每次看到新手抱着命令手册一条一条往交换机里敲敲完发现 VLAN 不通、trunk 起不来、SSH 登不上我就想说一句命令本身不难记难的是你得知道这些命令为什么这样组合。H3C 交换机的常用配置命令覆盖的是从一台空配置设备开机到能承载业务、能被远程管理、出问题还能查得出来的整个过程。我把这套流程拆成六块从命令行视图的脾气、VLAN 与端口的配合、链路聚合与生成树的防环、三层接口与路由、远程管理加固一直到排错时该先看哪条 display 命令每块都会讲清楚为什么这么敲而不只是敲什么。刚接手网络设备的新人、需要临时改配置的运维、以及考完理论想上手实操的朋友都能直接照着抄作业。1. 从一台空配置交换机开始视图、登录与配置落地手里拿到一台刚开封的 H3C 交换机插上电风扇转起来面板指示灯闪这时候你还什么都做不了。第一件事是建立管理通道第二件事是搞明白命令行视图的层级关系第三件事是在改完配置后把它真正落到启动文件里。这三件事的顺序不能颠倒我见过太多人配置写得挺漂亮结果忘记保存一断电全白干。1.1 四种视图与提示符看懂尖括号和中括号的区别H3C Comware 体系的命令行视图是分层的提示符的形状直接告诉你当前在哪一层。刚登录进去看到的是用户视图提示符是尖括号H3C这个视图只能做查看和一些简单操作改不了配置。输入system-view简写sys进入系统视图提示符变成中括号[H3C]这才是配置的主战场。再往下走就是各类子视图输入interface GigabitEthernet1/0/1进入接口视图提示符变成[H3C-GigabitEthernet1/0/1]输入vlan 10进入 VLAN 视图输入acl basic 2000进入 ACL 视图。每条视图的命令权限范围是隔离的接口相关的port link-type只能在接口视图下敲在系统视图里敲会直接报错这不是设备坏了是你站错了位置。退出用quit一次退一层return或者快捷键CtrlZ直接退回到用户视图。我个人的习惯是配置完一段就return回用户视图再重新sys进去这样能避免以为自己在系统视图其实还在某个接口视图里的尴尬。这种低级错误在新手阶段特别常见敲了一条全局命令发现没生效查半天最后发现是视图没退出来。还有一个细节命令行支持简写sysname可以简写成sysndisplay可以简写成dis。简写能提高效率但在写文档或者交接配置的时候我建议写全称不然接手的人得猜。设备上的?键是救命稻草任何位置敲?都会列出当前视图可用的命令display ?会列出所有可查看的项比翻手册快得多。1.2 Console、Telnet、SSH三条登录路径该怎么选第一次配置必须走 Console。用配置线连接电脑和交换机的 Console 口终端软件里波特率设 9600、数据位 8、停止位 1、无校验、无流控这是行业默认参数不用改。回车几下就能看到提示符。这一步没什么技术含量但线序和质量很关键我曾经遇到一根劣质 USB 转串口线能连上但输入乱码换了根线立刻正常所以排查登录问题时别忽略物理层。Telnet 是明文传输密码在网络上裸奔现在正经环境基本不用了。SSH 是加密的配置也不复杂但有个容易漏的点Comware V7 里必须先本地生成 RSA 密钥对否则 SSH 服务起不来。命令是public-key local create rsa生成过程会要求输入密钥长度默认 1024 位现在建议至少 2048 位。生成完再ssh server enable服务才真正对外监听 22 端口。登录用的账号要在local-user里创建V7 版本有个坑必须指定class manage不指定的话这个用户可能没有管理权限能登录但敲不了命令。完整写法是local-user admin class manage password simple YourPassword service-type ssh authorization-attribute user-role network-admin然后line vty 0 4下面设置authentication-mode scheme和protocol inbound ssh这样 VTY 线路只允许 SSH 接入Telnet 直接被挡掉。protocol inbound这一条很多人不写结果 SSH 配好了但 Telnet 还开着等于白配。1.3 save 与 startup 文件配置写进哪里才算数所有在命令行敲的配置默认都只存在于当前运行配置running-config里断电重启就没了。save命令的作用是把运行配置写入启动配置文件startup-config下次开机才会加载。执行save时设备会问你确认输入y想跳过交互直接保存用save force写脚本或者批量操作时用这个。保存之前强烈建议先display current-configuration通读一遍。我见过配置里残留着测试用的 VLAN、写错的静态路由、临时放开又忘了收回的 ACL这些在当下可能不影响业务但会在几个月后变成一颗雷。读一遍花不了三分钟能省下后面几小时的排查。配置文件管理还有几个常用命令值得记住display saved-configuration看已保存的配置display startup看本次启动用的是哪个文件reset saved-configuration清空启动配置执行后重启就是出厂状态慎用。设备支持配置回滚configuration replace file可以加载备份文件所以在做大改动之前先把当前配置导出来存一份这个习惯比任何技巧都值钱。2. VLAN 划分与端口模式二层配置最容易翻车的地方二层不通是网络故障里占比最高的一类而二层问题里又有大半出在 VLAN 和端口模式的配合上。命令本身很短vlan 10、port access vlan 10就这么两行但背后牵扯到 PVID、允许列表、Native VLAN 三个概念任何一个对不上包就被丢掉。这一节把这三者的关系掰开讲。2.1 创建 VLAN 与批量端口加入的正确姿势H3C 的 VLAN 创建非常直接系统视图下vlan 10就创建并进入 VLAN 视图可以顺手name office打个标签方便识别。VLAN 编号范围是 1 到 4094其中 VLAN 1 是默认 VLAN所有端口初始都属于它。我的建议是业务 VLAN 从 10 或者 100 起步把 1 留空不用避免默认配置带来的混乱。端口加入 VLAN 有两种写法。第一种是在 VLAN 视图下port GigabitEthernet1/0/1 to GigabitEthernet1/0/20批量把端口塞进来第二种是进接口视图port access vlan 10。两种写法最终效果一样但第二种更常用因为端口模式下往往还要配描述、速率、双工一次性在接口视图里搞定更连贯。如果要处理连续的一批端口interface range是效率神器interface range GigabitEthernet1/0/1 to GigabitEthernet1/0/24 port link-type access port access vlan 10 description office-pc这段配置一次给 24 个端口设好了接入模式和 VLAN。注意interface range在 V7 版本里是原生支持的V5 老设备上语法略有差别敲之前先?确认一下。批量操作的风险在于一旦写错就是 24 个口一起错所以执行前先确认端口范围执行后display vlan 10看一眼成员列表这个检查动作我每次都做。2.2 access、trunk、hybrid 三种模式的真实差别access 模式用于接终端一个端口只属于一个 VLAN发出的帧不带 Tag收到的不带 Tag 帧打上本端口 PVID 的标签。trunk 模式用于交换机之间的级联可以承载多个 VLAN发出的帧带 Tag只有 Native VLAN 的帧不带 Tag。hybrid 模式最灵活可以按需配置哪些 VLAN 带 Tag 发、哪些不带 Tag 发。日常配置里 95% 的场景用 access 和 trunk 就够了hybrid 主要出现在端口要同时承载多个 VLAN 且对接设备不支持 Tag 的特殊场景。三者的关键参数对照如下模式典型用途收帧处理发帧处理关键命令access接 PC、打印机、摄像头打 PVID 标签剥离标签port link-type accesstrunk交换机互联、接 AP/防火墙带 Tag 按 Tag 转发不带 Tag 打 PVID仅 Native VLAN 不带 Tagport trunk permit vlanhybrid特殊对接、多 VLAN 共存同上可按 VLAN 单独设置port hybrid vlan X tagged/untaggedtrunk 端口有一个必须记住的默认行为新建的 trunk 口只允许 VLAN 1 通过。也就是说你把两个交换机用 trunk 连起来配了 VLAN 10 和 20如果不敲port trunk permit vlan 10 20这两个 VLAN 的流量根本过不去。这个坑我踩过不止一次现象是同一交换机内 VLAN 10 互通跨交换机就不通display vlan 10看成员也正常最后发现是 trunk 的允许列表没放开。port trunk permit vlan all可以一次放通所有 VLAN配置省事但安全性差一些任何新加的 VLAN 都会自动通过。我一般倾向于明确列出需要的 VLAN虽然多敲几个字符但网络边界清晰排查问题时也少一个变量。2.3 Native VLAN 与 PVID两端不对齐就是不通trunk 端口有一个 Native VLAN默认是 VLAN 1这个 VLAN 的帧在链路上不带 Tag 传输。如果一端把 Native VLAN 改成 100另一端还是默认的 1会发生什么带 Tag 的流量正常走而不带 Tag 的流量在两端被归入不同的 VLAN表现就是某些流量通了某些流量莫名其妙不通这种半通不通的状态最难查。修改 Native VLAN 的命令是port trunk pvid vlan 100。只要动了这一端对端必须同步修改这是硬性要求。管理 VLAN 也遵循同样的逻辑很多环境把管理 VLAN 设为独立的一个这时候两端的 PVID 都要跟着改否则远程管理会时通时断。还有一个容易被忽略的点access 端口的 PVID 就是它所属的 VLAN改port access vlan会同步改 PVID这个不用单独处理。但如果你先用 trunk 模式配了 PVID再改成 access 模式残留的 PVID 设置可能造成困惑规范做法是模式切换后重新确认一遍display this的输出。3. 链路聚合、生成树与环路防护让网络既快又不出环单条千兆链路跑满了怎么办加线。加了线又怕出环怎么办做聚合或者跑生成树。这两件事经常一起出现而它们的配置细节里藏着不少看起来配了其实没生效的陷阱。这一节讲聚合的两种模式怎么选、生成树的边缘端口为什么要配合 BPDU 保护、以及环路检测的兜底手段。3.1 静态聚合与动态 LACP模式必须两端一致H3C 的链路聚合分静态和动态两种。静态聚合不需要协议协商两端都手工指定哪些口属于哪个聚合组配好就生效动态聚合走 LACP 协议两端通过协议报文协商成员口状态能自动发现对端配置错误。创建聚合组的流程是两步先建聚合接口再把物理口加进去。interface Bridge-Aggregation 1 port link-type trunk port trunk permit vlan 10 20 interface range GigabitEthernet1/0/23 to GigabitEthernet1/0/24 port link-aggregation group 1这是静态聚合的写法聚合组模式默认就是静态。如果要走 LACP先在聚合接口下link-aggregation mode dynamic然后物理口加入方式不变。关键点是两端必须都是静态或者两端必须都是动态。一端静态一端动态聚合组起不来display link-aggregation summary里能看到成员口状态是 Uunselected而物理口本身是 UP 的这个现象特别迷惑人。成员口的速率、双工、VLAN 配置必须一致这是聚合能工作的前提。我曾经遇到过一条链路聚合只跑单口带宽的情况查下来是两个成员口一个配了speed 1000、一个没配自动协商协商结果不一致导致其中一个口被排除。规范做法是聚合前先把成员口的物理参数统一或者干脆全部保持默认自动协商。聚合配好后用display link-aggregation verbose检查重点看 Selected 状态和负载分担模式。负载分担默认是基于源 MAC 和目的 MAC 的哈希如果流量是单一的大象流比如两台服务器之间的备份哈希可能全落在一个成员口上聚合带宽形同虚设。这种场景要考虑改成基于源 IP 和目的 IP 的哈希link-aggregation load-sharing mode可以调整。3.2 STP 边缘端口与 BPDU 保护别让接入口参与选举生成树的作用是防环但接入层的端口其实不该参与生成树计算。接一台 PC 的端口下面不可能形成环路让它跟着跑 STP 只会带来两个副作用一是端口 up 之后要等 30 秒左右Listening 加 Learning才能转发数据用户体验很差二是如果有人把一根网线两头都插在同一个交换机上STP 会把这个口 block 掉但端口状态反复震荡。解决办法是配边缘端口。H3C 上叫stp edged-port在接口视图下敲。配了之后端口 up 立即进入转发状态不参与生成树计算。全局要先确保生成树是开着的stp global enableV7 版本默认可能是关闭的这点跟一些其他厂商的默认行为不同配之前先display stp确认一下。边缘端口必须配合 BPDU 保护使用否则它就是个隐患。stp bpdu-protection是全局命令开启后如果边缘端口收到 BPDU 报文说明下面接的不是终端而是交换机存在环路风险端口会被自动 shutdown并在日志里记录。这个机制相当于一个保险丝牺牲一个端口保住整个网络非常值得开。被 shutdown 的端口不会自己恢复需要手动undo shutdown或者配置error-down auto-recovery让它定时自动恢复error-down auto-recovery cause bpdu-protection interval 300意思是 300 秒后自动尝试恢复。这个功能在接入层很有用避免因为一次误插线导致端口长期瘫痪还要人工跑去现场。3.3 环路检测与广播风暴抑制兜底的最后一道闸生成树不是万能的尤其是当网络里混入了不支持的设备、或者配置出错导致 STP 报文没传到位的时候。环路一旦形成广播帧会在几秒内把带宽吃满整片网络瘫痪。所以除了 STP我一般还会加两层防护。第一层是环路检测。H3C 支持loopback-detection global enable开启后设备会周期性往端口发送检测报文如果报文从同一个口回来说明存在环路可以配置处理动作为关闭端口或者告警。这个机制对 access 端口特别有用因为它不依赖对端设备的配合。第二层是广播风暴抑制。接口下broadcast-suppression pps 1000可以限制每秒广播包数量超过阈值的部分直接被丢弃。阈值设多少要看业务纯办公网 1000 pps 一般够用如果环境里有大量 ARP 或者组播发现协议需要往上调。设太低会误伤正常业务设太高起不到保护作用建议先观察display interface里的广播包速率再定。这两层防护都是可能用不上但用上时能救命的东西。我的习惯是新设备上线时就配好不用等到出事再补。4. 三层接口与路由让 VLAN 之间能说话二层划分做得再漂亮不同 VLAN 之间还是隔离的。要让它们互通就得引入三层。H3C 交换机上做三层有两种方式一是用 VLAN 接口Vlan-interface适合交换机内部 VLAN 间路由二是把物理口改成三层口port link-mode route适合直接对接路由设备或专线。4.1 Vlan-interface 与 DHCP 服务网关和地址池一起配VLAN 接口就是某个 VLAN 的三层门面配了 IP 就成了这个 VLAN 内终端的网关。interface Vlan-interface 10 ip address 192.168.10.1 255.255.255.0 description vlan10-gateway配完之后VLAN 10 内的终端把网关指向 192.168.10.1访问其他网段的流量就会送到交换机上做路由。这里有三个容易出问题的点一是接口默认是 shutdown 状态还是 up 状态V7 上 Vlan-interface 只要 VLAN 内有一个 UP 的成员口接口就是 UP 的display ip interface brief能看到状态二是 IP 地址不要和终端冲突规划时把网关放在网段头部或尾部并做好记录三是掩码长度要跟规划一致写错掩码会导致部分地址判断为不同网段。DHCP 服务在交换机上配很实用省得单独搞一台服务器。核心配置是开全局开关、建地址池、指定网段和网关dhcp enable dhcp server ip-pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 223.5.5.5 119.29.29.29 expired day 1 forbidden-ip 192.168.10.1 192.168.10.2forbidden-ip这一条别省把网关、服务器、打印机这些静态地址排除掉不然 DHCP 可能把网关地址分给某台终端造成地址冲突。expired设置租期办公网一天比较合适会议室和访客网络可以设短一点两小时就够。地址池建好之后如果终端拿不到地址按这个顺序查display dhcp server pool看池子配置对不对display dhcp server statistics看有没有收到请求display dhcp server ip-in-use看有没有分出去。如果统计里请求数一直涨但分配数是零多半是池子网段和接口地址不在同一网段或者池子里的地址被forbidden-ip排光了。4.2 静态路由与默认路由出口指向哪里交换机做三层转发直连网段自动有路由非直连的就要靠静态路由或动态路由协议。中小型网络里静态路由足够用配置简单行为可预期。ip route-static 0.0.0.0 0 192.168.10.254 ip route-static 172.16.0.0 255.255.0.0 192.168.10.254第一条是默认路由所有匹配不上的流量都往 192.168.10.254 送这个地址通常是出口防火墙或者上游路由器的内网口。第二条是明细路由去往 172.16.0.0/16 的流量走同一个下一跳。静态路由最常见的错误是下一跳不可达。路由表里能看到这条路由但状态不是 Active或者能 ping 通交换机本身却 ping 不通远端这时候先display ip routing-table看路由状态再ping下一跳地址确认可达性。下一跳必须是自己直连网段内的地址写一个跨网段的地址路由不会生效。还有一点如果设备上有多个三层接口默认路由的下一跳要指向真正能出网的那个方向不要两边都配默认路由那样会形成路由环路或者流量走错方向。多出口场景应该用策略路由或者浮动静态路由来控制。4.3 ACL 与端口镜像控制流量和看清流量ACL 在交换机上有两个用途一是过滤流量二是给其他功能做匹配条件比如 NAT、策略路由、端口镜像的流量筛选。基础 ACL 只匹配源 IP编号 2000 到 2999高级 ACL 可以匹配源目 IP、协议、端口编号 3000 到 3999。acl basic 2000 rule 10 permit source 192.168.10.0 0.0.0.255 rule 20 deny source any注意规则编号的间隔我习惯用 10、20、30 这样留出插入空间后面要加规则不用重排。ACL 的匹配是从小号到大号顺序进行命中即停止所以拒绝规则通常放在最后。应用 ACL 到接口用packet-filterinterface GigabitEthernet1/0/5 packet-filter 2000 inbound方向很重要inbound 是进来的流量outbound 是出去的流量。管住某个端口不让它访问特定网段用 inbound 更直观。端口镜像用于抓包分析配置很直接指定源端口、目的端口、镜像方向。mirroring-group 1 local mirroring-group 1 mirroring-port GigabitEthernet1/0/5 both mirroring-group 1 monitor-port GigabitEthernet1/0/24把抓包机接在 24 口就能看到 5 口的双向流量。注意镜像会带来额外的带宽压力源端口流量大时可能丢包抓包分析结论要打个折扣。另外 monitor 口不要再配业务 VLAN免得混入无关流量干扰分析。5. 远程管理与安全加固别让管理口成为后门设备能远程管理是好事管理通道本身成为攻击入口就是坏事。这一节讲三个动作账号与 SSH 的规范配置、端口安全与 MAC 绑定、用 ACL 把管理源限制住。这三件事配完设备的暴露面能收窄一大截。5.1 本地用户、服务类型与权限等级H3C V7 的用户模型分管理类manage和网络接入类network交换机登录属于管理类。创建用户的完整命令前面提过这里补充几个细节。service-type决定这个账号能用来干什么可以同时给多个值比如service-type ssh telnet。按最小权限原则只给需要的。authorization-attribute user-role network-admin是最高权限能改所有配置如果只需要查看给network-operator就够了。运维交接时经常出现一堆 network-admin 账号没人认领这是安全隐患定期display local-user清理一下。密码策略也值得配一下password-control相关命令可以设置最小长度、复杂度、老化周期。这些配置不影响功能但能挡住弱口令。VTY 线路的配置有个容易忽视的点line vty 0 4表示 0 到 4 共 5 条并发会话line vty 5 63是另外一批。不同批次的配置是独立的改完一批要确认另一批也改到否则可能出现某些时候能登、某些时候登不上的诡异现象。5.2 端口安全与 MAC 绑定把接入口管起来端口安全的作用是限制某个端口下能学习的 MAC 地址数量防止有人私接小交换机导致一个端口下挂一片设备。interface GigabitEthernet1/0/8 port-security enable port-security max-mac-count 2 port-security port-mode autolearnmax-mac-count 2表示这个口最多学两个 MAC超出的报文直接丢弃。办公工位一般给 1 到 2 个就够了PC 加 IP 电话。port-mode autolearn是自动学习模式学到就记住如果要求更严格可以用userlogin模式配合本地用户认证或者mac-authentication做 MAC 地址认证。MAC 绑定有两种做法。静态绑定是手工写mac-address static xxxx-xxxx-xxxx interface GigabitEthernet1/0/8 vlan 10确定性强但维护量大自动学习是开端口安全让它自己记。我的建议是关键设备服务器、打印机、摄像头用静态绑定普通工位用端口安全限制数量。绑定信息可以用display mac-address随时查。配端口安全时有个坑开启后如果端口已经学到了超额的 MAC可能会触发违规动作把端口关掉。所以最好在业务空闲时段配置或者先看清当前学习数量再设阈值。5.3 用 ACL 限定管理源只让该来的人来SSH 服务开在管理 VLAN 上理论上同网段的人都能尝试登录。加上 ACL 限制就能把登录源收紧到运维网段。acl basic 2010 rule 10 permit source 192.168.99.0 0.0.0.255 rule 20 deny source any line vty 0 4 acl 2010 inbound这段配置的意思是只有 192.168.99.0/24 网段能建立 VTY 会话其他来源一律拒绝。注意顺序先写 permit 再写 deny any反过来的话所有流量在第一条就被拒了。ACL 应用后一定要留一条备用通道比如 Console 或者一个已知可达的跳板机否则规则写错把自己也挡在外面就只能跑机房了。我一般的操作是配完先不退出当前会话另开一个窗口测试新配置能不能登录确认没问题再关掉当前会话。6. 排错命令敲完之后怎么知道它到底生效了配置命令敲完不代表事情结束真正的功夫在验证和排错上。二层不通、三层不通、远程登不上这三类问题的排查路径完全不同但有一个共同点先用 display 类命令把现状看清楚再动手改。盲目 undo 和重配是最浪费时间的做法。6.1 display 命令的组合用法排查问题的第一步永远是看状态而不是猜。几条高频命令按场景归类如下现象先看什么再看什么端口不亮display interface brief看 UP/DOWNdisplay transceiver diagnosis看光功率同一 VLAN 不通display vlan 10看成员display mac-address看是否学到跨交换机不通display port trunk看允许列表display link-aggregation verbose看聚合状态三层不通display ip interface brief看接口状态display ip routing-table看路由拿不到地址display dhcp server ip-in-usedisplay dhcp server statistics远程登不上display ssh server statusdisplay local-user看账号状态display interface brief是我用得最多的一条一屏就能看到所有端口的物理状态、协议状态、速率、双工。物理 UP 协议 DOWN 通常是二层协商问题比如速率双工不匹配、光模块不兼容物理 DOWN 就是链路层的问题线缆、光模块、对端没开。display mac-address是二层排错的王牌。如果两台 PC 在同一 VLAN 却 ping 不通先看交换机有没有学到这两台的 MAC。学到了说明帧进来了问题在转发路径没学到说明帧根本没到交换机问题在终端或者线缆。6.2 常见故障的排查链路拿一个典型场景走一遍某台 PC 换了工位之后上不了网。第一步看端口状态。display interface GigabitEthernet1/0/12确认物理 UP、协议 UP。如果协议 DOWN先怀疑速率协商。第二步看端口配置。display current-configuration interface GigabitEthernet1/0/12确认 link-type 是 access、VLAN 是预期的那个、没有被 shutdown、没有配奇怪的 ACL 或端口安全策略。新工位的端口很可能是空配置或者残留了上一台设备的配置。第三步看 MAC 学习。display mac-address interface GigabitEthernet1/0/12看有没有学到 PC 的 MAC。学到了说明二层通了往下查三层没学到就回头查线缆和网卡。第四步看三层。display arp看有没有 PC 的 ARP 表项display ip interface brief看网关状态ping一下 PC 的地址。如果 ARP 有表项但 ping 不通可能是 PC 防火墙如果 ARP 都没有问题还在二层。第五步看 DHCP。如果 PC 是自动获取地址display dhcp server ip-in-use里有没有它的记录。没有的话看统计里有没有请求进来池子是不是满了。这套流程走下来绝大多数接入层问题能在五分钟内定位。关键是不能跳步很多人一上来就怀疑 DHCP其实端口配置都没配对。6.3 日志、调试与那些不该在生产环境用的命令display logbuffer能看最近的日志端口 up/down、STP 拓扑变化、BPDU 保护触发、光模块异常都会记在这里。日志里的时间戳很重要如果设备时间不准排查跨设备问题时会对不上所以配个 NTP 是值得的ntp-service enable ntp-service unicast-server 192.168.99.10debugging系列命令能看报文级别的细节比如debugging arp packet看 ARP 交互。但这类命令会大量消耗 CPU在生产设备上直接开可能导致业务中断非必要不用。真要用先terminal monitor和terminal debugging打开输出用debugging开一小会儿看完立刻undo debugging all关掉。还有一个常被忽略的对象是光模块。display transceiver diagnosis interface GigabitEthernet1/0/25能看到收发光功率正常范围一般是 -3 到 -20 dBm 之间如果收光接近 -25 甚至更低链路就会不稳定表现为偶发丢包或者端口反复 up/down。这类问题换模块比查配置有用得多。最后提一个我自己的习惯每次改配置之前先display current-configuration导出一份改完之后对比差异确认只改了预期的那几条。设备上没有直接的 diff 命令但把两份文本存到本地比对很直观。这个动作在多人协作维护同一台设备时尤其重要能避免谁改的不知道、改了什么不知道的扯皮。说实话H3C 这套命令体系命令量不小但真正天天用到的也就那么三四十条剩下的靠?和display现场找就行。我刚开始接触的时候也背过命令表后来发现背下来的东西忘得快反而是那些踩过坑、排过障、半夜被叫起来处理过故障的命令一次就记住了。配置这件事先想清楚数据要怎么走再去找对应的命令比反过来有效得多。