交换机配置命令有哪些？华为交换机基础配置命令详解

交换机的配置命令是网络运维工程师必须熟练掌握的核心技能，掌握标准化的配置逻辑与安全加固方案，远比死记硬背命令更重要，本文基于真实生产环境经验，系统梳理交换机配置的完整知识框架，从基础接入到安全防护，帮助你构建高效、稳定、可扩展的企业网络。

配置前的准备与基础命令

设备连接与模式切换

交换机配置通常通过Console线或SSH远程连接完成。首次配置必须使用Console口，因为新设备未开启远程管理功能，连接后进入命令行界面,需理解三种基本模式：

• 用户模式（Switch>） ：仅支持查看操作，无法修改配置
• 特权模式（Switch#） ：输入enable进入，可查看全部配置与调试信息
• 全局配置模式（Switch(config)#） ：输入configure terminal进入，所有系统级修改在此完成

基础配置必备命令

Switch> enable
Switch# configure terminal
Switch(config)# hostname CLOUD-FAN-01        # 修改设备名称
Switch(config)# enable password Cipher@2024   # 设置特权密码
Switch(config)# service password-encryption   # 加密所有明文密码
Switch(config)# banner motd #Unauthorized Access Prohibited#  # 登录警告

经验案例：酷番云某金融客户曾因未设置登录警告横幅，在安全审计中被开具整改通知，我们在交付时默认启用banner motd，并建议客户在密码策略中强制使用service password-encryption,有效规避了此类合规风险。

VLAN配置与接口管理

VLAN的创建与端口划分

VLAN（虚拟局域网）是交换机最核心的功能之一，合理规划VLAN能显著提升网络安全性并减少广播域冲突,生产环境建议按业务部门或安全级别划分VLAN：

Switch(config)# vlan 10
Switch(config-vlan)# name Sales
Switch(config-vlan)# exit
Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10

Trunk链路配置

跨交换机传输多VLAN流量时必须配置Trunk。注意Trunk接口需同时配置允许VLAN列表,避免安全风险：

Switch(config)# interface gigabitEthernet 0/24
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20,30

经验案例：酷番云托管客户曾反映跨楼层网络频繁中断，排查发现是Trunk链路未配置native vlan导致VLAN 1流量异常，我们协助客户将native vlan修改为专用管理VLAN（如VLAN 999），并在核心侧启用spanning-tree portfast trunk,彻底消除了广播风暴隐患。

三层交换与路由配置

配置SVI接口地址

三层交换机（如华为S5720、思科Catalyst 3560）的VLAN间互通依赖SVI接口配置：

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.254 255.255.255.0
Switch(config-if)# no shutdown
Switch(config)# ip routing   # 开启三层路由功能

静态路由与默认路由

中小型网络通过静态路由实现跨网段通信，配置时注意路由优先级与管理距离：

Switch(config)# ip route 0.0.0.0 0.0.0.0 192.168.1.1
Switch(config)# ip route 172.16.0.0 255.255.0.0 10.10.0.2

网络安全与访问控制

端口安全与MAC绑定

未受控的接入层交换机是网络攻击的高发区,必须部署端口安全机制：

Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# switchport port-security mac-address sticky

ACL访问控制列表

通过ACL限制敏感业务网段的访问权限，建议在网关接口的inbound方向调用：

Switch(config)# access-list 100 deny ip 192.168.10.0 0.0.0.255 10.1.1.0 0.0.0.255
Switch(config)# access-list 100 permit ip any any
Switch(config)# interface vlan 10
Switch(config-if)# ip access-group 100 in

经验案例：酷番云运维团队在为客户构建混合云网络时，发现客户内部办公网段与服务器区通信无任何限制，我们利用ACL策略仅开放特定端口（如TCP 443、3306），同时在华为交换机上配置traffic-filter双向规则，确保勒索病毒无法在横向扩散,该方案已在多个云上客户环境中落地验证。

日常运维与常用排查命令

查看命令与故障定位

• show running-config：查看当前生效配置，排查问题第一命令
• show interface status：查看端口物理状态与错误计数
• show mac-address-table：查看MAC地址表，定位环路或ARP攻击
• show vlan brief：查看VLAN划分与端口对应关系
• show ip route：验证路由表是否符合预期

配置备份与恢复

每完成一次配置变更，请立即备份配置文件,建议将配置文件通过TFTP或FTP上传至远程服务器：

Switch# copy running-config tftp://192.168.1.100/backup.conf
Switch# copy running-config startup-config   # 保存至NVRAM

配置命令的进阶优化策略

高频错误自查清单

• 端口未no shutdown导致接口down
• Trunk链路allowed vlan未包含所需VLAN



• ACL规则顺序错误导致流量被提前拒绝
• 忘记copy running-config startup-config导致重启丢失配置

自动化配置建议

对于超过20台交换机的环境，强烈建议使用Python + Netmiko或Ansible执行批量配置。人工逐台配置的效率低下且易出错，而脚本化配置可确保全网配置一致性,还能快速回滚故障变更。

相关问答模块

交换机配置后为何总是丢包，但接口状态显示正常？

答：这种情况多由VLAN不匹配或Trunk封装不一致导致，首先执行show vlan核对两端交换机VLAN划分是否一致；其次检查Trunk接口的negotiation模式是否为desirable或on；最后排查是否存在物理环路，使用show spanning-tree确认阻塞端口。建议在接入层交换机上启用spanning-tree bpduguard enable,防止非法交换机接入引起二层环路。

如何在不重启交换机的情况下恢复错误的配置？

答：若错误配置已保存至startup-config，可按以下步骤处理：执行copy startup-config running-config可部分恢复；若影响管理面，直接使用reload in 5命令预约重启，留出5分钟时间重新确认配置，对于仅下发未保存的配置，可直接重启或执行configure replace命令回滚至基线配置，日常运维中，每次变更前务必用show archive检查配置归档服务是否开启，华为设备可配置archive configuration自动备份,极为关键。

你在实际运维中遇到过最棘手的交换机配置问题是什么？ 欢迎在评论区分享你的排错经历，我们将在后续文章中为精选留言提供详细的问题分析思路，点击下方收藏,随时查阅这份配置命令速查手册。