简介中兴路由器与交换机配置手册适配ZXR10系列设备面向企业网络运维工程师、系统集成人员及需要实操配置中兴设备的技术人员。手册系统梳理了软件配置信息、具体步骤与配置示例涵盖设备初始化、接口配置、路由协议、安全策略等关键环节安装完成后即可按章节快速定位并落地配置。整个压缩包约374.86MB内容编排适合边查边做是日常排障与项目交付中值得参考的工具资料。目前已吸引9279人浏览学习可见其在中兴设备配置场景中的实用性。对于正在部署中兴网络或准备相关认证的技术人员通过手册中的示例和流程说明能显著降低上手门槛减少试错成本。1. 从机柜设备到全网跑通ZXR10 路由器和交换机配置手册的读法在交付现场最耗时间的往往不是插线而是打开手册找不到那条命令。机柜里一台 ZXR10 路由器做出口几台 ZXR10 千兆交换机做接入厂家配置手册动辄几百页实际日常要用的命令不超过二十条。围绕中兴路由器配置手册和中兴交换机配置手册 ZXR10 这两个对象我把常用配置流程压缩成能照抄的清单从控制台连上线到配通 VLAN、路由、NAT再到验证链路和备份配置。适合刚开始接手 ZXR10 项目的集成商工程师、企业网运维以及从华为或 H3C 平台转过来的网络工程师。先说清楚示例命令以最常见 CLI 写法为准不同型号和软件版本会有出入我会在相应位置标注哪些参数需要按设备调整别把示例当标准库硬背。2. ZXR10 上线前的地基控制台连接、CLI 三态与最小配置流程2.1 用 MobaXterm 连 Console 口9600 波特率与串口参数避坑ZXR10 设备的 Console 口通常是 RJ-45 形状面板上标着 CON。随设备带的 console 线一端是 RJ-45另一端可能是 DB9 串口也可能直接是 USB。现在的笔记本基本没有串口了常见做法是 USB 转 RS-232 线优先选 FT232、CH340 这类芯片方案的线插上后装好驱动在设备管理器里能看到多出来的 COM 口常见是 COM3、COM5。远程工具方面我用 MobaXterm、SecureCRT 或 Xshell 都行新建一个 Serial 会话即可软件本身不挑。真正要命的是串口参数ZXR10 老平台默认波特率 9600部分新平台是 115200这一步错了会出现终端窗口无输出或满屏乱码。参数按下面这张速查表设置不要再东问西问串口参数值说明波特率9600老平台/ 115200新平台设备标贴或手册有写看不到就先试 9600数据位8固定停止位1固定校验None固定流控None最常见的坑选了 RTS/CTS 会导致命令发不出去按下回车窗口出现 ZXR10 提示符说明串口链路已经通了。我自己的习惯是给串口会话命名成设备 SN 加所在机柜编号比如 3F-02-ZXR10这样手头同时开三四台设备窗口时不会搞混别高估自己的记性。刚接上设备还可能出现一种情况设备已经开机跑了一段时间终端窗口空着没反应。这不一定是连接问题先敲两次回车很多平台会重新打一遍提示符如果设备在启动过程中连上去的耐心等它跑完正常会滚出完整的启动日志。看到启动日志在这些设备上也是个玄学问题有时候日志刷过去了才连上就看不到但只要有提示符就能操作。2.2 中兴 ZXR10 的 CLI 状态机从 ZXR10 到 ZXR10(config)# 的命令链ZXR10 的 CLI 风格和思科更接近从华为切过来的同事明显会别扭一阵。它的基础状态有三个用户模式 ZXR10只能看基本状态和执行部分 show特权模式 ZXR10#能看全部状态和配置也是进入配置模式的前提全局配置模式 ZXR10(config)#改配置的地方进入接口后提示符变成 ZXR10(config-if)#。命令链的走向是固定的 enable 进特权# configure terminal简写 config t进全局配置config 模式下 exit 逐级退end 直接回特权模式。这套状态切换在设备手册的前言部分一定会讲但很多人跳过去不看等到敲 show running-config 提示权限不足才发现自己在用户模式。ZXR10 支持 Tab 补全和 ? 帮助。不知道命令拼写时敲 show ? 会列出所有 show 子命令敲到一半按 Tab 会把命令补全。查手册不如现场看帮助快报错提示 incomplete command、ambiguous command 时多半是该补的参数没补或者缩写有歧义。从别的厂商切过来命令习惯要重新适应。下面这张对照表基本能覆盖日常操作操作华为/H3CZXR10类思科进入系统视图system-viewconfigure terminal查看配置display current-configurationshow running-config查看接口状态display interfaceshow interface保存配置savewrite在接口下配 IPip addressip address很多从华为或 H3C 转过来的工程师第一周都在把 display 当口头禅敲这是正常的适应两三天就好。重点不是背命令而是理解状态机和保存机制后面所有配置都离不开这两点。2.3 新机上线最小操作主机名、远程登录与保存配置拿到一台新 ZXR10我最先做的不是配接口 IP而是先落定三样基础东西主机名、远程登录口令、配置保存动作。最小操作命令如下ZXR10 enable ZXR10# configure terminal ZXR10(config)# hostname ZXR10-2952 ZXR10(config)# line vty 0 4 ZXR10(config-line)# password 7 ZTE2024 ZXR10(config-line)# login ZXR10(config-line)# exit ZXR10(config)# enable password 7 ZTE2024 ZXR10(config)# end ZXR10# writehostname 改设备名多台设备一起管理时窗口标题、日志信息里能分清是哪台line vty 0 4 配置 5 个虚拟终端通道允许网管远程登录password 后面 0 是明文、7 是密文示例里的 ZTE2024 只是演示值实际项目按客户密码策略来login 表示该通道进入时需要密码验证enable password 是进特权模式的密码最后 end 回特权模式write 把运行配置保存到启动配置。这里有个细节值得注意远程登录通道在配置后默认是 telnet 协议ZXR10 部分平台开启 SSH 要单独执行 ssh 相关命令并指定认证方式。现在设备上线基本都会要求远程管理走 SSH建议打开手册目录里的 SSH 配置章节按平台要求把 ssh version、认证用户配好。不要以为 telnet 通了就万事大吉安全审计的时候这是第一刀。还有一个我踩过的坑line vty 0 4 里如果写了 0 4表示同时支持 5 个会话有些人图省事写 line vty 0 6结果指令不报错但实际打开会话数比预期多。这类小差异平台间常有配置完 show line 能确认当前生效的会话通道范围。3. 路由器配置手册怎么用接口、默认路由、NAT 与 OSPF 的落地顺序3.1 ZXR10 路由器和交换机的职责分界先想清楚这台设备要干嘛动手前先分清楚手里这台 ZXR10 到底是路由器还是交换机。ZXR10 路由器产品线的重点在跨网段三层转发、路由协议、NAT 和访问控制端口数量不多但单口带宽高典型位置是网络出口或骨干链路ZXR10 交换机产品线侧重高密接入重点在 VLAN 划分、二层转发、端口聚合。厂家手册也按这个逻辑分册路由器手册里集中讲 routing、NAT、策略相关命令交换机手册重点讲 vlan、aggregation、port 相关命令。遇到三层交换机时边界会模糊。我的判断标准很直接这台设备上接的是终端或下级交换机主要做 VLAN 隔离和二层透传就按交换机思路配设备要做出口上网、跨园区路由就按路由器思路配。三层交换机虽然既能建 VLAN 接口又能跑路由协议但 NAT 出口这种事还是交给专用路由器更干净公网接口做在交换机上后面排障会很别扭。还有一种常见误用拿二层交换机当三层用。接入交换机上配了 VLAN 接口地址就当网关结果跨 VLAN 通信全靠额外的静态路由一条条加管理和排障都失控。ZXR10 交换机存在纯二层和三层两类型号先确认手里设备有没有路由功能别在二层设备上找 ip route 找不到就开始怀疑手册。3.2 出口路由器基本步骤接口 IP、下一跳默认路由与 NAT overload典型拓扑ZXR10 路由器放在企业出口运营商接入线挂在 WAN 口内网网关放在 LAN 口。路由器配置的基本步骤按这个顺序走不会乱先给接口配 IP再写默认路由指向运营商网关然后做 NAT 把内网网段转换出去最后保存。接口配置示例ZXR10# configure terminal ZXR10(config)# interface gei_0/2/1 ZXR10(config-if)# description WAN_Link_to_ISP ZXR10(config-if)# ip address 100.10.10.2 255.255.255.252 ZXR10(config-if)# no shutdown ZXR10(config-if)# exit ZXR10(config)# interface gei_0/3/1 ZXR10(config-if)# ip address 192.168.0.1 255.255.255.0 ZXR10(config-if)# no shutdown ZXR10(config-if)# exitgei_0/2/1 这类接口名标识槽位/板卡/端口具体编号每台设备不同敲 interface ? 能看到当前设备的接口列表不要照手册上的编号死记。description 给接口写备注后面 show interface 会直接显示上联口写明对端是谁半年后再看配置不会一脸茫然。no shutdown 打开接口ZXR10 部分平台接口默认开也有默认关的版本写上不亏不支持的命令行会直接报错不影响后面步骤。默认路由和 NAT 配置ZXR10(config)# ip route 0.0.0.0 0.0.0.0 100.10.10.1 ZXR10(config)# ip access-list standard 100 ZXR10(config-std-nacl)# permit 192.168.0.0 0.0.0.255 ZXR10(config-std-nacl)# exit ZXR10(config)# interface gei_0/2/1 ZXR10(config-if)# ip nat outside ZXR10(config-if)# exit ZXR10(config)# interface gei_0/3/1 ZXR10(config-if)# ip nat inside ZXR10(config-if)# exit ZXR10(config)# ip nat source list 100 interface gei_0/2/1 overload默认路由的下一跳 100.10.10.1 必须和 WAN 口 IP 同一网段且对得上否则报文转发不出去。ACL 100 里 permit 的是内网源地址故意不写 deny因为 ACL 自带隐含拒绝没被 permit 的网段不会做 NAT这也是有人配了 NAT 之后发现某些网段上不了网的原因。WAN 口标 ip nat outsideLAN 口标 ip nat inside内外方向写反 NAT 直接不工作。最后一句的 overload 是端口复用让多个内网 IP 共用一条公网链路少写它就变成一对一映射公网地址不够时很快就会耗尽。顺便说一句运营商接入如果是 PPPoE 拨号接口上就不是静态 ip address 了需要按手册里 PPPoE 客户端章节配 dialer 接口和拨号用户名密码再把 NAT 绑定到 dialer 口。公网 IP 是静态场景的话上面的示例可以直接套。3.3 内网路由用 OSPFnetwork 通配符与区域划分的参数细节分支机构两三个网段静态路由就够写三条 ip route 比搭 OSPF 更快。网段超过四五个、或者存在双链路冗余时我一般建议切 OSPF收敛速度和变更成本都更可控。ZXR10 的 OSPF 基础配置ZXR10(config)# router ospf 1 ZXR10(config-router)# router-id 192.168.0.1 ZXR10(config-router)# network 192.168.0.0 0.0.0.255 area 0.0.0.0 ZXR10(config-router)# network 10.10.0.0 0.0.0.255 area 0.0.0.0 ZXR10(config-router)# passive-interface default ZXR10(config-router)# no passive-interface gei_0/2/1 ZXR10(config-router)# exitrouter-id 手工指定成设备管理地址不指定的话设备可能自动选接口地址重启后可能变化排障时对不上号。network 里的反掩码是 255.255.255.255 减子网掩码/24 网段写 0.0.0.255写错成 0.0.0.0 就变成只匹配单地址邻居起不来。area 0.0.0.0 是骨干区域多区域组网时所有非骨干区域必须直连骨干这是 OSPF 的基本规则。两行 passive-interface 命令容易被忽略但很有用。passive-interface default 先把所有接口的 OSPF hello 报文停掉再用 no passive-interface 放行互联口这样可以避免终端侧接口收到 OSPF 报文也减少无意义协议开销。配置完成后看状态show ip ospf neighbor 检查邻居是否 FULLshow ip route ospf 检查路由表是否出现对端网段。邻居停在 INIT 或 EXSTART最常是 network 反掩码写错或两侧 router-id 重复。还要提醒一点OSPF 区域的规划要在项目初期定好不要把终端网段和骨干网段全塞进 area 0。规模大了之后 LSDB 复杂排障靠眼睛看根本盯不过来。区域划分越简单越好宁可多一根物理链路别把拓扑搞得像毛线团。4. 交换机配置手册怎么用VLAN、trunk 与光口链路聚合的完整样例4.1 千兆交换机上线第一步划分 VLAN 并把接入端口归好ZXR10 千兆交换机最常见的任务就是给终端划分 VLAN。动手前先做一张规划表让项目其他工程师也能看懂而不是只有自己知道哪个端口在哪个 VLANVLAN ID用途接入端口网关网段10办公gei_0/2/1-8192.168.10.254/2420监控gei_0/2/9-12192.168.20.254/2430无线gei_0/2/13-16192.168.30.254/24在交换机上先建 VLANZXR10# configure terminal ZXR10(config)# vlan 10 ZXR10(config-vlan)# name office ZXR10(config-vlan)# exit ZXR10(config)# vlan 20 ZXR10(config-vlan)# name monitor ZXR10(config-vlan)# exit ZXR10(config)# vlan 30 ZXR10(config-vlan)# name wireless ZXR10(config-vlan)# exitvlan 命令进入子模式name 给 VLAN 起备注名show vlan 时一眼就能看出用途。这里的 10、20、30 是业务标识不是优先级别和 QoS 的 802.1p 数值混为一谈。建完之后把端口划进去ZXR10(config)# interface gei_0/2/1 ZXR10(config-if)# switchport mode access ZXR10(config-if)# switchport access vlan 10 ZXR10(config-if)# exit ZXR10(config)# interface range gei_0/2/1-8 ZXR10(config-if-range)# switchport access vlan 10 ZXR10(config-if-range)# exit单口配置和批量配置都可以。重点在两个细节一是先写 switchport mode access 再写 access vlan不先切成 access某些平台会留在 auto 状态终端接入后协商结果不可控二是接口范围写 gei_0/2/1-8 利用 range 批量配置效率比逐个接口敲高得多。交换机工作原理就是靠 MAC 地址表做二层转发端口划好 VLAN 后广播域被隔开测试时同事之间可以互相 ping 通但广播流量不会串到别的 VLAN。如果交换机是三层型号还要给 VLAN 接口配地址作为终端网关ZXR10(config)# interface vlan 10 ZXR10(config-if)# ip address 192.168.10.254 255.255.255.0 ZXR10(config-if)# exit这个配置放在交换机配置手册的三层接口章节纯二层设备上没有这条命令平台会直接报错。给每个业务 VLAN 配好网关地址后终端指网关就能跨 VLAN 通信了。4.2 跨交换机透传 VLANtrunk 放行列表的两种写法接入交换机把终端划进 VLAN 之后上联到汇聚交换机的口必须用 trunk 把这些 VLAN 透传过去否则 VLAN 10 的终端永远 ping 不到汇聚侧 VLAN 10 的服务器。trunk 口和 access 口的区别是access 口只承载一个 VLANtrunk 口承载多个带 802.1Q 标签的 VLAN。上联口配置示例ZXR10(config)# interface gei_0/1/24 ZXR10(config-if)# switchport mode trunk ZXR10(config-if)# switchport trunk allowed vlan add 10,20,30 ZXR10(config-if)# exitallowed vlan 的写法有两种all 表示放行所有 VLANadd 10,20,30 表示在默认放行列表上追加这三个业务 VLAN。我一般用精确放行只把有业务的 VLAN 透传过去避免接入交换机里误建的 VLAN 被广播得到处都是。如果写成 switchport trunk allowed vlan remove 10VLAN 10 在这个口上被剪掉配置时 add 和 remove 只差一个词效果完全相反。点对点验证 trunk 是否通最简单的方法是在两端各接一台终端配同网段地址互 ping通了就说明 VLAN 透传链路没问题。这个方法比看配置更直接因为多处配置叠加时的错误只有流量能验证。从华为设备切过来的同事注意华为的 trunk 默认放行只有 VLAN 1加上放行列表用的是 allow-pass vlan中兴这套是思科风格别条件反射输错。4.3 光口做链路聚合还是主备聚合配置与适用边界上联带宽不够或者想利用两条光口链路时先回答一个常见问题光口是做链路聚合还是主备。两个千兆光口上联流量确实超过 1Gbps做聚合能叠加带宽业务量不大只是想断了一条另一条自动顶上做主备更省事配置直观也不依赖两端模式匹配。聚合的精髓是两端都要配、模式要一致物理口加入聚合组后不能再单独配 VLAN。ZXR10 的聚合命令不同平台略有差别常见写法先把物理口划进聚合组再在聚合口上做统一配置ZXR10(config)# interface gei_0/1/23 ZXR10(config-if)# port-group 1 ZXR10(config-if)# exit ZXR10(config)# interface gei_0/1/24 ZXR10(config-if)# port-group 1 ZXR10(config-if)# exit ZXR10(config)# interface port-group 1 ZXR10(config-if)# switchport mode trunk ZXR10(config-if)# switchport trunk allowed vlan add 10,20,30 ZXR10(config-if)# exit两个物理口先后加入 port-group 1外部看到一个逻辑口流量在两个物理口间分担。聚合口下配置 trunk 和放行列表是唯一的地方两个物理口不要再碰 switchport 命令否则两边配置对不上链路状态来回跳流量挤在一根线上。部分平台用的是 bridge-aggregation 或 eth-trunk 关键字进聚合口时 interface ? 会列出找不到 port-group 时就翻手册的 Port Aggregation 章节。聚合不生效的排障先看两端聚合模式是否一致再看两个物理口是否都 up。光口聚合建议两个模块同速率同厂商1G 和 10G 混插在一组聚合里协商结果经常不对称业务高峰时丢包很难查。做聚合前也要确认交换机是支持静态聚合还是 LACPZXR10 部分老型号只支持静态别把 LACP 参数往上套。5. ZXR10 配置高频踩坑记录保存丢失、黑屏、光口不通、DHCP 与 ACL这一章是我在 ZXR10 上实打实翻过车的记录现象、原因、解决按三步写可以直接抄进项目排错手册。5.1 配置保存后重启全丢write 和 copy 的边界没搞清楚现象所有配置完成后设备运行正常断电重启后回到出厂状态接口、VLAN、路由全不在。 原因配置只存在于 running-config内存运行配置没保存到 startup-config启动配置。ZXR10 里 write 等价于把运行配置覆盖到启动配置这个动作不主动做重启就是读回上电那一刻的旧配置配置白做。 解决把收尾动作固化配置完成后先 show running-config 核对再执行 write 并确认提示成功。也可以用 copy running-config startup-config 长写法效果一样。如果已经重启丢了配置只能靠备份文件恢复这也是我在下一章强调定期导出配置文件的原因。养成习惯后这个坑基本不会再踩。5.2 Console 连接黑屏无输出波特率、驱动与线序的排查顺序现象线接好后串口终端什么都打不出来不出现 ZXR10 提示符敲回车也没反应。 原因三种可能按频率排——软件里波特率或流控不对USB 转串口线驱动没装好系统里没有对应 COM 口console 线本身交叉关系不对。 解决先打开系统设备管理器确认 COM 口存在再看会话设置的波特率是不是 9600 或设备标贴上的值把流控全部关掉。驱动和参数都对还黑屏换一根 console 线试试。我包里常备一根 USB-C 转串口的线原装线找不到时它救过不少次场。这三步走完还不行才怀疑设备本身的问题多数情况是参数设置的小事。5.3 光口 up 但业务时通时断自协商与光模块结果参数解释现象光口 link upping 小包能通ping 大包或多线程打流时丢包严重接口统计里 CRC 错误数量上得很快。 原因两端光口速率或双工协商不一致千兆强制和千兆自协商对接时半通不通的状态很典型。 解决把两端参数手工统一比如都强制千兆全双工。ZXR10 上用 speed nonegotiate 或 duplex full force 这类命令不同平台关键字不同敲不进就进接口敲 speed ? 看支持什么选项。再用 show interface optical-transceiver不同平台命令名略有差异查光模块信息重点看收发光功率的结果参数解释RX 功率在 -20dBm 以上一般可正常通信低于 -25dBm 基本是链路光衰太大八成是法兰盘没拧紧、跳线折角或模块老化——光路清洗和设备配置相比后者反而更常被浪费时间。5.4 终端拿不到 IP物理 DHCP 服务器在交换机侧的信任口问题现象内网专门放了一台物理 DHCP 服务器交换机已放通对应 VLAN终端显示未识别的网络手工配 IP 却能通。 原因交换机开启了 DHCP snooping接口没有被标记为信任口DHCP OFFER 报文被拦截终端收不到地址。 解决找到接 DHCP 服务器的交换机端口执行 ip dhcp snooping trust 把它设为信任口然后 show ip dhcp snooping 确认信任状态。DHCP 服务器不在本网段时需要在交换机三层接口上指定 dhcp relay 地址写错地址终端同样拿不到地址。还有一个惯性坑内网有物理 DHCP 服务器时交换机的 VLAN 划分和 trunk 放行两头都要查只放行了一半就会出现这边交换机拿得到、那边拿不到的怪现象。从华为设备切过来的同事注意华为查 DHCP 配置常用 display dhcp snooping中兴这边换成 show 开头命令习惯要切换。5.5 ACL 单向访问不生效列表建了没应用或 in/out 方向选反现象要在交换机上做单向访问规则让 A 能访问 B、B 不能访问 A。ACL 建好、命令也敲了结果两端都不通或者两端都通。 原因最常见两个原因——ACL 列表只是定义了规则没应用在接口上或者应用方向写反把限制挂在错误流向上。还有一个隐蔽坑A、B 在同一 VLAN 里二层互通三层 ACL 根本看不到这些流量。 解决单向限制用扩展 ACLdeny 放在 permit 前面。示例屏蔽 B 访问 A 的 HTTP 服务ZXR10(config)# ip access-list extended 120 ZXR10(config-ext-nacl)# deny tcp host 192.168.1.3 host 192.168.1.2 eq 80 ZXR10(config-ext-nacl)# permit ip any any ZXR10(config-ext-nacl)# exit ZXR10(config)# interface gei_0/2/5 ZXR10(config-if)# ip access-group 120 in ZXR10(config-if)# exit在 B 所在的接口上应用 ip access-group 120 in表示流量从该接口进入时先检查规则192.168.1.3 发往 192.168.1.2 且端口 80 的报文被丢弃其余放行。eq 80 前的 tcp 不能省HTTP 服务走 TCP写漏了协议关键字规则就不匹配。最后那条 permit ip any any 必须保留ACL 隐含拒绝会把其他该通的流量一并拦掉这也是模拟器上 ACL 单向访问不管用的常见原因。同 VLAN 二层互访的流量如果要限制三层口的 ACL 拦不住要把规则下到端口级或做 PVLAN这是很多人不知道的边界。6. 用 show 命令核对整条链路从接口、VLAN、路由表到抓包验证配置完不是结束验证链路才是真正收工的点。我按固定顺序核对先看接口show interface 确认物理口和逻辑口的 up/down 状态再看 VLANshow vlan 确认端口归属对不对然后看路由表show ip route 确认内网网段和默认路由都在最后看运行配置show running-config 对着规划表把关键参数过一遍。很多低级错误就在这个环节兜住了比如 NAT 方向写反、trunk 放行列表漏 VLAN。双向 ping 是最直接的验证动作。内网终端 ping 网关、跨 VLAN ping 服务器、路由器上 ping 上联公网地址分三段确认故障落在哪一段。链路已经通了但业务还慢时再做端口镜像抓包。ZXR10 上用 monitor session 把源接口流量镜像到笔记本所在口ZXR10(config)# monitor session 1 source interface gei_0/2/5 both ZXR10(config)# monitor session 1 destination interface gei_0/2/24镜像之后笔记本开 Wireshark重点分析 ARP 请求和 IP 数据转发报文看目标 MAC 是谁回的、源 IP 有没有被 NAT 改掉基本能把二层通不通、三层转发到哪一跳看明白比靠感觉猜故障点靠谱。另一个我坚持的习惯是配置备份。改完并保存之后把启动配置导出一份到 TFTP 服务器用日期命名ZXR10# copy startup-config tftp 10.10.10.100 zxr10-20240615.cfg第一次上线导一份每次变更再导一份两份之间用文本对比工具看差异回滚时直接 copy tftp startup-config 拉回上一版。这个习惯救过我一次某次批量调整 VLAN 后无线网段终端大面积离线靠前一天导出的配置十分钟内回了滚比在现场反推配置改动清单快太多。网络配置这件事改之前备份是后悔药改之后备份是证据链。希望帮到你。本文还有配套的精品资源点击获取 ZXR10路由器和交换机配置手册实战：从CLI到VLAN与NAT的完整指南
简介中兴路由器与交换机配置手册适配ZXR10系列设备面向企业网络运维工程师、系统集成人员及需要实操配置中兴设备的技术人员。手册系统梳理了软件配置信息、具体步骤与配置示例涵盖设备初始化、接口配置、路由协议、安全策略等关键环节安装完成后即可按章节快速定位并落地配置。整个压缩包约374.86MB内容编排适合边查边做是日常排障与项目交付中值得参考的工具资料。目前已吸引9279人浏览学习可见其在中兴设备配置场景中的实用性。对于正在部署中兴网络或准备相关认证的技术人员通过手册中的示例和流程说明能显著降低上手门槛减少试错成本。1. 从机柜设备到全网跑通ZXR10 路由器和交换机配置手册的读法在交付现场最耗时间的往往不是插线而是打开手册找不到那条命令。机柜里一台 ZXR10 路由器做出口几台 ZXR10 千兆交换机做接入厂家配置手册动辄几百页实际日常要用的命令不超过二十条。围绕中兴路由器配置手册和中兴交换机配置手册 ZXR10 这两个对象我把常用配置流程压缩成能照抄的清单从控制台连上线到配通 VLAN、路由、NAT再到验证链路和备份配置。适合刚开始接手 ZXR10 项目的集成商工程师、企业网运维以及从华为或 H3C 平台转过来的网络工程师。先说清楚示例命令以最常见 CLI 写法为准不同型号和软件版本会有出入我会在相应位置标注哪些参数需要按设备调整别把示例当标准库硬背。2. ZXR10 上线前的地基控制台连接、CLI 三态与最小配置流程2.1 用 MobaXterm 连 Console 口9600 波特率与串口参数避坑ZXR10 设备的 Console 口通常是 RJ-45 形状面板上标着 CON。随设备带的 console 线一端是 RJ-45另一端可能是 DB9 串口也可能直接是 USB。现在的笔记本基本没有串口了常见做法是 USB 转 RS-232 线优先选 FT232、CH340 这类芯片方案的线插上后装好驱动在设备管理器里能看到多出来的 COM 口常见是 COM3、COM5。远程工具方面我用 MobaXterm、SecureCRT 或 Xshell 都行新建一个 Serial 会话即可软件本身不挑。真正要命的是串口参数ZXR10 老平台默认波特率 9600部分新平台是 115200这一步错了会出现终端窗口无输出或满屏乱码。参数按下面这张速查表设置不要再东问西问串口参数值说明波特率9600老平台/ 115200新平台设备标贴或手册有写看不到就先试 9600数据位8固定停止位1固定校验None固定流控None最常见的坑选了 RTS/CTS 会导致命令发不出去按下回车窗口出现 ZXR10 提示符说明串口链路已经通了。我自己的习惯是给串口会话命名成设备 SN 加所在机柜编号比如 3F-02-ZXR10这样手头同时开三四台设备窗口时不会搞混别高估自己的记性。刚接上设备还可能出现一种情况设备已经开机跑了一段时间终端窗口空着没反应。这不一定是连接问题先敲两次回车很多平台会重新打一遍提示符如果设备在启动过程中连上去的耐心等它跑完正常会滚出完整的启动日志。看到启动日志在这些设备上也是个玄学问题有时候日志刷过去了才连上就看不到但只要有提示符就能操作。2.2 中兴 ZXR10 的 CLI 状态机从 ZXR10 到 ZXR10(config)# 的命令链ZXR10 的 CLI 风格和思科更接近从华为切过来的同事明显会别扭一阵。它的基础状态有三个用户模式 ZXR10只能看基本状态和执行部分 show特权模式 ZXR10#能看全部状态和配置也是进入配置模式的前提全局配置模式 ZXR10(config)#改配置的地方进入接口后提示符变成 ZXR10(config-if)#。命令链的走向是固定的 enable 进特权# configure terminal简写 config t进全局配置config 模式下 exit 逐级退end 直接回特权模式。这套状态切换在设备手册的前言部分一定会讲但很多人跳过去不看等到敲 show running-config 提示权限不足才发现自己在用户模式。ZXR10 支持 Tab 补全和 ? 帮助。不知道命令拼写时敲 show ? 会列出所有 show 子命令敲到一半按 Tab 会把命令补全。查手册不如现场看帮助快报错提示 incomplete command、ambiguous command 时多半是该补的参数没补或者缩写有歧义。从别的厂商切过来命令习惯要重新适应。下面这张对照表基本能覆盖日常操作操作华为/H3CZXR10类思科进入系统视图system-viewconfigure terminal查看配置display current-configurationshow running-config查看接口状态display interfaceshow interface保存配置savewrite在接口下配 IPip addressip address很多从华为或 H3C 转过来的工程师第一周都在把 display 当口头禅敲这是正常的适应两三天就好。重点不是背命令而是理解状态机和保存机制后面所有配置都离不开这两点。2.3 新机上线最小操作主机名、远程登录与保存配置拿到一台新 ZXR10我最先做的不是配接口 IP而是先落定三样基础东西主机名、远程登录口令、配置保存动作。最小操作命令如下ZXR10 enable ZXR10# configure terminal ZXR10(config)# hostname ZXR10-2952 ZXR10(config)# line vty 0 4 ZXR10(config-line)# password 7 ZTE2024 ZXR10(config-line)# login ZXR10(config-line)# exit ZXR10(config)# enable password 7 ZTE2024 ZXR10(config)# end ZXR10# writehostname 改设备名多台设备一起管理时窗口标题、日志信息里能分清是哪台line vty 0 4 配置 5 个虚拟终端通道允许网管远程登录password 后面 0 是明文、7 是密文示例里的 ZTE2024 只是演示值实际项目按客户密码策略来login 表示该通道进入时需要密码验证enable password 是进特权模式的密码最后 end 回特权模式write 把运行配置保存到启动配置。这里有个细节值得注意远程登录通道在配置后默认是 telnet 协议ZXR10 部分平台开启 SSH 要单独执行 ssh 相关命令并指定认证方式。现在设备上线基本都会要求远程管理走 SSH建议打开手册目录里的 SSH 配置章节按平台要求把 ssh version、认证用户配好。不要以为 telnet 通了就万事大吉安全审计的时候这是第一刀。还有一个我踩过的坑line vty 0 4 里如果写了 0 4表示同时支持 5 个会话有些人图省事写 line vty 0 6结果指令不报错但实际打开会话数比预期多。这类小差异平台间常有配置完 show line 能确认当前生效的会话通道范围。3. 路由器配置手册怎么用接口、默认路由、NAT 与 OSPF 的落地顺序3.1 ZXR10 路由器和交换机的职责分界先想清楚这台设备要干嘛动手前先分清楚手里这台 ZXR10 到底是路由器还是交换机。ZXR10 路由器产品线的重点在跨网段三层转发、路由协议、NAT 和访问控制端口数量不多但单口带宽高典型位置是网络出口或骨干链路ZXR10 交换机产品线侧重高密接入重点在 VLAN 划分、二层转发、端口聚合。厂家手册也按这个逻辑分册路由器手册里集中讲 routing、NAT、策略相关命令交换机手册重点讲 vlan、aggregation、port 相关命令。遇到三层交换机时边界会模糊。我的判断标准很直接这台设备上接的是终端或下级交换机主要做 VLAN 隔离和二层透传就按交换机思路配设备要做出口上网、跨园区路由就按路由器思路配。三层交换机虽然既能建 VLAN 接口又能跑路由协议但 NAT 出口这种事还是交给专用路由器更干净公网接口做在交换机上后面排障会很别扭。还有一种常见误用拿二层交换机当三层用。接入交换机上配了 VLAN 接口地址就当网关结果跨 VLAN 通信全靠额外的静态路由一条条加管理和排障都失控。ZXR10 交换机存在纯二层和三层两类型号先确认手里设备有没有路由功能别在二层设备上找 ip route 找不到就开始怀疑手册。3.2 出口路由器基本步骤接口 IP、下一跳默认路由与 NAT overload典型拓扑ZXR10 路由器放在企业出口运营商接入线挂在 WAN 口内网网关放在 LAN 口。路由器配置的基本步骤按这个顺序走不会乱先给接口配 IP再写默认路由指向运营商网关然后做 NAT 把内网网段转换出去最后保存。接口配置示例ZXR10# configure terminal ZXR10(config)# interface gei_0/2/1 ZXR10(config-if)# description WAN_Link_to_ISP ZXR10(config-if)# ip address 100.10.10.2 255.255.255.252 ZXR10(config-if)# no shutdown ZXR10(config-if)# exit ZXR10(config)# interface gei_0/3/1 ZXR10(config-if)# ip address 192.168.0.1 255.255.255.0 ZXR10(config-if)# no shutdown ZXR10(config-if)# exitgei_0/2/1 这类接口名标识槽位/板卡/端口具体编号每台设备不同敲 interface ? 能看到当前设备的接口列表不要照手册上的编号死记。description 给接口写备注后面 show interface 会直接显示上联口写明对端是谁半年后再看配置不会一脸茫然。no shutdown 打开接口ZXR10 部分平台接口默认开也有默认关的版本写上不亏不支持的命令行会直接报错不影响后面步骤。默认路由和 NAT 配置ZXR10(config)# ip route 0.0.0.0 0.0.0.0 100.10.10.1 ZXR10(config)# ip access-list standard 100 ZXR10(config-std-nacl)# permit 192.168.0.0 0.0.0.255 ZXR10(config-std-nacl)# exit ZXR10(config)# interface gei_0/2/1 ZXR10(config-if)# ip nat outside ZXR10(config-if)# exit ZXR10(config)# interface gei_0/3/1 ZXR10(config-if)# ip nat inside ZXR10(config-if)# exit ZXR10(config)# ip nat source list 100 interface gei_0/2/1 overload默认路由的下一跳 100.10.10.1 必须和 WAN 口 IP 同一网段且对得上否则报文转发不出去。ACL 100 里 permit 的是内网源地址故意不写 deny因为 ACL 自带隐含拒绝没被 permit 的网段不会做 NAT这也是有人配了 NAT 之后发现某些网段上不了网的原因。WAN 口标 ip nat outsideLAN 口标 ip nat inside内外方向写反 NAT 直接不工作。最后一句的 overload 是端口复用让多个内网 IP 共用一条公网链路少写它就变成一对一映射公网地址不够时很快就会耗尽。顺便说一句运营商接入如果是 PPPoE 拨号接口上就不是静态 ip address 了需要按手册里 PPPoE 客户端章节配 dialer 接口和拨号用户名密码再把 NAT 绑定到 dialer 口。公网 IP 是静态场景的话上面的示例可以直接套。3.3 内网路由用 OSPFnetwork 通配符与区域划分的参数细节分支机构两三个网段静态路由就够写三条 ip route 比搭 OSPF 更快。网段超过四五个、或者存在双链路冗余时我一般建议切 OSPF收敛速度和变更成本都更可控。ZXR10 的 OSPF 基础配置ZXR10(config)# router ospf 1 ZXR10(config-router)# router-id 192.168.0.1 ZXR10(config-router)# network 192.168.0.0 0.0.0.255 area 0.0.0.0 ZXR10(config-router)# network 10.10.0.0 0.0.0.255 area 0.0.0.0 ZXR10(config-router)# passive-interface default ZXR10(config-router)# no passive-interface gei_0/2/1 ZXR10(config-router)# exitrouter-id 手工指定成设备管理地址不指定的话设备可能自动选接口地址重启后可能变化排障时对不上号。network 里的反掩码是 255.255.255.255 减子网掩码/24 网段写 0.0.0.255写错成 0.0.0.0 就变成只匹配单地址邻居起不来。area 0.0.0.0 是骨干区域多区域组网时所有非骨干区域必须直连骨干这是 OSPF 的基本规则。两行 passive-interface 命令容易被忽略但很有用。passive-interface default 先把所有接口的 OSPF hello 报文停掉再用 no passive-interface 放行互联口这样可以避免终端侧接口收到 OSPF 报文也减少无意义协议开销。配置完成后看状态show ip ospf neighbor 检查邻居是否 FULLshow ip route ospf 检查路由表是否出现对端网段。邻居停在 INIT 或 EXSTART最常是 network 反掩码写错或两侧 router-id 重复。还要提醒一点OSPF 区域的规划要在项目初期定好不要把终端网段和骨干网段全塞进 area 0。规模大了之后 LSDB 复杂排障靠眼睛看根本盯不过来。区域划分越简单越好宁可多一根物理链路别把拓扑搞得像毛线团。4. 交换机配置手册怎么用VLAN、trunk 与光口链路聚合的完整样例4.1 千兆交换机上线第一步划分 VLAN 并把接入端口归好ZXR10 千兆交换机最常见的任务就是给终端划分 VLAN。动手前先做一张规划表让项目其他工程师也能看懂而不是只有自己知道哪个端口在哪个 VLANVLAN ID用途接入端口网关网段10办公gei_0/2/1-8192.168.10.254/2420监控gei_0/2/9-12192.168.20.254/2430无线gei_0/2/13-16192.168.30.254/24在交换机上先建 VLANZXR10# configure terminal ZXR10(config)# vlan 10 ZXR10(config-vlan)# name office ZXR10(config-vlan)# exit ZXR10(config)# vlan 20 ZXR10(config-vlan)# name monitor ZXR10(config-vlan)# exit ZXR10(config)# vlan 30 ZXR10(config-vlan)# name wireless ZXR10(config-vlan)# exitvlan 命令进入子模式name 给 VLAN 起备注名show vlan 时一眼就能看出用途。这里的 10、20、30 是业务标识不是优先级别和 QoS 的 802.1p 数值混为一谈。建完之后把端口划进去ZXR10(config)# interface gei_0/2/1 ZXR10(config-if)# switchport mode access ZXR10(config-if)# switchport access vlan 10 ZXR10(config-if)# exit ZXR10(config)# interface range gei_0/2/1-8 ZXR10(config-if-range)# switchport access vlan 10 ZXR10(config-if-range)# exit单口配置和批量配置都可以。重点在两个细节一是先写 switchport mode access 再写 access vlan不先切成 access某些平台会留在 auto 状态终端接入后协商结果不可控二是接口范围写 gei_0/2/1-8 利用 range 批量配置效率比逐个接口敲高得多。交换机工作原理就是靠 MAC 地址表做二层转发端口划好 VLAN 后广播域被隔开测试时同事之间可以互相 ping 通但广播流量不会串到别的 VLAN。如果交换机是三层型号还要给 VLAN 接口配地址作为终端网关ZXR10(config)# interface vlan 10 ZXR10(config-if)# ip address 192.168.10.254 255.255.255.0 ZXR10(config-if)# exit这个配置放在交换机配置手册的三层接口章节纯二层设备上没有这条命令平台会直接报错。给每个业务 VLAN 配好网关地址后终端指网关就能跨 VLAN 通信了。4.2 跨交换机透传 VLANtrunk 放行列表的两种写法接入交换机把终端划进 VLAN 之后上联到汇聚交换机的口必须用 trunk 把这些 VLAN 透传过去否则 VLAN 10 的终端永远 ping 不到汇聚侧 VLAN 10 的服务器。trunk 口和 access 口的区别是access 口只承载一个 VLANtrunk 口承载多个带 802.1Q 标签的 VLAN。上联口配置示例ZXR10(config)# interface gei_0/1/24 ZXR10(config-if)# switchport mode trunk ZXR10(config-if)# switchport trunk allowed vlan add 10,20,30 ZXR10(config-if)# exitallowed vlan 的写法有两种all 表示放行所有 VLANadd 10,20,30 表示在默认放行列表上追加这三个业务 VLAN。我一般用精确放行只把有业务的 VLAN 透传过去避免接入交换机里误建的 VLAN 被广播得到处都是。如果写成 switchport trunk allowed vlan remove 10VLAN 10 在这个口上被剪掉配置时 add 和 remove 只差一个词效果完全相反。点对点验证 trunk 是否通最简单的方法是在两端各接一台终端配同网段地址互 ping通了就说明 VLAN 透传链路没问题。这个方法比看配置更直接因为多处配置叠加时的错误只有流量能验证。从华为设备切过来的同事注意华为的 trunk 默认放行只有 VLAN 1加上放行列表用的是 allow-pass vlan中兴这套是思科风格别条件反射输错。4.3 光口做链路聚合还是主备聚合配置与适用边界上联带宽不够或者想利用两条光口链路时先回答一个常见问题光口是做链路聚合还是主备。两个千兆光口上联流量确实超过 1Gbps做聚合能叠加带宽业务量不大只是想断了一条另一条自动顶上做主备更省事配置直观也不依赖两端模式匹配。聚合的精髓是两端都要配、模式要一致物理口加入聚合组后不能再单独配 VLAN。ZXR10 的聚合命令不同平台略有差别常见写法先把物理口划进聚合组再在聚合口上做统一配置ZXR10(config)# interface gei_0/1/23 ZXR10(config-if)# port-group 1 ZXR10(config-if)# exit ZXR10(config)# interface gei_0/1/24 ZXR10(config-if)# port-group 1 ZXR10(config-if)# exit ZXR10(config)# interface port-group 1 ZXR10(config-if)# switchport mode trunk ZXR10(config-if)# switchport trunk allowed vlan add 10,20,30 ZXR10(config-if)# exit两个物理口先后加入 port-group 1外部看到一个逻辑口流量在两个物理口间分担。聚合口下配置 trunk 和放行列表是唯一的地方两个物理口不要再碰 switchport 命令否则两边配置对不上链路状态来回跳流量挤在一根线上。部分平台用的是 bridge-aggregation 或 eth-trunk 关键字进聚合口时 interface ? 会列出找不到 port-group 时就翻手册的 Port Aggregation 章节。聚合不生效的排障先看两端聚合模式是否一致再看两个物理口是否都 up。光口聚合建议两个模块同速率同厂商1G 和 10G 混插在一组聚合里协商结果经常不对称业务高峰时丢包很难查。做聚合前也要确认交换机是支持静态聚合还是 LACPZXR10 部分老型号只支持静态别把 LACP 参数往上套。5. ZXR10 配置高频踩坑记录保存丢失、黑屏、光口不通、DHCP 与 ACL这一章是我在 ZXR10 上实打实翻过车的记录现象、原因、解决按三步写可以直接抄进项目排错手册。5.1 配置保存后重启全丢write 和 copy 的边界没搞清楚现象所有配置完成后设备运行正常断电重启后回到出厂状态接口、VLAN、路由全不在。 原因配置只存在于 running-config内存运行配置没保存到 startup-config启动配置。ZXR10 里 write 等价于把运行配置覆盖到启动配置这个动作不主动做重启就是读回上电那一刻的旧配置配置白做。 解决把收尾动作固化配置完成后先 show running-config 核对再执行 write 并确认提示成功。也可以用 copy running-config startup-config 长写法效果一样。如果已经重启丢了配置只能靠备份文件恢复这也是我在下一章强调定期导出配置文件的原因。养成习惯后这个坑基本不会再踩。5.2 Console 连接黑屏无输出波特率、驱动与线序的排查顺序现象线接好后串口终端什么都打不出来不出现 ZXR10 提示符敲回车也没反应。 原因三种可能按频率排——软件里波特率或流控不对USB 转串口线驱动没装好系统里没有对应 COM 口console 线本身交叉关系不对。 解决先打开系统设备管理器确认 COM 口存在再看会话设置的波特率是不是 9600 或设备标贴上的值把流控全部关掉。驱动和参数都对还黑屏换一根 console 线试试。我包里常备一根 USB-C 转串口的线原装线找不到时它救过不少次场。这三步走完还不行才怀疑设备本身的问题多数情况是参数设置的小事。5.3 光口 up 但业务时通时断自协商与光模块结果参数解释现象光口 link upping 小包能通ping 大包或多线程打流时丢包严重接口统计里 CRC 错误数量上得很快。 原因两端光口速率或双工协商不一致千兆强制和千兆自协商对接时半通不通的状态很典型。 解决把两端参数手工统一比如都强制千兆全双工。ZXR10 上用 speed nonegotiate 或 duplex full force 这类命令不同平台关键字不同敲不进就进接口敲 speed ? 看支持什么选项。再用 show interface optical-transceiver不同平台命令名略有差异查光模块信息重点看收发光功率的结果参数解释RX 功率在 -20dBm 以上一般可正常通信低于 -25dBm 基本是链路光衰太大八成是法兰盘没拧紧、跳线折角或模块老化——光路清洗和设备配置相比后者反而更常被浪费时间。5.4 终端拿不到 IP物理 DHCP 服务器在交换机侧的信任口问题现象内网专门放了一台物理 DHCP 服务器交换机已放通对应 VLAN终端显示未识别的网络手工配 IP 却能通。 原因交换机开启了 DHCP snooping接口没有被标记为信任口DHCP OFFER 报文被拦截终端收不到地址。 解决找到接 DHCP 服务器的交换机端口执行 ip dhcp snooping trust 把它设为信任口然后 show ip dhcp snooping 确认信任状态。DHCP 服务器不在本网段时需要在交换机三层接口上指定 dhcp relay 地址写错地址终端同样拿不到地址。还有一个惯性坑内网有物理 DHCP 服务器时交换机的 VLAN 划分和 trunk 放行两头都要查只放行了一半就会出现这边交换机拿得到、那边拿不到的怪现象。从华为设备切过来的同事注意华为查 DHCP 配置常用 display dhcp snooping中兴这边换成 show 开头命令习惯要切换。5.5 ACL 单向访问不生效列表建了没应用或 in/out 方向选反现象要在交换机上做单向访问规则让 A 能访问 B、B 不能访问 A。ACL 建好、命令也敲了结果两端都不通或者两端都通。 原因最常见两个原因——ACL 列表只是定义了规则没应用在接口上或者应用方向写反把限制挂在错误流向上。还有一个隐蔽坑A、B 在同一 VLAN 里二层互通三层 ACL 根本看不到这些流量。 解决单向限制用扩展 ACLdeny 放在 permit 前面。示例屏蔽 B 访问 A 的 HTTP 服务ZXR10(config)# ip access-list extended 120 ZXR10(config-ext-nacl)# deny tcp host 192.168.1.3 host 192.168.1.2 eq 80 ZXR10(config-ext-nacl)# permit ip any any ZXR10(config-ext-nacl)# exit ZXR10(config)# interface gei_0/2/5 ZXR10(config-if)# ip access-group 120 in ZXR10(config-if)# exit在 B 所在的接口上应用 ip access-group 120 in表示流量从该接口进入时先检查规则192.168.1.3 发往 192.168.1.2 且端口 80 的报文被丢弃其余放行。eq 80 前的 tcp 不能省HTTP 服务走 TCP写漏了协议关键字规则就不匹配。最后那条 permit ip any any 必须保留ACL 隐含拒绝会把其他该通的流量一并拦掉这也是模拟器上 ACL 单向访问不管用的常见原因。同 VLAN 二层互访的流量如果要限制三层口的 ACL 拦不住要把规则下到端口级或做 PVLAN这是很多人不知道的边界。6. 用 show 命令核对整条链路从接口、VLAN、路由表到抓包验证配置完不是结束验证链路才是真正收工的点。我按固定顺序核对先看接口show interface 确认物理口和逻辑口的 up/down 状态再看 VLANshow vlan 确认端口归属对不对然后看路由表show ip route 确认内网网段和默认路由都在最后看运行配置show running-config 对着规划表把关键参数过一遍。很多低级错误就在这个环节兜住了比如 NAT 方向写反、trunk 放行列表漏 VLAN。双向 ping 是最直接的验证动作。内网终端 ping 网关、跨 VLAN ping 服务器、路由器上 ping 上联公网地址分三段确认故障落在哪一段。链路已经通了但业务还慢时再做端口镜像抓包。ZXR10 上用 monitor session 把源接口流量镜像到笔记本所在口ZXR10(config)# monitor session 1 source interface gei_0/2/5 both ZXR10(config)# monitor session 1 destination interface gei_0/2/24镜像之后笔记本开 Wireshark重点分析 ARP 请求和 IP 数据转发报文看目标 MAC 是谁回的、源 IP 有没有被 NAT 改掉基本能把二层通不通、三层转发到哪一跳看明白比靠感觉猜故障点靠谱。另一个我坚持的习惯是配置备份。改完并保存之后把启动配置导出一份到 TFTP 服务器用日期命名ZXR10# copy startup-config tftp 10.10.10.100 zxr10-20240615.cfg第一次上线导一份每次变更再导一份两份之间用文本对比工具看差异回滚时直接 copy tftp startup-config 拉回上一版。这个习惯救过我一次某次批量调整 VLAN 后无线网段终端大面积离线靠前一天导出的配置十分钟内回了滚比在现场反推配置改动清单快太多。网络配置这件事改之前备份是后悔药改之后备份是证据链。希望帮到你。本文还有配套的精品资源点击获取