简介：这份子午线交换机配置手册面向网络运维人员与备考网络技术认证的学习者，用于解决设备开局、日常维护与远程管理中缺少系统化参考文档的问题。压缩包内共1个PDF文件，约314KB，内容以配置命令与操作说明为主，便于随身查阅和打印学习。手册目录结构清晰，涵盖系统管理配置、配置终端、SSH配置命令等模块，具体包括配置文件管理、文件系统命令、手工从某一文件启动、软件更新与配置更新、使用FTP进行软件和配置更新、配置以太网IP地址、配置缺省路由、利用PING测试网络连通状态，以及VTY配置概述、线路与接口关系、监视维护和配置举例、SSH server与SSH client实现特性等内容。已有308人学习，适合需要快速掌握子午线交换机基础配置、排查网络连通问题或补充命令细节的读者参考使用。
1. 子午线交换机配置手册：从开箱到 SSH 加固的完整路径
手里拿到一台子午线交换机，没有图形界面，没有一键部署脚本，只有一根 Console 线和一份 PDF 手册——这是很多网络工程师入行时都经历过的场景。这份《子午线交换机配置手册（参考）》就是为这类场景准备的：它不讲抽象理论，直接从文件系统管理、TFTP/FTP 软件更新、以太网 IP 配置、VTY 终端设置一路写到 SSH 加密登录的完整配置链路。适合谁？适合需要快速上手该系列交换机、完成基础网络接入和安全加固的一线运维和集成人员。如果你正在找一份能照着敲命令、能排错、能理解每一步背后逻辑的实操参考，这份手册的含金量在于它把“监控态”和“配置态”两条命令路径分得很清楚，而这恰恰是新手最容易翻车的地方。
2. 文件系统与软件更新：TFTP 和 FTP 两条路怎么选
2.1 Flash 文件系统的操作边界
子午线交换机的文件系统跑在 Flash 上，手册里明确写了一条硬约束：文件名最长 20 个字符，且不区分大小写。这个限制看起来不起眼，但在实际批量部署时经常出问题——比如你用脚本自动生成配置文件名switch-core-01-backup-config-2024.cfg，长度直接超限，系统会静默截断或者报错，排查起来很费时间。
文件系统的基本命令集不复杂，但有几个操作需要留意：
# 查看当前目录下的所有文件 dir # 查看以 "switch" 开头的文件 dir switch # 显示文件内容，超过一屏会自动分页 more startup-config # 查看当前路径 pwd # 建立目录 md backup # 删除文件 delete old-config.bin这里有个血泪经验：format命令会清空整个文件系统，包括系统软件镜像和配置文件。在执行format之前，务必确认你已经通过 TFTP 或 FTP 把switch.bin和startup-config备份到了外部服务器。我见过有人手快敲了format，结果设备重启后直接进入监控态，什么配置都没了，只能重新灌版本。
2.2 手工从指定文件启动
当 Flash 里存了多个软件版本时，可以通过boot命令指定从哪个文件启动：
# 从 flash 中的 switch.bin 启动 monitor# boot flash switch.bin # 从 CF 卡中的 switch.bin 启动 monitor# boot cf switch.bin参数说明：flash表示文件存储在板载闪存中，cf表示存储在 CF 卡中。local_filename是必填项，不能省略。这个命令在版本回退场景下特别有用——比如新版本跑了一段时间发现某个功能不稳定，想切回旧版本，只要旧版本的 bin 文件还在 Flash 里，直接boot过去就行，不需要重新上传。
2.3 TFTP 更新软件和配置
TFTP 是最常用的更新方式，因为它简单、无需认证、在隔离的管理网络中足够可靠。操作分两步：先进入监控态，然后执行copy命令。
# 从 TFTP 服务器拷贝软件到 flash monitor# copy tftp flash # 系统会依次提示： # Source file name[]? main.bin # Remote-server ip address[]? 192.168.20.1 # Destination file name[main.bin]? switch.bin # please wait ... # TFTP: successfully receive 3377 blocks, 1728902 bytes逻辑说明：copy tftp flash告诉系统从 TFTP 服务器拉文件到 Flash。系统交互式地询问源文件名、服务器 IP、目标文件名。传输完成后会显示接收到的块数和字节数，这两个数字可以用来核对文件是否完整——如果块数明显偏少，说明传输中断了，需要重传。
配置文件的更新路径类似，只是目标文件名固定为startup-config：
monitor# copy tftp flash startup-config注意：更新配置文件后不会立即生效，需要重启交换机或者手动加载配置。我一般会先more startup-config确认内容无误，再执行重启。
2.4 FTP 更新的参数细节
FTP 比 TFTP 多了一层认证，适合在需要权限控制的场景下使用。命令格式更灵活，支持在一条命令里写全所有参数：
# 交互式方式 switch# copy ftp flash # 提示输入用户名、密码、源文件名、服务器 IP、目标文件名 # 一行式写法 switch# copy ftp://admin:password@192.168.20.1/main.bin flash:switch.bin参数说明：login-name和login-password如果不指定，系统会交互式提示。blksize是数据传输块大小，默认 512 字节，手册里特别提到“可以在绝大多数网络中取得较高的运行效率”。如果你在跨广域网的链路上传大文件，可以适当调大这个值，但不要超过链路 MTU 太多，否则分片反而拖慢速度。active和passive指定 FTP 连接模式，默认是被动模式，如果服务器端有防火墙限制，可能需要切到主动模式。
手册里还提了一个容易被忽略的点：当 FTP 服务器无法访问时，TCP 超时默认是 75 秒，等待时间较长。可以通过全局命令ip tcp synwait-time修改，但手册明确写了“不建议使用”——因为改短了可能导致正常连接也被误断。我的做法是：如果 FTP 服务器经常连不上，先查网络连通性，而不是去调 TCP 超时。
3. 基础网络配置：IP、路由与连通性验证
3.1 以太网 IP 地址配置
交换机出厂默认的以太网 IP 是192.168.0.1，掩码255.255.255.0。在监控态下修改：
monitor# ip address 192.168.1.1 255.255.255.0参数说明：ip_addr是新的以太网 IP 地址，net_mask是子网掩码。这个命令只影响管理口的 IP，不影响业务端口的转发。配置完成后，同一网段的主机就能通过这个 IP 访问交换机的管理界面（Telnet/SSH/Web）。
这里有个坑：如果你修改了 IP 地址，但你的管理终端还在旧网段，连接会立刻断开。所以要么用 Console 线操作，要么先把管理终端改到新网段再改交换机 IP。我一般会先用 Console 线改好 IP，确认能 ping 通之后，再切到 Telnet/SSH 做后续配置。
3.2 缺省路由配置
交换机只能配一条缺省路由，命令如下：
monitor# ip route default 192.168.1.1参数说明：ip_addr是网关的 IP 地址。这条路由的作用是：当交换机需要访问非直连网段时，把流量丢给网关。比如你要从交换机 TFTP 下载文件，TFTP 服务器在另一个网段，没有缺省路由就传不了。
注意：只能配一条缺省路由，配第二条会覆盖第一条。如果你的网络有多个出口，需要在交换机上配静态明细路由，而不是多条缺省路由。
3.3 PING 测试网络连通性
monitor# ping 192.168.20.100 # 输出： # PING 192.168.20.100: 56 data bytes # 64 bytes from 192.168.20.100: icmp_seq=0. time=0. ms # 64 bytes from 192.168.20.100: icmp_seq=1. time=0. ms # 64 bytes from 192.168.20.100: icmp_seq=2. time=0. ms # 64 bytes from 192.168.20.100: icmp_seq=3. time=0. ms # ----192.168.20.100 PING Statistics---- # 4 packets transmitted, 4 packets received, 0% packet loss # round-trip (ms) min/avg/max = 0/0/0逻辑说明：ping命令发送 4 个 ICMP 包，显示每个包的往返时间。最后一行统计信息里，packet loss为 0% 表示链路正常。如果丢包率高或者全部超时，先检查 IP 地址和掩码是否配错，再检查物理链路和 VLAN 划分。
我一般会先用ping测网关，再测 TFTP 服务器，最后测远端管理主机。这样能快速定位是本地配置问题还是网络路径问题。
4. VTY 终端配置：从 Telnet 到 SSH 的安全演进
4.1 VTY 线路的基本概念
子午线交换机有四类线路：控制台（CON/CTY）、辅助（AUX）、异步（ASYNC）和虚拟终端（VTY）。VTY 线路用于 Telnet、SSH、HTTP 等远程访问，编号从 0 到 31，共 32 条。每条 VTY 线路可以独立配置参数，但通常我们会批量配置。
线路和接口的关系：当一个用户通过 VTY 线路连接到系统时，实际上是连接到了某个同步接口（如以太网口）上的虚拟端口。一个接口可以承载多个虚拟端口，所以多个 Telnet 会话可以同时连到同一个以太网口。
4.2 VTY 配置示例：取消分屏限制
手册里给了一个很实用的例子——取消所有 VTY 的每屏输出行数限制：
Switch_config# line vty 0 31 Switch_config_line# length 0逻辑说明：line vty 0 31进入 VTY 线路配置模式，覆盖 0 到 31 所有线路。length 0表示每屏输出行数不限制，这样show running-config之类的长输出不会出现--More--提示，适合脚本自动化采集配置。
参数说明：length的值范围通常是 0 到 512，0 表示不分页。如果你希望保留分页但调整每屏行数，可以设成 24 或 48。我一般会在自动化运维场景下设成 0，人工操作时保留默认分页，避免输出刷屏太快看不清。
4.3 SSH 配置：认证、访问控制与密钥保存
SSH 是 Telnet 的安全替代方案，支持 des、3des 和 blowfish 加密算法，SSH 版本 1.5，支持 shell 和 sftp 应用。配置 SSH 需要几步：
第一步，配置认证方法列表：
Switch_config# ip sshd auth-method ssh-auth参数说明：ssh-auth是认证方法列表的名称，长度不超过 20 个字符。缺省情况下使用名为default的认证方法列表。这个列表需要提前通过 AAA 命令配好，比如aaa authentication login ssh-auth local表示使用本地用户数据库认证。
第二步，配置访问控制列表：
Switch_config# ip access-list standard ssh-acl permit 192.168.20.40 Switch_config# ip sshd access-class ssh-acl逻辑说明：第一行创建标准 ACL，只允许192.168.20.40这个 IP 访问。第二行把这个 ACL 应用到 SSH 服务上。这样即使其他 IP 知道用户名密码，也无法建立 SSH 连接。
第三步，配置认证超时和重试次数：
Switch_config# ip sshd timeout 120 Switch_config# ip sshd auth-retries 3 Switch_config# ip sshd silence-period 300参数说明：timeout范围 60-65535 秒，默认值手册没写，我一般设 120 秒，给用户足够的输入时间。auth-retries范围 0-65535，默认 6 次，我设成 3 次，减少暴力破解的成功率。silence-period范围 0-3600 秒，默认 60 秒，我设成 300 秒，让攻击者在多次失败后等待更长时间。
第四步，使能密钥保存和 SSH 服务：
Switch_config# ip sshd save Switch_config# ip sshd enable逻辑说明：ip sshd save把初始密钥保存到 Flash，下次启动时直接读取，避免重新计算。手册里提到，使能 SSH server 时需要生成 RSA 密钥对，这个过程大概需要一到两分钟。如果不保存密钥，每次重启都要等这一两分钟。ip sshd enable启动 SSH 服务，密钥位数固定为 1024。
完整配置示例（只允许 192.168.20.40 访问，本地认证）：
ip access-list standard ssh-acl permit 192.168.20.40 aaa authentication login ssh-auth local ip sshd auth-method ssh-auth ip sshd access-class ssh-acl ip sshd timeout 120 ip sshd auth-retries 3 ip sshd silence-period 300 ip sshd save ip sshd enable这套配置敲完，SSH 服务就起来了。用show line可以查看 VTY 线路的状态，确认 SSH 会话是否正常建立。
5. 避坑与排查：那些手册没明说但一定会遇到的问题
5.1 现象：TFTP 传输到一半卡住，最后报超时
原因：TFTP 基于 UDP，没有重传机制，在丢包率高的网络中容易中断。另外，如果 TFTP 服务器和交换机之间的 MTU 不匹配，大包会被丢弃。
解决：先用ping测试到 TFTP 服务器的连通性和丢包率。如果丢包严重，换 FTP 方式。如果必须用 TFTP，把 TFTP 服务器的块大小调小（比如 512 字节），减少分片。传输完成后核对块数和字节数，不一致就重传。
5.2 现象：SSH 使能后连接不上，Telnet 却正常
原因：ACL 配置错误，把管理主机的 IP 挡在外面了。或者认证方法列表没配好，SSH 找不到可用的认证方式。
解决：先用 Console 线登录，执行show ip sshd查看 SSH 服务状态和 ACL 应用情况。检查ip access-list standard ssh-acl里的 permit 条目是否包含你的管理 IP。检查aaa authentication login是否配了对应的认证方法。如果 ACL 写错了，先删掉错误的条目再重新加。
5.3 现象：修改 IP 地址后，Telnet 立刻断开且连不上
原因：管理终端的 IP 还在旧网段，和交换机的新 IP 不在同一网段，路由不可达。
解决：用 Console 线登录，把 IP 改回旧地址，或者把管理终端改到新网段。我一般会先用 Console 线改 IP，确认能 ping 通新 IP 后，再切到 Telnet。如果必须远程改 IP，先配一个辅助 IP 或者用带外管理口。
5.4 现象：format之后设备起不来，卡在监控态
原因：format清空了 Flash 里的所有文件，包括系统软件镜像switch.bin。设备找不到可启动的镜像，只能停在监控态。
解决：在监控态下用 TFTP 或 FTP 重新上传switch.bin，然后用boot flash switch.bin启动。如果startup-config也丢了，启动后需要重新配置。所以执行format之前，务必确认已经备份了switch.bin和startup-config。
5.5 现象：SSH 使能时卡住一两分钟，以为死机了
原因：SSH server 启动时需要生成 RSA 密钥对，这个过程需要计算，大概一到两分钟。如果没有使能密钥保存功能，每次重启都会重复这个过程。
解决：提前执行ip sshd save，把密钥保存到 Flash。这样下次启动时直接从 Flash 读取，几秒钟就能完成。如果已经卡住了，耐心等一两分钟，不要断电。
6. 进阶技巧：用脚本批量采集配置与 SSH 密钥管理
6.1 批量采集配置的脚本思路
当你管理多台子午线交换机时，逐台登录采集配置效率太低。我一般会写一个简单的 Shell 脚本，通过 SSH 批量执行show running-config并保存到本地：
#!/bin/bash # 批量采集子午线交换机配置 # 依赖：sshpass（用于非交互式 SSH 密码认证） SWITCHES=("192.168.1.1" "192.168.1.2" "192.168.1.3") USER="admin" PASS="your_password" OUTPUT_DIR="./configs" mkdir -p "$OUTPUT_DIR" for ip in "${SWITCHES[@]}"; do echo "正在采集 $ip ..." sshpass -p "$PASS" ssh -o StrictHostKeyChecking=no -o ConnectTimeout=10 \ "$USER@$ip" "show running-config" > "$OUTPUT_DIR/${ip}.cfg" if [ $? -eq 0 ]; then echo "$ip 采集成功" else echo "$ip 采集失败，请检查连通性" fi done逻辑说明：脚本遍历 IP 列表，用sshpass提供密码，通过 SSH 执行show running-config，输出重定向到以 IP 命名的配置文件。StrictHostKeyChecking=no跳过首次连接的主机密钥确认，适合自动化场景。ConnectTimeout=10设置 10 秒连接超时，避免卡死。
参数说明：SWITCHES数组里填交换机的管理 IP。USER和PASS填 SSH 用户名和密码。OUTPUT_DIR是本地保存目录。如果你的环境不允许用sshpass，可以改用 SSH 密钥认证，把公钥提前部署到交换机的本地用户数据库里。
6.2 SSH 密钥保存的验证方法
使能ip sshd save之后，怎么确认密钥真的保存成功了？我的做法是：先执行ip sshd save，然后重启交换机，观察 SSH 服务启动时间。如果几秒钟就起来了，说明密钥读取成功。如果又等了一两分钟，说明保存没生效，需要检查 Flash 是否可写、空间是否足够。
另外，可以用dir命令查看 Flash 里是否多了一个密钥文件。手册里没写密钥文件的具体名字，但通常是一个.key或.rsa后缀的文件。如果你不确定，对比使能save前后的dir输出，多出来的那个文件就是密钥文件。
6.3 一个我踩过的坑：ACL 顺序问题
子午线交换机的标准 ACL 是按顺序匹配的，一旦匹配到 permit 或 deny 就停止。我一开始配 SSH 访问控制时，先写了一条deny any，再写permit 192.168.20.40，结果所有 IP 都被拒绝了——因为deny any排在最前面，所有流量都被它匹配走了。
正确的顺序是：先写 permit 条目，再写 deny 条目（如果需要）。或者干脆只写 permit 条目，默认拒绝其他所有。手册里的示例只写了permit 192.168.20.40，没有写 deny，这是对的——标准 ACL 默认拒绝未匹配的流量。
从那以后，我每次配 ACL 都强制自己先写 permit，再考虑要不要加 deny。希望这些经验能帮到你，少走一些我当年走过的弯路。
本文还有配套的精品资源，点击获取
