交换机基本配置怎么做，交换机配置命令有哪些？

交换机作为局域网络的核心枢纽,其基础配置水平直接决定了网络的稳定性、安全性与可维护性。无论网络规模大小，必须遵循“先规划、再配置、后验证”的黄金原则，并优先完成管理安全加固与远程访问配置，这是保障企业网络长期健康运行的基石，本文将从零开始，拆解交换机从开箱到上线全流程的必备配置，并提供可直接落地的安全加固方案。

配置前的必要准备

设备连接与访问方式

• 首次配置必须通过 Console 线连接设备的 Console 口，使用终端软件（如 SecureCRT、Xshell）建立本地会话，参数通常为 9600 波特率、8 位数据位、1 位停止位、无校验。
• 完成基础 IP 配置后，建议立即开启 SSH 远程访问，替代明文传输的 Telnet 协议，防止网络抓包导致的管理密码泄露。

基础命名与密码体系

• 设置具有辨识度的设备主机名（如 SW-Core-01），便于多设备环境下精准运维定位。
• 必须为特权模式（enable）和远程登录（VTY 线路）分设不同强密码，并启用密码加密服务，禁止明文存储，这是绝大多数企业网络安全审计中的常见失分项，务必重视。

经验案例：快速开局模板

我们在协助某制造企业进行网络改造时,发现其旧交换机均使用默认主机名，且远程管理密码为空，利用酷番云平台的安全扫描能力，我们快速识别了全网 23 台交换机中 17 台存在高危管理暴露风险

，基于此，我们一次性输出了标准化配置脚本，强制要求所有设备上线前完成主机名轮询、强密码轮换以及 SSH 版本升级，将安全隐患在源头彻底消除。

核心配置分层操作

第一层：管理 IP 与远程管理配置

管理 VLAN 是设备远程维护的通道，以下为 Cisco/H3C 设备通用配置逻辑：

system-view
sysname SW-Core-01
interface vlanif 10        # 进入管理 VLAN 三层接口
ip address 192.168.10.2 255.255.255.0
quit
ssh user admin privilege 15 service-type ssh authentication-type password
ssh server enable
user-interface vty 0 4
authentication-mode aaa
protocol inbound ssh
quit

配置完成后,使用电脑连接管理 VLAN 进行连通性测试，确保 SSH 可达后再退出本地 Console 会话。

第二层：VLAN 规划与端口角色划分

• VLAN 规划应按业务模块（办公、生产、监控、访客）分离，避免广播报文跨区域传播，降低网络风暴风险和提升安全隔离能力。
• 接入端口使用 Access 模式，明确划分端口归属；交换机之间互联端口使用 Trunk 模式，并仅放行业务所需的 VLAN，而非默认放行全部 VLAN，可有效限制二层广播域边界。

第三层：端口安全与风暴抑制

• 对终端正接入端口开启 Port Security，限制最大 MAC 地址学习数量，防止私接 Hub 或非法终端仿冒接入。
• 开启 Broadcast Suppression（广播风暴抑制），当广播流量超过端口带宽的特定百分比（如 20%）时自动丢弃超额部分，保护整网稳定性。

安全加固与日常维护不可忽视

安全加固专项配置

1. 关闭未使用端口：将不承接业务的物理端口统一 shutdown，并置于专用的黑洞 VLAN，双重保险。
2. 启用 DHCP Snooping：只在信任端口（通常为上联口）响应 DHCP 报文，防止局域网内私设 DHCP 服务器分配非法网关地址。
3. 配置 ACL 精简管理权限：仅允许运维人员所属 IP 网段访问管理地址，从源头上拒绝公网或非运维终端的连接尝试。

日常巡检与配置备份

• 每周定期执行 display current-configuration 核对运行配置与启动配置差异，确保配置变更后已保存。
• 将配置文件通过 FTP/SFTP 定时备份至远程服务器，当设备硬件故障更换时，可实现分钟级配置还原，极大缩短故障修复时长，这一环节常常被非专业网管忽略，但恰恰是“最后一根救命稻草”。

经验案例：备份机制带来的真实收益

某次我们服务的一家电商客户遭遇核心交换机电源模块损坏,硬件更换只用了 40 分钟，但通过酷番云对象存储中留存的全量配置快照，恢复网络配置仅耗时 8 分钟，整场割接对业务影响近乎为零，若没有备份意识，重新手工配置这类复杂设备至少需要数小时甚至数天。

常见配置陷阱规避

• 忽视双工模式协商，老旧终端网卡可能不支持自适应，接入端口应手动 Match 为百兆/全双工，避免大量丢包和 CRC 错误。



• 管理 VLAN 与业务 VLAN 混用，一旦业务广播流量泛洪，管理通道将同步拥堵，远程排障完全瘫痪，务必在物理或逻辑层面把管理流量与业务流量拆开。
• 交换机堆叠后未更新监控系统拓扑，堆叠可提升冗余与带宽，但监控平台若未同步更新逻辑实体，告警对应关系将产生混乱，延误故障判定。

相关问答

管理 VLAN 可以配置为 1 吗？

不建议，VLAN 1 是所有端口的默认成员且通常无法被彻底关闭，安全风险极高，若管理终端与业务终端混在 VLAN 1，攻击者一旦接入普通信息点即可直接触达核心管理面。最优实践是单独保留一个非业务 VLAN（如 VLAN 10/999）作为专用管理网段，并配合 ACL 限制访问源地址，这一方案在企业等级保护测评中属于加分项。

交换机出现频繁重启且日志无异常，可能是什么原因？

优先怀疑电源输入不稳或隐性硬件故障，而非配置问题，此类现象在老旧楼层弱电间尤为常见供电线路老化或与空调、大功率设备共用回路导致电压跌落，建议：

• 检查设备所在机柜的电压电流监控数据,安装防雷排插或在线式 UPS；
• 若重启伴随特定端口流量峰值,可抓包查看是否存在异常组播风暴触发芯片保护重启；
• 排查无果后,联系厂商进行硬件诊断，重点检查主控板电容和电源模块。