交换机怎么配置，配置过程中需要注意什么？

交换机配置是网络稳定性的基石，错误配置比硬件故障更致命。 无论是企业办公网还是数据中心，交换机承担着数据转发、VLAN隔离、安全控制等核心职责，一套规范的配置流程，应当遵循“规划先行、最小权限、冗余备份”三大原则，本文从基础登录到高级安全策略，给出可直接落地的配置方案，并结合酷番云云服务器场景,提供实战经验。

配置前的必要准备

物理连接与终端访问是第一步，使用Console线连接交换机Console口，通过SecureCRT或Xshell建立串口会话，参数通常为9600波特率、8数据位、1停止位、无校验，新交换机首次配置必须通过Console口,后续才可开启Telnet或SSH远程管理。

规划IP地址与VLAN划分，建议将管理VLAN独立出来，例如使用VLAN 10作为管理网段，业务VLAN 20、30按部门或功能拆分。所有网段预留10%的地址池,避免未来扩容时重新规划。

基础配置命令详解

以下以华为S5700系列为例,其他厂商命令逻辑类似。

设备命名与远程管理

system-view
sysname Core-SW01
interface vlanif 10
ip address 192.168.10.2 255.255.255.0
quit
user-interface vty 0 4
authentication-mode aaa
protocol inbound ssh
quit
aaa
local-user admin password cipher Admin@2024
local-user admin privilege level 15
local-user admin service-type ssh

关键点：必须禁用Telnet，仅开放SSH,防止明文密码泄露。

VLAN与接口类型配置

Access接口连接终端，Trunk接口连接交换机间链路：

vlan batch 20 30
interface gigabitethernet 0/0/1
port link-type access
port default vlan 20
quit
interface gigabitethernet 0/0/24
port link-type trunk
port trunk allow-pass vlan all

建议Trunk只放行必要VLAN，不要使用allow-pass vlan all,避免广播风暴跨VLAN传播。

生成树与环路防护

在企业网络中，环路是导致网络瘫痪的第一杀手，启用RSTP（快速生成树）,并配置根桥：

stp mode rstp
stp root primary

同时开启BPDU保护,防止非法交换机接入：

interface gigabitethernet 0/0/1
stp edged-port enable
stp bpdu-protection

安全加固：访问控制与风暴抑制

仅配置VLAN和IP远远不够,必须从边界和接入层双重防护。

端口安全

限制接入端口MAC地址学习数量,防止私接设备：

interface gigabitethernet 0/0/1
port-security enable
port-security max-mac-num 2
port-security violation protect

风暴抑制

对广播、组播、未知单播设置阈值：

interface gigabitethernet 0/0/1
broadcast-suppression 20
multicast-suppression 30
unicast-suppression 40

基于ACL的业务隔离

在VLANIF接口下发高级ACL,限制敏感网段的互访：

acl 3001
rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255
rule 10 permit ip
interface vlanif 20
traffic-filter inbound acl 3001

采用“默认拒绝，显式放行”的ACL策略,比默认放行更安全可靠。

配置保存与备份

每次配置变更后必须立即保存：

save
y

同时定期备份配置文件到TFTP/FTP服务器：

backup configuration to tftp://192.168.10.10/backup-core-sw01.cfg

建议将备份文件加密存储，因为配置文本中包含IP、VLAN、ACL等敏感信息，若使用云服务器作为备份端，建议搭配酷番云对象存储的私有读写权限,防止配置泄露。

酷番云经验案例：跨地域交换机远程运维

某客户在华东、华南两个机房各部署一台核心交换机，日常需远程配置，最初通过公网IP直接SSH访问，常遭遇暴力破解和扫描。我们借助酷番云一台2核4G的云服务器作为跳板机,部署如下方案：

1. 跳板机只开放内网IP，绑定弹性公网IP，并在云安全组中设置仅允许客户办公网段IP访问22端口。
2. 在交换机上配置只能SSH到跳板机内网IP,禁止来自其他来源的连接。
3. 使用酷番云的快照功能定期备份跳板机系统，每次配置升级前手动创建快照,出现误操作可在5分钟内回滚。
4. 将交换机的配置备份文件通过SFTP上传至云服务器的加密目录中，再利用酷番云服务器与对象存储的内网传输能力，每日自动同步至异地存储桶，实现配置容灾。

这套方案的成本低于专线，且将交换机管理面与业务面隔离。核心思路是：交换机本身不做公网暴露，管控流量全部走加密隧道和跳板机。

常见故障排查思路

• VLAN间无法通信

  

  ：检查VLANIF接口是否配置IP、ACL是否误拦截、交换机路由表是否完整。

• Trunk链路DOWN导致业务中断：使用display trunk port和display stp brief确认VLAN和端口状态。
• 高CPU占用：优先查看广播流量和STP拓扑变化，用display cpu-usage和display mac-address诊断。

相关问答

问题1：交换机配置后必须保存吗？不保存会有什么后果？

必须保存，交换机运行配置存放在内存中，一旦断电或重启，所有未保存的配置会全部丢失，执行save后，配置才会写入Flash的配置文件，对于生产环境，建议每次修改后立即保存，同时保留历史版本,避免变更不可逆。

问题2：交换机配置和云服务器配置有什么本质区别？

交换机配置关注二层转发、VLAN隔离、STP环路防护、物理端口状态，属于网络基础设施层；云服务器配置关注操作系统、应用服务、安全组规则，属于计算与业务层，但两者紧密关联：交换机的VLAN和ACL往往需要配合云服务器安全组实现统一策略，当云服务器托管在酷番云时，其安全组规则应与交换机ACL逻辑对齐，避免出现“交换机放行但安全组拒绝”的矛盾状况。

互动引导

你在实际配置交换机时遇到过哪些“坑”？比如VLAN间路由不通、Trunk接口丢包，还是SSH连接被拒？欢迎在评论区分享你的案例，也欢迎对本文的配置方案提出改进建议，如果你有更独特的网络架构设计,我们一起讨论。