子午线交换机配置手册：从开箱到SSH加固的完整路径

简介这份子午线交换机配置手册面向网络运维人员与备考网络技术认证的学习者用于解决设备开局、日常维护与远程管理中缺少系统化参考文档的问题。压缩包内共1个PDF文件约314KB内容以配置命令与操作说明为主便于随身查阅和打印学习。手册目录结构清晰涵盖系统管理配置、配置终端、SSH配置命令等模块具体包括配置文件管理、文件系统命令、手工从某一文件启动、软件更新与配置更新、使用FTP进行软件和配置更新、配置以太网IP地址、配置缺省路由、利用PING测试网络连通状态以及VTY配置概述、线路与接口关系、监视维护和配置举例、SSH server与SSH client实现特性等内容。已有308人学习适合需要快速掌握子午线交换机基础配置、排查网络连通问题或补充命令细节的读者参考使用。1. 子午线交换机配置手册从开箱到 SSH 加固的完整路径手里拿到一台子午线交换机没有图形界面没有一键部署脚本只有一根 Console 线和一份 PDF 手册——这是很多网络工程师入行时都经历过的场景。这份《子午线交换机配置手册参考》就是为这类场景准备的它不讲抽象理论直接从文件系统管理、TFTP/FTP 软件更新、以太网 IP 配置、VTY 终端设置一路写到 SSH 加密登录的完整配置链路。适合谁适合需要快速上手该系列交换机、完成基础网络接入和安全加固的一线运维和集成人员。如果你正在找一份能照着敲命令、能排错、能理解每一步背后逻辑的实操参考这份手册的含金量在于它把“监控态”和“配置态”两条命令路径分得很清楚而这恰恰是新手最容易翻车的地方。2. 文件系统与软件更新TFTP 和 FTP 两条路怎么选2.1 Flash 文件系统的操作边界子午线交换机的文件系统跑在 Flash 上手册里明确写了一条硬约束文件名最长 20 个字符且不区分大小写。这个限制看起来不起眼但在实际批量部署时经常出问题——比如你用脚本自动生成配置文件名switch-core-01-backup-config-2024.cfg长度直接超限系统会静默截断或者报错排查起来很费时间。文件系统的基本命令集不复杂但有几个操作需要留意# 查看当前目录下的所有文件 dir # 查看以 switch 开头的文件 dir switch # 显示文件内容超过一屏会自动分页 more startup-config # 查看当前路径 pwd # 建立目录 md backup # 删除文件 delete old-config.bin这里有个血泪经验format命令会清空整个文件系统包括系统软件镜像和配置文件。在执行format之前务必确认你已经通过 TFTP 或 FTP 把switch.bin和startup-config备份到了外部服务器。我见过有人手快敲了format结果设备重启后直接进入监控态什么配置都没了只能重新灌版本。2.2 手工从指定文件启动当 Flash 里存了多个软件版本时可以通过boot命令指定从哪个文件启动# 从 flash 中的 switch.bin 启动 monitor# boot flash switch.bin # 从 CF 卡中的 switch.bin 启动 monitor# boot cf switch.bin参数说明flash表示文件存储在板载闪存中cf表示存储在 CF 卡中。local_filename是必填项不能省略。这个命令在版本回退场景下特别有用——比如新版本跑了一段时间发现某个功能不稳定想切回旧版本只要旧版本的 bin 文件还在 Flash 里直接boot过去就行不需要重新上传。2.3 TFTP 更新软件和配置TFTP 是最常用的更新方式因为它简单、无需认证、在隔离的管理网络中足够可靠。操作分两步先进入监控态然后执行copy命令。# 从 TFTP 服务器拷贝软件到 flash monitor# copy tftp flash # 系统会依次提示 # Source file name[]? main.bin # Remote-server ip address[]? 192.168.20.1 # Destination file name[main.bin]? switch.bin # please wait ... # TFTP: successfully receive 3377 blocks, 1728902 bytes逻辑说明copy tftp flash告诉系统从 TFTP 服务器拉文件到 Flash。系统交互式地询问源文件名、服务器 IP、目标文件名。传输完成后会显示接收到的块数和字节数这两个数字可以用来核对文件是否完整——如果块数明显偏少说明传输中断了需要重传。配置文件的更新路径类似只是目标文件名固定为startup-configmonitor# copy tftp flash startup-config注意更新配置文件后不会立即生效需要重启交换机或者手动加载配置。我一般会先more startup-config确认内容无误再执行重启。2.4 FTP 更新的参数细节FTP 比 TFTP 多了一层认证适合在需要权限控制的场景下使用。命令格式更灵活支持在一条命令里写全所有参数# 交互式方式 switch# copy ftp flash # 提示输入用户名、密码、源文件名、服务器 IP、目标文件名 # 一行式写法 switch# copy ftp://admin:password192.168.20.1/main.bin flash:switch.bin参数说明login-name和login-password如果不指定系统会交互式提示。blksize是数据传输块大小默认 512 字节手册里特别提到“可以在绝大多数网络中取得较高的运行效率”。如果你在跨广域网的链路上传大文件可以适当调大这个值但不要超过链路 MTU 太多否则分片反而拖慢速度。active和passive指定 FTP 连接模式默认是被动模式如果服务器端有防火墙限制可能需要切到主动模式。手册里还提了一个容易被忽略的点当 FTP 服务器无法访问时TCP 超时默认是 75 秒等待时间较长。可以通过全局命令ip tcp synwait-time修改但手册明确写了“不建议使用”——因为改短了可能导致正常连接也被误断。我的做法是如果 FTP 服务器经常连不上先查网络连通性而不是去调 TCP 超时。3. 基础网络配置IP、路由与连通性验证3.1 以太网 IP 地址配置交换机出厂默认的以太网 IP 是192.168.0.1掩码255.255.255.0。在监控态下修改monitor# ip address 192.168.1.1 255.255.255.0参数说明ip_addr是新的以太网 IP 地址net_mask是子网掩码。这个命令只影响管理口的 IP不影响业务端口的转发。配置完成后同一网段的主机就能通过这个 IP 访问交换机的管理界面Telnet/SSH/Web。这里有个坑如果你修改了 IP 地址但你的管理终端还在旧网段连接会立刻断开。所以要么用 Console 线操作要么先把管理终端改到新网段再改交换机 IP。我一般会先用 Console 线改好 IP确认能 ping 通之后再切到 Telnet/SSH 做后续配置。3.2 缺省路由配置交换机只能配一条缺省路由命令如下monitor# ip route default 192.168.1.1参数说明ip_addr是网关的 IP 地址。这条路由的作用是当交换机需要访问非直连网段时把流量丢给网关。比如你要从交换机 TFTP 下载文件TFTP 服务器在另一个网段没有缺省路由就传不了。注意只能配一条缺省路由配第二条会覆盖第一条。如果你的网络有多个出口需要在交换机上配静态明细路由而不是多条缺省路由。3.3 PING 测试网络连通性monitor# ping 192.168.20.100 # 输出 # PING 192.168.20.100: 56 data bytes # 64 bytes from 192.168.20.100: icmp_seq0. time0. ms # 64 bytes from 192.168.20.100: icmp_seq1. time0. ms # 64 bytes from 192.168.20.100: icmp_seq2. time0. ms # 64 bytes from 192.168.20.100: icmp_seq3. time0. ms # ----192.168.20.100 PING Statistics---- # 4 packets transmitted, 4 packets received, 0% packet loss # round-trip (ms) min/avg/max 0/0/0逻辑说明ping命令发送 4 个 ICMP 包显示每个包的往返时间。最后一行统计信息里packet loss为 0% 表示链路正常。如果丢包率高或者全部超时先检查 IP 地址和掩码是否配错再检查物理链路和 VLAN 划分。我一般会先用ping测网关再测 TFTP 服务器最后测远端管理主机。这样能快速定位是本地配置问题还是网络路径问题。4. VTY 终端配置从 Telnet 到 SSH 的安全演进4.1 VTY 线路的基本概念子午线交换机有四类线路控制台CON/CTY、辅助AUX、异步ASYNC和虚拟终端VTY。VTY 线路用于 Telnet、SSH、HTTP 等远程访问编号从 0 到 31共 32 条。每条 VTY 线路可以独立配置参数但通常我们会批量配置。线路和接口的关系当一个用户通过 VTY 线路连接到系统时实际上是连接到了某个同步接口如以太网口上的虚拟端口。一个接口可以承载多个虚拟端口所以多个 Telnet 会话可以同时连到同一个以太网口。4.2 VTY 配置示例取消分屏限制手册里给了一个很实用的例子——取消所有 VTY 的每屏输出行数限制Switch_config# line vty 0 31 Switch_config_line# length 0逻辑说明line vty 0 31进入 VTY 线路配置模式覆盖 0 到 31 所有线路。length 0表示每屏输出行数不限制这样show running-config之类的长输出不会出现--More--提示适合脚本自动化采集配置。参数说明length的值范围通常是 0 到 5120 表示不分页。如果你希望保留分页但调整每屏行数可以设成 24 或 48。我一般会在自动化运维场景下设成 0人工操作时保留默认分页避免输出刷屏太快看不清。4.3 SSH 配置认证、访问控制与密钥保存SSH 是 Telnet 的安全替代方案支持 des、3des 和 blowfish 加密算法SSH 版本 1.5支持 shell 和 sftp 应用。配置 SSH 需要几步第一步配置认证方法列表Switch_config# ip sshd auth-method ssh-auth参数说明ssh-auth是认证方法列表的名称长度不超过 20 个字符。缺省情况下使用名为default的认证方法列表。这个列表需要提前通过 AAA 命令配好比如aaa authentication login ssh-auth local表示使用本地用户数据库认证。第二步配置访问控制列表Switch_config# ip access-list standard ssh-acl permit 192.168.20.40 Switch_config# ip sshd access-class ssh-acl逻辑说明第一行创建标准 ACL只允许192.168.20.40这个 IP 访问。第二行把这个 ACL 应用到 SSH 服务上。这样即使其他 IP 知道用户名密码也无法建立 SSH 连接。第三步配置认证超时和重试次数Switch_config# ip sshd timeout 120 Switch_config# ip sshd auth-retries 3 Switch_config# ip sshd silence-period 300参数说明timeout范围 60-65535 秒默认值手册没写我一般设 120 秒给用户足够的输入时间。auth-retries范围 0-65535默认 6 次我设成 3 次减少暴力破解的成功率。silence-period范围 0-3600 秒默认 60 秒我设成 300 秒让攻击者在多次失败后等待更长时间。第四步使能密钥保存和 SSH 服务Switch_config# ip sshd save Switch_config# ip sshd enable逻辑说明ip sshd save把初始密钥保存到 Flash下次启动时直接读取避免重新计算。手册里提到使能 SSH server 时需要生成 RSA 密钥对这个过程大概需要一到两分钟。如果不保存密钥每次重启都要等这一两分钟。ip sshd enable启动 SSH 服务密钥位数固定为 1024。完整配置示例只允许 192.168.20.40 访问本地认证ip access-list standard ssh-acl permit 192.168.20.40 aaa authentication login ssh-auth local ip sshd auth-method ssh-auth ip sshd access-class ssh-acl ip sshd timeout 120 ip sshd auth-retries 3 ip sshd silence-period 300 ip sshd save ip sshd enable这套配置敲完SSH 服务就起来了。用show line可以查看 VTY 线路的状态确认 SSH 会话是否正常建立。5. 避坑与排查那些手册没明说但一定会遇到的问题5.1 现象TFTP 传输到一半卡住最后报超时原因TFTP 基于 UDP没有重传机制在丢包率高的网络中容易中断。另外如果 TFTP 服务器和交换机之间的 MTU 不匹配大包会被丢弃。解决先用ping测试到 TFTP 服务器的连通性和丢包率。如果丢包严重换 FTP 方式。如果必须用 TFTP把 TFTP 服务器的块大小调小比如 512 字节减少分片。传输完成后核对块数和字节数不一致就重传。5.2 现象SSH 使能后连接不上Telnet 却正常原因ACL 配置错误把管理主机的 IP 挡在外面了。或者认证方法列表没配好SSH 找不到可用的认证方式。解决先用 Console 线登录执行show ip sshd查看 SSH 服务状态和 ACL 应用情况。检查ip access-list standard ssh-acl里的 permit 条目是否包含你的管理 IP。检查aaa authentication login是否配了对应的认证方法。如果 ACL 写错了先删掉错误的条目再重新加。5.3 现象修改 IP 地址后Telnet 立刻断开且连不上原因管理终端的 IP 还在旧网段和交换机的新 IP 不在同一网段路由不可达。解决用 Console 线登录把 IP 改回旧地址或者把管理终端改到新网段。我一般会先用 Console 线改 IP确认能 ping 通新 IP 后再切到 Telnet。如果必须远程改 IP先配一个辅助 IP 或者用带外管理口。5.4 现象format之后设备起不来卡在监控态原因format清空了 Flash 里的所有文件包括系统软件镜像switch.bin。设备找不到可启动的镜像只能停在监控态。解决在监控态下用 TFTP 或 FTP 重新上传switch.bin然后用boot flash switch.bin启动。如果startup-config也丢了启动后需要重新配置。所以执行format之前务必确认已经备份了switch.bin和startup-config。5.5 现象SSH 使能时卡住一两分钟以为死机了原因SSH server 启动时需要生成 RSA 密钥对这个过程需要计算大概一到两分钟。如果没有使能密钥保存功能每次重启都会重复这个过程。解决提前执行ip sshd save把密钥保存到 Flash。这样下次启动时直接从 Flash 读取几秒钟就能完成。如果已经卡住了耐心等一两分钟不要断电。6. 进阶技巧用脚本批量采集配置与 SSH 密钥管理6.1 批量采集配置的脚本思路当你管理多台子午线交换机时逐台登录采集配置效率太低。我一般会写一个简单的 Shell 脚本通过 SSH 批量执行show running-config并保存到本地#!/bin/bash # 批量采集子午线交换机配置 # 依赖sshpass用于非交互式 SSH 密码认证 SWITCHES(192.168.1.1 192.168.1.2 192.168.1.3) USERadmin PASSyour_password OUTPUT_DIR./configs mkdir -p $OUTPUT_DIR for ip in ${SWITCHES[]}; do echo 正在采集 $ip ... sshpass -p $PASS ssh -o StrictHostKeyCheckingno -o ConnectTimeout10 \ $USER$ip show running-config $OUTPUT_DIR/${ip}.cfg if [ $? -eq 0 ]; then echo $ip 采集成功 else echo $ip 采集失败请检查连通性 fi done逻辑说明脚本遍历 IP 列表用sshpass提供密码通过 SSH 执行show running-config输出重定向到以 IP 命名的配置文件。StrictHostKeyCheckingno跳过首次连接的主机密钥确认适合自动化场景。ConnectTimeout10设置 10 秒连接超时避免卡死。参数说明SWITCHES数组里填交换机的管理 IP。USER和PASS填 SSH 用户名和密码。OUTPUT_DIR是本地保存目录。如果你的环境不允许用sshpass可以改用 SSH 密钥认证把公钥提前部署到交换机的本地用户数据库里。6.2 SSH 密钥保存的验证方法使能ip sshd save之后怎么确认密钥真的保存成功了我的做法是先执行ip sshd save然后重启交换机观察 SSH 服务启动时间。如果几秒钟就起来了说明密钥读取成功。如果又等了一两分钟说明保存没生效需要检查 Flash 是否可写、空间是否足够。另外可以用dir命令查看 Flash 里是否多了一个密钥文件。手册里没写密钥文件的具体名字但通常是一个.key或.rsa后缀的文件。如果你不确定对比使能save前后的dir输出多出来的那个文件就是密钥文件。6.3 一个我踩过的坑ACL 顺序问题子午线交换机的标准 ACL 是按顺序匹配的一旦匹配到 permit 或 deny 就停止。我一开始配 SSH 访问控制时先写了一条deny any再写permit 192.168.20.40结果所有 IP 都被拒绝了——因为deny any排在最前面所有流量都被它匹配走了。正确的顺序是先写 permit 条目再写 deny 条目如果需要。或者干脆只写 permit 条目默认拒绝其他所有。手册里的示例只写了permit 192.168.20.40没有写 deny这是对的——标准 ACL 默认拒绝未匹配的流量。从那以后我每次配 ACL 都强制自己先写 permit再考虑要不要加 deny。希望这些经验能帮到你少走一些我当年走过的弯路。本文还有配套的精品资源点击获取