简介这份华为交换机配置命令手册面向网络运维人员、网络工程初学者及备考华为认证的读者帮助其快速掌握华为Quidway系列交换机的基础配置与日常管理。内容覆盖本地配置环境搭建、终端通信参数设置、用户视图与系统视图等命令视图切换并重点讲解VLAN创建与端口划分、交换机IP地址配置、Trunk端口透传以及系统时间、设备名称、用户登录和本地用户创建等常用命令可作为配置与排错的案头参考。资源包共1个docx文档约27KB以文字命令与配置示例为主便于检索和打印。目前已有5697人学习下载适合需要系统梳理华为交换机命令体系、对照实例完成基础组网配置的读者参考使用。1. 华为交换机配置命令手册从开箱到割接一份能直接抄的实战路径手里拿到一台华为交换机不管是 S5735、S5720 还是 CE 系列第一件事往往不是敲命令而是先想清楚这台设备要干什么。华为交换机配置命令手册这类资料网上很多但真正到了机房里面对 Console 口、光模块、VLAN 规划和对端设备能直接照着敲的完整流程反而不好找。这篇内容面向的是需要独立完成一台华为交换机从零配置到业务割接的工程师包括刚入行的网络运维和需要临时顶上的系统集成人员。核心思路是把配置命令按真实交付顺序串起来先打通管理通道再划分二层转发然后配三层互通最后做远程登录和验证。每一步都给出可复制的命令和参数解释同时标注哪些参数改错会导致断网。华为三层交换机的配置逻辑和二层有本质区别前者涉及 VLANIF 接口和路由表后者只关心端口归属这个分界线在后面的章节里会反复出现。2. 管理通道打通Console、Telnet 与 SSH 的配置顺序2.1 为什么必须先配 Console 再谈远程华为交换机出厂时没有任何 IP 地址Web 管理和远程登录都不可用唯一入口就是 Console 口。用串口线连接电脑后在终端软件里设置波特率 9600、数据位 8、停止位 1、无校验、无流控这是华为设备的默认串口参数。上电后如果看到 BootROM 加载信息说明物理连接正常。进入系统视图后第一件事是给设备起一个能标识位置的名字避免后续登录到错误设备。Huawei system-view [Huawei] sysname SW-Core-01 [SW-Core-01] clock timezone CST add 08:00:00 [SW-Core-01] clock datetime 2025-01-15 10:30:00system-view是从用户视图进入系统视图的入口之后所有全局配置都在这个视图下完成。sysname修改设备名建议包含位置和角色比如 SW-Core-01 表示核心层第一台。clock timezone设置时区为东八区clock datetime手动校准时间这两条命令看起来不起眼但日志时间戳错乱时排查故障会非常痛苦。如果设备后续要对接日志服务器或做 SNMP 监控时间不准会导致告警关联失效。2.2 配置管理 IP 和默认网关二层交换机本身不需要 IP 就能转发数据帧但为了远程管理必须给一个管理 VLAN 配 IP。常见做法是创建一个独立的 VLAN比如 VLAN 100把用于管理的端口划进去然后给 VLANIF 100 配地址。[SW-Core-01] vlan 100 [SW-Core-01-vlan100] description Management [SW-Core-01-vlan100] quit [SW-Core-01] interface Vlanif 100 [SW-Core-01-Vlanif100] ip address 192.168.100.2 255.255.255.0 [SW-Core-01-Vlanif100] quit [SW-Core-01] ip route-static 0.0.0.0 0.0.0.0 192.168.100.1vlan 100创建管理 VLANdescription是可选但强烈建议的备注。interface Vlanif 100创建三层逻辑接口ip address配置管理地址。ip route-static 0.0.0.0 0.0.0.0是默认路由指向网关 192.168.100.1这样从其他网段才能访问到这台交换机的管理地址。注意管理 VLAN 不要用 VLAN 1默认所有端口都在 VLAN 1 里用 VLAN 1 做管理会导致广播域过大且不安全。2.3 开启 SSH 登录并禁用 TelnetTelnet 是明文传输密码在抓包时一览无余。只要设备支持 SSH就应该只开 SSH。华为交换机配置 SSH 需要先生成 RSA 密钥对再创建本地用户并指定服务类型。[SW-Core-01] rsa local-key-pair create The key name will be: SW-Core-01_Host The range of public key size is (512 ~ 2048). NOTES: If the key modulus is greater than 512, it will take a few minutes. Input the bits in the modulus[default 2048]: 2048 [SW-Core-01] aaa [SW-Core-01-aaa] local-user admin password irreversible-cipher Huawei12345 [SW-Core-01-aaa] local-user admin privilege level 15 [SW-Core-01-aaa] local-user admin service-type ssh [SW-Core-01-aaa] quit [SW-Core-01] stelnet server enable [SW-Core-01] user-interface vty 0 4 [SW-Core-01-ui-vty0-4] authentication-mode aaa [SW-Core-01-ui-vty0-4] protocol inbound ssh [SW-Core-01-ui-vty0-4] quitrsa local-key-pair create生成主机密钥模数选 2048 位低于 1024 位在现代安全标准下已经不安全。aaa进入认证授权计费视图local-user admin password irreversible-cipher创建本地用户irreversible-cipher表示密码以不可逆加密方式存储比cipher更安全。privilege level 15是最高权限级别。service-type ssh限定该用户只能通过 SSH 登录。stelnet server enable开启 SSH 服务端功能。user-interface vty 0 4进入虚拟终端线authentication-mode aaa指定用 AAA 认证protocol inbound ssh只允许 SSH 接入。这五条 VTY 配置缺一不可少任何一条都会导致 SSH 连不上或认证失败。注意配置完 SSH 后不要立刻关闭当前 Console 会话先用另一台电脑测试 SSH 能登录成功再考虑禁用 Telnet。否则一旦 SSH 配置有误就只能重新接 Console 线。3. 二层转发配置VLAN、Trunk 与端口隔离的实操3.1 接入端口与 Trunk 端口的配置差异华为交换机端口默认是 Access 类型属于 VLAN 1。接入终端设备的端口应该显式配置为 Access 并划入业务 VLAN级联到其他交换机的端口则配成 Trunk允许多个 VLAN 通过。[SW-Core-01] interface GigabitEthernet 0/0/1 [SW-Core-01-GigabitEthernet0/0/1] port link-type access [SW-Core-01-GigabitEthernet0/0/1] port default vlan 10 [SW-Core-01-GigabitEthernet0/0/1] quit [SW-Core-01] interface GigabitEthernet 0/0/24 [SW-Core-01-GigabitEthernet0/0/24] port link-type trunk [SW-Core-01-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 100 [SW-Core-01-GigabitEthernet0/0/24] quitport link-type access把端口设为接入模式port default vlan 10把该端口划入 VLAN 10。Trunk 端口用port link-type trunk设置port trunk allow-pass vlan指定允许通过的 VLAN 列表。这里有个容易翻车的地方Trunk 端口如果不配allow-pass默认只允许 VLAN 1 通过业务 VLAN 的流量会被丢弃。另外华为交换机的 Trunk 端口默认 PVID 是 1如果对端是 Cisco 设备需要确认 native VLAN 是否一致否则会出现 VLAN 跳变问题。3.2 一个端口加入多个 VLAN 的正确做法热搜词里有人问“华为交换机一个端口加入多个vlan”这个需求通常出现在单臂路由或者端口需要同时处理多个 VLAN 流量的场景。华为交换机不支持一个 Access 端口直接加入多个 VLAN正确做法是用 Hybrid 端口模式。[SW-Core-01] interface GigabitEthernet 0/0/5 [SW-Core-01-GigabitEthernet0/0/5] port link-type hybrid [SW-Core-01-GigabitEthernet0/0/5] port hybrid tagged vlan 10 20 [SW-Core-01-GigabitEthernet0/0/5] port hybrid untagged vlan 30 [SW-Core-01-GigabitEthernet0/0/5] quitport link-type hybrid把端口设为混合模式。port hybrid tagged vlan 10 20表示 VLAN 10 和 20 的帧带标签通过适合级联到支持 VLAN 的设备。port hybrid untagged vlan 30表示 VLAN 30 的帧去掉标签后发出适合连接不支持 VLAN 的终端。Hybrid 端口的灵活性在于可以针对不同 VLAN 设置 tagged 或 untagged但配置复杂度也更高改错一个 VLAN 的 tag 状态就会导致该 VLAN 通信中断。3.3 端口隔离与广播风暴抑制在酒店、宿舍或办公区场景同一 VLAN 内的端口需要二层隔离防止互相访问。华为交换机用端口隔离功能实现不需要额外划分 VLAN。[SW-Core-01] port-isolate mode l2 [SW-Core-01] interface GigabitEthernet 0/0/1 [SW-Core-01-GigabitEthernet0/0/1] port-isolate enable group 1 [SW-Core-01-GigabitEthernet0/0/1] quit [SW-Core-01] interface GigabitEthernet 0/0/2 [SW-Core-01-GigabitEthernet0/0/2] port-isolate enable group 1 [SW-Core-01-GigabitEthernet0/0/2] quitport-isolate mode l2设置全局隔离模式为二层隔离。port-isolate enable group 1把端口加入隔离组 1同组端口之间二层流量互相隔离但都能与上行端口通信。这个功能在防止 ARP 欺骗和广播风暴扩散时很实用。注意隔离组只影响同组内的端口不同组的端口之间不受影响。4. 三层互通与路由VLANIF、静态路由和 DHCP 中继4.1 VLANIF 接口配置与直连路由华为三层交换机通过 VLANIF 接口实现 VLAN 间路由。每创建一个 VLANIF 并配上 IP就会自动生成一条直连路由。[SW-Core-01] vlan 10 [SW-Core-01-vlan10] quit [SW-Core-01] vlan 20 [SW-Core-01-vlan20] quit [SW-Core-01] interface Vlanif 10 [SW-Core-01-Vlanif10] ip address 10.10.10.1 255.255.255.0 [SW-Core-01-Vlanif10] quit [SW-Core-01] interface Vlanif 20 [SW-Core-01-Vlanif20] ip address 10.10.20.1 255.255.255.0 [SW-Core-01-Vlanif20] quit配置完成后VLAN 10 和 VLAN 20 的设备可以互相 ping 通因为交换机已经为这两个网段生成了直连路由。用display ip routing-table可以查看路由表确认直连路由是否存在。如果 VLANIF 状态是 down通常是因为该 VLAN 下没有任何 up 状态的物理端口。4.2 静态路由与默认路由的写法当交换机需要访问非直连网段时需要配置静态路由。华为交换机配置静态路由的命令格式是ip route-static 目标网段 掩码 下一跳。[SW-Core-01] ip route-static 10.10.30.0 255.255.255.0 10.10.10.254 [SW-Core-01] ip route-static 0.0.0.0 0.0.0.0 10.10.10.254第一条命令告诉交换机去往 10.10.30.0/24 的流量下一跳是 10.10.10.254。第二条是默认路由所有没有匹配到明细路由的流量都走这个下一跳。默认路由的优先级最低但写错下一跳会导致所有跨网段流量中断。配置后用display ip routing-table确认路由是否生效再用ping测试连通性。4.3 DHCP 中继配置如果 DHCP 服务器在另一个网段交换机需要配置 DHCP 中继把客户端的 DHCP 请求转发给服务器。[SW-Core-01] dhcp enable [SW-Core-01] interface Vlanif 10 [SW-Core-01-Vlanif10] dhcp select relay [SW-Core-01-Vlanif10] dhcp relay server-ip 10.10.100.10 [SW-Core-01-Vlanif10] quitdhcp enable是全局开关必须先在系统视图下开启。dhcp select relay指定该接口使用中继模式。dhcp relay server-ip指定 DHCP 服务器地址。注意 DHCP 中继要求交换机到 DHCP 服务器之间路由可达否则请求转发不出去。如果客户端拿不到地址先检查display dhcp relay statistics看请求是否发出再检查服务器端是否收到。5. 配置避坑与故障排查五条血泪经验5.1 现象SSH 登录提示“Connection refused”原因VTY 用户界面没有配置protocol inbound ssh或者stelnet server enable没有执行。华为交换机默认 VTY 只允许 TelnetSSH 服务端功能也是关闭的。解决进入user-interface vty 0 4确认protocol inbound ssh已配置在系统视图确认stelnet server enable已执行。如果还不行检查 RSA 密钥是否生成成功用display rsa local-key-pair public查看。5.2 现象Trunk 端口下业务 VLAN 不通原因Trunk 端口没有配置port trunk allow-pass vlan或者 allow-pass 列表里漏了某个 VLAN。华为交换机 Trunk 端口默认只允许 VLAN 1 通过。解决用display port vlan查看端口的 VLAN 配置确认 allow-pass 列表包含所有需要的业务 VLAN。如果对端是 Cisco 设备还要确认 native VLAN 是否一致。5.3 现象VLANIF 接口状态 down原因该 VLAN 下没有任何物理端口处于 up 状态或者所有端口都被 shutdown 了。解决用display vlan查看该 VLAN 包含哪些端口再用display interface brief确认端口物理状态。如果端口是 down检查网线、光模块和对端设备。5.4 现象跨网段 ping 不通但同网段正常原因三层交换机没有配置默认路由或静态路由或者下一跳地址不可达。解决用display ip routing-table查看是否有目标网段的路由。如果没有补配静态路由。如果有路由但 ping 不通用tracert跟踪路径确认下一跳设备是否可达。5.5 现象配置保存后重启丢失原因配置完成后没有执行save命令。华为交换机的配置修改在内存中生效重启后会丢失未保存的配置。解决在用户视图下执行save然后按Y确认。建议每次重大变更后都执行一次保存。用display saved-configuration可以查看已保存的配置。6. 批量配置与配置备份的进阶技巧当手里有十几台同型号华为交换机需要做相同的基础配置时逐台敲命令效率太低。我一般用两种方式一是用终端软件的“发送文本到所有会话”功能同时打开多个 Console 会话批量粘贴二是把配置写成脚本通过 SSH 批量推送。后者更适合已经配好管理 IP 的设备。import paramiko import time devices [ {ip: 192.168.100.2, user: admin, pass: Huawei12345}, {ip: 192.168.100.3, user: admin, pass: Huawei12345}, ] commands [ system-view, sysname SW-Access-01, vlan 10, quit, interface GigabitEthernet 0/0/1, port link-type access, port default vlan 10, quit, return, save, Y, ] for dev in devices: ssh paramiko.SSHClient() ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy()) ssh.connect(dev[ip], usernamedev[user], passworddev[pass], timeout10) shell ssh.invoke_shell() time.sleep(1) for cmd in commands: shell.send(cmd \n) time.sleep(0.5) output shell.recv(65535).decode(utf-8, errorsignore) print(f--- {dev[ip]} ---) print(output) ssh.close()这段脚本用 paramiko 库建立 SSH 连接invoke_shell打开交互式会话然后逐条发送命令。time.sleep(0.5)是给设备留出执行时间命令越复杂这个值要越大。save命令后跟Y是确认保存。注意脚本里的设备列表和命令列表要根据实际环境修改密码不要硬编码在脚本里生产环境建议用环境变量或密钥认证。配置备份同样重要。华为交换机支持通过 FTP 或 TFTP 把配置文件传到服务器。我习惯在每次变更前先备份一次命令是tftp 192.168.100.100 put vrpcfg.zip其中vrpcfg.zip是默认的配置文件名称。如果设备改过配置文件名用display startup查看当前启动配置文件。备份出来的文件可以用文本编辑器打开方便对比变更前后的差异。还有一个容易被忽略的点华为交换机的配置文件在保存时是压缩的 zip 格式直接看是乱码。如果需要可读的文本配置可以在设备上用display current-configuration输出到终端再复制保存。或者用save时选择不压缩但默认行为就是压缩改起来反而麻烦。我一般直接保存终端输出虽然格式不如原始配置文件规整但胜在可读。最后说一个习惯每次配置完一台设备我会把display current-configuration的输出存一份到本地文件名带上设备名和日期。这个习惯帮我省过好几次事——有一次一台交换机被误恢复出厂就是靠三天前的备份在十分钟内恢复了业务。配置命令可以查手册但现场的业务逻辑和 VLAN 规划只有自己的备份里才有。希望帮到你。本文还有配套的精品资源点击获取