简介在园区网和企业出口场景中交换机的VLAN划分与路由器的NAT转换是网络工程师最常打交道的两类基础配置。理解其底层原理——二层隔离如何通过VLAN实现、三层网关如何让不同网段互通、私网地址又如何借助NAT和端口复用访问公网是构建稳定网络的关键。掌握了CLI视图切换、命令补全与配置保存等基本功再结合Access口、Trunk口、SVI以及静态路由等典型配置场景就能快速上手实际设备。无论是配置一台全新的三层交换机还是排查内网无法访问外网的问题一套从物理层到应用层的排错思路都必不可少。本文以中兴ZXR10系列为例完整演示从设备登录、VLAN配置、NAT及静态路由部署到密码恢复与日常维护的实操过程为运维人员提供可直接落地的配置参考。1. 从一台二手5950说起先认清ZXR10的设备和登录方式前阵子帮一个朋友整理一批从某机房退下来的网络设备里面有两台中兴ZXR10 5950交换机外加一台ZXR10路由器。刚拿到手的时候第一反应是有点头疼——机箱上贴着机房资产标签Console密码被改过完全登录不进去网上搜到的配置手册要么版本对不上要么只有零零散散的几条命令。折腾了一整天之后我发现ZXR10这个系列其实没有想象中那么难搞配置逻辑和思科、华为的设备有很多相通的地方真正难的是你手上没有一份能够完整串起来的配置手册。这篇就把我这次从头到尾的实操过程整理出来从设备登录、CLI命令习惯、交换机VLAN配置、路由器NAT和静态路由再到密码恢复和日常排错一条链路讲清楚。这份手册适合两类人看一类是刚接手ZXR10设备、之前只玩过思科或华为的网工另一类是公司买了几台中兴设备、被安排去配置的运维新人。文章里我不会只贴命令会把每个配置步骤背后的理由说清楚方便你遇到问题的时候自己判断该往哪个方向查。1.1 中兴路由器和交换机的产品线怎么认先花一分钟把ZXR10的设备认个门。中兴的企业网设备型号基本可以按数字大小大致判断定位越大的数字通常对应越高的档次。29xx、39xx这类多用于小型接入场景59xx系列是最常见的园区网三层交换机像5928、5950、5960端口形态和转发能力逐级提升。我这次用的5950在网络架构里属于汇聚或者接入层网上搜配置资料最多的也是这个系列。再往上就是框式设备比如5990或者更大档位通常出现在核心机房不过配置命令的基础逻辑是一样的。路由器这边ZXR10的路由器产品线同样覆盖从低端接入到高端骨干型号命名同样有规律。对大多数企业场景来说出口路由器要处理的核心事情就三件接口IP配置、NAT地址转换、静态路由指向。不要把路由器想象得多么玄乎它本质上就是一台负责“把内网流量送到外网再把外网回来的流量分给内网”的专用设备。1.2 三种登录方式Console是底线Telnet和SSH看场景配置ZXR10设备最先要解决的就是登录问题。登录方式基本分三种Console本地登录、Telnet/SSH远程登录、Web网管界面。我推荐的优先级是只要能远程就SSH远程不了就ConsoleWeb界面只在查看少量状态时用做复杂配置效率太低。Console登录是所有方式的兜底方案尤其是设备没有管理IP、密码丢失、或者配置彻底混乱导致远程进不去的时候只有Console线能救你。接线方式是Console线一端插设备前面板的Console口通常是RJ45形状另一端接电脑的串口没有串口的笔记本就用USB转串口线。打开SecureCRT或者XShell之后新建一个串口会话最关键的参数是波特率中兴设备多数情况下默认9600数据位8、停止位1、无校验、无流控。如果屏幕上一片空白或者全是乱码先别急着怀疑接线把波特率换成115200再试一次两个值之间来回切换基本能覆盖大部分ZXR10设备的默认设置。Telnet和SSH属于远程登录方式前提是设备已经配置了管理IP地址而且网络能通。Telnet的所有明文信息都会在网络上传送包括密码所以只要有SSH可用就不要用Telnet。Web网管适合不太熟悉命令行的人做日常状态查看类似家用路由器那种图形界面但资源占用较高生产环境下不建议依赖它做批量操作。登录方式首次登录是否可用前置条件适用场景Console可用Console线、串口终端软件初始配置、密码恢复、排查故障Telnet/SSH需先配置管理IP网络可达、开启对应服务日常维护、远程操作Web需先配置管理IP浏览器、开启HTTP/HTTPS服务状态查看、简单配置1.3 登录之后第一件事先看版本再动手不管是通过哪种方式登录成功我建议你做的第一件事不是急着敲配置而是先看设备版本。输入show version或者display version把设备型号、软件版本号、运行时间这些信息记下来。原因很简单ZXR10不同版本之间的命令差异真的很大有些版本支持的命令在另一个版本里就变成了别的写法你从网上搜到一份配置文件照着敲结果发现提示符下面全是“% Unknown command”大概率就是版本不匹配。看版本还有一个好处就是判断设备是否到了需要升级的程度。运行时间特别长、版本号特别老的设备建议在业务窗口期规划升级到稳定版本再进行配置避免在配置过程中触发某些已被修复的BUG。这属于经验之谈我见过不止一次因为版本太老导致VLAN接口起不来的情况。2. 配置前必须搞懂的CLI命令习惯视图、补全与保存ZXR10的命令行体系用熟了之后你会发现它跟思科的IOS风格非常接近视图层级的设计逻辑也类似。只要你能在脑子里建立一张“视图地图”操作起来就不会迷路。2.1 视图层级就像文件夹的层层嵌套ZXR10的CLI大概分成这样几个层级用户视图、特权视图、全局配置视图、接口视图和子视图。用户视图一般就是设备登录进去看到的界面提示符类似ZXR10这个状态下能执行的操作非常有限只能看一些基本信息。输入enable之后进入特权视图提示符变成ZXR10#可以查看全部配置、执行重启等更高级的操作。真正开始改动配置需要输入configure terminal进入全局配置视图此时提示符变成ZXR10(config)#在这个视图下可以创建VLAN、配置全局参数、写路由条目。如果要对某个接口做设置需要再进入接口视图比如interface gigabitethernet0/1提示符变成类似ZXR10(config-if)#的样子。记住一条规则配置命令是分层生效的你在哪个视图就只能操作哪个区域的配置。想要退出回到上一层输入exit想要一步退回到特权视图多数情况下输入end。每个版本支持的具体退出命令可能略有差别所以拿到设备之后先用问号确认这是最稳妥的做法。2.2 问号、Tab和缩写是CLI的三大法宝我教过很多人配中兴设备发现新手最容易犯的毛病是“硬背命令”。其实CLI设计了一大堆辅助手段完全不用死记硬背。第一个法宝是问号。你在任何视图下输入一个问号设备会把当前可用的所有命令列出来。比如刚进入全局配置视图不知道能干什么就输入一个问号屏幕会列出所有可用命令清单。如果只想查某个命令的子参数比如想知道interface命令后面跟什么就输入interface ?设备会告诉你下一步该填的内容。这个习惯一旦养成遇到不认识的命令就不会抓瞎了。第二个法宝是Tab键自动补全。输入了命令开头几个字母按Tab键设备会自动把剩余部分补全。比如输入int然后按Tab通常会补全成interface。如果补全不出来说明敲的缩写有歧义设备会提示你多输几个字母。第三个法宝是命令缩写。ZXR10的CLI支持与思科类似的缩写方式只要缩写唯一能识别即可。比如show running-config可以敲成show runconfigure terminal可以敲成conf t。熟练掌握缩写能大幅提升输入效率但有个前提——你必须清楚这个缩写对应的是哪条命令否则容易把自己绕晕。我的习惯是配置阶段先敲全命令确保没有歧义等熟悉了再上缩写。2.3 配置保存不保存等于白配这是整篇配置手册里最重要的一条建议也是新手最容易踩的坑。ZXR10的CLI默认修改的是运行配置一旦设备重启运行配置全部丢失恢复成启动配置的状态。换句话说你在设备上敲了一下午命令如果最后没有保存一次断电就全部归零。保存命令在不同版本里可能有差异常见的是write和copy running-config startup-config。我建议用Tab补全确认一下当前版本支持哪种写法。配置完之后我习惯做一次“三步检查”第一步show running-config确认所有配置都在第二步执行保存命令第三步在特权视图下用show startup-config对比一下保存结果是否和运行配置一致。这套流程看起来啰嗦但能杜绝“配置消失”这种最尴尬的事故。还有一个值得养成的习惯是配置备份。设备配置本身是纯文本完全可以导出来保存。最简单的方式是SecureCRT里开启会话日志然后执行show running-config把输出内容保存到本地文件按月归档。设备出问题的时候手里有一份最近的配置文件恢复时间能缩短一个数量级。3. 交换机配置实战从一台裸机到VLAN互通这一节我们直接上手讲一个完整的交换机配置流程。场景设定是一台ZXR10 5950交换机24个千兆电口需要把1到8口划给办公网VLAN 109到16口划给服务器区VLAN 2023口作为上联口对接汇聚交换机实现两个业务网段的二层隔离和三层互通。3.1 先做业务规划再敲命令顺序颠倒容易返工拿到交换机别急着上去乱配先花几分钟把网络规划写在纸上。哪个VLAN对应哪个业务网段、网关IP放在哪台设备、哪些接口划分到哪个VLAN、哪些接口需要做Trunk这几件事想清楚了配置就是填空题。以这个场景为例规划如下VLAN 10办公网网段10.0.10.0/24网关10.0.10.1VLAN 20服务器区网段10.0.20.0/24网关10.0.20.11-8口划入VLAN 109-16口划入VLAN 2023口作为上联口以Trunk模式透传VLAN 10和VLAN 20网关的规划要特别注意。如果这台5950是三层交换机它可以同时承担两个VLAN的网关角色VLAN间流量走设备内部三层转发如果它只是二层设备网关只能放在上一级路由器或核心交换机上。我这次配的5950是三层交换机所以直接用它做网关演示。3.2 创建VLAN和Access端口进入全局配置视图先创建两个VLAN并起名字方便识别configure terminal vlan 10 name office exit vlan 20 name server exitVLAN创建完成之后把业务口划入对应的VLAN。以1到8口为例需要逐个接口配置进入接口视图后设置接口工作模式为Access再指定默认VLANinterface gigabitethernet0/1 switchport mode access switchport access vlan 10 no shutdown exit这里的逻辑是Access口通常连接终端设备PC、打印机、服务器它只能属于一个VLAN收到不带VLAN标签的数据帧时打上该接口的默认VLAN标签。把接口模式必须先设成access再指定vlan顺序反了可能会报错。9到16口用同样的方式划入VLAN 20。这里有个细节要提醒部分中兴交换机的接口默认可能处于shutdown状态所以每条接口配置最后我都习惯加一句no shutdown确保接口能正常协商起来。如果配完之后接口状态还是down优先查物理链路和两端光模块或网线。3.3 上联口Trunk的放行逻辑上联口不能再用Access模式因为它要同时承载VLAN 10和VLAN 20的流量需要配置为Trunk口。进入23口interface gigabitethernet0/23 switchport mode trunk switchport trunk allowed vlan 10,20 no shutdown exit有一点要理解透彻Trunk口允许哪些VLAN通过是通过allowed vlan列表控制的。这里我明确列出10和20没有写all目的是防止其他VLAN的广播和未知单播流量穿越链路。如果你遇到“交换机A上VLAN 10能通VLAN 20不通”这种问题十有八九是Trunk对端只放行了VLAN 10忘了放行VLAN 20。查这类问题的时候两边交换机的trunk配置一定要对照着看不要只看一端。还有一个容易忽略的点是对端设备的VLAN处理方式。如果对端是思科或者华为交换机要对齐Trunk的默认行为特别是Native VLAN缺省VLAN的差异。两边默认VLAN不一致可能导致部分流量被错误标记出现“能通但时断时续”的诡异现象。3.4 三层接口让VLAN之间的流量跑起来二层隔离做好之后办公网和服务器区之间默认是不通的因为二层广播域被VLAN隔开了。想让他们互通需要在三层交换机上给每个VLAN创建虚拟三层接口通常叫SVISwitch Virtual Interface并配置IP地址作为该网段的网关interface vlan 10 ip address 10.0.10.1 255.255.255.0 no shutdown exit interface vlan 20 ip address 10.0.20.1 255.255.255.0 no shutdown exit配置完这两个VLAN接口之后PC的网关分别指向10.0.10.1和10.0.20.1办公网和服务器区就能通过交换机内部三层转发实现互通。原理其实很简单终端发出的数据帧目的MAC是网关MAC交换机收到后剥离二层帧头根据目的IP查询路由表确认目的网段是VLAN 20再从VLAN 20的网关接口转发出去。整个过程在设备内部完成不需要经过外部路由器。3.5 新手最容易在VLAN配置上犯的三个错误第一个错误是创建了VLAN但没把接口划进去等于白配。排查时用show vlan确认接口所属VLAN。第二个错误是Access口和Trunk口搞混表现为下联设备上不了网但上联口状态正常。第三个错误是配置了三层接口却忘了no shutdown导致VLAN接口一直是down网关ping不通。这三个坑我基本上每帮人排查一次就能遇到一个建议你自己配置的时候提前检查。4. 路由器配置实战NAT、静态路由与内外网打通交换机的二层三层都通了接下来解决的是“内网怎么上外网”的问题。这一节以一台ZXR10路由器作为出口设备演示从接口IP配置到NAT转换、再到静态路由的完整链路。4.1 接口规划谁当外网口谁当内网口路由器的角色定位是“内外网交界的门卫”。假设运营商给你分配了一个公网IP段比如202.100.10.0/30其中202.100.10.1是运营商侧网关地址202.100.10.2是路由器WAN口地址。内网侧使用10.0.0.0/24网段路由器LAN口地址是10.0.0.254。网络拓扑里路由器LAN口下接的就是上一节的5950交换机。先把两个接口的基础IP配好configure terminal interface gigabitethernet0/1 ip address 202.100.10.2 255.255.255.252 no shutdown exit interface gigabitethernet0/2 ip address 10.0.0.254 255.255.255.0 no shutdown exit这里WAN口用/30掩码是因为运营商专线场景下通常只分配4个IP地址其中网络地址和广播地址不可用实际可用的是两个IP一个给运营商网关一个给你。公网IP规划要严格照运营商给的文档填不要自己想当然。4.2 NAT配置把内网私网地址翻译成公网地址内网的10.0.0.0/24是私有地址在公网上不可路由所以必须通过NAT转换把内网流量源地址替换成WAN口的公网地址。ZXR10设备的NAT配置跟思科风格很接近整体分三步第一步定义允许做NAT的内网地址范围用ACL控制access-list 1 permit 10.0.0.0 0.0.0.255第二步在接口上标记内外方向interface gigabitethernet0/1 ip nat outside exit interface gigabitethernet0/2 ip nat inside exit第三步在全局配置下启用源地址转换让匹配ACL的内网流量从WAN口出去时源地址替换为WAN口IP并开启overload端口复用也就是PATip nat inside source list 1 interface gigabitethernet0/1 overloadoverload这个词值得多说一句。没有overload的情况下一个内网IP要占用一个公网IP公网IP根本不够用。开启overload之后设备会把源IP和源端口映射成同一个公网IP下的不同端口实现几十上百台电脑共用一个公网地址上网。这就是家庭宽带和大多数企业专线能用少量公网IP带起整个内网上网的原因。如果你手上的设备版本不支持这种写法可能会使用nat outbound这类命令同样先用问号确认。中兴不同版本的NAT命令确实有些出入我遇到过一次版本升级后NAT配置语法整个变化的情况所以只要报错就先查帮助。4.3 默认路由所有不知道往哪走的流量交给运营商路由器要能把内网流量送到公网必须知道默认网关在哪。这一步用一条静态默认路由实现ip route 0.0.0.0 0.0.0.0 202.100.10.1这行的含义是目的地址是任何地址、掩码是任何掩码的流量下一跳都交给202.100.10.1也就是运营商网关。没有这条默认路由路由器即使配了NAT也不知道该把转换后的流量往哪里扔。如果内网不止一个网段而且这些网段的网关不在路由器上、而是在核心交换机上那还需要考虑回程路由的问题。简单来说核心交换机上必须有指向10.0.0.0/24网段的下一跳才可以知道怎么把外网返回的流量送回路由器。在我这个场景里5950交换机直连路由器LAN口交换机上的默认网关指向10.0.0.254即可不需要额外的静态路由。4.4 从PC到外网的一次完整验证配置全部完成之后验证链路是否通畅可以按这个顺序来第一步在路由器上ping运营商网关202.100.10.1确认物理链路和WAN口配置没问题。 第二步在内网PC上ping自己的网关10.0.0.254确认终端到路由器的二层链路正常。 第三步在PC上ping运营商网关202.100.10.1正常情况能通因为流量到了路由器之后被NAT转换源地址变成了公网地址。 第四步在PC上ping公共DNS服务器地址比如114.114.114.114通了说明NAT和默认路由都正常。 第五步用域名访问网站如果IP能通但域名打不开重点查PC的DNS配置而不是路由器。我帮人排查“电脑上不了网”的时候十个里面有六个最后卡在DNS上。路由器NAT和路由配置全都没问题就是PC的DNS被改成了乱七八糟的值导致域名解析失败。这条经验分享一下希望你能少走弯路。5. 密码恢复与重置ZXR10 5950/5990的保命技能文章开头提过我拿到这批二手ZXR10设备时遇到的最大障碍就是Console密码被改过。如果你也遇到密码丢失、设备是二手淘来的、或者前运维离职没交接清楚密码的情况这一节就是你的救命手册。前提是设备硬件和系统都是你自己的或者是你有权管理的否则不要执行恢复操作。5.1 密码恢复的适用场景与基本原理密码恢复的本质是通过Console口进入设备的BootROM菜单让设备在启动时跳过加载登录密码相关的配置或者直接恢复出厂配置。之所以这招能行是因为ZXR10这类设备在加载完整的配置文件之前还保留了一个底层的引导程序这个程序不依赖正常配置文件也不要求你输入登录口令。适用场景包括Console密码和特权模式密码全部丢失、设备被错误配置导致正常模式无法操作、临时需要接管一台无人交接的设备。如果你手里有设备当前的配置文件备份恢复密码之后可以快速还原业务配置。5.2 进入BootROM菜单的完整步骤操作步骤按顺序来第一步用Console线连接电脑和设备打开终端软件设置好串口参数。这一步和全新设备首次登录一样通常波特率9600如果不行就试115200。第二步给设备重新上电。如果设备已经通电按电源开关关掉再打开如果是可插拔电源直接拔掉电源线再插回。第三步在上电自检的过程中眼睛盯住终端窗口。设备启动时屏幕上会闪过一些提示信息其中会有类似“Press CtrlC to enter BootROM”或者“Press CtrlB to enter Boot menu”的字样。在提示出现的瞬间按下对应的快捷键。这里有个经验按键时机很重要太早按无效太晚就进入正常的系统启动了。如果你按了快捷键没有反应等系统完全启动后再重启一次重新盯一遍提示信息。不同版本的ZXR10设备进入BootROM的快捷键可能不同以你设备屏幕上实际显示的字样为准。第四步进入BootROM菜单之后屏幕上会出现一个选项列表。常见的选项包括“启动系统”“跳过启动配置文件启动”“恢复出厂配置”“修改启动配置文件”“清除Console密码”等。不同版本的菜单项名称有差异但大致逻辑是一样的。你需要找到和密码恢复或跳过配置相关的选项选中并确认。第五步确认选择后设备会继续启动。如果选的是“跳过配置文件启动”系统会以一个没有加载历史配置的干净状态进入用户视图此时你就可以顺利登录然后在特权视图下重新设置密码并保存配置。如果选的是“清除Console密码”之类的选项操作完成后按提示重启设备会用默认的空密码登录之后再重新配置密码。5.3 重置之后马上要做的三件事密码恢复完成、设备正常登录之后我建议按顺序完成三件事缺一不可。第一件查看当前配置还在不在。在特权视图下输入show running-config。如果部分版本的“跳过配置文件”只是跳过加载、没有删除文件那么启动配置还在你只需要重新设置登录密码并保存即可。如果配置已经被清空就得走下一步了。第二件恢复业务配置。如果你有备份的配置文件可以通过TFTP或FTP服务器把它导回设备。ZXR10设备在特权视图下通常支持类似copy tftp startup-config这样的命令把备份文件从服务器下载到设备的启动配置文件位置。没有备份就只能手动重新敲一遍配置这个过程会让你深刻体会到日常备份配置的重要性。第三件重新设置强密码并保存。用configure terminal进入全局配置视图重新设置Console密码和特权模式密码。别用admin、123456这类弱口令密码长度建议不低于8位同时包含字母、数字和特殊字符。设置完成后执行保存命令再重启一次确认密码已经生效。5.4 如何避免再次陷入“密码丢失”的窘境经历过一次密码恢复之后我强烈建议你构建两层防线。第一层是制度化的把设备密码统一纳入团队的密码管理工具谁接手设备都能找到当前有效的账号密码。第二层是技术化的如果公司有认证服务器尽量使用RADIUS或TACACS统一认证设备本地只留一个Break local认证的应急账号日常登录全部走统一认证这样即使某个人的账号失效也不会影响其他人登录设备。另外每次配置变更完成之后都导出一份配置文件存档。配置备份这一件事平时花费的不过是一分钟关键时刻能省下整个业务中断的代价。6. 日常维护的检查命令与一套可复用的排错思路配置完成上线之后真正的日常工作是维护和排错。ZXR10的排错命令并不复杂难的是建立一套清晰的排查逻辑。这一节我按“从下往上”的顺序梳理物理层、二层、三层、应用层。6.1 接口层先确认物理和协议都up排错第一步永远是看接口状态。show interface命令会显示所有接口的物理状态、协议状态、错误计数、收发流量等关键信息。物理状态和协议状态都显示up才说明链路是正常的。如果看到物理状态up、协议状态down最常见的诱因是两端VLAN配置不匹配、Trunk封装不一致、或者光模块型号不匹配。如果物理状态本身就是down优先检查网线是否松动、光模块是否插稳、光纤收发是否接反。我遇到过无数次“设备配置完全正确但就是不通”的案例最后都栽在物理层上。6.2 二层层查MAC和VLAN表判断数据帧有没有送到该去的地方二层排错的核心是MAC地址表。show mac address-table可以查看交换机学习到的所有MAC地址以及对应的VLAN和接口。排查方法很简单在PC上ping网关然后在交换机上查网关对应的MAC地址是否出现在预期接口下。举个例子PC连在1口网段是VLAN 10如果PC ping网关不通但show mac address-table里能看到PC的MAC出现在gigabitethernet0/1下说明PC到交换机的二层链路是通的问题大概率出在VLAN配置或者三层上。如果MAC表里根本学不到PC的MAC说明PC发出的数据帧没有到达交换机先查网线、查PC网卡状态、查接口是否被shutdown。6.3 三层层路由表和ARP表是核心三层排错的核心是路由表和ARP表。show ip route查看路由表确认设备有没有到达目标网段的路由条目。show arp查看ARP缓存确认三层设备能不能解析到下一跳的MAC地址。一个典型的排查场景内网PC能ping通网关但上不了外网。排查顺序是先在路由器上show ip route确认有没有默认路由没有就补ip route 0.0.0.0 0.0.0.0 运营商网关有默认路由还不通接着查NAT配置show ip nat translations看看内网地址有没有做转换NAT也有转换但还是不通那就要查运营商侧链路了。这套排查流程我用了很多年几乎每次都能在10分钟之内定位问题所在。6.4 日志是排错最好的辅助工具ZXR10设备会记录操作日志、接口状态变化、安全事件等大量信息。show log可以查看当前设备日志缓冲区里的记录。生产环境中我建议配置一台syslog日志服务器让设备把所有日志实时发送到日志服务器保存这样当设备出问题时即使现场日志已经被新日志覆盖也能从服务器上找到历史记录。配置日志服务器的命令逻辑大致是在全局配置下设置日志主机地址把日志级别调到informational或debug级别。不同版本可能命令不同用问号确认即可。日志在排查某些“间歇性故障”时尤其有用比如接口反复up/down、频繁的端口安全告警这些时有时无的问题只看当前状态是看不出来的必须靠历史日志还原现场。最后一句话送给所有刚接触ZXR10的同行中兴设备的CLI没有传说中那么难它只是跟思科和华为不完全一样而已。你不需要死记硬背命令学会用问号、Tab和缩写配合一套从物理层到应用层的排查思路再复杂的网络问题也能一步步拆解掉。我自己在操作中最深的体会是配置之前先规划配置之后马上保存并导出设备密码统一管理这三点做到位运维的幸福感会提升非常多。本文还有配套的精品资源点击获取 中兴ZXR10交换机路由器配置实战：从VLAN到NAT完整指南
简介在园区网和企业出口场景中交换机的VLAN划分与路由器的NAT转换是网络工程师最常打交道的两类基础配置。理解其底层原理——二层隔离如何通过VLAN实现、三层网关如何让不同网段互通、私网地址又如何借助NAT和端口复用访问公网是构建稳定网络的关键。掌握了CLI视图切换、命令补全与配置保存等基本功再结合Access口、Trunk口、SVI以及静态路由等典型配置场景就能快速上手实际设备。无论是配置一台全新的三层交换机还是排查内网无法访问外网的问题一套从物理层到应用层的排错思路都必不可少。本文以中兴ZXR10系列为例完整演示从设备登录、VLAN配置、NAT及静态路由部署到密码恢复与日常维护的实操过程为运维人员提供可直接落地的配置参考。1. 从一台二手5950说起先认清ZXR10的设备和登录方式前阵子帮一个朋友整理一批从某机房退下来的网络设备里面有两台中兴ZXR10 5950交换机外加一台ZXR10路由器。刚拿到手的时候第一反应是有点头疼——机箱上贴着机房资产标签Console密码被改过完全登录不进去网上搜到的配置手册要么版本对不上要么只有零零散散的几条命令。折腾了一整天之后我发现ZXR10这个系列其实没有想象中那么难搞配置逻辑和思科、华为的设备有很多相通的地方真正难的是你手上没有一份能够完整串起来的配置手册。这篇就把我这次从头到尾的实操过程整理出来从设备登录、CLI命令习惯、交换机VLAN配置、路由器NAT和静态路由再到密码恢复和日常排错一条链路讲清楚。这份手册适合两类人看一类是刚接手ZXR10设备、之前只玩过思科或华为的网工另一类是公司买了几台中兴设备、被安排去配置的运维新人。文章里我不会只贴命令会把每个配置步骤背后的理由说清楚方便你遇到问题的时候自己判断该往哪个方向查。1.1 中兴路由器和交换机的产品线怎么认先花一分钟把ZXR10的设备认个门。中兴的企业网设备型号基本可以按数字大小大致判断定位越大的数字通常对应越高的档次。29xx、39xx这类多用于小型接入场景59xx系列是最常见的园区网三层交换机像5928、5950、5960端口形态和转发能力逐级提升。我这次用的5950在网络架构里属于汇聚或者接入层网上搜配置资料最多的也是这个系列。再往上就是框式设备比如5990或者更大档位通常出现在核心机房不过配置命令的基础逻辑是一样的。路由器这边ZXR10的路由器产品线同样覆盖从低端接入到高端骨干型号命名同样有规律。对大多数企业场景来说出口路由器要处理的核心事情就三件接口IP配置、NAT地址转换、静态路由指向。不要把路由器想象得多么玄乎它本质上就是一台负责“把内网流量送到外网再把外网回来的流量分给内网”的专用设备。1.2 三种登录方式Console是底线Telnet和SSH看场景配置ZXR10设备最先要解决的就是登录问题。登录方式基本分三种Console本地登录、Telnet/SSH远程登录、Web网管界面。我推荐的优先级是只要能远程就SSH远程不了就ConsoleWeb界面只在查看少量状态时用做复杂配置效率太低。Console登录是所有方式的兜底方案尤其是设备没有管理IP、密码丢失、或者配置彻底混乱导致远程进不去的时候只有Console线能救你。接线方式是Console线一端插设备前面板的Console口通常是RJ45形状另一端接电脑的串口没有串口的笔记本就用USB转串口线。打开SecureCRT或者XShell之后新建一个串口会话最关键的参数是波特率中兴设备多数情况下默认9600数据位8、停止位1、无校验、无流控。如果屏幕上一片空白或者全是乱码先别急着怀疑接线把波特率换成115200再试一次两个值之间来回切换基本能覆盖大部分ZXR10设备的默认设置。Telnet和SSH属于远程登录方式前提是设备已经配置了管理IP地址而且网络能通。Telnet的所有明文信息都会在网络上传送包括密码所以只要有SSH可用就不要用Telnet。Web网管适合不太熟悉命令行的人做日常状态查看类似家用路由器那种图形界面但资源占用较高生产环境下不建议依赖它做批量操作。登录方式首次登录是否可用前置条件适用场景Console可用Console线、串口终端软件初始配置、密码恢复、排查故障Telnet/SSH需先配置管理IP网络可达、开启对应服务日常维护、远程操作Web需先配置管理IP浏览器、开启HTTP/HTTPS服务状态查看、简单配置1.3 登录之后第一件事先看版本再动手不管是通过哪种方式登录成功我建议你做的第一件事不是急着敲配置而是先看设备版本。输入show version或者display version把设备型号、软件版本号、运行时间这些信息记下来。原因很简单ZXR10不同版本之间的命令差异真的很大有些版本支持的命令在另一个版本里就变成了别的写法你从网上搜到一份配置文件照着敲结果发现提示符下面全是“% Unknown command”大概率就是版本不匹配。看版本还有一个好处就是判断设备是否到了需要升级的程度。运行时间特别长、版本号特别老的设备建议在业务窗口期规划升级到稳定版本再进行配置避免在配置过程中触发某些已被修复的BUG。这属于经验之谈我见过不止一次因为版本太老导致VLAN接口起不来的情况。2. 配置前必须搞懂的CLI命令习惯视图、补全与保存ZXR10的命令行体系用熟了之后你会发现它跟思科的IOS风格非常接近视图层级的设计逻辑也类似。只要你能在脑子里建立一张“视图地图”操作起来就不会迷路。2.1 视图层级就像文件夹的层层嵌套ZXR10的CLI大概分成这样几个层级用户视图、特权视图、全局配置视图、接口视图和子视图。用户视图一般就是设备登录进去看到的界面提示符类似ZXR10这个状态下能执行的操作非常有限只能看一些基本信息。输入enable之后进入特权视图提示符变成ZXR10#可以查看全部配置、执行重启等更高级的操作。真正开始改动配置需要输入configure terminal进入全局配置视图此时提示符变成ZXR10(config)#在这个视图下可以创建VLAN、配置全局参数、写路由条目。如果要对某个接口做设置需要再进入接口视图比如interface gigabitethernet0/1提示符变成类似ZXR10(config-if)#的样子。记住一条规则配置命令是分层生效的你在哪个视图就只能操作哪个区域的配置。想要退出回到上一层输入exit想要一步退回到特权视图多数情况下输入end。每个版本支持的具体退出命令可能略有差别所以拿到设备之后先用问号确认这是最稳妥的做法。2.2 问号、Tab和缩写是CLI的三大法宝我教过很多人配中兴设备发现新手最容易犯的毛病是“硬背命令”。其实CLI设计了一大堆辅助手段完全不用死记硬背。第一个法宝是问号。你在任何视图下输入一个问号设备会把当前可用的所有命令列出来。比如刚进入全局配置视图不知道能干什么就输入一个问号屏幕会列出所有可用命令清单。如果只想查某个命令的子参数比如想知道interface命令后面跟什么就输入interface ?设备会告诉你下一步该填的内容。这个习惯一旦养成遇到不认识的命令就不会抓瞎了。第二个法宝是Tab键自动补全。输入了命令开头几个字母按Tab键设备会自动把剩余部分补全。比如输入int然后按Tab通常会补全成interface。如果补全不出来说明敲的缩写有歧义设备会提示你多输几个字母。第三个法宝是命令缩写。ZXR10的CLI支持与思科类似的缩写方式只要缩写唯一能识别即可。比如show running-config可以敲成show runconfigure terminal可以敲成conf t。熟练掌握缩写能大幅提升输入效率但有个前提——你必须清楚这个缩写对应的是哪条命令否则容易把自己绕晕。我的习惯是配置阶段先敲全命令确保没有歧义等熟悉了再上缩写。2.3 配置保存不保存等于白配这是整篇配置手册里最重要的一条建议也是新手最容易踩的坑。ZXR10的CLI默认修改的是运行配置一旦设备重启运行配置全部丢失恢复成启动配置的状态。换句话说你在设备上敲了一下午命令如果最后没有保存一次断电就全部归零。保存命令在不同版本里可能有差异常见的是write和copy running-config startup-config。我建议用Tab补全确认一下当前版本支持哪种写法。配置完之后我习惯做一次“三步检查”第一步show running-config确认所有配置都在第二步执行保存命令第三步在特权视图下用show startup-config对比一下保存结果是否和运行配置一致。这套流程看起来啰嗦但能杜绝“配置消失”这种最尴尬的事故。还有一个值得养成的习惯是配置备份。设备配置本身是纯文本完全可以导出来保存。最简单的方式是SecureCRT里开启会话日志然后执行show running-config把输出内容保存到本地文件按月归档。设备出问题的时候手里有一份最近的配置文件恢复时间能缩短一个数量级。3. 交换机配置实战从一台裸机到VLAN互通这一节我们直接上手讲一个完整的交换机配置流程。场景设定是一台ZXR10 5950交换机24个千兆电口需要把1到8口划给办公网VLAN 109到16口划给服务器区VLAN 2023口作为上联口对接汇聚交换机实现两个业务网段的二层隔离和三层互通。3.1 先做业务规划再敲命令顺序颠倒容易返工拿到交换机别急着上去乱配先花几分钟把网络规划写在纸上。哪个VLAN对应哪个业务网段、网关IP放在哪台设备、哪些接口划分到哪个VLAN、哪些接口需要做Trunk这几件事想清楚了配置就是填空题。以这个场景为例规划如下VLAN 10办公网网段10.0.10.0/24网关10.0.10.1VLAN 20服务器区网段10.0.20.0/24网关10.0.20.11-8口划入VLAN 109-16口划入VLAN 2023口作为上联口以Trunk模式透传VLAN 10和VLAN 20网关的规划要特别注意。如果这台5950是三层交换机它可以同时承担两个VLAN的网关角色VLAN间流量走设备内部三层转发如果它只是二层设备网关只能放在上一级路由器或核心交换机上。我这次配的5950是三层交换机所以直接用它做网关演示。3.2 创建VLAN和Access端口进入全局配置视图先创建两个VLAN并起名字方便识别configure terminal vlan 10 name office exit vlan 20 name server exitVLAN创建完成之后把业务口划入对应的VLAN。以1到8口为例需要逐个接口配置进入接口视图后设置接口工作模式为Access再指定默认VLANinterface gigabitethernet0/1 switchport mode access switchport access vlan 10 no shutdown exit这里的逻辑是Access口通常连接终端设备PC、打印机、服务器它只能属于一个VLAN收到不带VLAN标签的数据帧时打上该接口的默认VLAN标签。把接口模式必须先设成access再指定vlan顺序反了可能会报错。9到16口用同样的方式划入VLAN 20。这里有个细节要提醒部分中兴交换机的接口默认可能处于shutdown状态所以每条接口配置最后我都习惯加一句no shutdown确保接口能正常协商起来。如果配完之后接口状态还是down优先查物理链路和两端光模块或网线。3.3 上联口Trunk的放行逻辑上联口不能再用Access模式因为它要同时承载VLAN 10和VLAN 20的流量需要配置为Trunk口。进入23口interface gigabitethernet0/23 switchport mode trunk switchport trunk allowed vlan 10,20 no shutdown exit有一点要理解透彻Trunk口允许哪些VLAN通过是通过allowed vlan列表控制的。这里我明确列出10和20没有写all目的是防止其他VLAN的广播和未知单播流量穿越链路。如果你遇到“交换机A上VLAN 10能通VLAN 20不通”这种问题十有八九是Trunk对端只放行了VLAN 10忘了放行VLAN 20。查这类问题的时候两边交换机的trunk配置一定要对照着看不要只看一端。还有一个容易忽略的点是对端设备的VLAN处理方式。如果对端是思科或者华为交换机要对齐Trunk的默认行为特别是Native VLAN缺省VLAN的差异。两边默认VLAN不一致可能导致部分流量被错误标记出现“能通但时断时续”的诡异现象。3.4 三层接口让VLAN之间的流量跑起来二层隔离做好之后办公网和服务器区之间默认是不通的因为二层广播域被VLAN隔开了。想让他们互通需要在三层交换机上给每个VLAN创建虚拟三层接口通常叫SVISwitch Virtual Interface并配置IP地址作为该网段的网关interface vlan 10 ip address 10.0.10.1 255.255.255.0 no shutdown exit interface vlan 20 ip address 10.0.20.1 255.255.255.0 no shutdown exit配置完这两个VLAN接口之后PC的网关分别指向10.0.10.1和10.0.20.1办公网和服务器区就能通过交换机内部三层转发实现互通。原理其实很简单终端发出的数据帧目的MAC是网关MAC交换机收到后剥离二层帧头根据目的IP查询路由表确认目的网段是VLAN 20再从VLAN 20的网关接口转发出去。整个过程在设备内部完成不需要经过外部路由器。3.5 新手最容易在VLAN配置上犯的三个错误第一个错误是创建了VLAN但没把接口划进去等于白配。排查时用show vlan确认接口所属VLAN。第二个错误是Access口和Trunk口搞混表现为下联设备上不了网但上联口状态正常。第三个错误是配置了三层接口却忘了no shutdown导致VLAN接口一直是down网关ping不通。这三个坑我基本上每帮人排查一次就能遇到一个建议你自己配置的时候提前检查。4. 路由器配置实战NAT、静态路由与内外网打通交换机的二层三层都通了接下来解决的是“内网怎么上外网”的问题。这一节以一台ZXR10路由器作为出口设备演示从接口IP配置到NAT转换、再到静态路由的完整链路。4.1 接口规划谁当外网口谁当内网口路由器的角色定位是“内外网交界的门卫”。假设运营商给你分配了一个公网IP段比如202.100.10.0/30其中202.100.10.1是运营商侧网关地址202.100.10.2是路由器WAN口地址。内网侧使用10.0.0.0/24网段路由器LAN口地址是10.0.0.254。网络拓扑里路由器LAN口下接的就是上一节的5950交换机。先把两个接口的基础IP配好configure terminal interface gigabitethernet0/1 ip address 202.100.10.2 255.255.255.252 no shutdown exit interface gigabitethernet0/2 ip address 10.0.0.254 255.255.255.0 no shutdown exit这里WAN口用/30掩码是因为运营商专线场景下通常只分配4个IP地址其中网络地址和广播地址不可用实际可用的是两个IP一个给运营商网关一个给你。公网IP规划要严格照运营商给的文档填不要自己想当然。4.2 NAT配置把内网私网地址翻译成公网地址内网的10.0.0.0/24是私有地址在公网上不可路由所以必须通过NAT转换把内网流量源地址替换成WAN口的公网地址。ZXR10设备的NAT配置跟思科风格很接近整体分三步第一步定义允许做NAT的内网地址范围用ACL控制access-list 1 permit 10.0.0.0 0.0.0.255第二步在接口上标记内外方向interface gigabitethernet0/1 ip nat outside exit interface gigabitethernet0/2 ip nat inside exit第三步在全局配置下启用源地址转换让匹配ACL的内网流量从WAN口出去时源地址替换为WAN口IP并开启overload端口复用也就是PATip nat inside source list 1 interface gigabitethernet0/1 overloadoverload这个词值得多说一句。没有overload的情况下一个内网IP要占用一个公网IP公网IP根本不够用。开启overload之后设备会把源IP和源端口映射成同一个公网IP下的不同端口实现几十上百台电脑共用一个公网地址上网。这就是家庭宽带和大多数企业专线能用少量公网IP带起整个内网上网的原因。如果你手上的设备版本不支持这种写法可能会使用nat outbound这类命令同样先用问号确认。中兴不同版本的NAT命令确实有些出入我遇到过一次版本升级后NAT配置语法整个变化的情况所以只要报错就先查帮助。4.3 默认路由所有不知道往哪走的流量交给运营商路由器要能把内网流量送到公网必须知道默认网关在哪。这一步用一条静态默认路由实现ip route 0.0.0.0 0.0.0.0 202.100.10.1这行的含义是目的地址是任何地址、掩码是任何掩码的流量下一跳都交给202.100.10.1也就是运营商网关。没有这条默认路由路由器即使配了NAT也不知道该把转换后的流量往哪里扔。如果内网不止一个网段而且这些网段的网关不在路由器上、而是在核心交换机上那还需要考虑回程路由的问题。简单来说核心交换机上必须有指向10.0.0.0/24网段的下一跳才可以知道怎么把外网返回的流量送回路由器。在我这个场景里5950交换机直连路由器LAN口交换机上的默认网关指向10.0.0.254即可不需要额外的静态路由。4.4 从PC到外网的一次完整验证配置全部完成之后验证链路是否通畅可以按这个顺序来第一步在路由器上ping运营商网关202.100.10.1确认物理链路和WAN口配置没问题。 第二步在内网PC上ping自己的网关10.0.0.254确认终端到路由器的二层链路正常。 第三步在PC上ping运营商网关202.100.10.1正常情况能通因为流量到了路由器之后被NAT转换源地址变成了公网地址。 第四步在PC上ping公共DNS服务器地址比如114.114.114.114通了说明NAT和默认路由都正常。 第五步用域名访问网站如果IP能通但域名打不开重点查PC的DNS配置而不是路由器。我帮人排查“电脑上不了网”的时候十个里面有六个最后卡在DNS上。路由器NAT和路由配置全都没问题就是PC的DNS被改成了乱七八糟的值导致域名解析失败。这条经验分享一下希望你能少走弯路。5. 密码恢复与重置ZXR10 5950/5990的保命技能文章开头提过我拿到这批二手ZXR10设备时遇到的最大障碍就是Console密码被改过。如果你也遇到密码丢失、设备是二手淘来的、或者前运维离职没交接清楚密码的情况这一节就是你的救命手册。前提是设备硬件和系统都是你自己的或者是你有权管理的否则不要执行恢复操作。5.1 密码恢复的适用场景与基本原理密码恢复的本质是通过Console口进入设备的BootROM菜单让设备在启动时跳过加载登录密码相关的配置或者直接恢复出厂配置。之所以这招能行是因为ZXR10这类设备在加载完整的配置文件之前还保留了一个底层的引导程序这个程序不依赖正常配置文件也不要求你输入登录口令。适用场景包括Console密码和特权模式密码全部丢失、设备被错误配置导致正常模式无法操作、临时需要接管一台无人交接的设备。如果你手里有设备当前的配置文件备份恢复密码之后可以快速还原业务配置。5.2 进入BootROM菜单的完整步骤操作步骤按顺序来第一步用Console线连接电脑和设备打开终端软件设置好串口参数。这一步和全新设备首次登录一样通常波特率9600如果不行就试115200。第二步给设备重新上电。如果设备已经通电按电源开关关掉再打开如果是可插拔电源直接拔掉电源线再插回。第三步在上电自检的过程中眼睛盯住终端窗口。设备启动时屏幕上会闪过一些提示信息其中会有类似“Press CtrlC to enter BootROM”或者“Press CtrlB to enter Boot menu”的字样。在提示出现的瞬间按下对应的快捷键。这里有个经验按键时机很重要太早按无效太晚就进入正常的系统启动了。如果你按了快捷键没有反应等系统完全启动后再重启一次重新盯一遍提示信息。不同版本的ZXR10设备进入BootROM的快捷键可能不同以你设备屏幕上实际显示的字样为准。第四步进入BootROM菜单之后屏幕上会出现一个选项列表。常见的选项包括“启动系统”“跳过启动配置文件启动”“恢复出厂配置”“修改启动配置文件”“清除Console密码”等。不同版本的菜单项名称有差异但大致逻辑是一样的。你需要找到和密码恢复或跳过配置相关的选项选中并确认。第五步确认选择后设备会继续启动。如果选的是“跳过配置文件启动”系统会以一个没有加载历史配置的干净状态进入用户视图此时你就可以顺利登录然后在特权视图下重新设置密码并保存配置。如果选的是“清除Console密码”之类的选项操作完成后按提示重启设备会用默认的空密码登录之后再重新配置密码。5.3 重置之后马上要做的三件事密码恢复完成、设备正常登录之后我建议按顺序完成三件事缺一不可。第一件查看当前配置还在不在。在特权视图下输入show running-config。如果部分版本的“跳过配置文件”只是跳过加载、没有删除文件那么启动配置还在你只需要重新设置登录密码并保存即可。如果配置已经被清空就得走下一步了。第二件恢复业务配置。如果你有备份的配置文件可以通过TFTP或FTP服务器把它导回设备。ZXR10设备在特权视图下通常支持类似copy tftp startup-config这样的命令把备份文件从服务器下载到设备的启动配置文件位置。没有备份就只能手动重新敲一遍配置这个过程会让你深刻体会到日常备份配置的重要性。第三件重新设置强密码并保存。用configure terminal进入全局配置视图重新设置Console密码和特权模式密码。别用admin、123456这类弱口令密码长度建议不低于8位同时包含字母、数字和特殊字符。设置完成后执行保存命令再重启一次确认密码已经生效。5.4 如何避免再次陷入“密码丢失”的窘境经历过一次密码恢复之后我强烈建议你构建两层防线。第一层是制度化的把设备密码统一纳入团队的密码管理工具谁接手设备都能找到当前有效的账号密码。第二层是技术化的如果公司有认证服务器尽量使用RADIUS或TACACS统一认证设备本地只留一个Break local认证的应急账号日常登录全部走统一认证这样即使某个人的账号失效也不会影响其他人登录设备。另外每次配置变更完成之后都导出一份配置文件存档。配置备份这一件事平时花费的不过是一分钟关键时刻能省下整个业务中断的代价。6. 日常维护的检查命令与一套可复用的排错思路配置完成上线之后真正的日常工作是维护和排错。ZXR10的排错命令并不复杂难的是建立一套清晰的排查逻辑。这一节我按“从下往上”的顺序梳理物理层、二层、三层、应用层。6.1 接口层先确认物理和协议都up排错第一步永远是看接口状态。show interface命令会显示所有接口的物理状态、协议状态、错误计数、收发流量等关键信息。物理状态和协议状态都显示up才说明链路是正常的。如果看到物理状态up、协议状态down最常见的诱因是两端VLAN配置不匹配、Trunk封装不一致、或者光模块型号不匹配。如果物理状态本身就是down优先检查网线是否松动、光模块是否插稳、光纤收发是否接反。我遇到过无数次“设备配置完全正确但就是不通”的案例最后都栽在物理层上。6.2 二层层查MAC和VLAN表判断数据帧有没有送到该去的地方二层排错的核心是MAC地址表。show mac address-table可以查看交换机学习到的所有MAC地址以及对应的VLAN和接口。排查方法很简单在PC上ping网关然后在交换机上查网关对应的MAC地址是否出现在预期接口下。举个例子PC连在1口网段是VLAN 10如果PC ping网关不通但show mac address-table里能看到PC的MAC出现在gigabitethernet0/1下说明PC到交换机的二层链路是通的问题大概率出在VLAN配置或者三层上。如果MAC表里根本学不到PC的MAC说明PC发出的数据帧没有到达交换机先查网线、查PC网卡状态、查接口是否被shutdown。6.3 三层层路由表和ARP表是核心三层排错的核心是路由表和ARP表。show ip route查看路由表确认设备有没有到达目标网段的路由条目。show arp查看ARP缓存确认三层设备能不能解析到下一跳的MAC地址。一个典型的排查场景内网PC能ping通网关但上不了外网。排查顺序是先在路由器上show ip route确认有没有默认路由没有就补ip route 0.0.0.0 0.0.0.0 运营商网关有默认路由还不通接着查NAT配置show ip nat translations看看内网地址有没有做转换NAT也有转换但还是不通那就要查运营商侧链路了。这套排查流程我用了很多年几乎每次都能在10分钟之内定位问题所在。6.4 日志是排错最好的辅助工具ZXR10设备会记录操作日志、接口状态变化、安全事件等大量信息。show log可以查看当前设备日志缓冲区里的记录。生产环境中我建议配置一台syslog日志服务器让设备把所有日志实时发送到日志服务器保存这样当设备出问题时即使现场日志已经被新日志覆盖也能从服务器上找到历史记录。配置日志服务器的命令逻辑大致是在全局配置下设置日志主机地址把日志级别调到informational或debug级别。不同版本可能命令不同用问号确认即可。日志在排查某些“间歇性故障”时尤其有用比如接口反复up/down、频繁的端口安全告警这些时有时无的问题只看当前状态是看不出来的必须靠历史日志还原现场。最后一句话送给所有刚接触ZXR10的同行中兴设备的CLI没有传说中那么难它只是跟思科和华为不完全一样而已。你不需要死记硬背命令学会用问号、Tab和缩写配合一套从物理层到应用层的排查思路再复杂的网络问题也能一步步拆解掉。我自己在操作中最深的体会是配置之前先规划配置之后马上保存并导出设备密码统一管理这三点做到位运维的幸福感会提升非常多。本文还有配套的精品资源点击获取