华为、H3C、锐捷、中兴、思科交换机配置命令对比
用管理 VLAN、接入口、Trunk、链路聚合、STP 与 ACL 六个常见场景，对比五类交换机系统的命令逻辑与版本差异。
适用范围：仅适用于本人拥有或已获明确授权的设备。华为 VRP、H3C Comware、锐捷 RGOS、中兴 ZXROS、Cisco IOS/IOS XE 的设备型号和软件版本差异很大，本文只用于理解命令逻辑与实验环境准备。生产变更前必须用设备命令行
?、show/display version及对应版本官方文档核实。阅读说明：代码块中以
#开头的是用途说明，不要直接输入设备。地址、VLAN、端口和账号均为示例，必须替换为现场规划值。
一、先理解共性，再记语法差异
五类交换机的底层目标基本一致：建立管理入口、划分 VLAN、把端口设置为 Access 或 Trunk、处理链路冗余、限制管理来源并保存配置。差别主要在命令视图、接口命名、聚合接口名称和关键字。
不要把“命令相似”理解为“可以跨厂商直接复制”。尤其是端口编号、缺省 VLAN、聚合模式、STP 模式、ACL 编号范围和软件授权功能，都必须以设备实际输出为准。
| 目标 | 华为 VRP | H3C Comware | 锐捷 RGOS | 中兴 ZXROS | Cisco IOS/IOS XE |
|---|---|---|---|---|---|
| 进入全局配置 | system-view |
system-view |
configure terminal 或型号相关视图 |
system-view |
enable 后 configure terminal |
| 设置名称 | sysname |
sysname |
hostname |
sysname |
hostname |
| 管理三层接口 | Vlanif |
Vlan-interface |
常见为 interface vlan |
常见为 Vlan 或型号相关形式 |
interface vlan |
| 聚合接口 | Eth-Trunk |
Bridge-Aggregation |
常见为 port-channel |
常见为 Eth-Trunk |
port-channel |
| 安全远程登录 | stelnet / SSH |
SSH | SSH | SSH | SSH |
以下章节按依赖关系排列：先建立管理网络，再配置二层链路，最后接入管理与安全能力。
二、进入配置视图与设备名称
名称没有前置依赖，也是最常用的运维信息。Cisco 的特权模式与全局配置模式分两步，其他几类设备通常直接进入系统视图。
# Huawei：进入系统视图。
<Huawei> system-view
# Huawei：设置设备名称。
[Huawei] sysname Access-SW-01
# H3C：进入系统视图。
<H3C> system-view
# H3C：设置设备名称。
[H3C] sysname Access-SW-01
# Ruijie：进入特权模式，再进入全局配置模式。部分型号提示符会不同。
Ruijie> enable
Ruijie# configure terminal
# Ruijie：设置设备名称。
Ruijie(config)# hostname Access-SW-01
# ZTE：进入系统视图并设置设备名称。
<ZTE> system-view
[ZTE] sysname Access-SW-01
# Cisco：进入特权模式，再进入全局配置模式。
Switch> enable
Switch# configure terminal
# Cisco：设置设备名称。
Switch(config)# hostname Access-SW-01
建议名称包含地点、角色和编号，例如 Office-3F-Access-01。不要将口令、地址或客户信息写进名称。
三、管理 VLAN 与管理地址
远程运维依赖管理 VLAN、管理 IP 和可达路径。先创建 VLAN，再进入 VLAN 三层接口配置地址；管理电脑不在同一网段时，还要根据网络规划配置网关或缺省路由。
# Huawei：创建管理 VLAN 100。
[Access-SW-01] vlan 100
# Huawei：进入 VLANIF 100。
[Access-SW-01-vlan100] interface Vlanif 100
# Huawei：配置管理地址和掩码。
[Access-SW-01-Vlanif100] ip address 192.0.2.2 255.255.255.0
# H3C：创建管理 VLAN 100。
[Access-SW-01] vlan 100
# H3C：进入 VLAN 接口。
[Access-SW-01-vlan100] interface Vlan-interface 100
# H3C：配置管理地址和掩码。
[Access-SW-01-Vlan-interface100] ip address 192.0.2.2 255.255.255.0
# Cisco：创建 VLAN 100。
Access-SW-01(config)# vlan 100
# Cisco：进入 VLAN 100 的三层接口。
Access-SW-01(config-vlan)# interface vlan 100
# Cisco：配置管理地址和掩码。
Access-SW-01(config-if)# ip address 192.0.2.2 255.255.255.0
# Cisco：启用该 VLAN 接口。部分设备默认可能处于关闭状态。
Access-SW-01(config-if)# no shutdown
锐捷和中兴的 VLAN 接口关键字随版本变化较多，应先在系统视图使用 interface ? 检查，再确认对应的 VLANIF/VLAN 接口形式。管理 VLAN 必须至少通过一个本地端口或上联端口，配置 IP 本身并不会让它自动可达。
IPv6 管理地址
IPv6 管理地址与 IPv4 管理地址使用同一个 VLAN 三层接口，但必须单独配置地址、网关或路由。下面使用文档保留前缀 2001:db8::/32，生产环境必须替换为实际地址规划。
# Huawei：在管理 VLANIF 上配置 IPv6 管理地址。
[Access-SW-01] interface Vlanif 100
[Access-SW-01-Vlanif100] ipv6 address 2001:db8:100::2/64
# H3C：在管理 VLAN 接口上配置 IPv6 管理地址。
[Access-SW-01] interface Vlan-interface 100
[Access-SW-01-Vlan-interface100] ipv6 address 2001:db8:100::2/64
# Cisco：在管理 SVI 上配置 IPv6 管理地址。
Access-SW-01(config)# interface vlan 100
Access-SW-01(config-if)# ipv6 address 2001:db8:100::2/64
若管理主机不在同一 IPv6 网段，还需要按设备版本配置 IPv6 缺省路由或下一跳。是否需要启用 IPv6 路由转发，取决于设备是否承担三层转发角色和现网设计。
四、Access 端口与 Trunk 上联
端口配置依赖 VLAN 已存在。Access 口通常接普通终端，只承载一个无标签 VLAN；Trunk 口通常连接上联交换机、路由器或防火墙，承载多个 VLAN。
# Huawei：进入接入口。
[Access-SW-01] interface GigabitEthernet 0/0/1
# Huawei：设为 Access 口。
[Access-SW-01-GigabitEthernet0/0/1] port link-type access
# Huawei：加入 VLAN 10。
[Access-SW-01-GigabitEthernet0/0/1] port default vlan 10
# H3C：进入接入口。
[Access-SW-01] interface GigabitEthernet 1/0/1
# H3C：设为 Access 口。
[Access-SW-01-GigabitEthernet1/0/1] port link-type access
# H3C：加入 VLAN 10。
[Access-SW-01-GigabitEthernet1/0/1] port access vlan 10
# Cisco：进入接入口，实际端口类型可能是 GigabitEthernet、FastEthernet 或 TenGigabitEthernet。
Access-SW-01(config)# interface GigabitEthernet 1/0/1
# Cisco：设为 Access 口。
Access-SW-01(config-if)# switchport mode access
# Cisco：加入 VLAN 10。
Access-SW-01(config-if)# switchport access vlan 10
# Huawei：进入上联端口。
[Access-SW-01] interface GigabitEthernet 0/0/24
# Huawei：设为 Trunk。
[Access-SW-01-GigabitEthernet0/0/24] port link-type trunk
# Huawei：只允许业务 VLAN 10、20 与管理 VLAN 100 通过。
[Access-SW-01-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 100
# H3C：进入上联端口。
[Access-SW-01] interface GigabitEthernet 1/0/24
# H3C：设为 Trunk。
[Access-SW-01-GigabitEthernet1/0/24] port link-type trunk
# H3C：允许指定 VLAN 通过。
[Access-SW-01-GigabitEthernet1/0/24] port trunk permit vlan 10 20 100
# Cisco：进入上联端口。
Access-SW-01(config)# interface GigabitEthernet 1/0/24
# Cisco：设为 Trunk。
Access-SW-01(config-if)# switchport mode trunk
# Cisco：允许指定 VLAN 通过。
Access-SW-01(config-if)# switchport trunk allowed vlan 10,20,100
锐捷和中兴的 Access/Trunk 语法可能分别接近 Cisco 或华为/H3C，不能仅凭品牌猜测。跨厂商互联时，两端允许 VLAN 集合、PVID 或 Native VLAN 设计必须一致。
五、链路聚合的名称差异
链路聚合的目标相同：将多条物理链路组成一个逻辑链路，提高带宽并提供冗余。关键是两端的聚合模式、成员数、速率与 VLAN 属性一致。
# Huawei：创建 Eth-Trunk 1。
[Access-SW-01] interface Eth-Trunk 1
# Huawei：使用 LACP 静态模式，需与对端一致。
[Access-SW-01-Eth-Trunk1] mode lacp-static
# H3C：创建逻辑聚合接口 1。
[Access-SW-01] interface Bridge-Aggregation 1
# H3C：设置动态聚合模式。
[Access-SW-01-Bridge-Aggregation1] link-aggregation mode dynamic
# Cisco：创建 Port-channel 1。
Access-SW-01(config)# interface port-channel 1
# Cisco：将物理端口加入组 1，并使用 active LACP 模式。
Access-SW-01(config)# interface GigabitEthernet 1/0/47
Access-SW-01(config-if)# channel-group 1 mode active
锐捷常见 port-channel 或 channel-group 形式，中兴常见 Eth-Trunk 形式，但都存在型号差异。聚合接口上的 Trunk 配置与上一节相同；不要在成员口和逻辑聚合口重复配置同一套 VLAN 属性。
六、生成树：根桥与边缘端口
STP 用于避免二层环路。根桥配置只应放在网络设计明确的核心或汇聚设备上；边缘端口只用于普通终端口，绝不能随意用于交换机互联口。
# Huawei：启用 STP。许多设备默认已启用，先检查状态。
[Access-SW-01] stp enable
# Huawei：仅在本设备设计为根桥时设置根桥角色。
[Access-SW-01] stp root primary
# H3C：启用 STP 并设置根桥角色。
[Access-SW-01] stp enable
[Access-SW-01] stp root primary
# Cisco：选择 STP 模式。模式必须符合全网设计。
Access-SW-01(config)# spanning-tree mode rapid-pvst
# Cisco：使 VLAN 10 的本设备成为主根桥。
Access-SW-01(config)# spanning-tree vlan 10 root primary
锐捷、中兴的 STP 命令可能与华为/H3C 接近，但 MSTP、RSTP、PVST 的实例模型不同。跨厂商互联前要先统一协议与根桥规划，避免将不同模式的行为误认为故障。
七、管理 ACL 与远程登录
ACL 必须先创建，再应用到 VTY、SSH 或接口。先放通一台管理跳板机验证，确认可登录后再扩大范围；调整 ACL 时保留 Console 回退通道。
# Huawei：创建高级 ACL 3000。
[Access-SW-01] acl number 3000
# Huawei：仅允许跳板机 198.51.100.10。
[Access-SW-01-acl-adv-3000] rule 5 permit ip source 198.51.100.10 0
# H3C：创建高级 ACL 3000。
[Access-SW-01] acl advanced 3000
# H3C：仅允许跳板机 198.51.100.10。
[Access-SW-01-acl-ipv4-adv-3000] rule 5 permit ip source 198.51.100.10 0
# Cisco：创建标准 ACL 10。
Access-SW-01(config)# access-list 10 permit host 198.51.100.10
# Cisco：进入 VTY 并只允许 ACL 10 中的来源远程登录。
Access-SW-01(config)# line vty 0 4
Access-SW-01(config-line)# access-class 10 in
Cisco 的 ACL 类型、编号范围和应用命令与 VRP/Comware 不同；锐捷、中兴也可能采用自身编号或命名方式。生产环境应优先采用 SSH，并使用专用管理网段与强认证策略。
IPv6 管理 ACL
IPv4 ACL 不会自动匹配 IPv6 流量。若设备通过 IPv6 管理，必须创建独立 IPv6 ACL，并在 VTY 或管理服务上应用。
# Huawei：创建 IPv6 高级 ACL 3000。
[Access-SW-01] acl ipv6 number 3000
# Huawei：仅允许指定 IPv6 管理跳板机。
[Access-SW-01-acl6-adv-3000] rule 5 permit ipv6 source 2001:db8:200::10 128
# H3C：创建 IPv6 高级 ACL 3000。关键字以 Comware 版本为准。
[Access-SW-01] acl ipv6 advanced 3000
# H3C：仅允许指定 IPv6 管理跳板机。
[Access-SW-01-acl6-ipv6-adv-3000] rule 5 permit ipv6 source 2001:db8:200::10 128
# Cisco：创建命名 IPv6 标准 ACL。
Access-SW-01(config)# ipv6 access-list standard MGMT-V6
# Cisco：仅允许指定 IPv6 管理主机。
Access-SW-01(config-std-nacl)# permit host 2001:db8:200::10
# Cisco：在 VTY 上应用 IPv6 管理 ACL。
Access-SW-01(config)# line vty 0 4
Access-SW-01(config-line)# ipv6 access-class MGMT-V6 in
八、SSH 远程管理
SSH 依赖管理 VLAN、管理地址、路由和管理 ACL 已经可用。推荐先保持 Console 登录不退出，再从已放通的管理主机测试 SSH，确认无误后再限制 VTY 线路只接受 SSH。不要为了排障临时启用明文 Telnet。
# Huawei：进入 AAA 视图，创建本地管理账号。
[Access-SW-01] aaa
# Huawei：为账号设置强口令。cipher 的具体形式因 VRP 版本而异。
[Access-SW-01-aaa] local-user netadmin password cipher 请替换为强口令
# Huawei：授予管理权限。生产环境应遵循最小权限原则。
[Access-SW-01-aaa] local-user netadmin privilege level 15
# Huawei：允许该账号使用 SSH 服务。
[Access-SW-01-aaa] local-user netadmin service-type ssh
# Huawei：创建 RSA 本地密钥对，设备会要求确认密钥长度。
[Access-SW-01] rsa local-key-pair create
# Huawei：启用安全远程登录服务 STelnet。
[Access-SW-01] stelnet server enable
# Huawei：进入 VTY，绑定前面创建的管理 ACL。
[Access-SW-01] user-interface vty 0 4
[Access-SW-01-ui-vty0-4] acl 3000 inbound
# Huawei：使用 AAA 认证并只允许 SSH。
[Access-SW-01-ui-vty0-4] authentication-mode aaa
[Access-SW-01-ui-vty0-4] protocol inbound ssh
# H3C：创建本地管理用户。class 和角色名称随 Comware 版本变化。
[Access-SW-01] local-user netadmin class manage
[Access-SW-01-luser-manage-netadmin] password cipher 请替换为强口令
[Access-SW-01-luser-manage-netadmin] service-type ssh
[Access-SW-01-luser-manage-netadmin] authorization-attribute user-role network-admin
# H3C：生成 RSA 密钥并启用 SSH 服务。
[Access-SW-01] public-key local create rsa
[Access-SW-01] ssh server enable
# H3C：将管理 ACL 应用于 SSH 服务。
[Access-SW-01] ssh server acl 3000
# H3C：限制 VTY 只接受 SSH。
[Access-SW-01] line vty 0 4
[Access-SW-01-line-vty0-4] authentication-mode scheme
[Access-SW-01-line-vty0-4] protocol inbound ssh
# Cisco：创建本地特权账号，secret 会以不可逆摘要形式保存。
Access-SW-01(config)# username netadmin privilege 15 secret 请替换为强口令
# Cisco：设置设备域名。许多 IOS/IOS XE 版本生成 RSA 密钥前需要该配置。
Access-SW-01(config)# ip domain name example.invalid
# Cisco：生成 RSA 密钥。密钥长度要求因版本和安全策略而异。
Access-SW-01(config)# crypto key generate rsa
# Cisco：启用 SSH v2。
Access-SW-01(config)# ip ssh version 2
# Cisco：进入 VTY，使用本地账号认证并限制 SSH。
Access-SW-01(config)# line vty 0 4
Access-SW-01(config-line)# login local
Access-SW-01(config-line)# transport input ssh
# Cisco：应用前面创建的管理 ACL。
Access-SW-01(config-line)# access-class 10 in
锐捷和中兴的 SSH 用户、密钥和 VTY 配置常分别接近 Cisco 或华为/H3C，但具体关键字必须以设备版本为准。配置后应从授权管理主机测试 SSH，再使用显示命令查看服务状态和在线会话。
IPv6 SSH 说明
SSH/STelnet 服务本身通常同时支持 IPv4 和 IPv6，不需要单独再启一个“IPv6 SSH 服务”。前提是管理 VLANIF 已配置 IPv6 地址、IPv6 路由可达，并且已在上一节为 IPv6 单独放通管理 ACL。测试时直接使用设备 IPv6 地址连接即可。
九、NTP 时间同步
NTP 依赖管理 VLAN、管理地址、上联和缺省路由。设备时间正确后，日志、SNMP Trap、告警、配置变更和证书校验才能使用可靠的时间线。建议使用组织内部受控的 NTP 服务器或可信时间源。
# Huawei：设置东八区名称与 UTC 偏移。
[Access-SW-01] clock timezone Beijing add 08:00:00
# Huawei：配置单播 NTP 服务器，并固定以管理 VLANIF 作为源接口。
[Access-SW-01] ntp-service unicast-server 198.51.100.30 source-interface Vlanif100
# H3C：设置东八区名称与 UTC 偏移。
[Access-SW-01] clock timezone Beijing add 08:00:00
# H3C：配置单播 NTP 服务器，并固定以管理 VLAN 接口作为源地址。
[Access-SW-01] ntp-service unicast-server 198.51.100.30 source Vlan-interface 100
# Cisco：设置时区。夏令时策略应按所在地实际要求配置。
Access-SW-01(config)# clock timezone CST 8
# Cisco：指定 NTP 服务器。source 命令在需要固定源接口时另行配置。
Access-SW-01(config)# ntp server 198.51.100.30
# Cisco：指定 NTP 请求的源 VLAN 接口。
Access-SW-01(config)# ntp source Vlan100
锐捷和中兴通常也提供单播 NTP 客户端与源接口选择，但命令名称可能随系统版本变化。配置后应查看时间、NTP 会话或同步状态；如果无法同步，按管理 VLAN、路由、ACL、防火墙 UDP 123 和 NTP 服务器自身策略的顺序排查。
IPv6 NTP 服务器
NTP 服务本身可使用 IPv6 服务器地址，前提是管理接口和路由已具备 IPv6 连通性。设备若需要固定源接口，仍应选择管理 VLAN 接口。
# Huawei：使用 IPv6 地址作为单播 NTP 服务器，并指定管理 VLANIF 源接口。
[Access-SW-01] ntp-service unicast-server 2001:db8:300::30 source-interface Vlanif100
# H3C：使用 IPv6 地址作为单播 NTP 服务器，并指定管理 VLAN 接口源地址。
[Access-SW-01] ntp-service unicast-server 2001:db8:300::30 source Vlan-interface 100
# Cisco：使用 IPv6 地址作为 NTP 服务器。
Access-SW-01(config)# ntp server 2001:db8:300::30
十、DHCP 与端口安全的使用边界
DHCP 与端口安全不是每台二层交换机都需要启用。DHCP 服务通常位于三层网关或专用服务器；端口安全需要结合终端变更频率和异常处置流程，否则可能造成正常用户断网。
# Cisco：启用 DHCP 服务。仅在本设备承担 DHCP 服务器职责时使用。
Access-SW-01(config)# service dhcp
# Cisco：创建 DHCP 地址池。
Access-SW-01(config)# ip dhcp pool OFFICE-VLAN10
# Cisco：声明地址池网段。
Access-SW-01(dhcp-config)# network 192.0.10.0 255.255.255.0
# Cisco：配置客户端默认网关。
Access-SW-01(dhcp-config)# default-router 192.0.10.1
# Huawei：进入接入口。
[Access-SW-01] interface GigabitEthernet 0/0/2
# Huawei：启用端口安全。
[Access-SW-01-GigabitEthernet0/0/2] port-security enable
# Huawei：限制端口最多学习一个 MAC 地址。
[Access-SW-01-GigabitEthernet0/0/2] port-security max-mac-num 1
各厂商 DHCP 地址池、DHCP Relay、端口安全违规动作的命令差异很大。上线前应明确 MAC 超限后的动作是告警、丢弃还是关闭端口，并准备恢复流程。
DHCPv6 示例
DHCPv6 与 IPv4 DHCP 不完全等价：IPv6 默认网关通常通过路由通告（RA）发布，而不是 DHCPv6 地址池中的 default-router 字段。以下为 Cisco IOS/IOS XE 常见的有状态 DHCPv6 示例；其他厂商的 DHCPv6 命令应按版本文档配置。
# Cisco：启用 IPv6 三层转发能力。仅在设备承担三层角色时使用。
Access-SW-01(config)# ipv6 unicast-routing
# Cisco：创建 DHCPv6 地址池。
Access-SW-01(config)# ipv6 dhcp pool OFFICE-VLAN10-V6
# Cisco：声明 DHCPv6 分配的地址前缀。
Access-SW-01(config-dhcpv6)# address prefix 2001:db8:10::/64
# Cisco：为客户端提供 IPv6 DNS 服务器地址。
Access-SW-01(config-dhcpv6)# dns-server 2001:db8::53
# Cisco：进入 VLAN 10 的三层接口并配置 IPv6 网关地址。
Access-SW-01(config)# interface vlan 10
Access-SW-01(config-if)# ipv6 address 2001:db8:10::1/64
# Cisco：通过 RA 告知终端使用 DHCPv6 获取地址。
Access-SW-01(config-if)# ipv6 nd managed-config-flag
# Cisco：将 DHCPv6 地址池应用到该接口。
Access-SW-01(config-if)# ipv6 dhcp server OFFICE-VLAN10-V6
十一、IP-MAC-Port 绑定与源地址校验
IP-MAC-Port 绑定将终端的 IP 地址、MAC 地址、物理接入口和 VLAN 作为一个整体约束，用于降低伪造 IP、冒用地址或私接终端带来的风险。它依赖 VLAN、接入口、终端 IP 规划已经确定；若网络使用 DHCP，还要先确认地址分配方式与租约变更流程。
完整配置通常分两步：先建立静态 IP-MAC-Port-VLAN 绑定表，再在对应端口启用源地址校验。只创建表项而不启用校验，或只启用校验但没有有效表项，都可能达不到预期效果。
# Huawei：创建静态 IP-MAC-Port-VLAN 绑定。下方为一条命令的视觉折行，输入时删除 `\` 并拼接为一行。
[Access-SW-01] user-bind static ip-address 192.0.10.101 mac-address 00e0-fc12-3456 \
interface GigabitEthernet 0/0/2 vlan 10
# Huawei：在已绑定的接入口启用基于绑定表的 IP 源地址检查。
[Access-SW-01] interface GigabitEthernet 0/0/2
[Access-SW-01-GigabitEthernet0/0/2] ip source check user-bind enable
# H3C：建立静态 IP-MAC-Port-VLAN 绑定。下方为一条命令的视觉折行，输入时删除 `\` 并拼接为一行。
[Access-SW-01] ip source binding ip-address 192.0.10.101 mac-address 00e0-fc12-3456 \
interface GigabitEthernet 1/0/2 vlan 10
# H3C：进入已绑定端口，准备启用 IP 与 MAC 源地址校验。
[Access-SW-01] interface GigabitEthernet 1/0/2
# H3C：校验报文源 IP 与源 MAC 是否与绑定表匹配。
[Access-SW-01-GigabitEthernet1/0/2] ip verify source ip-address mac-address
# H3C：进入具体接入口，创建该接口使用的动态 IP-MAC 绑定表项。
[Access-SW-01] interface GigabitEthernet 1/0/1
# H3C：将终端 IP 与 MAC 地址绑定到当前接口。地址必须与该端口 VLAN 的网段一致。
[Access-SW-01-GigabitEthernet1/0/1] ip source binding ip-address 192.0.10.101 mac-address C400-AD7B-C220
# H3C：在当前接口启用 IP 与 MAC 的源地址校验。
[Access-SW-01-GigabitEthernet1/0/1] ip verify source ip-address mac-address
# Cisco：创建静态 IP-MAC-Port-VLAN 源绑定表项。下方为一条命令的视觉折行，输入时删除 `\` 并拼接为一行。
Access-SW-01(config)# ip source binding mac-address 00e0.fc12.3456 vlan 10 \
ip-address 192.0.10.101 interface GigabitEthernet 1/0/2
# Cisco：在已绑定接入口启用 IP Source Guard。
Access-SW-01(config)# interface GigabitEthernet 1/0/2
Access-SW-01(config-if)# ip verify source
锐捷和中兴设备可能使用 IP Source Guard、ARP 防护、静态用户绑定或 DHCP Snooping 绑定表等不同名称。生产启用前必须先确认：终端是否使用静态地址、是否有 IP 电话或虚拟机多 MAC 场景、DHCP 租约是否会变化，以及违规后的恢复路径。错误的 IP、MAC、端口或 VLAN 任一字段都会导致合法终端无法上网。
IPv6 的对应能力
IPv6 没有可跨厂商直接照抄的“IP-MAC-Port 静态绑定”命令。等效能力通常涉及 IPv6 Source Guard、ND Inspection、RA Guard、DHCPv6 Snooping 或 IPv6 用户绑定，且名称、依赖表项和应用方式差异明显。因此本文不提供伪通用命令；需要启用时，应以目标型号的 IPv6 接入安全功能和测试结果为准。
十二、QoS 分类、打标与队列策略
QoS 依赖业务类型、VLAN、端口方向、链路带宽和容量规划已经明确。常见目标是让语音、视频或关键业务在拥塞时获得更可预测的转发，而不是无条件提高所有流量优先级。先定义流量分类条件，再定义动作，最后在正确的入方向或出方向端口应用策略。
仅重新标记 DSCP 不等于已经获得带宽保障；真正的优先级、队列调度、整形和限速能力还取决于设备型号、接口速率与 ASIC 特性。生产变更前应在授权测试环境验证队列统计和业务效果。
# Huawei：创建流分类器，用 DSCP EF 识别语音类流量。
[Access-SW-01] traffic classifier VOICE operator and
[Access-SW-01-classifier-VOICE] if-match dscp ef
# Huawei：创建流行为，将匹配流量重标记为 EF。
[Access-SW-01] traffic behavior VOICE-MARK
[Access-SW-01-behavior-VOICE-MARK] remark dscp ef
# Huawei：创建流策略，把分类器与行为关联。
[Access-SW-01] traffic policy QOS-MARK
[Access-SW-01-trafficpolicy-QOS-MARK] classifier VOICE behavior VOICE-MARK
# Huawei：在上联口出方向应用策略。实际方向应按流量路径确认。
[Access-SW-01] interface GigabitEthernet 0/0/24
[Access-SW-01-GigabitEthernet0/0/24] traffic-policy QOS-MARK outbound
# H3C：创建流分类器，匹配 DSCP EF。
[Access-SW-01] traffic classifier VOICE operator and
[Access-SW-01-classifier-VOICE] if-match dscp ef
# H3C：创建流行为，重标记匹配流量。
[Access-SW-01] traffic behavior VOICE-MARK
[Access-SW-01-behavior-VOICE-MARK] remark dscp ef
# H3C：创建 QoS 策略并关联分类器与行为。
[Access-SW-01] traffic policy QOS-MARK
[Access-SW-01-trafficpolicy-QOS-MARK] classifier VOICE behavior VOICE-MARK
# H3C：在上联口出方向应用 QoS 策略。
[Access-SW-01] interface GigabitEthernet 1/0/24
[Access-SW-01-GigabitEthernet1/0/24] qos apply policy QOS-MARK outbound
# Cisco：创建流分类，匹配 DSCP EF。
Access-SW-01(config)# class-map match-any VOICE
Access-SW-01(config-cmap)# match dscp ef
# Cisco：创建策略，将语音类流量放入优先队列。百分比必须依据带宽规划设置。
Access-SW-01(config)# policy-map QOS-OUT
Access-SW-01(config-pmap)# class VOICE
Access-SW-01(config-pmap-c)# priority percent 20
# Cisco：在上联口出方向应用服务策略。
Access-SW-01(config)# interface GigabitEthernet 1/0/24
Access-SW-01(config-if)# service-policy output QOS-OUT
锐捷与中兴的 QoS 通常也采用“分类、行为、策略、接口应用”或类似的模块化模型，但类名、队列命令、应用方向和授权特性可能不同。设计时至少要明确：哪些流量可标记、是否应信任终端 DSCP、优先队列上限、非关键业务的可用带宽，以及拥塞发生在哪个接口方向。
IPv6 QoS 分类
IPv6 也使用流量类别中的 DSCP 字段。若策略按 DSCP 匹配，需要单独声明 IPv6 分类条件；Cisco 的 match dscp 在支持的平台上通常可覆盖 IPv4 和 IPv6 报文，仍需按平台确认。
# Huawei：创建仅匹配 IPv6 DSCP EF 的流分类器。
[Access-SW-01] traffic classifier VOICE-V6 operator and
[Access-SW-01-classifier-VOICE-V6] if-match ipv6 dscp ef
# H3C：创建仅匹配 IPv6 DSCP EF 的流分类器。
[Access-SW-01] traffic classifier VOICE-V6 operator and
[Access-SW-01-classifier-VOICE-V6] if-match ipv6 dscp ef
# Cisco：按 DSCP EF 匹配流量；支持平台上可同时匹配 IPv4 和 IPv6。
Access-SW-01(config)# class-map match-any VOICE
Access-SW-01(config-cmap)# match dscp ef
十三、检查与保存
配置结束后，先检查 VLAN、端口、聚合、STP 与管理连通性，再保存。以下命令是常见入口，具体显示项依版本而异。
# Huawei：查看当前运行配置。
[Access-SW-01] display current-configuration
# Huawei：查看 VLAN 信息。
[Access-SW-01] display vlan
# Huawei：查看 Eth-Trunk 状态。
[Access-SW-01] display eth-trunk 1
# Huawei：查看 IPv6 接口地址与状态。
[Access-SW-01] display ipv6 interface brief
# Huawei：保存配置。
<Access-SW-01> save
# H3C：查看当前运行配置。
[Access-SW-01] display current-configuration
# H3C：查看 IPv6 接口地址与状态。
[Access-SW-01] display ipv6 interface brief
# H3C：保存配置。
<Access-SW-01> save
# Cisco：查看运行配置。
Access-SW-01# show running-config
# Cisco：查看 IPv6 接口地址与状态。
Access-SW-01# show ipv6 interface brief
# Cisco：保存运行配置到启动配置。
Access-SW-01# copy running-config startup-config
十四、学习与运维建议
- 先掌握 VLAN、Access/Trunk、管理地址、STP、聚合和 SSH 这几个跨厂商共性概念。
- 每次配置前先确认系统类型、软件版本和接口命名，不凭印象复制命令。
- 在模拟器或授权实验环境中做跨厂商互联测试，记录两端允许 VLAN、聚合和 STP 模式。
- 把真实口令、SNMP 社区字串、客户地址与生产拓扑排除在示例、工单和公开文章之外。
- 生产变更遵循审批、窗口、备份和回退流程；远程改管理平面时保留 Console 或带外访问。
参考与校验
- 参考思路：根据官方文档重新组织并补充说明，更加贴近日常运维工作。
- 命令校验：请以目标设备的软件版本、现场安全基线和官方配置指南为准。