企业官网建设流程全解析

简介：S5700系列三层千兆路由交换机操作手册_V1.0面向网络工程技术人员、设备维护与网络管理人员，内容围绕烽火通信S5700系列三层千兆路由交换机（软件版本V310R240）的CLI操作展开，可用于设备开局配置、日常运维与故障排查时对照查阅。手册按功能模块组织：基础配置覆盖设备连接、登录、系统与文件系统配置、文件上传下载；二层以太网包含链路聚合、VLAN及VLAN转换；三层IP路由包含静态路由、OSPFv2与路由策略；此外还涵盖QoS队列调度与拥塞控制、安全与访问控制、MSTP/BFD/VRRP可靠性、设备管理以及SNMP、RMON运维管理。各章均兼顾技术原理、配置过程与配置举例，便于读者边配置边验证。资源包共1个PDF文件，约6.89MB，这一个文件就是完整手册，目录层级清晰，可按章节检索；已有617人学习下载，适合希望系统掌握这款交换机配置方法与排错思路的网络从业者。

1. 上电之前先定版本：S5700 这套环境到底在配什么

机房里最容易出问题的往往不是命令敲错，而是说明书和软件版本对不上。我碰到过一台 S5700 系列三层千兆路由交换机，上电后照着手里那份操作手册敲 VLAN 命令，屏幕回了一串报错，原因是手册标的是 V1.0，对应的软件版本是 V310R240，而设备出厂烧录的版本更新，命令视图和关键字都有出入。这类三层千兆路由交换机现在是中型办公网、园区汇聚和分支出口的常见设备：既要做二层 VLAN 隔离，又要跑 OSPFv2 和 VRRP，还得被网管采集。装不好不会立刻出问题，往往是几个月后某次链路切换，才发现 VRRP 没起来、BFD 没生效。这篇是我按这份操作手册从零把一台 S5700 配到可交付的完整记录，第一次上手的人能照着走，拿它当交付前检查清单的老手也能看到参数取舍。

2. 从 Console 到 SSH：三条登录入口怎么配才不留后门

设备刚拆箱时，它没有任何 IP，也没有任何账号，唯一能进去的入口就是机箱面板上那个 RJ45 的 Console 口。这一步走不通，后面所有配置都无从谈起。三条入口按开服顺序分别是 Console、Telnet、SSH：Console 是必须保证的兜底入口，SSH 是日常运维的唯一入口，Telnet 我的做法是配完 SSH 立刻就关掉。这里面的取舍不在“能不能连上”，而在“谁还能连上”。

2.1 Console 口是第一入口，线序和终端参数先对齐

Console 线看着简单，出问题的概率却高得离谱。常见做法是直接用原厂随箱那根反转线，再配一个 USB 转串口模块；自己压线的话，RJ45 两端的线序和普通网线不一样，压错了就是插上没反应。终端参数固定为 9600 波特率、8 数据位、1 停止位、无校验、无流控，这五项里任何一项不对，屏幕上要么一片空白，要么满屏方块。

# Linux 下用 minicom 直连 Console，参数固定 9600 8N1、硬件流控关闭 minicom -D /dev/ttyUSB0 -b 9600 -8 # 连不上先确认串口设备在不在，比反复插拔线有用得多 ls -l /dev/ttyUSB* && dmesg | tail -20

上面两条命令解决的是两类完全不同的故障：第一条是建立会话，第二条是确认 USB 转串口模块有没有被内核认出来。/dev/ttyUSB0这个编号会随插拔顺序变化，插了两个模块就可能是ttyUSB1，所以连不上时先看dmesg的输出里有没有新设备注册。Windows 下对应的做法是设备管理器里看 COM 号，然后在终端软件里选对端口。进到设备后按一次回车，正常情况下会出现命令行提示符；如果只有光标在闪没有提示符，八成是流控被打开了。

登进去以后不要急着配业务，先确认手里这份文档和设备对不对得上：

# 登录后第一件事：核对软件版本、BootROM 版本和序列号 show version # 部分版本把硬件信息拆到单独命令里 show device

show version的输出里有四项要当场记下来：软件版本（应当是 V310R240 这一代）、BootROM 版本、设备序列号、当前运行时长。运行时长如果是几分钟，说明设备刚重启过，这时候配置可能还没加载完，不要在这个状态下做任何变更。序列号要抄进交付文档，后面报修、查保修、比对备件都靠它。

2.2 Telnet 与 SSH：只留 SSH，并把来源锁死

Telnet 的问题是明文，口令在链路上是裸奔的，随便一个抓包就能还原。所以我的顺序是：先用 Console 把 SSH 服务拉起来，验证能登录，再回过头把 Telnet 关掉。V310R240 这一代设备 SSH 默认不一定开启，需要先生成密钥对，这一步是阻塞操作，在低端机型上可能卡十几秒，别放在业务高峰期做。

# 生成 2048 位 RSA 密钥并开启 SSH 服务 crypto key generate rsa modulus 2048 ip ssh server enable ip ssh timeout 300 ip ssh max-sessions 4

modulus 2048是密钥长度，1024 位现在没有意义，4096 位在老设备上生成慢且收益有限，2048 是这台设备的合适值。ip ssh timeout 300表示会话空闲 300 秒自动断开，配合后面的exec-timeout形成双保险，避免有人开着窗口走人。max-sessions 4限制并发会话数，五个以上并发 SSH 同时改配置，出问题时根本查不清是谁改的。

关 Telnet 之前先确认 SSH 真的能连上，别把自己锁在外面：

# 只保留 SSH，并用 ACL 限定管理来源网段 access-list 20 permit 10.10.99.0 0.0.0.255 line vty 0 4 transport input ssh access-class 20 in exec-timeout 10 0 login local

line vty 0 4是虚拟终端线路，0 到 4 共五条，对应最多五个并发登录。transport input ssh直接禁掉了这条线路上的 Telnet 接入，比单独执行telnet server disable更细粒度。access-class 20 in把来源限制在管理网段，注意这是反掩码写法，0.0.0.255表示只匹配最后一段。exec-timeout 10 0是 10 分 0 秒，别写成10，有些版本会按秒解析。改完先别退出当前会话，另开一个窗口验证 SSH 能进，确认之后再关旧窗口——这是最基本的一条保命规则。

提示：改 vty 配置时永远保留一个已经登录的会话不要退。所有远程配置事故里，最常见的一类就是改完立即断开、再也连不回去。

2.3 用户、权限级别与超时：把管理面收口

账号不要只建一个。监控系统要取数据、运维要改配置、变更窗口才用最高权限，这三类需求混在一个账号里，出了事日志上一片同名操作，等于没有审计。这台设备按权限级别分档，常规做法是 1 级只读、2 级可配置、15 级全权限。

# 三个账号分权，口令用占位符，实际部署时改成符合密码策略的值 username monitor password Read@Only01 privilege 1 username ops password Ops@2024#a privilege 2 username netadmin password Adm@2024#b privilege 15 # 开启口令加密，避免 show running-config 里出现明文 service password-encryption

privilege 1的账号登录后只能执行查询命令，用来给网管做 SNMP 之外的补充巡检很合适。privilege 2是日常改 VLAN、改接口的账号。privilege 15只在需要动文件系统、升级镜像、改用户时启用，用完可以考虑临时改口令。service password-encryption把配置文件里的明文口令替换成可逆加密串，注意这是可逆的，防的是“看配置文件的人”，防不了拿到配置文件又拿到设备的人。

还有两个容易漏的点：一是登录欢迎语（banner）里不要写设备型号、机房位置、联系人电话，这些信息对内部人员有用，对外部人员同样有用；二是exec-timeout对所有线路都要设，包括 Console 线，很多事故就是从一台没锁屏的调试笔记本开始的。

3. 基础系统与文件系统：时钟、配置文件和 TFTP 备份

登录链路通了，接下来是那种“配了不显眼、没配会出事”的部分。设备名、时钟、配置文件保存、镜像备份，这些操作在交付当天看不出效果，等半年后翻日志、回滚配置、定位故障时间点的时候，才知道当初有没有做。这一章的东西不多，但每一步都要落到命令上，靠记忆是记不住的。

3.1 系统基本环境：设备名、时钟与 NTP

设备名不是装饰。一个机柜里塞十几台同型号设备，Switch这个名字会出现十几次，看日志、看网管告警的时候根本分不清是哪台。命名规则我一般用「位置-角色-序号」，比如S5700-F1-ACC-01，位置是楼层或机房编号，角色是接入还是汇聚，序号是机柜内顺序。

# 设备名、时区、手工时钟，三件事一次配完 hostname S5700-F1-ACC-01 clock timezone CST add 08:00:00 clock set 15:20:00 2024-06-18 # 接入内网 NTP，配两个源互为备份 ntp-service enable ntp-service unicast-server 10.10.99.10 ntp-service unicast-server 10.10.99.11 show ntp status

clock timezone CST add 08:00:00里的add表示在东八区基础上加八小时，写成add 08:00:00而不是8，格式错会被直接拒绝。手工clock set只是让设备有个初始时间，真正要它自己走准必须靠 NTP，因为交换机的晶振一天能飘几秒，一个月下来日志时间戳就和实际情况对不上了。两个 NTP 源的作用是防止单点，主源不可用时自动切备源，show ntp status里看的是同步状态和当前层级，显示已同步且层级是个位数才算正常。

时间不准带来的连锁反应比想象中大：日志时间错乱导致故障时间线拼不起来，证书校验失败，SNMP 的 trap 时间戳和采集端对不上，甚至某些版本的定时任务会因为时间跳变重复执行。所以这一步我不接受“回头再配”。

3.2 文件系统与配置文件：running 和 startup 的区别

新手最容易踩的坑，是配了一下午，重启后全没了。原因很简单：配置改的是运行配置（running-config），掉电不丢的是启动配置（startup-config），两者之间需要一次显式保存。这个过程没有自动同步，也没有“改完自动存”的开关。

# 查看 flash 空间和目录内容，升级前必看 dir flash:/ # 查看当前运行配置与下次启动加载的配置 show running-config show startup-config # 保存配置，两种写法在不同版本里都能用 copy running-config startup-config write

dir flash:/的输出要关注剩余空间，一次镜像升级通常要预留两倍镜像大小的余量，因为上传过程中旧文件还在。show running-config和show startup-config的差异就是“有没有保存”的直接证据，两台设备配置对不上时，先比对这两个输出的差异，比猜快得多。copy running-config startup-config和write是同一个动作的两种写法，不同版本里保留的不一样，两个都试一遍不吃亏。

除了保存，还要会管理文件。目录操作用cd、pwd、mkdir、rmdir，删除文件用delete，有些版本还支持恢复误删。我的习惯是在 flash 里建三个目录：bak放配置备份、img放镜像、log放导出的日志。这样dir一眼就能看出哪块在占空间，而不是几十个文件平铺在一起。

注意：升级前把startup-config.cfg单独复制一份到bak目录并改个带日期的名字。回滚的时候你会需要它，而且只需要那一次。

3.3 TFTP 备份与镜像升级：两条传输路径怎么选

配置文件备份、镜像上传这两件事都依赖文件传输。这台设备给了两条路：TFTP 和 zmodem。前者走网络，速度快、适合大文件；后者走 Console 串口，不需要网络，但慢得让人绝望。

# 先确认管理面能到 TFTP 服务器，通不了后面都白搭 ping 10.10.99.50 # 备份当前配置，文件名带设备和日期 copy flash:/startup-config.cfg tftp://10.10.99.50/bak/S5700-F1-ACC-01_20240618.cfg # 上传新版本镜像到 flash 根目录 copy tftp://10.10.99.50/img/S5700_V310R240.bin flash:/S5700_V310R240.bin

ping这一步经常被跳过，然后对着copy失败反复重试。TFTP 走的是 UDP 69 端口，中间如果有防火墙或者 ACL，ping通不代表 TFTP 通，但ping不通就一定不通，先用它排除掉一大半问题。URL 里的路径是相对 TFTP 服务器根目录的相对路径，服务器配置的根目录不同，同一串地址可能一台设备能传、另一台传不了。文件名带日期和设备名，是因为半年后你会同时拥有五六个版本的配置文件，靠猜是猜不出来的。

镜像上传完成后先别急着重启，要做三件事：核对文件大小和校验值、指定下次启动使用的镜像、确认旧镜像还在 flash 里留作回滚。

# 指定下次启动镜像并确认 boot-loader image flash:/S5700_V310R240.bin show boot-loader # 重启前再保存一次配置 copy running-config startup-config reboot

boot-loader image这个关键字在不同版本里可能是startup image之类的写法，逻辑是一样的：告诉设备下次从哪个文件启动。show boot-loader的输出要确认当前和下次启动的镜像路径都对，并且旧版本镜像仍然存在——这就是后悔药。reboot之前那次保存不能省，因为重启会重新加载 startup-config，运行配置里的临时改动会丢。

没有管理网络、只能靠 Console 的现场，用 zmodem：

# 设备侧发起文件传输，终端软件在另一端选择接收并指定保存路径 copy flash:/startup-config.cfg zmodem

zmodem 的实际速率被串口波特率卡死，几 MB 的配置文件还能接受，几十 MB 的镜像就走这条路纯属自虐，除非设备已经彻底没了网络。传之前把终端软件的传输协议设成 Zmodem 并且关掉自动重命名，否则保存下来的文件名会带一串后缀。

4. 二层到三层打通：VLAN、链路聚合、VLANIF 与 OSPFv2

前面三章解决的是“能登录、能保存、能回滚”，这一章才开始真正碰业务。三层千兆路由交换机的价值就在这一段：下面收一堆接入交换机的 VLAN，上面用一条三层链路接核心，中间还要保证链路不会因为一根线断就整段掉。顺序不能乱——先划广播域，再做链路冗余，然后配三层接口，最后才跑路由协议。顺序反了，排障时你分不清是二层没通还是路由没起。

4.1 VLAN 划分与 Trunk 放行：先把广播域切干净

VLAN 的作用是把广播域切开，办公、访客、管理、监控各走各的。规划阶段就要把 VLAN 号和网段一起定下来，写成表贴到交付文档里，别在设备上现编。管理 VLAN 我习惯单独给一个高位号，比如 999，不占业务段。

# 创建 VLAN 并加描述，描述比 VLAN 号更有信息量 vlan 10 description OFFICE vlan 20 description GUEST vlan 999 description MGMT # 接入端口划到对应 VLAN interface gigabitethernet 0/1 switchport mode access switchport access vlan 10 # 上联口配 Trunk，只放行需要的 VLAN interface gigabitethernet 0/24 switchport mode trunk switchport trunk allowed vlan 10,20,999

description看起来可有可无，但show vlan的时候一眼能看到 10 是办公、20 是访客，比记编号靠谱。switchport mode access加switchport access vlan 10是接入口的标配，别在接入口上留 Trunk。上联口的allowed vlan一定要显式写，默认放行全部 VLAN 的配置在出问题时会把广播域直接打通到不该通的地方，而且排障时极难发现——你看不出问题，因为“它什么都能通”。

管理 VLAN 999 要记得在三层上单独配地址，并且只允许管理网段访问，业务口不要划进 999。

4.2 链路聚合：静态还是 LACP，什么时候别用

两台设备之间只有一根线，断了就断网；加一根线又不做聚合，会形成环路被生成树阻塞掉一根，等于白加。链路聚合就是把多根物理线捆成一条逻辑链路，带宽叠加、单线故障不断业务。这台设备支持静态聚合和 LACP 动态聚合两种。

# 静态聚合：两端都必须手工建组，任何一端漏配都会出问题 interface eth-trunk 1 description To-CORE switchport mode trunk switchport trunk allowed vlan 10,20,999 interface gigabitethernet 0/23 eth-trunk 1 interface gigabitethernet 0/24 eth-trunk 1

eth-trunk 1是聚合组编号，部分版本写作link-aggregation 1，视图名以命令行手册为准，逻辑是通的。成员口用eth-trunk 1加入组之后，就不该再在成员口上单独配 VLAN 和生成树参数了——这些属性统一在聚合口上生效，成员口上的残留配置会造成行为不一致。这是聚合最典型的翻车点，也是我见最多的一类。

LACP 的写法是在聚合口上开动态模式：

interface eth-trunk 1 mode lacp-static lacp system-priority 100 lacp timeout short

mode lacp-static表示走 LACP 协商，对端也必须是 LACP 模式，一端静态一端动态是绝对连不起来的。lacp system-priority数值小的那端成为主动端，决定哪些成员口被选中；lacp timeout short把超时从 90 秒缩到 3 秒，故障切换更快，代价是对链路抖动更敏感。什么时候别用聚合？跨设备、跨模块、两端端口速率不一致、双工模式不一致，这四种情况宁可走生成树，也不要硬凑聚合组。

4.3 VLANIF、静态路由与 DHCP 中继

二层通只是第一步，要让不同 VLAN 之间互通、要能出网，得在三层上配接口。这台设备的做法是给每个 VLAN 建一个 VLANIF 接口并配 IP，这个 IP 通常就是该网段的网关。

# 业务网关放在 VLANIF 上 interface vlan 10 ip address 192.168.10.1 255.255.255.0 interface vlan 20 ip address 192.168.20.1 255.255.255.0 # 默认路由指向核心，备用路由用 preference 抬高优先级数值 ip route-static 0.0.0.0 0.0.0.0 192.168.99.1 ip route-static 0.0.0.0 0.0.0.0 192.168.99.5 preference 60

ip address后面跟掩码，不是反掩码，写错了会直接报格式错误。默认路由两条，主用那条不加preference（默认值是 60 左右，各版本略有差异），备用那条把preference调到更大，数值越大优先级越低，主路由消失时备用才会进转发表。这比配浮动静态路由加 BFD 联动要简单，适合出口就一条线的分支场景。

如果网关在这台设备上、DHCP 服务器在别的网段，接口上要做中继，否则终端拿不到地址：

# DHCP 中继：把广播请求转成单播送到 DHCP 服务器 interface vlan 10 dhcp select relay dhcp relay server-address 10.10.99.20

dhcp select relay声明这个接口走中继模式，dhcp relay server-address指定服务器地址，可以配多个做备份。这两条必须配在同一个 VLANIF 下，配在物理口上不生效——这是新手最容易放错位置的一条命令。中继通了但终端还是拿不到地址，先看服务器侧的地址池有没有配这个网段，再看中间设备有没有拦 DHCP 报文。

4.4 OSPFv2：宣告网段、开销与路由策略的最小闭环

静态路由适合出口和少量固定路径，一旦设备数量上去，就得靠动态路由。V310R240 这一代支持 OSPFv2，配置量不大，但几个参数配错就起不来邻居。

router ospf 1 router-id 10.0.0.2 network 192.168.10.0 0.0.0.255 area 0 network 192.168.20.0 0.0.0.255 area 0 network 10.10.99.0 0.0.0.255 area 0 passive-interface vlan 999

router-id建议手工指定成环回口地址或管理地址，不指定的话设备会自己选一个，重启后可能变，邻居关系就会重建。network后面是网段加反掩码，0.0.0.255表示整个 /24，写成正掩码是最常见的报错来源。passive-interface让管理网段参与路由宣告但不发 Hello 报文，避免把管理网段的邻居关系暴露在业务口上。

邻居起来的验证只看一条命令：

show ip ospf neighbor show ip route

show ip ospf neighbor里状态必须是Full，卡在Init或ExStart就说明报文没通或 MTU 不一致。show ip route里要能看到对端宣告的网段，并且下一跳正确。路由是通的但业务不通，问题就落到 ACL、NAT 或回程路由上了——这一步的分界线一定要清楚，否则会一直在路由协议里打转。

真要控制哪些网段能被宣告出去，用路由策略，别用 ACL 硬拦：

# 只允许业务网段重分发进 OSPF，管理网段不外泄 ip prefix-list BIZ permit 192.168.0.0/16 le 24 route-map RM-OSPF permit 10 match ip address prefix-list BIZ

ip prefix-list的le 24表示掩码长度小于等于 24 的都匹配，比 ACL 精确得多。route-map里没被permit匹配到的默认被拒绝，这个隐式拒绝救过很多人，也坑过很多人——配完一定要show route-map确认命中计数在涨。

5. 避坑排查：五条翻车记录

这一章不按配置顺序写，按我实际遇到的顺序写。每一条都是先出问题、再找原因、最后才明白原理，顺序反了记不住。

5.1 Console 有输出但全是乱码

现象：串口连上后屏幕上不断刷出方块和问号，偶尔夹杂几个能认出的字符，按回车也没反应。

原因：九成是终端参数里的流控被打开了。USB 转串口模块和终端软件两边只要有任意一边开了硬件流控（RTS/CTS）或软件流控（XON/XOFF），设备发过来的字符就会被截断。剩下的一成是波特率不对，或者用的不是反转线。

解决：把终端软件的流控选项全部关掉，只留 9600-8-N-1，重新连一次。还不行就换一根原厂 Console 线，或者换一个 USB 转串口模块——市面上不少廉价模块在 9600 下工作正常，在某些设备上就是不行。这条我现在的做法是：调试包里永远放两个不同芯片的转接模块。

5.2 Trunk 配了，VLAN 还是不通

现象：两端都配了switchport mode trunk，show vlan里 VLAN 也在，但两个网段互相 ping 不通。

原因：allowed vlan列表没包含目标 VLAN。默认放行全部的配置在某些版本里成立，一旦有人手工写了一个列表，就会变成“只放行列表里的”。另一个原因是 VLAN 只在其中一台设备上创建了，对端没有这个 VLAN，报文在出口就被丢弃。

解决：两端都执行show interface gigabitethernet 0/24 switchport，逐项比对模式、PVID、允许列表。VLAN 要在路径上每台设备都创建，哪怕只是过路。极端情况还要看生成树实例有没有把这条链路阻塞掉，show spanning-tree里端口状态是Blocking的话，配置全对也不通。

5.3 链路聚合配完带宽没涨、还丢包

现象：两条千兆捆成一组，理论 2G，实际测速比单条还差，抓包看到乱序和重传。

原因：一端静态聚合、另一端 LACP，或者两个成员口的速率、双工不一致。还有一种情况是成员口上残留了单独的 VLAN 配置，导致聚合口和成员口的行为打架。

解决：先看聚合组状态，show link-aggregation summary里成员口必须是选中（Selected）状态，出现 Unselected 就说明协商没成功。然后确认两端模式一致、成员口速率双工一致、成员口上没有独立的 VLAN 和生成树配置。聚合组的哈希算法也要留意，全部流量落在同一条成员链路上的情况很常见，这时候带宽确实不会涨——但那不是配置错，是流量模型的问题。

5.4 VRRP 出现双主

现象：两台设备都认为自己是主，网关 MAC 在两个口之间来回跳，终端时通时断，日志里大量地址冲突告警。

原因：VRRP 报文没通。两台设备之间跑 VRRP 的那个 VLAN 没有二层可达，或者被 ACL 拦了协议报文；也可能是两台设备的virtual-router-id配得不一样，各说各话；还有一种隐蔽情况是优先级配成相同值，而抢占延迟没配，两台互相抢。

解决：先在两台设备上互相 ping 对方的实地址，确认二层通。再用show vrrp看状态和虚拟 IP，确认 VRID、虚拟地址、优先级三项一致。优先级要拉开差距，主用设备配高值，备用配低值并设抢占延迟，避免链路抖动时来回切换。如果中间隔着二层设备，还要确认 VRRP 的组播报文有没有被过滤掉。

5.5 升级重启后设备起不来或配置回退

现象：镜像上传完成、boot-loader也指定了，重启后停在启动阶段，或者起来了但配置是旧的。

原因：三种可能。一是 flash 空间不足，镜像上传过程中被截断，文件大小不对但没校验；二是boot-loader指向了一个不完整的文件；三是升级前没保存配置，重启加载的是老的 startup-config。

解决：升级前先dir flash:/确认剩余空间至少是镜像大小的两倍，上传后比对文件大小。show boot-loader确认下次启动路径，并且确认旧镜像还在。升级动作固定成四步：备份配置、上传镜像、指定启动文件、保存配置，然后才reboot。真的起不来了，用 BootROM 菜单从备份镜像启动，或者用 zmodem 重新灌一个镜像——所以第 3 章那个备份目录不是形式主义。

6. 交付前验证：把「能 ping 通」换成一份可复现的自检流程

配完不等于装好。我见过太多“当场能通、一周后投诉”的现场，问题都出在交付前只 ping 了网关。这台 S5700 的验证我固定成一张表，逐项打勾，任何一项不过就不签字。

表跑完还要做一次真实业务验证，光看状态是不够的：

# 逐段验证：网关、跨网段、出口、DNS ping 192.168.10.1 ping 192.168.20.1 ping 192.168.99.1 # 检查 MAC 与 ARP 是否学到了正确的表项 show mac-address-table show arp

ping的顺序是从近到远，哪一跳断了问题就在哪一段，比直接 ping 外网有价值得多。show mac-address-table和show arp是用来确认转发表学对了的，表项里出现同一个 MAC 在两个端口上跳，说明二层有环，这时候再去查生成树。最后一步是断开一根上联线，看业务是否在几秒内恢复——这一步最能暴露聚合和 VRRP 配得对不对，也最容易被省略。

从那以后我每次交付前都强制走一遍这套自检，哪怕只是改了一个 VLAN，哪怕只是加了一条静态路由。配置这东西，翻车从来不是因为不会，而是因为觉得“这么简单不用验”。希望帮到你。

本文还有配套的精品资源，点击获取