设备买的时候不觉得等机房里华为、H3C、锐捷的交换机凑到一块儿你才会发现最折磨人的往往不是网络架构本身而是记命令。同一个VLAN划分在华为上敲port default vlan到H3C上变成了port access vlan再到锐捷上又成了switchport access vlan。换一次设备就得翻一次手册生产环境里手一抖可能就把正在跑业务的端口给配废了。这篇内容就是干一件事把三家的命令差异摆到同一张表上围绕VLAN划分和端口设置这两个最常用的操作场景给你一套可以直接抄作业的对照方案。不管你是刚入门网络的小白还是在机房摸爬滚打多年的运维老手只要能分清这三个品牌设备这份对比表应该都能帮你省下不少翻手册的时间。文末我还会放一个完整的实战案例——公司5个部门划VLAN的子网规划和配置流程以及这些年我在真机上踩过的坑。1. VLAN划分命令对比三张表理清核心差异VLAN划分是交换机配置里最基础也最高频的操作不同厂商命令虽然有差异但核心思路完全一致创建VLAN、把端口以某种模式放进去。先看第一张表它解决“怎么建VLAN”的问题。1.1 创建VLAN从单条到批量操作华为 VRPH3C Comware锐捷 RG-S进入全局配置system-viewsystem-viewconfigure terminal创建单个VLANvlan 10vlan 10vlan 10批量创建VLANvlan batch 10 to 20vlan batch 10 to 20vlan range 10-20给VLAN起名字description ITname ITname IT退出当前模式quitquitexit这里有一个值得新人注意的点VLAN ID的有效范围是1到4094VLAN 1是系统默认VLAN所有端口初始化时都在里面不能删除也不能改名所以实际规划时尽量不要把业务挂在VLAN 1上否则后期做端口隔离和安全策略会非常难受。批量创建VLAN的命令差异最典型华为和H3C用的是vlan batch 10 to 20锐捷则是vlan range 10-20。我见过不少从华为转到锐捷的同事习惯性敲了vlan batch结果命令行直接报错还以为设备坏了。另外锐捷部分老型号不支持vlan range批量创建需要一条条vlan 10、vlan 20这样敲区别不大但要知道。1.2 Access端口划分三步走但写法不同Access端口就是连接终端、PC、打印机这类设备的端口它只属于一个VLAN进来的帧不带标签直接转发。三个品牌配置思路一样都是“进入端口→改链路类型→指定所属VLAN”但具体关键字差了十万八千里。操作华为H3C锐捷进入端口interface GigabitEthernet0/0/1interface GigabitEthernet1/0/1interface GigabitEthernet0/1设为Access模式port link-type accessport link-type accessswitchport mode access划分到VLAN 10port default vlan 10port access vlan 10switchport access vlan 10先解释一下为什么端口编号长得不一样。华为框式或盒式设备的接口编号通常是“槽位/板卡/端口”比如GigabitEthernet0/0/1H3C的盒式设备是“板卡/端口”常见是GigabitEthernet1/0/1锐捷更接近思科风格直接是“端口号”比如GigabitEthernet0/1。这个差异在批量配置端口时最容易把人搞晕记住“进对端口一切好说进错端口后面全白搭”。再说顺序问题。华为和H3C上我强烈建议先敲port link-type access再敲port default vlan或port access vlan。虽然部分版本直接敲port default vlan也能生效但华为/H3C的端口默认是Hybrid模式跳过链路类型切换等于留了个隐患——后面一旦有人改了链路类型VLAN归属可能跟着乱掉。锐捷这边如果不先执行switchport mode access直接执行switchport access vlan 10部分设备会报“Command rejected”因为端口可能还在默认的Access/Trunk自动协商状态命令不落地。1.3 批量配置端口三种写法一个目的现实场景里很少一个一个端口配置都是几十个口一次性处理。三家的批量进入方式如下操作华为H3C锐捷批量进入端口组port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/10interface range GigabitEthernet1/0/1 to GigabitEthernet1/0/10interface range GigabitEthernet0/1-10进入批量模式之后后续执行的操作和单端口完全一样。比如华为system-view port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/10 port link-type access port default vlan 10 quit这个写法把1到10号端口一次性划进VLAN 10非常高效。但我有一个经验要提醒批量配置前一定要看清楚端口段里有没有上联口或管理口尤其是接入交换机的上联口如果把上联口错误地划进了普通业务VLAN整个交换机下面的终端都会断网。我早年干过一次把1到24号口批量划进VLAN结果上联口也包含在里面整个楼层网络瞬间全部失联最后还是抱着一台笔记本去现场用console口才救回来。2. 端口设置核心要点Trunk、Hybrid与日常操作VLAN划分只是第一步端口设置才是真正决定网络能不能跑通的关键。这里面最核心的是Trunk端口以及华为/H3C特有的Hybrid端口。2.1 Trunk配置对比允许哪些VLAN通过Trunk端口用于交换机之间的互联或者交换机与路由器、防火墙的互联它同时承载多个VLAN的流量通过帧头里的802.1Q标签区分不同的VLAN。三家配置Trunk的姿势差异非常大这是对比表里最值得收藏的一张。操作华为H3C锐捷设为Trunk模式port link-type trunkport link-type trunkswitchport mode trunk允许VLAN 10、20通过port trunk allow-pass vlan 10 20port trunk permit vlan 10 20switchport trunk allowed vlan 10,20允许所有VLAN通过port trunk allow-pass vlan allport trunk permit vlan allswitchport trunk allowed vlan all设置PVIDnative vlanport trunk pvid vlan 10port trunk pvid vlan 10switchport trunk native vlan 10很多新手会在“允许哪些VLAN通过”这里翻车。华为是allow-pass vlanH3C是permit vlan锐捷是allowed vlan三者关键字完全不同但又都长得很像非常容易混。我给你一个记法华为和H3C都是“放行”语义华为叫allow-passH3C叫permit锐捷是“允许列表”语义叫allowed。记住这个语义就不会在设备前愣住。还有一个高频坑锐捷的switchport trunk allowed vlan和switchport trunk allowed vlan add是不同的。前者是“设置允许列表为指定值”会覆盖原有配置后者是“在现有列表里追加”。如果你在已经放行VLAN 20的端口上直接敲switchport trunk allowed vlan 10VLAN 20会被顶掉导致该VLAN的流量瞬间中断。华为和H3C每次allow-pass vlan都相当于追加不会覆盖所以从华为转锐捷的人特别容易踩这个坑。关于PVID这个概念我用生活化的方式解释一下Trunk端口默认情况下凡是“没打标签”的帧交换机都把它当作PVID这个VLAN来处理。华为/H3C叫PVID锐捷沿用思科的叫法叫native vlan两者是一个东西。如果互联两端设备的PVID不一致比如一边是VLAN 10另一边是VLAN 1那么两边的“无标签帧”就没法对号入座表现出来就是不通。配置Trunk时两端的PVID必须一致这是铁律。2.2 Hybrid端口华为和H3C的独门秘籍华为和H3C有一个锐捷默认不具备的端口模式——Hybrid。它允许一个端口同时以打了标签和没打标签两种方式放行流量实际应用很广比如一个端口既要接电脑无标签又要接IP电话有标签或者做无线AP上行口时同时承载管理VLAN和业务VLAN。华为和H3C的Hybrid配置思路是先切换到Hybrid模式再分别配置tagged和untagged放行列表。比如interface GigabitEthernet0/0/1 port link-type hybrid port hybrid tagged vlan 100 port hybrid untagged vlan 10这个端口对VLAN 100发带标签的帧对VLAN 10发不带标签的帧。锐捷没有Hybrid模式通常用Access加子接口或Trunk加辅助VLAN的方式去模拟配置起来繁琐一些。如果你在纯H3C或华为环境里做网络设计Hybrid是很常用的模式建议重点掌握如果你是三品牌混合环境那就要克制一点尽量别在跨品牌链路上用Hybrid否则公说公有理出了问题很难排查。2.3 端口日常操作状态、描述、速率与隔离这一部分属于日常运维的“高频小操作”我也整理成一张对比表方便你平时查。操作华为H3C锐捷关闭端口shutdownshutdownshutdown开启端口undo shutdownundo shutdownno shutdown配置端口描述description to-serverdescription to-serverdescription to-server配置速率和双工speed 1000/duplex fullspeed 1000/duplex fullspeed 1000/duplex full端口隔离port-isolate enableport-isolate enableswitchport protected端口隔离是个容易被忽略但很好用的功能。比如机房里有几台服务器希望它们互联互通但不希望某台管理口暴露给所有接入终端这时候可以给接入端口开启隔离。华为和H3C的port-isolate enable是同方向的开启后同一组内的端口互相隔离锐捷的switchport protected作用类似。需要注意的是隔离只是二层层面的隔离如果三层路由可达双方还是能互通这个设计逻辑要提前想清楚别把隔离当安全防火墙用。3. 查看与排查命令对照配置完怎么验证配置完以后第一件事不是拍屁股走人而是验证。三家的查看命令同样存在差异下面这组命令基本覆盖了日常90%的排查场景。3.1 查看VLAN和端口状态需求华为H3C锐捷查看VLAN信息display vlandisplay vlanshow vlan查看端口所属VLANdisplay port vlandisplay port vlanshow interfaces switchport查看端口物理状态display interface briefdisplay interface briefshow interfaces status我最常用的是display port vlan华为/H3C和show interfaces switchport锐捷这两个命令能直接看到每个端口处于什么模式、归属于哪个VLAN、Trunk放行了哪些VLAN比单纯看display vlan更直观。如果你刚配置完一批端口用这个命令扫一遍基本就能确认端口有没有配错。顺便提一个锐捷的细节show interfaces switchport在某些老型号上不支持那就用show running-config interface GigabitEthernet0/1单看一个端口的生效配置也是可以的。3.2 排查核心表项MAC地址表、STP与配置需求华为H3C锐捷查看MAC地址表display mac-addressdisplay mac-addressshow mac-address-table查看STP端口状态display stp briefdisplay stp briefshow spanning-tree brief查看当前生效配置display current-configurationdisplay current-configurationshow running-config查看接口统计和错误display interfacedisplay interfaceshow interfaces counters有一次客户说“两台电脑之间不通但交换机端口都是亮的”我远程上去先display mac-address发现其中一台电脑的MAC没有出现在交换机上说明二层没学到地址再一层层查线缆和终端最后发现是终端网线接到了另一个房间的配线架上。排查网络不要一上来就怀疑配置先用查看命令把物理层和数据链路层过一遍往往能快速缩小范围。3.3 综合排查思路ping不通时先查哪里结合我自己处理故障的习惯当终端ping不通网关时排查顺序是这样的先看终端网卡有没有获取到正确的IP地址再登录交换机查display interface brief或show interfaces status确认端口是否Up然后display port vlan确认终端所在VLAN和网关接口VLAN是不是同一个最后查三层接口地址和路由表。如果终端能ping通网关但访问不了另一网段的服务器那就要查三层交换机上有没有对应路由以及终端系统防火墙是不是把相关端口拦截了。很多时候业务不通并不全是交换机的问题终端自带防火墙也会制造“看起来网络通、实际服务连不上”的诡异故障。4. 配置保存与设备恢复防丢配置的保命操作配置写完不保存等于白干——这句是很多老网工的痛。三家的保存命令差异不大但细节值得单独拎出来讲。4.1 保存配置的命令差异操作华为H3C锐捷保存配置savesave forcewrite确认保存手动选Y直接覆盖直接写入华为执行save后会提示你确认是否覆盖当前配置文件输入Y再回车H3C干脆一点save force直接覆盖不询问锐捷体验和思科一致一个write搞定。如果你在H3C上只敲了save部分版本会提示你输入文件名如果不小心回车可能把配置存成了另一个文件系统重启后不会自动加载这个坑我踩过一次。所以在H3C上建议直接养成save force的习惯省事又安全。还有个细节查看当前显示配置和实际保存配置可能不一致。部分配置比如临时调试用的ACL、dhcp snooping的一些动态状态在display current-configuration里能看到但重启后不一定保留确认环境以display saved-configurationH3C/华为和show startup-config锐捷为准。4.2 恢复出厂清空配置重来操作华为H3C锐捷清空配置reset saved-configurationreset saved-configurationdelete startup-config重启生效rebootrebootreload清空配置并重启后设备会恢复到首次开机的出厂状态。这里我要强调一句恢复出厂前一定先把当前配置备份下来最好用display current-configuration华为/H3C或show running-config锐捷把内容复制存档。恢复出厂操作一旦执行所有业务配置都会消失尤其远程管理的设备清完你可能连设备都登不上了只能跑去机房接console线。4.3 Console登录与本地密码管理很多人第一次配交换机都是通过console线登录的连接参数通常是波特率9600、数据位8、停止位1、无校验。华为和H3C的默认账户在部分设备上是admin/admin锐捷是admin或admin/admin但具体型号差异很大新设备建议第一时间登录后改密码。设置本地登录密码华为和H3C进入线卡配置user-interface console 0 authentication-mode password set authentication password cipher 你的密码锐捷则是line console 0 password 你的密码 login enable secret 你的密码这里说一点生产经验如果设备支持远程登录一般建议开启SSH而不是Telnet并设置独立的远程登录密码和管理权限不要所有设备用同一个统一密码。另外密码设置完以后记得save否则重启密码又变回默认等于把设备裸奔在网络里。5. 实战公司5个部门划VLAN的完整方案前面都是命令级的对照现在来做一个真实的综合案例帮你看清从需求分析到命令落地的完整链路。5.1 需求分析与子网规划假设一家公司有五个部门A部门100人B部门50人C部门20人D部门20人E部门20人五个部门都需要独立的广播域和子网部门间要能通信但访问控制后续再做。网关全部设在一台三层交换机上。做规划之前先算地址块。A部门100台机器再加网关和备用给/25可用地址126个足够B部门50台给/26可用地址62个C、D、E部门都是20台左右给/27可用地址30个就行。这样规划既不浪费地址也为以后扩容留了余地。部门VLAN ID子网掩码网关地址可用主机数A部门10192.168.10.0255.255.255.128192.168.10.1126B部门20192.168.20.0255.255.255.192192.168.20.162C部门30192.168.30.0255.255.255.224192.168.30.130D部门40192.168.40.0255.255.255.224192.168.40.130E部门50192.168.50.0255.255.255.224192.168.50.1305.2 华为设备完整配置流程假设核心是一台华为三层交换机比如S5720系列下联各楼层的接入交换机。核心交换机上的配置流程如下system-view vlan batch 10 20 30 40 50创建完VLAN给部门A的接入端口做Access划分interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit注意这里我只是举例实际工程中几十个端口建议用port-group批量配置。然后配置核心与接入交换机互联的Trunk口interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 port trunk pvid vlan 1 quitTrunk的PVID我习惯保留默认VLAN 1只放行业务VLAN这样管理流量和业务流量互不干扰。接下来给每个VLAN配置三层网关地址interface Vlanif10 ip address 192.168.10.1 255.255.255.128 quit interface Vlanif20 ip address 192.168.20.1 255.255.255.192 quit其他VLAN的网关同理。配置完成并验证无误后最后一定记得保存save。5.3 H3C与锐捷的等价命令对照同样的拓扑H3C核心交换机上的配置流程几乎一致差异点只在端口划分和Trunk放行关键字上system-view vlan batch 10 20 30 40 50 interface GigabitEthernet1/0/1 port link-type access port access vlan 10 quit interface GigabitEthernet1/0/24 port link-type trunk port trunk permit vlan 10 20 30 40 50 port trunk pvid vlan 1 quit interface Vlan-interface10 ip address 192.168.10.1 255.255.255.128锐捷的差异就明显了先进入配置模式VLAN创建、端口模式和VLANIF都有不同configure terminal vlan 10 vlan 20 vlan 30 vlan 40 vlan 50 exit interface GigabitEthernet0/1 switchport mode access switchport access vlan 10 exit interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20,30,40,50 switchport trunk native vlan 1 exit interface vlan 10 ip address 192.168.10.1 255.255.255.128看到没核心思路完全一样建VLAN、划端口、设Trunk、配网关。只是命令关键字各说各话。你只要把第一部分的对比表记熟了到了现场顺着流程走基本不会卡壳。5.4 三层交换机VLAN间通信与测试配置完以后部门A的一台电脑如果网关是192.168.10.1并且能ping通部门B的网关192.168.20.1说明三层交换机上的VLAN间路由已经生效。同一个VLAN内的电脑通不通取决于二层接入侧跨VLAN通不通则取决于三层网关接口和路由表。如果只有二层接入交换机没有三层设备VLAN之间默认是隔离的想要互通就要加路由器做单臂路由或者换成三层交换机来做网关现实中绝大多数公司都会用三层交换机来做VLAN间路由省事且性能好。在线调试时我还会在交换机上连续ping几个关键地址确认链路质量。华为和H3C上可以用ping -c 5指定包数锐捷可以直接ping 192.168.10.1 repeat 5这些命令虽然小但调试节点之间通不通非常有用。6. 常见问题与避坑实录真机上的经验总结最后这部分是我这些年实打实踩坑总结出来的建议收藏等到现场遇到类似问题直接翻出来对照。6.1 问题速查表现象可能原因排查命令解决办法端口亮但终端无法获取IP终端所在VLAN与DHCP服务器不在同一VLAN且没有配置DHCP中继display port vlan检查VLAN归属配置DHCP中继或将DHCP服务器划入对应VLAN跨交换机同VLAN不通Trunk口未放行对应VLAN或PVID两端不一致display port vlan/show interfaces trunk检查Trunk的允许列表两端PVID改为一致配置完重启全部丢失没有保存配置display saved-configuration重新配置并执行save/save force/writeconsole口登录无输出波特率设置错误或console线没插牢固无波特率设为9600检查串口驱动和线序锐捷Trunk配置后原有VLAN中断allowed vlan覆盖了原有列表show interfaces trunk改用allowed vlan add追加同网段PC互访延迟或丢包二层环路未阻断或STP未收敛display stp brief检查是否存在物理环路等待STP收敛或手动指定根桥端口配置模式时报错端口当前处于Hybrid/动态模式display interface先切换到目标模式再下发配置锐捷需先switchport mode access/trunk6.2 修改线上设备前先备份再动手这是我一直挂在嘴边的一条铁律任何对生产交换机进行修改之前先把当前配置备份下来。华为和H3C执行display current-configuration锐捷执行show running-config把输出保存到本地。万一改错了还能根据备份快速回滚而不是靠脑子回忆之前敲了什么。另外批量配置前一定要先确认端口范围尤其在接入交换机上上联口和管理口往往不在物理位置的头尾而是中间某个口。你以为是“从1到24的所有普通口”很可能里面掺了一个上联口。用port-group或interface range之前先用display interface brief扫一遍端口列表确认清楚哪些是业务口、哪些是上联口这是成本最低的保险。6.3 练手与记忆模拟器是不错的选择如果你没有真机环境练手华为有官方的eNSP模拟器H3C有HCL模拟器这两个上手都很方便基本能模拟常见的VLAN、端口、路由配置。锐捷虽然官方模拟器不好找但通过GNS3加载镜像也能练。我的建议是用模拟器把上面三层交换机的案例完整跑一遍然后把三个品牌的命令分别敲一遍不需要背敲两遍肌肉记忆自然就有了。等到了客户现场你看到华为设备脑子里就会自动跳出port default vlan看到锐捷设备就会自动换成switchport access vlan——这种手感光看文档是练不出来的。最后再分享一个个人习惯每配完一台设备我会用手机把最终配置页面拍张照存到相册里标上设备IP和位置。这个习惯救过我好几次——比如半年后有人问我“当时13号交换机到底放行了哪些VLAN”我翻翻相册就能立刻回答设备故障需要快速恢复时也有一份脱离网络的本地备份可用。做运维越久越会发现很多所谓“疑难杂症”最后都败给了一个好习惯。