简介一份面向网络运维人员、系统管理员与华为设备初学者的交换机命令配置参考文档重点解决日常配置与排错中“命令记不住、视图分不清”的问题。内容按用户视图、系统视图、以太网端口视图、VLAN视图、用户界面视图等层级整理涵盖查看设备状态与统计信息、文件管理、系统参数设置、端口参数调整、VLAN配置、用户分级保护密码、终端一屏显示行数设置以及命令行在线帮助等常见操作并给出具体命令示例与参数说明方便对照真实设备边看边练。资源以doc文档形式提供压缩包内共1个文件大小仅96KB轻量简洁可离线查阅。这份文档现已有14713人学习下载作者为crfish。无论是网络培训、日常运维还是考前复习这份中文命令速查都能帮助读者快速定位所需配置方法减少查阅英文手册的时间成本是一份实用性强、门槛较低的参考资料。1. 华为交换机命令配置大全从 console 登录到日常运维这篇能帮你省下翻手册的时间“华为交换机命令配置大全中文说明”听起来像一本手册的名字但它更像一线网工的日常拿到一台华为交换机console 线插上屏幕显示Huawei接下来每一步命令都要看得懂、记得住、查得到。这篇按真实配置顺序展开从登录、保存到 VLAN、Eth-Trunk、STP再到排错每条命令都给出中文说明和适用场景。很多新入门的人不是不会敲命令而是卡在三个地方新版本默认关了 Telnet、刚配完的配置不保存重启就丢、Trunk 配了但 VLAN 还是不通。这三个问题占了日常求助的大头也恰恰是这篇文章最值的部分。这篇适合刚接手华为设备的人也适合总在翻手册的熟手用来对照命令细节和参数边界。目标是让你照着敲能跑通跑不通时知道去哪查。看不懂原理没关系先会操作再补原理。2. 登录与系统基础先让设备能管、能存、能远程2.1 从 console 到第一次保存视图、改名与配置落盘第一次拿到华为交换机console 线连上波特率 9600打开终端软件回车看到的是Huawei提示符。这个尖括号代表“用户视图”只能执行查看和保存类的命令不能改配置。想配置要先敲system-view提示符会从Huawei变成[Huawei]方括号代表“系统视图”所有全局配置都在这里做。Huawei system-view # 从用户视图进入系统视图 [Huawei] sysname Core-SW # 改设备名提示符立即变为 [Core-SW] [Core-SW] quit # 退回用户视图 Core-SW save # 保存重启后配置不丢 Core-SW display current-configuration # 查看当前全量配置system-view是第一个高频命令缩写是sys华为命令行支持命令缩写到唯一识别比如system-view敲sy也能进。sysname改完立刻生效提示符里的设备名会变方便多台设备同时开窗口时区分。save这条命令在用户视图执行会提示确认是否保存输入Y回车即可。这里要特别强调保存这个动作华为交换机的配置默认只存在内存里不执行save一旦掉电或重启所有配置全部丢失。刚上手的人最容易在这里翻车辛辛苦苦配了两个小时一个reboot回到出厂状态。拿到新设备的第一件事应该是先确认软件版本执行display version看看 VRP 版本号因为不同版本的命令细节有差异比如本地用户密码的加密关键字老版本是cipher新版本换成了irreversible-cipher功能更强但照着老文档配就会报错。display current-configuration是查看配置的主要方式输出很长配合管道符过滤更实用比如display current-configuration | include vlan只把包含 vlan 关键字的行列出来几百行的配置瞬间变得可读。命令行的| include相当于过滤比人眼翻屏高效得多。2.2 远程管理配置AAA 本地认证与 SSH 登录现在的华为交换机新版本软件默认关闭 Telnet远程管理首选 SSH。无论是 SSH 还是 Telnet都要先有本地认证用户AAA 是必配步骤。常见做法是建一个admin账号密码用不可逆加密保存授权等级直接给 15避免登录后敲不了配置。[Huawei] aaa # 进入 AAA 视图 [Huawei-aaa] local-user admin password irreversible-cipher Admin123 [Huawei-aaa] local-user admin privilege level 15 [Huawei-aaa] local-user admin service-type ssh [Huawei-aaa] quit [Huawei] ssh user admin authentication-type password # SSH 用户绑定密码认证 [Huawei] stelnet server enable # 开启 SSH 服务 [Huawei] user-interface vty 0 4 # 配置虚拟终端 [Huawei-ui-vty0-4] authentication-mode aaa # vty 认证走 AAAlocal-user admin password这一行Admin123是示例密码生产环境必须换成足够复杂的强密码包含大小写、数字和特殊字符。privilege level 15是华为交换机的最高权限级别如果给低了会出现能登录但敲不了配置命令的情况这是远程管理里最常见的权限坑。service-type ssh限定该用户只能走 SSH如果还要用 Telnet需要在这一行后面追加telnet写成service-type ssh telnet。user-interface vty 0 4表示允许 5 个远程会话同时在线这个数量对日常维护足够。authentication-mode aaa把虚拟终端的认证方式指向 AAA登录时用本地用户密码校验。如果只想快速开 Telnet华为的旧版本曾经提供过user-interface vty下直接set authentication password的写法新版本已经收敛到 AAA 统一管理建议直接走 AAA。SSH 配置完后在电脑上用终端软件连接设备管理 IP如果提示认证失败先检查service-type是否包含 ssh再确认密码是否记错。华为设备默认关闭 SSH 服务必须显式执行stelnet server enable这条漏掉端口永远连不上。3. VLAN 与接口配置VLAN 划分、Trunk 放通与端口安全的命令逐条讲3.1 创建 VLAN 与 Access/Trunk 的正确使用VLAN 是二层交换的基石。接入交换机的接口分成两类用途接终端设备用 access接交换机与交换机之间用 trunk。access 口一个接口只属于一个 VLAN数据帧不带标签直接转发trunk 口可以承载多个 VLAN靠 802.1Q 标签区分不同 VLAN 的流量。这两个概念分不清VLAN 不通的问题就会反复出现。[Huawei] vlan batch 10 20 30 # 批量创建 VLAN [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access # 接 PC一个接口只属于一个 VLAN [Huawei-GigabitEthernet0/0/1] port default vlan 10 # 指定该接口所属 VLAN [Huawei] interface GigabitEthernet0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk # 接上级交换机承载多个 VLAN [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30vlan batch比逐个敲vlan 10、vlan 20高效得多适合开局时一次建完所有业务 VLAN。access 口只需要配port default vlan不需要额外放通因为 access 口本身只属于这一个 VLAN。trunk 口必须用port trunk allow-pass vlan明确放行哪些 VLAN没有在列表里的 VLAN 流量一律丢弃这是最多人踩的坑。很多新手以为 trunk 口配了port link-type trunk就完事了物理链路也是 up 的但 VLAN 就是不通。原因就是漏了allow-pass这一步。华为默认的 trunk 口只放行 VLAN 1其他 VLAN 全部阻隔必须手动加白名单。接口名可以简写GigabitEthernet0/0/1直接写GE0/0/1命令行识别到唯一即可批量配置时能省不少打字量。另外不建议动 trunk 口的 PVID默认保持 VLAN 1 就好。PVID 是接口收到不带标签的数据帧时打上的 VLAN 标签改了 PVID 会让没有 tag 的流量进到别的 VLAN排查起来非常费劲属于典型的“能用就千万别碰”的参数。3.2 接口批量配置与端口安全少敲重复命令也少出故障一台接入交换机通常有 24 到 48 个接口逐个配置不仅慢还容易漏。华为交换机的批量配置入口是port-group把一组接口放进同一个组统一执行命令下发的配置会逐条作用到每个成员接口上。[Huawei] port-group 1 # 创建临时端口组 [Huawei-port-group-1] group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/20 [Huawei-port-group-1] port link-type access # 组内所有接口统一执行 [Huawei-port-group-1] port default vlan 10group-member的to语法支持连续接口批量加入一次加入 20 个口很方便。退出端口组后port-group 1这个组本身会消失但已经下发的配置仍然保留在接口上不用担心“组合并”或“组失效”导致配置丢失。批量操作只适合统一场景如果 24 个口里有一个是上联口别把这个上联口放进同一个端口组不然后续改成 trunk 时容易误伤其他配置。端口安全方面接入层最常见的是广播风暴抑制。某个接口下的终端设备异常比如网卡故障或环路会瞬间产生大量广播报文把整台交换机的 CPU 打满。华为提供了按百分比抑制的配置超过阈值直接丢弃广播帧。[Huawei] interface GigabitEthernet0/0/5 [Huawei-GigabitEthernet0/0/5] broadcast-suppression 5 # 广播风暴抑制单位百分比 [Huawei-GigabitEthernet0/0/5] port-security enable # 开启端口安全 [Huawei-GigabitEthernet0/0/5] port-security max-mac-num 1 # 只允许学习一个 MACbroadcast-suppression 5表示该接口广播报文占用带宽超过 5% 时丢弃对正常业务影响很小推荐在接入层全部开启。port-security enable是端口安全的开关配合max-mac-num 1实现“一端口一终端”的强约束适合会议室、开放工位这些设备不固定且需要管控的场景。端口安全开启后交换机只学习第一个 MAC 地址后续其他设备接入会被直接拒绝。如果这个接口临时要接多台设备直接undo port-security enable关掉或者把max-mac-num调大。这里最容易踩的坑是开了端口安全后换了一台笔记本结果上不了网原因就是 MAC 被锁在了接口上需要clear mac-address清掉旧表项或者干脆关掉端口安全。4. Eth-Trunk 与 STP链路聚合和防环的关键命令与参数4.1 Eth-Trunk 两种模式怎么选手工聚合与 LACP两台交换机之间只靠一根线带宽不够或者想提升链路可靠性最常见做法是 Eth-Trunk。华为的 Eth-Trunk 有两种模式手工负载均衡模式和 LACP 模式。手工模式是默认的只要两端都做了聚合就能通配置简单但两端参数不一致时不会主动报错排查靠人工。LACP 模式需要通过协议协商协商不通过就不转发流量相当于加了一道握手校验推荐用于核心设备之间。[Huawei] interface Eth-Trunk1 # 创建聚合口 [Huawei-Eth-Trunk1] mode lacp-static # 切换为 LACP 静态模式 [Huawei-Eth-Trunk1] trunkport GigabitEthernet0/0/1 to 0/0/2 # 加入成员口mode lacp-static是华为 LACP 模式的命令注意别写成mode lacp华为命令行里没有这个关键字。trunkport ... to ...语法一次性加入连续接口加入后成员口原有的二层配置会失效转发相关的配置要在 Eth-Trunk 接口下重新配置而不是在成员口下配记住这条能少走很多弯路。成员口的选择有硬性要求速率必须一致双工模式必须一致。比如一个千兆口和一个百兆口不能组到同一个 Eth-Trunk 里速率不一致会导致聚合失败。选接口时还要注意物理位置混用不同板卡的接口时建议逐个添加而不是用to批量加避免两端接口顺序不一致导致协商失败。配置完成后用display eth-trunk 1查看成员状态重点关注 Selected 数量。如果 Selected 为 0先检查两端模式是否一致再检查成员口物理状态是不是 up。有一个小技巧display eth-trunk 1输出里的 Active 和 SelectedActive 表示 LACP 协商通过Selected 表示该成员口正在参与转发两者都有才说明聚合真正生效。4.2 STP/RSTP环网的命根与边缘端口的取舍交换机之间只要存在冗余链路就必须开生成树协议否则二层环路会造成广播风暴严重时整台设备 CPU 跑满所有业务瘫痪。华为交换机默认开 STP但默认模式不一定适合你的网络通常要改成 RSTP收敛速度更快。[Huawei] stp mode rstp # 模式切换为 RSTP [Huawei] stp enable # 确认生成树开启 [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] stp edged-port enable # 接终端的口设成边缘端口 [Huawei-GigabitEthernet0/0/1] stp bpdu-protection # 开启 BPDU 保护stp mode rstp是全局命令模式切换对所有接口生效。如果你的网络里有比较老的交换机不支持 RSTP只能退回stp mode stp代价是收敛时间变长但从稳定性优先的角度宁慢勿乱。stp enable默认就是开启的这条命令的存在意义是确认当前状态防止误关。stp edged-port enable是接入终端的接口才配置的。边缘端口不参与生成树计算接上终端立即可用省去等待端口状态收敛的时间。注意交换机互联的接口绝对不能配边缘端口否则该接口会跳过生成树检查环路风险直接拉满。如果某个边缘端口下又接了一台交换机会形成环路且 STP 感知不到所以边缘端口要配合stp bpdu-protection使用。bpdu-protection的作用是边缘端口收到 BPDU 报文时接口直接被 shutdown而不是把它当成普通设备放行。这个机制能防止有人把一台交换机插到办公网接口上造成环路。接口被 shutdown 后日志里会有明显记录恢复需要手工undo shutdown这一点要在排错时能联想到。5. 常见问题与排错避坑命令没生效的五个典型原因5.1 五个真实踩坑记录现象、原因、解决第一个坑配置全部完成业务正常第二天重启后设备恢复出厂。原因是全程没有执行save配置只存在内存里。解决方法是改完配置后回到用户视图执行save看到保存成功的提示才算结束。这个习惯应该固化成流程任何变更结束前save要么用CtrlZ回用户视图再保存没有例外。第二个坑trunk 口物理 up对端交换机也能通但跨交换机 VLAN 死活不通。原因是只配了port link-type trunk没有配port trunk allow-pass vlan。华为的 trunk 口默认只放行 VLAN 1其他 VLAN 全部丢弃必须用allow-pass vlan 10 20 30显式放行。解决方法是补上放行列表注意这里写的是具体 VLAN 列表不是vlan 10 to 30这种范围写法除非中间 VLAN 确实全开。第三个坑某个接口频繁 UP/DOWN日志里出现loopback-detect相关告警。原因是该接口下存在物理环路常见于终端侧再接了一个小交换机且两根网线都插到了墙上面板。解决方法是先拔线确认环路来源再在接口上配置loopback-detect enable让设备自动检测环路并 shutdown 接口恢复后手工undo shutdown。注意边缘端口和环路检测是两件事边缘端口不解决环路。第四个坑SSH 能登录输入配置命令却提示权限不够。原因是本地用户的privilege level设置太低默认级别只能执行查看命令。解决方法是进入 AAA 视图重新执行local-user admin privilege level 15然后断开重新登录。这里有个细节修改权限后已建立的会话不会立即生效必须重连。第五个坑接口原来能通配了端口安全后换了一台笔记本就上不了网。原因是port-security enable后接口只学习第一个 MAC 地址新设备的 MAC 不在表里直接被拒绝。解决方法是临时场景直接undo port-security enable常态化换机场景把max-mac-num改到 2或者手动执行clear mac-address清掉锁定的 MAC。5.2 排查前先看这三个 display 命令排错的第一步不是抓包不是重启而是看日志。华为交换机的日志分两个缓冲区logbuffer存系统日志trapbuffer存告警排查问题时这两个命令优先级最高。Huawei display logbuffer | include loopback # 过滤环路相关日志 Huawei display trapbuffer # 查看告警信息 Huawei display current-configuration | include vlan # 过滤配置关键字| include是命令行管道过滤的典型用法日志几百行时直接按关键字过滤比翻屏快得多。看到接口 down 又 up 的记录基本能锁定是物理层问题还是环路问题。display trapbuffer里的告警信息更精简包含接口状态变化、用户登录、环路检测这些关键事件判断故障时间点比猜测可靠。还有一个隐藏好用的命令是display this在某个接口或视图下执行直接显示当前视图的配置。要确认某个接口到底配了什么进到接口视图敲display this比翻全局配置快也避免看漏。6. 组合配置一个小型办公网把命令串起来并验证6.1 完整小案例办公、监控、访客三网段隔离这里用一个真实常见的接入场景把这篇文章的命令串起来某公司一层办公区一台 24 口接入交换机上联到汇聚VLAN 10 办公、VLAN 20 监控、VLAN 30 访客网关做在交换机上访客只能上外网不能访问内网。从零开始配置。[Huawei] sysname Access-SW1 # 设备改名 [Huawei] vlan batch 10 20 30 # 创建业务 VLAN [Huawei] interface Vlanif10 # 创建 VLAN 10 的三层网关 [Huawei-Vlanif10] ip address 192.168.10.254 24 [Huawei] interface Vlanif20 [Huawei-Vlanif20] ip address 192.168.20.254 24 [Huawei] interface Vlanif30 [Huawei-Vlanif30] ip address 192.168.30.254 24ip address后面的24是掩码简写老版本 VRP 要写成255.255.255.0两者等效。VLANIF 接口就是终端的网关地址所以办公网终端配置 IP 时网关写192.168.10.254监控设备网关写192.168.20.254访客网关写192.168.30.254。接着配置上联口和默认路由。上联口用 trunk放行所有业务 VLAN默认路由指向上层设备的互联地址让跨网段流量可以被转发出去。这里假设上层核心交换机或路由器的互联地址是192.168.1.1。[Huawei] interface GigabitEthernet0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30 [Huawei] ip route-static 0.0.0.0 0 192.168.1.1 # 默认路由指向核心最后用 ACL 拦截访客访问办公和监控网段。访问控制列表编号 3000 是高级 ACL可以匹配源和目的 IP。注意华为 ACL 默认最后有一条隐式拒绝规则只写 deny 不写放行访客会被全部限制连外网也上不了必须加一条permit ip兜底。[Huawei] acl 3000 # 创建高级 ACL [Huawei-acl-adv-3000] rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 [Huawei-acl-adv-3000] rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 [Huawei-acl-adv-3000] rule 15 permit ip # 兜底放行其他流量 [Huawei-acl-adv-3000] quit [Huawei] interface Vlanif30 # 在访客网关上应用 ACL [Huawei-Vlanif30] traffic-filter inbound acl 3000规则编号 5、10、15 是手工指定的匹配顺序数字小的先匹配所以先拒绝两个内网网段再放行其他所有流量这样访客可以访问外网但访问不到办公和监控网段。6.2 验证三板斧与收尾习惯配置完成后验证顺序很关键。先用display vlan看 VLAN 里有哪些接口确认端口划分正确再在交换机上ping 192.168.10.1和ping 192.168.20.1确认三个 VLANIF 接口都正常回应最后display logbuffer查有没有环路告警和接口频繁 UP/DOWN 的错误。Huawei display vlan # 查看 VLAN 与端口对应关系 Huawei ping 192.168.10.1 # 验证 VLAN10 网关 Huawei display logbuffer # 最后确认没有异常日志跨 VLAN 通了不代表访客隔离生效。要从访客 VLAN 侧实际验证一下常见做法是在访客网段临时接一台电脑先 ping 办公网段的地址不通就对了再访问外网测试通了说明只剩 ACL 在按预期工作。如果两条结果反了优先查display acl 3000看规则匹配计数ACL 有没有真正命中一看便知。我个人的习惯是任何交换机变更最终固定落三步——先display this看当前接口下的配置确认没有多余参数再display logbuffer看有没有新增错误最后save保存并退出终端。改配置之前先display current-configuration把当前配置存一份快照改挂了能照着逐行回滚。这是比任何后悔药都靠谱的操作习惯。希望帮到你。本文还有配套的精品资源点击获取