VLAN配置后无法通过Telnet/SSH登录交换机

Question

常见问题：VLAN配置后无法通过Telnet/SSH登录交换机，多因管理IP未正确绑定至指定VLAN或三层接口未启用。典型场景包括：① 交换机仅配置了VLAN接口（SVI）IP，但未将连接PC的端口划入该VLAN，导致管理流量无法到达；② 端口被配置为Access模式但所属VLAN与管理VLAN不一致，或Trunk端口未放行管理VLAN；③ 忘记启用SVI（如`no shutdown`），或未开启Telnet/SSH服务（`transport input telnet ssh`）、未配置VTY线路认证（如AAA或本地用户）；④ ACL或防火墙策略误阻断22/23端口；⑤ L3交换机未启用IP路由（`ip routing`），导致跨VLAN管理失败。排查需按“物理连通性→VLAN成员关系→SVI状态→服务与认证配置→ACL/路由”逐层验证。

Answer 1

```html

一、物理连通性：链路层可达性的基石

这是所有远程管理故障排查的起点。即使配置再完美，物理层不通则一切归零。需验证：网线类型（直通/交叉）、双工与速率协商（show interfaces status）、端口LED状态、PC与交换机间是否处于同一广播域（同VLAN时应能ping通SVI IP）。特别注意SFP模块兼容性、光衰告警及Auto-MDIX启用状态。对于堆叠环境，还需确认管理端口是否被错误地分配至非主控单元。

二、VLAN成员关系：流量归属的精确映射

• Access端口：执行show interfaces switchport确认Administrative Mode为access且Access Mode VLAN与管理VLAN一致；
• Trunk端口：检查show interfaces trunk输出中管理VLAN是否在Allowed VLANs列表内（如缺失需switchport trunk allowed vlan add 10）；
• Hybrid/General端口（H3C/Cisco Nexus）：验证PVID与untagged VLAN设置是否匹配管理流量预期。

常见陷阱：端口因err-disable进入shutdown状态（show interface status | include err-disabled），或动态VLAN分配（GVRP/MVRP）未同步导致临时失联。

三、SVI状态与IP路由：三层接口的生命体征

检查项	Cisco命令	预期输出
SVI是否UP	show ip interface brief | include Vlan10	Vlan10 192.168.10.1 YES manual up up
L3路由全局启用	show ip protocols | include routing	Routing Protocol is "rip" / or "ip routing enabled"

若SVI显示up down，表明协议UP但线路协议DOWN——本质是该VLAN无活动端口成员；跨VLAN管理必须启用ip routing（L3交换机默认关闭），否则ARP可通但ICMP/TCP不可达。

四、服务与VTY认证：安全通道的准入机制

! 必须同时满足三项才可建立会话：
interface Vlan10
 ip address 192.168.10.254 255.255.255.0
 no shutdown
!
line vty 0 15
 login local
 transport input ssh telnet
!
username admin privilege 15 secret $9$...
ip domain-name corp.local
crypto key generate rsa modulus 2048  ! SSH必需

典型疏漏：仅配置login却未设login local或AAA方法；VTY未绑定ACL限制源IP；SSH密钥过期或未生成；Telnet明文传输被策略禁用但未启用SSH替代方案。

五、ACL与策略控制：隐形防火墙的拦截逻辑

graph TD
  A[VTY线路入向ACL] -->|deny tcp any any eq 22| B[SSH连接拒绝]
  C[SVI入向ACL] -->|deny icmp any any| D[无法ping通管理IP]
  E[全局CoPP策略] -->|police 8000 bps| F[VTY连接超时]
  B --> G[检查: show access-lists & show policy-map control-plane]
  D --> G
  F --> G

企业级设备常部署控制平面策略（CoPP）、SVI方向ACL或VTY专用ACL。使用show ip access-lists定位隐式deny规则位置，注意ACL应用方向（in/out）与接口层级（VTY vs. SVI）。某些厂商（如Juniper）默认启用管理防火墙，需显式放行22/23端口。

六、进阶诊断：协议交互与时间戳取证

1. 在PC端抓包：tcpdump -i eth0 port 22 or port 23 -w mgmt.pcap，观察TCP三次握手是否完成；
2. 交换机侧启用调试：debug ip packet detail acl 100（配合ACL 100匹配管理流量）；
3. 检查NTP同步状态：show ntp status，证书校验失败（SSH）常因系统时间偏差＞5分钟；
4. 验证DNS解析：ping mgmt-switch.corp.local，排除主机名解析失败导致的“连接超时”假象；
5. 审查日志缓冲区：show logging | include %SEC-6-IPACCESSLOG，定位ACL丢包源头。

对于SDN环境，还需验证控制器下发流表是否覆盖管理VLAN，以及OVSDB/OpenFlow通道健康度。

```