适用设备：华为S5300、S5700、S5720全系二层交换机完整
完整包含：设备初始化、时间运维、本地密码、SSH 远程加密管理、VLAN 划分、管理 IP、Access 接入端口、Trunk 上联端口、环路防护、安全加固、上线查验、配置保存
一、基础系统初始化
|--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| <Huawei> system-view # 进入系统视图 Huawei sysname Core-L3-SW # 修改设备名称为核心三层交换机 Core-L3-SW undo info-center enable # 关闭日志弹窗刷屏，优化配置操作 Core-L3-SW clock timezone Beijing add 8 # 设置时区为东八区北京时间 Core-L3-SW ntp server 114.114.114.114 # 配置公共NTP服务器，自动同步设备时间 |
二、Console本地控制台安全加固
|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW user-interface console 0 # 进入本地Console管理口视图 Core-L3-SW-ui-console0 authentication-mode password # 开启密码认证模式 Core-L3-SW-ui-console0 set password irreversible-cipher Admin@2026 # 设置加密本地登录密码 Core-L3-SW-ui-console0 idle-timeout 3 # 3分钟无操作自动退出终端 Core-L3-SW-ui-console0 quit # 退出接口视图 |
三、AAA账号 + SSH完整远程安全配置
|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW local-user admin password irreversible-cipher Admin@2026 # 创建最高权限管理员账号 Core-L3-SW local-user admin privilege level 15 # 配置账号 15 级最高权限 Core-L3-SW local-user admin service-type ssh terminal # 允许 SSH 远程、本地终端登录 Core-L3-SW ssh server enable # 全局开启 SSH 加密远程服务 Core-L3-SW ssh server encryption-algorithm aes-256 # 启用 AES256 高强度加密 Core-L3-SW ssh server hmac-algorithm sha2-256 # 启用 SHA256 数据校验防篡改 Core-L3-SW user-interface vty 0 15 # 进入所有远程 VTY 虚拟终端 Core-L3-SW-ui-vty0-15 authentication-mode aaa # 远程登录采用 AAA 账号认证 Core-L3-SW-ui-vty0-15 protocol inbound ssh # 仅允许 SSH，彻底禁用明文 Telnet Core-L3-SW-ui-vty0-15 idle-timeout 5 # 远程 5 分钟无操作自动下线 |
四、 配置管理 IP 地址（远程登录必备）
|--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW interface Vlanif 1 # 进入管理 VLAN 接口 Core-L3-SW-Vlanif1 ip address 192.168.1.2 255.255.255.0 # 配置交换机远程管理 IP Core-L3-SW-Vlanif1 description MGMT-VLANIF Core-L3-SW-Vlanif1 quit |
五 、批量创建业务VLAN
|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW vlan batch 10 20 30 # 批量创建 VLAN10 办公、VLAN20 监控、VLAN30 访客，实现业务隔离 Core-L3-SW vlan 10 Core-L3-SW-vlan10 description Office-VLAN Core-L3-SW-vlan10 quit Core-L3-SW vlan 20 Core-L3-SW-vlan20 description Camera-VLAN Core-L3-SW-vlan20 quit Core-L3-SW vlan 30 Core-L3-SW-vlan30 description Guest-VLAN |
六、Access接入端口配置（接电脑、摄像头、终端）
|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW interface GigabitEthernet 0/0/1 # 进入接入端口 0/0/1 Core-L3-SW-GigabitEthernet0/0/1 port link-type access # 配置端口为终端接入模式 Core-L3-SW-GigabitEthernet0/0/1 port default vlan 10 # 划分至办公 VLAN10 Core-L3-SW-GigabitEthernet0/0/1 stp edged-port enable # 配置边缘端口，加快终端上线 Core-L3-SW-GigabitEthernet0/0/1 undo shutdown # 开启端口 Core-L3-SW-GigabitEthernet0/0/1 quit Core-L3-SW interface GigabitEthernet 0/0/2 # 进入接入端口 0/0/2 Core-L3-SW-GigabitEthernet0/0/2 port link-type access # 配置端口为终端接入模式 Core-L3-SW-GigabitEthernet0/0/2 port default vlan 20 # 划分至监控 VLAN20 Core-L3-SW-GigabitEthernet0/0/2 stp edged-port enable Core-L3-SW-GigabitEthernet0/0/2 undo shutdown # 开启端口 Core-L3-SW-GigabitEthernet0/0/2 quit Core-L3-SW interface GigabitEthernet 0/0/3 # 进入接入端口 0/0/3 Core-L3-SW-GigabitEthernet0/0/3 port link-type access # 配置端口为终端接入模式 Core-L3-SW-GigabitEthernet0/0/3 port default vlan 30 # 划分至访客 VLAN30 Core-L3-SW-GigabitEthernet0/0/3 stp edged-port enable Core-L3-SW-GigabitEthernet0/0/3 undo shutdown # 开启端口 |
七、Trunk上联端口配置（对接路由器/上级交换机）
|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW interface GigabitEthernet 0/0/24 # 进入上联端口 0/0/24 Core-L3-SW-GigabitEthernet0/0/24 port link-type trunk # 设置端口为 Trunk 中继模式 Core-L3-SW-GigabitEthernet0/0/24 port trunk allow-pass vlan 10 20 30 # 放行所有业务 VLAN 标签流量 Core-L3-SW-GigabitEthernet0/0/24 port trunk pvid vlan 1 # 设置 Trunk 默认 PVID Core-L3-SW-GigabitEthernet0/0/24 description To-Core-SW # 上联端口描述 Core-L3-SW-GigabitEthernet0/0/24 undo shutdown # 启用上联端口 |
八、全网路由配置（上网核心）
|-------------------------------------------------------------------------------------|
| Core-L3-SW ip route-static 0.0.0.0 0.0.0.0 192.168.1.1 # 配置默认路由，所有外网流量指向路由器内网网关 |
九、全局安全加固 + 防环路防护（企业等保必配）
|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW stp enable # 开启生成树协议，防止二层环路、广播风暴 Core-L3-SW stp mode rstp # 配置快速生成树，加快收敛 Core-L3-SW undo telnet server enable # 关闭明文 Telnet，杜绝账号明文泄露 Core-L3-SW undo http server enable # 关闭不安全 WEB 管理界面 Core-L3-SW undo snmp agent enable # 关闭 SNMP 服务，防止设备信息泄露 Core-L3-SW arp anti-attack valid-check enable # 开启 ARP 校验，防御内网 ARP 欺骗攻击 |
十、上线排查命令 + 永久保存配置
|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Core-L3-SW display current-configuration # 查看设备完整配置 Core-L3-SW display vlan brief # 查看 VLAN 与端口绑定状态 Core-L3-SW display ip interface brief # 查看管理 IP 生效状态 Core-L3-SW display stp brief # 查看生成树拓扑，确认无环路 Core-L3-SW display ssh server status # 查看远程 SSH 服务状态 Core-L3-SW display interface brief # 查看端口状态 Core-L3-SW save # 永久保存配置，断电不丢失 Y # 确认保存 |