烽火交换机配置全流程：带外网管、VLAN划分与IPTV组播

简介：面向网络运维人员与初入行的交换机组网学习者的烽火交换机实操配置文档，围绕烽火网络交换机的登录、VLAN 划分与业务开通展开，适合需要上手带外网管、超级终端调试及 IPTV、可视电话等多业务 VLAN 场景的读者参考。压缩包内为 1 个 doc 文件，体积约 567KB，以图文步骤形式组织，涵盖面板与指示灯说明、电脑 IP 与带外网管口同网段设置、超级终端 TCP/IP 连接登录、VLAN 创建与 tag/untag 端口划分、PVID 设置、端口流量控制与广播包限制关闭、igmp-snoop 组播监听开启，以及 TFTP 方式的操作系统升级流程与命令实录。已有 1855 人学习，可作为烽火 S2000 系列交换机现场调试与培训教学的对照手册，帮助读者按命令逐条核对配置结果、理解多 VLAN 业务的端口归属关系，并积累升级与排错思路。

1. 烽火交换机配置的整张地图：一条从带外网管口到 write file 的主线

烽火交换机配置这件事，命令本身不难，难的是顺序。物理连通、登录、划 VLAN、开业务增强、保存、必要时刷版本，六步是一条单行道，中间任何一环出错，后面敲得再漂亮也白费。很多人第一次上手会死记那几十条命令，其实真正决定成败的只有三处：带外网管口通不通、tag 和 untag 有没有配反、最后有没有执行 write file。这条路走顺了，S2008MA 和 S2200A 在操作上差别不大，主要是登录入口和提示符不一样。这张地图适合两类人：一类是要去现场做开局，另一类是被 IPTV 组播折腾过一轮、想回头把体系补齐。先把主干记住，再去抠命令，效率会高很多。

2. 登录链路：面板、带外网管口与超级终端

2.1 面板上真正要认的三个标识

交换机上电之后，第一件事是认带外网管口，不用先找网线。这个口的位置在面板状态指示灯的左侧，接口旁边印着 ETH 三个字母，接口下方还有一颗绿色指示灯。绿的一亮，说明这条管理链路的物理层已经通了，可以往下走；不亮，后面配 IP、开超级终端都没意义。带外口和业务口是分开的，业务口承载用户流量，带外口只走管理流量。好处是业务口被打满或者配错、甚至全断的时候，带外口仍然能把设备登进去救火，这一点在开局阶段特别值钱。

电脑那边看现象更直接。桌面右下角的小电脑图标如果一直带红色 X，或者反复弹“网络电缆被拔出”，就是物理链路没起来。先换一根网线，再换一个口，多数问题到这一步就没了。剩下的一小撮属于网卡和交换机接口自协商失败，表现是灯亮、但电脑始终显示未连接。这种时候把网卡速度和双工强制成 100M 全双工再试：Windows 下右键网卡 → 属性 → 配置 → 高级，找到“速度和双工”改成 100 Mbps 全双工。这条经验是从多台机器反复翻车里总结出来的，不是每一台都需要，但卡住的时候先试这个，能省半小时。

还有一点容易被忽略：带外网管口的地址是出厂的 192.168.2.1，它和你在业务 VLAN 里配的任何地址都不冲突，因为它是独立的管理通道。所以哪怕业务侧配得一团糟，只要带外口还在，你就还有重新登录的机会。

2.2 电脑 IP 与终端参数：一张表配齐

登录本质上是“同一网段 + 一个能发 TCP 连接的终端程序”，参数配齐一次记住，以后就不用再翻文档。

掩码为什么必须是 255.255.255.0，而不是 255.255.0.0，原因很朴素：带外口本身用的就是这个掩码，两边掩码不一致时，某些系统会认为对方不在同一网段，包发不出去，表现为能 ping 通自己、ping 不通交换机。IP 之所以用 192.168.2.2，只是为了不和带外口撞地址，2 到 254 之间任意一个都行，习惯上从 2 开始。

改完 IP 不要急着开终端，先在电脑上验证三层可达，这一步能砍掉一半“连不上”的误判：

# 确认网卡地址已经生效 ipconfig | findstr /i "IPv4" # 向带外网管口发 4 个 ICMP 包 ping 192.168.2.1 -n 4

ipconfig用来确认改的地址确实落在了插网线的那块网卡上，插错网卡、改错适配器是新手最常见的乌龙；ping -n 4里的-n表示发送次数，Windows 下是这个写法，换到别的系统是-c。如果四个包全丢，不要怀疑交换机坏了，按顺序查三件事：网线是否插在 ETH 口而不是业务口、网卡是否被强制成 100M 全双工、本机防火墙是否拦截了 ICMP。防火墙挡 ICMP 的情况很常见，ping 不通但终端能连上，也属于正常。

2.3 超级终端的两个入口：别把 TCP/IP 选成 COM 口

终端程序的路径是：开始 → 所有程序 → 附件 → 通讯 → 超级终端。第一次运行会弹一个填电话号码的界面，随意填个数字即可，它只用于拨号连接，跟这里没关系。接着填一个连接名称，随便起，接着是关键界面：“连接时使用”下拉框里要选 TCP/IP (Winsock)，地址填 192.168.2.1，端口 23，确定之后就能看到登录提示。

坑就在这个下拉框。它的默认值往往是 COM1，手快直接点确定，结果就是一片空白或者一直提示无法连接，然后开始怀疑网线、怀疑 IP、怀疑设备。走网线登录时必须是 TCP/IP (Winsock)，走配置线登录时才是 COM 口，两者不能混。S2008MA 这类支持串口配置线的型号，用配置线连上之后，在“连接时使用”里选对应的 COM 口，波特率按随设备资料给的参数设，选错波特率的表现是满屏乱码。

TCP/IP 方式和串口方式的差别值得记一下：走网口登录依赖 IP 可达，速度快、能远程做；走串口登录不依赖任何 IP 配置，设备地址配错、业务口全乱也能进，缺点是必须人到现场。开局阶段两种都备着，是最稳的做法。

2.4 登录之后：普通模式、config 模式与用户名密码

看到登录提示后依次输入用户名和密码，这台设备的默认组合是 admin / 12345。登录成功进入的是普通模式，提示符形如S2200A>，这个模式下只能看，不能改。输入config回车，提示符变成S2200A(config)#，才是真正能下配置的地方；部分型号的提示符是(config-system)#，形态不同但含义一样，都是配置模式。

这里有个习惯问题值得提前养成：每敲完一段配置，先quit回到普通模式再决定下一步，不要在配置模式里直接拔网线。有些版本在配置模式下退出登录时不会自动落盘，看上去配好了，一断电全没。模式和保存的关系，后面第 3 章还会具体说，但概念现在就该立起来：普通模式看，配置模式改，退出前存。

3. VLAN 划分：tag、untag 与 PVID 的三件套

3.1 先切业务再敲命令：三类 VLAN 的划分思路

这套配置的原始场景很典型：1 到 16 口，其中 1-2 口上联，剩下的口接三类终端。上网走 VLAN 1000，可视电话走 VLAN 2103，IPTV 走 VLAN 2104，三张网互相隔离，靠上联口统一往上送。先把这张表在纸上画出来，命令就只是把表翻译一遍，不会边敲边犹豫。

两个口都做上联，不是为了好看。一是冗余，一根线出问题另一根还能顶；二是方便下挂交换机：下挂设备的接法和上联口完全一样，把它接在 1 口或 2 口上就行。如果预计以后还要扩，可以一次多划几个上联口备用，改配置的代价比现场返工小得多。

VLAN 号选 1000、2103、2104 这类数值没有特殊含义，只要不撞上保留 VLAN、全网唯一即可。真正决定业务通不通的是端口模式和 PVID，VLAN 号本身只是个标签。

3.2 完整配置序列：从 config 到 write file

把上面那张表翻译成命令，一次敲完是这样的：

config # 进入配置模式 int vlan 1000 # 创建并进入 VLAN 1000（上网） mem 1-2 tag # 上联口 1-2 加入 VLAN 1000，tag 方式 mem 3-5 untag # 用户口 3-5 加入 VLAN 1000，untag 方式 int vlan 2103 # 创建并进入 VLAN 2103（可视电话） mem 1-2 tag # 上联口 1-2 加入 VLAN 2103，tag 方式 mem 6-9 untag # 可视电话用户口 6-9，untag 方式 int vlan 2104 # 创建并进入 VLAN 2104（IPTV） mem 1-2 tag # 上联口 1-2 加入 VLAN 2104，tag 方式 mem 10-16 untag # IPTV 用户口 10-16，untag 方式 q # 退出 VLAN 视图，回到配置模式 port 3-5 pvid 1000 # 用户口 PVID 跟随所在 VLAN port 6-9 pvid 2103 port 10-16 pvid 2104 port 1-16 flow-ctrl disable # 关闭所有端口流量控制

这段序列的逻辑是“先把口装进 VLAN，再给口定归属”。int vlan X是创建并进入该 VLAN 的视图，mem是 member 的缩写，把端口范围以 tag 或 untag 的方式加进去，q是 quit，退回上一层。三个 VLAN 各写一组，上联口反复出现三次是正常的，因为一个 tag 口可以同时属于多个 VLAN，靠帧里的标签区分；用户口则各归各的，不重叠。

port那条命令改的是端口属性而不是 VLAN 属性，所以必须在退出 VLAN 视图之后敲。PVID 的值必须和该口所属 VLAN 的编号一致，一旦错位，用户口发出的无标签帧会被归到别的 VLAN 里去，表现出来就是“配置都敲了、就是不通”，这类问题查起来最耗时间。

flow-ctrl disable的作用是关掉端口流控。流控在拥塞时会发暂停帧让对方等一下，对普通数据业务没什么感觉，对视频这类实时业务却是明显伤害，容易造成花屏和卡顿。开局阶段干脆全关，是这套文档里的默认做法。

3.3 tag、untag、PVID：三个词决定帧长什么样

这三个词是整套配置里最容易混的，混了以后现象还很像——都是“不通”。用一张表把它们分开看：

理解方式可以简化成一句话：上联口要“带标签出门”，因为对端交换机要靠标签知道这个帧属于哪个 VLAN；用户口要“撕掉标签进门”，因为普通电脑、话机、机顶盒根本不认识 802.1Q 标签，带标签过去它们直接丢包。PVID 是给 untag 口准备的兜底规则，它回答的是“这个口收到的、没有标签的帧，算哪个 VLAN 的”。

所以上联口只配 tag、不配 PVID；用户口配 untag 并配 PVID。这个分工一旦反过来——上联口做成 untag、用户口做成 tag——现象是上联侧业务全断、用户侧完全无法通信，而且不会有任何报错提示，属于典型的“配置不报错、业务全不通”。

3.4 保存、验证与扩展：write file、show vlan 与下挂交换机

配完必须保存，否则前面所有工作只活在内存里。操作是退出到普通模式后输入write file，回车之后会再问一次是否确认，再回车。看到保存完成的提示再断电，这条流程值得写进自己的检查清单。

验证用show vlan，在普通模式下敲即可，输出会列出每个 VLAN 下有哪些端口、是 tag 还是 untag，还能看到 PVID 的归属。养成“配完必看一遍”的习惯，比事后靠 ping 猜要快得多。看的时候重点核对三件事：上联口是不是三个 VLAN 里都出现了、用户口有没有串到别的 VLAN 里、PVID 和 VLAN 号是否一一对应。

扩展场景是下挂交换机。做法和上联口一样：在下挂设备上把对接口配成 tag，把它接入的 VLAN 都放行；在本台上把 1 口或 2 口当成级联口用即可。之所以建议多备几个上联口，是因为现场经常出现“临时再加一台”的情况，提前放行好端口，现场只要插线，不用再登设备改配置。

最后说一个规模化时的注意点：端口范围写法3-5、10-16是连续的，遇到不连续的端口要分开写，比如 3、5、7 三个口就得写成三条。批量命令敲错一个数字，问题会藏得很深，所以每次批量操作后都建议show vlan复核一遍。

4. 组播、限速与刷 OS：IPTV 业务的完整闭环

4.1 igmp-snoop：组播不泛洪的关键

IPTV 和可视电话能不能用，很大程度上取决于组播怎么走。交换机默认行为是把组播帧当成广播处理，向同一 VLAN 内所有端口泛洪。几十路视频流同时泛洪下去，用户口带宽瞬间被打满，现象是画面卡顿、花屏、换台慢。igmp-snoop 就是解决这个问题的：它让交换机去听主机发出的 IGMP 报告，知道哪些口真的要看某路组播，就只往那些口转发。

配置只有两行，但顺序不能反：

igmp-snoop # 进入组播监听配置视图 igmp-snoop enable # 开启 IGMP snooping 功能 quit # 退回配置模式

第一条是进入功能视图，第二条才是把功能打开。只敲第一条不敲第二条，等于进了门没开灯，功能并未生效——这是很常见的一种“我配了但没好”的原因。开启之后，换台时的组播加入、离开由交换机自己跟踪，不需要在上联口做额外静态配置。

需要提醒的是，只有 IPTV 和视频电话这类需要组播的业务才要求开这个功能，普通上网业务不用配。文档里把这组命令单独框出来写“一般业务不用配置”，就是这个意思。三条 packet-limit 命令同理，属于视频场景的加固项，不是开局必配项。

4.2 flow-ctrl 与 packet-limit：开局为什么要“关”而不是“开”

限速类命令的直觉是“数值越大限制越严”，这套设备恰好相反：参数写 0 表示关闭该项限制。对视频业务来说，广播包、未知单播、组播三类报文一旦被限，最先出问题的就是画面。

DLF 是 destination lookup failure 的缩写，指目的 MAC 还没学习到的单播帧，这类帧会被泛洪，量大了一样伤业务。三类限制全关，本质上是把“抑制泛洪”的活儿交给 igmp-snoop 去做，而不是靠端口限速硬压。

最后两条组合限制命令是有版本差异的，文档里明确写了“有的软件版本没有”。敲下去提示命令不存在，只说明这个版本的软件不支持这个选项，不代表前面那些配置没生效。很多人看到一行报错就以为整段回滚了，回头重配一遍，反而把对的改错了。

4.3 升级前的准备：TFTP 服务端与带外口

在网运行的老版本设备，开 IPTV 业务前往往需要先升级。升级的第一条硬性要求是：必须用网线插带外网管口的方式登录交换机。业务口在升级过程中可能重启、可能断链，只有带外口是独立于业务平面的。配置线可以同时接着，作为备份通道，但不能替代带外口。

服务端准备的是一个 TFTP 工具，运行起来之后按顺序做三件事。第一，点开 Security，再进 Users/rights，点 New User 新建账号，用户名和密码都设成 123，两次弹窗都填一样，点 OK 完成。第二，在 Home Directory 里填升级文件所在的目录，注意填的是目录不是文件，比如文件放在 D 盘根目录，就填D:\。第三，确认服务已经处于运行状态，别在升级中途去动它。

这三步里最容易错的是 Home Directory。填成D:\s222a.bin这种带文件名的路径，服务端会找不到目录，交换机侧的表现是下载 0 字节或者直接失败。用户名密码也要和设备侧命令里写的一致，大小写都算，输错了同样连不上。

4.4 ftp get 与 upgrade os：把回显读明白

在配置模式下，先取文件再执行升级，两条命令缺一不可：

# 从 TFTP 服务端把镜像取到设备本地 ftp get 192.168.2.22 123 123 d:\s222a.bin # 确认取到之后再执行升级，注意擦写阶段绝对不能断电 upgrade os

ftp get后面的四个参数依次是：服务端 IP（这里是电脑的地址，必须和带外口在同一网段）、用户名、密码、镜像文件在服务端的路径。下载过程中会滚动打印字节数，0、102248、204648 一路往上加，看着数字涨就是在正常传输，卡在 0 不动基本就是服务端目录或账号不对。传完之后会提示If you want to update system, use "upgrade" command!，说明文件已经落到本地。

然后敲upgrade os，系统会弹一句警告并询问是否继续，默认是 y，回车即可。接下来是两段明显的回显：先是擦除 flash，从 0% 走到 95%，打印system flash erase complete；擦除完成后进入写镜像阶段，一串箭头滚动，最后一句Write image to the flash Finished加OK，才算真正完成。

整个回显里最该盯的是擦除阶段。这时候旧系统已经被抹掉、新系统还没写进去，断电就是彻底的变砖，只能返厂。所以升级前确认供电稳定、确认没人会去拔插头，比命令本身重要得多。写完之后设备会重启，重新用带外口登录，show vlan看一遍配置是否还在，再决定要不要重新下配置。

5. 易错点：五条最容易漏的配置细节

5.1 上联口漏了 tag，VLAN 在上联处断掉

易漏点：三个 VLAN 里都写了mem 1-2 tag，但只写了一个或两个，剩下那个 VLAN 的上联口没放行。

为什么漏：上联口在配置里要重复出现三次，敲到第二个、第三个 VLAN 时，注意力已经转移到用户口范围上，很自然就把上联那行跳过去了。而且设备不会因为少放行一个 VLAN 就报错，配置照常接受。

怎么补：配完立刻show vlan，逐个 VLAN 看成员列表里有没有 1-2 口，三个都要有。也可以反过来数：执行了几次mem 1-2 tag，就应该等于业务 VLAN 的个数。这条我一般放在保存之前做，顺序是“配完 → show vlan → write file”。

5.2 PVID 没跟着 VLAN 改，用户口方向错乱

易漏点：mem把口加进 VLAN 了，但port x pvid那几行忘了敲，或者端口范围写错，比如 10-16 写成 10-15。

为什么漏：mem和pvid在命令视图里是分开的两步，中间隔着一个q，视觉上不连贯，容易被当成可选项。加上 PVID 配错不会报错，只是不通，排查时容易先怀疑网线。

怎么补：把 PVID 和 VLAN 号当成一对来检查，show vlan输出里两个值必须完全一致。范围写错的情况，靠人眼数端口很容易错，建议直接对着面板数一遍端口数量，再用show vlan核对每个口的归属，两边对得上才算完。

5.3 配置敲完直接断电，没执行 write file

易漏点：配置全部生效、业务也通了，收工拔电走人，第二天开机发现配置全空。

为什么漏：配置模式下所有改动都在内存里即刻生效，业务当场就通，给人“已经完成了”的错觉。文档里write file那一步在最后，敲了一长串命令之后最容易被跳过。

怎么补：把write file当成流程的固定收尾，就像写完文档要按保存。执行后会再问一次确认，需要再回车一次，很多人只敲了第一遍就走了。稳妥做法是保存后重新登录一次，show vlan看配置还在不在，确认落盘成功再离场。

5.4 升级时走业务口登录，或者 TFTP 目录填成文件路径

易漏点：图省事从业务网段登录设备做升级，或者服务端 Home Directory 填了带文件名的完整路径。

为什么漏：日常配置走哪个口都能干活，习惯成自然；TFTP 工具的目录框看起来就像“选择文件”，直觉会往里填文件名。两个错误都不会在开始时立刻暴露，往往卡在下载 0 字节那一步。

怎么补：升级这一动作单独定规矩——只走带外网管口，配置线可以并联但不替代；服务端目录只填到文件夹一层，比如D:\。真卡住了，按“服务端 IP 是否同网段 → 账号密码是否一致 → 目录层级是否多写了一层”这个顺序查，通常三步内能定位。

5.5 组合限制命令报错，误判整段配置没生效

易漏点：敲packet-limit b-m或b-m-f时提示命令不支持，于是认为前面关限速的配置也白做了，回头重配一遍。

为什么漏：控制台只显示“这条命令不认识”，不会说明“其余命令已生效”。加上连续几条限速命令长得像，人容易把一行报错理解成一整段失败。

怎么补：分清“命令不支持”和“配置失败”是两件事。前者是软件版本没有这个选项，后者是参数写错或视图不对。遇到报错先看提示符还在不在配置模式，再用查看类命令确认前面几条限制是否已经关闭。文档里对这两条命令特意标注了版本差异，就是提醒不要把它当必配项。

6. 复习清单：开工前十分钟该走一遍的顺序

把这套流程压缩成一张可执行的清单，比背命令管用。下面这张表按阶段排，每一行都对应一个能验证的动作，做完打勾，不留悬念。

清单之外，还有三个判断性的经验值得记在心里。第一，所有“配了不通”的问题，先分清楚是链路问题还是归属问题：链路问题看灯和 ping，归属问题看show vlan里的 tag/untag 和 PVID，两类现象很像但排查路径完全不同。第二，凡是批量端口的命令，范围一定要对着面板数，3-5、6-9、10-16这种分段本身就是自检点，段与段之间不该重叠也不该留空。第三，升级和日常配置是两套规矩，前者只认带外口、只认稳定供电，别拿日常那套顺手就上的习惯去套。

我自己的教训来自一次开 IPTV 的现场：三个 VLAN 都配好了，业务也通了，唯独 10-16 那段的 PVID 少敲了一行，机顶盒能拿到地址却看不了直播，来回换了三根网线、两台机顶盒才发现是端口归属的问题。从那以后我每次收工前都强制走一遍“show vlan 逐个 VLAN 核对 + write file + 重新登录复查”，三步不超过五分钟，但把返工的概率压到了很低。希望帮到你。

本文还有配套的精品资源，点击获取