簡(jiǎn)介烽火通信S5700系列三層千兆路由交換機(jī)操作手冊(cè)V1.0定位于網(wǎng)絡(luò)集成商、企業(yè)IT運(yùn)維及工程技術(shù)人員系統(tǒng)講解基于CLI的配置與維護(hù)方法適用于企業(yè)網(wǎng)、園區(qū)網(wǎng)、ISP等多樣化網(wǎng)絡(luò)環(huán)境。壓縮包內(nèi)為1個(gè)PDF文檔體積6.89MB目前已有616人學(xué)習(xí)使用。手冊(cè)層次分明從設(shè)備連接、登錄方式、基本系統(tǒng)與文件系統(tǒng)配置等基礎(chǔ)操作入手逐步展開(kāi)二層以太網(wǎng)的鏈路聚合、VLAN與VLAN轉(zhuǎn)換IP業(yè)務(wù)的靜態(tài)路由、OSPFv2與路由策略以及QoS隊(duì)列調(diào)度、擁塞控制等進(jìn)階功能安全部分涵蓋身份驗(yàn)證、訪問(wèn)控制與加密可靠性部分詳述MSTP、BFD、VRRP并進(jìn)一步給出設(shè)備管理、日志與硬件配置和SNMP、RMON運(yùn)維管理配置。各知識(shí)點(diǎn)以技術(shù)原理、配置過(guò)程和配置舉例三層次呈現(xiàn)便于讀者對(duì)照命令直接實(shí)踐快速掌握S5700在實(shí)際項(xiàng)目中的部署、維護(hù)與排障能力是一份難得的官方操作參考。1. 烽火交換機(jī) S5700一本能照著完成三層開(kāi)局的操作手冊(cè)烽火交換機(jī) S5700 系列三層千兆路由交換機(jī)網(wǎng)上資料不少但真正能照著把 VLAN、靜態(tài)路由、OSPF、VRRP 一串配置完整跑通的手冊(cè)不多。這本 V1.0 操作手冊(cè)對(duì)應(yīng)的軟件版本是 V310R240覆蓋從 Console 登錄、文件系統(tǒng)、鏈路聚合、VLAN/QinQ到靜態(tài)路由、OSPFv2、QoS、安全、可靠性以及 SNMP/RMON 運(yùn)維的全套 CLI 配置路徑。對(duì)工程開(kāi)通、設(shè)備維護(hù)和網(wǎng)絡(luò)管理的人來(lái)說(shuō)它不像是產(chǎn)品彩頁(yè)更像是一張開(kāi)局排錯(cuò)地圖。適合那種“設(shè)備已經(jīng)到手手冊(cè)還沒(méi)細(xì)看先想清楚每一步配置為什么這么寫(xiě)”的從業(yè)者。2. 基礎(chǔ)配置Console、Telnet、SSH 三種登錄方式與文件系統(tǒng)的五個(gè)關(guān)鍵動(dòng)作2.1 先分清管理口與業(yè)務(wù)口開(kāi)局路徑的第一步拿到 S5700 的第一件事不是急著敲配置命令而是先分清手冊(cè)里說(shuō)的“管理接口”和“物理接口”。管理接口一般指 Console 口負(fù)責(zé)帶外管理物理接口才是業(yè)務(wù)轉(zhuǎn)發(fā)用的端口。開(kāi)局時(shí)設(shè)備沒(méi)有任何 IP帶內(nèi)管理根本進(jìn)不去只能走 Console。連接方式是 console 線接筆記本串口然后在終端軟件里建一個(gè)串口會(huì)話。常見(jiàn)的串口參數(shù)是 9600 波特率、8 位數(shù)據(jù)位、無(wú)校驗(yàn)、1 位停止位也就是常說(shuō)的 9600-8-N-1。很多新手連不上問(wèn)題不在設(shè)備而在 USB 轉(zhuǎn)串口芯片驅(qū)動(dòng)沒(méi)裝好或者串口號(hào)選錯(cuò)。我的習(xí)慣是先打開(kāi)設(shè)備管理器看 COM 口是否枚舉出來(lái)再檢查終端軟件的流控是不是被誤開(kāi)了。登錄成功后會(huì)出現(xiàn)命令行提示符這時(shí)候才算真正進(jìn)入設(shè)備。下一步才是配置設(shè)備名、管理 IP、登錄密碼這些基礎(chǔ)內(nèi)容。2.2 Console、Telnet、SSH 的配置鏈與取舍三種登錄方式的配置順序我的習(xí)慣是先用 Console 做初始配置開(kāi)一個(gè)帶內(nèi)通道遠(yuǎn)程調(diào)完后立刻把 Telnet 關(guān)掉只留 SSH。Telnet 的配置比較簡(jiǎn)單先給管理 VLAN 配上 IP再進(jìn) VTY 用戶界面設(shè)置認(rèn)證方式和用戶權(quán)限Switch system-view [Switch] interface vlanif 1 [Switch-Vlanif1] ip address 192.168.1.2 255.255.255.0 [Switch-Vlanif1] quit [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] authentication-mode password [Switch-ui-vty0-4] set authentication password cipher 設(shè)置一個(gè)密碼 [Switch-ui-vty0-4] user privilege level 3這段邏輯很直白VLANIF 1 是管理網(wǎng)段的三層接口配好 IP 后設(shè)備就有帶內(nèi)地址了。VTY 0 4 表示同時(shí)允許 5 個(gè)遠(yuǎn)程登錄會(huì)話認(rèn)證方式選 password 最省事。user privilege level 3 這個(gè)參數(shù)決定了登錄用戶的權(quán)限級(jí)別給維護(hù)人員用可以給工程調(diào)試人員用也夠但別直接給 15。SSH 的配置比 Telnet 多三件事生成主機(jī)密鑰、VTY 里聲明只接收 SSH 協(xié)議、在 AAA 里建一個(gè)本地用戶并指定服務(wù)類型[Switch] rsa local-key-pair create [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] protocol inbound ssh [Switch-ui-vty0-4] authentication-mode aaa [Switch-ui-vty0-4] quit [Switch] aaa [Switch-aaa] local-user admin password cipher 設(shè)置一個(gè)強(qiáng)密碼 [Switch-aaa] local-user admin service-type ssh [Switch-aaa] local-user admin privilege level 15protocol inbound ssh 是關(guān)鍵它把 VTY 通道限制成只接受 SSHTelnet 請(qǐng)求會(huì)被直接拒絕。local-user 是本地賬號(hào)service-type 必須寫(xiě)成 ssh否則客戶端登錄時(shí)會(huì)報(bào)“服務(wù)類型不匹配”。我一般會(huì)順手把 rsa 密鑰長(zhǎng)度選大一點(diǎn)太短的密鑰在部分終端軟件里會(huì)被安全性檢查攔下來(lái)。提示SSH 配置后先別斷開(kāi)當(dāng)前 Console 會(huì)話另開(kāi)一個(gè)窗口驗(yàn)證 SSH 能正常登錄確認(rèn)無(wú)誤再關(guān) Console。否則配置寫(xiě)錯(cuò)設(shè)備就變成黑匣子了。2.3 文件系統(tǒng)與配置保存不 save 的配置等于白寫(xiě)手冊(cè)里花了很大篇幅講文件系統(tǒng)不是湊字?jǐn)?shù)這是設(shè)備運(yùn)維的后悔藥。S5700 的配置文件、系統(tǒng)軟件、日志文件都存在設(shè)備存儲(chǔ)空間里目錄操作和文件操作是日常維護(hù)的基礎(chǔ)。我列一份高頻命令參考操作常見(jiàn)命令說(shuō)明查看當(dāng)前目錄dir列出文件及大小看剩余空間切換目錄cd flash:/默認(rèn)系統(tǒng)文件在 flash 根目錄顯示運(yùn)行配置display current-configuration當(dāng)前正在生效的配置顯示保存配置display saved-configuration下次開(kāi)機(jī)要加載的配置保存配置save把當(dāng)前配置寫(xiě)入存儲(chǔ)介質(zhì)恢復(fù)出廠reset saved-configuration刪除啟動(dòng)配置重啟后失效配置保存是我反復(fù)強(qiáng)調(diào)的動(dòng)作。很多維護(hù)事故的根因就一句話改完配置沒(méi)保存設(shè)備一重啟全都回到昨天。save 之后最好再執(zhí)行一次 display saved-configuration 確認(rèn)文件時(shí)間和內(nèi)容這一步花不了十秒鐘但能避免大半夜跑機(jī)房。設(shè)備文件上傳下載方面手冊(cè)提到了 TFTP 和 zmodem 兩種路徑。TFTP 適合批量備份配置文件但 TFTP 本身沒(méi)有認(rèn)證只能在臨時(shí)調(diào)試網(wǎng)絡(luò)里用跨公網(wǎng)傳文件非常危險(xiǎn)。zmodem 走的是串口會(huì)話文件小、網(wǎng)絡(luò)環(huán)境差的時(shí)候反而更可靠。我在現(xiàn)場(chǎng)一般優(yōu)先 zmodem 拉取配置再用 TFTP 做批量分發(fā)。注意文件傳輸前先 dir 確認(rèn)存儲(chǔ)空間夠用不然傳一半報(bào)錯(cuò)配置文件和系統(tǒng)鏡像都有可能損壞。3. 二層以太網(wǎng)鏈路聚合、VLAN 與 QinQ 的配置順序3.1 接口基礎(chǔ)屬性與 MAC、ARP 表讓端口先“聽(tīng)話”S5700 的二層配置起點(diǎn)是物理接口屬性。speed、duplex、link-type 這三個(gè)參數(shù)決定了一個(gè)端口能不能正常轉(zhuǎn)發(fā)。手動(dòng)配置速率和雙工時(shí)兩端必須一致否則會(huì)出現(xiàn)連接指示燈亮著、流量卻跑不動(dòng)的情況。現(xiàn)在多數(shù)場(chǎng)景下用自協(xié)商最省事除非是接服務(wù)器網(wǎng)卡這種需要固定速率的場(chǎng)景。MAC 表和 ARP 表的操作容易被忽略但排障時(shí)非常有用。常見(jiàn)做法是把關(guān)鍵服務(wù)器做成靜態(tài) MAC防止 MAC 漂移給網(wǎng)關(guān)地址做靜態(tài) ARP防止 ARP 欺騙[Switch] mac-address aging-time 300 [Switch] mac-address blackhole 0023-4567-89ab [Switch] mac-address static 0012-3456-789a interface gigabitethernet 0/0/1 vlan 10 [Switch] arp static 192.168.10.1 0012-3456-789amac-address aging-time 控制動(dòng)態(tài) MAC 的老化時(shí)間默認(rèn)值偏短時(shí)大流量業(yè)務(wù)會(huì)頻繁刷新表項(xiàng)老化的太慢則可能導(dǎo)致 MAC 表溢出。黑洞 MAC 的作用是丟棄匹配該源或目的 MAC 的報(bào)文常用在防 MAC 攻擊場(chǎng)景。靜態(tài) ARP 表項(xiàng)優(yōu)先級(jí)最高配了之后設(shè)備不會(huì)再學(xué)習(xí)這個(gè) IP 對(duì)應(yīng)的新 MAC適合網(wǎng)關(guān)和核心設(shè)備。3.2 鏈路聚合把多根物理鏈路合并成一條邏輯鏈路鏈路聚合在手冊(cè)里叫端口匯聚價(jià)值很直接把多條物理鏈路綁成一個(gè)邏輯接口帶寬疊加鏈路冗余。兩臺(tái)設(shè)備之間本來(lái)要跑 4 條千兆鏈路聚合后就是一個(gè) 4G 的邏輯口同時(shí)任何一根線斷了流量會(huì)自動(dòng)切到其他成員口。聚合有兩種模式手工聚合和 LACP 動(dòng)態(tài)聚合。手工聚合配置簡(jiǎn)單但兩端狀態(tài)需要人為保證一致LACP 模式讓兩端通過(guò)協(xié)議協(xié)商成員口狀態(tài)更穩(wěn)?，F(xiàn)場(chǎng)部署我一般用 LACP[Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] mode lacp [Switch-Eth-Trunk1] quit [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] eth-trunk 1 [Switch-GigabitEthernet0/0/1] quit把端口加入聚合組之后這個(gè)成員口就不再單獨(dú)轉(zhuǎn)發(fā)二層流量它的屬性要跟著 Eth-Trunk 接口走。這里有個(gè)經(jīng)常翻車的點(diǎn)成員口加入聚合組之前如果已經(jīng)配了不同的 VLAN 屬性或速率雙工對(duì)端設(shè)備協(xié)商時(shí)就會(huì)出問(wèn)題。正確做法是先統(tǒng)一所有成員口的速率、雙工和鏈路類型再執(zhí)行 eth-trunk 加入命令。聚合配完一定要在兩端各執(zhí)行 display eth-trunk 確認(rèn)成員口都是 Selected 狀態(tài)。如果出現(xiàn)部分端口 Unselected先查物理鏈路和兩端模式別急著改配置。3.3 VLAN 與 QinQ從本地隔離到跨園區(qū)透?jìng)鱒LAN 的配置本身不復(fù)雜但 S5700 手冊(cè)把 VLAN、VLAN 轉(zhuǎn)換和 QinQ 放在一起講說(shuō)明實(shí)際組網(wǎng)里經(jīng)常要組合使用。先建 VLAN再把端口按 Access 或 Trunk 劃分進(jìn)去[Switch] vlan batch 10 20 30 [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch] interface gigabitethernet 0/0/24 [Switch-GigabitEthernet0/0/24] port link-type trunk [Switch-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30三種端口類型的行為差異拿一張表說(shuō)明就夠了鏈路類型入方向處理出方向處理適用位置Access帶 Tag 的幀丟棄不帶 Tag 的幀打上 PVID剝離 Tag 轉(zhuǎn)發(fā)接終端、服務(wù)器Trunk放行的 VLAN 保留 Tag 轉(zhuǎn)發(fā)PVID 對(duì)應(yīng)的 VLAN 剝離 Tag其余保留交換機(jī)互連Hybrid可配置多個(gè) VLAN 的 Tag 保留或剝離靈活控制特殊組網(wǎng)Trunk 口最常見(jiàn)的問(wèn)題是兩個(gè)一個(gè)是只配了 port trunk allow-pass vlan 但漏了 native vlan也就是 PVID導(dǎo)致對(duì)端設(shè)備收到不帶 Tag 的幀無(wú)法識(shí)別另一個(gè)是兩端 Trunk 放行的 VLAN 列表不一致VLAN 10 在 A 端通了、在 B 端斷了查了半天發(fā)現(xiàn)是 B 端沒(méi)放通。QinQ 的場(chǎng)景更偏運(yùn)營(yíng)商和園區(qū)骨干。它給內(nèi)層 VLAN Tag 外面再套一層外層 Tag這樣不同樓棟的相同 VLAN 可以在骨干網(wǎng)上復(fù)用。配雙標(biāo)簽工作狀態(tài)時(shí)端口要允許外層 VLAN 通過(guò)同時(shí)開(kāi)啟 QinQ 封裝。這里要注意一個(gè)物理限制加了外層 Tag 后幀長(zhǎng)度變大如果中間鏈路 MTU 設(shè)置太小大幀會(huì)被丟棄。手冊(cè)里這個(gè)章節(jié)雖然篇幅不大但實(shí)際項(xiàng)目中涉及跨區(qū)域 VLAN 透?jìng)鲿r(shí)非常實(shí)用。4. 三層路由與 IP 業(yè)務(wù)VLANIF、靜態(tài)路由、OSPFv2 與 DHCP4.1 VLANIF二層轉(zhuǎn)三層的網(wǎng)關(guān)位置VLAN 劃分好之后不同 VLAN 之間默認(rèn)是不能互訪的因?yàn)樗鼈兲幱诓煌亩訌V播域。要讓它們互通必須在三層交換機(jī)上給每個(gè) VLAN 建一個(gè) VLANIF 接口充當(dāng)這個(gè)網(wǎng)段的網(wǎng)關(guān)。[Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Switch-Vlanif10] quit [Switch] interface vlanif 20 [Switch-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Switch-Vlanif20] quitVLANIF 的概念不復(fù)雜VLAN 是二層隔離域VLANIF 是給這個(gè)隔離域配的三層入口。配置完成后VLAN 10 的終端把網(wǎng)關(guān)指到 192.168.10.1VLAN 20 的終端把網(wǎng)關(guān)指到 192.168.20.1兩個(gè)網(wǎng)段就能通過(guò)交換機(jī)內(nèi)部路由互通。配完不是直接認(rèn)為通了要驗(yàn)證三件事display ip interface brief 看 VLANIF 狀態(tài)是否 Updisplay ip routing-table 看直連路由是否生成再用兩個(gè)網(wǎng)段的終端互 ping。實(shí)際操作里 VLANIF 起不來(lái)多半是底層 VLAN 沒(méi)有端口成員接口狀態(tài)是 Down 的路由表里自然就沒(méi)有直連路由。4.2 靜態(tài)路由與 OSPFv2手工鏈路與動(dòng)態(tài)路由的配置要點(diǎn)S5700 作為三層交換機(jī)接上游核心或出口路由器時(shí)必然要跑路由。靜態(tài)路由是基礎(chǔ)適用于網(wǎng)絡(luò)規(guī)模小、拓?fù)浞€(wěn)定的場(chǎng)景[Switch] ip route-static 0.0.0.0 0.0.0.0 192.168.254.254 [Switch] ip route-static 10.1.0.0 255.255.0.0 192.168.254.253 preference 90第一條是默認(rèn)路由把訪問(wèn)外網(wǎng)和未知網(wǎng)段的流量都扔給上游網(wǎng)關(guān)。第二條是回程路由preference 90 表示手動(dòng)調(diào)低優(yōu)先級(jí)用于做備份鏈路。靜態(tài)路由的寫(xiě)在配置里很透明缺點(diǎn)是拓?fù)湟蛔兙鸵止じ乃院诵膮^(qū)域建議跑動(dòng)態(tài)路由。OSPFv2 的配置核心是進(jìn)程、Router ID、區(qū)域和 network 四條線[Switch] ospf 1 router-id 10.0.0.1 [Switch-ospf-1] area 0.0.0.0 [Switch-ospf-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [Switch-ospf-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [Switch-ospf-area-0.0.0.0] network 10.0.0.0 0.0.0.255router-id 必須是全 OSPF 域內(nèi)唯一一般用手工指定回環(huán)地址別依賴系統(tǒng)自動(dòng)選不然設(shè)備重啟后 router-id 可能變化。network 后面的掩碼是反掩碼0.0.0.255 對(duì)應(yīng) 255.255.255.0這里是新手最容易寫(xiě)錯(cuò)的地方。區(qū)域 0 是骨干區(qū)域非骨干區(qū)域必須與骨干區(qū)域相連否則鄰居關(guān)系建立不起來(lái)。配完 OSPF 后用 display ospf peer 看鄰居狀態(tài)是不是 Full用 display ip routing-table 看 OSPF 路由有沒(méi)有進(jìn)表。我遇到過(guò)不少次鄰居一直卡在 ExStart 或 Exchange查到最后要么是兩邊的 network 宣告范圍不一致要么是 hello 間隔或認(rèn)證參數(shù)不匹配。這類問(wèn)題靠“看配置”是看不出毛病的必須看協(xié)議狀態(tài)。4.3 DHCP 服務(wù)器與中繼地址下發(fā)的兩種落地方式S5700 可以承擔(dān) DHCP 服務(wù)器角色給終端下發(fā)地址減少一臺(tái)獨(dú)立的 DHCP 服務(wù)器。全局地址池是常見(jiàn)做法[Switch] dhcp enable [Switch] ip pool office [Switch-ip-pool-office] network 192.168.10.0 mask 255.255.255.0 [Switch-ip-pool-office] gateway-list 192.168.10.1 [Switch-ip-pool-office] dns-list 223.5.5.5 [Switch-ip-pool-office] excluded-ip-address 192.168.10.1 192.168.10.99參數(shù)含義分別是地址池網(wǎng)段、下發(fā)給終端的網(wǎng)關(guān)地址、DNS 服務(wù)器、保留地址段。其中 excluded-ip-address 特別容易漏服務(wù)器和打印機(jī)這種要固定 IP 的設(shè)備必須先排除掉再分配否則地址沖突的工單能淹沒(méi)人。如果終端和網(wǎng)關(guān)不在同一臺(tái)設(shè)備上就要用 DHCP 中繼。中繼的作用是終端廣播的 DHCP 請(qǐng)求到達(dá)交換機(jī)后交換機(jī)把請(qǐng)求單播轉(zhuǎn)發(fā)給真正的 DHCP 服務(wù)器再把服務(wù)器的回應(yīng)送回終端。配置中繼時(shí)關(guān)鍵是三層接口上要指定 DHCP 服務(wù)器地址同時(shí)保證交換機(jī)到服務(wù)器之間路由可達(dá)。很多中繼不生效不是中繼配置的問(wèn)題而是交換機(jī)到服務(wù)器這段路由沒(méi)通。DHCP 配置完成后在一臺(tái)終端上釋放并重新獲取地址然后在交換機(jī)上執(zhí)行 display dhcp server statistics 查看地址分配計(jì)數(shù)。如果客戶端一直拿不到地址先確認(rèn) VLANIF 和地址池網(wǎng)段是否一致再看設(shè)備上是否開(kāi)了 DHCP Snooping 并攔截了合法請(qǐng)求。5. 避坑與常見(jiàn)問(wèn)題S5700 配置里五個(gè)高頻翻車現(xiàn)場(chǎng)這一章把這些年配置 S5700 過(guò)程中最常見(jiàn)的五類問(wèn)題整理成“現(xiàn)象—原因—解決”三條式新手可以按圖索驥熟手也能拿來(lái)當(dāng)排障清單。5.1 登錄與文件系統(tǒng)類Console 亂碼、SSH 連不上、保存不生效現(xiàn)象一Console 線接上后終端全是亂碼或者完全無(wú)輸出。原因一般是串口終端參數(shù)和設(shè)備的默認(rèn)參數(shù)不一致常見(jiàn)的有波特率選錯(cuò)、數(shù)據(jù)位校驗(yàn)位不匹配也有一些是 USB 轉(zhuǎn)串口線芯片驅(qū)動(dòng)沒(méi)裝好系統(tǒng)里根本沒(méi)有出現(xiàn)對(duì)應(yīng)的 COM 口。解決方法是確認(rèn)串口會(huì)話參數(shù)為 9600-8-N-1關(guān)閉所有流控開(kāi)關(guān)再檢查設(shè)備管理器里 COM 口號(hào)換一個(gè)終端軟件重新連接。Console 口本身一般不會(huì)壞十次里有九次是軟件問(wèn)題。現(xiàn)象二SSH 無(wú)論如何都連不上報(bào)錯(cuò)五花八門(mén)。原因集中在三個(gè)環(huán)節(jié)VTY 沒(méi)有執(zhí)行 protocol inbound ssh、本地用戶沒(méi)有配 service-type ssh、設(shè)備沒(méi)有生成 RSA 主機(jī)密鑰。解決思路是從設(shè)備側(cè)往外查先 display ssh server status 確認(rèn) SSH 服務(wù)已開(kāi)啟再確認(rèn) VTY 配置最后確認(rèn)本地用戶權(quán)限和密碼。真正發(fā)現(xiàn)問(wèn)題后往往就是少了一條命令的事?，F(xiàn)象三明明 save 了重啟后配置還是丟。原因是把 save 和保存到啟動(dòng)配置文件搞混了。設(shè)備運(yùn)行配置保存在內(nèi)存里save 之后才寫(xiě)入存儲(chǔ)介質(zhì)成為下次啟動(dòng)加載的配置。有些版本里 save 還會(huì)要求輸入配置文件名如果選了非默認(rèn)文件名啟動(dòng)時(shí)加載的還是原文件。解決方法是 save 后立刻執(zhí)行 display saved-configuration 確認(rèn)配置文件時(shí)間和大小。三個(gè)月前吃過(guò)一次虧改完核心匯聚的 VLAN順手 save 了以為萬(wàn)事大吉一周后設(shè)備重啟整段業(yè)務(wù)配置全沒(méi)了因?yàn)楫?dāng)時(shí) stop 在了內(nèi)存態(tài)。從那以后save 后必看 saved-configuration沒(méi)有例外?，F(xiàn)象四改動(dòng)配置后發(fā)現(xiàn)錯(cuò)了想回滾無(wú)從下手只記得“好像改過(guò)幾條命令”。原因是沒(méi)有提前導(dǎo)出當(dāng)前配置。S5700 支持 TFTP 和 zmodem 上傳下載但很多人在配置前根本不會(huì)想到備份一次。解決方法是任何變更開(kāi)始前先執(zhí)行 display current-configuration 并把輸出保存到本地文件這一步只花兩分鐘但能省掉一整晚的回滾猜謎過(guò)程。5.2 二層與三層類VLAN 通不了、聚合起不來(lái)、OSPF 鄰居卡住現(xiàn)象五VLAN 之間 ping 不通或者終端能 ping 通網(wǎng)關(guān)但跨網(wǎng)段就斷。這是個(gè)綜合問(wèn)題原因可能是 VLANIF 沒(méi)建、Trunk 沒(méi)放通、路由表缺條目也可能是終端網(wǎng)關(guān)指向錯(cuò)誤。解決的排查路徑我固定為三條命令display vlan display ip interface brief display ip routing-table這三條分別回答“二層 VLAN 和端口成員對(duì)不對(duì)”“三層接口是否 Up 且地址對(duì)不對(duì)”“路由表里有沒(méi)有到目標(biāo)網(wǎng)段的路徑”。按這個(gè)順序查大多數(shù) VLAN 互通問(wèn)題十分鐘內(nèi)能定位。切忌一上來(lái)就懷疑配置先看這三張表再動(dòng)配置?，F(xiàn)象六鏈路聚合成員口狀態(tài)起不來(lái)流量仍走單鏈路。原因多半是成員口加入聚合組之前屬性不一致比如有的口是 Access、有的口是 Trunk或者兩端聚合模式一個(gè)手工一個(gè) LACP。解決方法是把成員口的速率、雙工、鏈路類型、VLAN 屬性全部統(tǒng)一后再重新加入 Eth-Trunk。加入后兩端分別執(zhí)行 display eth-trunk 1確認(rèn)成員口是不是 Selected 狀態(tài)。聚合不像 VLAN兩端配置必須嚴(yán)格對(duì)齊差一個(gè)參數(shù)就會(huì)出現(xiàn)會(huì)話成員全部掉線的情況?，F(xiàn)象七OSPF 鄰居起不來(lái)狀態(tài)一直停在 Init 或 ExStart。原因集中在 network 反掩碼寫(xiě)錯(cuò)、router-id 沖突、區(qū)域 ID 不一致、hello 間隔或認(rèn)證參數(shù)不匹配。解決辦法是看協(xié)議統(tǒng)計(jì)display ospf peer display ospf errordisplay ospf error 里的計(jì)數(shù)非常直接哪種錯(cuò)誤在漲就查哪一項(xiàng)。比如出現(xiàn) “Area Mismatch”就是兩邊區(qū)域不一致出現(xiàn) “Auth-Type Mismatch”就是認(rèn)證類型或密鑰不一致。OSPF 排障最忌悶頭改配置看一眼 error 統(tǒng)計(jì)方向立刻就有了。5.3 QoS 與可靠性類隊(duì)列調(diào)度不生效、VRRP 切換異常這類問(wèn)題不像二層三層那樣天天遇到但一旦遇到就是割接級(jí)故障。先說(shuō) QoS 隊(duì)列調(diào)度很多人配置了隊(duì)列權(quán)重但擁塞發(fā)生時(shí)流量還是從缺省隊(duì)列走。原因是接口的調(diào)度模式、隊(duì)列映射和實(shí)際流量所屬的優(yōu)先級(jí)沒(méi)有對(duì)齊。解決方法是先看清接口的 trust 模式和隊(duì)列權(quán)重配置再用設(shè)備內(nèi)置的隊(duì)列統(tǒng)計(jì)確認(rèn)各隊(duì)列是否有流量命中。VRRP 的問(wèn)題則更隱蔽。VRRP 主備切換失敗先查優(yōu)先級(jí)、虛擬 IP 和搶占模式兩端是否一致用 display vrrp 查看當(dāng)前主備狀態(tài)。如果配置了 BFD 聯(lián)動(dòng)還要確認(rèn) BFD 會(huì)話狀態(tài)是 Up。我見(jiàn)過(guò)一次割接中主設(shè)備被拔電后業(yè)務(wù)中斷數(shù)分鐘查到最后是 VRRP 和 BFD 的聯(lián)動(dòng)參數(shù)配置反向?qū)е轮鱾錉顟B(tài)無(wú)法收斂。這類問(wèn)題不做切換演練根本發(fā)現(xiàn)不了所以我的習(xí)慣是任何 VRRP 組網(wǎng)變更后必須做一次主備切換演練再收工。6. 上線前最后三件事QoS 隊(duì)列驗(yàn)證、VRRP 切換演練與配置回滾前五章把 S5700 的主要配置鏈路走了一遍最后一章想聊三個(gè)容易被忽略但非常關(guān)鍵的驗(yàn)證習(xí)慣。它們不是手冊(cè)里某一條具體命令而是把手冊(cè)內(nèi)容落地成生產(chǎn)力的動(dòng)作。第一件事QoS 隊(duì)列驗(yàn)證。配完隊(duì)列調(diào)度后不要只看配置要看流量進(jìn)了哪個(gè)隊(duì)列。常見(jiàn)做法是臨時(shí)打一路測(cè)試流量給報(bào)文打上指定 DSCP 標(biāo)記再通過(guò)接口上的隊(duì)列統(tǒng)計(jì)確認(rèn)它進(jìn)入了期望的隊(duì)列。如果配置的權(quán)重和實(shí)際流量?jī)?yōu)先級(jí)對(duì)不上擁塞時(shí)還是會(huì)出現(xiàn)關(guān)鍵業(yè)務(wù)被丟棄的情況。第二件事VRRP 切換演練。配置完成后在備用設(shè)備上執(zhí)行一次強(qiáng)制切換確認(rèn)主備狀態(tài)能正確翻轉(zhuǎn)業(yè)務(wù)能自動(dòng)恢復(fù)。VRRP 的坑不在配置而在沒(méi)驗(yàn)證靜態(tài)配置的 VRRP 在正常運(yùn)行時(shí)看起來(lái)都是對(duì)的只有真正切一次才知道問(wèn)題在哪。第三件事配置回滾閉環(huán)。任何變更都按這個(gè)順序走# 變更前保存當(dāng)前配置快照到本地 display current-configuration pre_change.cfg # 變更完成并驗(yàn)證后再執(zhí)行一次保存 save # 變更后拉取新配置作為備份 display current-configuration post_change.cfg這套流程看起來(lái)簡(jiǎn)單但執(zhí)行過(guò)的人都知道它才是真正的后悔藥。有一次在線割接我把一個(gè)接口的 Trunk 放行列表改錯(cuò)了現(xiàn)場(chǎng)又沒(méi)做快照只能憑記憶往回改結(jié)果越改越亂業(yè)務(wù)中斷了將近一個(gè)小時(shí)。從那以后不管多小的變更我都強(qiáng)制走一遍“導(dǎo)出→變更→驗(yàn)證→保存→再導(dǎo)出”的閉環(huán)。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取