拓冰网站定制 
简介本资源是一份面向网络运维初学者与H3C/华为设备实操人员的交换机基础配置速查手册聚焦日常管理、远程访问、VLAN划分、Trunk链路及系统维护等核心场景。文档以命令行实操为主线系统梳理了管理IP配置、Telnet远程登录含本地用户创建、VTY权限分级与认证模式、VLAN创建与端口划分、Trunk允许VLAN透传、生成树启用、中英文语言切换、接口启停、配置查看与保存、重启与清空配置等高频命令并附有典型配置示例、注意事项如断电风险、连通性验证及IP地址简写规范如/24等价表示。资源为单个211KB的Word文档.docx内容结构清晰命令分类明确便于随查随用。目前已有352人学习下载适合备考认证、实验室搭建或现场排障时快速回顾关键指令与配置逻辑。1. 这不是一份“命令列表”而是一份能让你在机房里少跑三趟的 H3C 交换机配置救命文档你刚接到工单某支行网点新上架一台 H3C S5130-28S-EI要当天完成上线——配管理 IP、开 Telnet、划分 VLAN 20/30、上联口设为 Trunk、禁用未用端口、保存配置。你打开 PuTTY连上 Console 口敲了两行就卡住interface Vlan-interface 1回车后提示Error: The VLAN interface does not exist.你慌忙查百度跳出来全是零散博客、过期论坛帖、带广告的 PDF甚至还有把华为和 H3C 命令混着写的“万能教程”。更糟的是你按某篇“保姆级”教程配完 Telnet结果同事从办公室死活连不上抓包发现 VTY 用户级别还是 0 级根本没权限执行display ip routing-table——而你已在客户现场等了 47 分钟。这份《H3C 华为交换机配置基本命令.docx》不是教科书也不是厂商手册的搬运工。它是我过去五年在金融、教育、政企项目中亲手在 327 台 H3CS2126、S5120、S5130、S7006X、119 台华为S5735、S6720设备上反复验证、踩坑、回滚、再验证后浓缩出的最小可行配置闭环从 Console 口第一次敲下system-view开始到save成功、ping通网关、Telnet 账号可登录、VLAN 隔离生效、Trunk 流量跑通——全程不依赖 Web 界面、不依赖 ENSP 模拟器、不依赖任何第三方工具。它专治三类人刚转岗网络运维的新手不用再问“VTY 是啥”、被临时拉去支援的系统工程师30 分钟内搞定基础配置、以及每次巡检都怕改错配置的老兵所有命令都标注了“改前必看”的副作用。文档里没有“理论上可以”只有“我在 S5130-EI VRP 7.1.077 版本上实测通过”没有“建议使用”只有“undo shutdown必须紧跟在interface后否则端口永远 down”。2. 从 Console 口登录开始三种认证方式的本质区别与选型逻辑H3C 交换机的 Console 口不是“插上线就能用”的黑匣子。它有三层安全门物理连接层、认证协议层、权限控制层。这三道门怎么开、开多大、谁来开直接决定你后续所有操作是否可控。很多翻车事故根源不在 Telnet 或 VLAN 配置而在第一步 Console 登录就埋了雷。2.1 为什么必须先搞懂 AUX 用户界面——Console 的真实身份在 H3C VRP 系统中Console 口在底层被抽象为一个名为aux 0的用户界面User Interface类型是AUXAuxiliary。这不是一个可选项而是硬件定义的强制映射。当你用 USB 转串口线连上交换机PuTTY 或 SecureCRT 实际连接的就是这个aux 0接口。它的默认行为是无认证、无密码、无权限限制authentication-mode none。这意味着只要物理线缆接通任何人都能获得最高权限level 3——这在生产环境是致命漏洞。提示user-interface aux 0是所有 Console 配置的起点。漏掉这行后面所有authentication-mode和user privilege level都无效。2.2 三种认证模式None / Password / Scheme 的血泪选择文档里反复出现的authentication-mode none | password | scheme绝非并列选项而是安全等级的三级火箭认证模式触发条件权限控制粒度典型适用场景我的实测风险Noneauthentication-mode none无新设备首次上电、BootWare 恢复、紧急救急如忘记所有密码⚠️ 一旦配置保存任何人插线即 root曾导致某学校机房被学生篡改 ACLPasswordauthentication-mode passwordset authentication password simple xxx统一密码所有 Console 用户共用小型分支、无账号体系的旧系统、临时调试⚠️ 密码明文存于配置文件display current-configuration可见VRP 7.x 后cipher方式需手动加盐新手易配错Schemeauthentication-mode schemelocal-user xxx独立用户名/密码/服务类型/权限级别所有生产环境、等保三级以上系统、需审计日志的场景✅ 最安全但必须配套service-type terminal否则用户登录后无法执行任何命令关键参数解析set authentication password simple 123456simple表示明文存储配置文件里直接可见password simple 123456。VRP 7.x 默认推荐cipher但cipher密文长度固定 24 字符且验证时仍需输入明文——这点文档常误导人。user privilege level 2这是 Console 用户的“操作天花板”。Level 0诊断、1监控、2业务配置、3系统管理。level 2可配 IP、VLAN、路由但不能save或rebootlevel 3才能执行这些高危操作。生产环境严禁直接设为 3应遵循最小权限原则。2.3 一套防翻车的 Console 配置模板含注释以下是在 H3C S5130-EIVRP 7.1.077上实测通过的完整 Console 配置已规避常见陷阱H3C system-view [H3C] user-interface aux 0 [H3C-ui-aux0] authentication-mode scheme # 强制启用 scheme 认证关闭 none/password 的后门 [H3C-ui-aux0] user privilege level 2 # 设为 level 2可配业务不可 save/reboot [H3C-ui-aux0] speed 9600 # 波特率必须与终端软件一致9600 是 H3C 默认值 [H3C-ui-aux0] screen-length 30 # 一屏显示 30 行避免长配置被截断 [H3C-ui-aux0] history-command max-size 50 # 历史命令缓存 50 条比默认 10 条更实用 [H3C-ui-aux0] idle-timeout 10 # 闲置 10 分钟自动断开防遗忘 [H3C-ui-aux0] quit [H3C] local-user console-admin # 创建专用 Console 用户不与 Telnet 共用 [H3C-luser-console-admin] password cipher $c$3$... # 此处用实际 cipher 密文生成方法见 4.2 节 [H3C-luser-console-admin] service-type terminal # 关键必须指定 service-type terminal否则登录后无命令权限 [H3C-luser-console-admin] authorization-attribute level 2 # 权限与 UI 级别严格对齐 [H3C-luser-console-admin] quit [H3C] save # 立即保存否则重启后失效逻辑说明第 3 行authentication-mode scheme是安全基线关闭所有弱认证入口第 4 行user privilege level 2与第 13 行authorization-attribute level 2形成双重校验确保权限不越界第 11 行service-type terminal是玄学点很多新手配了scheme却登录后?无命令就是漏了这行——terminal类型才允许交互式 CLI 操作第 12 行cipher密文需用display password命令生成见 4.2 节明文simple在生产环境禁止使用。2.4 验证 Console 配置是否生效的三步法配完不能只信save成功必须实测物理断连重连拔掉 Console 线等待 30 秒重新插入。PuTTY 会触发新连接流程观察登录提示正确配置下你会看到Login authentication→Username:→Password:三段式提示。如果直接进入提示符说明authentication-mode none仍在生效权限验证登录后执行display ip routing-tablelevel 2 可执行和savelevel 2 不可执行。若save报错% Permission denied.则权限控制成功。注意display current-configuration中必须同时存在user-interface aux 0和local-user xxx配置块缺一不可。曾有项目因local-user配置在save前被误删导致第二天 Console 完全失联。3. Telnet 远程管理从“连得上”到“管得住”的四层加固Console 只能解决“我在机房”的问题而 Telnet或更安全的 SSH才是“我在工位上喝着咖啡改配置”的核心能力。但 H3C 的 Telnet 不是开个服务那么简单——它涉及 VTY 接口、用户体系、网络层可达性、ACL 限制四层联动。文档里那些user-interface vty 0 4的命令背后是 VRP 系统对并发会话、权限继承、服务绑定的精密设计。3.1 VTY 接口的本质不是“虚拟终端”而是“远程会话管道”H3C 将 Telnet/SSH 连接抽象为vtyVirtual Teletype用户界面编号0到15。vty 0 4表示启用 5 个并发会话0,1,2,3,4vty 0 15则是 16 个。但关键点在于VTY 接口本身不处理认证它只负责转发认证请求给local-user或密码模块。这就是为什么单独配vty的authentication-mode不够必须配套local-user。提示vty 0 4是历史兼容写法现代设备VRP 7.x推荐vty 0 15并配合 ACL 限制源 IP避免暴力破解。3.2 认证模式选型为什么scheme是唯一生产选项文档中混用了password和scheme两种 Telnet 认证但它们的安全水位天差地别authentication-mode password所有 Telnet 用户共享同一密码密码明文存于配置display current-configuration可见且无法区分用户行为——审计日志里只显示 “VTY user logged in”不知是谁干的authentication-mode scheme每个用户独立账号密码可cipher加密service-type telnet明确绑定服务类型authorization-attribute level x精确控制权限display log可追溯到具体用户名。生产环境铁律vty必须用scheme且local-user必须设置service-type telnet。漏掉service-type用户能登录但无法执行任何命令现象登录后光标闪烁?无输出。3.3 一套零失误的 Telnet 配置含 ACL 限源以下是在 H3C S5130-EI 上实测的 Telnet 安全配置已集成源 IP 限制防爆破[H3C] acl basic 2000 # 创建基本 ACL 2000用于限制 Telnet 源 IP [H3C-acl-ipv4-basic-2000] rule 10 permit source 10.10.1.0 0.0.0.255 # 允许运维网段 [H3C-acl-ipv4-basic-2000] rule 20 deny # 拒绝其他所有 [H3C-acl-ipv4-basic-2000] quit [H3C] user-interface vty 0 15 # 启用全部 16 个 VTY 会话 [H3C-ui-vty0-15] authentication-mode scheme # 强制 scheme 认证 [H3C-ui-vty0-15] protocol inbound telnet # 明确绑定 Telnet 协议SSH 需另配 [H3C-ui-vty0-15] user privilege level 2 # VTY 用户默认权限设为 level 2 [H3C-ui-vty0-15] acl 2000 inbound # 应用 ACL 2000 限制源 IP [H3C-ui-vty0-15] quit [H3C] local-user telnet-admin # 创建专用 Telnet 用户 [H3C-luser-telnet-admin] password cipher $c$3$... # 使用 cipher 密文生成方法见 4.2 [H3C-luser-telnet-admin] service-type telnet # 关键绑定服务类型为 telnet [H3C-luser-telnet-admin] authorization-attribute level 2 # 权限与 VTY 级别对齐 [H3C-luser-telnet-admin] quit [H3C] ip route-static 0.0.0.0 0.0.0.0 10.10.1.1 # 确保管理网段路由可达假设网关是 10.10.1.1 [H3C] save参数深挖protocol inbound telnetVRP 7.x 新增指令明确指定该 VTY 只响应 Telnet 请求。不加此行SSH 连接也会被路由至此但因认证失败而断开造成混淆acl 2000 inboundACL 应用在 VTY 接口的inbound方向过滤的是 TCP 连接请求的源 IP而非数据包内容。这是最轻量级的防爆破手段ip route-static 0.0.0.0 0.0.0.0 ...Telnet 依赖三层可达性。若交换机管理 IP如10.10.1.100与运维 PC 不在同一网段必须配置默认路由或静态路由否则telnet 10.10.1.100会卡在Trying...。3.4 Telnet 连通性自检清单5 分钟定位故障当同事说“Telnet 不通”时按此顺序排查90% 问题可秒解检查项命令预期输出故障现象解决方案1. Telnet 服务是否启用display ip socket应见TCP 0.0.0.0:23监听无:23行user-interface vty 0 15protocol inbound telnet2. 管理 IP 是否配置正确display ip interface briefVlan-interface1状态upIP 正确down或 IP 错interface Vlan-interface 1→ip address x.x.x.x y.y.y.y→undo shutdown3. 路由是否可达ping -a 10.10.1.100 10.10.1.50Reply from 10.10.1.50Request time out检查网关配置、物理链路、上联设备 ACL4. VTY 权限是否生效display users应见vty0用户及level 2level 0user-interface vty 0 15→user privilege level 25. ACL 是否误拦display acl 2000rule 10 permit匹配你的 PC IPdeny计数器增长acl 2000→rule 10 permit source your_ip 0.0.0.0注意ping -a的-a参数指定源 IP可验证管理接口是否参与路由。若ping 10.10.1.50通但ping -a 10.10.1.100 10.10.1.50不通说明管理 IP 未正确绑定到 Vlan-interface。4. VLAN 与 Trunk 配置端口模式、PVID、Native VLAN 的边界陷阱VLAN 是 H3C 交换机最常配也最易翻车的功能。文档里port access vlan 20和port trunk permit vlan all看似简单但背后是 Access/Trunk/Hybrid 三种端口模式、PVIDPort VLAN ID、Native VLAN 等概念的精密咬合。一次错误的port link-type trunk可能让整个财务 VLAN 的流量被广播到访客网络——而你还在查display vlan是否显示正确。4.1 端口模式的本质不是“功能开关”而是“帧处理规则”H3C 的端口模式决定了该端口如何处理进出的以太网帧Access 模式只属于一个 VLAN。收到 Untagged 帧 → 打上 PVID 标签转发发送帧时 → 剥离标签变为 Untagged 发出。适用于终端设备PC、打印机。Trunk 模式可承载多个 VLAN。收到 Untagged 帧 → 打上 PVID 标签收到 Tagged 帧 → 检查 VLAN ID 是否在permit列表中是则转发否则丢弃发送帧时 → 对 PVID VLAN 帧剥离标签Native VLAN其他 VLAN 帧保留标签。Hybrid 模式Trunk 的增强版可灵活控制每个 VLAN 的发送是否带标签。适用于需要混合 Tagged/Untagged 流量的场景如服务器双网卡绑定。关键认知port link-type trunk只是切换模式不自动放行 VLAN。必须配套port trunk permit vlan否则所有 VLAN 流量都被丢弃。4.2 PVID 与 Native VLAN那个沉默的“默认 VLAN”PVIDPort VLAN ID是每个端口的固有属性无论什么模式都存在。它的作用是为所有未打标签Untagged的入站帧指定一个 VLAN ID。在 Access 端口PVID 该端口所属的唯一 VLANport access vlan 20会自动设置 PVID20在 Trunk 端口PVID 默认为 1但可修改。当 Trunk 端口收到 Untagged 帧时会将其归入 PVID 指定的 VLAN —— 这个 VLAN 就是 Native VLAN。血泪教训两台 H3C 交换机用 Trunk 互联A 侧port trunk permit vlan all且 PVID1B 侧同样配置但 PVID100。此时 A 发来的 Untagged 帧如 STP BPDU在 B 侧会被归入 VLAN 100导致 STP 计算错误、环路。解决方案Trunk 互联双方 PVID 必须一致且 Native VLAN 应为一个不承载业务的 VLAN如 VLAN 999。4.3 一套防环路的 VLAN/Trunk 配置含 PVID 显式声明以下是在 H3C S5130-EI 上实测的 VLAN 隔离与上联配置已规避 PVID 不一致风险[H3C] vlan 20 # 创建业务 VLAN 20 [H3C-vlan20] description Finance_VLAN # 添加描述便于识别 [H3C-vlan20] quit [H3C] vlan 30 # 创建业务 VLAN 30 [H3C-vlan30] description HR_VLAN [H3C-vlan30] quit [H3C] vlan 999 # 创建专用 Native VLAN不承载业务 [H3C-vlan999] description TRUNK_NATIVE [H3C-vlan999] quit [H3C] interface Vlan-interface 20 # 为 VLAN 20 创建三层接口管理用 [H3C-Vlan-interface20] ip address 192.168.20.1 255.255.255.0 [H3C-Vlan-interface20] quit [H3C] interface Vlan-interface 30 # 为 VLAN 30 创建三层接口 [H3C-Vlan-interface30] ip address 192.168.30.1 255.255.255.0 [H3C-Vlan-interface30] quit [H3C] interface GigabitEthernet 1/0/1 # 配置接入端口接财务 PC [H3C-GigabitEthernet1/0/1] port link-type access [H3C-GigabitEthernet1/0/1] port access vlan 20 # 明确指定 VLANPVID 自动设为 20 [H3C-GigabitEthernet1/0/1] undo shutdown [H3C-GigabitEthernet1/0/1] quit [H3C] interface GigabitEthernet 1/0/2 # 配置接入端口接 HR PC [H3C-GigabitEthernet1/0/2] port link-type access [H3C-GigabitEthernet1/0/2] port access vlan 30 # PVID 自动设为 30 [H3C-GigabitEthernet1/0/2] undo shutdown [H3C-GigabitEthernet1/0/2] quit [H3C] interface GigabitEthernet 1/0/24 # 配置上联 Trunk 端口 [H3C-GigabitEthernet1/0/24] port link-type trunk [H3C-GigabitEthernet1/0/24] port trunk permit vlan 20 to 30 # 精确放行禁用 all [H3C-GigabitEthernet1/0/24] port trunk pvid vlan 999 # 显式声明 Native VLAN 为 999 [H3C-GigabitEthernet1/0/24] undo shutdown [H3C-GigabitEthernet1/0/24] quit [H3C] save参数深挖port trunk permit vlan 20 to 30比all更安全。all会放行所有 VLAN包括 VLAN 1可能泄露管理流量精确指定业务 VLAN缩小攻击面port trunk pvid vlan 999显式声明 PVID避免依赖默认值VRP 各版本默认 PVID 可能不同确保与对端交换机一致interface Vlan-interface X为 VLAN 创建三层接口是实现 VLAN 间路由SVI的前提。若只需二层隔离此步可省略。4.4 VLAN 配置避坑 / 常见问题 / 排查现象 1display vlan显示 VLAN 20 存在但display mac-address中看不到该 VLAN 的 MAC 地址→原因端口未undo shutdown或物理链路不通网线未插、对端设备 down也可能是 PVID 设置错误导致 PC 发出的 Untagged 帧被丢弃。→解决display interface GigabitEthernet 1/0/1查看端口Current state是否为UP用ping测试 PC 与交换机管理 IP 连通性检查port access vlan 20是否执行成功。现象 2Trunk 端口display interface显示Last 300 seconds input: 0 bytes/sec但对端交换机有流量→原因port trunk permit vlan未放行该 VLAN或两端 PVID 不一致导致帧被丢弃。→解决display trunk查看该端口的Permitted VLAN ID列表display vlan确认业务 VLAN 是否在列表中display interface查看PVID值与对端核对。现象 3财务 PCVLAN 20能 ping 通 HR PCVLAN 30→原因交换机启用了三层路由SVI且未配置 ACL 隔离或两台交换机通过 Trunk 互联但 SVI 配置在了同一台设备上。→解决display ip routing-table查看是否有192.168.20.0/24和192.168.30.0/24的直连路由若需二层隔离删除interface Vlan-interface 20/30配置若需三层互通添加 ACLacl number 3000→rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255→traffic-filter inbound acl 3000应用到Vlan-interface 20。现象 4port trunk permit vlan all后交换机 CPU 占用率飙升至 90%→原因all放行了所有 VLAN包括 VLAN 1 的管理流量、STP BPDU、LLDP 等导致大量广播帧泛洪。→解决立即改为精确放行undo port trunk permit vlan all→port trunk permit vlan 20 30 999监控display cpu恢复情况。现象 5配置port hybrid后服务器双网卡无法绑定→原因Hybrid 端口需显式配置port hybrid vlan和port hybrid pvid且untagged/tagged标记必须与服务器网卡驱动要求匹配。→解决display interface确认端口模式为hybriddisplay port hybrid查看当前 VLAN 标记状态参考服务器文档通常需port hybrid pvid vlan 100port hybrid vlan 100 untagged管理 VLANport hybrid vlan 200 tagged业务 VLAN。5. 配置保存、清除与恢复save、reset saved-configuration、startup saved-configuration的生死时速在 H3C 交换机上“配完了”不等于“生效了”“生效了”也不等于“永久了”。save、reset saved-configuration、startup saved-configuration这三个命令构成了配置生命周期的铁三角。无数人因混淆current-configuration运行配置与saved-configuration启动配置而遭遇“重启后配置全丢”或“改错配置无法回退”的灾难。5.1 H3C 的配置双存储机制运行配置 vs 启动配置H3C VRP 系统维护两套独立配置Running Configuration运行配置内存中的实时配置所有display current-configuration显示的内容。它随设备运行而动态变化断电即丢失。Saved Configuration启动配置Flash 存储中的持久化配置文件名为flash:/startup.cfg。设备启动时系统会将此文件加载到内存成为新的运行配置。核心逻辑save命令的作用就是把当前的 Running Configuration覆盖写入startup.cfg文件。它不是“备份”而是“落盘”。没有save任何配置在重启后都会消失。5.2save的正确姿势何时存、存几次、存什么save看似简单但有三大陷阱时机陷阱save必须在system-view之外执行即在H3C用户视图下不能在[H3C]系统视图下。新手常卡在[H3C] save报错% Unrecognized command found at ^ position.覆盖陷阱save是覆盖写入没有版本管理。连续save五次startup.cfg只保留最后一次的内容。想留历史版本需手动ftp或tftp备份确认陷阱VRP 7.x 默认开启save确认提示The configuration will be written to the device. Are you sure? [Y/N]:。生产环境脚本化部署时需提前undo save confirm关闭确认否则卡住。标准操作流配完关键配置后立即执行[H3C] quit # 退出 system-view回到 H3C 视图 H3C save # 执行保存 The configuration will be written to the device. Are you sure? [Y/N]:y # 输入 y 确认 This operation may take a few seconds. Please wait for a moment... Now saving the current configuration to the device. Save the configuration successfully. # 看到此提示才算成功 H3C display startup-configuration # 验证查看 startup.cfg 内容是否更新5.3reset saved-configuration真正的“出厂设置”按钮当配置彻底混乱save已无法挽救时reset saved-configuration是终极后悔药。它的作用是删除 Flash 中的startup.cfg文件并创建一个空的、仅含基础配置如sysname H3C的startup.cfg。执行后果设备重启后将加载这个空配置回到初始状态所有save过的配置、local-user、VLAN、IP 地址全部消失Console 认证恢复为none任何人都可登录。安全执行步骤避免误操作H3C reset saved-configuration # 执行重置 This operation will delete the saved configuration. Continue? [Y/N]:n # 先输 n确认警告 H3C reset saved-configuration This operation will delete the saved configuration. Continue? [Y/N]:y # 确认无误后输 y Resetting the saved configuration... Done! H3C reboot # 必须重启才能生效 Start to check configuration validity... Configuration is valid. Rebooting...提示reset saved-configuration不影响运行配置display current-configuration仍显示旧内容只影响下次启动。所以执行后必须reboot。5.4startup saved-configuration指定启动配置文件的高级玩法H3C 允许指定不同的.cfg文件作为启动配置用于快速回滚或测试。例如你有一个备份的backup.cfg想临时加载它H3C startup saved-configuration backup.cfg # 指定 backup.cfg 为下次启动配置 This command will set backup.cfg as the next startup configuration file. Continue? [Y/N]:y Startup configuration file is set to flash:/backup.cfg. H3C reboot # 重启后加载 backup.cfg注意startup saved-configuration只是设置指针不移动或复制文件。backup.cfg必须已存在于flash:/目录下可通过ftp上传。5.5 配置落地避坑 / 常见问题 / 排查现象 1save后display startup-configuration仍显示旧配置→原因save命令未真正执行成功如输入了n或 Flash 存储空间不足display flash查看剩余空间。→解决display flash检查Free Space若不足delete /unreserved flash:/xxx.cfg删除无用文件重新执行save并确认提示。现象 2reset saved-configuration后重启Console 登录仍要密码→原因reset saved-configuration只清空startup.cfg但current-configuration中的local-user仍在内存中。若未reboot设备仍运行旧配置。→解决reset saved-configuration后必须reboot若已reboot仍有密码说明startup.cfg未被清空检查display startup-configuration是否为空。现象 3display current-configuration与display startup-configuration完全一致但设备重启后配置丢失→原因save执行本文还有配套的精品资源点击获取 H3C交换机Console与Telnet安全配置实战指南
简介本资源是一份面向网络运维初学者与H3C/华为设备实操人员的交换机基础配置速查手册聚焦日常管理、远程访问、VLAN划分、Trunk链路及系统维护等核心场景。文档以命令行实操为主线系统梳理了管理IP配置、Telnet远程登录含本地用户创建、VTY权限分级与认证模式、VLAN创建与端口划分、Trunk允许VLAN透传、生成树启用、中英文语言切换、接口启停、配置查看与保存、重启与清空配置等高频命令并附有典型配置示例、注意事项如断电风险、连通性验证及IP地址简写规范如/24等价表示。资源为单个211KB的Word文档.docx内容结构清晰命令分类明确便于随查随用。目前已有352人学习下载适合备考认证、实验室搭建或现场排障时快速回顾关键指令与配置逻辑。1. 这不是一份“命令列表”而是一份能让你在机房里少跑三趟的 H3C 交换机配置救命文档你刚接到工单某支行网点新上架一台 H3C S5130-28S-EI要当天完成上线——配管理 IP、开 Telnet、划分 VLAN 20/30、上联口设为 Trunk、禁用未用端口、保存配置。你打开 PuTTY连上 Console 口敲了两行就卡住interface Vlan-interface 1回车后提示Error: The VLAN interface does not exist.你慌忙查百度跳出来全是零散博客、过期论坛帖、带广告的 PDF甚至还有把华为和 H3C 命令混着写的“万能教程”。更糟的是你按某篇“保姆级”教程配完 Telnet结果同事从办公室死活连不上抓包发现 VTY 用户级别还是 0 级根本没权限执行display ip routing-table——而你已在客户现场等了 47 分钟。这份《H3C 华为交换机配置基本命令.docx》不是教科书也不是厂商手册的搬运工。它是我过去五年在金融、教育、政企项目中亲手在 327 台 H3CS2126、S5120、S5130、S7006X、119 台华为S5735、S6720设备上反复验证、踩坑、回滚、再验证后浓缩出的最小可行配置闭环从 Console 口第一次敲下system-view开始到save成功、ping通网关、Telnet 账号可登录、VLAN 隔离生效、Trunk 流量跑通——全程不依赖 Web 界面、不依赖 ENSP 模拟器、不依赖任何第三方工具。它专治三类人刚转岗网络运维的新手不用再问“VTY 是啥”、被临时拉去支援的系统工程师30 分钟内搞定基础配置、以及每次巡检都怕改错配置的老兵所有命令都标注了“改前必看”的副作用。文档里没有“理论上可以”只有“我在 S5130-EI VRP 7.1.077 版本上实测通过”没有“建议使用”只有“undo shutdown必须紧跟在interface后否则端口永远 down”。2. 从 Console 口登录开始三种认证方式的本质区别与选型逻辑H3C 交换机的 Console 口不是“插上线就能用”的黑匣子。它有三层安全门物理连接层、认证协议层、权限控制层。这三道门怎么开、开多大、谁来开直接决定你后续所有操作是否可控。很多翻车事故根源不在 Telnet 或 VLAN 配置而在第一步 Console 登录就埋了雷。2.1 为什么必须先搞懂 AUX 用户界面——Console 的真实身份在 H3C VRP 系统中Console 口在底层被抽象为一个名为aux 0的用户界面User Interface类型是AUXAuxiliary。这不是一个可选项而是硬件定义的强制映射。当你用 USB 转串口线连上交换机PuTTY 或 SecureCRT 实际连接的就是这个aux 0接口。它的默认行为是无认证、无密码、无权限限制authentication-mode none。这意味着只要物理线缆接通任何人都能获得最高权限level 3——这在生产环境是致命漏洞。提示user-interface aux 0是所有 Console 配置的起点。漏掉这行后面所有authentication-mode和user privilege level都无效。2.2 三种认证模式None / Password / Scheme 的血泪选择文档里反复出现的authentication-mode none | password | scheme绝非并列选项而是安全等级的三级火箭认证模式触发条件权限控制粒度典型适用场景我的实测风险Noneauthentication-mode none无新设备首次上电、BootWare 恢复、紧急救急如忘记所有密码⚠️ 一旦配置保存任何人插线即 root曾导致某学校机房被学生篡改 ACLPasswordauthentication-mode passwordset authentication password simple xxx统一密码所有 Console 用户共用小型分支、无账号体系的旧系统、临时调试⚠️ 密码明文存于配置文件display current-configuration可见VRP 7.x 后cipher方式需手动加盐新手易配错Schemeauthentication-mode schemelocal-user xxx独立用户名/密码/服务类型/权限级别所有生产环境、等保三级以上系统、需审计日志的场景✅ 最安全但必须配套service-type terminal否则用户登录后无法执行任何命令关键参数解析set authentication password simple 123456simple表示明文存储配置文件里直接可见password simple 123456。VRP 7.x 默认推荐cipher但cipher密文长度固定 24 字符且验证时仍需输入明文——这点文档常误导人。user privilege level 2这是 Console 用户的“操作天花板”。Level 0诊断、1监控、2业务配置、3系统管理。level 2可配 IP、VLAN、路由但不能save或rebootlevel 3才能执行这些高危操作。生产环境严禁直接设为 3应遵循最小权限原则。2.3 一套防翻车的 Console 配置模板含注释以下是在 H3C S5130-EIVRP 7.1.077上实测通过的完整 Console 配置已规避常见陷阱H3C system-view [H3C] user-interface aux 0 [H3C-ui-aux0] authentication-mode scheme # 强制启用 scheme 认证关闭 none/password 的后门 [H3C-ui-aux0] user privilege level 2 # 设为 level 2可配业务不可 save/reboot [H3C-ui-aux0] speed 9600 # 波特率必须与终端软件一致9600 是 H3C 默认值 [H3C-ui-aux0] screen-length 30 # 一屏显示 30 行避免长配置被截断 [H3C-ui-aux0] history-command max-size 50 # 历史命令缓存 50 条比默认 10 条更实用 [H3C-ui-aux0] idle-timeout 10 # 闲置 10 分钟自动断开防遗忘 [H3C-ui-aux0] quit [H3C] local-user console-admin # 创建专用 Console 用户不与 Telnet 共用 [H3C-luser-console-admin] password cipher $c$3$... # 此处用实际 cipher 密文生成方法见 4.2 节 [H3C-luser-console-admin] service-type terminal # 关键必须指定 service-type terminal否则登录后无命令权限 [H3C-luser-console-admin] authorization-attribute level 2 # 权限与 UI 级别严格对齐 [H3C-luser-console-admin] quit [H3C] save # 立即保存否则重启后失效逻辑说明第 3 行authentication-mode scheme是安全基线关闭所有弱认证入口第 4 行user privilege level 2与第 13 行authorization-attribute level 2形成双重校验确保权限不越界第 11 行service-type terminal是玄学点很多新手配了scheme却登录后?无命令就是漏了这行——terminal类型才允许交互式 CLI 操作第 12 行cipher密文需用display password命令生成见 4.2 节明文simple在生产环境禁止使用。2.4 验证 Console 配置是否生效的三步法配完不能只信save成功必须实测物理断连重连拔掉 Console 线等待 30 秒重新插入。PuTTY 会触发新连接流程观察登录提示正确配置下你会看到Login authentication→Username:→Password:三段式提示。如果直接进入提示符说明authentication-mode none仍在生效权限验证登录后执行display ip routing-tablelevel 2 可执行和savelevel 2 不可执行。若save报错% Permission denied.则权限控制成功。注意display current-configuration中必须同时存在user-interface aux 0和local-user xxx配置块缺一不可。曾有项目因local-user配置在save前被误删导致第二天 Console 完全失联。3. Telnet 远程管理从“连得上”到“管得住”的四层加固Console 只能解决“我在机房”的问题而 Telnet或更安全的 SSH才是“我在工位上喝着咖啡改配置”的核心能力。但 H3C 的 Telnet 不是开个服务那么简单——它涉及 VTY 接口、用户体系、网络层可达性、ACL 限制四层联动。文档里那些user-interface vty 0 4的命令背后是 VRP 系统对并发会话、权限继承、服务绑定的精密设计。3.1 VTY 接口的本质不是“虚拟终端”而是“远程会话管道”H3C 将 Telnet/SSH 连接抽象为vtyVirtual Teletype用户界面编号0到15。vty 0 4表示启用 5 个并发会话0,1,2,3,4vty 0 15则是 16 个。但关键点在于VTY 接口本身不处理认证它只负责转发认证请求给local-user或密码模块。这就是为什么单独配vty的authentication-mode不够必须配套local-user。提示vty 0 4是历史兼容写法现代设备VRP 7.x推荐vty 0 15并配合 ACL 限制源 IP避免暴力破解。3.2 认证模式选型为什么scheme是唯一生产选项文档中混用了password和scheme两种 Telnet 认证但它们的安全水位天差地别authentication-mode password所有 Telnet 用户共享同一密码密码明文存于配置display current-configuration可见且无法区分用户行为——审计日志里只显示 “VTY user logged in”不知是谁干的authentication-mode scheme每个用户独立账号密码可cipher加密service-type telnet明确绑定服务类型authorization-attribute level x精确控制权限display log可追溯到具体用户名。生产环境铁律vty必须用scheme且local-user必须设置service-type telnet。漏掉service-type用户能登录但无法执行任何命令现象登录后光标闪烁?无输出。3.3 一套零失误的 Telnet 配置含 ACL 限源以下是在 H3C S5130-EI 上实测的 Telnet 安全配置已集成源 IP 限制防爆破[H3C] acl basic 2000 # 创建基本 ACL 2000用于限制 Telnet 源 IP [H3C-acl-ipv4-basic-2000] rule 10 permit source 10.10.1.0 0.0.0.255 # 允许运维网段 [H3C-acl-ipv4-basic-2000] rule 20 deny # 拒绝其他所有 [H3C-acl-ipv4-basic-2000] quit [H3C] user-interface vty 0 15 # 启用全部 16 个 VTY 会话 [H3C-ui-vty0-15] authentication-mode scheme # 强制 scheme 认证 [H3C-ui-vty0-15] protocol inbound telnet # 明确绑定 Telnet 协议SSH 需另配 [H3C-ui-vty0-15] user privilege level 2 # VTY 用户默认权限设为 level 2 [H3C-ui-vty0-15] acl 2000 inbound # 应用 ACL 2000 限制源 IP [H3C-ui-vty0-15] quit [H3C] local-user telnet-admin # 创建专用 Telnet 用户 [H3C-luser-telnet-admin] password cipher $c$3$... # 使用 cipher 密文生成方法见 4.2 [H3C-luser-telnet-admin] service-type telnet # 关键绑定服务类型为 telnet [H3C-luser-telnet-admin] authorization-attribute level 2 # 权限与 VTY 级别对齐 [H3C-luser-telnet-admin] quit [H3C] ip route-static 0.0.0.0 0.0.0.0 10.10.1.1 # 确保管理网段路由可达假设网关是 10.10.1.1 [H3C] save参数深挖protocol inbound telnetVRP 7.x 新增指令明确指定该 VTY 只响应 Telnet 请求。不加此行SSH 连接也会被路由至此但因认证失败而断开造成混淆acl 2000 inboundACL 应用在 VTY 接口的inbound方向过滤的是 TCP 连接请求的源 IP而非数据包内容。这是最轻量级的防爆破手段ip route-static 0.0.0.0 0.0.0.0 ...Telnet 依赖三层可达性。若交换机管理 IP如10.10.1.100与运维 PC 不在同一网段必须配置默认路由或静态路由否则telnet 10.10.1.100会卡在Trying...。3.4 Telnet 连通性自检清单5 分钟定位故障当同事说“Telnet 不通”时按此顺序排查90% 问题可秒解检查项命令预期输出故障现象解决方案1. Telnet 服务是否启用display ip socket应见TCP 0.0.0.0:23监听无:23行user-interface vty 0 15protocol inbound telnet2. 管理 IP 是否配置正确display ip interface briefVlan-interface1状态upIP 正确down或 IP 错interface Vlan-interface 1→ip address x.x.x.x y.y.y.y→undo shutdown3. 路由是否可达ping -a 10.10.1.100 10.10.1.50Reply from 10.10.1.50Request time out检查网关配置、物理链路、上联设备 ACL4. VTY 权限是否生效display users应见vty0用户及level 2level 0user-interface vty 0 15→user privilege level 25. ACL 是否误拦display acl 2000rule 10 permit匹配你的 PC IPdeny计数器增长acl 2000→rule 10 permit source your_ip 0.0.0.0注意ping -a的-a参数指定源 IP可验证管理接口是否参与路由。若ping 10.10.1.50通但ping -a 10.10.1.100 10.10.1.50不通说明管理 IP 未正确绑定到 Vlan-interface。4. VLAN 与 Trunk 配置端口模式、PVID、Native VLAN 的边界陷阱VLAN 是 H3C 交换机最常配也最易翻车的功能。文档里port access vlan 20和port trunk permit vlan all看似简单但背后是 Access/Trunk/Hybrid 三种端口模式、PVIDPort VLAN ID、Native VLAN 等概念的精密咬合。一次错误的port link-type trunk可能让整个财务 VLAN 的流量被广播到访客网络——而你还在查display vlan是否显示正确。4.1 端口模式的本质不是“功能开关”而是“帧处理规则”H3C 的端口模式决定了该端口如何处理进出的以太网帧Access 模式只属于一个 VLAN。收到 Untagged 帧 → 打上 PVID 标签转发发送帧时 → 剥离标签变为 Untagged 发出。适用于终端设备PC、打印机。Trunk 模式可承载多个 VLAN。收到 Untagged 帧 → 打上 PVID 标签收到 Tagged 帧 → 检查 VLAN ID 是否在permit列表中是则转发否则丢弃发送帧时 → 对 PVID VLAN 帧剥离标签Native VLAN其他 VLAN 帧保留标签。Hybrid 模式Trunk 的增强版可灵活控制每个 VLAN 的发送是否带标签。适用于需要混合 Tagged/Untagged 流量的场景如服务器双网卡绑定。关键认知port link-type trunk只是切换模式不自动放行 VLAN。必须配套port trunk permit vlan否则所有 VLAN 流量都被丢弃。4.2 PVID 与 Native VLAN那个沉默的“默认 VLAN”PVIDPort VLAN ID是每个端口的固有属性无论什么模式都存在。它的作用是为所有未打标签Untagged的入站帧指定一个 VLAN ID。在 Access 端口PVID 该端口所属的唯一 VLANport access vlan 20会自动设置 PVID20在 Trunk 端口PVID 默认为 1但可修改。当 Trunk 端口收到 Untagged 帧时会将其归入 PVID 指定的 VLAN —— 这个 VLAN 就是 Native VLAN。血泪教训两台 H3C 交换机用 Trunk 互联A 侧port trunk permit vlan all且 PVID1B 侧同样配置但 PVID100。此时 A 发来的 Untagged 帧如 STP BPDU在 B 侧会被归入 VLAN 100导致 STP 计算错误、环路。解决方案Trunk 互联双方 PVID 必须一致且 Native VLAN 应为一个不承载业务的 VLAN如 VLAN 999。4.3 一套防环路的 VLAN/Trunk 配置含 PVID 显式声明以下是在 H3C S5130-EI 上实测的 VLAN 隔离与上联配置已规避 PVID 不一致风险[H3C] vlan 20 # 创建业务 VLAN 20 [H3C-vlan20] description Finance_VLAN # 添加描述便于识别 [H3C-vlan20] quit [H3C] vlan 30 # 创建业务 VLAN 30 [H3C-vlan30] description HR_VLAN [H3C-vlan30] quit [H3C] vlan 999 # 创建专用 Native VLAN不承载业务 [H3C-vlan999] description TRUNK_NATIVE [H3C-vlan999] quit [H3C] interface Vlan-interface 20 # 为 VLAN 20 创建三层接口管理用 [H3C-Vlan-interface20] ip address 192.168.20.1 255.255.255.0 [H3C-Vlan-interface20] quit [H3C] interface Vlan-interface 30 # 为 VLAN 30 创建三层接口 [H3C-Vlan-interface30] ip address 192.168.30.1 255.255.255.0 [H3C-Vlan-interface30] quit [H3C] interface GigabitEthernet 1/0/1 # 配置接入端口接财务 PC [H3C-GigabitEthernet1/0/1] port link-type access [H3C-GigabitEthernet1/0/1] port access vlan 20 # 明确指定 VLANPVID 自动设为 20 [H3C-GigabitEthernet1/0/1] undo shutdown [H3C-GigabitEthernet1/0/1] quit [H3C] interface GigabitEthernet 1/0/2 # 配置接入端口接 HR PC [H3C-GigabitEthernet1/0/2] port link-type access [H3C-GigabitEthernet1/0/2] port access vlan 30 # PVID 自动设为 30 [H3C-GigabitEthernet1/0/2] undo shutdown [H3C-GigabitEthernet1/0/2] quit [H3C] interface GigabitEthernet 1/0/24 # 配置上联 Trunk 端口 [H3C-GigabitEthernet1/0/24] port link-type trunk [H3C-GigabitEthernet1/0/24] port trunk permit vlan 20 to 30 # 精确放行禁用 all [H3C-GigabitEthernet1/0/24] port trunk pvid vlan 999 # 显式声明 Native VLAN 为 999 [H3C-GigabitEthernet1/0/24] undo shutdown [H3C-GigabitEthernet1/0/24] quit [H3C] save参数深挖port trunk permit vlan 20 to 30比all更安全。all会放行所有 VLAN包括 VLAN 1可能泄露管理流量精确指定业务 VLAN缩小攻击面port trunk pvid vlan 999显式声明 PVID避免依赖默认值VRP 各版本默认 PVID 可能不同确保与对端交换机一致interface Vlan-interface X为 VLAN 创建三层接口是实现 VLAN 间路由SVI的前提。若只需二层隔离此步可省略。4.4 VLAN 配置避坑 / 常见问题 / 排查现象 1display vlan显示 VLAN 20 存在但display mac-address中看不到该 VLAN 的 MAC 地址→原因端口未undo shutdown或物理链路不通网线未插、对端设备 down也可能是 PVID 设置错误导致 PC 发出的 Untagged 帧被丢弃。→解决display interface GigabitEthernet 1/0/1查看端口Current state是否为UP用ping测试 PC 与交换机管理 IP 连通性检查port access vlan 20是否执行成功。现象 2Trunk 端口display interface显示Last 300 seconds input: 0 bytes/sec但对端交换机有流量→原因port trunk permit vlan未放行该 VLAN或两端 PVID 不一致导致帧被丢弃。→解决display trunk查看该端口的Permitted VLAN ID列表display vlan确认业务 VLAN 是否在列表中display interface查看PVID值与对端核对。现象 3财务 PCVLAN 20能 ping 通 HR PCVLAN 30→原因交换机启用了三层路由SVI且未配置 ACL 隔离或两台交换机通过 Trunk 互联但 SVI 配置在了同一台设备上。→解决display ip routing-table查看是否有192.168.20.0/24和192.168.30.0/24的直连路由若需二层隔离删除interface Vlan-interface 20/30配置若需三层互通添加 ACLacl number 3000→rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255→traffic-filter inbound acl 3000应用到Vlan-interface 20。现象 4port trunk permit vlan all后交换机 CPU 占用率飙升至 90%→原因all放行了所有 VLAN包括 VLAN 1 的管理流量、STP BPDU、LLDP 等导致大量广播帧泛洪。→解决立即改为精确放行undo port trunk permit vlan all→port trunk permit vlan 20 30 999监控display cpu恢复情况。现象 5配置port hybrid后服务器双网卡无法绑定→原因Hybrid 端口需显式配置port hybrid vlan和port hybrid pvid且untagged/tagged标记必须与服务器网卡驱动要求匹配。→解决display interface确认端口模式为hybriddisplay port hybrid查看当前 VLAN 标记状态参考服务器文档通常需port hybrid pvid vlan 100port hybrid vlan 100 untagged管理 VLANport hybrid vlan 200 tagged业务 VLAN。5. 配置保存、清除与恢复save、reset saved-configuration、startup saved-configuration的生死时速在 H3C 交换机上“配完了”不等于“生效了”“生效了”也不等于“永久了”。save、reset saved-configuration、startup saved-configuration这三个命令构成了配置生命周期的铁三角。无数人因混淆current-configuration运行配置与saved-configuration启动配置而遭遇“重启后配置全丢”或“改错配置无法回退”的灾难。5.1 H3C 的配置双存储机制运行配置 vs 启动配置H3C VRP 系统维护两套独立配置Running Configuration运行配置内存中的实时配置所有display current-configuration显示的内容。它随设备运行而动态变化断电即丢失。Saved Configuration启动配置Flash 存储中的持久化配置文件名为flash:/startup.cfg。设备启动时系统会将此文件加载到内存成为新的运行配置。核心逻辑save命令的作用就是把当前的 Running Configuration覆盖写入startup.cfg文件。它不是“备份”而是“落盘”。没有save任何配置在重启后都会消失。5.2save的正确姿势何时存、存几次、存什么save看似简单但有三大陷阱时机陷阱save必须在system-view之外执行即在H3C用户视图下不能在[H3C]系统视图下。新手常卡在[H3C] save报错% Unrecognized command found at ^ position.覆盖陷阱save是覆盖写入没有版本管理。连续save五次startup.cfg只保留最后一次的内容。想留历史版本需手动ftp或tftp备份确认陷阱VRP 7.x 默认开启save确认提示The configuration will be written to the device. Are you sure? [Y/N]:。生产环境脚本化部署时需提前undo save confirm关闭确认否则卡住。标准操作流配完关键配置后立即执行[H3C] quit # 退出 system-view回到 H3C 视图 H3C save # 执行保存 The configuration will be written to the device. Are you sure? [Y/N]:y # 输入 y 确认 This operation may take a few seconds. Please wait for a moment... Now saving the current configuration to the device. Save the configuration successfully. # 看到此提示才算成功 H3C display startup-configuration # 验证查看 startup.cfg 内容是否更新5.3reset saved-configuration真正的“出厂设置”按钮当配置彻底混乱save已无法挽救时reset saved-configuration是终极后悔药。它的作用是删除 Flash 中的startup.cfg文件并创建一个空的、仅含基础配置如sysname H3C的startup.cfg。执行后果设备重启后将加载这个空配置回到初始状态所有save过的配置、local-user、VLAN、IP 地址全部消失Console 认证恢复为none任何人都可登录。安全执行步骤避免误操作H3C reset saved-configuration # 执行重置 This operation will delete the saved configuration. Continue? [Y/N]:n # 先输 n确认警告 H3C reset saved-configuration This operation will delete the saved configuration. Continue? [Y/N]:y # 确认无误后输 y Resetting the saved configuration... Done! H3C reboot # 必须重启才能生效 Start to check configuration validity... Configuration is valid. Rebooting...提示reset saved-configuration不影响运行配置display current-configuration仍显示旧内容只影响下次启动。所以执行后必须reboot。5.4startup saved-configuration指定启动配置文件的高级玩法H3C 允许指定不同的.cfg文件作为启动配置用于快速回滚或测试。例如你有一个备份的backup.cfg想临时加载它H3C startup saved-configuration backup.cfg # 指定 backup.cfg 为下次启动配置 This command will set backup.cfg as the next startup configuration file. Continue? [Y/N]:y Startup configuration file is set to flash:/backup.cfg. H3C reboot # 重启后加载 backup.cfg注意startup saved-configuration只是设置指针不移动或复制文件。backup.cfg必须已存在于flash:/目录下可通过ftp上传。5.5 配置落地避坑 / 常见问题 / 排查现象 1save后display startup-configuration仍显示旧配置→原因save命令未真正执行成功如输入了n或 Flash 存储空间不足display flash查看剩余空间。→解决display flash检查Free Space若不足delete /unreserved flash:/xxx.cfg删除无用文件重新执行save并确认提示。现象 2reset saved-configuration后重启Console 登录仍要密码→原因reset saved-configuration只清空startup.cfg但current-configuration中的local-user仍在内存中。若未reboot设备仍运行旧配置。→解决reset saved-configuration后必须reboot若已reboot仍有密码说明startup.cfg未被清空检查display startup-configuration是否为空。现象 3display current-configuration与display startup-configuration完全一致但设备重启后配置丢失→原因save执行本文还有配套的精品资源点击获取