干了这么多年网络运维最常被问到的问题就是“华为、H3C、思科、锐捷这四家命令到底怎么记”搜索引擎一搜“路由器交换机命令”出来的全是碎片化的答案今天这条命令能通明天换台设备就报错别提多折腾了。其实这四大厂商的命令体系并没有想象中那么玄乎它们之间既有同源的地方又有各自的脾气。这篇文章我把自己这些年实操过的配置命令、踩过的坑、总结的规律一次性整理出来从登录设备、接口配置、VLAN划分、路由下发到远程管理和日常排障覆盖最常见的场景希望能帮刚入行的朋友建立起一套清晰的命令框架。先说清楚适用人群如果你刚接触网络设备正在备考华为、思科认证或者日常工作中需要维护多厂商设备这篇文章值得认真看一遍。文中所有命令都以实际项目中最常用的设备型号为例华为S5720、AR路由器H3C S5130、MSR思科ISR、Catalyst锐捷RG-S5750等并给出了大量可以直接抄的配置片段和对照表格。1. 先认清四大厂商的命令“流派”别傻傻背四套很多新手最痛苦的点在于以为四大厂商就是四套完全不同的命令体系于是拿个小本本拼命记今天记华为明天记思科最后全混在一起。实际上完全没必要这四家厂商的命令体系归根结底只有两大流派。1.1 两大流派VRP系和IOS系华为的VRP系统和H3C的Comware系统本质上同源它们都基于类似Unix风格的命令行命令以display、system-view为主体结构非常相似。而思科的IOS系统和锐捷的RGOS系统则属于另一个流派它们以show、enable、configure terminal为骨架命令更加接近。我打一个简单的比方华为和H3C的关系就像是普通话和东北话大体上都能听懂偶尔有个别词不一样思科和锐捷的关系也很像锐捷早年几乎是在思科命令基础上做的适配所以老工程师上手锐捷非常快。真正需要你在脑子里切换的其实只有“华为/H3C”和“思科/锐捷”这两套逻辑。理解这一点你就知道为什么网上搜“华为交换机配置实例”和“思科交换机配置命令”时很多操作流程是相通的只是具体的命令动词不太一样。下面这张表我整理了两大流派最常见的命令对照操作目的华为 / H3C思科 / 锐捷进入系统视图/全局配置system-viewconfigure terminal需先enable查看版本信息display versionshow version查看接口状态display interface briefshow ip interface brief查看VLAN信息display vlanshow vlan brief查看路由表display ip routing-tableshow ip route查看MAC地址表display mac-addressshow mac address-table保存配置savewrite或copy running-config startup-config这个对照表是我个人认为最重要的一张表。你把这张表吃透了四大厂商的常见命令基本就通了一半。1.2 登录设备console口与特权模式的那些细节拿到一台新设备第一件事就是通过console线登录。连接console口看起来简单但我在实际项目里见过太多人在这一步卡住尤其是笔记本没有COM口、USB转串口线驱动不对、Windows系统把COM口识别成别的编号等问题排队能排半小时。登录成功后不同厂商设备的初始位置不一样。华为和H3C设备默认停在用户视图提示符是Huawei你要进入配置模式得敲system-view提示符变成[Huawei]。思科和锐捷设备默认停在用户执行模式提示符是Router或Switch要先敲enable进入特权模式提示符变成Router#再敲configure terminal进入全局配置模式。这里有一个很值得说的细节华为和H3C的system-view之后你就在全局配置模式了可以直接配主机名、配接口、配VLAN。而思科的流程多了一步enable这个enable本质上是权限提升相当于手机里从普通用户切到管理员权限很多现场问题恰恰出在这——有人明明在Router状态下直接敲configure terminal系统直接拒绝。关于console密码华为交换机和路由器的配置很典型对应网上经常搜的“华为路由器console密码”和“华为交换机S5720改密码本地登录”一段命令就能搞定Huawei system-view [Huawei] user-interface console 0 [Huawei-ui-console0] authentication-mode password [Huawei-ui-console0] set authentication password cipher Huawei123思科的console密码稍微不同而且需要加一条login才会真正生效Router enable Router# configure terminal Router(config)# line console 0 Router(config-line)# password Cisco123 Router(config-line)# login锐捷的命令和思科几乎一样H3C的命令又跟华为基本一致只是个别关键字略有不同。所以核心逻辑很简单记住两大流派剩下的细节临时用?键查就行了这可比背四套完整命令省力得多。2. 接口与VLAN配置交换机组网开局必做设备能登录进来了接下来就是真正的干活环节。不管你的网络拓扑多复杂最基本的事情永远是配接口、划VLAN。这里我按场景拆开讲同时把各厂商的差异点标清楚。2.1 接口配置从端口up到速率协商的坑接口能不能正常起来是整个网络通信的基石。配置接口IP地址算是路由器的基本功华为和H3C习惯用interface GigabitEthernet这种带类型的接口名思科和锐捷则叫interface GigabitEthernet或者简写Gi总体上风格接近但接口编号规则有差异。比如华为的千兆口通常写作GigabitEthernet0/0/1思科的Catalyst交换机会写作GigabitEthernet0/1刚开始接触很容易因为少写一个槽位号导致接口找不到。配置物理接口的IP地址以华为为例[Huawei] interface GigabitEthernet0/0/0 [Huawei-GigabitEthernet0/0/0] ip address 192.168.10.1 24思科的写法是子网掩码全量不是前缀长度Router(config)# interface GigabitEthernet0/0/0 Router(config-if)# ip address 192.168.10.1 255.255.255.0这里很多人会忽略一个问题配置完IP地址还要确认端口没有被手工shutdown而且物理链路要通。实操中接口起不来最常见的原因不是配置错而是网线或光模块的速率协商问题。千兆端口对接百兆对端时如果强制了速率和双工模式很容易出现协商失败或者CRC错误暴涨。我自己的习惯是能用自动协商就绝不手工指定除非有特殊情况。接口状态排查时华为用display interface brief思科用show ip interface brief一眼就能看到端口状态是up还是down还能看到IP地址是否配置正确。这个命令在项目验收和排障中几乎是必用的。2.2 VLAN划分二层隔离的核心操作VLAN这东西说起来简单就是在一个物理交换机上划分出多个逻辑隔离的广播域不同VLAN之间二层默认不通想互通得上三层路由。但真正动手敲命令时不少新手会被access、trunk、hybrid这些端口类型绕晕。华为和H3C的交换机端口类型有access、trunk、hybrid三种思科主要有access和trunk两种。绝大多数场景下你只需要记住一句话连接终端的口用access连接交换机之间的级联口用trunk。创建VLAN并划分端口华为的写法[Huawei] vlan batch 10 20 [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10思科的写法Switch(config)# vlan 10 Switch(config-vlan)# exit Switch(config)# interface GigabitEthernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10注意一个区别华为的vlan batch可以一次创建多个VLAN比如vlan batch 10 20或者vlan batch 100 to 200思科则需要逐个创建或使用vlan range之类的方式命令风格完全不同但底层逻辑是一样的。端口类型这块我建议新手把重心放在理解标签Tag和不带标签Untag的概念上。access口发出的帧不带VLAN标签trunk口发出的帧默认带标签这个差异直接决定了交换机之间怎么对接。很多人配置两台交换机级联时明明VLAN都建了、端口也都划了可终端就是不通十有八九是级联口改成了access或者trunk放通VLAN列表漏了。2.3 VLANIF与跨交换机通信别忘了网关VLAN配好了终端也接进去了但不同VLAN之间的设备要通信必须有网关。华为和H3C在交换机上通过VLANIF接口配置网关思科同样是interface Vlan命令差不太多华为[Huawei] interface Vlanif 10 [Huawei-Vlanif10] ip address 192.168.10.254 24思科Switch(config)# interface Vlan10 Switch(config-if)# ip address 192.168.10.254 255.255.255.0这里我需要重点提醒一个高频问题很多三层交换机默认没有开启IP路由功能或者终端配置的网关地址和VLANIF地址不一致导致丢包。比如终端网关写的是192.168.10.1交换机VLANIF 10配的是192.168.10.254数据包发到交换机后不知道该往哪送直接就被丢掉了。跨交换机场景下还必须保证两台交换机的VLAN信息一致级联口放通对应VLAN并且每台交换机上的VLANIF地址或者对口的上层路由器网关规划好否则就会出现“终端能Ping通本端网关却Ping不通对端网段”这种典型问题。排查思路后面专门讲。2.4 链路聚合Eth-Trunk与Port-Channel实战链路聚合是另一个热搜里被反复问到的点配置Eth-Trunk实例看起来不难但实际项目中踩坑的人不在少数。有人会觉得“两台交换机之间多插几根网线带宽不就叠加了吗”这是一个经典误区。如果只是单纯把两台交换机用两根线连起来交换机的STP生成树协议会直接阻塞其中一条链路不会产生带宽叠加反而可能导致网络环路。华为的链路聚合接口叫Eth-Trunk配置流程是先创建聚合口再把成员口加进去。下面是一个比较标准的LACP模式配置[Huawei] interface Eth-Trunk 1 [Huawei-Eth-Trunk1] mode lacp-static [Huawei-Eth-Trunk1] trunkport GigabitEthernet0/0/1 [Huawei-Eth-Trunk1] trunkport GigabitEthernet0/0/2 [Huawei-Eth-Trunk1] port link-type trunk [Huawei-Eth-Trunk1] port trunk allow-pass vlan 10 20思科的叫法是Port-Channel配置流程是先创建聚合口再指定成员口Switch(config)# interface port-channel 1 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20 Switch(config)# interface range GigabitEthernet0/1-2 Switch(config-if-range)# channel-group 1 mode active链路聚合最重要的原则是“两端成员口的物理参数必须一致”。如果一根线是千兆另一根线是百兆或者一边是access口一边是trunk口整个聚合口都会出问题。我在现场还遇到过一种情况四根网线做了Eth-Trunk但其中一根线接触不良结果聚合口无法建立业务直接中断。排查时可以逐个shutdown成员口再观察聚合口是否恢复这个方法屡试不爽。3. 路由配置与远程管理走到三层世界交换机的VLAN配置只是基础真正要把不同网段、不同业务打通路由配置、远程管理、交换机之间对接这些才算进阶内容。这一节我把常见场景一步步拆开。3.1 静态路由与默认路由多专线场景怎么配路由器的静态路由配置是每个网工的基本功尤其是公司网络经常有两条出口比如一条政务网专线一条财务专线还可能有一条普通宽带这时候静态路由加策略路由就派上用场了。华为AR路由器的静态路由配置[Huawei] ip route-static 0.0.0.0 0.0.0.0 192.168.1.1 [Huawei] ip route-static 10.0.0.0 8 192.168.2.1思科路由器的配置Router(config)# ip route 0.0.0.0 0.0.0.0 192.168.1.1 Router(config)# ip route 10.0.0.0 255.0.0.0 192.168.2.1这里0.0.0.0 0.0.0.0代表默认路由也就是所有不知道往哪送的数据包都交给下一跳。静态路由是手工指定的必须确保下一跳地址可达否则路由会一直处于无效状态。多专线场景中常用浮动静态路由做冗余备份。华为用preference控制路由优先级思科用管理距离administrative distance。比如主链路优先级高、备链路优先级低主链路断开时自动切换到备链路。这个方案比起跑动态路由协议要简单得多适合中小型网络。实战中我也会额外加一条策略路由基于源地址把财务流量引到财务专线、办公流量引到政务网这样两条链路负载分担又避免了互相干扰。3.2 单臂路由与三层交换机选哪个有些老教程会讲单臂路由用路由器的子接口做VLAN间路由。华为子接口的配置要点是封装VLAN ID[Huawei] interface GigabitEthernet0/0/1.10 [Huawei-GigabitEthernet0/0/1.10] dot1q termination vid 10 [Huawei-GigabitEthernet0/0/1.10] ip address 192.168.10.1 24思科子接口Router(config)# interface GigabitEthernet0/0/1.10 Router(config-subif)# encapsulation dot1Q 10 Router(config-subif)# ip address 192.168.10.1 255.255.255.0但这个方案现在实际项目里已经很少用了因为单臂路由的瓶颈在于所有VLAN间流量都走一条物理链路带宽竞争激烈而且路由器转发性能通常不如交换机芯片。组网优先考虑三层交换机加VLANIF只有当网络中实在没有三层交换机、只有一台路由器做核心时单臂路由才作为备选方案。初学阶段建议把原理理解清楚但实际部署别纠结。3.3 远程管理SSH才是正解Telnet只在实验室用网上经常有人搜“telnet命令怎么用”“交换机怎么配stelnet server”这些我都理解但先说结论生产环境坚决用SSHTelnet的明文传输会导致设备密码和配置内容直接暴露抓包一抓一个准。配置SSH并不复杂四家厂商大同小异难的是搞清里面AAA、VTY、用户权限等概念。华为交换机的SSH配置我整理了一个精简版本[Huawei] rsa local-key-pair create [Huawei] user-interface vty 0 4 [Huawei-ui-vty0-4] authentication-mode aaa [Huawei-ui-vty0-4] protocol inbound ssh [Huawei] aaa [Huawei-aaa] local-user admin password cipher Admin123 [Huawei-aaa] local-user admin service-type ssh [Huawei-aaa] local-user admin privilege level 15思科路由器的SSH配置略微复杂需要先生成RSA密钥Router(config)# hostname R1 Router(config)# ip domain-name example.com Router(config)# crypto key generate rsa Router(config)# username admin privilege 15 secret Admin123 Router(config)# line vty 0 4 Router(config-line)# transport input ssh Router(config-line)# login local这里有个特别容易踩的坑SSH配置完成后有时连不上很多人以为是密码错了折腾半天发现是protocol inbound ssh这句没写或VTY线路只允许Telnet协议SSH请求直接被拒了。同理思科设备如果你只想用SSH而禁用Telnettransport input ssh这句必须写否则VTY默认会接受所有协议反而给攻击留了后门。配置完远程管理建议先用电脑上的终端软件测试一下确认能连上再断开console线不然设备一旦配置错误又没有留console线就只能跑现场或等设备重启了。3.4 交换机对接交换机级联其实是个细致活热搜里有“交换机对接交换机”这个词这背后确实是个高频问题。有人觉得两台交换机拿网线一连就完事了其实分为好几种情况。如果是同品牌同型号端口模式和VLAN放通必须保持一致如果是跨品牌对接更要小心封装标准。举一个最常见的组网接入交换机上行到核心交换机。接入交换机的上联口配成trunk核心交换机的下联口也配成trunk且放通相同的VLAN列表。华为侧的配置[Huawei] interface GigabitEthernet0/0/24 [Huawei-GigabitEthernet0/0/24] port link-type trunk [Huawei-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20思科侧对应Switch(config)# interface GigabitEthernet0/24 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20这里有一个容易出错的地方思科的trunk默认会放通所有VLAN而华为的trunk默认只放通VLAN 1。跨品牌对接时如果只在一端限制了允许列表另一端却是默认放通前期可能看不出问题后期新增VLAN时就会出现两边行为不一致。建议两端都显式配置允许列表别偷懒。还有一个隐藏很深的问题原生VLANNative VLAN不一致。思科trunk默认把VLAN 1作为原生态VLAN不带标签华为的trunk口PVID默认也是1接口上没有强制指定时两边基本能互通。但如果你把其中一边改了PVID另一边没改带标签的帧和裸帧就会错乱造成VLAN信息对不上排查起来特别痛苦。所以跨厂商对接时提前把PVID和允许列表都确认好是必须的。4. 日常巡检常用命令设备状态一眼看明白配置完网络不是终点日常维护和故障排查才是工作的大头。设备跑着跑着就出各种问题这时候脑子里要有一套清晰的查看命令别到现场了还在用display还是show临时查效率太低了。4.1 四大厂商查看命令对照表建议直接收藏这里我把最常用的查看命令整理成一张大对照表覆盖了四大厂商基本够日常巡检使用查看内容华为H3C思科锐捷设备版本display versiondisplay versionshow versionshow version接口状态display interface briefdisplay interface briefshow ip interface briefshow ip interface brief接口统计display interface GigabitEthernet0/0/1同左show interface GigabitEthernet0/1同左VLAN列表display vlandisplay vlanshow vlan briefshow vlan briefMAC地址表display mac-addressdisplay mac-addressshow mac address-tableshow mac address-table路由表display ip routing-tabledisplay ip routing-tableshow ip routeshow ip routeARP表display arpdisplay arpshow arpshow arp当前配置display current-configurationdisplay current-configurationshow running-configshow running-config保存配置savesavewritewrite华为和H3C的保存步骤有一点需要特别注意敲save之后系统会交互式地询问是否保存配置文件要敲Y确认而且建议指定配置文件名否则可能保存成默认的vrpcfg.zip。思科敲write就直接保存锐捷也是二者反而更利落。4.2 网络不通先按这三板斧走遇到网络不通我从来不会直接上抓包而是先按下面这个顺序排查这个顺序在四大厂商的设备上都适用只是命令略有差异。第一步确认端口状态和物理链路。看接口是否up如果down了检查网线、光模块、对端设备是否断电。如果接口up但错误计数很多说明物理层质量差常见原因是网线老化、距离过长、光电转换器不匹配。第二步ping网关和直连地址。从电脑上ping网关如果通说明二层OK从交换机上ping对端设备的接口地址如果通说明三层链路OK再结合ARP表判断比如华为用display arp思科用show arp看看能否学到对端MAC。有次项目里两台路由器通过专线互联互ping不通查了半天才发现是ARP表里对端MAC一直没有学习到最后定位是中间的光纤收发器一端模式错了。第三步查路由表。数据包只有路由可达才会被转发华为用display ip routing-table思科用show ip route确认有没有到达目标网段的明细路由或默认路由。如果路由表里没有目标网段数据包就会被丢弃或者走错误出口。这套“端口-ARP-路由”的排查路径对绝大多数网络问题都有效尤其是跨设备互通问题。我之前在GNS3里模拟两台路由器分别连接主机、分析IP数据转发过程和ARP协议时也是用这个思路定位问题模拟器里尚且如此真机上更是一样。4.3 从“局域网里拿走一台交换机后很卡”说起有一个热搜词很有意思“为什么从局域网中拿走一个交换机后很卡”。这个问题的核心往往不在“拿走交换机”这个动作本身而在于网络里早就存在环路或广播风暴。你拿走交换机时把某条物理链路断开了环路消失了但剩余设备上积累的广播风暴、MAC地址表震荡还在持续或者拿走的交换机承担了某个VLAN的网关功能现在VLAN间流量绕路了所以感觉卡。处理这种问题先看交换机的CPU利用率和端口流量。华为用display cpu-usage和display interface检查端口入方向流量是不是异常高思科用show processes cpu和show interface。如果某个端口流量高到离谱很可能是广播风暴STP没有正常阻塞。另一个常见原因是双工不匹配比如一端自动协商成全双工另一端是半双工就会出现大量冲突和丢包上网自然卡。排障时从“物理层、二层、三层”逐层递进切勿一步到位怀疑设备性能。4.4 模拟器能用但别把模拟器当真机很多人接触华为设备从eNSP开始接触思科从GNS3或Packet Tracer开始这是很自然的学习路径。但模拟器始终是模拟器比如eNSP里路由器启动失败40的问题多半和VirtualBox版本冲突或端口占用有关真机上不太会遇到。H3C的S5130模拟器、GNS3里的设备镜像本质都是对真实系统的简化或复用命令确实能跑通但性能参数、硬件接口状态是模拟不出来的。我的建议是模拟器用来练命令、练思路、练排障流程完全没有问题但到了实际项目哪怕是一台低端千兆交换机也要按真机去对待。很多现场故障是模拟器里永远模拟不出来的比如光纤模块兼容性、双工协商异常、VLAN标签行为不同等。所以“模拟器上跑通”只能算第一步真正的提升来自现场交付和排障。5. 高频问题与避坑实录最后这一节我把平时被问到最多的问题和实际操作中总结的经验集中写一下包括一些看起来很小、却容易让人折腾半天的细节。5.1 常见问题速查表问题现象可能原因排查方向eNSP路由器启动失败代码40VirtualBox版本冲突、端口被占用卸载重装匹配版本的VirtualBox检查系统服务关闭Hyper-V冲突console线连接没反应驱动未装好、COM口号不对、波特率错误检查设备管理器COM口编号确认波特率9600尝试重新插拔SSH能通Telnet不通VTY协议限制、VTY权限不足检查protocol inbound配置检查AAA用户服务类型是否包含telnet交换机接口up但Ping不通同VLAN终端access/trunk类型错误、PVID不一致用display vlan查看端口所属VLAN确认对端标签处理方式静态路由配置了但不通下一跳不可达、路由被覆盖查路由表状态ping下一跳地址确认优先级/管理距离两台交换机级联后广播风暴物理环路、STP未启用检查STP状态物理链路避免成环聚合口两端参数一致设备配置保存后重启丢失没有执行save/write华为必须验证保存成功思科确认写入startup-configHyper-V虚拟交换机与物理网卡桥接后网络变慢虚拟交换机与物理网卡速率不匹配、资源竞争确认物理网卡未降速必要时关闭卸载虚拟交换再重建第五行那个“Hyper-V虚拟交换机与物理网卡桥接”的问题我在自己搭实验环境时也踩过坑。Windows主机开着Hyper-V再和物理网卡做桥接表现为虚拟机偶尔断流、物理机网络延迟狂飙。后来发现是无线网卡驱动和Hyper-V虚拟交换机兼容性不好换成有线网口就稳定了。这类问题在真机排障中也常见遇到网络异常先排除虚拟化层面的因素别一上来就怀疑核心交换机配置。5.2 关于命令记忆我自己的土办法命令记不住太正常了。我当年刚学的时候也痛苦后来发现一个特别简单的方法华为的命令几乎都在“动词名词”这个结构里display就是看、interface就是进接口、vlan就是虚拟局域网把这个规则摸透了哪怕记不清具体拼写靠?键也能把命令挖出来。思科的风格则是“show 你要看的东西”比如show running-config、show vlan brief、show ip route结构更接近英语口语。另外一定要习惯用Tab键补全命令。这个习惯能帮你节省大量输入时间还能减少拼写错误。配置设备的时候我一般都不会完整敲出命令比如sys加Tab自动补齐system-view直接回车效率极高。H3C和华为的Tab补全逻辑类似思科也支持Tab锐捷同样支持。还有一个我自己坚持了很久的习惯项目里每台设备改完配置第一时间保存并顺手把配置导出备份命名规范包含设备名和日期。这样就算设备故障、配置混淆也能快速回滚。四大厂商导出配置的命令各不相同常见的组合是华为display current-configuration、思科show running-config再把输出内容粘贴到文本文件里保存。这个动作看起来土但关键时刻能救命。5.3 配置大忌改到一半就断开最后说一条血的教训。远程管理设备时尤其是通过SSH登录交换机后修改VLAN、改管理地址、改端口属性一定要避开正在连接的那个接口或网段。我自己就经历过一次用SSH登录华为交换机在远程把管理VLAN的某个端口从access改成trunk结果管理地址所在VLAN被改了会话立刻断开console线又不在身边只能等到下班后跑机房。从那以后我给自己定了一个规矩改管理相关的配置前要么插好console线要么先熬夜检查一遍命令确认不影响当前连接通道再执行。四大厂商的命令体系看着相似实际细节差异不少但只要抓住了“VRP系”和“IOS系”这两条主线再备好一张对照表日常配置和排障基本不会慌。我个人的体会是命令永远背不完真正值钱的是你理解设备在做什么、数据在怎么流向、故障可能在哪儿命令只是把思路落到设备上的一双手而已。希望这篇文章能帮你把那双手练得更快一些。
与data()的本质区别)
