简介《华为交换机及路由器各种配置实例大全》是一份聚焦华为交换机和路由器配置技巧的实例文档主要面向企业网络管理员、运维工程师以及备考数通认证的读者重点解决不同设备系列在端口限速、ACL访问控制等场景下命令不通用、参数易混淆的问题。文档以docx格式整理共1个文件压缩包大小仅98KB内容高度集中方便按需查阅。实例以端口限速为主线覆盖2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3050、S5012、S5024等主流型号既有直用line-rate命令的简易配置也有必须结合ACL与traffic-limit实现双向限速的复杂方案同时明确了不同系列限速级别与速率的换算规则例如128级对应64Kbps粒度、29127级对应1Mbps粒度等。读者可对照设备型号直接复制调整命令减少试错成本。目前已有285人学习适合作为网络管理员日常配置的速查手册。1. 拿到“华为交换机及路由器各种配置实例大全”之后先想清楚这三件事下载一份《华为交换机及路由器各种配置实例大全》只需要一分钟但真正把里面的VLAN、NAT、VRRP实例用起来至少要一个晚上。我见过太多人拿到这类文档后直接照着抄VLAN照搬、ACL照搬、路由下一跳也不改结果设备配置完网络起不来又不知道该查哪里。配置实例不是标准答案它是参考边界告诉你“华为设备这条命令能这么写”但没告诉你“你这个网络能不能这么用”。所以这篇笔记要解决三件事第一教会你怎么读实例知道每个配置块解决什么问题第二给出从实例到开局脚本的一套落地流程包括采集、下发、验证第三把最常见的翻车点列出来让你少走弯路。适合刚接手华为设备开局调试的人也适合做方案评审、写变更方案的老手对照查漏。2. 配置实例怎么拆交换机、路由器、三层组网各看什么2.1 交换机配置实例的骨架VLAN、端口角色与网关位置华为交换机实例里出现频率最高的配置块就是VLAN划分和端口放行这块读懂了大半交换机实例就通了。我一般先找三个关键段落vlan batch定义了哪些业务VLANinterface Vlanif决定了三层网关放在哪台设备上端口下的port link-type和port default vlan决定了接入方式。一个最常见的基础骨架是这样vlan batch 10 20 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 20这套配置对应的是一个最简单的场景下联PC走access口进VLAN 10上联汇聚或路由器走trunk口放行VLAN 20VLANIF 10和VLANIF 20就是终端网关。你在实例里看到类似的段先确认三个问题第一个网关为什么要放交换机而不是放在路由器上这决定了VLANIF地址往哪个网段规划第二个trunk口放行列表是不是把需要用到的VLAN都写全了华为设备的trunk口默认只放行PVID漏写allow-pass vlan是最常见的断网原因第三个port link-type有没有可能选错比如应该用trunk的地方写了hybrid。华为三层交换机比如S5700、S6700系列和纯二层设备的差别也在这里三层交换机可以直接终结VLAN省掉“单臂路由”那套复杂结构所以配置实例里如果出现了多个VLANIF基本可以判断这台设备是当作三层网关用的。你要是看到实例里只有vlan和port没有interface Vlanif那它解决的是二层隔离问题网关在别处。2.2 路由器配置实例的骨架NAT方向、ACL匹配与默认路由路由器实例比交换机多了两个重头戏路由和地址转换。华为AR路由器开局最常见的场景是出口路由器实例里基本都有三件套acl做内外网流量匹配、nat outbound挂在出接口上、ip route-static指向上游运营商网关。典型骨架长这样acl number 2001 rule 5 permit source 192.168.10.0 0.0.0.255 interface GigabitEthernet0/0/1 ip address 203.0.113.1 255.255.255.252 nat outbound 2001 ip route-static 0.0.0.0 0.0.0.0 203.0.113.2读这类实例时最容易看漏的是ACL的方向。nat outbound 2001挂在哪个接口上ACL里的source就是哪一端的网段。挂在公网口上source就是内网网段如果你看到ACL里写的source是外网地址段那多半是实例作者为了做特殊NAT写的复制下来必然翻车。还有那个默认路由ip route-static 0.0.0.0 0.0.0.0后面跟的下一跳必须是运营商给的网关地址不是随便填的。很多人在实例里看到203.0.113.2就直接抄结果公网地址段和自己实际拿到的不一样去程路由黑洞NAT配置再对也出不去网。参数层面要单独提一个nat outbound不带ACL编号时表示所有流量都做NAT带ACL编号就只对匹配的源地址做转换。实例里基本都会带ACL这是为了精准控制哪些内网段能出去你改的时候重点看ACL的rule顺序因为华为ACL是按rule编号从小到大匹配命中后不再往下走顺序写错就会出现“该通的没通、不该通的通了”的玄学问题。2.3 三层组网实例交换机与路由器怎么分工复杂的配置实例通常是一套组合交换机做VLAN终结路由器做出口NAT和路由转发两者之间用三层互联或trunk打通。这里最值得看的是VRRP配置实例它解决网关冗余。典型的骨架是两个VLANIF下各配一组VRRPinterface Vlanif10 vrrp vrid 1 virtual-ip 192.168.10.254 vrrp vrid 1 priority 120 vrrp vrid 1 preempt-mode timer delay 20 interface Vlanif20 vrrp vrid 2 virtual-ip 192.168.20.254 vrrp vrid 2 priority 100主设备priority 120备设备用默认100virtual-ip是终端的网关地址。preempt-mode timer delay 20的意思是主设备恢复后延时20秒再抢占避免主备来回切换把整网闪断。实例里看到VRRP先确认两台设备的VRRP报文能不能互通——如果两个VLANIF不在同一个二层域里VRRP状态起不来就会出现两个主设备同时响应网关这就是网上常说的VRRP双主。组合类实例里还会看到OSPF或静态路由把三层交换机和企业出口路由器连起来。遇到这种实例我的建议是先画一张小图终端在哪个VLAN网关在哪台设备的VLANIF上出口路由器的下一跳指向谁。图能画通配置实例才能改得通。这也是eNSP里ACAP本地转发这类配置实例的正确用法——先在模拟器上把二三层拓扑跑通再把对应的交换机实例和路由器实例按角色拆出来分别落到真机上。2.4 实例里的参数不是金科玉律改之前先问三个问题无论交换机还是路由器实例落到自己环境之前先问自己三个问题设备型号对得上吗S5720的VLANIF能力和S9700不一样AR路由器低端款跑不动OSPF多区域接口名对得上吗GigabitEthernet还是XGigabitEthernet实例里写的端口名真机上可能根本不存在业务规模对得上吗实例给20台终端用的VLAN规划你拿去做500人的办公网广播域和地址池都会出问题。我一般会把实例里的配置块拆成“可原样搬”和“必须改”两类。地址、接口名、VLAN号、ACL规则编号属于必须改vlan batch的写法、VRRP抢占延时、NAT绑定的调用方式属于可原样搬。这套分类方法能让你从“抄配置”变成“套模板”速度和安全都会好很多。3. 把配置实例变成开局脚本从采集到下发的一条线3.1 先摸清现场登录方式与配置采集脚本配置实例再完整也要先知道真机的现状。开局一台华为交换机或路由器我习惯先做信息采集设备型号、软件版本、现有配置。手敲display version和display current-configuration是最原始的做法设备少没问题设备一多就累死人。我一般会用Python脚本批量采集。先装依赖用paramiko做SSH连接pip install paramiko然后跑这样一个采集脚本把每一台设备的版本和配置拉下来存成文本import paramiko import datetime devices [ { host: 192.168.1.1, username: admin, password: your_password, name: sw-core-01, }, ] def run_command(host, username, password, commands): client paramiko.SSHClient() client.set_missing_host_key_policy(paramiko.AutoAddPolicy()) client.connect( host, port22, usernameusername, passwordpassword, timeout10, banner_timeout15, ) result [] for cmd in commands: stdin, stdout, stderr client.exec_command(cmd) result.append( {} \n{}.format(cmd, stdout.read().decode())) client.close() return \n.join(result) if __name__ __main__: date_str datetime.datetime.now().strftime(%Y%m%d) for dev in devices: output run_command( dev[host], dev[username], dev[password], [display version, display current-configuration], ) with open({}_{}_cfg.txt.format(dev[name], date_str), w) as f: f.write(output) print({} 采集完成.format(dev[name]))脚本逻辑很简单遍历设备列表SSH登录后执行两条display命令把输出写入以设备名加日期命名的文本。重点关注两个参数banner_timeout15是给登录横幅阶段留的超时时间华为设备在慢速网络下SSH握手容易卡exec_command只能执行非交互式命令像display current-configuration这种一次性回显的命令正合适。采集完成后最好人工抽查一下文件末尾确认回显是完整的而不是被分页截断。这个采集结果就是你对照配置实例的基础。下一节做什么把实例里的配置块和现状差的diff逻辑理清楚。3.2 配置库的整理按角色拆文件建立命名规范配置实例下载下来通常是一份Word文档不适合直接当操作手册。我会把文档里不同场景的配置片段拆出来按“设备角色”建立自己的配置库config-library/ ├── switch/ │ ├── access-switch-vlan.txt │ ├── core-switch-vlanif-vrrp.txt │ └── switch-trunk-aggregation.txt ├── router/ │ ├── router-nat-outbound.txt │ ├── router-static-route.txt │ └── router-ospf.txt └── templates/ ├── new-site-change.md └── rollback-template.md命名的原则是“角色加动作”不写“配置1”“配置2”这种看不懂的名字。access-switch-vlan.txt说明这是一台接入交换机要下发的VLAN配置core-switch-vlanif-vrrp.txt一眼看出是核心交换机上做网关冗余的片段。这套库建好之后开局新站点就不再翻Word文档而是直接从库里取模板改参数。这一步的价值是减少低级错误。Word文档里的格式、页码、图片会干扰你的注意力拆成纯文本之后每个空行、每个缩进都代表实际要下发的命令顺序对照检查要轻松得多。我在做方案时会把拆出来的文本和采集到的现状文件放在同一个目录下用 diff 查看差距这一步会直接决定等下要下发多少条命令。3.3 批量下发配置用netmiko做逐条下发与回读校验采集用paramiko够用但下发配置一定要用netmiko原因是它内置了华为设备的enable机制和等待提示符的处理逻辑不会出现命令敲进去但设备没执行的情况。装库pip install netmiko然后写一个下发脚本把配置实例里整理好的命令片段发给设备from netmiko import ConnectHandler device { device_type: huawei, host: 192.168.1.1, username: admin, password: your_password, } commands_to_push [ vlan 100, description office, interface GigabitEthernet0/0/10, port link-type access, port default vlan 100, ] conn ConnectHandler(**device) conn.enable() output conn.send_config_set(commands_to_push) conn.save_config() print(output)这段代码做了三件事连接设备、进系统视图逐条下发命令、最后保存配置。关键参数在device_typenetmiko对华为设备要用huawei这个类型它会按VRP的提示符规则等待]或出现不会因为回显慢而误判超时。send_config_set会自动进入系统视图所以命令列表里不要写system-view这行。为什么下发配置要一条条走而不是把整段配置直接贴进设备因为华为设备对某些命令有依赖顺序比如先建VLAN再进接口你把整个配置段一次性粘进去如果中间有一条命令报错后面的命令可能全部不执行。send_config_set一条条发报错时你能立刻从返回的输出里定位是哪一行出了问题。下发完成后save_config()对应VRP的save会把内存里的配置写入flash这步不做设备一重启配置全丢。下发后的回读校验也很重要。再连一次设备执行display current-configuration | include vlan 100确认刚才下发的配置确实在里面。注意华为VRP的save默认会问是否覆盖netmiko的save_config会处理这个交互不需要额外写expect。3.4 下发失败的现场处理原则批量下发不会每次一帆风顺。常见的失败现象是回显显示命令执行成功但回读时关键配置缺失。原因大多是命令之间有依赖关系或者设备接口名和脚本里写的不一致。我处理这类问题的顺序是先看回读结果确认哪些配置没进去再用display logbuffer看设备日志定位具体报错最后修改脚本里的命令片段只重发失败的部分不要整段重推。这里还想强调一个纪律不要在业务高峰期做批量下发。配置实例再成熟批量操作本身就有风险我一般选变更窗口做窗口外只做配置采集和方案准备。脚本里的密码不要明文写在文件里长期保存生产环境用getpass输入或者密钥认证这个习惯能避免很多安全问题。4. 配置实例落地的6个常见坑从console密码到VRRP双主4.1 console连不上第一反应不是设备坏了现象用SecureCRT或putty连华为设备的console口窗口里一片空白回车也没反应。原因串口参数不对。华为设备的console口默认波特率是9600数据位8位停止位1位无校验。大部分人是栽在波特率上还有一部分是USB转串口的驱动没装好系统里根本没有对应的COM口。解决先把串口参数改成9600/8/N/1确认设备管理器的COM口号再把console线换一个USB口试。如果还是黑屏按住CtrlB或CtrlE进入BootROM菜单这个方法不要乱试正常流程是检查线缆和终端软件。这里有个经验很多console“故障”其实是终端软件的流控选项打开了把硬件流控关掉问题就消失了。4.2 VLAN配好了VLANIF也建了终端就是ping不通网关现象照着配置实例建了VLAN 10给Vlanif10配了192.168.10.1PC接在access口上也划到了VLAN 10但PC ping不通网关。原因这是个经典坑。PC的网关地址要落在VLANIF上PC到VLANIF之间要经过交换机端口这个端口必须是access口且default vlan等于10或者trunk口放行了VLAN 10。实例里看起来都对但很多人忽略了下联终端的端口是hybrid口华为的hybrid口默认带PVID且不带tag转发和access完全不通。解决在设备上执行display port vlan看端口的实际VLAN属性再执行display vlan 10看端口是否在这个VLAN里。如果确认端口是hybrid导致把端口改成port link-type access再重新划VLAN。实例里写access的地方真机上一定要确认链路类型完全一致hybrid能不能用能用但那是另一种设计别拿两个方案混着拼。4.3 NAT配置下发成功内网还是上不了网现象AR路由器上配了ACL 2001出接口挂了nat outbound 2001PC能ping通路由器内网口但访问不了外网地址。原因按顺序排查三层默认路由有没有指向上游、ACL的source网段是否覆盖了PC所在网段、出接口的公网IP对不对。最隐蔽的原因在ACL规则顺序华为ACL的rule编号小的先匹配如果实例里前面有一条permit源地址是旧网段后面才是你的新网段那新网段流量根本匹配不到NAT规则。解决在路由器上执行display nat session all看有没有NAT会话没有会话说明流量没走到NAT这层执行display acl 2001看规则命中计数计数为零说明ACL匹配方向有问题。修正方法就是把ACL规则重新排序或删除重建确保source网段覆盖真实内网。另外确认ip route-static 0.0.0.0 0.0.0.0的下一跳地址这步错了流量送到运营商网关但回不来。4.4 VRRP两台设备都成了Master网络时通时断现象两台三层交换机按实例配了VRRP结果终端网关时通时断抓包发现两台设备都在响应网关的ARP。原因VRRP双主本质是两台设备之间的VRRP报文没有互通。可能的原因很具体两台设备互联端口所在的VLAN和VRRP所在的VLAN不一样或者互联端口是三层口没有加入对应VLAN。实例里不会专门提醒你“两台设备之间要先二层互通”很多人就直接照着VLANIF配置抄结果心跳断了。解决先在两台设备上分别执行display vrrp看到VRRP状态是Master没关系再看对端设备同一VLANIF下VRRP状态是不是也是Master如果都是就去查互联端口。我这个问题的处理方式是给VRRP配一个单独的心跳VLAN只放行两台设备之间的互联端口然后在两条VLANIF下分别配置VRRP观察状态变成Master/Backup之后再恢复业务。还要注意抢占延时preempt-mode timer delay 20的意思是主设备恢复后延时抢占不加这个参数主备切换时会再闪断一次。4.5 eNSP里跑通了真机上线就不通现象在eNSP模拟器里按配置实例搭的拓扑一切正常同样的配置下发到真机业务不通。原因模拟器对接口协商、默认行为和真实设备有差异。最典型的三个第一eNSP里trunk口不显式放行VLAN时部分场景能通真机上必须显式allow-pass vlan第二模拟器的光口电口自动协商成功率高真机特别是光电混合场景速率或双工不匹配就直接down第三模拟器里设备CPU负载不影响协议收敛真机上启用大量OSPF实例后路由收敛慢。解决上线前做一个“真机预检清单”检查所有互联端口的物理状态和协商结果、核对每个trunk口的放行VLAN列表、在真机上用display ospf peer确认邻居建起来了。用eNSP验证思路是好的但别把模拟器结果当成立项依据我在开局时都会在真机上再跑一遍完整验证。4.6 配置没保存设备重启后回到“出厂”现象辛辛苦苦照着配置实例配完所有东西业务也通了结果机房断电或设备重启所有配置消失设备回到了空配置状态。原因这是一条绕不开的老生常谈VRP的设备内存配置只有在执行save之后才写入flash。配置实例文档不会替你做这一步很多人配置完业务通了就收工完全忘了保存。解决配置完成并验证通过后第一时间执行save再执行display saved-configuration确认flash里的配置和当前一致。批量场景下这个动作要在脚本的最后一步固定执行别靠人工记。养成“验证完就保存、保存完再拔线”的习惯可以省掉非常多的返工这个坑我踩过一次之后把save写成了所有下发脚本的收尾动作。5. 把配置实例变成长期资产配置审计、备份与变更验证5.1 display current-configuration 不是看完就完要会挑重点读华为交换机命令大全里最常被翻出来的命令是display current-configuration但大多数人只是确认配置在不在没有真正读它。我把回显分成三类系统默认参数、业务核心配置、隐患配置。系统默认参数比如sysname、telnet server enable这些不用多看业务核心配置包括VLAN、接口、路由、NAT、VRRP要和配置实例逐行对照隐患配置是你改配置时留下的残留比如旧的ACL规则、废弃的VLAN如果还在里面就要回头清掉。读配置实例和读真机配置是两套动作。实例是理想设计真机配置是现状中间的差距就是变更内容。我做审计时会把两个文件放在同一个diff工具里对比凡是实例有而真机没有的就是本次要下发的凡是真机有而实例没有的可能是这台设备的特殊需求也可能是历史遗留标记出来逐条确认。5.2 配置审计的5个必查点我在做配置审计时固定检查五个方面整理成下表方便你直接拿去用检查项命令关注点设备命名与SSHdisplay sysname、display ssh server status是否可追溯、远程管理是否安全VLAN与端口放行display vlan、display port vlantrunk放行列表是否冗余或缺失三层网关与VRRPdisplay ip interface brief、display vrrpVLANIF是否有地址、VRRP主备是否唯一路由与NATdisplay ip routing-table、display nat session all默认路由是否存在、NAT会话是否正常配置文件一致性display current-configuration与display saved-configuration对比内存配置与flash配置是否一致这个表格不需要每次全跑但变更前至少跑一遍。尤其是最后一项如果你发现当前配置和保存配置不一致先执行save再做后续变更否则一个小失误就可能导致设备重启后配置回退。表里的命令都不复杂但组合起来就是一次完整的风险排查。5.3 配置备份策略给实例落地后的设备上双保险配置实例调到可用之后设备本身要纳入备份机制。我的建议是两级设备本地保存加远程备份。设备本地就是save远程备份用上一章写的采集脚本定期把display current-configuration拉取回来存到文件服务器。频率按变更频率走无变更的设备一周一次有变更当天备份一次。备份文件的命名也要有规矩设备名加日期加时间。sw-core-01_20250612_2200_cfg.txt这种格式在出问题要回滚时能迅速找到最近一份配置。这一幕我在处理ACAP本地转发的场景时也这么用无线控制器和交换机的配置绑定比较紧哪天发现无线业务异常先对比最近两次配置备份确认是不是有人调过VLAN或放行列表。配置实例本身也应该纳入版本管理。我在本地用Git管理config-library目录每次从实例文档里拆出新的配置片段就提交一次commit message写清楚“从华为交换机配置实例大全第几章拆分”。这样做的好处是可以追溯哪天发现某个模板有问题能查到它是什么时候加入、基于什么场景写的。5.4 变更后的验证流程先连通性后业务最后看日志配置下发完不要急着收工。我的验证顺序是先ping网关和互联地址确认二三层全通再测业务终端能拿地址、能访问服务器最后看设备日志执行display logbuffer检查有没有报错。三层组网实例落地后还要执行display ospf peer或display vrrp确认协议状态正常这两条命令的输出比业务测通更能反映网络健康度。这里补充一个经验验证时不要只看“通不通”要记录“通了多久”。有些配置引发的故障是间歇性的比如VRRP主备频繁切换、OSPF邻居反复震荡如果你只ping一下就走很可能错过问题。我一般会做持续3到5分钟的连通性监测同时抓设备日志确认没有协议级报错才算真正验证通过。5.5 配置备份的恢复演练备份存在的意义是恢复所以隔一段时间要演练一次恢复拿一台闲置设备导入最近一次备份配置确认能正常启动并接管业务在测试环境模拟。不需要每次都做但接手新网络或大版本升级前后必须做一次。这个演练能提前暴露很多问题比如备份文件的换行符在Windows和Linux之间转换把配置弄坏、备份时漏了关键全局参数、或者设备新版本不认旧配置命令。演练完成后再投入使用你的备份才真正信得过。6. 留好后悔药配置回滚的三步操作变更最重要的是回滚方案配置实例落地也必须有这根弦。我的回滚流程固定三步每一步都不复杂但组合起来能救命。第一步变更前把当前配置完整拉下来命名带上变更日期这就是你的回滚基线。用前面写的采集脚本跑一遍确认文件保存成功人为把当前配置和保存配置做一次diff确保基线干净。第二步执行变更每下发一组命令就立即用对应的display命令回读比如下发VLAN就回读display vlan下发路由就回读display ip routing-table一旦发现和预期不符就停下来。第三步需要回滚时用基线配置反推差异命令。不要直接整段粘贴基线文件因为设备当前状态已经变了直接贴可能重复报错。正确做法是人工或脚本对比基线与新配置的差异生成反向命令只撤销变更涉及的部分。回滚完成后保留变更过程的所有记录设备回显、操作时间、操作人、当时业务状态。这样不管是自己复盘还是交给同事接手都有据可查。我在真机上进行回滚操作前总会确认手里有一份能用的基线文件也确认自己知道怎么把它导回设备只要这两点想清楚了动手就有底。这套“采集现状、拆解实例、分步下发、回读校验、留好基线”的方法我用在不少华为交换机和AR路由器开局项目里帮身边同事解决过eNSP跑通真机不通、VRRP双主、NAT匹配不上等一堆问题。这些都是排错思路大于命令记忆的活配置文档背得再熟不如把一套落地流程走扎实。希望帮到你。本文还有配套的精品资源点击获取