企业官网建设流程全解析

简介：一份面向网络运维人员、系统管理员与华为设备初学者的交换机命令配置参考文档，重点解决日常配置与排错中“命令记不住、视图分不清”的问题。内容按用户视图、系统视图、以太网端口视图、VLAN视图、用户界面视图等层级整理，涵盖查看设备状态与统计信息、文件管理、系统参数设置、端口参数调整、VLAN配置、用户分级保护密码、终端一屏显示行数设置以及命令行在线帮助等常见操作，并给出具体命令示例与参数说明，方便对照真实设备边看边练。资源以doc文档形式提供，压缩包内共1个文件，大小仅96KB，轻量简洁，可离线查阅。这份文档现已有14713人学习下载，作者为crfish。无论是网络培训、日常运维，还是考前复习，这份中文命令速查都能帮助读者快速定位所需配置方法，减少查阅英文手册的时间成本，是一份实用性强、门槛较低的参考资料。

1. 华为交换机命令配置大全：从 console 登录到日常运维，这篇能帮你省下翻手册的时间

“华为交换机命令配置大全（中文说明）”听起来像一本手册的名字，但它更像一线网工的日常：拿到一台华为交换机，console 线插上，屏幕显示<Huawei>，接下来每一步命令都要看得懂、记得住、查得到。这篇按真实配置顺序展开，从登录、保存，到 VLAN、Eth-Trunk、STP，再到排错，每条命令都给出中文说明和适用场景。

很多新入门的人不是不会敲命令，而是卡在三个地方：新版本默认关了 Telnet、刚配完的配置不保存重启就丢、Trunk 配了但 VLAN 还是不通。这三个问题占了日常求助的大头，也恰恰是这篇文章最值的部分。这篇适合刚接手华为设备的人，也适合总在翻手册的熟手，用来对照命令细节和参数边界。

目标是让你照着敲能跑通，跑不通时知道去哪查。看不懂原理没关系，先会操作再补原理。

2. 登录与系统基础：先让设备能管、能存、能远程

2.1 从 console 到第一次保存：视图、改名与配置落盘

第一次拿到华为交换机，console 线连上，波特率 9600，打开终端软件回车，看到的是<Huawei>提示符。这个尖括号代表“用户视图”，只能执行查看和保存类的命令，不能改配置。想配置要先敲system-view，提示符会从<Huawei>变成[Huawei]，方括号代表“系统视图”，所有全局配置都在这里做。

<Huawei> system-view # 从用户视图进入系统视图 [Huawei] sysname Core-SW # 改设备名，提示符立即变为 [Core-SW] [Core-SW] quit # 退回用户视图 <Core-SW> save # 保存，重启后配置不丢 <Core-SW> display current-configuration # 查看当前全量配置

system-view是第一个高频命令，缩写是sys，华为命令行支持命令缩写到唯一识别，比如system-view敲sy也能进。sysname改完立刻生效，提示符里的设备名会变，方便多台设备同时开窗口时区分。save这条命令在用户视图执行，会提示确认是否保存，输入Y回车即可。

这里要特别强调保存这个动作，华为交换机的配置默认只存在内存里，不执行save，一旦掉电或重启，所有配置全部丢失。刚上手的人最容易在这里翻车，辛辛苦苦配了两个小时，一个reboot回到出厂状态。拿到新设备的第一件事，应该是先确认软件版本，执行display version，看看 VRP 版本号，因为不同版本的命令细节有差异，比如本地用户密码的加密关键字，老版本是cipher，新版本换成了irreversible-cipher，功能更强，但照着老文档配就会报错。

display current-configuration是查看配置的主要方式，输出很长，配合管道符过滤更实用，比如display current-configuration | include vlan，只把包含 vlan 关键字的行列出来，几百行的配置瞬间变得可读。命令行的| include相当于过滤，比人眼翻屏高效得多。

2.2 远程管理配置：AAA 本地认证与 SSH 登录

现在的华为交换机，新版本软件默认关闭 Telnet，远程管理首选 SSH。无论是 SSH 还是 Telnet，都要先有本地认证用户，AAA 是必配步骤。常见做法是建一个admin账号，密码用不可逆加密保存，授权等级直接给 15，避免登录后敲不了配置。

[Huawei] aaa # 进入 AAA 视图 [Huawei-aaa] local-user admin password irreversible-cipher Admin@123 [Huawei-aaa] local-user admin privilege level 15 [Huawei-aaa] local-user admin service-type ssh [Huawei-aaa] quit [Huawei] ssh user admin authentication-type password # SSH 用户绑定密码认证 [Huawei] stelnet server enable # 开启 SSH 服务 [Huawei] user-interface vty 0 4 # 配置虚拟终端 [Huawei-ui-vty0-4] authentication-mode aaa # vty 认证走 AAA

local-user admin password这一行，Admin@123是示例密码，生产环境必须换成足够复杂的强密码，包含大小写、数字和特殊字符。privilege level 15是华为交换机的最高权限级别，如果给低了，会出现能登录但敲不了配置命令的情况，这是远程管理里最常见的权限坑。service-type ssh限定该用户只能走 SSH，如果还要用 Telnet，需要在这一行后面追加telnet，写成service-type ssh telnet。

user-interface vty 0 4表示允许 5 个远程会话同时在线，这个数量对日常维护足够。authentication-mode aaa把虚拟终端的认证方式指向 AAA，登录时用本地用户密码校验。如果只想快速开 Telnet，华为的旧版本曾经提供过user-interface vty下直接set authentication password的写法，新版本已经收敛到 AAA 统一管理，建议直接走 AAA。

SSH 配置完后，在电脑上用终端软件连接设备管理 IP，如果提示认证失败，先检查service-type是否包含 ssh，再确认密码是否记错。华为设备默认关闭 SSH 服务，必须显式执行stelnet server enable，这条漏掉，端口永远连不上。

3. VLAN 与接口配置：VLAN 划分、Trunk 放通与端口安全的命令逐条讲

3.1 创建 VLAN 与 Access/Trunk 的正确使用

VLAN 是二层交换的基石。接入交换机的接口分成两类用途：接终端设备用 access，接交换机与交换机之间用 trunk。access 口一个接口只属于一个 VLAN，数据帧不带标签直接转发；trunk 口可以承载多个 VLAN，靠 802.1Q 标签区分不同 VLAN 的流量。这两个概念分不清，VLAN 不通的问题就会反复出现。

[Huawei] vlan batch 10 20 30 # 批量创建 VLAN [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access # 接 PC，一个接口只属于一个 VLAN [Huawei-GigabitEthernet0/0/1] port default vlan 10 # 指定该接口所属 VLAN [Huawei] interface GigabitEthernet0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk # 接上级交换机，承载多个 VLAN [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30

vlan batch比逐个敲vlan 10、vlan 20高效得多，适合开局时一次建完所有业务 VLAN。access 口只需要配port default vlan，不需要额外放通，因为 access 口本身只属于这一个 VLAN。trunk 口必须用port trunk allow-pass vlan明确放行哪些 VLAN，没有在列表里的 VLAN 流量一律丢弃，这是最多人踩的坑。

很多新手以为 trunk 口配了port link-type trunk就完事了，物理链路也是 up 的，但 VLAN 就是不通。原因就是漏了allow-pass这一步。华为默认的 trunk 口只放行 VLAN 1，其他 VLAN 全部阻隔，必须手动加白名单。接口名可以简写，GigabitEthernet0/0/1直接写GE0/0/1，命令行识别到唯一即可，批量配置时能省不少打字量。

另外不建议动 trunk 口的 PVID，默认保持 VLAN 1 就好。PVID 是接口收到不带标签的数据帧时打上的 VLAN 标签，改了 PVID 会让没有 tag 的流量进到别的 VLAN，排查起来非常费劲，属于典型的“能用就千万别碰”的参数。

3.2 接口批量配置与端口安全：少敲重复命令，也少出故障

一台接入交换机通常有 24 到 48 个接口，逐个配置不仅慢，还容易漏。华为交换机的批量配置入口是port-group，把一组接口放进同一个组，统一执行命令，下发的配置会逐条作用到每个成员接口上。

[Huawei] port-group 1 # 创建临时端口组 [Huawei-port-group-1] group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/20 [Huawei-port-group-1] port link-type access # 组内所有接口统一执行 [Huawei-port-group-1] port default vlan 10

group-member的to语法支持连续接口批量加入，一次加入 20 个口很方便。退出端口组后，port-group 1这个组本身会消失，但已经下发的配置仍然保留在接口上，不用担心“组合并”或“组失效”导致配置丢失。批量操作只适合统一场景，如果 24 个口里有一个是上联口，别把这个上联口放进同一个端口组，不然后续改成 trunk 时容易误伤其他配置。

端口安全方面，接入层最常见的是广播风暴抑制。某个接口下的终端设备异常，比如网卡故障或环路，会瞬间产生大量广播报文，把整台交换机的 CPU 打满。华为提供了按百分比抑制的配置，超过阈值直接丢弃广播帧。

[Huawei] interface GigabitEthernet0/0/5 [Huawei-GigabitEthernet0/0/5] broadcast-suppression 5 # 广播风暴抑制，单位百分比 [Huawei-GigabitEthernet0/0/5] port-security enable # 开启端口安全 [Huawei-GigabitEthernet0/0/5] port-security max-mac-num 1 # 只允许学习一个 MAC

broadcast-suppression 5表示该接口广播报文占用带宽超过 5% 时丢弃，对正常业务影响很小，推荐在接入层全部开启。port-security enable是端口安全的开关，配合max-mac-num 1实现“一端口一终端”的强约束，适合会议室、开放工位这些设备不固定且需要管控的场景。

端口安全开启后，交换机只学习第一个 MAC 地址，后续其他设备接入会被直接拒绝。如果这个接口临时要接多台设备，直接undo port-security enable关掉，或者把max-mac-num调大。这里最容易踩的坑是：开了端口安全后换了一台笔记本，结果上不了网，原因就是 MAC 被锁在了接口上，需要clear mac-address清掉旧表项，或者干脆关掉端口安全。

4. Eth-Trunk 与 STP：链路聚合和防环的关键命令与参数

4.1 Eth-Trunk 两种模式怎么选：手工聚合与 LACP

两台交换机之间只靠一根线带宽不够，或者想提升链路可靠性，最常见做法是 Eth-Trunk。华为的 Eth-Trunk 有两种模式：手工负载均衡模式和 LACP 模式。手工模式是默认的，只要两端都做了聚合就能通，配置简单，但两端参数不一致时不会主动报错，排查靠人工。LACP 模式需要通过协议协商，协商不通过就不转发流量，相当于加了一道握手校验，推荐用于核心设备之间。

[Huawei] interface Eth-Trunk1 # 创建聚合口 [Huawei-Eth-Trunk1] mode lacp-static # 切换为 LACP 静态模式 [Huawei-Eth-Trunk1] trunkport GigabitEthernet0/0/1 to 0/0/2 # 加入成员口

mode lacp-static是华为 LACP 模式的命令，注意别写成mode lacp，华为命令行里没有这个关键字。trunkport ... to ...语法一次性加入连续接口，加入后成员口原有的二层配置会失效，转发相关的配置要在 Eth-Trunk 接口下重新配置，而不是在成员口下配，记住这条能少走很多弯路。

成员口的选择有硬性要求：速率必须一致，双工模式必须一致。比如一个千兆口和一个百兆口不能组到同一个 Eth-Trunk 里，速率不一致会导致聚合失败。选接口时还要注意物理位置，混用不同板卡的接口时，建议逐个添加而不是用to批量加，避免两端接口顺序不一致导致协商失败。

配置完成后用display eth-trunk 1查看成员状态，重点关注 Selected 数量。如果 Selected 为 0，先检查两端模式是否一致，再检查成员口物理状态是不是 up。有一个小技巧：display eth-trunk 1输出里的 Active 和 Selected，Active 表示 LACP 协商通过，Selected 表示该成员口正在参与转发，两者都有才说明聚合真正生效。

4.2 STP/RSTP：环网的命根与边缘端口的取舍

交换机之间只要存在冗余链路，就必须开生成树协议，否则二层环路会造成广播风暴，严重时整台设备 CPU 跑满，所有业务瘫痪。华为交换机默认开 STP，但默认模式不一定适合你的网络，通常要改成 RSTP，收敛速度更快。

[Huawei] stp mode rstp # 模式切换为 RSTP [Huawei] stp enable # 确认生成树开启 [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] stp edged-port enable # 接终端的口设成边缘端口 [Huawei-GigabitEthernet0/0/1] stp bpdu-protection # 开启 BPDU 保护

stp mode rstp是全局命令，模式切换对所有接口生效。如果你的网络里有比较老的交换机不支持 RSTP，只能退回stp mode stp，代价是收敛时间变长，但从稳定性优先的角度，宁慢勿乱。stp enable默认就是开启的，这条命令的存在意义是确认当前状态，防止误关。

stp edged-port enable是接入终端的接口才配置的。边缘端口不参与生成树计算，接上终端立即可用，省去等待端口状态收敛的时间。注意，交换机互联的接口绝对不能配边缘端口，否则该接口会跳过生成树检查，环路风险直接拉满。如果某个边缘端口下又接了一台交换机，会形成环路且 STP 感知不到，所以边缘端口要配合stp bpdu-protection使用。

bpdu-protection的作用是：边缘端口收到 BPDU 报文时，接口直接被 shutdown，而不是把它当成普通设备放行。这个机制能防止有人把一台交换机插到办公网接口上造成环路。接口被 shutdown 后，日志里会有明显记录，恢复需要手工undo shutdown，这一点要在排错时能联想到。

5. 常见问题与排错避坑：命令没生效的五个典型原因

5.1 五个真实踩坑记录：现象、原因、解决

第一个坑：配置全部完成，业务正常，第二天重启后设备恢复出厂。原因是全程没有执行save，配置只存在内存里。解决方法是改完配置后回到用户视图执行save，看到保存成功的提示才算结束。这个习惯应该固化成流程：任何变更结束前save，要么用Ctrl+Z回用户视图再保存，没有例外。

第二个坑：trunk 口物理 up，对端交换机也能通，但跨交换机 VLAN 死活不通。原因是只配了port link-type trunk，没有配port trunk allow-pass vlan。华为的 trunk 口默认只放行 VLAN 1，其他 VLAN 全部丢弃，必须用allow-pass vlan 10 20 30显式放行。解决方法是补上放行列表，注意这里写的是具体 VLAN 列表，不是vlan 10 to 30这种范围写法，除非中间 VLAN 确实全开。

第三个坑：某个接口频繁 UP/DOWN，日志里出现loopback-detect相关告警。原因是该接口下存在物理环路，常见于终端侧再接了一个小交换机且两根网线都插到了墙上面板。解决方法是先拔线确认环路来源，再在接口上配置loopback-detect enable，让设备自动检测环路并 shutdown 接口，恢复后手工undo shutdown。注意边缘端口和环路检测是两件事，边缘端口不解决环路。

第四个坑：SSH 能登录，输入配置命令却提示权限不够。原因是本地用户的privilege level设置太低，默认级别只能执行查看命令。解决方法是进入 AAA 视图，重新执行local-user admin privilege level 15，然后断开重新登录。这里有个细节：修改权限后已建立的会话不会立即生效，必须重连。

第五个坑：接口原来能通，配了端口安全后换了一台笔记本就上不了网。原因是port-security enable后接口只学习第一个 MAC 地址，新设备的 MAC 不在表里，直接被拒绝。解决方法是临时场景直接undo port-security enable，常态化换机场景把max-mac-num改到 2，或者手动执行clear mac-address清掉锁定的 MAC。

5.2 排查前先看这三个 display 命令

排错的第一步不是抓包，不是重启，而是看日志。华为交换机的日志分两个缓冲区，logbuffer存系统日志，trapbuffer存告警，排查问题时这两个命令优先级最高。

<Huawei> display logbuffer | include loopback # 过滤环路相关日志 <Huawei> display trapbuffer # 查看告警信息 <Huawei> display current-configuration | include vlan # 过滤配置关键字

| include是命令行管道过滤的典型用法，日志几百行时，直接按关键字过滤比翻屏快得多。看到接口 down 又 up 的记录，基本能锁定是物理层问题还是环路问题。display trapbuffer里的告警信息更精简，包含接口状态变化、用户登录、环路检测这些关键事件，判断故障时间点比猜测可靠。

还有一个隐藏好用的命令是display this，在某个接口或视图下执行，直接显示当前视图的配置。要确认某个接口到底配了什么，进到接口视图敲display this，比翻全局配置快，也避免看漏。

6. 组合配置一个小型办公网：把命令串起来并验证

6.1 完整小案例：办公、监控、访客三网段隔离

这里用一个真实常见的接入场景把这篇文章的命令串起来：某公司一层办公区一台 24 口接入交换机，上联到汇聚，VLAN 10 办公、VLAN 20 监控、VLAN 30 访客，网关做在交换机上，访客只能上外网，不能访问内网。从零开始配置。

[Huawei] sysname Access-SW1 # 设备改名 [Huawei] vlan batch 10 20 30 # 创建业务 VLAN [Huawei] interface Vlanif10 # 创建 VLAN 10 的三层网关 [Huawei-Vlanif10] ip address 192.168.10.254 24 [Huawei] interface Vlanif20 [Huawei-Vlanif20] ip address 192.168.20.254 24 [Huawei] interface Vlanif30 [Huawei-Vlanif30] ip address 192.168.30.254 24

ip address后面的24是掩码简写，老版本 VRP 要写成255.255.255.0，两者等效。VLANIF 接口就是终端的网关地址，所以办公网终端配置 IP 时网关写192.168.10.254，监控设备网关写192.168.20.254，访客网关写192.168.30.254。

接着配置上联口和默认路由。上联口用 trunk，放行所有业务 VLAN，默认路由指向上层设备的互联地址，让跨网段流量可以被转发出去。这里假设上层核心交换机或路由器的互联地址是192.168.1.1。

[Huawei] interface GigabitEthernet0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30 [Huawei] ip route-static 0.0.0.0 0 192.168.1.1 # 默认路由指向核心

最后用 ACL 拦截访客访问办公和监控网段。访问控制列表编号 3000 是高级 ACL，可以匹配源和目的 IP。注意华为 ACL 默认最后有一条隐式拒绝规则，只写 deny 不写放行，访客会被全部限制，连外网也上不了，必须加一条permit ip兜底。

[Huawei] acl 3000 # 创建高级 ACL [Huawei-acl-adv-3000] rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 [Huawei-acl-adv-3000] rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 [Huawei-acl-adv-3000] rule 15 permit ip # 兜底放行其他流量 [Huawei-acl-adv-3000] quit [Huawei] interface Vlanif30 # 在访客网关上应用 ACL [Huawei-Vlanif30] traffic-filter inbound acl 3000

规则编号 5、10、15 是手工指定的匹配顺序，数字小的先匹配，所以先拒绝两个内网网段，再放行其他所有流量，这样访客可以访问外网，但访问不到办公和监控网段。

6.2 验证三板斧与收尾习惯

配置完成后，验证顺序很关键。先用display vlan看 VLAN 里有哪些接口，确认端口划分正确；再在交换机上ping 192.168.10.1和ping 192.168.20.1，确认三个 VLANIF 接口都正常回应；最后display logbuffer查有没有环路告警和接口频繁 UP/DOWN 的错误。

<Huawei> display vlan # 查看 VLAN 与端口对应关系 <Huawei> ping 192.168.10.1 # 验证 VLAN10 网关 <Huawei> display logbuffer # 最后确认没有异常日志

跨 VLAN 通了，不代表访客隔离生效。要从访客 VLAN 侧实际验证一下，常见做法是在访客网段临时接一台电脑，先 ping 办公网段的地址，不通就对了；再访问外网测试，通了说明只剩 ACL 在按预期工作。如果两条结果反了，优先查display acl 3000看规则匹配计数，ACL 有没有真正命中一看便知。

我个人的习惯是：任何交换机变更，最终固定落三步——先display this看当前接口下的配置，确认没有多余参数；再display logbuffer看有没有新增错误；最后save保存并退出终端。改配置之前，先display current-configuration把当前配置存一份快照，改挂了能照着逐行回滚。这是比任何后悔药都靠谱的操作习惯。希望帮到你。

本文还有配套的精品资源，点击获取