简介：《迈普交换机配置》是一份面向网络运维初学者与中小型网络管理人员的命令配置参考文档，围绕迈普交换机日常配置与排错需求，梳理从基础模式切换到VLAN规划、端口参数调整的常用操作。文档以命令语法加配置举例的方式组织，内容涉及设备命名、Enable密码设置、VLAN创建与描述、端口加入VLAN及PVID绑定、全局IGMP Snooping启用、端口广播风暴抑制关闭，并给出三网合一场景下上网、电话与IPTV业务VLAN的划分示例，以及端口环路检测和清空配置的思路，便于读者按实际组网对照查阅。文档结构以命令条目为主线，适合按功能模块检索。资源包共1个doc文件，大小约34KB，轻量易读，适合作为手边速查手册。已有11037人学习，对需要快速掌握迈普交换机基础配置、理解端口打标/非打标与业务VLAN对应关系的读者较有参考价值。

1. 一台只剩 VLAN 1 的迈普交换机，配置从哪下手

机房角落翻出一台接入交换机，上电后show run打出来干干净净，除了默认 VLAN 1 什么都没有。这种设备最考验人：迈普交换机配置不是敲几条命令就完事，而是要把端口、VLAN、标签、组播这几件事按顺序排对，顺序错了回读时全是坑。手上这份迈普交换机配置文档一共十二段，从enable进模式一路写到filesystem删 startup，中间夹着一个上网、电话、IPTV 三网合一单线复用的完整例子。它适合两类人：刚接手接入层、对着提示符发愣的新手，和要把老设备重新规划、需要一份能对照回读的配置骨架的熟手。下面按「先摸清模式，再拆 VLAN，最后处理开关和善后」的顺序走一遍。

2. 命令层级与基础配置：从 enable 到 wr 的一条闭环

接入交换机的第一课不是 VLAN，是提示符。迈普的命令行沿用网络设备那套层级模型，每一层能干什么、进下一层敲什么关键字，都是固定的。新手最常见的翻车不是参数写错，是在错误的层级里敲了正确的命令——设备直接甩一句语法错误，人就懵了。这一章先把四个模式钉死，再落主机名、密码和保存。

2.1 提示符就是权限，进端口用的是 port 不是 interface

迈普的命令行大致分四层，提示符的尾巴直接告诉你当前在哪：

从别的厂商转过来最容易卡住的是最后一行。常见设备的写法是interface加一长串接口名，迈普这边是port 0/1，少一个字母都不认。端口列表支持连字符批量写，port 0/3-0/6一次覆盖四个口，三网合一那种要配一排下联口的场景能省不少事。

Switch>enable # 用户模式 -> 特权模式，之后才能看配置 Switch#configure terminal # 特权模式 -> 全局配置模式 Switch(config)#vlan 20 # 全局 -> VLAN 配置模式，20 是 VLAN 号 Switch(config-vlan)#exit # 退回上一级，别用 end 一把跳回特权 Switch(config)#port 0/1 # 全局 -> 端口配置模式，注意是 port Switch(config-if)#exit Switch(config)#exit Switch# # 回到特权模式，准备保存

这段演示的价值在于exit的用法。exit是逐级退，end一般是一把退回特权模式。配 VLAN 挂端口的时候必须逐级退：在 VLAN 视图下敲完port 0/1 untagged，得先exit回全局，再port 0/1进端口视图设 PVID，顺序反了会发现命令敲不进去。刚上手时我习惯把exit当成肌肉记忆，每配完一组就退一级，比事后猜自己在哪一层省时间。

2.2 hostname 与 enable password：先把门锁上再谈业务

设备默认主机名是Switch，机房里十几台设备全叫这个名字，show run导出来根本分不清谁是谁。第一步先改名：

Switch>enable Switch#configure terminal Switch(config)#hostname Switch_1 # 改主机名，提示符立即变成 Switch_1(config) Switch_1(config)#enable password 0 Abc@2024 # 0 表示按明文形式存储 Switch_1(config)#exit Switch_1#wr # 写入 startup 配置文件

enable password后面那个数字不是密码的一部分，是存储形式标记：

两个都不是强哈希。真正的差别在于：用0存，任何人拿到一份配置导出文件就等于拿到了密码；用7存，至少巡检拍照、配置备份外发时不会直接泄露。密码本身建议八位以上，混大小写加符号，别用admin、123456、设备型号这类字典词。

注意：把配置贴进工单、聊天工具、文档之前，先扫一眼有没有enable password 0开头的行。有就说明密码是明文躺在里面的，这份文件不能外传。

改名和设密码这两步看着简单，但它们是后面所有操作的锚点。主机名决定了你show run时能不能一眼定位设备，enable 密码决定了出问题时能不能进特权模式救场。密码忘掉又没别的入口，基本只能走清空配置那条路，代价是整台设备的业务配置全丢。

2.3 一份能直接照抄的基础配置块

把前面几步串起来，加上 VLAN 创建和描述，就是一份可以落地的基础骨架。下面这段假设设备是全新的、只用来承载三个业务网：

Switch>enable Switch#configure terminal Switch(config)#hostname Switch_1 Switch_1(config)#enable password 7 <设备生成的密文> # 实际配置时先敲 0 加明文 Switch_1(config)#vlan 20 Switch_1(config-vlan)#description VLAN20_Internet # 描述里写用途，别写拼音缩写 Switch_1(config-vlan)#exit Switch_1(config)#vlan 2103 Switch_1(config-vlan)#description VLAN2103_Voice Switch_1(config-vlan)#exit Switch_1(config)#vlan 2104 Switch_1(config-vlan)#description VLAN2104_IPTV Switch_1(config-vlan)#exit Switch_1(config)#exit Switch_1#wr

几个参数值得单独说。VLAN 号范围是 1~4094，1 是默认 VLAN，几乎所有端口出厂时都挂在它下面，通常不建议拿来承载业务，原因在第 3 章讲 VLAN 1 收尾时会展开。描述字段是纯文本，长度有限制，写「用途_位置」这种结构最实用，比如VLAN2104_IPTV，比vlan2104这种复读机写法强得多，半年后回来看还能知道这个 VLAN 是干嘛的。

wr这条命令放在最后，不是可选项。它是把内存里的运行配置写进 flash 里的 startup 文件，不敲这一条，断电重启之后前面所有操作归零。文档原文在多个配置段末尾都写了wr，这个习惯要保留。

2.4 show run 与 wr：运行配置和 startup 是两份东西

很多人以为配完就存下了，其实设备里同时存在两份配置：内存里的运行配置，和 flash 里的 startup 文件。改配置改的是运行配置，wr才是把运行配置覆盖写入 startup。这个区别在两种场景下会咬人。

第一种是改错了想反悔。运行配置改坏了，只要没wr，重启一次就回到 startup 的状态——这是设备自带的后悔药，但只有一次机会。第二种是改对了忘了存。配置调了两小时，业务全通，人一走机房跳闸，回来一看白干。血泪经验是：每完成一个逻辑块就wr一次，别攒到最后。

回读配置用show run，在特权模式下敲。重点看三处：VLAN 有没有建出来、每个 VLAN 下面挂了哪些 tagged/untagged 端口、每个端口的 PVID 是多少。这三处对上了，二层基本就通了。show run输出可能很长，端口多的时候按空格翻页，别急着Ctrl+C掐断。

3. VLAN 与 tag/untag/PVID：三网合一单线复用怎么落地

三网合一这个词听起来玄，落到配置上其实就一件事：一根网线从楼道拉进用户家，同时承载上网、电话、IPTV 三路业务，三路各自一个 VLAN，靠 802.1Q 标签区分。要配对这个场景，得先把 tag、untag、PVID 三个词的物理含义掰开。

3.1 tag 就是 trunk，untag 就是 access

802.1Q 标签是在以太网帧的源 MAC 后面插 4 个字节，其中 12 位是 VLAN ID，所以 VLAN 号最大 4094。交换机端口对标签的处理只有两种态度：

• tagged：出去的帧带标签，进来的帧必须带标签。对应大家常说的 trunk 口，一般用来接上联设备、接路由器、接另一台交换机。
• untagged：出去的帧剥掉标签，进来的无标签帧按端口的 PVID 归属到某个 VLAN。对应 access 口，接的是不懂 VLAN 的普通终端。

文档原文里明确写了「tagged 为打标也就是 trunk，untagged 为非打标也就是 access」，这个对应关系是理解整份配置的钥匙。三网合一里，port 0/0是上联口，接光猫或者上行设备，三个 VLAN 都要从它出去，所以它在三个 VLAN 下都得是tagged；port 0/1到0/6是下联口，接机顶盒、话机、电脑，各自只属于一个 VLAN，所以是untagged。

关键点在于：一个端口的 tagged/untagged 属性是按 VLAN 分别配置的，不是端口级的全局属性。同一个0/0口，在 VLAN 20 下是 tagged，在 VLAN 2103 下也是 tagged，在 VLAN 2104 下还是 tagged——三条命令，少一条就少一个 VLAN 通。新手常犯的错是在一个 VLAN 下配完就以为上联口通了，结果另外两个业务死活不通。

3.2 PVID：无标签帧的默认归属

PVID 是端口的默认 VLAN 号，干两件事：收到无标签帧时给它打上这个 VLAN 的标签，以及untagged发包时决定剥完标签后这个帧属于谁。它只在端口配置模式下设置，命令是pvid 20。

PVID 和 untagged 必须成对出现，而且值要一致。举例：port 0/1在 VLAN 20 下是untagged，端口 PVID 也是 20，那么接在0/1上的电脑发出的无标签帧进来后归到 VLAN 20，VLAN 20 的 DHCP 服务器回包出去时剥掉标签，电脑正常拿到 20 网段的地址。

错配的后果很具体。PVID 设成 1 而 untagged 挂在 20 上，终端发出的帧全被归到 VLAN 1，DHCP 请求跑到默认 VLAN 里去了，表现就是「网线插着、灯亮着、就是拿不到地址」。反过来 PVID 是 20 但忘了在 VLAN 20 下把端口设成 untagged，端口在 VLAN 20 里根本没挂上，表现是「拿到了地址但网关不通」。这两种现象在三网合一现场特别容易混淆，因为电话和 IPTV 的故障表现也差不多。

3.3 三网合一的完整输入序列

文档原文给的那段配置是show run的输出形态，直接照抄敲不进去，得按层级整理成输入序列。下面是整理后的可执行版本，假设上联口0/0，上网口0/1，电话口0/2，IPTV 口0/3-0/6：

Switch_1#configure terminal ! 第一步：建三个业务 VLAN 并写描述 Switch_1(config)#vlan 20 Switch_1(config-vlan)#description VLAN20_Internet Switch_1(config-vlan)#port 0/0 tagged # 上联口在本 VLAN 打标 Switch_1(config-vlan)#port 0/1 untagged # 上网口不打标 Switch_1(config-vlan)#exit Switch_1(config)#vlan 2103 Switch_1(config-vlan)#description VLAN2103_Voice Switch_1(config-vlan)#port 0/0 tagged Switch_1(config-vlan)#port 0/2 untagged Switch_1(config-vlan)#exit Switch_1(config)#vlan 2104 Switch_1(config-vlan)#description VLAN2104_IPTV Switch_1(config-vlan)#port 0/0 tagged Switch_1(config-vlan)#port 0/3-0/6 untagged # 连字符批量挂四个口 Switch_1(config-vlan)#exit ! 第二步：逐个端口设 PVID，必须和 untagged 归属一致 Switch_1(config)#port 0/1 Switch_1(config-if)#pvid 20 Switch_1(config-if)#exit Switch_1(config)#port 0/2 Switch_1(config-if)#pvid 2103 Switch_1(config-if)#exit Switch_1(config)#port 0/3-0/6 Switch_1(config-if)#pvid 2104 Switch_1(config-if)#exit Switch_1(config)#exit Switch_1#wr

这段配置的逻辑是「先 VLAN 后端口」。VLAN 视图下解决「谁属于这个 VLAN、带不带标签」，端口视图下解决「这个口的默认归属是谁」。顺序不能反：先设 PVID 再挂 untagged 也能通，但如果中途wr了，中间态就是一份错配的配置，排查时容易看漏。

上联口0/0不设 PVID，也不需要设。它所有业务都走 tagged，进来的帧自带标签，PVID 对它没有意义。这是三网合一和普通接入配置的一个差异点，别顺手给它也来一条pvid，多余的配置在回读时会干扰判断。

3.4 VLAN 1 的收尾与回读校验

新设备或者清空过配置的设备，所有端口默认都在 VLAN 1 下 untagged。VLAN 1 是二层广播域的老家，STP 的 BPDU、各种发现协议都从这里走。如果业务口不解除和 VLAN 1 的关系，这些口会同时属于 VLAN 1 和业务 VLAN，广播在两个域里来回跑，轻则组播卡顿，重则广播风暴直接瘫。

文档原文里那段vlan 1 / description default / port 0/0-0/7 untagged就是默认状态的快照，说明它是需要处理的起点，而不是要保留的结果。常见做法是在 VLAN 1 视图下把业务口解除挂载，写法和挂载对称：

Switch_1(config)#vlan 1 Switch_1(config-vlan)#no port 0/1 untagged # 解除 0/1 与 VLAN 1 的 untagged 关系 Switch_1(config-vlan)#no port 0/2 untagged Switch_1(config-vlan)#no port 0/3-0/6 untagged Switch_1(config-vlan)#exit

不同版本的命令行对no的接受程度有差异，敲之前先用?看一眼当前版本支持哪种写法。如果设备不认这条，退一步的做法是把端口的 PVID 全部改到业务 VLAN，并且确认业务 VLAN 下这些口是 untagged、VLAN 1 下不是——效果等价，只是配置里会留下冗余行。

配完用show run回读，按三个维度核对：VLAN 20、2103、2104 是否都存在且描述正确；每个 VLAN 下的 tagged 端口是不是只有0/0，untagged 端口是不是各就各位；port 0/1、0/2、0/3-0/6的 PVID 是否与所属 VLAN 一致。三处对上，二层转发就没问题了，剩下的问题多半在组播和环路上。

4. 组播、风暴抑制、环路检测：三个容易配反的开关

二层通了不代表业务通。IPTV 卡成幻灯片、电话断断续续、整网时快时慢，很多时候不是 VLAN 配错，是三个全局或端口级开关没配对。这三个开关的共同点是：名字看着像「开了更好」，实际要看场景。

4.1 igmpsnoop enable：IPTV 不掉帧的关键

组播帧在交换机上的默认行为是泛洪——一个组播包进来，VLAN 内所有端口都收到一份。三网合一里 IPTV 的高清频道码流不小，泛洪意味着机顶盒没看的频道也在往所有下联口灌，端口带宽被白白吃掉。

IGMP snooping 的作用是让交换机偷听主机和组播路由器之间的 IGMP 报文，建一张「组播地址 → 端口」的表，之后只往真正有加入者的端口转发。文档原文里的配置是全局一条：

Switch_1(config)#igmpsnoop enable # 全局开启 IGMP 组播监听 Switch_1(config)#exit Switch_1#wr

这条命令开的是全局能力开关。部分版本还支持在 VLAN 视图下单独开，或者配置组播组的静态成员，具体看设备支持。开完之后的验证方式是看业务：机顶盒换台时延变短、同 VLAN 内其他端口流量下降，说明表在正常工作。

有个边界要说清：IGMP snooping 依赖主机主动发 IGMP 加入报文。如果下联挂的是个把组播流量硬转发的设备，或者组播源用了不规范的地址，snooping 表建不起来，表现是「开了但没用」。这时候要往回查组播源和主机的 IGMP 版本，别在交换机上反复开关。

4.2 storm-control disable：什么时候该关，什么时候是自残

广播风暴抑制是端口级的保护，端口上收到的广播、组播、未知单播速率超过阈值就丢包，防止一个环路把整台设备拖死。文档原文在三网合一配置里把0/0口的抑制关掉了：

Switch_1(config)#port 0/0 Switch_1(config-if)#storm-control disable # 关闭该口的广播风暴抑制 Switch_1(config-if)#exit

为什么要关？因为0/0是上联口，承载三个 VLAN 的全部流量，包括 IPTV 的组播和电话的信令广播。抑制阈值是按端口总速率算的，上联口的正常流量本身就接近甚至超过默认阈值，不关会被误杀，表现是「看几分钟就卡一下」。这是典型的「保护机制在错误的位置变成故障源」。

代价必须明说：关掉之后这个口失去广播保护，如果有环路，上联口会把风暴原样送进上游。所以关抑制和开环路检测要成对出现，下一节就是补这个洞。

下联口不建议关。接终端的口流量特征简单，抑制阈值留着能挡住终端侧的异常广播。

4.3 keepalive：端口环路检测的周期怎么定

文档原文给了一段容易被忽略但很关键的配置：迈普的环路检测要在端口下开，命令是keepalive加一个时间参数：

Switch_1(config)#port 0/1 Switch_1(config-if)#keepalive 100 # 每 100 秒发一次检测，单位秒 Switch_1(config-if)#exit

原理是端口周期性发送检测报文，如果又从自己这个口收回来了，说明下游存在环路，设备据此把端口阻塞或告警。参数就是检测周期，100 表示 100 秒一轮。

周期的取舍很实际。调小，检测快，但检测报文本身有开销，端口多的时候累积起来不小；调大，开销低，但环路存在的时间窗口就长，100 秒足够让一个广播风暴把交换机打满。接入层常用的量级是几十秒到几分钟，文档里给的 100 秒属于偏保守的取值，适合终端数量不多、环路风险主要来自用户私接的场景。

开在哪些口也有讲究。下联接终端的口全开，这是环路的高发区。上联口要慎重：上联口和对端设备之间如果有冗余链路，检测报文可能被对端绕回来，造成误判。三网合一那种单上联的结构，上联口一般不开。

4.4 spanning-tree disable：能关，但要看清代价

文档原文在三网合一那段里写了Spanning-tree disable，把生成树关了。这个操作在接入层有它的道理：单上联、无冗余链路的结构下，STP 带来的只有收敛等待，没有保护价值。而且 STP 收敛期间端口会经历阻塞、学习、转发几个状态，终端表现是插上网线要等十几秒才通，IPTV 机顶盒重新拨号也可能受影响。

但这条命令的适用边界非常窄。只要网络里存在第二条物理路径——不管是备用上联、用户自己接的小交换机，还是两台接入交换机之间连了一根线——关掉 STP 就等于把环路保护完全交给keepalive。这时候必须确认两件事：所有下联口的keepalive都开了，上联口的storm-control关得有理有据。三者是一套组合拳，拆开用就变成了纯冒险。

有冗余设计的场景，STP 必须留着，别为了省那十几秒收敛时间去赌。环路一起，整层楼断网，恢复时间远超收敛那点等待。

5. 避坑与排查：五条血泪记录

配置文档能给你正确的命令，给不了你出错时的现象。下面五条是按「现象 → 原因 → 解决」整理出来的现场记录，都是二层配置里反复出现的类型。

5.1 现象：网线插着灯亮着，终端拿不到地址

原因：PVID 没设，或者 PVID 的值和端口 untagged 所属的 VLAN 对不上。终端发出的 DHCP 请求是无标签帧，进交换机后被归到 PVID 指向的 VLAN，如果那个 VLAN 里没有 DHCP 服务器，请求就石沉大海。

解决：先show run找到对应端口，看pvid那一行；再找到该端口 untagged 所属的 VLAN，看两者是否一致。不一致就改 PVID，改完wr。如果 PVID 是对的，再往上看上联口的 tagged 有没有包含这个 VLAN，缺了就补。

5.2 现象：上网正常，电话和 IPTV 死活不通

原因：上联口0/0只在 VLAN 20 下配了tagged，另外两个 VLAN 忘了配。tagged 是按 VLAN 逐个挂的，不是端口属性，漏一个就断一个业务。回读配置时如果只看端口不看 VLAN 视图，很容易漏掉。

解决：逐个进 VLAN 视图核对port 0/0 tagged是否存在。文档原文里三个 VLAN 都写了这一行，抄的时候要抄全。核对完wr，然后从下联口抓包确认对应 VLAN 的标签有没有从上游下来。

5.3 现象：调了两小时配置，机房跳闸后全没了

原因：一直在改运行配置，没执行wr。运行配置在内存里，掉电即失，flash 里的 startup 还是旧版本。这种事故往往发生在「最后统一保存」的习惯下。

解决：改完一个逻辑块就存一次。更稳的做法是动手之前先看一眼show run，把当前可用配置导出一份留底，改坏了还能对照着回滚。wr之后建议再show run扫一遍，确认写进去的是你想要的那份。

5.4 现象：清空配置后重启，配置原封不动还在

原因：delete startup只删了 flash 里的文件，但设备当时还在用内存里的运行配置跑着。如果删除之后又执行了一次wr，运行配置会重新生成 startup 文件，等于白删。另一种情况是删完没断电重启，肉眼看不出变化就以为没删掉。

解决：严格按顺序走——特权模式下进filesystem，dir确认startup文件在，delete startup删掉，然后断电重启。重启后第一件事是show run确认是空的，此时千万不要再敲wr。这套动作有个前提：设备还有带外管理或者其他入口，删配置等于把自己关在门外，远程操作时想清楚再动手。

5.5 现象：开了环路检测，环路还是把网搞瘫了

原因：keepalive只开在了部分下联口，或者周期设得太长。环路可能通过没开检测的口形成，也可能在 100 秒的检测窗口内已经把广播域打满。另一种情况是上联口也开了检测，和对端设备互相误判，端口反复阻塞导致业务抖动。

解决：下联口全开，上联口不开，周期按终端数量取几十秒量级。配完用一根网线把两个下联口直连做一次验证，看设备是否按预期阻塞并产生告警，验证完拔掉。这一步很多人省，但它是唯一能确认检测真的生效的办法。

6. 清空配置与上线核对：把 startup 当成最后一个后悔药

设备配废了、要从别人手里接手、或者准备退库，都绕不开清空配置。文档原文给的路径很明确：特权模式下进filesystem，dir看文件，delete startup，断电重启。三步看着简单，实际操作里有几个点容易出岔子。

6.1 filesystem 下的三个动作

Switch_1#filesystem # 从特权模式进入文件系统视图 Switch_1#dir # 列出 flash 里的文件，找到 startup Switch_1#delete startup # 删除保存配置的文件 ! 删完直接断电重启，不要再 wr

filesystem这个入口是迈普和很多设备不一样的地方，它不是配置模式，进去之后敲的还是文件操作命令。dir的输出里除了startup可能还有其他文件，别手滑删错。delete一般会有一次确认提示，看清文件名再回。

删除之后的行为要预先想清楚：设备重启会以出厂默认状态起来，所有 VLAN、PVID、密码全没，管理地址也可能变。远程操作等于自断后路，必须有人在现场或者有 Console 线。我一般会在这个动作之前先把完整配置导出一份存本地，文件名带上设备位置和日期，删错了还能照着敲回去。

6.2 上线前的一张核对表

配置敲完不等于交付完成。下面这张表是我每次收工前必走的流程，逐项打勾，任何一项对不上都不算完：

这张表里最容易被跳过的是最后两行。环路检测配了但不验证，等于没配；wr敲了但不回读，等于赌设备没抽风。我吃过一次亏：配置全部正确，唯独漏了wr，第二天早上业务全断，排查了半小时才发现是配置没落盘。从那以后，我每次收工前都强制走一遍「wr→show run→ 逐项核对」这三步，一步不省。

如果你手上也有一台待接管的迈普交换机，建议先照着文档把基础配置和三网合一那段在实验环境跑通一遍，再上生产。命令本身不难，难的是层级、标签、PVID 这三者的对应关系，跑通一次，后面就是重复劳动了。希望帮到你。

本文还有配套的精品资源，点击获取