简介面向数据中心存储网络工程师与运维人员的Cisco MDS9148交换机配置详解聚焦首次上电初始化、管理接口配置与Zoning安全策略等关键环节帮助读者快速掌握SAN交换机的部署基础。资料为PDF格式共1个文件压缩包大小39KB内容精炼但覆盖完整从串口连接初始化、管理员密码设置到管理IP、网关、SSH/Telnet、HTTP服务、时钟与NTP同步再到默认端口状态、Trunk模式及Zone策略配置均配有CLI交互示例和界面操作说明。尤其适合需要独立完成MDS9148开局配置或正在规划数据中心存储网络的人员参考。已有1817人浏览学习可作为配置操作前的速查手册减少查阅英文原厂文档的时间成本同时提醒变更保存与备份等运维要点。1. 提到cisco MDS9148配置很多人第一反应是它和Catalyst差不了多少提到cisco MDS9148配置很多人第一反应是它和Catalyst差不了多少都是命令行、配个IP、划个VLAN。实际上这台设备是面向中小型SAN环境的光纤通道交换机管的是存储流量而不是IP流量。第一次配MDS9148最容易犯的错就是拿园区网交换机的经验往上套管理IP配好、端口起来可服务器就是看不到存储。差别在于MDS9148的核心配置不是VLAN而是VSAN和Zone两层逻辑隔离加上WWPN这类存储寻址方式。本文按一条完整落地路径来写初始化、管理通道、VSAN与Zone、端口与验证、常见翻车点以及多台设备批量落地的技巧适合正接手存储网络或第一次独立配置MDS9148的运维和网络工程师。2. 首次上电与初始化console口是唯一可靠的入口2.1 连console前先确认串口参数与线缆MDS9148的console口在设备前面板左侧接口形态是RJ45随机附带的console线通常是RJ45转DB9。近几年有些批次改成了USB转串口用之前先看清线缆上面的标识。连接笔记本之后串口参数固定是9600、8、N、1无流控。大部分终端软件默认就是这个值不用改。如果你用的是SecureCRT或PuTTY建立连接后屏幕上没有任何输出优先检查两件事设备是否已经正常加电以及笔记本设备管理器里选中的COM口号是否正确。USB转串口线每次插入后COM口号可能变化尤其是笔记本有多个USB口的情况下。还有一类常见问题出在转接头芯片上。PL2303老芯片的USB转串口线在Win10 1809之后驱动兼容性很差插上设备管理器能看到端口但就是没有数据。我遇到这种问题通常直接换一根FTDI芯片的线不要花时间折腾驱动。全新开箱的MDS9148上电后会进入系统引导引导完成后停在switch login提示默认账号是admin、默认密码admin第一次登录会强制要求修改密码。如果设备是别人用过的你又不知道密码只能通过console口在设备启动时进入boot模式重置密码这属于应急手段新设备基本用不上。2.2 setup向导跳过还是用它初始化全新设备首次登录后系统会提示是否进入setup配置向导。这个向导会按顺序询问一堆问题是否继续配置、管理IP、子网掩码、默认网关、是否启用telnet和ssh、是否创建snmp团体字、admin密码等等。表面看跟着向导走完就能用了但实际生产环境我建议直接跳过。原因是向导生成的配置倾向于把所有事情都打开同时会把default zone policy留成permit也就是所有设备和设备之间默认互通。这对存储网络来说是不可接受的存储网络的Zone策略应该是默认deny只有明确加入同一个Zone的设备才能互相访问。跳过向导的方式很简单在提问处输入no即可switch# setup ... Would you like to enter the setup wizard? (yes/no): no switch#跳过之后设备直接进入命令行维护模式。此时第一件事是验证一遍出厂默认的zone策略如果策略不是deny先把它改掉switch# conf t switch(config)# zone default-zone deny vsan 1这条命令的含义是VSAN 1里凡是没有被Zone覆盖的成员默认不允许互通。MDS9148出厂自带VSAN 1所有端口默认落在里面所以这一步要在配任何Zone之前先做。在MDS上default-zone策略是按VSAN独立生效的后面新建的VSAN也要各自确认一遍。2.3 管理IP与默认网关MDS和IOS不一样的地方MDS9148的带外管理口是mgmt0位置在设备前面板右侧是一个千兆以太网口。这个口只承载管理流量不参与FC存储转发所以无论FC网络怎么配置都不会影响管理口的连通性。配置管理IP需要进入interface mgmt0switch# conf t switch(config)# hostname SAN-SW01 SAN-SW01(config)# interface mgmt0 SAN-SW01(config-if)# ip address 192.168.10.10 255.255.255.0 SAN-SW01(config-if)# no shutdown SAN-SW01(config-if)# exit SAN-SW01(config)# ip default-gateway 192.168.10.1 SAN-SW01(config)# end SAN-SW01# ping 192.168.10.1和Cisco IOS不一样的地方在于MDS的默认网关命令是ip default-gateway不是ip route 0.0.0.0 0.0.0.0。你可以在MDS上执行ip route命令但它通常用于管理面VRF的路由不是全局默认网关。如果你只配了管理IP没配网关从其他网段SSH是进不来的。ping默认网关通了之后再用PC去ping管理IP验证一下。管理IP配置完成后建议立刻执行一次copy running-config startup-config否则重启后这些网络配置全部丢失。MDS没有IOS那种自动保存机制这一点贯穿整个配置流程后面每个环节做完都要记得保存。2.4 用SSH替代telnetfeature ssh与本地认证兜底MDS9148出厂默认开启telnet和ssh服务。telnet是明文协议存储网络的安全审计基本不允许标准做法是只保留SSH。MDS上SSH服务默认是关闭的需要手工开启并生成密钥SAN-SW01(config)# feature ssh SAN-SW01(config)# ssh key rsa 2048 SAN-SW01(config)# no feature telnet SAN-SW01(config)# end SAN-SW01# show ssh serverfeature ssh是启用SSH服务的开关ssh key rsa 2048用来生成RSA密钥对。如果之前已经生成过密钥命令会提示是否覆盖选择yes即可。生成完成后show ssh server的输出里能看到服务状态是enabled、密钥长度2048。no feature telnet则把telnet服务停掉。注意关闭telnet前一定要先用SSH客户端从管理IP登进去一次确认SSH通道可用再关否则console又不方便的时候容易把自己锁在外面。MDS还有一个坑是AAA认证优先级。MDS的登录认证默认先找AAA服务器如果设备上配置了AAA服务器地址而服务器当前不可达SSH和telnet都会被拒掉。稳妥做法是在配置AAA之前先加一条本地认证兜底SAN-SW01(config)# aaa authentication login default local这条配置的意思是默认登录方式使用本地用户名密码认证。MDS的默认本地账号是admin密码就是首次登录时设置的那个。如果后续配置了AAA这条default local的优先级要注意——AAA配置会覆盖它所以要确认AAA环境稳定后再切成AAA认证。3. VSAN与ZoneMDS9148的存储隔离核心3.1 VSAN是存储网络的“VLAN”VSANVirtual SAN可以理解为存储网络里的VLAN。一台MDS9148物理上有48个FC端口但通过VSAN可以把端口划分进不同的逻辑网络中。每个VSAN拥有独立的Fabric服务、独立的Zone数据库、独立的登录注册表。换句话说一个端口划入VSAN 10之后它在Fabric里看到的世界和VSAN 20里的设备完全不同即使物理上连着同一台交换机两边也是隔离的。MDS9148出厂自带VSAN 1所有端口默认属于它。生产环境我一般建议不要直接用VSAN 1而是按业务或环境单独建VSAN比如生产一个VSAN 10、备份一个VSAN 20。原因有两个第一新接入的设备如果没有显式划入其他VSAN会默认落在VSAN 1如果VSAN 1的Zone策略又比较宽松新设备就可能看到存量设备第二VSAN 1里混入太多设备会给后续排查增加复杂度。创建VSAN的命令SAN-SW01(config)# vsan database SAN-SW01(config-vsan-db)# vsan 10 SAN-SW01(config-vsan-db)# vsan 10 name PROD SAN-SW01(config-vsan-db)# exit SAN-SW01(config)# end SAN-SW01# show vsanvsan database是MDS上管理VSAN的配置入口。vsan 10创建VSAN 10vsan 10 name PROD给它起一个可读的名字。show vsan的输出里重点关注State字段是不是active以及每个VSAN下有多少端口。新建VSAN默认没有端口这是正常现象端口需要单独划入后面会讲到。3.2 查WWNN和WWPN先搞清楚谁是谁Zone的成员不是按端口号划分而是按设备的World Wide Name来区分。每台光纤通道设备HBA卡、存储控制器端口在出厂时都会被分配全球唯一的WWNN节点名和WWPN端口名。WWNN表示设备本身WWPN表示设备上的某个端口就像一台服务器有网卡MAC每个网卡口又各有自己的MAC一样。在MDS上查看已经登录到交换机的设备SAN-SW01# show flogi database vsan 10 Interface VSAN FCID Port WWNN Port WWPN fc1/1 10 0x010100 20:00:00:25:b5:10:01:02 21:00:00:25:b5:10:01:02 fc1/2 10 0x010200 20:00:00:25:b5:10:02:01 21:00:00:25:b5:10:02:01flogi是Fabric Login的缩写设备登录交换机时会在Fabric上注册自己的WWNN和WWPNFCID是交换机动态分配的。如果某台设备没出现在这个表里说明它没有成功登录到该VSAN此时Zone配得再对也没有意义。实际项目中定位某个WWPN对应哪台服务器或哪台存储通常要结合服务器和存储两端的信息。Linux下可以用systool -c fc_host或lsscsi -H查看HBA卡的WWPN存储阵列一般在管理界面里能看到接入主机的WWPN列表。把这些信息收集齐再回MDS上配Zone比边配边猜效率高得多。3.3 Zone和Zone Set三层结构一次摆平Zone的配置结构是VSAN - Zone Set - Zone - 成员一共四层。Zone是实际的访问控制单元同一个Zone内的成员可以互相访问Zone外的不可见。Zone Set是Zone的容器只有被激活的Zone Set才真正生效。也就是说你可以创建一堆Zone但只要不把它们放进Zone Set并激活它们就只是配置不起作用。配置一个ZoneSAN-SW01(config)# zone name ZONE-SRV01-STO01 vsan 10 SAN-SW01(config-zone)# member pwwn 21:00:00:25:b5:10:01:02 SAN-SW01(config-zone)# member pwwn 21:00:00:25:b5:10:02:01 SAN-SW01(config-zone)# exitmember pwwn后面跟的是WWPN不是WWNN。这是MDS9148配置里最常见的一个翻车点。从show flogi database的输出看WWNN通常以20:00开头WWPN通常以21:00开头抄错一位整个Zone就废了。如果你真的要按节点名做成员MDS支持member wwnn但实际生产环境里几乎用不到标准写法就是用WWPN。Zone建好后放进Zone Set并激活SAN-SW01(config)# zoneset name ZS-PROD vsan 10 SAN-SW01(config-zoneset)# member zone ZONE-SRV01-STO01 SAN-SW01(config-zoneset)# exit SAN-SW01(config)# zoneset activate name ZS-PROD vsan 10zoneset activate是激活动作执行后该VSAN下的Zone配置会通过RSCN同步给所有在线设备。已经登录的HBA卡和存储控制器会重新扫描Fabric感知新的访问关系。修改已有Zone后也必须重新执行一次activate改动才会生效这一点和很多厂商的动态配置不太一样容易被人忽略。3.4 确认Zone生效从交换机和服务器两侧看配置完成不是终点验证才是。MDS侧验证SAN-SW01# show zoneset active vsan 10 zoneset name ZS-PROD vsan 10 zone name ZONE-SRV01-STO01 vsan 10 * pwwn 21:00:00:25:b5:10:01:02 * pwwn 21:00:00:25:b5:10:02:01带星号的成员说明该WWPN当前在线没带星号则表示对应的设备没有登录到这台MDS。如果某个成员不带星号优先查show flogi database确认设备到底在不在线而不是怀疑Zone配置本身。服务器侧的验证要看操作系统类型。Linux下可以查看FC主机端口识别到的远端端口# cat /sys/class/fc_host/host*/port_name如果能看到存储控制器的WWPN说明Zone已经生效。Windows下可以在存储多路径管理工具或设备管理器里看。这一步不要省。我之前遇到过一次配置看起来全部正确show zoneset active里成员也都带星号结果服务器就是发现不了存储最后查下来是服务器上HBA卡的驱动多路径没启用属于服务器侧问题和MDS配置无关——这类问题只有在服务器侧验证时才能暴露出来。4. 端口模式、速率与物理链路FC端口的三层排查4.1 端口模式F/E/auto先理解再选MDS9148的48个FC端口编号是fc1/1到fc1/48。首次上电后所有端口默认是shutdown状态需要逐个或批量开启。查看端口状态SAN-SW01# show interface brief Interface VSAN Admin Oper Speed Mode fc1/1 10 up up 16G F fc1/2 1 down down -- --Mode字段有几种取值F表示连接终端设备服务器HBA或存储控制器E表示连接其他交换机级联FL表示连接环路设备老式磁带机这类现在很少见。auto表示自动协商对端类型。生产环境建议对关键端口显式指定模式不要完全依赖auto。比如服务器HBA连接MDS的端口配置成F没有任何悬念但交换机级联时如果一边是auto、另一边是E某些老固件版本协商会出问题表现为物理层起来几秒又掉。显式指定端口模式SAN-SW01(config)# interface fc1/1 SAN-SW01(config-if)# switchport mode F SAN-SW01(config-if)# no shutdown手动指定模式的好处在于端口模式一旦配错端口会直接起不来这本身就是个明确的报错信号。比如一个口接了服务器HBA你却配成EOper状态就是down这样排查线缆和配置都很快。4.2 端口速率8G与16G混接的坑MDS9148根据具体型号不同端口速率支持8G或16G。如果老设备比如8G的HBA卡插到16G端口上物理链路能起来但FLOGI会变得不稳定——设备在交换机上反复登录、注销服务器多路径软件里看到的路径时通时断。遇到这种情况最直接的解法是把交换机端口速率锁到对端支持的最高速率SAN-SW01(config)# interface fc1/4 SAN-SW01(config-if)# switchport speed 8000 SAN-SW01(config-if)# no shutdownswitchport speed的单位是Mbps所以8000就是8G。MDS上常见的速率参数有2000、4000、8000、16000。我一般把速率锁成对端设备支持的最高档比如8G HBA就锁800016G存储控制器就锁16000。锁错速率会导致端口Oper down改回正确值即可恢复不会影响其他配置。速率不匹配导致的问题有个典型特征show interface里Oper状态是up但show flogi database里找不到设备或者设备的FCID每次都在变看到这种现象时先查速率再去查光纤线。4.3 光模块排查transceiver里的关键参数端口Oper down且FLOGI失败时最常见的问题不在配置而在物理层光模块是头号嫌疑。MDS上查看光模块状态SAN-SW01# show interface fc1/5 transceiver输出里有几个关键参数要留意。温度超过70度就要警惕机房散热问题Tx Power是发送光功率Rx Power是接收光功率如果Rx Power极低比如-20dBm以下说明接收方向的光路有问题常见原因包括尾纤弯曲半径过小、法兰盘积灰、光纤端面污染。如果输出显示transceiver is not present先重新插拔光模块不行就换一个。存储网络里的光纤链路问题往往带着玄学色彩接头擦了就好过几天又掉光功率看着正常但就是丢帧。这类问题要结合show logging里的错误计数来定位不要只凭端口up就判断链路健康。在4.1和4.2的排查基础上第三步永远是看光模块这个顺序不能乱。4.4 级联与trunk多台MDS互联时的注意点多台MDS之间做级联时端口模式要配置成E。默认情况下级联链路ISL只承载一个VSAN的流量。如果多个VSAN的流量都要跨交换机转发需要在ISL端口上开启trunkingSAN-SW01(config)# interface fc1/3 SAN-SW01(config-if)# switchport mode E SAN-SW01(config-if)# switchport trunk mode onswitchport trunk mode on的含义是该端口在所有VSAN上转发帧。注意如果对端交换机没有开启trunking或者对端是第三方品牌的交换机trunk协商会失败ISL端口会保持down。MDS和Brocade混接时通常要显式把trunk mode设为off或用兼容模式这一块是实践中最常踩的坑之一。级联配置完成后还要确认每台交换机上都创建了对应的VSAN否则即使ISL物理链路是up的数据帧也不会转发过去。5. MDS9148配置避坑指南五个常见翻车点5.1 Zone Set激活后设备互相看不到现象zoneset activate命令执行成功show zoneset active也能看到成员但服务器侧就是扫不到存储。原因九成是Zone成员WWPN写错了。常见错误有三种把WWNN当成WWPN写进去了WWPN格式不对必须是八组十六进制数、用冒号分隔或者Zoning策略本身逻辑有问题——比如服务器有两个HBA口、存储有两个控制器口但只把其中一个HBA口和其中一个存储口放进了Zone另一个路径不在Zone里。解决先用show flogi database核对实际登录的WWPN再进入zone配置里删除错误成员、添加正确成员然后重新执行zoneset activate。注意修改Zone后不重新激活是不会生效的这是MDS和Brocade这类动态Zone机制最大的差异特别容易忽略。5.2 端口up但FLOGI失败先从光模块查起现象show interface brief显示端口up但show flogi database里看不到设备或者设备的FCID反复变化。原因最常见的是速率协商问题其次是光模块劣化。16G端口插8G老HBA如果HBA侧固件太老不支持速率协商就会出现物理层up但FLOGI失败的现象。部分第三方光模块在MDS上能被识别但性能不稳定表现为接收光功率波动大。解决按顺序排查——先show interface transceiver看接收功率排除物理层问题再把端口速率手动锁到8000或4000。如果还不行换一个正规渠道的光模块测试。光模块问题在存储网络中占比很高这是最容易被忽视的隐性故障源。5.3 重启后所有配置消失现象设备重启后回到出厂状态show running-config里只剩默认配置。原因没有执行copy running-config startup-config。MDS的running-config和startup-config是分开管理的没有自动保存机制。很多人配完Zone、激活完成后就收工结果设备断电重启后一切归零。解决每次配置完成后执行copy running-config startup-config也可以在配置完较大变更后单独保存一次。MDS也支持write memory效果一样。生产环境如果有多台MDS保存的动作要在每台上都执行不要只在一台做主备的设备上保存。5.4 telnet能进SSH被拒密钥没生成现象管理IP能ping通telnet正常但SSH连接被拒绝。原因MDS的SSH服务和IOS不一样它默认是关闭的必须先执行feature ssh开启服务然后生成RSA密钥。如果只开了feature ssh而没生成密钥SSH服务虽然起来了但无法完成密钥交换客户端会报错。解决按2.4节的顺序操作先feature ssh再ssh key rsa 2048最后用show ssh server确认服务状态。另一个关联问题是AAA认证如果MDS上配置了AAA服务器且服务器不可达SSH也会失败。确保本地认证兜底配置a a a authentication login default local存在然后再排查其他问题。5.5 误删Zone或Zone Set现象手误删除了生产Zone激活后所有存储路径中断。原因MDS命令行没有撤销功能。zone delete一下就直接没了不像有些网页管理界面有undo操作。很多人习惯了图形界面的可逆操作到了命令行就容易出事。解决配置前养成备份习惯。最原始但有效的方法是把show running-config的输出保存到本地文件纳入版本管理。每次变更前导出一份变更后再导出一份。误删后即使没有备份也可以通过重新创建Zone、重新激活Zone Set来恢复。但如果忘掉了Zone里的成员WWPN那恢复起来就要靠show flogi database和之前的变更记录了。6. 从备份恢复到批量下发多台MDS9148的落地技巧6.1 备份与恢复留一颗后悔药MDS9148配置没有自动保存机制除了每次配置后copy running-config startup-config我还会把running-config备份到bootflash和外部服务器SAN-SW01# copy running-config bootflash:config-20250601.txt SAN-SW01# copy bootflash:config-20250601.txt running-config恢复时导入的是running-config导入后先执行show running-config确认无误再copy running-config startup-config不要直接覆盖startup-config。这样万一导入的配置有问题还能用之前的startup-config回退。备份文件建议按日期命名多台设备还要在文件名里带上设备名。6.2 验证清单每次配置后过一遍这四条我一般用四条命令做最终验证覆盖管理通道、VSAN/Zone、端口、日志四个方面show interface mgmt0 show zoneset active vsan 10 show flogi database vsan 10 show interface brief最后再补一条show logging | include FLOGI|ZONE看有没有异常事件。如果设备数量多推荐配上NTP和SNMP端口up/down和Zone激活这类事件推送给监控系统不用每天手动登录查看。配置MDS9148本质上不复杂——搞清楚VSAN隔离、Zone授权、端口模式、光模块健康这四件事剩下的是细致活。把这些基本概念吃透很多看似玄学的故障都能顺着命令输出一步步定位到根因。希望这篇文章能帮你在MDS9148的配置和运维上少走弯路。本文还有配套的精品资源点击获取