华为路由器交换机配置避坑指南：从登录到ACL的实战命令地图

简介：本资源是一份面向网络工程师、运维人员及华为认证备考者的权威配置速查手册，系统梳理华为路由器与交换机全场景命令体系，覆盖登录权限、接口配置、VLAN划分、路由协议（RIP）、端口镜像、安全加固等核心运维能力。文档以PDF格式单文件呈现，体积精简仅182KB，便于随身查阅与快速检索；内容结构清晰，按功能模块分层组织，从基础命令（如ifconfig、ping、telnet）到设备级操作（如[Quidway]display current-configuration、vlan创建、trunk/PVID设置、STP与链路聚合），再到安全策略（superpassword、user-interface vty、authentication-mode）均有详实示例与说明。已有1803人学习下载，特别适合初学者建立命令认知框架，也适合作为中级工程师日常排错与配置复核的即时参考工具。

1. 这份“史上最全华为路由器交换机配置.pdf”不是速查手册，而是你第一次进机房前该背熟的「操作宪法」

它不教你什么是OSPF、为什么用ACL，也不讲ENSP怎么拖设备——它只干一件事： 把你在现网里90%会敲、会抄、会改、会跪着求人救的命令，按真实操作流归类、标清上下文、写明参数边界、暴露出坑点 。
比如你刚连上一台S5735-S，想给VLAN10配IP并让它能ping通网关，翻文档时不会看到“VLAN接口IP配置”这种标题，而是直接跳到 [Quidway-Vlan-interface10] ip address 192.168.10.1 255.255.255.0 这一行，后面紧跟着三行小字：“⚠️ 必须先 interface Vlanif10 创建逻辑接口；⚠️ 子网掩码必须用点分十进制，不能写/24；⚠️ 若VLAN未在全局创建，此命令静默失败且无提示”。
它面向的是刚通过HCIA-R&S认证、正被派去驻场割接的工程师，或是接手老项目、面对一堆 [Quidway] 开头的配置文件却不敢动的运维新人。它不替代官方文档，但比eNSP帮助文档更敢写“这里会卡住”“那个命令在V200R010C00之后已废弃”“ super password 在AR系列和S系列语法不同”。
如果你正在找“华为三层交换机配置实例”“华为路由器console密码重置步骤”“交换机trunk口允许VLAN列表怎么删干净”，这份PDF就是你打开Wireshark抓包前，该先塞进脑子的那张命令地图。

2. 从零启动：登录、权限、基础网络命令的真实执行链

2.1 登录与用户体系：root不是万能钥匙，super password才是命门

华为设备（尤其早期S系列交换机和AR系列路由器）的本地登录体系分三层：普通用户 → 特权用户（super）→ 配置用户（config）。 PCAlogin:root 和 password:linux 是典型出厂默认组合，但 仅适用于Console直连或Telnet未启用认证时的初始访问 。一旦执行过 user-interface vty 0 4 并开启认证，root就失效了。

真正控制配置入口的是 super password —— 它不是登录密码，而是进入特权模式（ [Quidway] 提示符）的密钥。常见误操作是：

• 用Telnet登录后输对用户名密码，却卡在 > 提示符下，敲 super 提示“Error: Wrong password.”
• 原因： super password 未设置，或设置时用了 cipher 加密方式（如 super password cipher %$#%$# ），导致后续无法明文校验。

✅ 正确做法（以S5700为例）：

<Quidway> system-view
[Quidway] super password simple Huawei@123  # 强制用simple明文存储，便于排错
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] authentication-mode password
[Quidway-ui-vty0-4] set authentication-mode password simple Admin@2024
[Quidway-ui-vty0-4] user privilege level 3
[Quidway-ui-vty0-4] quit
[Quidway] save

提示 ： user privilege level 3 是关键阈值——只有level 3及以上才能执行 system-view 进入配置模式。level 1只能 display ，level 2可 ping/telnet ，但无法修改配置。别信网上说“level 15才是最高”，华为旧版设备最大只支持level 15，但实际有效配置权限从level 3开始。

2.2 网络层基础命令：ifconfig、route、ping 的华为式变形

华为设备不认Linux的 ifconfig eth0 192.168.1.1/24 ，它的接口IP必须绑定到逻辑接口（Vlanif或LoopBack），物理口只负责转发。所以 ifconfig 在华为设备上根本不存在——这是文档里最危险的误导点。

真实链路是：

1. 先创建VLAN（ vlan 10 ）
2. 再创建Vlanif逻辑接口（ interface Vlanif10 ）
3. 最后配IP（ ip address 192.168.10.1 255.255.255.0 ）

而 route 命令在华为中对应 ip route-static ，且语法严格：

[Quidway] ip route-static 0.0.0.0 0.0.0.0 10.1.1.1    # 默认路由，下一跳必须是直连网段IP
[Quidway] ip route-static 172.16.0.0 255.240.0.0 GigabitEthernet0/0/1  # 指定出接口，适用于末节网络

⚠️ 注意： 0.0.0.0 0.0.0.0 后面不能跟 GigabitEthernet0/0/1 （除非该接口启用了代理ARP），否则路由表不生效。

ping 命令看似简单，但实战中常因源地址选错导致失败：

<Quidway> ping -a 192.168.10.1 -c 4 192.168.20.1   # -a 指定源IP，避免从管理口发包
<Quidway> ping -i Vlanif10 -c 4 192.168.20.1        # -i 指定源接口，更精准

参数说明 ： -c 是次数（默认5次）， -s 是包大小（默认100字节）， -t 是超时（默认2秒）。若ping不通，先 display ip interface brief 确认Vlanif状态为UP，再 display arp 查MAC是否学习到。

2.3 Telnet远程管理：vty配置的四个致命细节

文档里 user-interface vty 0 4 看似标准，但现网踩坑集中在：

• vty范围错误 ：新设备（V200R012+）默认vty 0 15，但旧设备（如S3026）只支持vty 0 4，超出范围会报错 Invalid parameter ；
• 认证模式冲突 ： authentication-mode password 和 authentication-mode aaa 不能共存，后者需先配置AAA域；
• 协议绑定缺失 ：未执行 protocol inbound telnet ，导致SSH连接正常但Telnet被拒；
• 空闲超时陷阱 ： idle-timeout 10 0 （10分钟）若设为 0 0 ，会永久保持会话，耗尽vty资源。

✅ 安全加固模板（AR2200适用）：

[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] authentication-mode aaa
[Quidway-ui-vty0-4] protocol inbound telnet ssh  # 同时支持两种协议
[Quidway-ui-vty0-4] idle-timeout 5 0             # 5分钟无操作自动断开
[Quidway-ui-vty0-4] screen-length 0              # 关闭分页，避免show长配置时卡住
[Quidway-ui-vty0-4] quit
[Quidway] aaa
[Quidway-aaa] local-user admin password cipher Huawei@2024
[Quidway-aaa] local-user admin service-type telnet ssh
[Quidway-aaa] local-user admin privilege level 15
[Quidway-aaa] quit

3. 接口与VLAN：从物理口到逻辑隔离的完整配置闭环

3.1 物理接口基础：duplex、speed、shutdown 的隐性依赖

华为交换机端口（如 Ethernet0/1 ）的 duplex 和 speed 必须与对端设备 强制匹配 ，auto-negotiation 在跨厂商场景中极易失败。常见现象：

• 两端都设 auto ，但一端是Cisco、一端是华为，协商后速率100M半双工，吞吐骤降；
• 华为侧设 speed 100 ，对端设 auto ，华为端口状态为 DOWN （日志显示 link down due to speed mismatch ）。

✅ 正确姿势（S5720接入层）：

[Quidway] interface GigabitEthernet0/0/1
[Quidway-GigabitEthernet0/0/1] shutdown                    # 先关闭，避免配置中产生环路
[Quidway-GigabitEthernet0/0/1] speed 1000                  # 强制千兆
[Quidway-GigabitEthernet0/0/1] duplex full                # 强制全双工
[Quidway-GigabitEthernet0/0/1] port link-type access      # 先定模式，再加VLAN
[Quidway-GigabitEthernet0/0/1] port default vlan 10        # access口只能属于一个VLAN
[Quidway-GigabitEthernet0/0/1] undo shutdown               # 最后激活

注意 ： port link-type 必须在 shutdown 状态下修改，否则提示 Error: The port is in up state, cannot change port link-type.

3.2 VLAN核心操作：access/trunk/hybrid 三模式的本质区别

文档里 port link-type trunk 和 port trunk permit vlan all 是标配，但 trunk口默认PVID是1，且不转发untagged帧 ——这是VLAN间通信失败的头号原因。

模式	典型场景	帧处理规则	关键命令
access	PC接入	收到untagged帧打PVID标签；发帧剥离标签	port default vlan 10
trunk	交换机互联	收到tagged帧按VLAN转发；untagged帧丢弃	port trunk pvid vlan 10 + port trunk allow-pass vlan 10 20
hybrid	服务器多网段接入	可混合处理tagged/untagged帧	port hybrid pvid vlan 10 + port hybrid untagged vlan 10

✅ 实战案例：让一台服务器同时接入VLAN10（业务）和VLAN20（管理），且两个网段都不打标签：

[Quidway] interface GigabitEthernet0/0/24
[Quidway-GigabitEthernet0/0/24] port link-type hybrid
[Quidway-GigabitEthernet0/0/24] port hybrid pvid vlan 10          # PVID设为业务VLAN
[Quidway-GigabitEthernet0/0/24] port hybrid untagged vlan 10 20   # 两个VLAN发包都不带标签
[Quidway-GigabitEthernet0/0/24] port hybrid tagged vlan 30         # 第三个VLAN需带标签

血泪经验 ： port hybrid untagged 不等于“不处理标签”，而是指 从此口发出的、属于指定VLAN的帧，剥离802.1Q标签 。服务器网卡需配置为Access模式（不识别VLAN标签），否则收不到包。

3.3 VLAN间路由：三层交换机的Vlanif接口生死线

S5700/S6700等三层交换机实现VLAN间互通，靠的是 interface VlanifX 的IP地址作为网关。但新手常犯的错是：

• 创建了Vlanif10，配了IP，但忘了 vlan 10 命令创建VLAN本身；
• Vlanif接口状态为 DOWN ，因为没把物理口加入该VLAN；
• 多个Vlanif配了同一网段IP，导致ARP冲突。

✅ 完整流程（S5735-S）：

[Quidway] vlan 10                        # 先建VLAN
[Quidway] vlan 20
[Quidway] interface Vlanif10              # 再建逻辑接口
[Quidway-Vlanif10] ip address 192.168.10.254 24
[Quidway-Vlanif10] quit
[Quidway] interface Vlanif20
[Quidway-Vlanif20] ip address 192.168.20.254 24
[Quidway-Vlanif20] quit
[Quidway] interface GigabitEthernet0/0/1
[Quidway-GigabitEthernet0/0/1] port link-type access
[Quidway-GigabitEthernet0/0/1] port default vlan 10   # 物理口加入VLAN10
[Quidway-GigabitEthernet0/0/1] quit
[Quidway] interface GigabitEthernet0/0/2
[Quidway-GigabitEthernet0/0/2] port link-type access
[Quidway-GigabitEthernet0/0/2] port default vlan 20   # 物理口加入VLAN20

验证： display ip interface brief 确认 Vlanif10/Vlanif20 状态为UP； display vlan 确认端口成员正确。

4. 动态路由与ACL：RIP/OSPF基础配置与访问控制硬核避坑

4.1 RIP配置：版本选择、network宣告与水平分割的实操陷阱

文档里 rip 和 network 192.168.10.0 看似简单，但RIP v1/v2差异巨大：

• v1不支持VLSM ，宣告 network 192.168.10.0 会自动汇总为 192.168.0.0/16 ；
• v2必须显式开启 ： rip version 2 multicast ，否则仍走v1广播；
• network命令宣告的是主类网络 ，不是子网， network 192.168.10.0 和 network 192.168.10.128 效果相同。

✅ 安全配置（AR2200双出口）：

[Quidway] rip 1
[Quidway-rip-1] version 2
[Quidway-rip-1] network 192.168.10.0     # 宣告业务网段
[Quidway-rip-1] network 10.1.1.0         # 宣告WAN口直连网段
[Quidway-rip-1] undo summary              # 关闭自动汇总，支持VLSM
[Quidway-rip-1] default-route originate  # 向内网下发默认路由
[Quidway-rip-1] quit
[Quidway] interface GigabitEthernet0/0/1
[Quidway-GigabitEthernet0/0/1] rip split-horizon  # 启用水平分割，防环

排查重点 ：若邻居不建立， display rip 查 Peer 列是否为空； debugging rip packet 抓包看是否收到Request/Response。

4.2 OSPF基础：router-id、area、network的不可逆设定

OSPF比RIP复杂，但核心就三点：

• router-id 必须全局唯一，且 一旦进程启动就不能修改 （改了要 reset ospf all 清邻接）；
• area 必须从 0.0.0.0 （骨干区域）开始，非骨干区域必须与Area 0直连；
• network 命令的反掩码（wildcard）不是子网掩码， 0.0.0.255 表示匹配最后8位。

✅ 标准配置（S5735-S核心层）：

[Quidway] ospf 1 router-id 10.0.0.1      # router-id设为环回口IP，稳定
[Quidway-ospf-1] area 0.0.0.0            # 骨干区域
[Quidway-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255   # 匹配192.168.10.x
[Quidway-ospf-1-area-0.0.0.0] network 10.0.0.1 0.0.0.0          # 环回口精确匹配
[Quidway-ospf-1] silent-interface GigabitEthernet0/0/24  # 关闭接入口OSPF，防泛洪

注意 ： silent-interface 比 filter-policy 更彻底——它不发Hello包，不建邻接，不学路由，纯静音。

4.3 ACL配置：标准/扩展列表的匹配顺序与应用方向

华为ACL匹配是 自上而下顺序执行 ，一旦匹配即停止， rule 5 permit 和 rule 10 deny 的序号决定优先级。文档里 acl 10 是标准ACL（仅源IP）， acl 101 是扩展ACL（源/目的IP+端口），但关键在 应用位置 ：

• firewall packet-filter 101 inbound ：在入方向过滤，影响本设备接收；
• firewall packet-filter 101 outbound ：在出方向过滤，影响本设备转发。

✅ 实战：只允许192.168.10.0/24访问Web服务器（192.168.20.100:80），拒绝其他所有：

[Quidway] acl number 3001
[Quidway-acl-adv-3001] rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.100 0 destination-port eq 80
[Quidway-acl-adv-3001] rule 10 deny ip source any destination any
[Quidway-acl-adv-3001] quit
[Quidway] interface GigabitEthernet0/0/1   # 连Web服务器的口
[Quidway-GigabitEthernet0/0/1] firewall packet-filter 3001 inbound

避坑 ： destination-port eq 80 中 eq 是关键字，不能写成 = ； 0.0.0.255 是反掩码，不是子网掩码。

5. NAT与安全：Easy IP、静态NAT、防火墙策略的落地校验

5.1 Easy IP：出口NAT的极简方案与地址池失效真相

nat outbound 101 interface 是最常用的出口NAT，但文档没说清：

• ACL 101 必须 permit 内网IP， deny 语句会阻止匹配；
• interface 指定的是 出接口 ，不是物理口名，而是 GigabitEthernet0/0/1 这种；
• 若出接口IP变更（如DHCP获取），Easy IP自动更新，无需重配。

✅ 验证步骤：

1. display nat session 查NAT会话是否存在；
2. display acl 101 确认rule匹配计数器递增；
3. display firewall session table 看连接跟踪状态。

若 display nat session 为空，检查：

• 出接口是否UP（ display ip interface brief ）；
• ACL是否 permit 了源IP（ display acl 101 显示 matched 0 ）；
• 防火墙是否启用（ firewall enable 缺失则NAT不生效）。

5.2 静态NAT：内部服务器发布的关键参数

nat server global 202.38.160.1 inside 192.168.10.100 ftp tcp 这条命令，文档漏了三个致命参数：

• global 地址必须是 设备出接口的IP或同网段地址 ，否则无法响应；
• inside 地址必须是 真实服务器IP ，且服务器网关指向华为设备；
• ftp 是服务名，华为内置映射21端口，若用 21 则需写 tcp destination-port 21 。

✅ 安全加固（AR2200发布Web服务器）：

[Quidway] nat server protocol tcp global 202.38.160.100 www inside 192.168.10.100 80
[Quidway] acl number 3002
[Quidway-acl-adv-3002] rule 5 permit tcp destination 202.38.160.100 0 destination-port eq 80
[Quidway-acl-adv-3002] rule 10 deny ip destination any
[Quidway-acl-adv-3002] quit
[Quidway] interface GigabitEthernet0/0/1
[Quidway-GigabitEthernet0/0/1] firewall packet-filter 3002 inbound

注意 ：静态NAT不改变源IP，只转换目的IP，所以ACL必须针对 global 地址过滤。

5.3 防火墙基础：default-permit与packet-filter的协同逻辑

firewall default permit 是默认放行， firewall default deny 是默认拒绝。但 ACL应用后，default策略仅对未匹配ACL的流量生效 。

常见错误配置：

[Quidway] firewall default deny
[Quidway] acl 2001
[Quidway-acl-basic-2001] rule 5 permit source 192.168.10.0 0.0.0.255
[Quidway-acl-basic-2001] quit
[Quidway] interface GigabitEthernet0/0/1
[Quidway-GigabitEthernet0/0/1] firewall packet-filter 2001 inbound

结果：192.168.10.0/24能通，其他全拒——这符合预期。但若删掉 firewall packet-filter ， default deny 依然生效，所有流量被拒。

✅ 正确理解：

• firewall default 设定 兜底策略 ；
• firewall packet-filter 设定 显式策略 ；
• 两者叠加，显式策略优先生效。

6. 避坑与排查：华为设备配置中最常翻车的5个现场问题

6.1 现象： display current-configuration 看不到刚配的Vlanif IP

原因 ：Vlanif接口未创建，或创建后未执行 quit 返回系统视图，配置停留在接口子模式下未提交。
解决 ：确认每条配置后敲 quit ，再 display current-configuration ；若仍不见， display saved-configuration 对比启动配置是否保存。

6.2 现象：Trunk口 display port vlan 显示PVID=1，但 display vlan 显示允许VLAN包含10,20

原因 ： port trunk pvid vlan 10 未执行，PVID仍为默认1，导致untagged帧被划入VLAN1。
解决 ： interface GigabitEthernet0/0/1 下执行 port trunk pvid vlan 10 ，再 display port vlan 验证。

6.3 现象：RIP邻居始终 Down ， debugging rip packet 显示收不到Hello

原因 ：两端RIP版本不一致（一端v1一端v2），或network宣告网段不包含直连接口IP。
解决 ： display rip 查 Version 字段； display ip interface brief 确认直连网段是否在 network 范围内。

6.4 现象：ACL应用后， display acl 计数器不增长

原因 ：ACL应用方向错误（inbound/outbound），或应用在错误接口（应在流量入口而非出口）。
解决 ： display firewall session table 看连接是否建立； display acl 确认rule序号和匹配数；用 tracert 定位流量路径。

6.5 现象：NAT后内网PC能上网，但无法访问DMZ区服务器

原因 ： nat outbound 仅转换源IP，目的IP仍是私有地址，路由不可达。
解决 ：在内网PC到DMZ的路径上，添加静态路由 ip route-static 192.168.20.0 24 192.168.10.254 （指向三层交换机Vlanif10），或启用 nat server 反向映射。

7. 进阶验证：用三条命令完成一次配置可信度审计

7.1 验证配置完整性： display device + display version 锁定基线

华为设备型号（如 S5735-S24P ）、软件版本（ V200R019C00 ）、BootROM版本共同构成配置兼容性基线。文档中命令在不同版本可能失效：

• stp root primary 在V200R010C00后改为 stp root primary priority 0 ；
• port trunk permit vlan all 在V200R012C00后推荐用 port trunk allow-pass vlan all 。

✅ 执行：

<Quidway> display device          # 查型号和槽位
<Quidway> display version         # 查VRP版本
<Quidway> display bootrom         # 查BootROM，升级前必查

技巧 ：将输出保存为 device_baseline.txt ，每次变更前对比，避免版本越界。

7.2 验证接口连通性： ping 的四层穿透法

单纯 ping 192.168.10.1 只能测三层，真实故障常卡在二层。用四步法穿透：

步骤	命令	目标	失败含义
1. 物理层	display transceiver interface GigabitEthernet0/0/1	光模块收发光功率	光衰超标、光纤弯折
2. 数据链路层	display mac-address interface GigabitEthernet0/0/1	MAC地址学习	STP阻塞、端口down
3. 网络层	ping -a 192.168.10.254 -c 4 192.168.10.100	源IP指定	ARP失败、网关未配
4. 传输层	telnet 192.168.10.100 23	TCP端口连通	防火墙拦截、服务未启

7.3 验证ACL/NAT效果： display firewall session table verbose 的深度解读

这条命令比 display nat session 信息更全，能定位策略失效点：

<Quidway> display firewall session table verbose
Session ID: 1234567890
Protocol: TCP (1)
Zone: trust --> untrust
TTL: 00:10:00
Left: 00:09:58
Interface: GigabitEthernet0/0/1
NextHop: 10.1.1.1
State: TCP_ESTABLISHED
Application: HTTP
Source: 192.168.10.100:52345 --> 202.38.160.100:80
Destination: 192.168.10.100:52345 <-- 202.38.160.100:80
NAT: 192.168.10.100:52345 --> 202.38.160.100:52345

关键字段：

• Zone ：确认流量方向（trust→untrust）；
• NAT ：显示转换前后IP:Port，验证NAT是否生效；
• Application ：识别应用层协议，判断ALG是否触发；
• State ：TCP_ESTABLISHED表示三次握手完成，若为SYN_SENT则路由或防火墙拦截。

从那以后我每次做完配置变更，都强制走一遍这三步： display version 锁基线 → ping 四层穿透 → display firewall session table verbose 抓会话。不是为了炫技，而是因为某次在客户机房，就靠 display transceiver 发现光模块老化，避免了割接后半夜被叫醒。希望帮到你。

本文还有配套的精品资源，点击获取