交换机的基本配置

交换机的基本配置

交换机是局域网的核心枢纽，其配置质量直接决定网络的稳定性、安全性与可扩展性。建议优先完成基础联通性配置，再规划管理安全与业务优化，切勿直接进入复杂功能调试，本文基于实际运维经验,给出从初始化到加固的完整操作路径。

配置前的准备与核心原则

先做物理连接与终端准备，再动命令行，使用Console线连接交换机Console口与电脑串口（或USB转串口），在终端软件（如SecureCRT、Xshell）中设置波特率9600、数据位8、停止位1、无校验。

核心原则是：先管理后业务，先安全后优化。 所有配置前应备份当前配置，操作时逐条验证,避免批量下发导致连锁故障。

基础配置：让交换机可管理、可连通

配置主机名、管理IP和远程登录是第一步，否则设备无法被网络管理,后续优化也无从谈起。

• 配置主机名便于识别设备位置与角色
• 配置VLAN 1或其他管理VLAN的IP地址作为管理地址
• 配置默认网关，使跨网段管理成为可能
• 开启SSH服务并关闭Telnet，SSH是加密传输，Telnet是明文，生产环境严禁使用Telnet

system-view
sysname Core-SW01
interface vlanif 1
 ip address 192.168.10.2 255.255.255.0
quit
ip route-static 0.0.0.0 0.0.0.0 192.168.10.1
stelnet server enable
ssh user admin authentication-type password
user-interface vty 0 4
 authentication-mode aaa
 protocol inbound ssh
quit

VLAN规划与端口类型配置

VLAN隔离广播域，端口类型决定流量转发路径，这是交换机的核心价值所在。

• Access口连接终端设备，只属于一个VLAN
• Trunk口连接交换机之间或交换机与路由器，放行多个VLAN流量时必须明确允许列表
• Hybrid口兼顾两者特性，灵活但复杂度高，不建议在核心层使用

实际运维中最常见的故障是Trunk口未放行对应VLAN，导致跨交换机同网段不通，配置后立即用display port vlan命令验证。

vlan batch 10 20 30
interface gigabitethernet 0/0/1
 port link-type access
 port default vlan 10
quit
interface gigabitethernet 0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
quit

STP与环路防护：网络稳定的底线

没有环路防护的交换机网络，等于在雷区奔跑，STP（生成树协议）是防环的基础,但默认配置往往不够安全。

• 启用STP/RSTP，RSTP比STP收敛更快，是现代网络的首选
• 配置根桥和备份根桥，防止拓扑震荡时根桥漂移
• 开启BPDU保护，接入端口收到BPDU时应立即关闭，防止非法交换机接入造成环路

  

• 开启环路检测功能，实时感知异常

stp mode rstp
stp root primary
stp bpdu-protection
interface gigabitethernet 0/0/1
 stp edged-port enable
 stp bpdu-filter enable
quit

端口安全与访问控制：守住接入层

接入层是安全短板，端口安全是代价最低的防线。

• 配置端口最大MAC地址学习数量，防止MAC泛洪攻击
• 配置静态MAC绑定，关键终端（服务器、打印机）固定端口
• 配置ACL控制特定VLAN之间或特定IP的互访权限，最小权限原则是ACL设计的唯一标准

interface gigabitethernet 0/0/2
 port-security enable
 port-security max-mac-num 5
 port-security mac-address sticky
quit
acl number 3000
 rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
quit

配置保存与文档管理：容易被忽视的最后一环

配置不保存，重启即归零，这是新手最常见的事故，完成所有配置后，务必执行save命令,并导出配置文件备份。

建议每次变更后都导出配置，按日期命名存档，结合自动化运维工具定期备份,避免设备故障后配置丢失导致业务长时间中断。

save
y

酷番云经验案例：混合云场景下的交换机配置实践

某制造企业部署酷番云混合云后，内网交换机需与云上VPC打通，我们在核心交换机配置了与云网关对接的VLAN和静态路由，同时利用酷番云控制台的网络诊断工具验证云内与本地互通性。过程中发现本地Trunk口允许VLAN列表遗漏了新业务VLAN，导致云上资源无法访问；修正后结合云监控确认流量正常，整体割接仅用20分钟。 核心经验是：本地配置变更前，先在云侧确认路由和策略组规则，再调整交换机，避免来回排查浪费时间。

相关问答

问：新买回来的交换机最需要改哪些默认配置？

答：必须先改三处：一是管理密码，默认密码如admin/Admin@123极易被破解，要改成复杂强密码；二是开启SSH并关闭Telnet，防止明文泄露；三是配置NTP时间同步,否则日志时间错乱会导致故障定位困难。

问：公司网络经常出现广播风暴，应该从哪里排查？

答：优先检查二层环路，登录核心交换机执行display loop-detect或查看STP状态，确认所有端口是否处于forwarding状态，是否有端口频繁up/down，再看接入层是否有非法的小交换机接入，这类设备最容易形成环路。建议在所有接入端口开启BPDU保护和环路检测，这是防止广播风暴最有效的手段。