简介这份《S5700系列三层千兆路由交换机操作手册_V1.0》是烽火通信官方发布的设备配置指南面向网络工程、运维及项目交付人员旨在帮助读者快速掌握该系列三层千兆路由交换机的CLI操作与业务部署方法。手册按功能模块组织覆盖基础配置、二层以太网、IP路由、QoS、安全、可靠性及设备管理等九大章节包含技术原理、配置过程与典型应用举例适合作为工程开局、日常维护及认证学习的参考手册。资源为单个PDF文件压缩包大小约6.89MB内容完整清晰便于离线查阅或打印使用。目前已有616人学习或下载在同类设备手册中具有一定参考热度。1. 烽火 S5700 三层交换机开局版本选不对配置全白费接手过网络设备运维的人基本都碰过这种情况新到一台三层交换机Console 线插上SecureCRT 里敲了一串 VLAN 和路由配置结果业务一上线就发现二层转发正常、三层网关不通查了半天才发现是软件版本跟手册对不上命令敲进去完全不认。烽火 S5700 系列三层千兆路由交换机就是这么一台容易让人栽跟头的设备——它支持二层交换和三层路由适合企业网、校园网和运营商接入场景但前提是软件版本得匹配手册。这份 S5700 操作手册对应的是软件版本 V310R240手册版本 V1.0发布于 2018 年 7 月。我最早踩的坑就是没看版本直接拿旧手册配新设备结果 OSPF 的命令视图都不一样。本文会把 S5700 从 Console 登录、基础系统配置、VLAN 和链路聚合到 VRRP、MSTP 这些可靠性功能的配置过程捋一遍最后给出验证跑通的方法。不管是工程开通人员还是设备维护人员照着这套流程走能省掉大半的排障时间。2. 开局准备三种登录方式和基础系统配置2.1 接口认知管理接口和物理接口先分清S5700 前面板上有两类接口容易混管理接口和业务物理接口。管理接口通常是独立于业务转发的专用口用于带外管理IP 地址单独配置物理接口则是 GE 电口或光口跑业务流量。刚接触这台设备的人最容易犯的错是在物理接口上配置管理 IP导致设备管理面跟业务面混在一起网络一拥塞 SSH 就卡死。查看接口状态用 display interface 命令能看到接口的物理状态和协议状态。物理状态 Up 只代表线缆连通协议状态 Up 才代表链路可用。光口要注意跳纤的收发是否接反电口要看网线是否 8 芯全通百兆环境只通 4 芯也能亮但是速率上不去。2.2 Console 口登录第一次进设备的标准路径新设备第一次配置没有 IP 地址、没有账号密码只能走 Console 口。用随机附带的 Console 线连接电脑串口和设备的 Console 口在终端软件里新建连接选对串口号波特率 9600数据位 8停止位 1无校验流量控制关闭。这几个参数错一个都会出现乱码其中波特率是最常见的坑。串口参数配置完成后回车出现命令行提示符首次登录通常无需密码或使用默认空密码直接进入用户视图。这里建议立刻设置 enable 密码和登录密码否则设备处于裸奔状态任何能碰到 Console 口的人都能进系统。2.3 Telnet 和 SSH 登录远程管理的两种方式Console 配好基础 IP 后就可以开远程管理了。Telnet 配置简单但明文传输适合内网调试环境SSH 加密传输生产环境必须用。SSH 配置前需要先生成 RSA 密钥对否则客户端连接会直接报错。配置 Telnet 登录的核心命令块sysname S5700-01 interface Vlanif 1 ip address 192.168.1.10 255.255.255.0 quit telnet server enable user-interface vty 0 4 authentication-mode password set authentication password cipher Huawei123 user privilege level 15这里在 Vlanif 1 上配置管理 IPVlanif 1 是交换机的默认管理 VLAN 接口。telnet server enable 开启 Telnet 服务user-interface vty 0 4 表示允许 5 个虚拟终端同时登录认证方式设为密码密码用 cipher 加密存储privilege level 15 表示登录用户直接拥有最高权限。SSH 配置相比 Telnet 多几步核心代码块如下rsa local-key-pair create ssh server enable user-interface vty 0 4 authentication-mode aaa protocol inbound ssh quit aaa local-user admin password cipher Admin123 local-user admin service-type ssh local-user admin privilege level 15rsa local-key-pair create 生成设备侧 SSH 密钥对generate 过程中提示输入密钥长度选 2048 位。protocol inbound ssh 限制该 vty 通道只接受 SSH 连接能挡住 Telnet 明文流量。AAA 方式认证需要单独建用户service-type ssh 限定该用户只能用于 SSH 登录。2.4 文件系统操作配置文件备份和恢复S5700 的文件系统操作很容易被忽略等到配置丢了才后悔。设备上的配置文件放在 flash 根目录下默认配置文件名通常是 config.conf 或类似命名。升级或改大配置前先把当前配置备份到电脑上这是最便宜的回滚方案。备份配置文件用 TFTP 方式tftp 192.168.1.100 put flash:/config.conf config_backup.conf这条命令把设备 flash 里的配置文件上传到 TFTP 服务器 192.168.1.100 上保存为 config_backup.conf。这里要注意 TFTP 服务器软件需要提前在电脑上开启目录权限要允许写入。电脑的 IP 地址要跟设备管理 IP 在同一网段否则 tftp 请求直接超时。恢复配置反过来用 tftp 192.168.1.100 get config_backup.conf flash:/config.conf然后执行 reboot 重启加载。文件传输过程中不能断电否则 flash 里的配置可能损坏这属于物理层的玄学问题但只要传输完成基本不会出事。2.5 设备管理配置的隐藏坑系统环境配置里有几个参数看起来不起眼实际影响很大。设备名称 sysname 要提前规划好后续 SNMP、日志、远程登录都靠它标识设备。系统时间如果不准确日志的时间戳会误导排障方向建议上线时手动校准或配置 NTP。用户权限分级要按角色分配普通维护人员给 level 1-5 的只读权限就够了别图省事全给 level 15。我见过一台交换机被误操作清空配置的案例就是所有维护人员共用最高权限账号谁都能敲 reset saved-configuration。3. 二层业务配置VLAN 规划、链路聚合和 QinQ3.1 创建 VLAN 和划分端口VLAN 是二层交换机最基础的功能S5700 支持基于端口的 VLAN 划分也支持基于协议的 VLAN。实际项目里 90% 的场景用基于端口就够。创建 VLAN 的命令极其简单但端口划分的细节容易出错。vlan 10 description Finance vlan 20 description IT interface GigabitEthernet 0/0/1 port link-type access port default vlan 10 interface GigabitEthernet 0/0/2 port link-type trunk port trunk allow-pass vlan 10 20vlan 命令进入 VLAN 视图description 给 VLAN 加备注方便后期维护。access 口用于接终端设备只能属于一个 VLAN接电脑和打印机都用 access。trunk 口用于交换机之间互联允许多个 VLAN 通过接上行设备用 trunk。这里有个常见翻车点trunk 口忘记 allow-pass vlan导致跨交换机同 VLAN 不通排查半天发现是放行列表没配。配置完 VLAN 后用 display vlan 查看 VLAN 列表和端口归属确认每个接口都在正确的 VLAN 里。3.2 链路聚合从单纤故障到业务无感知链路聚合把多条物理链路绑成一条逻辑链路既增加带宽又提供冗余。S5700 支持手工聚合和 LACP 协议聚合推荐用 LACP 模式能自动检测对端状态。interface Eth-Trunk 1 mode lacp-static load-balance src-dst-ip quit interface GigabitEthernet 0/0/3 eth-trunk 1 interface GigabitEthernet 0/0/4 eth-trunk 1interface Eth-Trunk 1 创建聚合组 1mode lacp-static 指定为静态 LACP 模式load-balance src-dst-ip 设置负载均衡算法为源目的 IP 哈希。接着把物理口加入聚合组。这里注意物理口加入聚合组后原来的端口配置会失效VLAN 配置要在 Eth-Trunk 接口上重新配。聚合链路配置连接服务器或交换机时对端也要做同样的聚合配置两边模式必须一致。LACP 模式下如果对端没配聚合链路会变成 errordown 状态这是典型的配置不对称导致的问题。3.3 VLAN 转换和 QinQ运营商场景的标签操作QinQ 是 802.1Q 的扩展在原有 VLAN Tag 外面再打一层 Tag主要用于运营商接入用户、私网 VLAN 透传的场景。S5700 支持端口双标签工作状态配置。interface GigabitEthernet 0/0/5 port link-type dot1q-tunnel port default vlan 100 port vlan-stacking enable port vlan-stacking vlan 100 stack-vlan 300dot1q-tunnel 模式让端口把收到的报文都打上外层 Tagvlan-stacking vlan 100 stack-vlan 300 表示把内层 VLAN 100 的报文外层打上 VLAN 300 的标签。这里要注意dot1q-tunnel 端口默认不学习 MAC 地址需要根据实际场景决定是否需要开 MAC 学习。QinQ 配置最常见的坑是内外层标签搞反调测时用抓包软件看报文确认外层 Tag 是否跟规划一致。3.4 MAC 地址表和 ARP 表排障的第一手依据MAC 表和 ARP 表是二层和三层排障的入口。display mac-address 查看 MAC 表项确认设备 MAC 是否学习到正确端口。display arp 查看 ARP 表确认 IP 和 MAC 的对应关系。手工配置静态 MAC 表和静态 ARP 表用于安全加固防止伪造 MAC 攻击网关。黑洞 MAC 配置用于丢弃指定 MAC 的报文对付中毒终端很有效。mac-address blackhole 0022-3344-5566 vlan 10 arp static 192.168.10.1 0022-3344-5566blackhole MAC 配置后该 MAC 的报文直接被丢弃不再触发 MAC 学习。静态 ARP 绑定网关 IP 和 MAC防止 ARP 欺骗。4. 三层路由和可靠性配置静态路由、OSPF、BFD 和 VRRP4.1 VLANIF 接口和 IP 地址配置三层交换机的核心价值在 VLANIF 接口每个 VLAN 对应一个三层接口终端跨 VLAN 通信就是通过 VLANIF 路由。VLANIF 的 IP 地址就是该 VLAN 内终端的网关地址。interface Vlanif 10 ip address 192.168.10.254 255.255.255.0 interface Vlanif 20 ip address 192.168.20.254 255.255.255.0这里注意 VLANIF 接口必须等对应 VLAN 创建后才能配置否则会提示接口不存在。一个 VLANIF 只能配一个 IP 地址可配辅助地址地址规划时要避开终端地址段。4.2 静态路由配置小网络的简洁之道静态路由配置简单适合网络规模小、拓扑稳定的场景。静态路由的下一跳要写直连对端地址不能写成非直连的地址。ip route-static 10.10.0.0 255.255.0.0 192.168.10.1 ip route-static 0.0.0.0 0.0.0.0 192.168.10.1第二条是默认路由指向出口网关。静态路由配置后要 ping 验证连通性如果对端设备也配了静态路由两边都要指。4.3 OSPFv2 配置从单区域到多区域OSPF 适合网络规模大、拓扑变化频繁的场景。S5700 支持 OSPFv2配置核心是宣告直连接口网段。ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255router-id 必须全局唯一建议用设备 LoopBack 地址。network 命令后面的反掩码写错是最常见的 OSPF 故障源0.0.0.255 表示匹配 192.168.10.0/24写成 255.255.255.0 会直接报错。OSPF 邻居建立不起来时检查 hello 间隔、区域 ID、认证配置是否一致。4.4 BFD 和 VRRP可靠性配置的组合拳VRRP 提供网关冗余BFD 提供快速故障检测两者结合能达到毫秒级切换。单配 VRRP 时主备切换依赖 VRRP 通告报文超时默认要 3 秒左右业务中断时间较长。interface Vlanif 10 vrrp vrid 1 virtual-ip 192.168.10.252 vrrp vrid 1 priority 120 bfd bind peer-ip 192.168.10.253 interface Vlanif 10virtual-ip 是虚拟网关地址PC 的网关配这个地址。priority 120 表示该设备是主设备优先级越高越优先。BFD bind peer-ip 指定对端 IP建立 BFD 会话。这里注意 BFD 是双向配置两边都要启用才能建立会话。VRRP 的坑在于设备的真实 IP 不能跟虚拟 IP 冲突否则会提示地址冲突。另外 VRRP 报文是组播发往 224.0.0.18中间交换机要放行这个组播地址。4.5 常用排查命令配置完路由和可靠性功能后用 display ospf peer 查看 OSPF 邻居状态Full 表示邻居建立成功。display vrrp 查看 VRRP 状态Master/Backup 要跟规划一致。display bfd session 查看 BFD 会话状态Up 表示会话正常。5. 避坑指南S5700 现场配置常见问题排查5.1 VLANIF 接口无法配置 IP 地址现象敲 interface Vlanif 10 后系统提示接口不存在或者在接口下配置 IP 报错。原因VLAN 10 没有先创建。VLANIF 接口依赖对应 VLAN 的存在VLAN 都没建三层接口自然起不来。解决先执行 vlan 10 创建 VLAN再进入 interface Vlanif 10 配置 IP。配置顺序是 VLAN 先于 VLANIF这是新手最容易忽略的依赖关系。5.2 跨交换机相同 VLAN 不通现象两台 S5700 通过 trunk 口互联同一 VLAN 内的终端互相 ping 不通。原因trunk 口没有放行对应 VLAN。交换机 trunk 口默认只放行 VLAN 1其他 VLAN 需要显式 allow-pass。解决在互联的两个 trunk 口上执行 port trunk allow-pass vlan 10 20。放行列表要两边配置一致用 display port vlan 查看接口的 VLAN 放行信息。5.3 OSPF 邻居卡在 Init 状态现象display ospf peer 显示邻居状态一直停在 Init无法进入 Full。原因区域 ID 不一致、hello 间隔不一致、认证不匹配或者 network 宣告网段没覆盖互联接口。解决逐一核对两端的 area 0.0.0.0 配置、hello 间隔默认 10 秒、认证模式。用 display ospf error 查看报错计数能快速定位是哪种 mismatch。5.4 VRRP 主备频繁切换现象display vrrp 显示状态在 Master 和 Backup 之间来回跳业务网络时通时断。原因两端优先级配置一样或者 VRRP 通告报文被丢弃导致对端误判。解决明确主设备 priority 配置要高于备设备至少差 20 以上避免抢占震荡。同时检查交换机互联口是否放行了组播地址 224.0.0.18VRRP 报文走的是这个组播地址。5.5 配置文件丢失或设备无法启动现象设备重启后配置全部丢失或者启动时卡在文件系统加载阶段。原因配置没有保存或者 flash 文件系统异常。S5700 配置修改后只是写在内存里断电即丢。解决每次配置完成后执行 save 命令确认提示保存成功。如果 flash 异常尝试在 BootROM 菜单里格式化 flash 后重新上传配置但这属于最后的救济手段依赖 TFTP 服务器提前备好配置文件。6. 装完如何验证跑通从端口到业务的完整检查配置完成后别急着交工按顺序把每个功能层验证一遍能省掉后续的大量维护电话。这里的验证思路适用于任何 S5700 部署场景从物理层到应用层逐层排除。物理层验证用 display interface GigabitEthernet 0/0/1 或 display interface brief 查看端口状态确认需要互联的端口都是物理 Up、协议 Up。发现物理 Down 的检查网线、光模块、对端设备状态物理 Up 但协议 Down 的检查两端 duplex 和 speed 参数是否匹配。二层验证的核心是 MAC 地址表。终端 ping 网关之前先看 display mac-address确认终端 MAC 已经被交换机学到对应端口。学不到说明 VLAN 划分有问题或端口类型配错。VLAN 验证用 display vlan确认端口归属和 VLAN 放行列表。三层验证先测网关连通性在终端上 ping VLANIF 地址通了说明二层和三层基本没问题。然后 ping 对端网段的地址通了说明路由生效。跨网段不通时用 display ip routing-table 看路由表里有没有对应网段的路由条目静态路由看下一跳是否正确OSPF 看是否学到了路由。VRRP 和 BFD 验证用 display vrrp 和 display bfd session确认主备状态和会话状态。实际业务验证建议做一次主备切换演练——断开主设备的上行链路用终端持续 ping 网关观察丢包情况切换完成后的恢复时间应该在秒级以内。最后一步也是最重要的一步save 保存配置。我曾经遇到过交工后设备断电重启配置全丢的情况就是因为验收时没做 save。从那以后我每次调试完都强制走一遍 save——display current-configuration 确认配置完整然后 save 保存再 display saved-configuration 确认启动配置已更新。这一套组合拳打完设备才能真正的交付使用希望这些经验能帮到你。本文还有配套的精品资源点击获取
