干这行最怕的就是现场开box之后发现设备是到了但说明书是厚厚一本PDF想找一个“配置DHCP”的章节都翻半天。我第一次碰迈普Maipu交换机的时候差不多就是这状态后来在企业园区、学校、酒店这类项目里用了几轮才把配置逻辑彻底捋顺。今天这篇迈普交换机配置说明就当是我自己的一份实操笔记从console线第一次登录开始到VLAN、Trunk、三层路由、DHCP、eth-trunk、ACL、STP这些核心模块再到现场排错的经验一次性讲清楚。整理后台搜索数据的时候我发现不少人搜过“迈普交换机怎么配置dhcp”“迈普交换机4g刷配置”“配置eth-trunk实例”这类具体问题说明卡壳的点都很集中。文章里我会把这些高频问题单独拉出来讲并给出可以照抄的命令。不同型号、不同软件版本的迈普设备命令细节可能有点出入我会把思路和排查方法一起给你这样换任何一台设备你都不会慌。1. 项目背景迈普交换机到底适合用在什么场景配置前要先想通哪几件事1.1 应用场景与设备定位迈普在国内网络设备里算是一支老牌力量尤其在运营商接入、政企内网、园区网这些市场出镜率很高。它的交换机产品线覆盖了接入层、汇聚层和部分核心层常见的像S系列、MYPOWER系列里有纯二层傻瓜机也有带三层路由功能的中端设备。很多项目里它被当作“预算有限但功能要求齐全”的替代方案比如华为、锐捷这些头部品牌价格偏高的时候迈普就是一个性价比不错的选择。正因为如此你在迈普交换机上看到的配置需求往往很实在划分VLAN隔离部门、配置DHCP给终端分配IP、做Trunk把多台交换机串起来、再往上层走就是三层路由和ACL过滤。它的命令行风格和华为VRP比较接近如果你以前玩过华为或H3C的设备上手迈普会非常快。如果只熟悉傻瓜交换机也不要紧按着下面的步骤来就行。1.2 配置之前必须想清楚的三件事任何网络项目配置交换机本身不是最难的一步难的是配置之前没想清楚需求。我第一次做迈普项目就吃过亏到了现场才发现VLAN没有规划、IP地址段没有分好结果所有配置推倒重来。所以无论你多急着上架设备请先花半小时把下面三件事确认掉第一网络拓扑是什么样。画一张简图标清楚哪台交换机放在哪个位置哪些设备接在哪个端口上交换机之间怎么互联。别嫌麻烦后面所有配置都依赖这张图。第二VLAN和IP网段怎么划。比如公司有5个部门需求是划成5个子网A部门100台主机B部门50台C部门20台那每个部门至少得分配一个对应的IP网段。这里一定要算好掩码否则地址不够或者浪费严重。100台主机至少要掩码是255.255.255.128/25的网段能容纳126个可用地址50台主机用/26能容纳62个20台主机用/27能容纳30个。记住这个计算逻辑后面分配的时候就不会出问题。第三哪些端口是接终端的access口哪些是交换机之间互联的trunk口。这步如果搞反了后面VLAN就不通排查起来很痛苦。1.3 配置接入方式的选择迈普交换机的配置方式主要有三种console串口、Telnet/SSH远程、以及部分型号自带的Web管理界面。第一次配置、或者网络还没有完全调通的时候只能用console线连设备网络跑起来之后建议关掉Telnet、开启SSH安全和方便兼得。某些带4G模块的型号还可以通过4G链路远程登录管理这就回答了“迈普交换机4g刷配置”里说的“刷配置”场景——本质上仍然是远程CLI操作只是承载链路变成4G不在现场也能改配置。2. 初始连接与基础配置从console登录到能远程管理2.1 串口连接与终端参数迈普交换机一般自带一个console口常见的是RJ45或USB口用随机附带的console线连接电脑USB口或串口。电脑端需要安装对应的USB转串口驱动装好之后在设备管理器里看分配给它的COM口号。我习惯用SecureCRT或者MobaXterm连接Xshell也可以这些都支持串口协议。新建一个串口会话后参数配成波特率9600、数据位8、校验位None、停止位1、流控None也就是常说的“9600 8 N 1”。连接后如果看到设备提示符说明已经进入命令行。这里有几点经验线插好后没反应先检查驱动是否装好再看设备管理器里COM口号对不对。波特率不对会出现花屏或者乱码通常不是设备坏了查一下参数设置。连接时如果提示“无法打开串口”大概率是串口号被其他软件占用了把其他终端软件关掉再试。2.2 第一次登录后的基础配置迈普交换机的命令行风格和华为比较接近。登录后默认处于用户视图提示符一般是尖括号比如Maipu输入system-view进入系统视图提示符变成方括号。接下来设置设备名称、创建管理VLAN、配置管理IP。假设这个管理网段是192.168.100.0/24交换机管理地址为192.168.100.2配置如下Maipu system-view [Maipu] sysname Core-SW [Core-SW] vlan 100 [Core-SW-vlan100] quit [Core-SW] interface Vlanif 100 [Core-SW-Vlanif100] ip address 192.168.100.2 255.255.255.0 [Core-SW-Vlanif100] quit在真实的项目里管理VLAN一般专门留一个并且要选择某个端口接管理网。把需要用于管理的物理端口加入VLAN 100[Core-SW] interface GigabitEthernet 0/0/24 [Core-SW-GigabitEthernet0/0/24] port link-type access [Core-SW-GigabitEthernet0/0/24] port default vlan 100这样交换机就能通过网管电脑访问了。如果需要网关上网管平台还要配置默认路由指向上一级设备的IP。2.3 开启远程管理SSH只靠console跑现场太痛苦网络调通之后我建议第一时间打开SSH。先配置登录用户再开启stelnet服务[Core-SW] aaa [Core-SW-aaa] local-user admin password irreversible-cipher Admin2024 [Core-SW-aaa] local-user admin service-type ssh [Core-SW-aaa] local-user admin privilege level 15 [Core-SW-aaa] quit [Core-SW] stelnet server enable [Core-SW] ssh user admin authentication-type password [Core-SW] user-interface vty 0 4 [Core-SW-ui-vty0-4] authentication-mode aaa [Core-SW-ui-vty0-4] protocol inbound ssh [Core-SW-ui-vty0-4] quit不同版本的迈普交换机SSH打开命令可能略有差异比如有的版本是ssh server enable。用?键随时查补全和帮助。最后一定要保存配置命令是save会提示你是否保存到配置文件输入y回车就行。很多新手配置了半天断电后全部丢失就是因为忘了这一步Core-SW save The current configuration will be saved to the config file. Are you sure to save it? (y/n): y3. 核心业务配置VLAN、Trunk、三层路由与DHCP3.1 VLAN创建与端口划分回到那个5个部门的例子。假设A部门100台主机用192.168.10.0/25网段VLAN 10B部门50台用192.168.20.0/26网段VLAN 20C部门20台用192.168.30.0/27网段VLAN 30。在交换机上创建VLAN很简单[Core-SW] vlan batch 10 20 30如果设备不支持vlan batch就逐个创建[Core-SW] vlan 10 [Core-SW-vlan10] quit [Core-SW] vlan 20 [Core-SW-vlan20] quit [Core-SW] vlan 30 [Core-SW-vlan30] quitVLAN建完之后把接终端的端口划进对应VLAN[Core-SW] interface GigabitEthernet 0/0/1 [Core-SW-GigabitEthernet0/0/1] port link-type access [Core-SW-GigabitEthernet0/0/1] port default vlan 10这个操作就是“access口”的标准配置意思是一根网线只属于一个VLAN。如果终端接的是傻瓜交换机那上级交换机接傻瓜交换机的这个口也应该设置成access并划到对应VLAN里否则终端可能获取不到IP。3.2 Trunk模式配置当多台交换机要串联时这条串联链路需要承载多个VLAN的业务流量access口就不够用了。这时候就用到trunk口。比如上面那台Core-SW和一台接入层交换机Switch-A互联互联口要放通VLAN 10、20、30配置如下[Core-SW] interface GigabitEthernet 0/0/24 [Core-SW-GigabitEthernet0/0/24] port link-type trunk [Core-SW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30有的版本会更习惯用port trunk permit vlan all代表允许所有VLAN通过。如果现场不确认到底放哪些VLAN先放通all也可以但保守起见建议明确指定VLAN列表避免业务混跑产生安全问题。Turunk环节最容易出的问题有两个两端交换机trunk口允许的VLAN列表不一致导致部分VLAN不通。排查时两边都要看。忘了设置PVID。默认PVID一般是VLAN 1如果挂接傻瓜交换机或有特殊情况需要把PVID改到对应VLAN。3.3 三层接口与VLAN间路由不同VLAN之间的网段要互通就需要三层交换机上场。所谓三层交换机就是能在设备内部给每个VLAN配置一个IP地址也就是VLANIF接口然后通过这个IP帮终端做路由转发。这也是很多人问“不同网段通信需要三层交换机吗”的答案如果只是二层交换机不同VLAN之间是隔离的要互通必须靠路由器或三层交换机的路由功能。在上面这个例子里VLAN 10对应192.168.10.0/25网段网关设为192.168.10.1VLAN 20对应192.168.20.0/26网关设为192.168.20.1VLAN 30对应192.168.30.0/27网关设为192.168.30.1。配置[Core-SW] interface Vlanif 10 [Core-SW-Vlanif10] ip address 192.168.10.1 255.255.255.128 [Core-SW-Vlanif10] quit [Core-SW] interface Vlanif 20 [Core-SW-Vlanif20] ip address 192.168.20.1 255.255.255.192 [Core-SW-Vlanif20] quit [Core-SW] interface Vlanif 30 [Core-SW-Vlanif30] ip address 192.168.30.1 255.255.255.224 [Core-SW-Vlanif30] quit配置完成后各VLAN里的终端只要把网关指向对应VLANIF的IP三层交换机就会自动完成网段间的路由转发。如果终端没配网关那肯定不在一个网段也ping不通这个问题经常被遗漏。3.4 DHCP服务配置回答热搜里最常问的问题很多人搜“迈普交换机怎么配置dhcp”核心就是想让交换机直接给终端发地址省去另外架一台DHCP服务器。迈普交换机开启DHCP功能后用dhcp enable全局开启然后在地址池里定义网段和网关[Core-SW] dhcp enable [Core-SW] ip pool vlan10 [Core-SW-ip-pool-vlan10] network 192.168.10.0 mask 255.255.255.128 [Core-SW-ip-pool-vlan10] gateway-list 192.168.10.1 [Core-SW-ip-pool-vlan10] dns-list 114.114.114.114 8.8.8.8 [Core-SW-ip-pool-vlan10] quit然后在对应VLANIF接口下启用全局地址池分配[Core-SW] interface Vlanif 10 [Core-SW-Vlanif10] dhcp select global [Core-SW-Vlanif10] quit如果DHCP服务器不在当前网段而是放在核心机房的一台独立服务器上那交换机需要做DHCP中继。这种情况下交换机不负责分配地址只负责把DHCP请求转发到服务器[Core-SW] interface Vlanif 20 [Core-SW-Vlanif20] dhcp select relay [Core-SW-Vlanif20] dhcp relay server-ip 192.168.100.10 [Core-SW-Vlanif20] quitDHCP配置完终端还是获取不到地址的话别急着怀疑配置先确认终端的网线接到了哪个VLAN然后再去看对应VLANIF的地址池配置和dhcp select global有没有生效。最常见的原因就是接口忘了启用DHCP或者地址池网段和VLANIF不在同一个网段。3.5 eth-trunk链路聚合配置eth-trunk链路聚合是核心交换机和汇聚交换机之间做带宽扩展和链路冗余的常用手段。比如两台交换机之间用两条千兆线互联配置成eth-trunk后逻辑上变成一条链路带宽自动叠加到2G而且其中一条线断了流量会自动切到另一条不会断网。迈普交换机的eth-trunk也分手工聚合和LACP动态聚合。手工聚合命令类似这样[Core-SW] interface Eth-Trunk 1 [Core-SW-Eth-Trunk1] quit [Core-SW] interface GigabitEthernet 0/0/23 [Core-SW-GigabitEthernet0/0/23] eth-trunk 1 [Core-SW-GigabitEthernet0/0/23] quit [Core-SW] interface GigabitEthernet 0/0/24 [Core-SW-GigabitEthernet0/0/24] eth-trunk 1 [Core-SW-GigabitEthernet0/0/24] quit [Core-SW] interface Eth-Trunk 1 [Core-SW-Eth-Trunk1] port link-type trunk [Core-SW-Eth-Trunk1] port trunk allow-pass vlan all注意两端设备必须都配eth-trunk而且两端加入的成员口数量、速率、双工模式应保持一致。如果一端配聚合、一端没配链路状态会异常甚至产生环路这是现场容易踩的坑。4. 安全与可靠性配置ACL、STP、端口安全4.1 ACL访问控制列表ACL访问控制列表在交换机上的作用就是做数据包过滤。比如你想禁止VLAN 10的终端访问VLAN 30的服务器区可以在VLAN 30的VLANIF接口上做入方向过滤[Core-SW] acl number 3001 [Core-SW-acl-adv-3001] rule 5 deny ip source 192.168.10.0 0.0.0.127 destination 192.168.30.0 0.0.0.31 [Core-SW-acl-adv-3001] rule 10 permit ip [Core-SW-acl-adv-3001] quit [Core-SW] interface Vlanif 30 [Core-SW-Vlanif30] traffic-filter inbound acl 3001注意ACL规则里的0.0.0.127、0.0.0.31是通配符掩码wildcard mask不是子网掩码它和反掩码的概念等同。如果你对华为设备的通配符写法不熟可以先查一下手边手册。规则顺序很重要设备从上往下匹配所以通常把拒绝规则放在前面最后放一条允许所有否则可能误伤其他流量。4.2 STP生成树与环路防护STP生成树协议是交换机防止环路的关键机制。局域网里最怕的就是多根网线接来接去形成环路一旦形成广播风暴会让整个网络卡到瘫痪。STP的作用就是通过算法计算出最优路径把冗余链路从逻辑上阻塞掉当主链路断掉后再自动启用备用链路。迈普默认一般启用了STP但默认可能是普通的STP收敛速度慢。在线的话建议开启RSTP或MSTP提升收敛速度。配置也很简单[Core-SW] stp mode rstp [Core-SW] stp root primary在汇聚和核心层设备上手动指定根桥是一个好习惯。把核心交换机设成根桥不让它通过比较交换机的MAC地址和优先级来决定这样网络结构更稳定。对于直接连接终端的接入端口还可以开启边缘端口和BPDU防护防止用户私接交换机导致环路或STP拓扑抖动[Core-SW] interface GigabitEthernet 0/0/1 [Core-SW-GigabitEthernet0/0/1] stp edged-port enable [Core-SW-GigabitEthernet0/0/1] stp bpdu-protection配置了BPDU防护之后如果某个终端口收到了BPDU报文说明下面有人接了交换机设备会把该端口直接置为error-down保证整网不受影响这个经验在很多项目里非常有用。4.3 端口安全与广播风暴抑制接入层交换机还要考虑防私接、防广播风暴的问题。端口安全可以限制单端口下学习的MAC地址数量防止用户乱插设备[Core-SW] interface GigabitEthernet 0/0/1 [Core-SW-GigabitEthernet0/0/1] port-security enable [Core-SW-GigabitEthernet0/0/1] port-security max-mac-num 1 [Core-SW-GigabitEthernet0/0/1] port-security mac-address stickymax-mac-num 1表示这个端口只允许学习1个MAC地址如果超过就会被丢弃或告警mac-address sticky则会把首次学习到的MAC地址固化下来断电后也不会重新学习。广播风暴抑制是在端口上限定广播、组播、未知单播流量占端口带宽的比例。这个在接入层尤其重要因为真正出现问题的时候广播风暴往往来自某个被ghost感染的终端或者错误接入的环路。配置示例[Core-SW] interface GigabitEthernet 0/0/1 [Core-SW-GigabitEthernet0/0/1] broadcast-suppression 5这个5代表广播流量不能超过端口带宽的5%超过的部分会被丢弃。不同型号的迈普交换机参数单位可能不太一样有的是百分比有的是pps配置前看一下帮助说明。5. 常见故障排查与避坑实录5.1 “为什么从局域网中拿走一个交换机后全网很卡”这个热搜问题其实很典型。你可能觉得拿走交换机只会让那一段断网怎么会全卡真相往往出在STP和环路的关系上。很多现场为了防止单点故障会把交换机之间用两根线连起来一个上行口断了还有另一个。但如果这两根线没做聚合也没启用好STP就可能在物理上形成环路。STP正常情况下会阻塞一个口把环化解掉但网卡设备一多、STP收敛不及时就会导致广播风暴。还有另外一种情况原本那个口被STP阻塞了拿走交换机后其它链路突然把拓扑重新收敛所有交换机都在重新计算路径好几秒甚至几十秒内网络会明显变慢这是正常的STP收敛过程。应对方法很简单把核心和汇聚之间的链路改成eth-trunk端口启用RSTP这样拓扑变化时的收敛时间会缩短很多。排查时先用display stp brief看端口状态如果发现某个端口反复在forwarding和blocking之间切换大概率就是链路环路或STP参数不对。再用display interface看端口流量如果输入输出PPS特别高基本可以断定有广播风暴。5.2 VLAN间ping不通、DHCP获取不到IP的排查思路VLAN间ping不通先别急着怀疑ACL把链路基础检查一遍。命令按这个顺序来display vlan确认VLAN存在确认端口加对了VLAN。display interface Vlanif 10确认三层接口的IP和掩码配好没。display ip routing-table看有没有到目标网段的路由三层交换机直连网段会生成直连路由。display current-configuration | include acl最后再确认有没有ACL把流量过滤掉了。DHCP获取不到IP重点检查四个位置终端所在VLAN有没有划对、VLANIF接口有没有启用DHCP、地址池网段对不对、中继服务器IP通不通。很多时候问题是终端没连到预期的端口或者端口是access但VLAN不对。直接在核心交换机的对应VLANIF上抓个包看有没有DHCP请求到达比来回猜快得多。5.3 配置丢失和配置备份技巧配置保存的方式前面提过save即可。但建议每改一次重要配置就保存一次而且定期用display current-configuration把配置导出来备份。备份方法有两种一种是在终端软件里把会话日志保存下来另一种是通过FTP/TFTP把配置文件导出到PC。如果是远程维护在SecureCRT或MobaXterm里开启日志记录特别方便所有敲过的命令和回显都会存下来后续写故障报告也省事。我习惯每台重要交换机的配置都放到同一个网盘目录里文件名带日期出了任何问题都能对照回滚。需要注意的是老版本迈普交换机命令里如果有明文密码比如telnet登录密码导出配置时会直接显示。这种情况要提醒自己注意文件保管别把含密码的配置文件往公开渠道传。5.4 配置脚本批量下发技巧如果项目里有几十台接入交换机要做相同配置一台台敲不仅效率低还容易出错。可以在终端软件里把命令先整理成脚本然后用“发送缓冲区”或“导入命令文件”的方式批量下发。脚本的写法就是一行一条命令和命令行输入内容一致system-view sysname Access-SW-01 vlan batch 10 20 30 interface GigabitEthernet 0/0/1 port link-type access port default vlan 10 quit save y批量下发前务必在一台测试机上试一遍确认没有语法错误再推送到剩下的设备。如果设备型号混杂命令可能不完全一样所以脚本里不要写太特殊的命令尽量用通用语法。最后再说两句这几年来来回回配了不下几十台迈普交换机我最大的体会是设备本身配置并不难难的是遇到问题时能不能按逻辑一层一层排查。VLAN、Trunk、三层接口、DHCP、ACL、STP这几个模块就是园区网交换机的核心内容把这些命令和原理弄懂大部分配置场景都能覆盖。如果你手边的迈普交换机版本命令和文章里不太一样别着急多利用命令行自带的?帮助多看display输出很多坑其实都是自己吓自己。希望这篇说明能帮你在现场少走几次弯路。