简介：烽火通信官方发布的 S5700 系列三层千兆路由交换机操作手册（V1.0）是一份面向企业网、校园网及 ISP 场景的 CLI 配置指南，适用于工程技术人员、工程开通人员、设备维护人员和网络管理人员，可帮助读者系统掌握该系列三层千兆路由交换机的开通、配置、维护和故障排查。整包共 1 个 PDF 文件，压缩包约 6.89MB，方便下载后离线浏览。手册基于 V310R240 软件版本，按功能模块组织内容，既介绍了设备连接、登录、文件系统与设备文件上传下载等基础操作，也详细讲解了链路聚合、VLAN 及 VLAN 转换、静态路由、OSPFv2、路由策略、QoS 队列调度与拥塞控制、安全认证/访问控制/加密、MSTP/BFD/VRRP 可靠性保护，以及 SNMP/RMON 运维管理等配置方法；每一类功能均配有技术原理说明、配置过程和典型应用举例，便于读者将命令直接迁移到实际设备。目前已有 616 人学习浏览，可满足从初次部署到日常维护的完整需求。

1. S5700 开局前先想清楚：登录和保存才是最容易翻车的两步

刚接手烽火 S5700 系列三层千兆路由交换机那会儿，我以为它和二层交换机一样，插上电配几个 VLAN 就能上线。实际开局第一天就翻车：管理 IP 没配，Telnet 登不进去，设备已经在机柜里，最后只能扛着笔记本蹲在机柜旁边插 Console 线，狼狈得像在修老式路由器。S5700 这种三层千兆路由交换机在园区网、企业接入和 IDC 汇聚里非常常见，操作手册对应软件版本 V310R240，功能从二层 VLAN、链路聚合一直到 OSPFv2、VRRP、QoS 全覆盖。正因为功能多，配置顺序反而比配置本身更重要：先打通管理通道，再配业务，最后保存并验证。适合工程开通、网络运维和刚接触三层交换机的人照着走一遍。

2. 登录与基础配置：Console、Telnet、SSH 三条通道怎么选

2.1 Console 登录：串口参数错一个字就是乱码

设备第一次上电，没有 IP、没有用户名密码，唯一能进系统的就是 Console 口。这一步看似简单，串口参数却经常出问题。我见过不少同事在 SecureCRT 里直接点“快速连接”，结果波特率没改成 9600，屏幕上全是乱码，还以为是设备坏了。

# 新建串口会话，设置以下参数后连接 波特率（Bits per second）: 9600 数据位（Data bits）: 8 停止位（Stop bits）: 1 奇偶校验（Parity）: None 流控（Flow control）: None

这套参数是绝大多数网络设备 Console 口的默认值，S5700 也不例外。流控一定选 None，如果误开了硬件流控，输入命令会出现“打一半丢字符”的诡异现象，看起来像键盘失灵，实际上是 RTS/CTS 在抢线。连接成功后，按回车会看到<Switch>提示符，这就是用户视图，只能执行查看和 ping 之类的简单命令。

# 从用户视图进入系统视图 <Switch> system-view # 修改设备名称，便于多台设备统一管理 [Switch] sysname S5700-Core

system-view 是两层视图的分界线。[Switch]表示系统视图，VLAN、路由、接口配置基本都在这个视图下完成。sysname 后面跟的设备名不建议用默认的“Switch”，几台设备堆在一起时，display current-configuration一看全是 Switch，根本分不清哪台是哪台。

2.2 Telnet 与 SSH：远程管理通道的两种配置套路

Console 能登进去之后，下一步就是打通远程管理通道。S5700 默认不开启 Telnet 或 SSH 服务，需要在系统视图下手动配置。先给出一个完整的管理面配置示例，再拆开讲每一段的作用。

# 创建管理 VLAN 10 并配置 VLANIF 地址 [Switch] vlan 10 [Switch-vlan10] quit [Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.2 24 [Switch-Vlanif10] quit # 开启 Telnet 服务并配置 VTY 用户认证 [Switch] telnet server enable [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] authentication-mode aaa [Switch-ui-vty0-4] protocol inbound all [Switch-ui-vty0-4] quit # 创建本地账号并配置权限 [Switch] aaa [Switch-aaa] local-user admin password irreversible-cipher Admin@123 [Switch-aaa] local-user admin service-type telnet ssh [Switch-aaa] local-user admin privilege level 15 [Switch-aaa] quit

这段配置里，VLANIF 地址是整个管理面的基础。VLAN 10 是管理 VLAN，ip address 192.168.10.2 24给交换机配了一个三层管理地址，之后 Telnet 和 SSH 都往这个地址连。authentication-mode aaa表示用本地账号数据库认证，比老的authentication-mode password灵活得多，后续加人、改权限都在 AAA 视图下操作，不用再进 VTY 改配置。

protocol inbound all允许 Telnet 和 SSH 同时接入，内网调试时用 Telnet 方便，外网或跨网段管理时切 SSH 更安全。privilege level 15是超级管理员级别，级别不够的话，很多命令敲了会直接提示权限不足。

如果对安全性有要求，用 SSH 替代 Telnet。V310R240 版本对 SSH 的支持已经比较成熟，配置 SSH 需要先生成密钥对。

# 生成 RSA 密钥对，默认 2048 位 [Switch] rsa local-key-pair create The key modulus range is 512 to 2048. Input the bits in the modulus [default = 2048]:2048 # 开启 SSH 服务 [Switch] ssh server enable # 限定 VTY 只允许 SSH 接入 [Switch] user-interface vty 0 4 [Switch-ui-vty0-4] protocol inbound ssh [Switch-ui-vty0-4] quit

密钥生成时如果选择 512 位，老版本设备能通过，但安全性太差，现在扫描工具对弱密钥特别敏感，最低建议 2048。protocol inbound ssh一旦配置，Telnet 就被禁止了，所以生产环境切换前要确认自己的 SSH 客户端能用，别把自己锁在门外。

2.3 系统基础配置：设备名、用户权限与持久化保存

远程管理通道通了之后，不要急着配业务。先把设备的基础信息和用户权限整理好，不然配置到一半发现权限不够，或者重启后配置全丢，那才叫欲哭无泪。

# 配置系统时钟，避免日志时间错乱 [Switch] clock timezone Beijing add 8 [Switch] clock datetime 14:30:00 2025-01-15 # 保存当前配置到配置文件 [Switch] save The current configuration will be written to the device. Are you sure to continue? (y/n)[n]:y

clock timezone和clock datetime这两条经常被忽略，但设备日志、ACL 时间段的判断都要依赖系统时钟。如果时间不准，出问题排查日志时对不上号，白折腾半天。最关键的还是save，S5700 的运行配置默认只存在内存里，断电就没了。不执行 save 就拔电，前面所有配置全部作废，这是新手最容易踩的坑，而且踩一次记一辈子。

用户权限的分配也要在开局时想好。privilege level 15给管理员，普通运维给到 level 3 就够用了，只能看配置和做基础排查，改不了业务。曾经有人图省事，所有人共用一个 level 15 的账号，后来某次误操作把一台汇聚交换机的配置清了大半，查了半天不知道是谁干的，从那以后我就坚持按人建账号，权限分开。

3. 二层网络配置：VLAN 划分、链路聚合与接口属性的落地参数

3.1 VLAN 创建与接口划分：access 和 trunk 别混用

管理面打通之后，才轮到业务配置。S5700 的二层功能是它的基本功，VLAN 划分和接口类型是这里最容易出分歧的地方。

# 批量创建 VLAN 10 到 20 [Switch] vlan batch 10 to 20 # 创建指定 VLAN 并命名 [Switch] vlan 10 [Switch-vlan10] name Office [Switch-vlan10] quit # 将接口加入 VLAN 10（access 模式） [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch-GigabitEthernet0/0/1] quit # 配置 trunk 接口并放行多个 VLAN [Switch] interface GigabitEthernet0/0/24 [Switch-GigabitEthernet0/0/24] port link-type trunk [Switch-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 to 20

vlan batch 10 to 20是批量创建 VLAN 的快捷写法，不需要一条条敲，省很多事。port link-type access是把接口设为 access 模式，这种模式只属于一个 VLAN，通常接终端设备，比如电脑、打印机。port default vlan 10就是把这个接口划分进 VLAN 10。

trunk 接口则完全相反，它是一条管道，可以同时承载多个 VLAN 的流量，一般用于交换机之间的级联，或者交换机到路由器、防火墙的互联。配置 trunk 后必须用port trunk allow-pass明确放行哪些 VLAN，否则默认只放行 VLAN 1，业务 VLAN 的流量直接断掉。这里有一个排查经验：VLAN 之间不通时，先看 trunk 两端是否都放行了对应 VLAN，再看两端 PVID 是否一致，最后才看 IP 和路由，顺序反了经常白忙活。

3.2 链路聚合：Eth-Trunk 手工汇聚与负载均衡

链路聚合在 S5700 上叫 Eth-Trunk，作用是把多个物理接口捆成一条逻辑链路，既增加带宽，又提供冗余。一个成员口断了，流量自动切换到其他成员口，物理链路故障基本无感知。

# 创建 Eth-Trunk 逻辑接口 [Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] quit # 将两个物理接口加入聚合组 [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] eth-trunk 1 [Switch-GigabitEthernet0/0/1] quit [Switch] interface GigabitEthernet0/0/2 [Switch-GigabitEthernet0/0/2] eth-trunk 1 [Switch-GigabitEthernet0/0/2] quit # 进入聚合口配置 trunk 属性 [Switch] interface eth-trunk 1 [Switch-Eth-Trunk1] port link-type trunk [Switch-Eth-Trunk1] port trunk allow-pass vlan 10 to 20 # 配置负载均衡方式 [Switch-Eth-Trunk1] load-balance src-dst-mac

eth-trunk 1中的 1 是聚合组编号，物理接口加入聚合组后，它的二层属性配置就失效了，一切以 Eth-Trunk 口上的配置为准。所以别在成员口上配 access 或 trunk，要配就配在interface eth-trunk 1下面，很多人第一次配置时在物理口上配了 VLAN，结果不生效，就是这个原因。

load-balance src-dst-mac是按源目的 MAC 做负载均衡，适合普通二层转发场景。如果后续要做三层路由，我一般会改成load-balance src-dst-ip，按 IP 五元组哈希更均匀。要注意的是，聚合两端设备必须使用相同的负载均衡模式，否则报文会乱序，表现为视频卡顿、文件传输中断，但 ping 一直是通的，很迷惑人。

3.3 接口属性与 MAC 表：速率、双工、老化时间

VLAN 和聚合配置好了，接口的基础属性也不能忽略。千兆口默认自协商一般没问题，但遇到老设备或特殊线缆时，自协商失败会导致接口 flapping，日志里反复出现 up 和 down。

# 强制接口速率和双工模式 [Switch] interface GigabitEthernet0/0/10 [Switch-GigabitEthernet0/0/10] speed 1000 [Switch-GigabitEthernet0/0/10] duplex full [Switch-GigabitEthernet0/0/10] quit # 配置 MAC 地址老化时间 [Switch] mac-address aging-time 300 # 配置黑洞 MAC，丢弃指定 MAC 的报文 [Switch] mac-address blackhole 00e0-fc12-3456 vlan 10

speed 1000和duplex full是强制千兆全双工，适合两端型号明确的场景。但强制模式有一个副作用：如果对端是自协商，链路可能会协商失败，所以非必要不强制，保持默认反而更稳。

mac-address aging-time 300把 MAC 表老化时间设为 300 秒，默认一般是 300 秒，如果网络里有大量终端频繁上下线，可以适当缩短老化时间，让 MAC 表更灵敏。黑洞 MAC 的作用是丢掉指定 MAC 的报文，常用于屏蔽某个中毒终端或违规设备的流量，比 ACL 简单直接，配置一次就生效。

4. 三层路由与 IP 业务：VLANIF、静态路由、OSPFv2 和 DHCP 怎么配合

4.1 VLANIF：给每个 VLAN 配一个网关

S5700 叫三层交换机，核心能力就体现在 VLANIF 上。VLANIF 是一个虚拟三层接口，每个 VLAN 对应一个，路由流量从这里进出。VLAN 二层通不通是接口的事，三层通不通就是 VLANIF 的事。

# 创建 VLANIF 接口并配置 IP 地址 [Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Switch-Vlanif10] quit [Switch] interface vlanif 20 [Switch-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Switch-Vlanif20] quit

VLANIF 的 IP 地址通常就是该 VLAN 内终端的网关地址。比如 VLAN 10 的网段是 192.168.10.0/24，VLANIF 10 配 192.168.10.1，那么 VLAN 10 里的终端就把网关指到 192.168.10.1。这里有两条不成文的规矩：一是 VLAN 和 VLANIF 编号尽量一致，vlan 10对应interface vlanif 10，后面排查时一眼就能对上网段；二是 VLANIF 的 IP 地址必须和 VLAN 内终端的网段一致，如果配成了别的网段，终端即使能拿到地址也出不了网。

一个 VLAN 对应一个 VLANIF，不能重复创建，也不能一个 VLANIF 配置两个不同网段的 IP。如果 VLAN 之间要互通，交换机只要创建了各自的 VLANIF 并且接口都在线，默认就能互相路由。如果发现 VLAN 之间 ping 不通，先查这两台终端所在的 VLAN 是否都创建了 VLANIF，其次查接口是否 up，最后才查路由。

4.2 静态路由与 OSPFv2：小网靠静态，大网靠动态

VLANIF 解决的是同一个交换机内部 VLAN 之间的互通，跨交换机、跨三层设备就要靠路由协议了。小型网络用静态路由完全够用，S5700 的静态路由配置很直白。

# 配置到对端业务网段的静态路由 [Switch] ip route-static 192.168.30.0 24 192.168.20.254 # 配置默认路由 [Switch] ip route-static 0.0.0.0 0 192.168.20.254

ip route-static 192.168.30.0 24 192.168.20.254的意思是去往 192.168.30.0/24 的流量，下一跳交给 192.168.20.254。下一跳地址必须在交换机直连网段内，这个条件经常被忽略。有人把下一跳写成了对端路由器的环回口地址，结果报文出了交换机就不知道往哪扔，路由表里看是存在的，实际根本不可达。

0.0.0.0 0是默认路由，表示所有未知目标都交给这个下一跳。一般汇聚交换机连出口路由器时，都会配一条默认路由指向路由器。如果网络规模大了，静态路由条目太多，维护成本会失控，这时就要上 OSPFv2。

# 创建 OSPF 进程并配置 Router ID [Switch] ospf 1 router-id 10.0.0.1 [Switch-ospf-1] area 0.0.0.0 [Switch-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [Switch-ospf-1-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [Switch-ospf-1-area-0.0.0.0] quit [Switch-ospf-1] quit

ospf 1是进程号，同一台设备可以跑多个 OSPF 进程，互不影响。router-id 10.0.0.1是 OSPF 路由器的身份标识，全网必须唯一，建议直接用设备接口的环回地址，方便排查。network 192.168.10.0 0.0.0.255是反向掩码的通配写法，0.0.0.255 表示匹配 192.168.10.0/24 这个网段。

配置 OSPF 后要验证邻居关系，display ospf peer能看到邻居状态。状态卡在 INIT 或 EXSTART 时，最常见的原因是区域 ID 不一致，或者两端接口的 MTU 不一致导致数据库同步失败。我一般会把所有核心设备放进 area 0，OSPF 单区域是最好维护的，多区域带来的好处远没有维护成本高。

4.3 DHCP 服务器与中继：让交换机自己发地址

S5700 集成了 DHCP 服务器功能，可以代替单独的 DHCP 服务器给终端下发地址，小规模接入场景非常实用。

# 全局开启 DHCP 功能 [Switch] dhcp enable # 创建全局地址池 [Switch] ip pool pool10 [Switch-ip-pool-pool10] network 192.168.10.0 mask 24 [Switch-ip-pool-pool10] gateway-list 192.168.10.254 [Switch-ip-pool-pool10] dns-list 223.5.5.5 114.114.114.114 [Switch-ip-pool-pool10] excluded-ip-address 192.168.10.1 192.168.10.50 [Switch-ip-pool-pool10] quit # 在 VLANIF 上引用全局地址池 [Switch] interface vlanif 10 [Switch-Vlanif10] dhcp select global

dhcp select global表示这个 VLANIF 从全局地址池分配地址。地址池里的gateway-list必须和 VLANIF 地址一致，否则终端拿到地址但网关不对，照样上不了网。excluded-ip-address排除地址段，把交换机自身地址、打印机等固定 IP 设备排除出去，避免冲突。

如果 DHCP 服务器不在本地，而是放在核心机房，就需要开启 DHCP 中继。S5700 的配置方式是把 VLANIF 的 DHCP 模式改成 relay，并指定服务器地址。

# 配置 DHCP 中继，将请求转发到远端服务器 [Switch] interface vlanif 20 [Switch-Vlanif20] dhcp select relay [Switch-Vlanif20] dhcp relay server-ip 192.168.100.10

dhcp relay server-ip指向真正的 DHCP 服务器地址。开启中继后，VLAN 20 内的终端广播的 DHCP 请求会被交换机转成单播发给服务器，服务器再从对应网段的地址池分配。注意中继场景下，VLANIF 的地址必须和终端网段一致，否则服务器无法判断该从哪个地址池分配。

5. 配置避坑与排查：登录失效、VLAN 不通、配置丢失的修复顺序

5.1 Console 与远程登录类故障

现象一：Console 连接后屏幕乱码，按键显示异常字符。原因基本只有一个，串口参数不对，其中波特率错最常见，也可能是终端软件把流控开成了 XON/XOFF。解决方法是重新检查串口对话框，波特率改成 9600，数据位 8，停止位 1，无校验，流控设 None，然后重新拔插一次串口线。换终端软件时不要直接沿用上一次的会话配置，SecureCRT、Xshell、MobaXterm 对串口的默认参数并不一致。

现象二：Telnet 能连上，但输入用户名密码后立刻断开。原因一般是 VTY 下没配认证方式，默认配置不允许登录；或者本地账号的 service-type 没包含 telnet，账号存在但服务不匹配。解决方法是先用 Console 登录，检查user-interface vty 0 4下是不是authentication-mode aaa，再确认 AAA 视图里local-user admin service-type telnet是否配置完整。

现象三：SSH 登录提示没有匹配的 host key 算法。老版本 S5700 生成密钥后，SSH 客户端用新算法协商失败。解决方法是重新生成密钥对并指定 RSA 密钥位数 2048，同时确认protocol inbound ssh配在正确的 VTY 通道下。如果改了 SSH 配置还是不行，在客户端用ssh -v看协商细节，一眼就能定位是密钥算法问题还是认证方式问题。

5.2 VLAN 和路由不通类故障

现象四：VLAN 10 的终端 ping 不到 VLAN 20 的终端。排查顺序很重要，先看两台终端的 IP 和网关，再看交换机接口状态和 VLAN 成员关系，最后看路由表。常见的低级错误是某台终端把网关指到了交换机上不存在的 VLANIF 地址，或者终端接的接口没有加入对应 VLAN。用display vlan查看接口与 VLAN 的对应关系，接口状态是 up 但 display 里没有这个接口，那八成是物理口没加进 VLAN。

现象五：静态路由配了，display ip routing-table也能看到，但业务始终不通。最常见的原因是下一跳不在直连网段里。静态路由的下一跳必须让交换机通过直连接口能直接到达，如果下一跳是隔了一跳的地址，路由表里这条路由会显示为 Invalid。解决方法是把下一跳改成对端设备与本机直连的那个接口地址，或者改成出接口方式，目前常见的做法还是写直连下一跳更稳妥。

现象六：OSPF 邻居一直卡在 EXSTART。多数是两台设备之间的 MTU 不一致，OSPF 报文太大被丢弃，数据库同步不上来。解决方法是把互连接口的 MTU 两边改成一致，例如都改成 1500，然后reset ospf process重置 OSPF 进程，观察邻居状态恢复到 FULL。

5.3 配置文件与设备文件类故障

现象七：设备重启后所有配置全部回到出厂状态。这是最让人崩溃的场景，原因只有一个：配置只保存在运行内存里，没有写进配置文件。S5700 的save命令会把运行配置保存为默认配置文件，下次启动自动加载。解决方法是配置完成后务必执行save，并且看到 "The current configuration will be written to the device" 的提示后输入 y 确认，不要直接关终端窗口。

现象八：从设备下载配置文件，下载下来的文件打开是乱码或者完全空文件。这通常是把二进制启动配置文件直接下载了，而不是导出的文本配置。常见做法是在系统视图下用配置导出功能，把配置导出为.cfg或.txt文本文件，然后用 FTP 或 TFTP 下载。我一般会先把设备当前配置display current-configuration另存到本地留档，再考虑从设备拉取文件。

5.4 TFTP 上传下载的额外注意

TFTP 传配置文件看起来方便，但坑不少。TFTP 没有用户名密码认证，设备在哪个网段可达，谁就能从设备上下载配置文件，这在生产环境里是个安全隐患。我一般只在临时调试时用 TFTP，日常备份配置文件走 FTP 或 SFTP，地址写对、目录写对，传完立刻校验文件大小。

另外 TFTP 是 UDP 协议，没有重传确认机制，传大文件时很容易中断。传配置文件、系统升级包这类关键文件，传完后一定要对比本地文件和设备文件的字节数是否一致。文件大小差一个字节，上传后设备可能启动失败，那可比配置丢失更麻烦。

6. 装完怎么验证：用一轮 display 和 ping 确认 S5700 跑通

配置全部完成后，别急着拔 Console 线，也别急着下班。我习惯按顺序执行一轮验证命令，把链路、VLAN、路由、协议逐项确认过，确认无误再保存配置。

先检查设备配置是否完整，display current-configuration是第一步，确认 sysname、VLAN、接口、路由、DHCP 全部都在。这一步重点看有没有遗漏的quit，如果视图嵌套没退干净，后面的配置很可能没生效。接着用display vlan查看 VLAN 和接口的对应关系，确认每个 access 口都在正确 VLAN 里，trunk 口放行的 VLAN 列表和预期一致。

路由部分用display ip routing-table查看路由表，确认静态路由状态不是 Invalid，OSPF 路由都已经进表。再配合display ospf peer看邻居状态是不是 FULL，如果邻居没有 FULL，路由表再好看也白搭，流量进去就丢。

业务验证从终端侧做最真实。找一台 VLAN 10 的电脑，配好 IP 和网关后ping 192.168.10.1，通的话说明二层链路和 VLANIF 没问题。然后 ping 对端 VLAN 20 的网关和终端地址，通的话三层路由正常。如果有 DHCP，测试终端改成自动获取地址，看能不能拿到 192.168.10.0/24 网段的地址，拿到后检查网关和 DNS 是否自动下发成功。

最后一步也是最重要的一步：save。验证过程中可能有临时改动的参数，比如为了测试临时放行的 ACL，这些改动如果不保存，下次重启就会消失，但如果你以为是保存过的，排查时就会各种怀疑人生。从那以后我每次配置完设备，都会强制自己走一遍“display 验证、终端 ping 业务、save 保存”这三步流程，少一步都算没完工。这套流程看着基础，实际上能挡住后面 80% 的返工，希望帮到你。

本文还有配套的精品资源，点击获取