简介《子午线交换机配置手册参考》面向网络运维、系统集成与网络技术学习者聚焦子午线交换机的日常配置、命令行查询与基础排错可作为设备开局、参数核查和实验环境搭建时的参考材料。整包仅含1个PDF文件大小约314KB结构轻量便于日常随用随查。内容覆盖系统管理配置、文件系统管理、软件与配置更新、通过FTP更新软件和配置、以太网IP地址设置、缺省路由配置、PING连通性测试以及VTY终端、SSH server/client等基础配置章节按管理主题划分命令说明与配置示例相对集中适合按目录快速定位所需知识点。对希望快速熟悉设备配置框架、梳理常用命令、补齐终端接入与连通性测试思路的读者较有参考价值。已有308人学习适合网络工程师、运维人员和相关课程学习者查阅使用。1. 设备停在 monitor# 的那个凌晨这份手册解决的是“回不去”的问题凌晨两点一台刚做完版本升级的接入交换机重启后没进系统串口里只有一行monitor#telnet 不通、Web 打不开手边能用的只有一条 console 线和一台笔记本。这种场面里配置命令记不记得住其实不重要重要的是知不知道该往 flash 里放什么文件、用什么协议传、传完怎么引导。这套子午线交换机配置手册参考把系统管理、终端线路、SSH 访问三块按命令粒度拆开最值钱的部分恰恰不是 SSH 那章而是第一章里那几条 flash 和 boot 命令——它是这类网络工具在“变砖”边缘的后悔药。适合手里有同系列设备、要做版本升级和远程接入收敛的运维也适合刚接手设备、需要一份能对着敲的底稿的人。2. 系统管理配置文件系统、镜像引导与两种传输协议2.1 三种提示符先分清命令敲错层级等于白敲拿到手册第一件事不是找命令而是看命令前面的提示符。这套设备的命令行分三层monitor#是监控态管的是文件系统、启动镜像、传输拷贝、IP 地址和路由这些“设备还没完全起来”时也要能干的事switch#是管理态特权提示符copy ftp这类操作会在这里出现switch_config#是全局配置态line、aaa、ip sshd这些都在这一层。手册 1.1 节通篇用monitor#打头说明升级和救砖的动作基本都在监控态完成跟日常配业务口完全不在一个世界里。提示符所在层级典型命令什么时候用monitor#监控态dir、boot、copy tftp、ip address、ip route default、ping设备刚上电、升级镜像、配置丢失后的第一次接触switch#管理态特权copy ftp、show line系统已正常启动做文件传输和状态查看switch_config#全局配置态line vty、aaa authentication、ip sshd业务配置和访问控制我见过最常见的翻车是把boot flash switch.bin敲进全局配置态回显一句无法识别的命令人就开始怀疑镜像坏了。其实只是层级不对。监控态和配置态之间不是靠enable切换的而是靠设备启动到了哪一步——系统没起来你天然就在monitor#系统起来了你才进得了switch#。理解这一点后面所有命令该在哪儿敲就清楚了。提示手册里凡是带方括号的参数都是可选项黑体字部分才是关键字。抄命令时只改参数别动关键字。2.2 flash 文件系统七个命令撑起一次干净的升级升级前的基本功是看懂 flash 里有什么。手册给的文件系统命令不多但够用format格式化、dir列目录、delete删文件、md建目录、rd删目录、more看文件内容、cd和pwd管当前路径。有一条硬约束必须先记住flash 里的文件名最长 20 个字符且不区分大小写。这意味着switch_v2.1.3_release.bin这种命名传上去会被截断后面boot的时候你按记忆敲名字就对不上。# 进入监控态后先看当前 flash 里有什么 monitor#dir # 输出会按“索引号 文件名 FILE 文件长度 创建时间”的格式列出 # 确认剩余空间够放新镜像再决定删不删旧文件 # 删除一个确认不再需要的旧镜像 monitor#delete switch_old.bin # 建一个目录把不同版本的镜像分开放避免文件名撞车 monitor#md backup # 看某个文本配置文件的内容内容多于一屏会自动分页 monitor#more startup-config # 确认当前所在路径 monitor#pwd这几个命令里dir带参数时可以按前缀过滤比如dir sw只列以 sw 开头的文件升级前拿它快速确认目标镜像在不在。format会删掉所有数据包括startup-config除非设备已经彻底起不来、你又确认配置有别的备份否则不要碰。delete删不存在的文件会明确提示文件不存在这个回显反而好用——能帮你判断是名字敲错了还是文件真没传上去。真正容易忽略的是路径。cd和pwd存在的意义说明 flash 支持多级目录镜像放在子目录里时boot和copy的目标路径要写全。我一般习惯升级前先在dir输出里把原镜像的完整文件名抄到记事本升级出问题时按原样敲回去比凭记忆靠谱。2.3 手工引导boot命令的价值在于“能退回去”flash 或 CF 卡里同时存着多个交换机软件是正常状态boot命令就是用来指定这次从哪个文件启动的。语法是monitor#boot {flash | cf} local_filename第一个参数选存储介质第二个参数写文件名文件名必须显式给出没有默认值。# 从 flash 里引导指定的镜像文件 monitor#boot flash switch.bin # 如果镜像是放在 CF 卡上的介质参数换成 cf monitor#boot cf switch.bin参数含义很直白flash指板载闪存cf指外插 CF 卡local_filename是用户必须输入的文件名。这条命令真正的使用场景不是日常启动而是升级失败后的回退——新镜像引导不起来设备停在监控态你还有机会用boot指回旧镜像让系统先跑起来再从容处理新版本的问题。所以升级前dir那一步不是形式主义你得知道旧文件叫什么。CF 卡的存在让这件事更灵活可以把稳定版本放 flash、测试版本放 CF切换时只改介质参数。但要注意介质和路径必须匹配写在 flash 里的文件用cf去引导回显一定是找不到文件。2.4 TFTP 灌镜像与配置交互式命令怎么喂参数监控态下的软件更新走 TFTP命令是monitor#copy tftp {flash: | cf:} [ip_addr]。注意这里的目标介质后面带了冒号和boot命令的写法略有差异抄的时候别漏。命令敲下去不会立刻执行系统会依次追问三个问题源文件名、服务器 IP、目标文件名。# 从 TFTP 服务器拉取镜像写入 flash monitor#copy tftp flash # 系统提示Source file name[]? 输入服务器上的文件名如 main.bin # 系统提示Remote-server ip address[]? 输入 TFTP 服务器地址如 192.168.20.1 # 系统提示Destination file name[main.bin]? 输入落到交换机上的文件名如 switch.bin # 传输过程会打印进度条结束时回显类似 # TFTP:successfully receive 3377 blocks ,1728902 bytes三个提示里目标文件名那一项的方括号里带的是默认值直接回车就会沿用源文件名。我建议每次都显式改名理由是源文件名往往是发布包里的长名字容易超过 20 字符上限落盘时被截断回头boot找不到。传输成功的标志是最后那行successfully receive后面跟着块数和字节数这两个数字对得上文件才是完整的。配置文件的更新走同一套机制只是目标文件名固定成startup-config# 把备份的配置文件恢复到设备 monitor#copy tftp flash startup-config这里没有改名余地startup-config就是设备启动时读取的配置文件名。反过来说如果你只是想备份配置方向要反过来操作别把本地文件覆盖掉。TFTP 本身没有认证机制服务器是谁都能连的所以这套操作只在管理网内做别跨公网。2.5 FTP 升级主动被动、块大小和那个 75 秒管理态下多了 FTP 这条路径命令是switch#copy ftp {flash|cf} [ip_addr|option]。相比 TFTPFTP 多了认证和几个可调参数参数表值得逐项看一遍参数含义默认值与建议login-nameFTP 服务器用户名不指定则交互式提示输入login-passwordFTP 服务器口令不指定则交互式提示输入blksize数据传输块大小默认 512 字节绝大多数网络够用active/passive主动或被动连接方式按服务器所在网络环境选type传输数据类型传 bin 用 binary传文本配置可用 asciinchecksize不在服务器上检测文件大小一般不用两种写法交互式和 URL 式# 写法一交互式逐项回答 switch#copy ftp flash # 依次提示 ftp user name、ftp user password、Source file name、Remote-server ip address、Destination file name # 写法二一条命令写完适合脚本化 switch#copy ftp://user:pass192.168.20.1/main.bin flash:switch.binURL 式把用户名、口令、地址、源文件全塞进一行缺点是口令明文留在命令历史里多用户环境要谨慎。手册特别提了两点一是 FTP 服务器不可达时等待时间会很长根源是 TCP 超时默认 75 秒可以用全局命令ip tcp synwait-time改短但手册明确不建议动二是某些网络状况下传输慢可以适当调整块大小默认 512 字节在多数网络里效率已经不错。我的做法是先用ping确认服务器可达再执行拷贝把 75 秒的等待挡在前面。2.6 上电第一步IP、缺省路由、ping 三连设备刚到手或者配置被清空时第一件事是让管理面通。以太网 IP 的配置在监控态完成命令是monitor#ip address ip_addr net_mask系统缺省是192.168.0.1、掩码255.255.255.0。缺省路由只有一条命令是monitor#ip route default ip_addr参数填网关地址。# 配置管理口地址 monitor#ip address 192.168.1.1 255.255.255.0 # 配一条缺省路由指向网关 monitor#ip route default 192.168.1.1 # 测试到目标地址的连通性 monitor#ping 192.168.20.100 # 回显会逐包打印 icmp_seq 和 time最后给出统计 # 4 packets transmitted, 4 packets received, 0% packet loss # round-trip (ms) min/avg/max 0/0/0ping的输出要会读丢包率 0% 说明链路通time0 ms通常意味着目的地址和本机在同一网段或直连跨网段时延会明显抬头。如果四个包全丢先回头查 IP 和掩码是不是配在同一网段再看缺省路由的网关地址是不是写错——这两处错一个ping就是全丢现象一模一样只能靠配置回显区分。3. 终端与 SSH从 line vty 到 sshd 的访问收敛3.1 线路编号规则CON 只有一条VTY 有 32 条设备的终端参数统一用line命令管理手册把线路分成四类控制台、辅助、异步、虚拟终端但真正天天打交道的是前两类里的两个代表——CON也叫 CTY和 VTY。CON 是控制台线路编号固定为 0用于本地登录配置VTY 是虚拟异步线路编号从 0 开始共 32 条承载 Telnet、X.25 PAD、HTTP、Rlogin 这些通过网络进来的连接。线路类型接口用途编号规则CON(CTY)控制台本地登录配置固定 0VTY虚拟异步通过同步接口进来的远程登录0 开始共 32 条32 条这个数字有实际意义它决定了同时能有多少个远程会话挂在这台设备上。设备多、运维人多的小环境里会话占满之后再连就会被拒现象是“用户名密码都对但就是登不上”很容易被误判成认证问题。line vty 0 31是一条批量进入的命令进去之后配的参数对这 32 条线一起生效# 进入全部 32 条 VTY 线路的配置视图 Switch_config# line vty 0 31 Switch_config_line# length 0length 0的作用是取消每屏输出行数限制也就是关掉more分页提示。手册给的例子就是这一条看起来很不起眼但它解决的是脚本化运维的痛点——自动化工具通过 VTY 抓show输出时分页提示会把输出截断后面的解析全乱。手工登录时无所谓按空格翻页就行批量采集时这一条是必配项。3.2 VTY 和物理接口的关系一条网线后面挂着多个虚拟端口手册 2.2.1 节讲了一件容易被跳过但很重要的事虚拟终端线路提供的是“通过同步接口对系统的访问”当一个用户通过 VTY 连进来他实际连接的是某个接口上的虚拟端口。对每一个同步接口以太网口、串行口都可以有多个虚拟端口几个 Telnet 同时连到同一个以太口是常态。理解这层关系排错时才有方向感。远程登不上可能是 VTY 线路本身没配对也可能是物理接口不通还可能是中间的安全策略挡了。区分方法很直接物理层用ping验证VTY 层用show line看。# 查看 VTY 线路的配置和占用状态 Switch# show line这条命令的输出能告诉你每条线路的编号、当前状态和终端参数。会话占满、某条线的length没生效、线路状态异常都能从这里看出来。我一般把它和ping配合成一套固定动作ping通但登不上就看show lineping不通就别在 VTY 上浪费时间。3.3 SSH server 的启动顺序密钥生成那一两分钟躲不掉SSH 这章的第一条硬信息是版本ssh server 和 ssh client 支持 ssh 版本 1.5加密算法包括 des、3des 和 blowfish功能上支持 shell 和 sftp。放到今天的标准看这套算法组合属于“能用但别当强安全方案”它的定位是把明文 Telnet 换掉不是替代现代加密栈。使能 SSH server 的命令是ip sshd enable设备会生成一个 1024 位的 RSA 密钥对然后开始监听连接请求。手册写得很清楚这个过程大概需要一到两分钟。很多人第一次配完立刻拿客户端连连不上就以为配置错了其实是密钥还没算完。更值得配的是密钥保存功能# 先开启密钥保存让生成的密钥落到 flash Switch_config# ip sshd save # 再使能 ssh server此时生成的密钥会被持久化 Switch_config# ip sshd enable顺序的关键在于ip sshd save打开之后初始密钥会被保存到 flash下次再启动 ssh server 时先从 flash 读密钥跳过重复计算启动时间明显缩短。默认情况下这个功能是关闭的也就是说你不配它每次重启设备都要重新等那一两分钟。手册把save排在enable前面就是暗示先开保存、再开服务。3.4 认证链与访问控制四个参数决定谁能进、能试几次SSH server 使用 login 认证方式缺省走名为default的认证方法列表。要换成自定义列表用ip sshd auth-method STRING方法名长度不超过 20 字符。真正的用户鉴别靠 AAA 那条线配合典型写法是先在全局配置态定义认证方法再让 sshd 引用它。访问控制是另一层。ip sshd access-class STRING用来绑定访问控制列表列表名长度不超过 19 字符。ACL 本身用ip access-list standard定义只放行指定源地址。剩下的三个参数都是防暴力破解的范围和默认值必须记准命令作用取值范围默认值ip sshd timeout建立连接后通过认证的时限60-65535 秒手册未给按需设ip sshd auth-retries最大认证重试次数0-655356 次ip sshd silence-period登录静默期时长0-3600 秒60 秒这三个参数是一条链认证超时管单次连接的认证窗口重试次数管累计失败多少次后触发封禁静默期管封禁多久。累计失败超过阈值后sshd 服务会暂时关闭进入静默期这期间连正确密码也进不去。生产环境里我一般把auth-retries压到 3 次左右、silence-period保持 60 秒起步既挡得住脚本爆破又不至于运维自己手滑三次就被锁在外面。sftp 是默认关闭的需要显式打开ip sshd sftp。它是基于 SSH 的加密文件传输认证和数据都被保护代价是传输效率偏低。传配置备份这种小文件很合适传大镜像就不划算还是走前面那套 TFTP/FTP。3.5 一份可抄的 sshd 落地配置手册 3.3 节给的示例场景是只允许192.168.20.40这一台主机访问 ssh server用本地用户数据库鉴别身份。把它拆成可执行的顺序# 第一步定义标准 ACL只放行指定管理主机 Switch_config# ip access-list standard ssh-acl Switch_config_std_acl# permit 192.168.20.40 # 第二步定义登录认证方法走本地用户库 Switch_config# aaa authentication login ssh-auth local # 第三步让 sshd 引用这套认证方法和 ACL Switch_config# ip sshd auth-method ssh-auth Switch_config# ip sshd access-class ssh-acl # 第四步开密钥保存再使能 sshd Switch_config# ip sshd save Switch_config# ip sshd enable # 可选需要加密文件传输时再开 sftp Switch_config# ip sshd sftp这套顺序的逻辑是“先定义被引用的对象再让服务引用”。ACL 和认证方法都是被引用方必须先存在auth-method和access-class是引用动作放在后面enable放最后因为一旦使能设备就开始监听此时前面任何一项没配好都会直接暴露成登录失败。第 4 章会讲几个把顺序搞反之后的典型现象。4. 避坑与排查五个现场翻车点4.1 升级完重启设备停在 monitor# 起不来现象copy显示传输成功reload之后提示符一直是monitor#敲什么业务命令都进不去系统。原因两种可能。一是boot指向的文件名和实际落盘的文件名对不上尤其是源文件名超过 20 字符被截断的情况二是startup-config没更新设备起来后找不到可用配置。解决先在监控态dir看实际文件名逐个字符核对然后用boot flash 实际文件名手工引导一次。引导成功后再补copy tftp flash startup-config把配置恢复。这件事的血泪经验是升级前把dir输出抄下来出问题时按原样敲回去比任何记忆都可靠。4.2 TFTP 说成功了dir 里却找不到文件现象传输过程打印了successfully receive回头dir死活看不到目标文件。原因大概率是目标介质选错了。命令里flash:和cf:是两个存储位置传的时候写了cf:查的时候在 flash 里翻当然找不到。另一种可能是文件名被截断你按完整名字去找实际落盘的是前 20 个字符。解决dir不带参数先看全量列表按文件长度和创建时间定位刚传上去的那个确认介质后用boot的对应参数引导。传输前把目标文件名主动改短能规避掉一大半这类问题。4.3 copy ftp 卡住不动几十秒后才报错现象命令敲下去进度条一直不出来等一分多钟才提示失败。原因FTP 服务器不可达TCP 连接超时默认 75 秒这段时间命令行就是没有任何反馈。手册明确写了这个机制也明确不建议改ip tcp synwait-time。解决执行拷贝前先ping一次服务器地址通了再拷。如果ping通但 FTP 连不上检查服务器是否开了 FTP 服务、用户名口令是否正确、以及网络中间有没有拦 FTP 的控制连接。被动模式和主动模式的选择也会影响连通性服务器在 NAT 后面时优先试passive。4.4 SSH 使能后客户端连不上重启一次反而好了现象ip sshd enable敲完立刻用客户端连一直超时设备重启之后再连正常。原因使能时设备要生成 1024 位 RSA 密钥对这个过程需要一到两分钟密钥没算完监听还没起来。重启之后能好是因为某些情况下密钥已经生成过第二次启动快了。解决使能后等够时间再测别在头两分钟里反复重试。更彻底的办法是配ip sshd save把密钥持久化到 flash之后每次启动直接从 flash 读跳过计算过程。这一条对小机房尤其值钱——设备重启后不用再干等。4.5 密码输错几次正确密码也登不进去了现象连续几次认证失败后再输正确用户名密码依然被拒绝客户端没有任何有效提示。原因触发了登录静默期。默认允许重试 6 次累计失败超过阈值后 sshd 服务暂时关闭静默期默认 60 秒这期间所有连接一律拒绝。解决等够静默期再试别继续猛敲——每多试一次都在重置计时。要减少这类误伤把ip sshd auth-retries设成 3 左右、ip sshd silence-period保持 60 秒同时在 ACL 里把管理主机范围收紧让爆破流量根本到不了认证环节。注意ACL 配反了会把自己挡在门外。改access-class之前先确认当前登录主机的地址在放行列表里或者留着 console 线在手边。5. 进阶把这份手册变成一张升级前的自检表手册读一遍很容易真正难的是在压力下按顺序执行。我的做法是把散落在各章的检查点抽出来做成一张升级前必过的自检表每次动设备前逐项打勾。这套流程跑顺之后前面那些翻车点基本都能提前拦住。阶段检查项对应命令通过标准升级前记录现有镜像文件名和配置dir、more startup-config文件名完整抄录配置有备份升级前确认管理面可达ip address、ip route default、ping丢包率 0%升级中传输完成校验copy tftp/copy ftp回显块数和字节数完整升级后手工引导验证boot flash 文件名进入switch#升级后远程入口验证ip sshd enable、show line客户端能连、会话数正常这张表里最容易被跳过的是“升级前记录原镜像名”。听起来是废话但真出事的时候能救命的就是那串字符。另一个习惯是每次改完access-class或auth-method先从另一台机器新开一个会话验证确认新配置生效、旧会话还留着再退出——这叫留后路比任何回滚脚本都直接。再往深一层可以把 SSH 那套参数固化成模板ACL 只放行管理段、auth-retries设 3、silence-period设 60、save和enable按顺序走。新设备上线时整段贴进去比每次现查手册快得多也不会漏项。模板里我还会加一条注释标明ip sshd save必须在enable之前省得下一个人重排顺序。最后说个验证方法配置改完之后不要只看回显用show line确认 VTY 线路状态、用实际客户端连一次 SSH、用dir确认startup-config的时间戳是新的。三样都对上才算这次变更真的落地。从那以后我每次动远程接入配置都强制自己走一遍“新会话验证 旧会话保留 时间戳核对”宁可多花五分钟也不想再经历一次凌晨两点对着monitor#发呆。希望帮到你。本文还有配套的精品资源点击获取 
长河君 · 2026/10/28 11:36:00 · 阅读 1.2k 子午线交换机配置手册：系统管理、镜像升级与SSH访问落地
简介《子午线交换机配置手册参考》面向网络运维、系统集成与网络技术学习者聚焦子午线交换机的日常配置、命令行查询与基础排错可作为设备开局、参数核查和实验环境搭建时的参考材料。整包仅含1个PDF文件大小约314KB结构轻量便于日常随用随查。内容覆盖系统管理配置、文件系统管理、软件与配置更新、通过FTP更新软件和配置、以太网IP地址设置、缺省路由配置、PING连通性测试以及VTY终端、SSH server/client等基础配置章节按管理主题划分命令说明与配置示例相对集中适合按目录快速定位所需知识点。对希望快速熟悉设备配置框架、梳理常用命令、补齐终端接入与连通性测试思路的读者较有参考价值。已有308人学习适合网络工程师、运维人员和相关课程学习者查阅使用。1. 设备停在 monitor# 的那个凌晨这份手册解决的是“回不去”的问题凌晨两点一台刚做完版本升级的接入交换机重启后没进系统串口里只有一行monitor#telnet 不通、Web 打不开手边能用的只有一条 console 线和一台笔记本。这种场面里配置命令记不记得住其实不重要重要的是知不知道该往 flash 里放什么文件、用什么协议传、传完怎么引导。这套子午线交换机配置手册参考把系统管理、终端线路、SSH 访问三块按命令粒度拆开最值钱的部分恰恰不是 SSH 那章而是第一章里那几条 flash 和 boot 命令——它是这类网络工具在“变砖”边缘的后悔药。适合手里有同系列设备、要做版本升级和远程接入收敛的运维也适合刚接手设备、需要一份能对着敲的底稿的人。2. 系统管理配置文件系统、镜像引导与两种传输协议2.1 三种提示符先分清命令敲错层级等于白敲拿到手册第一件事不是找命令而是看命令前面的提示符。这套设备的命令行分三层monitor#是监控态管的是文件系统、启动镜像、传输拷贝、IP 地址和路由这些“设备还没完全起来”时也要能干的事switch#是管理态特权提示符copy ftp这类操作会在这里出现switch_config#是全局配置态line、aaa、ip sshd这些都在这一层。手册 1.1 节通篇用monitor#打头说明升级和救砖的动作基本都在监控态完成跟日常配业务口完全不在一个世界里。提示符所在层级典型命令什么时候用monitor#监控态dir、boot、copy tftp、ip address、ip route default、ping设备刚上电、升级镜像、配置丢失后的第一次接触switch#管理态特权copy ftp、show line系统已正常启动做文件传输和状态查看switch_config#全局配置态line vty、aaa authentication、ip sshd业务配置和访问控制我见过最常见的翻车是把boot flash switch.bin敲进全局配置态回显一句无法识别的命令人就开始怀疑镜像坏了。其实只是层级不对。监控态和配置态之间不是靠enable切换的而是靠设备启动到了哪一步——系统没起来你天然就在monitor#系统起来了你才进得了switch#。理解这一点后面所有命令该在哪儿敲就清楚了。提示手册里凡是带方括号的参数都是可选项黑体字部分才是关键字。抄命令时只改参数别动关键字。2.2 flash 文件系统七个命令撑起一次干净的升级升级前的基本功是看懂 flash 里有什么。手册给的文件系统命令不多但够用format格式化、dir列目录、delete删文件、md建目录、rd删目录、more看文件内容、cd和pwd管当前路径。有一条硬约束必须先记住flash 里的文件名最长 20 个字符且不区分大小写。这意味着switch_v2.1.3_release.bin这种命名传上去会被截断后面boot的时候你按记忆敲名字就对不上。# 进入监控态后先看当前 flash 里有什么 monitor#dir # 输出会按“索引号 文件名 FILE 文件长度 创建时间”的格式列出 # 确认剩余空间够放新镜像再决定删不删旧文件 # 删除一个确认不再需要的旧镜像 monitor#delete switch_old.bin # 建一个目录把不同版本的镜像分开放避免文件名撞车 monitor#md backup # 看某个文本配置文件的内容内容多于一屏会自动分页 monitor#more startup-config # 确认当前所在路径 monitor#pwd这几个命令里dir带参数时可以按前缀过滤比如dir sw只列以 sw 开头的文件升级前拿它快速确认目标镜像在不在。format会删掉所有数据包括startup-config除非设备已经彻底起不来、你又确认配置有别的备份否则不要碰。delete删不存在的文件会明确提示文件不存在这个回显反而好用——能帮你判断是名字敲错了还是文件真没传上去。真正容易忽略的是路径。cd和pwd存在的意义说明 flash 支持多级目录镜像放在子目录里时boot和copy的目标路径要写全。我一般习惯升级前先在dir输出里把原镜像的完整文件名抄到记事本升级出问题时按原样敲回去比凭记忆靠谱。2.3 手工引导boot命令的价值在于“能退回去”flash 或 CF 卡里同时存着多个交换机软件是正常状态boot命令就是用来指定这次从哪个文件启动的。语法是monitor#boot {flash | cf} local_filename第一个参数选存储介质第二个参数写文件名文件名必须显式给出没有默认值。# 从 flash 里引导指定的镜像文件 monitor#boot flash switch.bin # 如果镜像是放在 CF 卡上的介质参数换成 cf monitor#boot cf switch.bin参数含义很直白flash指板载闪存cf指外插 CF 卡local_filename是用户必须输入的文件名。这条命令真正的使用场景不是日常启动而是升级失败后的回退——新镜像引导不起来设备停在监控态你还有机会用boot指回旧镜像让系统先跑起来再从容处理新版本的问题。所以升级前dir那一步不是形式主义你得知道旧文件叫什么。CF 卡的存在让这件事更灵活可以把稳定版本放 flash、测试版本放 CF切换时只改介质参数。但要注意介质和路径必须匹配写在 flash 里的文件用cf去引导回显一定是找不到文件。2.4 TFTP 灌镜像与配置交互式命令怎么喂参数监控态下的软件更新走 TFTP命令是monitor#copy tftp {flash: | cf:} [ip_addr]。注意这里的目标介质后面带了冒号和boot命令的写法略有差异抄的时候别漏。命令敲下去不会立刻执行系统会依次追问三个问题源文件名、服务器 IP、目标文件名。# 从 TFTP 服务器拉取镜像写入 flash monitor#copy tftp flash # 系统提示Source file name[]? 输入服务器上的文件名如 main.bin # 系统提示Remote-server ip address[]? 输入 TFTP 服务器地址如 192.168.20.1 # 系统提示Destination file name[main.bin]? 输入落到交换机上的文件名如 switch.bin # 传输过程会打印进度条结束时回显类似 # TFTP:successfully receive 3377 blocks ,1728902 bytes三个提示里目标文件名那一项的方括号里带的是默认值直接回车就会沿用源文件名。我建议每次都显式改名理由是源文件名往往是发布包里的长名字容易超过 20 字符上限落盘时被截断回头boot找不到。传输成功的标志是最后那行successfully receive后面跟着块数和字节数这两个数字对得上文件才是完整的。配置文件的更新走同一套机制只是目标文件名固定成startup-config# 把备份的配置文件恢复到设备 monitor#copy tftp flash startup-config这里没有改名余地startup-config就是设备启动时读取的配置文件名。反过来说如果你只是想备份配置方向要反过来操作别把本地文件覆盖掉。TFTP 本身没有认证机制服务器是谁都能连的所以这套操作只在管理网内做别跨公网。2.5 FTP 升级主动被动、块大小和那个 75 秒管理态下多了 FTP 这条路径命令是switch#copy ftp {flash|cf} [ip_addr|option]。相比 TFTPFTP 多了认证和几个可调参数参数表值得逐项看一遍参数含义默认值与建议login-nameFTP 服务器用户名不指定则交互式提示输入login-passwordFTP 服务器口令不指定则交互式提示输入blksize数据传输块大小默认 512 字节绝大多数网络够用active/passive主动或被动连接方式按服务器所在网络环境选type传输数据类型传 bin 用 binary传文本配置可用 asciinchecksize不在服务器上检测文件大小一般不用两种写法交互式和 URL 式# 写法一交互式逐项回答 switch#copy ftp flash # 依次提示 ftp user name、ftp user password、Source file name、Remote-server ip address、Destination file name # 写法二一条命令写完适合脚本化 switch#copy ftp://user:pass192.168.20.1/main.bin flash:switch.binURL 式把用户名、口令、地址、源文件全塞进一行缺点是口令明文留在命令历史里多用户环境要谨慎。手册特别提了两点一是 FTP 服务器不可达时等待时间会很长根源是 TCP 超时默认 75 秒可以用全局命令ip tcp synwait-time改短但手册明确不建议动二是某些网络状况下传输慢可以适当调整块大小默认 512 字节在多数网络里效率已经不错。我的做法是先用ping确认服务器可达再执行拷贝把 75 秒的等待挡在前面。2.6 上电第一步IP、缺省路由、ping 三连设备刚到手或者配置被清空时第一件事是让管理面通。以太网 IP 的配置在监控态完成命令是monitor#ip address ip_addr net_mask系统缺省是192.168.0.1、掩码255.255.255.0。缺省路由只有一条命令是monitor#ip route default ip_addr参数填网关地址。# 配置管理口地址 monitor#ip address 192.168.1.1 255.255.255.0 # 配一条缺省路由指向网关 monitor#ip route default 192.168.1.1 # 测试到目标地址的连通性 monitor#ping 192.168.20.100 # 回显会逐包打印 icmp_seq 和 time最后给出统计 # 4 packets transmitted, 4 packets received, 0% packet loss # round-trip (ms) min/avg/max 0/0/0ping的输出要会读丢包率 0% 说明链路通time0 ms通常意味着目的地址和本机在同一网段或直连跨网段时延会明显抬头。如果四个包全丢先回头查 IP 和掩码是不是配在同一网段再看缺省路由的网关地址是不是写错——这两处错一个ping就是全丢现象一模一样只能靠配置回显区分。3. 终端与 SSH从 line vty 到 sshd 的访问收敛3.1 线路编号规则CON 只有一条VTY 有 32 条设备的终端参数统一用line命令管理手册把线路分成四类控制台、辅助、异步、虚拟终端但真正天天打交道的是前两类里的两个代表——CON也叫 CTY和 VTY。CON 是控制台线路编号固定为 0用于本地登录配置VTY 是虚拟异步线路编号从 0 开始共 32 条承载 Telnet、X.25 PAD、HTTP、Rlogin 这些通过网络进来的连接。线路类型接口用途编号规则CON(CTY)控制台本地登录配置固定 0VTY虚拟异步通过同步接口进来的远程登录0 开始共 32 条32 条这个数字有实际意义它决定了同时能有多少个远程会话挂在这台设备上。设备多、运维人多的小环境里会话占满之后再连就会被拒现象是“用户名密码都对但就是登不上”很容易被误判成认证问题。line vty 0 31是一条批量进入的命令进去之后配的参数对这 32 条线一起生效# 进入全部 32 条 VTY 线路的配置视图 Switch_config# line vty 0 31 Switch_config_line# length 0length 0的作用是取消每屏输出行数限制也就是关掉more分页提示。手册给的例子就是这一条看起来很不起眼但它解决的是脚本化运维的痛点——自动化工具通过 VTY 抓show输出时分页提示会把输出截断后面的解析全乱。手工登录时无所谓按空格翻页就行批量采集时这一条是必配项。3.2 VTY 和物理接口的关系一条网线后面挂着多个虚拟端口手册 2.2.1 节讲了一件容易被跳过但很重要的事虚拟终端线路提供的是“通过同步接口对系统的访问”当一个用户通过 VTY 连进来他实际连接的是某个接口上的虚拟端口。对每一个同步接口以太网口、串行口都可以有多个虚拟端口几个 Telnet 同时连到同一个以太口是常态。理解这层关系排错时才有方向感。远程登不上可能是 VTY 线路本身没配对也可能是物理接口不通还可能是中间的安全策略挡了。区分方法很直接物理层用ping验证VTY 层用show line看。# 查看 VTY 线路的配置和占用状态 Switch# show line这条命令的输出能告诉你每条线路的编号、当前状态和终端参数。会话占满、某条线的length没生效、线路状态异常都能从这里看出来。我一般把它和ping配合成一套固定动作ping通但登不上就看show lineping不通就别在 VTY 上浪费时间。3.3 SSH server 的启动顺序密钥生成那一两分钟躲不掉SSH 这章的第一条硬信息是版本ssh server 和 ssh client 支持 ssh 版本 1.5加密算法包括 des、3des 和 blowfish功能上支持 shell 和 sftp。放到今天的标准看这套算法组合属于“能用但别当强安全方案”它的定位是把明文 Telnet 换掉不是替代现代加密栈。使能 SSH server 的命令是ip sshd enable设备会生成一个 1024 位的 RSA 密钥对然后开始监听连接请求。手册写得很清楚这个过程大概需要一到两分钟。很多人第一次配完立刻拿客户端连连不上就以为配置错了其实是密钥还没算完。更值得配的是密钥保存功能# 先开启密钥保存让生成的密钥落到 flash Switch_config# ip sshd save # 再使能 ssh server此时生成的密钥会被持久化 Switch_config# ip sshd enable顺序的关键在于ip sshd save打开之后初始密钥会被保存到 flash下次再启动 ssh server 时先从 flash 读密钥跳过重复计算启动时间明显缩短。默认情况下这个功能是关闭的也就是说你不配它每次重启设备都要重新等那一两分钟。手册把save排在enable前面就是暗示先开保存、再开服务。3.4 认证链与访问控制四个参数决定谁能进、能试几次SSH server 使用 login 认证方式缺省走名为default的认证方法列表。要换成自定义列表用ip sshd auth-method STRING方法名长度不超过 20 字符。真正的用户鉴别靠 AAA 那条线配合典型写法是先在全局配置态定义认证方法再让 sshd 引用它。访问控制是另一层。ip sshd access-class STRING用来绑定访问控制列表列表名长度不超过 19 字符。ACL 本身用ip access-list standard定义只放行指定源地址。剩下的三个参数都是防暴力破解的范围和默认值必须记准命令作用取值范围默认值ip sshd timeout建立连接后通过认证的时限60-65535 秒手册未给按需设ip sshd auth-retries最大认证重试次数0-655356 次ip sshd silence-period登录静默期时长0-3600 秒60 秒这三个参数是一条链认证超时管单次连接的认证窗口重试次数管累计失败多少次后触发封禁静默期管封禁多久。累计失败超过阈值后sshd 服务会暂时关闭进入静默期这期间连正确密码也进不去。生产环境里我一般把auth-retries压到 3 次左右、silence-period保持 60 秒起步既挡得住脚本爆破又不至于运维自己手滑三次就被锁在外面。sftp 是默认关闭的需要显式打开ip sshd sftp。它是基于 SSH 的加密文件传输认证和数据都被保护代价是传输效率偏低。传配置备份这种小文件很合适传大镜像就不划算还是走前面那套 TFTP/FTP。3.5 一份可抄的 sshd 落地配置手册 3.3 节给的示例场景是只允许192.168.20.40这一台主机访问 ssh server用本地用户数据库鉴别身份。把它拆成可执行的顺序# 第一步定义标准 ACL只放行指定管理主机 Switch_config# ip access-list standard ssh-acl Switch_config_std_acl# permit 192.168.20.40 # 第二步定义登录认证方法走本地用户库 Switch_config# aaa authentication login ssh-auth local # 第三步让 sshd 引用这套认证方法和 ACL Switch_config# ip sshd auth-method ssh-auth Switch_config# ip sshd access-class ssh-acl # 第四步开密钥保存再使能 sshd Switch_config# ip sshd save Switch_config# ip sshd enable # 可选需要加密文件传输时再开 sftp Switch_config# ip sshd sftp这套顺序的逻辑是“先定义被引用的对象再让服务引用”。ACL 和认证方法都是被引用方必须先存在auth-method和access-class是引用动作放在后面enable放最后因为一旦使能设备就开始监听此时前面任何一项没配好都会直接暴露成登录失败。第 4 章会讲几个把顺序搞反之后的典型现象。4. 避坑与排查五个现场翻车点4.1 升级完重启设备停在 monitor# 起不来现象copy显示传输成功reload之后提示符一直是monitor#敲什么业务命令都进不去系统。原因两种可能。一是boot指向的文件名和实际落盘的文件名对不上尤其是源文件名超过 20 字符被截断的情况二是startup-config没更新设备起来后找不到可用配置。解决先在监控态dir看实际文件名逐个字符核对然后用boot flash 实际文件名手工引导一次。引导成功后再补copy tftp flash startup-config把配置恢复。这件事的血泪经验是升级前把dir输出抄下来出问题时按原样敲回去比任何记忆都可靠。4.2 TFTP 说成功了dir 里却找不到文件现象传输过程打印了successfully receive回头dir死活看不到目标文件。原因大概率是目标介质选错了。命令里flash:和cf:是两个存储位置传的时候写了cf:查的时候在 flash 里翻当然找不到。另一种可能是文件名被截断你按完整名字去找实际落盘的是前 20 个字符。解决dir不带参数先看全量列表按文件长度和创建时间定位刚传上去的那个确认介质后用boot的对应参数引导。传输前把目标文件名主动改短能规避掉一大半这类问题。4.3 copy ftp 卡住不动几十秒后才报错现象命令敲下去进度条一直不出来等一分多钟才提示失败。原因FTP 服务器不可达TCP 连接超时默认 75 秒这段时间命令行就是没有任何反馈。手册明确写了这个机制也明确不建议改ip tcp synwait-time。解决执行拷贝前先ping一次服务器地址通了再拷。如果ping通但 FTP 连不上检查服务器是否开了 FTP 服务、用户名口令是否正确、以及网络中间有没有拦 FTP 的控制连接。被动模式和主动模式的选择也会影响连通性服务器在 NAT 后面时优先试passive。4.4 SSH 使能后客户端连不上重启一次反而好了现象ip sshd enable敲完立刻用客户端连一直超时设备重启之后再连正常。原因使能时设备要生成 1024 位 RSA 密钥对这个过程需要一到两分钟密钥没算完监听还没起来。重启之后能好是因为某些情况下密钥已经生成过第二次启动快了。解决使能后等够时间再测别在头两分钟里反复重试。更彻底的办法是配ip sshd save把密钥持久化到 flash之后每次启动直接从 flash 读跳过计算过程。这一条对小机房尤其值钱——设备重启后不用再干等。4.5 密码输错几次正确密码也登不进去了现象连续几次认证失败后再输正确用户名密码依然被拒绝客户端没有任何有效提示。原因触发了登录静默期。默认允许重试 6 次累计失败超过阈值后 sshd 服务暂时关闭静默期默认 60 秒这期间所有连接一律拒绝。解决等够静默期再试别继续猛敲——每多试一次都在重置计时。要减少这类误伤把ip sshd auth-retries设成 3 左右、ip sshd silence-period保持 60 秒同时在 ACL 里把管理主机范围收紧让爆破流量根本到不了认证环节。注意ACL 配反了会把自己挡在门外。改access-class之前先确认当前登录主机的地址在放行列表里或者留着 console 线在手边。5. 进阶把这份手册变成一张升级前的自检表手册读一遍很容易真正难的是在压力下按顺序执行。我的做法是把散落在各章的检查点抽出来做成一张升级前必过的自检表每次动设备前逐项打勾。这套流程跑顺之后前面那些翻车点基本都能提前拦住。阶段检查项对应命令通过标准升级前记录现有镜像文件名和配置dir、more startup-config文件名完整抄录配置有备份升级前确认管理面可达ip address、ip route default、ping丢包率 0%升级中传输完成校验copy tftp/copy ftp回显块数和字节数完整升级后手工引导验证boot flash 文件名进入switch#升级后远程入口验证ip sshd enable、show line客户端能连、会话数正常这张表里最容易被跳过的是“升级前记录原镜像名”。听起来是废话但真出事的时候能救命的就是那串字符。另一个习惯是每次改完access-class或auth-method先从另一台机器新开一个会话验证确认新配置生效、旧会话还留着再退出——这叫留后路比任何回滚脚本都直接。再往深一层可以把 SSH 那套参数固化成模板ACL 只放行管理段、auth-retries设 3、silence-period设 60、save和enable按顺序走。新设备上线时整段贴进去比每次现查手册快得多也不会漏项。模板里我还会加一条注释标明ip sshd save必须在enable之前省得下一个人重排顺序。最后说个验证方法配置改完之后不要只看回显用show line确认 VTY 线路状态、用实际客户端连一次 SSH、用dir确认startup-config的时间戳是新的。三样都对上才算这次变更真的落地。从那以后我每次动远程接入配置都强制自己走一遍“新会话验证 旧会话保留 时间戳核对”宁可多花五分钟也不想再经历一次凌晨两点对着monitor#发呆。希望帮到你。本文还有配套的精品资源点击获取