以H3C S5120V2-28P-LI为例，谈华三交换机的配置体会

  为了规范办公室的网络管理，在4-5楼增加了一台可管理的交换机。买什么型号，我也没有什么要求，只要支持管理即可，经过办公室的采购，上了一台华三的设备，型号是H3C S5120V2-28P-LI，这是一台二层交换机。一直以来，我还是认可华三的设备的。设备来后，我进行了配置。虽然很快配置好了，但是也有一些例会。

1.串连有要求

设备拿来就可以用。但是，要管理还得配置。首先，就用控制线将交换机与电脑连接起来（交换机端是RJ45，电脑端是串口COM1）。启动超级终端，速率为9600，数据位为8，无奇偶校验，停止位为1，数据流控制为Xon/Xoff。这样，就链接上了，按两个回车，OK。

2.规划很重要

配置之前，必须规划好网络。首先在三层交换机（或上层交换机）定义好端口（如port 14），trunk类型，放行本交换机需要的Vlan（如Vlan399，356-351，353等）。其次就是规划本交换机端口，如port1-2∈vlan 1，port3-4∈vlan 346，port5-6∈vlan 347，port7-8∈vlan 348，port9-10∈vlan 349，port11-12∈vlan 350，port 13-14∈vlan 351，port 15-20∈vlan 399，port 21 acc、port22-28 trunk ∈vlan 353。其中，port24用于向上链接上级交换机管理端口。

3.配置也简单

说起配置也简单，怎么就越来越简单了呢？快退休了怎么就感觉到越来越得心应手了呢？让我想起一首歌里面的歌词“怎么刚刚懂得路该往哪走，怎么还没走到就老了……怎么刚刚开始明白就老了”。其实，也是合理的，长期的理论学习和实践应用，必然如此，加之现在网络越来越方便，很多东西百度一下就OK。

通过console链接上交换机，<回车>进入<H3C>

<H3C>sys                        system-view进入系统修改模式[H3C]

[H3C]sysname hua3_45f            命名设置交换机的名称

[H3C_45F]undo interface vlan-interface 1    (取消管理vlan的成员，也就是vlan 1)

[H3C_45F]undo manage-vlan   #取消管理Vlan

 

[H3C_45F]vlan 353               #建立vlan 353
[H3C_45F-vlan353]quit           #退出vlan 353

[H3C_45F]interface Vlan-interface 353
[H3C_45F-Vlan-interface353]ip address 172.x.x.45  255.255.255.0

[H3C_45F-vlan 353]port  GigabitEthernet 1/0/1 to GigabitEthernet 1/0/28

（设置GigabitEthernet 1- 28口为vlan 353的成员，默认是access)

[H3C_45F]inerface gigabitethernet 1/0/24  #进入接口

[H3C_45F-GIGABITETHERNET1/0/1]port link-type trunk  #定义接口类型为trunk

[H3C_45F-GIGABITETHERNET1/0/1]port trunk permit vlan 353  #trunk允许通过的vlan

[H3C_45F-GIGABITETHERNET1/0/1]port trunk permit vlan 351  #trunk允许通过的vlan

 

 

 

加入端口方法一：

[H3C_45F]vlan 399

[H3C-VLAN399]port GigabitEthernet 1/0/15      (默认是access接口类型)

 

加入端口方法二：

[H3C_45F]interface GigabitEthernet 1/0/15

[H3C_45F-GIGABITETHERNET1/0/15]port access vlan 353

 

其余类推。最后，用Save 或者 write，保存所有的配置就可以了。

4.版本有差异

现在的版本是V7，由于软件版本的差异，除了上述基本命令外，很多以前的命令执行报错，这是要多用问号？进行提示操作。比如，authorization-attribute level 3，新版本为：authorization-attribute user-role level-3。

 

显示日期时间：

<>dis clock

设置日期时间：

[]clock protocol none

[]quit

clock datetime HH:MM:SS YYYY/MM/DD

常用配置命令参考文献[1] H3C交换机常用配置方法https://wenku.baidu.com/view/57f5e5d027fff705cc1755270722192e45365889.html#

启动telnet、http等服务，需要参考最新的版本[2]H3C交换机（软件版本ComwareV7）的一些基本操作命令https://blog.csdn.net/weixin_42027077/article/details/90597204

通过上机实践，参考2的命令均正常通过，telnet与web能正常使用，功能全部放开。不过，值得提示的是，运行web服务会使交换机资源占用达到70%，不建议开启或不进入。

5.安全排第一

开启telnet和web是将来的配置更方便，但是也存在远程操作的安全风险，谨慎使用，使用更加复杂的密码，确保安全。用户名与密码两套：H3C/xxxxxx，admin/xxxxxxx，具有最高权限。命令系列如下：

允许telnet访问，需先开启telnet服务，再进行后续配置

[H3C]telnet server enable ---------------开启telnet服务

[H3C]ip http enable---------------开启http服务

[H3C]stp mode rstp---------------stp模式设置为rstp

[H3C]stp enable---------------开启stp功能

[H3C]user-interface vty 0 14
[H3C-line-vty0-14]

[H3C-line-vty0-14]protocol inbound telnet 

[H3C-line-vty0-14]authentication-mode password 

[H3C-line-vty0-14]set authentication password simple admintelnet

 

[H3C-line-vty0-14]user-role level-15 

[H3C-line-vty0-14]idle-timeout 6 0

[H3C-line-vty0-14]screen-length 100

[H3C-line-vty0-14]history-command max-size 256

 

建立一个用户admin，用于web登录（用浏览器登录）

[H3C]local-user admin 
New local user added.

[H3C-luser-manage-admin]authorization-attribute user-role level-15

[H3C-luser-manage-admin]service-type http

[H3C-luser-manage-admin]password simple administrator

 

参考文献：

[1] H3C交换机常用配置方法https://wenku.baidu.com/view/57f5e5d027fff705cc1755270722192e45365889.html#

[2] H3C 交换机（软件版本ComwareV7）的一些基本操作命令https://blog.csdn.net/weixin_42027077/article/details/90597204

 

下面是值得信赖的参考文献原文：

 

H3C 交换机（软件版本ComwareV7）的一些基本操作命令

<Switch>display version ---------查看版本信息，包括交换机的软件和硬件版本信息

 

<Switch>reset saved-configuration   -----------恢复出厂设置

The saved configuration file will be erased. Are you sure? [Y/N]:y---------------这里输入y确认

<Switch>reboot -------------恢复出厂设置需要重启交换机
Start to check configuration with next startup configuration file, please wait.........DONE!
Current configuration may be lost after the reboot, save current configuration? [Y/N]:n-----------这里提示是否保存设置，输入n

This command will reboot the device. Continue? [Y/N]:y--------------------这里提示是否继续，输入y。注意哪里是y哪里是n，否则不能恢复。

 

设置时间日期，需要先执行  clock protocol none命令

<H3C>clock datetime 08:31:30 2019/05/27
To manually set the system time, execute the clock protocol none command first.
<H3C>system

[H3C]clock protocol none

[H3C]quit

<H3C>clock datetime 08:34:30 2020/09/27

 

如需设置console口连时的密码，或者采用 用户名/密码 认证方式，需进入用户接口。

[H3C]user-interface aux 0

[H3C-line-aux0]authentication-mode ?
none      Login without authentication
password  Password authentication
scheme    Authentication use AAA

[H3C-line-aux0]authentication-mode password

[H3C-line-aux0]set authentication password simple 1234abcd

 

允许telnet访问，需先开启telnet服务，再进行后续配置

[H3C]telnet server enable ---------------开启telnet服务

[H3C]ip http enable---------------开启http服务

[H3C]stp mode rstp---------------stp模式设置为rstp

[H3C]stp enable---------------开启stp功能

[H3C]user-interface vty 0 14
[H3C-line-vty0-14]

[H3C-line-vty0-14]protocol inbound telnet 

[H3C-line-vty0-14]authentication-mode password 

[H3C-line-vty0-14]set authentication password simple admintelnet

 

[H3C-line-vty0-14]user-role level-15 

[H3C-line-vty0-14]idle-timeout 6 0

[H3C-line-vty0-14]screen-length 100

[H3C-line-vty0-14]history-command max-size 256

 

建立一个用户admin，用于web登录（用浏览器登录）

[H3C]local-user admin 
New local user added.

[H3C-luser-manage-admin]authorization-attribute user-role level-15

[H3C-luser-manage-admin]service-type http

[H3C-luser-manage-admin]password simple administrator

 

建立一个vlan interface，并设置IP地址，用于网页登录和telnet管理，不建议使用vlan1

[H3C]vlan 255
[H3C-vlan255]quit
[H3C]interface Vlan-interface 255

[H3C-Vlan-interface255]ip address 192.168.255.1 255.255.255.0

 

根据需要设置stp模式

[H3C]stp mode ?
  mstp  Multiple spanning tree protocol mode
  pvst  Per-Vlan spanning tree mode
  rstp  Rapid spanning tree protocol mode
  stp   Spanning tree protocol mode 

 

开启DHCP服务，建立不同的IP地址池，对应不同的Vlan，建立相应的vlan-interface，设置IP地址，做为网关

[H3C]dhcp enable----------全局开启dhcp功能

[H3C]dhcp server ip-pool 192.168.100.0-------------定义一个地址池名字
 gateway-list 192.168.100.254---------------设置网关地址
 network 192.168.100.0 mask 255.255.255.0-------------------设置网段
 address range 192.168.100.1 192.168.100.240-------------------设置地址池的IP地址集合
 dns-list 114.114.114.114 8.8.8.8------------------设置dns服务器地址
 expired day 0 hour 0 minute 40------------------设置租期时长

 

[H3C]dhcp server ip-pool 172.16.1.0

 gateway-list 172.16.1.254
 network 172.16.1.0 mask 255.255.255.0
 address range 172.16.1.1 172.16.1.240
 dns-list 114.114.114.114 8.8.8.8
 expired day 0 hour 0 minute 30

[H3C]vlan 100-----------建立vlan
[H3C-vlan100]quit
[H3C]interface Vlan-interface 100--------------建立vlan  interface
[H3C-Vlan-interface100]
 ip address 192.168.100.254 255.255.255.0----------------设置vlan-interface的IP地址

dhcp select server------------------设置dhcp为服务端，会自动匹配地址池

[H3C]vlan 601
[H3C-vlan601]quit
[H3C]interface Vlan-interface 601
[H3C-Vlan-interface601]
 ip address 172.16.1.254 255.255.255.0

dhcp select server

 

设置qos策略，使访客网段与办公网段不能互通，在全局应用

[H3C]acl advanced 3001
 rule 1000 deny ip source 172.16.0.0 0.0.255.255 destination 192.168.0.0 0.0.255.255

--------------创建一个高级ACL，设置规则1000号（号码不是特别重要）。拒绝源地址172开头的，访问目标地址192开头的。

[H3C]traffic classifier noguest operator and
 if-match acl 3001-----------------定义一个类

[H3C]traffic behavior noguest
 filter deny-------------------定义一个流行为

[H3C]qos policy noguest
 classifier noguest behavior noguest-----------------定义一个策略，为类指定流行为，将类和流行为二者组合起来

 [H3C]qos apply policy noguest global inbound --------------------在全局上应用qos策略，方向为入方向

 

设置链路聚合

[H3C]interface Bridge-Aggregation 1----------------创建一个聚合端口

[H3C-Bridge-Aggregation1]port link-type trunk----------------设置这个端口的属性，如link-type，vlan等

[H3C-GigabitEthernet1/0/23]port link-aggregation group 1 force----------------将这个端口加入聚合组，最后的force 参数可将聚合组的属性同步到此端口，省去手动配置的步骤

[H3C-GigabitEthernet1/0/24]port link-aggregation group 1 force

 

创建vlan，将端口加入vlan，更改端口模式

[H3C]vlan 100-----------------创建vlan100
[H3C-vlan100]port GigabitEthernet 1/0/1 to g 1/0/10-----------------将1 to10口都划入vlan100（华三交换机的端口，默认类型是access，可以直接加入vlan

[H3C-GigabitEthernet1/0/11]port link-type trunk-----------------进入G1/0/11端口，更改link-type为trunk
[H3C-GigabitEthernet1/0/11]port trunk pvid vlan 100-----------------设置trunk端口的pvid
[H3C-GigabitEthernet1/0/11]port trunk permit vlan 2 to 4000-----------------设置trunk端口允许通过的vlan ID
[H3C-GigabitEthernet1/0/11]undo port trunk permit vlan 1-----------------禁止trunk端口允许vlan1通过（在比较大的企业局域网里，不要使用vlan1）