H3C交换机开局基础配置
按依赖关系完成 H3C 交换机的管理网络、二层端口、链路聚合、远程管理与运维监控基础配置。
适用范围：仅适用于本人拥有或已获明确授权的 H3C Comware 交换机。不同型号、软件版本和网络设计的命令可能不同，执行前请在设备上使用
?核实命令，并以设备对应版本的 H3C 官方命令参考为准。阅读说明：文中代码块内以
#开头的内容是用途注释，不要直接输入设备。192.0.2.0/24、198.51.100.10、VLAN 号、端口号和账号均为示例，必须替换为现场规划值。
一、先规划，再敲命令
开局配置有明确依赖关系：先让设备拥有可靠的本地接入方式和管理地址，再配置链路、路由与远程管理，最后接入监控、时间和日志系统。不要在不知道上联、管理网段和回退方式时直接修改生产交换机。
开始前至少记录以下内容：
| 项目 | 示例 | 用途 |
|---|---|---|
| 设备名称 | Office-3F-Access-01 |
便于定位与日志检索 |
| 管理 VLAN | 100 |
隔离设备管理流量 |
| 管理地址 | 192.0.2.2/24 |
SSH、SNMP、NTP、日志的源地址 |
| 管理网关 | 192.0.2.1 |
访问其他网段的管理主机 |
| 管理主机网段 | 198.51.100.10/32 |
限制 SSH、SNMP 等管理访问 |
| 上联端口 | Ten-GigabitEthernet 1/0/49-50 |
连接汇聚、核心或防火墙 |
首次接入建议使用 Console 口。远程修改管理 VLAN、上联端口或路由前，应确保可回到 Console，避免配置错误后无法再次登录。
二、基础身份与邻居发现
设备名称没有技术依赖，且几乎每次排障都会用到，因此最先配置。LLDP 也通常建议尽早启用，便于查看对端设备和端口信息。
# 进入系统视图，后续全局配置从这里开始。
<H3C> system-view
# 设置设备名称。名称建议体现地点、楼层、角色和编号。
[H3C] sysname Office-3F-Access-01
# 全局启用 LLDP 邻居发现，用于识别直连对端设备。
[Office-3F-Access-01] lldp global enable
可用 display lldp neighbor-information 查看邻居。部分型号或版本默认已启用 LLDP，若命令提示不支持，应按设备帮助确认。
三、管理 VLAN、管理地址与本地接入口
管理 VLAN 是后续 SSH、SNMP、NTP 和日志配置的基础。先创建 VLAN，再创建 VLAN 接口并配置 IP，最后确认至少有一个接入口或上联口能够承载该 VLAN。
# 一次创建办公 VLAN 10、20，以及管理 VLAN 100。
[Office-3F-Access-01] vlan batch 10 20 100
# 进入管理 VLAN 的三层接口。
[Office-3F-Access-01] interface Vlan-interface 100
# 设置交换机自身的管理 IPv4 地址和掩码。
[Office-3F-Access-01-Vlan-interface100] ip address 192.0.2.2 255.255.255.0
# 退出 VLAN 接口视图，回到系统视图。
[Office-3F-Access-01-Vlan-interface100] quit
# 进入连接管理电脑的物理端口。
[Office-3F-Access-01] interface GigabitEthernet 1/0/1
# 将该端口设为 Access 口，只承载一个无标签 VLAN。
[Office-3F-Access-01-GigabitEthernet1/0/1] port link-type access
# 将该端口划入管理 VLAN，供本地管理电脑接入测试。
[Office-3F-Access-01-GigabitEthernet1/0/1] port access vlan 100
完成后，可从管理电脑 ping 192.0.2.2。若管理电脑不在同一网段，先不要急着配置 SSH，必须先配置缺省路由并确保上联放通管理 VLAN。
四、链路聚合与上联 Trunk
链路聚合成员端口应先加入聚合组，再在逻辑聚合接口上配置 Trunk。不要同时在成员端口和聚合接口上重复配置 VLAN 属性。
以下示例将两条万兆链路组成动态聚合组 1，并作为承载业务 VLAN 与管理 VLAN 的上联：
# 创建逻辑聚合接口 1。创建后，二层属性配置在该逻辑接口上。
[Office-3F-Access-01] interface Bridge-Aggregation 1
# 为聚合链路添加用途说明，便于维护。
[Office-3F-Access-01-Bridge-Aggregation1] description Uplink-to-Core
# 将聚合接口设为 Trunk，允许多个 VLAN 带标签通过。
[Office-3F-Access-01-Bridge-Aggregation1] port link-type trunk
# 按最小权限原则，只允许实际需要的 VLAN 通过。
[Office-3F-Access-01-Bridge-Aggregation1] port trunk permit vlan 10 20 100
# 使用动态聚合模式。对端也必须配置兼容的动态聚合。
[Office-3F-Access-01-Bridge-Aggregation1] link-aggregation mode dynamic
# 退出聚合接口，开始将物理端口加入聚合组。
[Office-3F-Access-01-Bridge-Aggregation1] quit
# 进入第一条上联成员端口。
[Office-3F-Access-01] interface Ten-GigabitEthernet 1/0/49
# 将该物理端口加入聚合组 1。
[Office-3F-Access-01-Ten-GigabitEthernet1/0/49] port link-aggregation group 1
# 进入第二条上联成员端口。
[Office-3F-Access-01-Ten-GigabitEthernet1/0/49] interface Ten-GigabitEthernet 1/0/50
# 将第二条物理端口加入同一个聚合组。
[Office-3F-Access-01-Ten-GigabitEthernet1/0/50] port link-aggregation group 1
如果只有一条上联，不需要配置聚合，可直接在该物理端口上配置 Trunk。无论是否聚合，上联对端都必须允许相同 VLAN；两端的默认 VLAN 或 PVID 也要统一规划。
五、普通业务端口
业务接入口依赖 VLAN 已创建，但与 SSH、SNMP 等管理功能无依赖。因为这类端口使用频率最高，建议在上联确认后尽早配置。
# 批量进入连接办公终端的端口范围。
[Office-3F-Access-01] interface range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/12
# 将这些端口设为 Access 口。
[Office-3F-Access-01-if-range] port link-type access
# 将这些端口统一划入业务 VLAN 10。
[Office-3F-Access-01-if-range] port access vlan 10
# 退出端口范围视图。
[Office-3F-Access-01-if-range] quit
打印机、电脑、摄像头等普通终端通常使用 Access 口。语音电话、无线 AP 或需要承载多个 VLAN 的设备，应按实际业务改用对应的 Trunk 或 Hybrid 设计，不能机械套用本例。
六、缺省路由
缺省路由依赖管理 VLAN 接口和上联可达。它解决的是交换机自身访问异网管理主机的问题，例如访问 NTP、日志或网管平台；不会自动实现各业务 VLAN 之间的三层互通。
# 设置交换机的缺省路由，下一跳为管理网关。
[Office-3F-Access-01] ip route-static 0.0.0.0 0 192.0.2.1 description To-Management-Gateway
配置后先 ping 网关，再 ping 已授权的远端管理主机。若设备是纯二层接入交换机，业务网关通常位于上层三层交换机或防火墙，而不是在本设备上随意创建 VLAN 接口。
七、管理访问 ACL
ACL 必须先创建，才能在 SSH 或 SNMP 中引用。先使用精确的管理主机地址验证，再按需扩展到管理网段；不要把设备管理接口直接暴露到互联网。
# 创建高级 ACL 3000，用于限制 SSH 管理来源。
[Office-3F-Access-01] acl advanced 3000
# 只允许管理跳板机 198.51.100.10 访问设备。
[Office-3F-Access-01-acl-ipv4-adv-3000] rule 5 permit ip source 198.51.100.10 0
# 为规则添加说明，便于审计和维护。
[Office-3F-Access-01-acl-ipv4-adv-3000] rule 5 comment SSH-Management-Jump-Host
# 退出 ACL 视图。
[Office-3F-Access-01-acl-ipv4-adv-3000] quit
# 创建独立的网管 ACL 3001，避免与 SSH ACL 混用。
[Office-3F-Access-01] acl advanced 3001
# 只允许网管平台 198.51.100.20 发起 SNMP 请求。
[Office-3F-Access-01-acl-ipv4-adv-3001] rule 5 permit ip source 198.51.100.20 0
# 退出 ACL 视图。
[Office-3F-Access-01-acl-ipv4-adv-3001] quit
不同版本对 0 的通配符显示方式可能不同，含义是单一主机。调整 ACL 前要保留 Console 回退手段，避免把自己的管理地址挡在外面。
八、本地管理员账号与 SSH
本地账号、SSH 服务和 VTY 线路相互配合：先建立账号，再生成密钥并启用 SSH，最后限制远程终端只接受 SSH。不要使用示例中的弱口令，也不要在文档、工单或配置备份中明文记录真实口令。
# 创建本地管理账号。部分版本需要保留 class manage，按设备帮助确认。
[Office-3F-Access-01] local-user netadmin class manage
# 设置强口令。此处仅为占位说明，必须输入独立的实际强口令。
[Office-3F-Access-01-luser-manage-netadmin] password simple 请替换为强口令
# 允许该账号使用 SSH 服务登录。
[Office-3F-Access-01-luser-manage-netadmin] service-type ssh
# 授予网络管理员角色。生产环境应遵循最小权限原则。
[Office-3F-Access-01-luser-manage-netadmin] authorization-attribute user-role network-admin
# 退出本地用户视图。
[Office-3F-Access-01-luser-manage-netadmin] quit
# 生成本地 RSA 密钥对。设备可能要求确认密钥类型或长度。
[Office-3F-Access-01] public-key local create rsa
# 启用 SSH 服务器功能。
[Office-3F-Access-01] ssh server enable
# 将前面创建的 ACL 应用于 SSH 服务，仅允许授权来源连接。
[Office-3F-Access-01] ssh server acl 3000
# 进入 VTY 远程终端线路。实际设备的范围可能是 0 至 4 或 0 至 63。
[Office-3F-Access-01] line vty 0 4
# 让 VTY 使用本地账号认证。
[Office-3F-Access-01-line-vty0-4] authentication-mode scheme
# 禁止 Telnet，只接受 SSH 远程登录。
[Office-3F-Access-01-line-vty0-4] protocol inbound ssh
# 设置空闲 10 分钟后自动断开，减少遗留会话风险。
[Office-3F-Access-01-line-vty0-4] idle-timeout 10 0
# 关闭逐屏暂停，便于终端输出与自动化采集。
[Office-3F-Access-01-line-vty0-4] screen-length 0
完成后，先保持 Console 连接不退出，再从授权管理主机测试 SSH。若无法登录，应依次检查管理 VLAN、路由、ACL、账号和 VTY 配置。
九、Console 本地登录保护
Console 没有网络依赖，但常用于故障恢复，使用频率较低，放在 SSH 后配置。若现场已有统一 AAA、堡垒机或专用 Console Server，应遵循既有管理规范。
# 进入 Console 线路视图。
[Office-3F-Access-01] line aux 0
# 使用线路口令认证。高权限环境可改为统一 AAA 认证。
[Office-3F-Access-01-line-aux0] authentication-mode password
# 设置独立的 Console 强口令，不能复用 SSH 账号口令。
[Office-3F-Access-01-line-aux0] set authentication password simple 请替换为强口令
# 空闲 10 分钟后自动断开 Console 会话。
[Office-3F-Access-01-line-aux0] idle-timeout 10 0
# 关闭逐屏暂停，便于查看长输出。
[Office-3F-Access-01-line-aux0] screen-length 0
十、SNMP 网管接入
SNMP 依赖管理 IP、路由和网管 ACL。优先使用 SNMPv3；如果旧网管平台只能使用 SNMPv2c，应使用高强度社区字串、限制来源，并优先只读。不要把读写社区字串写入公开文档。
# 启用 SNMP 代理功能。
[Office-3F-Access-01] snmp-agent
# 创建 MIB 视图，允许网管读取标准对象树。
[Office-3F-Access-01] snmp-agent mib-view included view_all iso
# 配置只读 SNMPv2c 社区字串，并绑定 ACL 3001 限制来源。
[Office-3F-Access-01] snmp-agent community read simple 请替换为随机只读社区字串 mib-view view_all acl 3001
# 记录设备物理位置，方便网管平台展示与故障定位。
[Office-3F-Access-01] snmp-agent sys-info location Office-3F-Rack-A
# 配置 SNMP 版本。仅在兼容旧网管系统时使用 v2c，优先评估 v3。
[Office-3F-Access-01] snmp-agent sys-info version v2c
# 启用告警 Trap 发送。
[Office-3F-Access-01] snmp-agent trap enable
# 配置 Trap 接收服务器、认证名称和协议版本。
[Office-3F-Access-01] snmp-agent target-host trap address udp-domain 198.51.100.20 params securityname 请替换为Trap认证名 v2c
上例仅用于兼容性说明。对于支持 SNMPv3 的设备与平台，应按对应版本文档配置认证和加密用户，避免 SNMPv2c 社区字串在网络中明文传输。
十一、NTP 时钟同步
NTP 依赖管理 IP、上联和缺省路由。时间准确后，日志、告警、变更记录和证书校验才有可靠的时间基准。
# 设置东八区时区名称和偏移。
[Office-3F-Access-01] clock timezone Beijing add 08:00:00
# 指定 NTP 单播服务器，并固定以管理 VLAN 接口作为源地址。
[Office-3F-Access-01] ntp-service unicast-server 198.51.100.30 source Vlan-interface 100
应使用组织内部受控的 NTP 服务器或可信时间源。配置后检查设备时间与 NTP 同步状态，具体查看命令因版本而异。
十二、日志主机
日志主机同样依赖管理网络与路由。它与 NTP 没有严格配置依赖，但二者经常一起部署，按使用频率和排障价值放在相邻步骤。
# 启用信息中心功能。
[Office-3F-Access-01] info-center enable
# 指定发往日志主机的源接口，保证日志源地址固定为管理地址。
[Office-3F-Access-01] info-center loghost source Vlan-interface 100
# 将日志发送到 Syslog 主机，并使用 local6 设施码分类。
[Office-3F-Access-01] info-center loghost 198.51.100.40 facility local6
日志服务器地址、协议与设施码必须与现有日志平台约定一致。投入使用后应人为制造一次低风险事件或登录记录，确认平台能接收并正确解析。
十三、生成树与边缘端口（可选）
生成树涉及二层环路保护，必须依据整体网络角色设计。核心或汇聚设备可按规划设置根桥优先级；接入口可以按场景设为边缘端口。不要把连接其他交换机的端口设为边缘端口。
# 全局启用生成树。部分设备缺省已开启，先检查现网状态。
[Office-3F-Access-01] stp global enable
# 仅在设计明确时调整本设备为实例 0 的根桥优先级。
[Office-3F-Access-01] stp instance 0 priority 0
# 进入连接普通终端的 Access 端口。
[Office-3F-Access-01] interface GigabitEthernet 1/0/2
# 将普通终端口设为边缘端口，使其更快进入转发状态。
[Office-3F-Access-01-GigabitEthernet1/0/2] stp edged-port
stp port bpdu-filter enable 不应作为默认模板。它会改变 BPDU 的处理行为，错误用于交换机互联或不受控端口时会削弱环路保护。只有完成网络设计评审并明确风险后才考虑使用。
十四、ICMP 诊断报文（可选）
ICMP 超时与目的不可达报文对路径探测和故障定位有帮助，但是否启用应遵循组织安全策略。该功能与基础开局无硬性依赖，且部分版本默认状态不同。
# 启用 TTL 超时报文发送，便于 traceroute 等路径诊断。
[Office-3F-Access-01] ip ttl-expires enable
# 启用目的不可达报文发送，便于发现无路由或端口不可达问题。
[Office-3F-Access-01] ip unreachables enable
若设备不支持这些命令或安全基线要求关闭 ICMP 报文，应以实际基线为准。
十五、检查、测试与保存
保存前先核对配置和连通性。以下命令没有严格前后依赖，按最常用的排障顺序排列：
# 查看当前运行配置，用于最终人工核对。
[Office-3F-Access-01] display current-configuration
# 查看所有 VLAN 及端口归属。
[Office-3F-Access-01] display vlan all
# 查看三层接口、地址和状态。
[Office-3F-Access-01] display ip interface brief
# 查看物理端口与聚合口状态。
[Office-3F-Access-01] display interface brief
# 查看 LLDP 邻居，确认上联对端和端口是否正确。
[Office-3F-Access-01] display lldp neighbor-information
# 查看 SSH 服务状态，确认远程管理已启用。
[Office-3F-Access-01] display ssh server status
确认管理地址可 ping、SSH 可从授权主机登录、上联与聚合状态正常、网管和日志平台收到数据后，再保存配置：
# 退出到用户视图。也可按设备提示使用 Ctrl+Z。
[Office-3F-Access-01] return
# 保存当前运行配置到启动配置。部分版本会要求确认。
<Office-3F-Access-01> save
保存后建议导出配置备份，记录设备名称、序列号、管理地址、上联端口与变更时间。涉及生产链路时，应遵循变更窗口、审批和回退流程。
十六、常见误区
- 只创建管理 VLAN，没有让它通过上联：交换机有管理 IP，但网关和远端管理主机仍无法访问。
- 成员端口与聚合接口重复配置：聚合可能无法正常协商或出现配置冲突。
- 先把 SSH ACL 绑定到服务，再测试 ACL：一条错误规则就可能把管理员锁在门外。
- 把真实口令、SNMP 社区字串写进脚本或文章：应使用密码管理工具与安全的配置管理方式保存敏感信息。
- 把任意端口设为边缘端口或开启 BPDU 过滤：会削弱生成树对二层环路的保护。
- 修改后没有保存：设备重启后，未保存的运行配置可能丢失。
参考与校验
- 参考思路：根据官方文档重新组织并补充说明，更加贴近日常运维工作。
- 命令校验：请以目标设备对应的 H3C Comware 版本命令参考、现网安全基线和变更流程为准。