📚 课程目录第4章 Catalyst交换机初始部署与基础配置

4. Catalyst交换机初始部署与基础配置

Catalyst 9000 系列交换机（如 C9200、C9300、C9500）出厂时处于"未配置"状态，无法通过 IP 网络访问，必须经过物理上架、Console 接入、IOS-XE 初始化、管理地址配置，再逐步建立 SSH、SNMP、NTP 等运维基线。这一节把这条链路拆成可执行的工程动作，并给出关键参数的判断依据。

一、上架与物理连接

上架前先核对设备型号、电源模块、风扇托盘和上行模块是否与订单一致。C9300 通常为 1RU 固定盒式，C9500 有 1RU/2RU 规格，导轨安装时注意前后风道方向：数据中心冷通道进风、热通道出风，若装反会导致进风温度过高触发告警。电源建议双路接入不同 PDU，形成 1+1 冗余。

Console 接入是初始配置的唯一可靠通道。Catalyst 9000 前面板为 RJ45 Console 口，部分型号（如 C9500）同时提供 Mini-USB Console。使用随附的浅蓝色反转线连接 PC 串口或 USB 转串口适配器，终端参数固定为：9600 bps、8 数据位、无校验、1 停止位、无流控。若使用 USB Console，需先安装 Cisco USB Console 驱动，Windows 下会枚举出 COM 端口。

带外管理（OOB）应独立于业务网络。Catalyst 9000 提供专用 Mgmt-vrf 管理口（10/100/1000BASE-T），建议接入独立的带外管理交换机，与业务转发面物理隔离。这样即使业务 VLAN 或路由协议故障，仍可通过管理网远程登录。

二、IOS-XE 初始化与首次启动

首次上电后设备进入 ROMMON 或自动引导 IOS-XE。若出厂未预装镜像，需通过 ROMMON 的 TFTP 方式加载。正常启动后进入 Day-0 向导（部分版本自动弹出），也可跳过向导直接进入 CLI。建议跳过向导，手工配置以获得完整控制。

进入特权模式后，先检查版本与硬件：

Switch> enable
Switch# show version
Switch# show inventory
Switch# show switch          ! 堆叠型号查看成员状态

确认 IOS-XE 版本满足目标特性（如是否需要 NETCONF/YANG、是否支持特定 SD-Access 功能）。若需升级，使用 install add file flash:cat9k_iosxe.xx.bin activate commit 方式，而非传统的 copy tftp flash，因为 Catalyst 9000 采用包管理模式，install 命令会处理依赖与激活。

三、管理 IP 与基础可达性

管理地址配置在 Mgmt-vrf 的 GigabitEthernet0/0 接口上。示例参数（合理假设）：管理网段 10.10.10.0/24，网关 10.10.10.1，交换机地址 10.10.10.21。

Switch# configure terminal
Switch(config)# interface GigabitEthernet0/0
Switch(config-if)# vrf forwarding Mgmt-vrf
Switch(config-if)# ip address 10.10.10.21 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit
Switch(config)# ip route vrf Mgmt-vrf 0.0.0.0 0.0.0.0 10.10.10.1
Switch(config)# end
Switch# ping vrf Mgmt-vrf 10.10.10.1

注意 vrf forwarding 会清除接口上已有 IP，必须先指定 VRF 再配地址。ping 通网关后，从管理网 PC 反向 ping 交换机地址，确认双向可达。

四、SSH 与本地认证

关闭 Telnet，仅启用 SSHv2。需要先配置主机名与域名（用于生成 RSA 密钥），再创建本地用户和启用 SSH。

Switch(config)# hostname C9300-01
C9300-01(config)# ip domain-name corp.example.com
C9300-01(config)# crypto key generate rsa modulus 2048
C9300-01(config)# username admin privilege 15 secret Str0ngP@ss
C9300-01(config)# ip ssh version 2
C9300-01(config)# line vty 0 15
C9300-01(config-line)# transport input ssh
C9300-01(config-line)# login local
C9300-01(config-line)# exit
C9300-01(config)# aaa new-model
C9300-01(config)# aaa authentication login default local
C9300-01(config)# aaa authorization exec default local

验证：show ip ssh 应显示 SSH Enabled - version 2.0；从管理 PC 执行 ssh admin@10.10.10.21 能登录即成功。若失败，检查 RSA 密钥是否生成、VTY 是否仅允许 SSH、ACL 是否误拦截。

五、SNMP 与 NTP 基线

SNMP 用于监控采集。生产环境优先 SNMPv3（认证+加密），示例使用 authPriv：

C9300-01(config)# snmp-server group NMS-GRP v3 priv
C9300-01(config)# snmp-server user nmsuser NMS-GRP v3 auth sha AuthP@ss priv aes 128 PrivP@ss
C9300-01(config)# snmp-server host 10.10.10.50 version 3 priv nmsuser
C9300-01(config)# snmp-server location DC1-RackA-U12
C9300-01(config)# snmp-server contact netops@corp.example.com

NTP 保证日志时间戳一致，便于跨设备关联排障。配置内部 NTP 服务器并启用认证：

C9300-01(config)# ntp server 10.10.10.10 key 1
C9300-01(config)# ntp authentication-key 1 md5 NtpKey@123
C9300-01(config)# ntp authenticate
C9300-01(config)# ntp trusted-key 1
C9300-01(config)# clock timezone CST 8

验证命令：show ntp status 应显示 Clock is synchronized，show ntp associations 中服务器前有 * 表示当前同步源。若长期 unsynchronized，检查 UDP 123 是否被 ACL 拦截、密钥是否匹配。

六、配置保存与基线核查

完成上述配置后执行 write memory 或 copy running-config startup-config。建议将配置导出备份：copy running-config tftp://10.10.10.50/C9300-01.cfg。

基线核查清单：管理 IP 可达、SSHv2 可登录、Telnet 已关闭、SNMPv3 可采集、NTP 已同步、配置已保存并备份。任一项不通过，不应将设备移交生产。

下图把上述部署链路与关键判断点串成一条信号/数据流，便于对照执行与排障。

把这条链路走完，设备就从"裸机"变成了可远程运维、时间可对齐、状态可监控的受管节点。后续的 VLAN、堆叠、路由协议配置，都建立在这套管理基线之上。