簡介烽火通信S5700系列三層千兆路由交換機(jī)操作手冊V1.0定位于網(wǎng)絡(luò)集成商、企業(yè)IT運維及工程技術(shù)人員系統(tǒng)講解基于CLI的配置與維護(hù)方法適用于企業(yè)網(wǎng)、園區(qū)網(wǎng)、ISP等多樣化網(wǎng)絡(luò)環(huán)境。壓縮包內(nèi)為1個PDF文檔體積6.89MB目前已有616人學(xué)習(xí)使用。手冊層次分明從設(shè)備連接、登錄方式、基本系統(tǒng)與文件系統(tǒng)配置等基礎(chǔ)操作入手逐步展開二層以太網(wǎng)的鏈路聚合、VLAN與VLAN轉(zhuǎn)換IP業(yè)務(wù)的靜態(tài)路由、OSPFv2與路由策略以及QoS隊列調(diào)度、擁塞控制等進(jìn)階功能安全部分涵蓋身份驗證、訪問控制與加密可靠性部分詳述MSTP、BFD、VRRP并進(jìn)一步給出設(shè)備管理、日志與硬件配置和SNMP、RMON運維管理配置。各知識點以技術(shù)原理、配置過程和配置舉例三層次呈現(xiàn)便于讀者對照命令直接實踐快速掌握S5700在實際項目中的部署、維護(hù)與排障能力是一份難得的官方操作參考。1. 烽火交換機(jī) S5700一本能照著完成三層開局的操作手冊烽火交換機(jī) S5700 系列三層千兆路由交換機(jī)網(wǎng)上資料不少但真正能照著把 VLAN、靜態(tài)路由、OSPF、VRRP 一串配置完整跑通的手冊不多。這本 V1.0 操作手冊對應(yīng)的軟件版本是 V310R240覆蓋從 Console 登錄、文件系統(tǒng)、鏈路聚合、VLAN/QinQ到靜態(tài)路由、OSPFv2、QoS、安全、可靠性以及 SNMP/RMON 運維的全套 CLI 配置路徑。對工程開通、設(shè)備維護(hù)和網(wǎng)絡(luò)管理的人來說它不像是產(chǎn)品彩頁更像是一張開局排錯地圖。適合那種“設(shè)備已經(jīng)到手手冊還沒細(xì)看先想清楚每一步配置為什么這么寫”的從業(yè)者。2. 基礎(chǔ)配置Console、Telnet、SSH 三種登錄方式與文件系統(tǒng)的五個關(guān)鍵動作2.1 先分清管理口與業(yè)務(wù)口開局路徑的第一步拿到 S5700 的第一件事不是急著敲配置命令而是先分清手冊里說的“管理接口”和“物理接口”。管理接口一般指 Console 口負(fù)責(zé)帶外管理物理接口才是業(yè)務(wù)轉(zhuǎn)發(fā)用的端口。開局時設(shè)備沒有任何 IP帶內(nèi)管理根本進(jìn)不去只能走 Console。連接方式是 console 線接筆記本串口然后在終端軟件里建一個串口會話。常見的串口參數(shù)是 9600 波特率、8 位數(shù)據(jù)位、無校驗、1 位停止位也就是常說的 9600-8-N-1。很多新手連不上問題不在設(shè)備而在 USB 轉(zhuǎn)串口芯片驅(qū)動沒裝好或者串口號選錯。我的習(xí)慣是先打開設(shè)備管理器看 COM 口是否枚舉出來再檢查終端軟件的流控是不是被誤開了。登錄成功后會出現(xiàn)命令行提示符這時候才算真正進(jìn)入設(shè)備。下一步才是配置設(shè)備名、管理 IP、登錄密碼這些基礎(chǔ)內(nèi)容。2.2 Console、Telnet、SSH 的配置鏈與取舍三種登錄方式的配置順序我的習(xí)慣是先用 Console 做初始配置開一個帶內(nèi)通道遠(yuǎn)程調(diào)完后立刻把 Telnet 關(guān)掉只留 SSH。Telnet 的配置比較簡單先給管理 VLAN 配上 IP再進(jìn) VTY 用戶界面設(shè)置認(rèn)證方式和用戶權(quán)限Switch system-view [Switch] interface vlanif 1 [Switch-Vlanif1] ip address 192.168.1.2 255.255.255.0 [Switch-Vlanif1] quit [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] authentication-mode password [Switch-ui-vty0-4] set authentication password cipher 設(shè)置一個密碼 [Switch-ui-vty0-4] user privilege level 3這段邏輯很直白VLANIF 1 是管理網(wǎng)段的三層接口配好 IP 后設(shè)備就有帶內(nèi)地址了。VTY 0 4 表示同時允許 5 個遠(yuǎn)程登錄會話認(rèn)證方式選 password 最省事。user privilege level 3 這個參數(shù)決定了登錄用戶的權(quán)限級別給維護(hù)人員用可以給工程調(diào)試人員用也夠但別直接給 15。SSH 的配置比 Telnet 多三件事生成主機(jī)密鑰、VTY 里聲明只接收 SSH 協(xié)議、在 AAA 里建一個本地用戶并指定服務(wù)類型[Switch] rsa local-key-pair create [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] protocol inbound ssh [Switch-ui-vty0-4] authentication-mode aaa [Switch-ui-vty0-4] quit [Switch] aaa [Switch-aaa] local-user admin password cipher 設(shè)置一個強(qiáng)密碼 [Switch-aaa] local-user admin service-type ssh [Switch-aaa] local-user admin privilege level 15protocol inbound ssh 是關(guān)鍵它把 VTY 通道限制成只接受 SSHTelnet 請求會被直接拒絕。local-user 是本地賬號service-type 必須寫成 ssh否則客戶端登錄時會報“服務(wù)類型不匹配”。我一般會順手把 rsa 密鑰長度選大一點太短的密鑰在部分終端軟件里會被安全性檢查攔下來。提示SSH 配置后先別斷開當(dāng)前 Console 會話另開一個窗口驗證 SSH 能正常登錄確認(rèn)無誤再關(guān) Console。否則配置寫錯設(shè)備就變成黑匣子了。2.3 文件系統(tǒng)與配置保存不 save 的配置等于白寫手冊里花了很大篇幅講文件系統(tǒng)不是湊字?jǐn)?shù)這是設(shè)備運維的后悔藥。S5700 的配置文件、系統(tǒng)軟件、日志文件都存在設(shè)備存儲空間里目錄操作和文件操作是日常維護(hù)的基礎(chǔ)。我列一份高頻命令參考操作常見命令說明查看當(dāng)前目錄dir列出文件及大小看剩余空間切換目錄cd flash:/默認(rèn)系統(tǒng)文件在 flash 根目錄顯示運行配置display current-configuration當(dāng)前正在生效的配置顯示保存配置display saved-configuration下次開機(jī)要加載的配置保存配置save把當(dāng)前配置寫入存儲介質(zhì)恢復(fù)出廠reset saved-configuration刪除啟動配置重啟后失效配置保存是我反復(fù)強(qiáng)調(diào)的動作。很多維護(hù)事故的根因就一句話改完配置沒保存設(shè)備一重啟全都回到昨天。save 之后最好再執(zhí)行一次 display saved-configuration 確認(rèn)文件時間和內(nèi)容這一步花不了十秒鐘但能避免大半夜跑機(jī)房。設(shè)備文件上傳下載方面手冊提到了 TFTP 和 zmodem 兩種路徑。TFTP 適合批量備份配置文件但 TFTP 本身沒有認(rèn)證只能在臨時調(diào)試網(wǎng)絡(luò)里用跨公網(wǎng)傳文件非常危險。zmodem 走的是串口會話文件小、網(wǎng)絡(luò)環(huán)境差的時候反而更可靠。我在現(xiàn)場一般優(yōu)先 zmodem 拉取配置再用 TFTP 做批量分發(fā)。注意文件傳輸前先 dir 確認(rèn)存儲空間夠用不然傳一半報錯配置文件和系統(tǒng)鏡像都有可能損壞。3. 二層以太網(wǎng)鏈路聚合、VLAN 與 QinQ 的配置順序3.1 接口基礎(chǔ)屬性與 MAC、ARP 表讓端口先“聽話”S5700 的二層配置起點是物理接口屬性。speed、duplex、link-type 這三個參數(shù)決定了一個端口能不能正常轉(zhuǎn)發(fā)。手動配置速率和雙工時兩端必須一致否則會出現(xiàn)連接指示燈亮著、流量卻跑不動的情況?，F(xiàn)在多數(shù)場景下用自協(xié)商最省事除非是接服務(wù)器網(wǎng)卡這種需要固定速率的場景。MAC 表和 ARP 表的操作容易被忽略但排障時非常有用。常見做法是把關(guān)鍵服務(wù)器做成靜態(tài) MAC防止 MAC 漂移給網(wǎng)關(guān)地址做靜態(tài) ARP防止 ARP 欺騙[Switch] mac-address aging-time 300 [Switch] mac-address blackhole 0023-4567-89ab [Switch] mac-address static 0012-3456-789a interface gigabitethernet 0/0/1 vlan 10 [Switch] arp static 192.168.10.1 0012-3456-789amac-address aging-time 控制動態(tài) MAC 的老化時間默認(rèn)值偏短時大流量業(yè)務(wù)會頻繁刷新表項老化的太慢則可能導(dǎo)致 MAC 表溢出。黑洞 MAC 的作用是丟棄匹配該源或目的 MAC 的報文常用在防 MAC 攻擊場景。靜態(tài) ARP 表項優(yōu)先級最高配了之后設(shè)備不會再學(xué)習(xí)這個 IP 對應(yīng)的新 MAC適合網(wǎng)關(guān)和核心設(shè)備。3.2 鏈路聚合把多根物理鏈路合并成一條邏輯鏈路鏈路聚合在手冊里叫端口匯聚價值很直接把多條物理鏈路綁成一個邏輯接口帶寬疊加鏈路冗余。兩臺設(shè)備之間本來要跑 4 條千兆鏈路聚合后就是一個 4G 的邏輯口同時任何一根線斷了流量會自動切到其他成員口。聚合有兩種模式手工聚合和 LACP 動態(tài)聚合。手工聚合配置簡單但兩端狀態(tài)需要人為保證一致LACP 模式讓兩端通過協(xié)議協(xié)商成員口狀態(tài)更穩(wěn)?，F(xiàn)場部署我一般用 LACP[Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] mode lacp [Switch-Eth-Trunk1] quit [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] eth-trunk 1 [Switch-GigabitEthernet0/0/1] quit把端口加入聚合組之后這個成員口就不再單獨轉(zhuǎn)發(fā)二層流量它的屬性要跟著 Eth-Trunk 接口走。這里有個經(jīng)常翻車的點成員口加入聚合組之前如果已經(jīng)配了不同的 VLAN 屬性或速率雙工對端設(shè)備協(xié)商時就會出問題。正確做法是先統(tǒng)一所有成員口的速率、雙工和鏈路類型再執(zhí)行 eth-trunk 加入命令。聚合配完一定要在兩端各執(zhí)行 display eth-trunk 確認(rèn)成員口都是 Selected 狀態(tài)。如果出現(xiàn)部分端口 Unselected先查物理鏈路和兩端模式別急著改配置。3.3 VLAN 與 QinQ從本地隔離到跨園區(qū)透傳VLAN 的配置本身不復(fù)雜但 S5700 手冊把 VLAN、VLAN 轉(zhuǎn)換和 QinQ 放在一起講說明實際組網(wǎng)里經(jīng)常要組合使用。先建 VLAN再把端口按 Access 或 Trunk 劃分進(jìn)去[Switch] vlan batch 10 20 30 [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch] interface gigabitethernet 0/0/24 [Switch-GigabitEthernet0/0/24] port link-type trunk [Switch-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30三種端口類型的行為差異拿一張表說明就夠了鏈路類型入方向處理出方向處理適用位置Access帶 Tag 的幀丟棄不帶 Tag 的幀打上 PVID剝離 Tag 轉(zhuǎn)發(fā)接終端、服務(wù)器Trunk放行的 VLAN 保留 Tag 轉(zhuǎn)發(fā)PVID 對應(yīng)的 VLAN 剝離 Tag其余保留交換機(jī)互連Hybrid可配置多個 VLAN 的 Tag 保留或剝離靈活控制特殊組網(wǎng)Trunk 口最常見的問題是兩個一個是只配了 port trunk allow-pass vlan 但漏了 native vlan也就是 PVID導(dǎo)致對端設(shè)備收到不帶 Tag 的幀無法識別另一個是兩端 Trunk 放行的 VLAN 列表不一致VLAN 10 在 A 端通了、在 B 端斷了查了半天發(fā)現(xiàn)是 B 端沒放通。QinQ 的場景更偏運營商和園區(qū)骨干。它給內(nèi)層 VLAN Tag 外面再套一層外層 Tag這樣不同樓棟的相同 VLAN 可以在骨干網(wǎng)上復(fù)用。配雙標(biāo)簽工作狀態(tài)時端口要允許外層 VLAN 通過同時開啟 QinQ 封裝。這里要注意一個物理限制加了外層 Tag 后幀長度變大如果中間鏈路 MTU 設(shè)置太小大幀會被丟棄。手冊里這個章節(jié)雖然篇幅不大但實際項目中涉及跨區(qū)域 VLAN 透傳時非常實用。4. 三層路由與 IP 業(yè)務(wù)VLANIF、靜態(tài)路由、OSPFv2 與 DHCP4.1 VLANIF二層轉(zhuǎn)三層的網(wǎng)關(guān)位置VLAN 劃分好之后不同 VLAN 之間默認(rèn)是不能互訪的因為它們處于不同的二層廣播域。要讓它們互通必須在三層交換機(jī)上給每個 VLAN 建一個 VLANIF 接口充當(dāng)這個網(wǎng)段的網(wǎng)關(guān)。[Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Switch-Vlanif10] quit [Switch] interface vlanif 20 [Switch-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Switch-Vlanif20] quitVLANIF 的概念不復(fù)雜VLAN 是二層隔離域VLANIF 是給這個隔離域配的三層入口。配置完成后VLAN 10 的終端把網(wǎng)關(guān)指到 192.168.10.1VLAN 20 的終端把網(wǎng)關(guān)指到 192.168.20.1兩個網(wǎng)段就能通過交換機(jī)內(nèi)部路由互通。配完不是直接認(rèn)為通了要驗證三件事display ip interface brief 看 VLANIF 狀態(tài)是否 Updisplay ip routing-table 看直連路由是否生成再用兩個網(wǎng)段的終端互 ping。實際操作里 VLANIF 起不來多半是底層 VLAN 沒有端口成員接口狀態(tài)是 Down 的路由表里自然就沒有直連路由。4.2 靜態(tài)路由與 OSPFv2手工鏈路與動態(tài)路由的配置要點S5700 作為三層交換機(jī)接上游核心或出口路由器時必然要跑路由。靜態(tài)路由是基礎(chǔ)適用于網(wǎng)絡(luò)規(guī)模小、拓?fù)浞€(wěn)定的場景[Switch] ip route-static 0.0.0.0 0.0.0.0 192.168.254.254 [Switch] ip route-static 10.1.0.0 255.255.0.0 192.168.254.253 preference 90第一條是默認(rèn)路由把訪問外網(wǎng)和未知網(wǎng)段的流量都扔給上游網(wǎng)關(guān)。第二條是回程路由preference 90 表示手動調(diào)低優(yōu)先級用于做備份鏈路。靜態(tài)路由的寫在配置里很透明缺點是拓?fù)湟蛔兙鸵止じ乃院诵膮^(qū)域建議跑動態(tài)路由。OSPFv2 的配置核心是進(jìn)程、Router ID、區(qū)域和 network 四條線[Switch] ospf 1 router-id 10.0.0.1 [Switch-ospf-1] area 0.0.0.0 [Switch-ospf-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [Switch-ospf-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [Switch-ospf-area-0.0.0.0] network 10.0.0.0 0.0.0.255router-id 必須是全 OSPF 域內(nèi)唯一一般用手工指定回環(huán)地址別依賴系統(tǒng)自動選不然設(shè)備重啟后 router-id 可能變化。network 后面的掩碼是反掩碼0.0.0.255 對應(yīng) 255.255.255.0這里是新手最容易寫錯的地方。區(qū)域 0 是骨干區(qū)域非骨干區(qū)域必須與骨干區(qū)域相連否則鄰居關(guān)系建立不起來。配完 OSPF 后用 display ospf peer 看鄰居狀態(tài)是不是 Full用 display ip routing-table 看 OSPF 路由有沒有進(jìn)表。我遇到過不少次鄰居一直卡在 ExStart 或 Exchange查到最后要么是兩邊的 network 宣告范圍不一致要么是 hello 間隔或認(rèn)證參數(shù)不匹配。這類問題靠“看配置”是看不出毛病的必須看協(xié)議狀態(tài)。4.3 DHCP 服務(wù)器與中繼地址下發(fā)的兩種落地方式S5700 可以承擔(dān) DHCP 服務(wù)器角色給終端下發(fā)地址減少一臺獨立的 DHCP 服務(wù)器。全局地址池是常見做法[Switch] dhcp enable [Switch] ip pool office [Switch-ip-pool-office] network 192.168.10.0 mask 255.255.255.0 [Switch-ip-pool-office] gateway-list 192.168.10.1 [Switch-ip-pool-office] dns-list 223.5.5.5 [Switch-ip-pool-office] excluded-ip-address 192.168.10.1 192.168.10.99參數(shù)含義分別是地址池網(wǎng)段、下發(fā)給終端的網(wǎng)關(guān)地址、DNS 服務(wù)器、保留地址段。其中 excluded-ip-address 特別容易漏服務(wù)器和打印機(jī)這種要固定 IP 的設(shè)備必須先排除掉再分配否則地址沖突的工單能淹沒人。如果終端和網(wǎng)關(guān)不在同一臺設(shè)備上就要用 DHCP 中繼。中繼的作用是終端廣播的 DHCP 請求到達(dá)交換機(jī)后交換機(jī)把請求單播轉(zhuǎn)發(fā)給真正的 DHCP 服務(wù)器再把服務(wù)器的回應(yīng)送回終端。配置中繼時關(guān)鍵是三層接口上要指定 DHCP 服務(wù)器地址同時保證交換機(jī)到服務(wù)器之間路由可達(dá)。很多中繼不生效不是中繼配置的問題而是交換機(jī)到服務(wù)器這段路由沒通。DHCP 配置完成后在一臺終端上釋放并重新獲取地址然后在交換機(jī)上執(zhí)行 display dhcp server statistics 查看地址分配計數(shù)。如果客戶端一直拿不到地址先確認(rèn) VLANIF 和地址池網(wǎng)段是否一致再看設(shè)備上是否開了 DHCP Snooping 并攔截了合法請求。5. 避坑與常見問題S5700 配置里五個高頻翻車現(xiàn)場這一章把這些年配置 S5700 過程中最常見的五類問題整理成“現(xiàn)象—原因—解決”三條式新手可以按圖索驥熟手也能拿來當(dāng)排障清單。5.1 登錄與文件系統(tǒng)類Console 亂碼、SSH 連不上、保存不生效現(xiàn)象一Console 線接上后終端全是亂碼或者完全無輸出。原因一般是串口終端參數(shù)和設(shè)備的默認(rèn)參數(shù)不一致常見的有波特率選錯、數(shù)據(jù)位校驗位不匹配也有一些是 USB 轉(zhuǎn)串口線芯片驅(qū)動沒裝好系統(tǒng)里根本沒有出現(xiàn)對應(yīng)的 COM 口。解決方法是確認(rèn)串口會話參數(shù)為 9600-8-N-1關(guān)閉所有流控開關(guān)再檢查設(shè)備管理器里 COM 口號換一個終端軟件重新連接。Console 口本身一般不會壞十次里有九次是軟件問題?，F(xiàn)象二SSH 無論如何都連不上報錯五花八門。原因集中在三個環(huán)節(jié)VTY 沒有執(zhí)行 protocol inbound ssh、本地用戶沒有配 service-type ssh、設(shè)備沒有生成 RSA 主機(jī)密鑰。解決思路是從設(shè)備側(cè)往外查先 display ssh server status 確認(rèn) SSH 服務(wù)已開啟再確認(rèn) VTY 配置最后確認(rèn)本地用戶權(quán)限和密碼。真正發(fā)現(xiàn)問題后往往就是少了一條命令的事?，F(xiàn)象三明明 save 了重啟后配置還是丟。原因是把 save 和保存到啟動配置文件搞混了。設(shè)備運行配置保存在內(nèi)存里save 之后才寫入存儲介質(zhì)成為下次啟動加載的配置。有些版本里 save 還會要求輸入配置文件名如果選了非默認(rèn)文件名啟動時加載的還是原文件。解決方法是 save 后立刻執(zhí)行 display saved-configuration 確認(rèn)配置文件時間和大小。三個月前吃過一次虧改完核心匯聚的 VLAN順手 save 了以為萬事大吉一周后設(shè)備重啟整段業(yè)務(wù)配置全沒了因為當(dāng)時 stop 在了內(nèi)存態(tài)。從那以后save 后必看 saved-configuration沒有例外?，F(xiàn)象四改動配置后發(fā)現(xiàn)錯了想回滾無從下手只記得“好像改過幾條命令”。原因是沒有提前導(dǎo)出當(dāng)前配置。S5700 支持 TFTP 和 zmodem 上傳下載但很多人在配置前根本不會想到備份一次。解決方法是任何變更開始前先執(zhí)行 display current-configuration 并把輸出保存到本地文件這一步只花兩分鐘但能省掉一整晚的回滾猜謎過程。5.2 二層與三層類VLAN 通不了、聚合起不來、OSPF 鄰居卡住現(xiàn)象五VLAN 之間 ping 不通或者終端能 ping 通網(wǎng)關(guān)但跨網(wǎng)段就斷。這是個綜合問題原因可能是 VLANIF 沒建、Trunk 沒放通、路由表缺條目也可能是終端網(wǎng)關(guān)指向錯誤。解決的排查路徑我固定為三條命令display vlan display ip interface brief display ip routing-table這三條分別回答“二層 VLAN 和端口成員對不對”“三層接口是否 Up 且地址對不對”“路由表里有沒有到目標(biāo)網(wǎng)段的路徑”。按這個順序查大多數(shù) VLAN 互通問題十分鐘內(nèi)能定位。切忌一上來就懷疑配置先看這三張表再動配置?，F(xiàn)象六鏈路聚合成員口狀態(tài)起不來流量仍走單鏈路。原因多半是成員口加入聚合組之前屬性不一致比如有的口是 Access、有的口是 Trunk或者兩端聚合模式一個手工一個 LACP。解決方法是把成員口的速率、雙工、鏈路類型、VLAN 屬性全部統(tǒng)一后再重新加入 Eth-Trunk。加入后兩端分別執(zhí)行 display eth-trunk 1確認(rèn)成員口是不是 Selected 狀態(tài)。聚合不像 VLAN兩端配置必須嚴(yán)格對齊差一個參數(shù)就會出現(xiàn)會話成員全部掉線的情況?，F(xiàn)象七OSPF 鄰居起不來狀態(tài)一直停在 Init 或 ExStart。原因集中在 network 反掩碼寫錯、router-id 沖突、區(qū)域 ID 不一致、hello 間隔或認(rèn)證參數(shù)不匹配。解決辦法是看協(xié)議統(tǒng)計display ospf peer display ospf errordisplay ospf error 里的計數(shù)非常直接哪種錯誤在漲就查哪一項。比如出現(xiàn) “Area Mismatch”就是兩邊區(qū)域不一致出現(xiàn) “Auth-Type Mismatch”就是認(rèn)證類型或密鑰不一致。OSPF 排障最忌悶頭改配置看一眼 error 統(tǒng)計方向立刻就有了。5.3 QoS 與可靠性類隊列調(diào)度不生效、VRRP 切換異常這類問題不像二層三層那樣天天遇到但一旦遇到就是割接級故障。先說 QoS 隊列調(diào)度很多人配置了隊列權(quán)重但擁塞發(fā)生時流量還是從缺省隊列走。原因是接口的調(diào)度模式、隊列映射和實際流量所屬的優(yōu)先級沒有對齊。解決方法是先看清接口的 trust 模式和隊列權(quán)重配置再用設(shè)備內(nèi)置的隊列統(tǒng)計確認(rèn)各隊列是否有流量命中。VRRP 的問題則更隱蔽。VRRP 主備切換失敗先查優(yōu)先級、虛擬 IP 和搶占模式兩端是否一致用 display vrrp 查看當(dāng)前主備狀態(tài)。如果配置了 BFD 聯(lián)動還要確認(rèn) BFD 會話狀態(tài)是 Up。我見過一次割接中主設(shè)備被拔電后業(yè)務(wù)中斷數(shù)分鐘查到最后是 VRRP 和 BFD 的聯(lián)動參數(shù)配置反向?qū)е轮鱾錉顟B(tài)無法收斂。這類問題不做切換演練根本發(fā)現(xiàn)不了所以我的習(xí)慣是任何 VRRP 組網(wǎng)變更后必須做一次主備切換演練再收工。6. 上線前最后三件事QoS 隊列驗證、VRRP 切換演練與配置回滾前五章把 S5700 的主要配置鏈路走了一遍最后一章想聊三個容易被忽略但非常關(guān)鍵的驗證習(xí)慣。它們不是手冊里某一條具體命令而是把手冊內(nèi)容落地成生產(chǎn)力的動作。第一件事QoS 隊列驗證。配完隊列調(diào)度后不要只看配置要看流量進(jìn)了哪個隊列。常見做法是臨時打一路測試流量給報文打上指定 DSCP 標(biāo)記再通過接口上的隊列統(tǒng)計確認(rèn)它進(jìn)入了期望的隊列。如果配置的權(quán)重和實際流量優(yōu)先級對不上擁塞時還是會出現(xiàn)關(guān)鍵業(yè)務(wù)被丟棄的情況。第二件事VRRP 切換演練。配置完成后在備用設(shè)備上執(zhí)行一次強(qiáng)制切換確認(rèn)主備狀態(tài)能正確翻轉(zhuǎn)業(yè)務(wù)能自動恢復(fù)。VRRP 的坑不在配置而在沒驗證靜態(tài)配置的 VRRP 在正常運行時看起來都是對的只有真正切一次才知道問題在哪。第三件事配置回滾閉環(huán)。任何變更都按這個順序走# 變更前保存當(dāng)前配置快照到本地 display current-configuration pre_change.cfg # 變更完成并驗證后再執(zhí)行一次保存 save # 變更后拉取新配置作為備份 display current-configuration post_change.cfg這套流程看起來簡單但執(zhí)行過的人都知道它才是真正的后悔藥。有一次在線割接我把一個接口的 Trunk 放行列表改錯了現(xiàn)場又沒做快照只能憑記憶往回改結(jié)果越改越亂業(yè)務(wù)中斷了將近一個小時。從那以后不管多小的變更我都強(qiáng)制走一遍“導(dǎo)出→變更→驗證→保存→再導(dǎo)出”的閉環(huán)。希望幫到你。本文還有配套的精品資源點擊獲取