倚 倚栏听雨 · 学习记录
← 回到技术随笔
· 7501 字

华为交换机开局配置

按依赖顺序完成 Huawei VRP 交换机的管理网络、Eth-Trunk、STelnet 与运维监控基础配置。

适用范围：仅适用于本人拥有或已获明确授权的 Huawei VRP 交换机。VRP 版本、设备系列与现网安全基线会影响命令语法，执行前请使用 display version、命令行 ? 和对应版本官方文档核实。

阅读说明：代码块中以 # 开头的是用途说明，不要直接输入设备。IP 地址、VLAN、端口、账号和口令均为示例，必须替换为现场规划值。

一、先规划管理网络

开局应先保证本地 Console 可恢复，再逐步建立管理 VLAN、上联和远程管理。不要在不清楚管理网关、上联端口和回退方法时修改生产设备。

项目 示例 用途
设备名称 Office-3F-Access-01 日志、网管与现场定位
管理 VLAN 100 承载设备管理流量
管理地址 192.0.2.2/24 STelnet、SNMP、NTP、Syslog 源地址
管理网关 192.0.2.1 访问其他网段的管理平台
管理跳板机 198.51.100.10/32 SSH 来源 ACL
网管平台 198.51.100.20/32 SNMP 来源 ACL

二、设备名称与 LLDP

设备名称没有前置依赖，且后续排障、日志检索都会使用。LLDP 用于发现直连邻居，通常也应尽早启用。

# 进入系统视图，后续全局配置从这里开始。
<Huawei> system-view

# 设置设备名称，建议包含地点、角色和编号。
[Huawei] sysname Office-3F-Access-01

# 启用 LLDP 邻居发现。
[Office-3F-Access-01] lldp enable

可使用 display lldp neighbor brief 查看邻居。部分型号可能缺省开启或不支持该命令，应以设备实际能力为准。

三、管理 VLAN、管理地址与本地接入口

管理 VLAN 是 STelnet、SNMP、NTP、日志的基础。顺序应为：创建 VLAN，配置 Vlanif 管理地址，再让管理端口或上联承载该 VLAN。

# 创建业务 VLAN 10、20 和管理 VLAN 100。
[Office-3F-Access-01] vlan batch 10 20 100

# 进入管理 VLAN 的三层接口。
[Office-3F-Access-01] interface Vlanif 100

# 配置交换机管理 IPv4 地址与掩码。
[Office-3F-Access-01-Vlanif100] ip address 192.0.2.2 255.255.255.0

# 退出 VLANIF 视图。
[Office-3F-Access-01-Vlanif100] quit

# 进入连接管理电脑的物理端口。
[Office-3F-Access-01] interface GigabitEthernet 0/0/1

# 将端口设为单 VLAN 的 Access 口。
[Office-3F-Access-01-GigabitEthernet0/0/1] port link-type access

# 将该端口加入管理 VLAN，供本地测试使用。
[Office-3F-Access-01-GigabitEthernet0/0/1] port default vlan 100

有些 VRP 版本也支持 port access vlan 100。若当前版本提示命令不支持，请通过 port ? 查看该设备的接入口 VLAN 命令。

四、Eth-Trunk 聚合上联

链路聚合应先创建逻辑 Eth-Trunk，再加入成员端口，最后在逻辑接口上配置 Trunk。成员端口与聚合接口不要重复配置 VLAN 属性。

# 创建逻辑聚合接口 1。
[Office-3F-Access-01] interface Eth-Trunk 1

# 添加用途说明，便于运维定位。
[Office-3F-Access-01-Eth-Trunk1] description Uplink-to-Core

# 启用静态 LACP 聚合模式。对端也必须使用兼容的聚合模式。
[Office-3F-Access-01-Eth-Trunk1] mode lacp-static

# 将聚合接口设为 Trunk。
[Office-3F-Access-01-Eth-Trunk1] port link-type trunk

# 只允许实际需要的业务 VLAN 与管理 VLAN 通过。
[Office-3F-Access-01-Eth-Trunk1] port trunk allow-pass vlan 10 20 100

# 退出逻辑聚合接口。
[Office-3F-Access-01-Eth-Trunk1] quit

# 进入第一条成员链路。
[Office-3F-Access-01] interface GigabitEthernet 0/0/47

# 将物理端口加入 Eth-Trunk 1。
[Office-3F-Access-01-GigabitEthernet0/0/47] eth-trunk 1

# 进入第二条成员链路。
[Office-3F-Access-01-GigabitEthernet0/0/47] interface GigabitEthernet 0/0/48

# 将第二条物理端口加入同一个聚合组。
[Office-3F-Access-01-GigabitEthernet0/0/48] eth-trunk 1

若设备支持 trunkport GigabitEthernet ... to ... 批量加入端口，也必须先确认端口速率、双工、对端聚合编号和模式一致。只用单链路上联时，不需要 Eth-Trunk，直接在物理端口配置 Trunk 即可。

五、普通业务端口

业务接入口依赖 VLAN 已创建，但与远程管理无直接依赖。上联确认后即可按业务规划批量划分端口。

# 批量进入连接办公终端的端口范围。
[Office-3F-Access-01] interface range GigabitEthernet 0/0/2 to GigabitEthernet 0/0/12

# 将端口设为 Access 口。
[Office-3F-Access-01-if-range] port link-type access

# 将这些端口划入业务 VLAN 10。
[Office-3F-Access-01-if-range] port default vlan 10

# 退出端口范围视图。
[Office-3F-Access-01-if-range] quit

电脑、打印机等普通终端通常使用 Access 口。无线 AP、语音设备或下联交换机需要承载多个 VLAN 时，应按网络设计采用 Trunk 或 Hybrid，不能直接套用本例。

六、缺省路由

缺省路由依赖管理 VLAN 与上联可达。它只解决设备自身访问异网管理主机的问题，并不会自动让业务 VLAN 之间互通。

# 将所有未知目的流量交给管理网关。
[Office-3F-Access-01] ip route-static 0.0.0.0 0 192.0.2.1 description To-Management-Gateway

配置后先 ping 管理网关，再测试 NTP、日志与网管平台地址。纯二层接入交换机的业务网关通常位于上层三层设备，不应在本设备上随意增加业务 VLANIF。

七、管理 ACL

ACL 必须先定义，才能被 VTY 或 SNMP 引用。建议先放通单一跳板机测试成功，再按需扩展到管理网段。

# 创建高级 ACL 3000，用于限制 STelnet 登录来源。
[Office-3F-Access-01] acl number 3000

# 仅允许管理跳板机 198.51.100.10 访问设备。
[Office-3F-Access-01-acl-adv-3000] rule 5 permit ip source 198.51.100.10 0

# 退出 ACL 3000。
[Office-3F-Access-01-acl-adv-3000] quit

# 创建独立 ACL 3001，供 SNMP 网管平台使用。
[Office-3F-Access-01] acl number 3001

# 仅允许网管平台 198.51.100.20 发起 SNMP 查询。
[Office-3F-Access-01-acl-adv-3001] rule 5 permit ip source 198.51.100.20 0

# 退出 ACL 3001。
[Office-3F-Access-01-acl-adv-3001] quit

0 表示单主机通配符。调整管理 ACL 前保留 Console 连接，避免把自己的来源地址挡在设备外。

八、AAA 本地账号、STelnet 与 VTY

AAA 账号、STelnet 服务、VTY 线路和管理 ACL 需要一起配置。先创建本地账号，再创建密钥和启用 STelnet，最后将 ACL 与 AAA 认证应用到 VTY。不要使用示例账号或弱口令。

# 进入 AAA 视图。
[Office-3F-Access-01] aaa

# 创建本地管理员并设置强口令。cipher 的可用形式随 VRP 版本变化。
[Office-3F-Access-01-aaa] local-user netadmin password cipher 请替换为强口令

# 为账号授予最高管理权限；生产环境应按最小权限分配。
[Office-3F-Access-01-aaa] local-user netadmin privilege level 15

# 仅允许该账号使用 STelnet 服务。
[Office-3F-Access-01-aaa] local-user netadmin service-type ssh

# 退出 AAA 视图。
[Office-3F-Access-01-aaa] quit

# 创建本地 RSA 密钥对。设备会要求确认密钥长度。
[Office-3F-Access-01] rsa local-key-pair create

# 启用安全远程登录服务 STelnet。
[Office-3F-Access-01] stelnet server enable

# 在支持该命令的版本中，固定 SSH 服务使用管理 VLANIF 作为源接口。
[Office-3F-Access-01] ssh server-source -i Vlanif100

# 指定用户使用口令方式认证。
[Office-3F-Access-01] ssh user netadmin authentication-type password

# 指定用户仅使用 STelnet 服务。
[Office-3F-Access-01] ssh user netadmin service-type stelnet

# 进入 VTY 远程终端线路。可用范围因型号而异。
[Office-3F-Access-01] user-interface vty 0 4

# 将 ACL 3000 入方向绑定到远程终端线路。
[Office-3F-Access-01-ui-vty0-4] acl 3000 inbound

# 使用 AAA 本地账号认证。
[Office-3F-Access-01-ui-vty0-4] authentication-mode aaa

# 禁止 Telnet，只接受 SSH。
[Office-3F-Access-01-ui-vty0-4] protocol inbound ssh

# 空闲 10 分钟自动断开。
[Office-3F-Access-01-ui-vty0-4] idle-timeout 10 0

# 关闭逐屏显示，便于运维查看长输出。
[Office-3F-Access-01-ui-vty0-4] screen-length 0

部分 V200R020 及后续版本要求配置 ssh server-source 后才能从指定接口访问 SSH。命令不支持时应以该设备帮助与版本文档为准，不能为求省事改为明文 Telnet。

九、Console 本地登录保护

Console 是网络中断时的重要回退方式，没有网络依赖，通常在远程管理验证后配置。

# 进入 Console 用户界面。
[Office-3F-Access-01] user-interface console 0

# 使用线路口令认证；存在统一 AAA 时应遵循组织规范。
[Office-3F-Access-01-ui-console0] authentication-mode password

# 设置与远程账号不同的 Console 强口令。
[Office-3F-Access-01-ui-console0] set authentication password cipher 请替换为强口令

# 空闲 10 分钟自动断开 Console 会话。
[Office-3F-Access-01-ui-console0] idle-timeout 10 0

# 关闭分屏显示。
[Office-3F-Access-01-ui-console0] screen-length 0

十、SNMP 网管接入

SNMP 依赖管理 IP、路由和 ACL。优先使用 SNMPv3；为兼容旧网管平台使用 v2c 时，应使用随机只读社区字串并严格限制来源，不要在文章或工单中写入真实社区字串。

# 启用 SNMP 代理。
[Office-3F-Access-01] snmp-agent

# 创建允许读取标准 MIB 树的视图。
[Office-3F-Access-01] snmp-agent mib-view included view_all iso

# 配置只读社区字串，并通过 ACL 3001 限制来源。
[Office-3F-Access-01] snmp-agent community read cipher 请替换为随机只读社区字串 mib-view view_all acl 3001

# 设置网管展示的设备位置。
[Office-3F-Access-01] snmp-agent sys-info location Office-3F-Rack-A

# 仅在旧平台兼容需要时启用 SNMPv2c。
[Office-3F-Access-01] snmp-agent sys-info version v2c

# 启用 Trap 告警发送。
[Office-3F-Access-01] snmp-agent trap enable

# 指定 Trap 接收服务器与认证名称。
[Office-3F-Access-01] snmp-agent target-host trap address udp-domain 198.51.100.20 params securityname 请替换为Trap认证名 v2c

支持 SNMPv3 的设备和平台应优先按相应版本官方文档配置认证与加密用户，避免 v2c 社区字串在网络中以明文方式传输。

十一、NTP 与日志主机

NTP 和 Syslog 都依赖管理网络、路由与稳定的源接口。两者没有严格先后关系，按运维使用频率放在同一阶段配置。

# 设置东八区名称与 UTC 偏移。
[Office-3F-Access-01] clock timezone Beijing add 08:00:00

# 配置单播 NTP 服务器，并固定以管理 VLANIF 作为源接口。
[Office-3F-Access-01] ntp-service unicast-server 198.51.100.30 source-interface Vlanif100

# 启用信息中心日志功能。
[Office-3F-Access-01] info-center enable

# 固定 Syslog 的源接口为管理 VLANIF。
[Office-3F-Access-01] info-center loghost source Vlanif100

# 将日志发送到 Syslog 主机，并使用 local6 分类。
[Office-3F-Access-01] info-center loghost 198.51.100.40 facility local6

NTP、日志服务器地址和设施码必须与现网平台一致。配置后应检查时间是否已同步，并验证日志平台能收到一条正常登录或低风险测试日志。

十二、生成树（可选）

生成树必须结合网络角色设计。根桥优先级只应配置在明确承担核心或汇聚角色的设备；边缘端口只应用于普通终端，不应用于交换机互联口。

# 启用生成树。许多设备缺省已启用，先检查现网状态。
[Office-3F-Access-01] stp enable

# 仅在本设备被设计为根桥时设置较低优先级。
[Office-3F-Access-01] stp priority 0

# 进入连接普通终端的接入口。
[Office-3F-Access-01] interface GigabitEthernet 0/0/2

# 启用边缘端口，使终端接入口更快转发。
[Office-3F-Access-01-GigabitEthernet0/0/2] stp edged-port enable

不建议将 stp bpdu-filter enable 写入通用模板。它会改变 BPDU 处理行为；若误用于交换机互联或不受控端口，会削弱二层环路保护。只有经过网络设计评审后才可采用。

十三、检查与保存

保存前先检查接口、VLAN、Eth-Trunk、LLDP、SSH 与运行配置：

# 查看完整运行配置，进行人工核对。
[Office-3F-Access-01] display current-configuration

# 查看 VLAN 与端口归属。
[Office-3F-Access-01] display vlan

# 查看三层接口地址与状态。
[Office-3F-Access-01] display ip interface brief

# 查看 Eth-Trunk 1 的成员和聚合状态。
[Office-3F-Access-01] display eth-trunk 1

# 查看 LLDP 邻居信息。
[Office-3F-Access-01] display lldp neighbor brief

# 查看 SSH 服务状态。
[Office-3F-Access-01] display ssh server status

确认管理地址可达、授权主机可通过 STelnet 登录、聚合状态正常、NTP 和日志系统可用后，再保存：

# 退出到用户视图。
[Office-3F-Access-01] return

# 保存当前运行配置。设备可能要求确认。
<Office-3F-Access-01> save

保存后应导出配置备份，记录设备序列号、管理地址、上联端口和变更时间。生产设备变更还应遵循维护窗口、审批与回退流程。

十四、常见误区

  • 管理 VLAN 未通过上联：本地有管理 IP，但远端平台仍无法访问。
  • Eth-Trunk 两端模式或成员不一致：聚合可能无法建立，甚至产生链路异常。
  • 先应用 ACL、后验证来源：错误规则可能直接锁死远程管理。
  • 使用真实口令或 SNMP 社区字串作为示例：敏感信息应进入密码管理或受控配置系统。
  • 把任意端口设为边缘端口或开启 BPDU 过滤：会降低生成树对环路的保护能力。
  • 配置后没有保存：设备重启后未保存的运行配置可能丢失。

参考与校验

  • 参考思路：根据官方文档重新组织并补充说明，更加贴近日常运维工作。
  • 命令校验：请以目标设备的 VRP 版本命令参考、现场安全基线和变更流程为准。