成对端设备与本机直连的那个接口地址或者改成出接口方式目前常见的做法还是写直连下一跳更稳妥。现象六OSPF 邻居一直卡在 EXSTART。多数是两台设备之间的 MTU 不一致OSPF 报文太大被丢弃数据库同步不上来。解决方法是把互连接口的 MTU 两边改成一致例如都改成 1500然后reset ospf process重置 OSPF 进程观察邻居状态恢复到 FULL。5.3 配置文件与设备文件类故障现象七设备重启后所有配置全部回到出厂状态。这是最让人崩溃的场景原因只有一个配置只保存在运行内存里没有写进配置文件。S5700 的save命令会把运行配置保存为默认配置文件下次启动自动加载。解决方法是配置完成后务必执行save并且看到 The current configuration will be written to the device 的提示后输入 y 确认不要直接关终端窗口。现象八从设备下载配置文件下载下来的文件打开是乱码或者完全空文件。这通常是把二进制启动配置文件直接下载了而不是导出的文本配置。常见做法是在系统视图下用配置导出功能把配置导出为.cfg或.txt文本文件然后用 FTP 或 TFTP 下载。我一般会先把设备当前配置display current-configuration另存到本地留档再考虑从设备拉取文件。5.4 TFTP 上传下载的额外注意TFTP 传配置文件看起来方便但坑不少。TFTP 没有用户名密码认证设备在哪个网段可达谁就能从设备上下载配置文件这在生产环境里是个安全隐患。我一般只在临时调试时用 TFTP日常备份配置文件走 FTP 或 SFTP地址写对、目录写对传完立刻校验文件大小。另外 TFTP 是 UDP 协议没有重传确认机制传大文件时很容易中断。传配置文件、系统升级包这类关键文件传完后一定要对比本地文件和设备文件的字节数是否一致。文件大小差一个字节上传后设备可能启动失败那可比配置丢失更麻烦。6. 装完怎么验证用一轮 display 和 ping 确认 S5700 跑通配置全部完成后别急着拔 Console 线也别急着下班。我习惯按顺序执行一轮验证命令把链路、VLAN、路由、协议逐项确认过确认无误再保存配置。先检查设备配置是否完整display current-configuration是第一步确认 sysname、VLAN、接口、路由、DHCP 全部都在。这一步重点看有没有遗漏的quit如果视图嵌套没退干净后面的配置很可能没生效。接着用display vlan查看 VLAN 和接口的对应关系确认每个 access 口都在正确 VLAN 里trunk 口放行的 VLAN 列表和预期一致。路由部分用display ip routing-table查看路由表确认静态路由状态不是 InvalidOSPF 路由都已经进表。再配合display ospf peer看邻居状态是不是 FULL如果邻居没有 FULL路由表再好看也白搭流量进去就丢。业务验证从终端侧做最真实。找一台 VLAN 10 的电脑配好 IP 和网关后ping 192.168.10.1通的话说明二层链路和 VLANIF 没问题。然后 ping 对端 VLAN 20 的网关和终端地址通的话三层路由正常。如果有 DHCP测试终端改成自动获取地址看能不能拿到 192.168.10.0/24 网段的地址拿到后检查网关和 DNS 是否自动下发成功。最后一步也是最重要的一步save。验证过程中可能有临时改动的参数比如为了测试临时放行的 ACL这些改动如果不保存下次重启就会消失但如果你以为是保存过的排查时就会各种怀疑人生。从那以后我每次配置完设备都会强制自己走一遍“display 验证、终端 ping 业务、save 保存”这三步流程少一步都算没完工。这套流程看着基础实际上能挡住后面 80% 的返工希望帮到你。本文还有配套的精品资源点击获取