华为交换机初始化与SSH/Telnet远程登录配置实战指南

1. 为什么初始化与远程登录配置是网络工程师的第一道坎

刚拿到一台崭新的华为交换机，或者接手一台被前任管理员改得面目全非的设备，第一件事永远是把它恢复到可管理的状态，然后配好远程登录通道。这件事听起来简单，但我在实际项目里见过太多人卡在这一步：Console线插上去没反应、SSH死活连不上、Telnet配好了却提示认证失败、重启之后配置全丢了。这些问题背后，往往不是技术有多难，而是对初始化流程和远程登录协议的理解不够系统。

华为交换机在企业网、园区网、数据中心里铺得非常广，S系列、CE系列、CloudEngine系列各有各的脾气，但初始化逻辑和远程登录配置的底层思路是相通的。这篇文章要解决的核心问题就一个：从一台裸机或者一台需要重置的设备开始，把它变成一个可以通过SSH和Telnet稳定远程管理的节点。适合谁看？刚入行的网络运维、需要频繁上架设备的集成工程师、以及那些平时用Web界面管理、想补一补命令行功底的朋友。

我个人的习惯是，不管设备是全新的还是二手的，上架前一律先做一次完整的初始化，不信任任何遗留配置。原因很简单：你永远不知道上一手配了什么ACL、什么VLAN、什么认证方式，与其花时间排查，不如推倒重来。下面我就按实际操作的顺序，把整个流程拆开讲透。

2. 初始化前的硬件连接与准备工作

2.1 Console连接：最可靠的那条路

远程登录配好之前，你唯一能依赖的就是Console口。华为交换机的Console口通常是RJ45形式，少数型号是USB-C或者Mini-USB。我建议你手边常备一根USB转RJ45的Console线，芯片选FTDI或者Prolific的，兼容性最好。那些十几块钱的CH340线不是不能用，但在某些Windows驱动环境下会莫名其妙掉线，调试到一半断了很烦人。

连接步骤不复杂，但有几个细节容易翻车：

• 波特率默认是9600，数据位8，停止位1，校验位无，流控无。这个参数华为设备基本没变过，但如果你连的是某些老型号，可能需要试一下115200。
• 终端软件用SecureCRT、PuTTY、Xshell都行，我个人习惯用SecureCRT，因为它的日志记录和脚本功能比较顺手。
• 插上线之后，如果终端没反应，先按几下Enter，很多时候只是设备在等一个回车唤醒。

注意：有些设备的Console口和Mini-USB口是复用的，插了USB线之后RJ45口会自动失效。如果你两个都插了，反而可能连不上，拔掉一个再试。

2.2 电源与启动观察

接通电源后，交换机会经历一段启动过程。这时候终端上会刷出一大片启动信息，包括BootROM版本、系统镜像加载、硬件自检等。不要急着按Ctrl+B或者跳过启动，先让它正常起来。如果你看到启动过程中有报错，比如风扇故障、电源异常，先解决硬件问题再谈配置。

启动完成后，你会看到类似这样的提示：

Info: The max number of VTY users is 10, and the number of current VTY users on line is 1. The current login time is 2024-01-01 00:00:00. <Huawei>

这个<Huawei>就是用户视图的提示符，尖括号代表你还在低权限模式。到这里，初始化连接就算成功了。

3. 恢复出厂设置与基础系统初始化

3.1 什么时候需要恢复出厂

不是所有场景都需要恢复出厂。全新设备开箱一般已经是干净状态，但以下几种情况我强烈建议先重置：

• 设备来自二手市场或者项目退场，配置未知。
• 前任管理员设置了复杂的AAA认证，你根本进不去。
• 设备被配了一堆VLAN、ACL、路由协议，你只想保留硬件。

恢复出厂的方法分两种：在用户视图下执行命令，或者在启动阶段通过BootROM菜单操作。前者适用于你能正常登录的情况，后者适用于密码丢失或者系统起不来的情况。

3.2 通过命令行恢复出厂

如果你能正常登录到用户视图，操作很简单：

<Huawei> reset saved-configuration

系统会问你确认，输入Y。然后重启设备：

<Huawei> reboot

重启过程中会问你是否保存当前配置，一定要选N，否则刚清掉的配置又被写回去了。这个坑我踩过不止一次，明明执行了reset，重启后配置还在，就是因为手快选了保存。

3.3 通过BootROM恢复出厂

如果你连密码都没有，那就得在启动阶段动手。设备上电后，终端出现启动信息时迅速按Ctrl+B，进入BootROM菜单。菜单里会有“Clear configuration”或者“Restore factory configuration”之类的选项，不同型号措辞略有差异，但意思一样。选完之后重启，设备就回到出厂状态了。

提示：BootROM的密码默认可能是空或者admin，具体看型号和版本。如果连BootROM都进不去，那就只能走硬件复位或者联系厂商了。

3.4 基础系统参数设置

恢复出厂后，第一件事是设置设备名称、管理IP、时区、时间。这些看起来是小事，但在后续排查问题时，一个清晰的主机名和准确的时间戳能帮你省很多事。

<Huawei> system-view [Huawei] sysname SW-Core-01 [SW-Core-01] clock timezone CST add 08:00:00 [SW-Core-01] clock datetime 2024-01-01 12:00:00

管理IP通常配在VLANIF接口上。假设我们用VLAN 1作为管理VLAN（生产环境建议单独划一个管理VLAN，比如VLAN 100），配置如下：

[SW-Core-01] interface vlanif 1 [SW-Core-01-Vlanif1] ip address 192.168.1.1 24 [SW-Core-01-Vlanif1] quit

如果你用的是独立管理口，比如MEth0/0/1，那就直接给那个接口配IP。配完之后，用display ip interface brief确认一下接口状态是UP的。

4. SSH与Telnet远程登录配置的完整实操

4.1 先想清楚：为什么优先用SSH

Telnet和SSH最大的区别就一个字：加密。Telnet把所有数据包括用户名密码都以明文传输，任何在链路上抓包的人都能看到。SSH则是加密的，安全性高得多。所以在生产环境里，我的原则是：能SSH就绝不用Telnet。Telnet只在两种情况下保留：一是某些老旧设备不支持SSH，二是实验室环境图方便。

但现实是，很多企业内网里两者并存。所以这一节我把两种配置都讲清楚，你可以根据实际需求选择。

4.2 配置SSH远程登录

华为交换机的SSH配置分几个步骤：生成密钥对、创建本地用户、配置VTY线路、启用SSH服务。

第一步：生成RSA密钥对

[SW-Core-01] rsa local-key-pair create

系统会问你密钥长度，默认2048位。这个长度足够了，再长会影响登录速度。生成过程可能需要几十秒，耐心等。

第二步：创建本地用户

[SW-Core-01] aaa [SW-Core-01-aaa] local-user admin password irreversible-cipher YourStrongPassword123 [SW-Core-01-aaa] local-user admin privilege level 15 [SW-Core-01-aaa] local-user admin service-type ssh [SW-Core-01-aaa] quit

这里有几个关键点：

• irreversible-cipher表示密码以不可逆加密方式存储，比cipher更安全。
• privilege level 15是最高权限，相当于管理员。生产环境建议按需分配，比如只读用户给level 1。
• service-type ssh限定这个用户只能用于SSH登录。如果你还想让它能Telnet，就改成service-type ssh telnet。

第三步：配置VTY线路

[SW-Core-01] user-interface vty 0 4 [SW-Core-01-ui-vty0-4] authentication-mode aaa [SW-Core-01-ui-vty0-4] protocol inbound ssh [SW-Core-01-ui-vty0-4] quit

vty 0 4表示同时允许5个远程会话。authentication-mode aaa表示用AAA认证，也就是刚才创建的本地用户。protocol inbound ssh限定这个VTY只接受SSH连接。

第四步：启用SSH服务

[SW-Core-01] stelnet server enable

注意，华为的命令是stelnet server enable，不是ssh server enable。这个命名有点历史原因，stelnet就是SSH的华为叫法。

第五步：验证

在PC上用SSH客户端连接：

ssh admin@192.168.1.1

输入密码后应该能正常登录。如果提示“Connection refused”，检查stelnet server enable是否执行成功；如果提示认证失败，检查AAA里的用户名密码和service-type。

4.3 配置Telnet远程登录

Telnet的配置更简单，但安全性差。步骤大致相同，区别在于VTY线路的protocol和用户的service-type。

[SW-Core-01] aaa [SW-Core-01-aaa] local-user telnetuser password irreversible-cipher TelnetPass456 [SW-Core-01-aaa] local-user telnetuser privilege level 15 [SW-Core-01-aaa] local-user telnetuser service-type telnet [SW-Core-01-aaa] quit [SW-Core-01] user-interface vty 5 9 [SW-Core-01-ui-vty5-9] authentication-mode aaa [SW-Core-01-ui-vty5-9] protocol inbound telnet [SW-Core-01-ui-vty5-9] quit [SW-Core-01] telnet server enable

这里我把Telnet用户放在vty 5 9，SSH用户放在vty 0 4，目的是让两种登录方式互不干扰。你也可以让同一个VTY同时支持两种协议，用protocol inbound all，但我不推荐，因为这样管理起来容易乱。

4.4 SSH和Telnet共存时的VTY分配策略

实际项目中，我见过有人把vty 0 4配成protocol inbound all，然后AAA里同一个用户既能SSH又能Telnet。这样不是不行，但有几个隐患：

• 审计日志里分不清用户到底是用哪种方式登录的。
• 如果SSH密钥或者加密算法出问题，Telnet通道也会受影响。
• 安全策略上不好做差异化，比如你想禁止Telnet从某个网段接入，就得额外配ACL。

所以我的建议是分开VTY范围，SSH用vty 0 4，Telnet用vty 5 9，各管各的。这样排查问题的时候一目了然。

5. 认证方式的选择与用户权限精细化管理

5.1 AAA认证 vs Password认证

华为交换机的VTY认证有三种模式：none、password、aaa。none就是完全不认证，谁都能连，生产环境绝对不能用。password是只配一个密码，不区分用户，适合极简场景。aaa是用户名加密码，还能绑定权限级别和服务类型，是标准做法。

我强烈建议用aaa，原因不只是安全，更重要的是可追溯。当设备出问题需要查日志时，你能知道是哪个用户、从哪个IP、在什么时间做了什么操作。password模式下所有人都用同一个密码，出了事根本查不到人。

5.2 权限级别划分

华为的权限级别从0到15，数字越大权限越高。常用的几个级别：

• Level 0：参观级，只能执行ping、tracert等基本诊断命令。
• Level 1：监控级，可以看配置、看状态，但不能改。
• Level 2：配置级，可以改接口、VLAN等业务配置。
• Level 3-14：自定义级别，按需分配。
• Level 15：管理级，所有命令都能执行。

实际项目中，我会给一线运维配Level 2，给网络主管配Level 15，给审计人员配Level 1。这样既保证日常操作，又防止误操作或者越权。

[SW-Core-01-aaa] local-user ops-readonly password irreversible-cipher ReadOnly789 [SW-Core-01-aaa] local-user ops-readonly privilege level 1 [SW-Core-01-aaa] local-user ops-readonly service-type ssh

5.3 限制登录源IP

光有认证还不够，最好再加一层ACL，只允许特定网段的管理终端登录。比如只允许192.168.100.0/24网段SSH：

[SW-Core-01] acl 2000 [SW-Core-01-acl-basic-2000] rule permit source 192.168.100.0 0.0.0.255 [SW-Core-01-acl-basic-2000] rule deny source any [SW-Core-01-acl-basic-2000] quit [SW-Core-01] user-interface vty 0 4 [SW-Core-01-ui-vty0-4] acl 2000 inbound [SW-Core-01-ui-vty0-4] quit

这个ACL的意思是：只允许192.168.100.0/24网段接入，其他全部拒绝。配完之后一定要用display acl 2000确认规则顺序，ACL是从上往下匹配的，顺序错了效果就反了。

注意：配ACL的时候一定要给自己留一条后路。我见过有人配了ACL之后把自己也挡在外面了，最后只能去机房插Console线。建议先在另一个VTY会话里测试，确认没问题再退出当前会话。

6. 配置保存、验证与常见问题排查

6.1 配置保存的正确姿势

华为交换机的配置分当前配置和保存配置。你在命令行里改的所有东西都在当前配置里，断电就没了。要持久化，必须执行：

<SW-Core-01> save

系统会问你确认文件名，默认是vrpcfg.zip，直接回车就行。保存完成后，可以用display saved-configuration查看已保存的配置。

这里有个细节：保存操作要在用户视图下执行，不是系统视图。很多新手在[SW-Core-01]提示符下敲save，系统会报错。正确做法是先quit回到<SW-Core-01>，再执行save。

6.2 验证远程登录是否正常

配置完成后，不要急着收工，按以下清单逐项验证：

1. SSH连接测试：从管理PC执行ssh admin@192.168.1.1，确认能登录并看到提示符。
2. Telnet连接测试：执行telnet 192.168.1.1，确认能登录。
3. 权限验证：用只读用户登录，尝试执行配置命令，确认被拒绝。
4. ACL验证：从非允许网段尝试连接，确认被拒绝。
5. 重启验证：执行reboot，重启后再次测试SSH和Telnet，确认配置没有丢失。

这五步走完，基本可以放心了。

6.3 常见问题速查表

6.4 几个我踩过的坑

坑一：VTY范围重叠导致协议冲突。有一次我把vty 0 4配成SSH，又想把vty 3 7配成Telnet，结果3和4这两个线路的协议被覆盖了，SSH时好时坏。后来才明白，VTY范围不能重叠，配之前先用display user-interface看清楚哪些已经被占用了。

坑二：密码复杂度不够被系统拒绝。华为某些版本对密码有复杂度要求，必须包含大小写字母、数字、特殊字符，长度至少8位。我一开始设了个admin123，系统直接报错。后来改成Admin@12345才通过。如果你不确定，可以先设一个复杂点的，进去之后再改。

坑三：SSH版本兼容性问题。老版本的SSH客户端可能不支持华为设备默认的加密算法。如果连接时报“no matching key exchange method”，需要在设备上调整SSH算法：

[SW-Core-01] ssh server key-exchange dh_group14_sha1 [SW-Core-01] ssh server cipher aes128_cbc

不过这会降低安全性，只在确实需要兼容老客户端时使用。

坑四：忘记配默认路由导致跨网段连不上。管理IP配好了，同网段能连，但跨网段就是连不上。查了半天发现是交换机没有默认路由，回包出不去。补一条：

[SW-Core-01] ip route-static 0.0.0.0 0 192.168.1.254

这个问题在刚上架的设备上特别常见，因为管理VLAN的网关往往在另一台设备上。

7. 批量部署与自动化配置的思路

如果你手头不是一台设备，而是几十台甚至上百台，一台台敲命令肯定不现实。这时候可以考虑几种批量方案。

方案一：用脚本生成配置模板。把设备名称、管理IP、SSH用户名密码做成变量，用Python的Jinja2模板生成每台设备的配置脚本，然后通过Console服务器批量推送。这个方案适合有编程基础的团队。

方案二：用华为的eSight或者iMaster NCE网管平台。这些平台支持批量下发配置模板，图形化操作，适合没有编程背景的运维。缺点是部署成本高，小项目不划算。

方案三：ZTP（零接触部署）。设备上电后通过DHCP获取IP和配置文件地址，自动下载配置并加载。这个方案适合新建网络的大规模部署，但前期需要搭好DHCP和TFTP/HTTP服务器。

不管用哪种方案，初始化阶段的Console配置始终是绕不开的。因为ZTP的前提是设备能拿到IP，而拿IP的前提是网络通，网络通的前提是设备已经配好了基础参数。所以我的建议是：先把一台设备完整配好，验证无误，然后把这套配置作为模板，再考虑批量复制。

# 一个简单的配置模板生成示例 template = """ sysname {hostname} interface vlanif 1 ip address {mgmt_ip} {mask} quit aaa local-user {username} password irreversible-cipher {password} local-user {username} privilege level 15 local-user {username} service-type ssh quit user-interface vty 0 4 authentication-mode aaa protocol inbound ssh quit stelnet server enable save """ devices = [ {"hostname": "SW-01", "mgmt_ip": "192.168.1.1", "mask": "24", "username": "admin", "password": "Pass@123"}, {"hostname": "SW-02", "mgmt_ip": "192.168.1.2", "mask": "24", "username": "admin", "password": "Pass@123"}, ] for dev in devices: print(template.format(**dev))

这个脚本只是演示思路，实际使用时要考虑密码管理、日志记录、错误处理等。但核心逻辑就是：模板化 + 变量替换 + 批量推送。

8. 安全加固与日常维护建议

远程登录配好只是第一步，后续的安全加固同样重要。以下几个措施我建议至少做到前三条：

第一，禁用Telnet。如果所有管理终端都支持SSH，直接在VTY上把Telnet协议去掉：

[SW-Core-01] user-interface vty 5 9 [SW-Core-01-ui-vty5-9] protocol inbound none [SW-Core-01-ui-vty5-9] quit [SW-Core-01] undo telnet server enable

第二，定期更换密码。华为支持密码老化策略，可以强制用户定期改密码：

[SW-Core-01-aaa] local-user admin password-expire 90

第三，开启登录日志。记录每次登录的时间、IP、用户名，方便审计：

[SW-Core-01] info-center enable [SW-Core-01] info-center loghost 192.168.100.10

第四，配置登录失败锁定。防止暴力破解：

[SW-Core-01-aaa] local-user admin failed-times 5 lock-time 300

意思是连续失败5次，锁定300秒。

第五，定期备份配置。用FTP或者TFTP把配置文件定期拉到备份服务器上。华为支持自动备份：

[SW-Core-01] ftp client source-interface vlanif 1 [SW-Core-01] schedule job backup-config interval 1440 command "save; tftp 192.168.100.20 put vrpcfg.zip"

这个schedule job的语法不同版本可能有差异，配之前先用?查一下当前版本的支持情况。

日常维护中，我习惯每周登录一次设备，执行display cpu-usage、display memory-usage、display interface brief，看看有没有异常。远程登录通道本身也要定期测试，别等到出故障了才发现SSH连不上。

最后分享一个小技巧：如果你管理的设备比较多，可以在SSH客户端里配好会话模板，把常用的设备IP、用户名、端口存进去，一键连接。SecureCRT的Session Manager、Xshell的Address Book都支持这个功能。再配合登录脚本自动执行一些巡检命令，效率能提升不少。