这台中国移动的 F7005MV3 是中兴做的，铭牌型号 ZXHN F7005MV3，2025 年 1 月出厂。拿在手里的第一感觉是它不像一台「光猫」：没有天线，没有电话口，塑料壳子很薄，四个网口加两个 USB，正面一排九个灯就完事了。
会去找这台机器的人，基本是两个目的。一个是运营商送的老猫跑不满千兆宽带，想自己换一台带 2.5G 口的，把路由器和光猫之间那一段瓶颈先拆掉；另一个是家里有软路由或者好一点的无线路由器，根本不需要光猫再带 WiFi。这台机器正好两头都占：上行是 XG-PON，四个网口里有一个 2.5G，无线和电话全砍掉，体积小、发热低、也便宜。
下面把壳子、板子、串口日志三样各过一遍。三者里最靠得住的永远是日志。丝印告诉你这颗芯片能做什么，日志告诉你这台机器实际是什么，这两件事经常不是一回事。板子上留了调试串口，我焊了排针把整段启动过程录了下来，后半篇基本都在读它。
先说结论
- 主控是中兴微的 ZX279133，双核 Cortex-A53，主频 1.0GHz。丝印四行：
ZXIC、ZX279133、0106 TNXB2500、2437/JC81E003。日志里它自己报的是CPU : ZX279133@A53x2,1000MHZ，紧接着又写了一句Model: ZTE 133。这颗芯片是中兴微面向光猫和路由器市场的那条产品线，官方资料里支持 XG-PON、XGS-PON、GPON、EPON 一大串接入协议。 - 内存 512MB，闪存 256MB，两个数字都是日志实测。内存是力积电一颗
Zentel A3T4GF40BBF-HP，DDR3；闪存是SkyHigh ML02G300WHI00，2Gb 的 SPI NAND。日志给的是DDR3 size, 0x20000000=512MiB、DDR3 1066 Mbps、256 MiB, block size: 128 KiB, page size: 2048, OOB size: 128，颗粒型号、速率、页大小全对得上。 - 上行是 XG-PON，不是 GPON。铭牌上的产品名称写着「10Gbit/s 无源光网络用户端设备（XG-PON ONU）」，顶面丝印直接印了
XGPON，板上光模块里那颗驱动芯片是 Semtech 的GN28L97B，这颗就是 10G PON 用的那一档。三处互相印证，没有含糊空间。 - 接口是 1 个 2.5G + 3 个千兆 + 2 个 USB。2.5G 那个口由一颗独立的 Realtek
RTL8221BPHY 出，板上找不到第二颗以太网芯片，三个千兆口应该是主控内部交换出来的。 - 没有无线，没有语音。顶面印着「无 WiFi」，九个指示灯里既没有 WiFi 灯也没有电话灯；板上也没有任何射频部分和 FXS 语音芯片。同系列里 F7615 带无线带电话，F7015 砍无线留电话，到了 F7005 两个都砍了。
- 引导是 U-Boot 2021.01，2024 年 8 月 9 日构建，而且开了安全引导。日志开头就是
secure boot，接着连着三次CBC decrypt OK!、一次verify OK!，进了 U-Boot 之后还有一句sec mode!。引导链上的镜像都是加密且带签名的，改一个字节都过不去。 - 闪存切成 14 个分区，内核是 A/B 双份。日志里
Creating 14 MTD partitions，kernel1在0x1700000、kernel2在0x3f00000，两个分区大小都是0x2800000（40MB）。跑坏一份切另一份，这是运营商设备刷不死的底气。 - 板边上印的板号是
737045F7015T_230200，里面带着 F7015T。机器叫 F7005MV3，PCB 上印的却是 F7015 那一系的编号，说明这块板是按同一条产品线设计的通用板，型号差异主要在固件和接口件上。
先看壳子：定位两个字就写在上面
顶面左上角印着 XGPON，右上角印着 无 WiFi。这两个丝印比铭牌还直白，出厂就把这台机器的性格说完了：上行是万兆 PON，无线你自己解决。
XGPON，右上角 无 WiFi，两个词把定位讲完了。中间那张是装机时贴的「家庭宽带服务卡」，装机信息都写在那上面九个灯分两组。左边三个是状态：电源、注册、光信号。右边六个是端口：1 到 4 对应四个网口，USB-1、USB-2 对应两个 USB 口。这一排排布里藏着最有用的两个灯：「注册」管的是这台机器有没有在电信局的 OLT 上挂上号，「光信号」管的是光路通不通。宽带出问题的时候先看这两个：光信号灯红闪，是光纤或者光路的事，你在家里怎么重启路由器都没用；注册灯一闪一闪不常亮，是这台设备没被局端认，得让装维处理。
四个网口的丝印是 4-千兆、3-千兆、2-千兆、1-2.5G，编号从右往左，跟顶面那排灯的顺序是对应的。也就是说只有 1 号口是 2.5G，另外三个是千兆。这一点跟网上部分资料里写的「1 个 2.5G 加 3 个千兆」一致，但你要自己接的时候记住编号是从右往左数，插错了就是千兆。
这里得说一句实话：2.5G 口的作用被讲得太大了。宽带只有 1000M 的话，这条口的价值在于千兆口本身跑不满千兆（实测 940Mbps 上下），2.5G 口能让你跑到 1100 到 1200 之间，前提是运营商确实多给了带宽、你的路由器也撑得住。如果办的是 500M 以下的套餐，这个口对你没有意义，别为了它折腾。
铭牌上还有两个细节容易被忽略。生产日期 2025 年 1 月，这是一台还在保修期内的新款，不是库存尾货；「类型十九 2.5GE」是移动对智能家庭网关的内部分类，同一型号在不同省份可能对应不同的类型号和固件版本，跨省使用前先确认当地 OLT 认不认。
参数对照：铭牌印的、板子上焊的、日志报的
把这三种来源摆在一张表里看，差别一目了然。铭牌只交代了「它是什么设备」，具体装了多少料，一个字没提。
| 部件 | 铭牌 / 丝印 | 实测（日志） |
|---|---|---|
| 主控 | ZXIC ZX279133，双核 A53 | CPU : ZX279133@A53x2,1000MHZ，pll init, cpu freq=1000 MHz |
| 内存 | Zentel A3T4GF40BBF-HP | DDR3 size, 0x20000000=512MiB，DDR3 1066 Mbps |
| 闪存 | SkyHigh ML02G300WHI00（SPI NAND） | READ ID data: 01-25-01, skyhigh SPI NAND was found；256 MiB, block size: 128 KiB, page size: 2048, OOB size: 128 |
| 2.5G 网口 | Realtek RTL8221B | 日志未打印 PHY 型号 |
| 光 | 带尾纤的 BOSA 光组件 + Semtech GN28L97B | 日志未打印光模块型号（这部分在 U-Boot 之后） |
| 接入方式 | XG-PON ONU | vid=5-F7005MV3，product_vid = 5 |
| 引导程序 | 丝印未标 | U-Boot 2021.01 (Aug 09 2024 - 11:57:59 +0800)；Model: ZTE 133 |
| 分区 | 丝印未标 | Creating 14 MTD partitions，kernel1/kernel2 各 40MB |
| 内核 | 丝印未标 | FIT 镜像，gzip 压缩后 5386353 字节（5.1MB），AArch64，加载地址 0x80080000 |
| 板号 | 737045F7015T_230200 | — |
| 电源 | 12V ⎓ 1A | — |
| 生产日期 | 2025-01-08 | — |
开盖：先看到的那一面是闪存
拆法没什么可讲的。底壳的十字螺丝卸掉，剩下的全是卡扣，沿接缝用撬片走一圈就开了。塑料壳子薄，第一次拆用塑料撬棒，金属的容易在边上留印子。壳子里没有排线连着，主板直接就是松的，翻面的时候不用担心扯到什么。
打开之后主板朝上的这一面，最显眼的东西是一颗闪存。
94V-0 是 PCB 的阻燃等级，E358874 是板厂的 UL 认证号，跟产品没什么关系，别当成型号
SkyHigh ML02G300WHI00。SkyHigh 是原来 Cypress SLC NAND 那条产品线独立出来的品牌，专门做小容量 SLC NAND。芯片外面那圈带密脚的焊盘是另一种封装的备用位置，厂家选料的时候二选一这颗闪存是 2Gb 的 SPI NAND，也就是 256MB。日志里 U-Boot 读出来的 ID 是 01-25-01，紧接着那句 skyhigh SPI NAND was found 就是它，容量和页大小也对得上。丝印和固件自报互相确认，这一条没什么可怀疑的。
256MB 装一个只有 5MB 内核、没有无线没有语音的系统，空间是很宽裕的。宽裕在哪，看分区表就明白了：14 个分区里内核占了两份，加起来 80MB，另外还有一整套备份分区。这也是为什么这台机器刷坏了能自己切回去。
翻过来看正面：主控、内存、2.5G PHY、光模块
板子的另一面器件密度高得多，发热的大件全在这一面，所以厂家在这一面压了散热。
ZXIC 是中兴微，ZX279133 是型号，下面两行是批次和晶圆信息。ZXIC 这个名字在光猫里出现频率很高，看到它基本就是中兴微的方案ZX279133 是这台机器的核心。中兴微官方对它的描述是：内嵌双核 ARM A53 处理器，面向 XG-PON、GPON、XEPON、NGPON2、XGS-PON、EPON 等一系列接入协议，支持 G.984.3、G.987.3、G.989、IEEE 802.3、G.988 等标准，目标市场是家庭网关和路由器。产品线定位是 ONU 芯片，但同一颗芯片也大量出现在中兴自己的无线路由器上。
官方资料里没写的数字，日志里有。ZX279133@A53x2,1000MHZ 一行把核数和主频都交代了，这两条正好和官方说法对得上。至于这颗芯片用了什么制程、有没有独立的硬件转发引擎，网上流传的说法彼此矛盾，我手上没有能核实的东西，就不往正文里写了。
Zentel A3T4GF40BBF-HP。Zentel 是台湾力积电的自有品牌，在光猫这类设备里很常见。这颗是 4Gb 的 DDR3，折算过来 512MB，跟日志里 512 MiB 一致
RTL8221B，2.5G 以太网 PHY。它只负责一个口，也就是丝印上那个 1-2.5G。板上没有第二颗以太网芯片，所以另外三个千兆口应该是主控内部交换直接出的这里有个容易被带偏的点。2.5G 那个口常被人说成「2.5G 交换」，但板上这颗 RTL8221B 是 PHY，不是交换芯片。PHY 负责的是把主控过来的数据变成网线上的差分信号，它不参与端口之间的转发。这台机器的四个网口之间怎么转发、能不能当小交换机用，取决于主控内部的交换模块，跟这颗芯片无关。
GN28L97B 是 Semtech 的 10G PON 光收发驱动。盖着金属罩有两个原因：一是这东西工作在 10G 速率上，需要屏蔽；二是激光器本身对干扰敏感
USB 口在这个机器上用处不大。官方固件里能做的也就是插个 U 盘共享文件，或者用 U 盘做配置备份。真正玩得深的人会拿它做别的事，但那得先进得去系统。
串口：从上电到跳进内核
板子上留了一个 TTL 调试口，出厂不焊排针，得自己插或者焊。接三根线：板上的 GND 对串口小板的 GND，板的 TX 接小板的 RX，板的 RX 接小板的 TX，交叉接。板子上那个 VCC 孔别接，板子自己有电，接了是两路电源打架。交叉接是新手最容易卡住的地方，接反了就是一片乱码，或者干脆一点反应都没有。串口参数 115200、8 位数据、无校验、1 位停止位，也就是常说的 115200 8N1。
然后就是通电，看它自己说话。日志很长，下面按时间顺序把录到的关键屏贴出来，一个字没改。
第一屏就是引导链：
secure boot 那一行，和它后面连着的三次 CBC decrypt OK!，镜像不光是校验过的，还是加密的校验过了才开始初始化 CPU 和内存：
1000 MHz，内存容量直接写成了十六进制 0x20000000=512MiB，速率 DDR3 1066 Mbps。product_vid=5 这个 5 后面还会出现内存起来之后，二级引导再做一遍同样的动作：
ddr init ok 之后又走了一遍 SPI NAND、secure uboot、verify OK!，最后 backup header!! 然后 Jump。同一套校验走两遍，这是分级引导的写法这三屏加起来讲了三件事，每件都挺关键。
第一行 secure boot，加上后面连着三次 CBC decrypt OK! 和一次 verify OK!，说明引导链上的镜像不是裸的，是加密加签名的。三次解密对应三段镜像，具体哪三段日志没写，但「都要过校验才往下走」这件事是明确的。后面那一小段 secure uboot / verify OK! / backup header!! / Jump 是二级引导再做一遍同样的动作。
第二件事是 CPU 和内存被初始化成了什么。pll init, cpu freq=1000 MHz 是把主频锁到 1GHz；DDR3 size, 0x20000000=512MiB 是内存容量，0x20000000 正好是 512MB；DDR3 1066 Mbps 是内存速率，DDR3-1066，属于这一档颗粒的常规频率，不是性能取向。这三行合起来说明这台机器在内存上没抠，512MB 对一台只做光电转换和拨号的设备来说很够用。
第三件事是 product_vid=5。这个 5 后面还会出现：进了 U-Boot 之后会有一行 vid=5-F7005MV3。同一份固件要同时适配好几个型号，靠的就是这个 vid 去挑对应的配置，这也是为什么同系列不同型号的固件经常能互刷，但刷完功能对不上。
接下来才是 U-Boot 横幅。这一屏信息量最大，CPU、内存、闪存、分区数、网络状态全在上面。
U-Boot 2021.01 (Aug 09 2024)、ZX279133@A53x2,1000MHZ、Model: ZTE 133、DRAM: 512 MiB、vid=5-F7005MV3、skyhigh SPI NAND … 256 MiB、Creating 14 MTD partitions，末尾是 Net: rx data disable 和 sec mode!。中间那几行 clk_register: failed to get … 是驱动探测不到的噪声，厂家没管它U-Boot 这部分的版本信息是 U-Boot 2021.01 (Aug 09 2024 - 11:57:59 +0800)。一台 2025 年 1 月出厂的机器，引导程序是 2024 年 8 月构建的，说明这批机器的固件在出厂前刚更新过一轮。内核和 U-Boot 分属两代代码，这在运营商定制设备里是常态。
Model: ZTE 133 这行有点意思。芯片叫 ZX279133，U-Boot 里叫 133，前面还要吃一次 board model 判断。同一颗芯片在不同语境下有三四个叫法，查资料的时候只搜一个名字很容易搜不到东西。
真正值得注意的有三处。
一是 Net: rx data disable。U-Boot 里网口是关的，收数据的能力被禁掉了。这意味着刷机圈那套「靠 TFTP 从网口救砖」的路子在这台机器上不存在，砖了只能靠串口和官方升级。再往后几行还有一句 Hit 1 to upgrade software version，上电时按数字 1 进官方升级流程，这是厂家留的那条明路。
二是 sec mode!。刚才的 secure boot 是引导阶段的校验，这一句是 U-Boot 自己进入安全模式。配合 Disable watchdog. 那句看，这台机器的 U-Boot 权限是被压着的，不是那种敲个回车就能进 => 提示符为所欲为的机器。
三是分区只有 14 个。我在另一台移动光猫 H50G 上读到的是 15 个。少的那一个大概是少了语音或者某个增值功能的存储区，跟这台机器没有电话口、功能更单一相互对应。分区名字我只给不出来——上面那一屏里 Creating 14 MTD partitions 下面紧跟着就是一句 0 MiB，名字整段没打出来，是 U-Boot 那几行输出被串口缓冲吞掉了。所以这台机器我只有分区数量，没有分区名。
下面是它挑内核、校验、然后跳过去的过程。
zxboot_load_image,2665: i 0,partition kernel1
do_search,2580: offset 1700000, size=2800000
zxboot_load_image,2669: valid[0]=1
zxboot_load_image,2665: i 1,partition kernel2
do_search,2580: offset 3f00000, size=2800000
zxboot_load_image,2669: valid[1]=1
zxboot_load_image,2694: id=0, partition=kernel1
read partition kernel1
Reading 32505856 byte(s) (15872 page(s)) at offset 0x00000000
...
crc check ok : c66551e
find flash patch cpy:9ff70000 87e40000 40 35c10
Saving Environment to NAND... Erasing NAND...
Erasing at 0x2e0000 -- 100% complete.
do_zxboot_kernel,2864: cmdline=bootm 0x88000240#conf@133挑完分区，下一屏才是真正把内核搬到内存里：
kernel@133 是 gzip 压过之后 5.1 MiB、AArch64、加载到 0x80080000；同一屏里的 fdt@133 是设备树，只有 36.4 KiB。两个子镜像各自 Verifying Hash Integrity ... OK这一段里有几个数字值得抠。
kernel1 在闪存的 0x1700000，也就是从 23MB 处开始，大小 0x2800000 是 40MB；kernel2 在 0x3f00000，从 63MB 处开始，同样 40MB。两个分区都拿到了 valid=1，也就是两份都完好，U-Boot 最后挑了 id=0 的 kernel1 启动。这就是双备份的实际工作方式：不是坏了才去看，是每次启动都先验一遍。
read partition kernel1 后面那行 Reading 32505856 byte(s) 是 31MB。这是把整个 kernel1 分区读出来找镜像头，不是内核本身的大小，两回事，别把它当成固件体积。
真正的内核体积在下面那句：Data Size: 5386353 Bytes = 5.1 MiB，gzip 压缩之后 5.1MB。作为对比，前面提到的那台 H50G 内核是 25.3MB。从 25.3MB 降到 5.1MB，差不多五分之一，这个差距不是压缩率能解释的，是这一代固件的功能本身就更瘦：没有无线、没有语音、没有 OSGi 那一套 Java 框架，光这两三样在 H50G 上就占掉了内核之外的一大半空间。
Verifying Hash Integrity ... OK 是 FIT 镜像自带哈希校验，又一次证明这机器的启动链路处处要验。AArch64 说明是 64 位 ARM 内核，加载地址 0x80080000 和前面 DRAM 那行 0x20000000=512MiB 在同一个内存映射里。
psci 叫醒的，init psci ok!! 之后 CPU1 直接跳到内核入口，中间没有别的过程日志最后这几行有意思。CPU0: Set slave cpu addr、SLAVECPU: Cpu = 00000001 online successfully in psci!、CPU1: Jump to linux kernel entry，讲的是第二个核怎么被叫醒。它是靠 PSCI 从核启动的，也就是主核写一个地址到特定寄存器，从核自己醒过来跳到入口，不是传统的 SMP 自旋等待。这一段只在 U-Boot 到内核交界处出现一次，之后就交给内核管了。
日志到这里就断了。这份记录停在 Starting kernel ... 之后内核的第一行输出之前，所以后面内核版本号、驱动加载、光模块识别、地区和固件版本串那些东西，这篇给不出来。这不是日志没录，是我这份就是截到这儿为止。等把这台机器的完整启动过程录完，再补一篇。
日志读出来的几件事
把上面几段合起来看，这台机器有几个结论是光看板子得不出来的。
一，它是台「能自己活过来」的机器。secure boot 加双内核加 14 个分区里的一整套备份区，这套设计的目的是运维方便：运营商不用上门，后台推个固件就能升，升残了机器自己切回去。代价是外面的人动不了它，这也解释了为什么社区里针对中兴光猫的那几个开源工具，在 2024 年 10 月之后出厂的批次上不好用了。安全校验变严，最先挡住的是玩机的人。
二，它的固件是「一份代码多个型号」。product_vid=5 挑配置、vid=5-F7005MV3 报身份，加上 U-Boot 里那个 Model: ZTE 133，能看出中兴给这一代光猫的多个型号用的是同一套固件框架。这对刷机的人是好事也是坏事：好的是资料多，坏的是固件能刷进去不代表功能对得上，插上去发现网口少了或者电话不响，都是常事。
三，它的瘦身是真的瘦。没有无线、没有语音、内核 5.1MB、内存 512MB、整机靠一块小金属片被动散热。这种机器放在弱电箱里连续开机，比同价位的「光猫路由一体机」稳得多，因为它干的事少。
这台机器适合谁
家里已经有像样路由器的人，买它是对的。它不抢活，只做三件事：把光转成电、把 PPPoE 拨起来、把数据交给你的路由器。2.5G 口留给路由器，剩下的千兆口可以接电视盒子、NAS、交换机。整机功耗低，放在弱电箱这种不通风的地方也不容易热到掉线。
三种人别买。家里有固话的，这台没有电话口，装了电话用不了；不想再花钱买路由器的，它没有无线，你得有个现成的路由器接着；图省事想插上就能用的，自己换光猫涉及注册、VLAN、可能还有省份固件的问题，得折腾一阵，搞不定还是叫装维。
最后提一句售后。这机器铭牌是 2025 年 1 月的，还在保修期，但接口面那里贴着一条「撕毁不予保修」的封条。拆机和保修是二选一，这一点想清楚再动手。我拆这台是自己名下的淘汰设备，不涉及别人的线路上。
同类的拆解我之前写过几台，方法一样，对照着看会更有意思：中国移动 H50G 光猫硬核拆解解析（同为中兴微方案，比它老一代，4 口无 WiFi 无电话），中国联通 KD-YUN-811G 光猫拆解解析（博通方案，GPON 时代的老机器）。
如果你觉得这篇文章不错，有用的话可以点击下面的“赞赏”支持作者，你的支持是我更新的动力（饿饿吃饭）。
Comments NOTHING