适用设备：华为 S5300、S5700、S5720 全系列三层交换机
核心功能：设备初始化、安全运维、VLAN隔离、三层互通、上联路由、环路防护、安全加固、上线核验
一、基础系统初始化配置
<Huawei> system-view # 从用户视图进入系统配置视图
[Huawei] sysname Core-L3-SW # 自定义设备名称，便于运维识别
[Core-L3-SW] undo info-center enable # 关闭终端日志刷屏，避免干扰配置操作
[Core-L3-SW] clock timezone Beijing add 8 # 配置时区为东八区北京时间 |
二、Console本地安全配置
[Core-L3-SW] user-interface console 0 # 进入Console本地管理接口
[Core-L3-SW-ui-console0] authentication-mode password # 开启Console密码认证模式
[Core-L3-SW-ui-console0] set password irreversible-cipher Admin@2026 # 设置加密本地登录密码，不可逆更安全
[Core-L3-SW-ui-console0] idle-timeout 3 # 配置3分钟无操作自动退出终端，防止误操作
[Core-L3-SW-ui-console0] quit # 退出Console接口视图 |
三、AAA用户 + SSH远程运维配置
[Core-L3-SW] local-user admin password irreversible-cipherAdmin@2026# 创建管理员账号，密码加密存储
[Core-L3-SW] local-user admin privilege level 15 # 赋予账号最高15级设备操作权限
[Core-L3-SW] local-user admin service-type ssh terminal # 允许账号本地终端、SSH远程登录
[Core-L3-SW] ssh server enable # 全局开启SSH加密远程服务，替代不安全Telnet
[Core-L3-SW] user-interface vty 0 15 # 进入0-15所有远程虚拟终端线路
[Core-L3-SW-ui-vty0-15] authentication-mode aaa # 远程登录采用AAA账号密码认证
[Core-L3-SW-ui-vty0-15] protocol inbound ssh # 仅放行SSH协议，彻底禁用Telnet明文登录
[Core-L3-SW-ui-vty0-15] idle-timeout 5 # 远程终端5分钟无操作自动下线
[Core-L3-SW-ui-vty0-15] quit # 退出VTY终端视图 |
四、批量创建业务VLAN
[Core-L3-SW] vlan batch 10 20 30 # 批量创建VLAN10(办公)、VLAN20(监控)、VLAN30(访客)，实现业务隔离 |
五、配置三层VLANIF网关（跨VLAN互通核心）
[Core-L3-SW] interface Vlanif 10 # 进入VLAN10三层虚拟接口
[Core-L3-SW-Vlanif10] ip address 192.168.10.1 255.255.255.0 # 配置办公网段默认网关地址
[Core-L3-SW-Vlanif10] quit
[Core-L3-SW] interface Vlanif 20 # 进入VLAN20三层虚拟接口
[Core-L3-SW-Vlanif20] ip address 192.168.20.1 255.255.255.0 # 配置监控网段默认网关地址
[Core-L3-SW-Vlanif20] quit
[Core-L3-SW] interface Vlanif 30 # 进入VLAN30三层虚拟接口
[Core-L3-SW-Vlanif30] ip address 192.168.30.1 255.255.255.0 # 配置访客网段默认网关地址
[Core-L3-SW-Vlanif30] quit |
六、接入端口配置（终端设备接入）
[Core-L3-SW] interface GigabitEthernet 0/0/1 # 进入千兆接入端口0/0/1
[Core-L3-SW-GigabitEthernet0/0/1] port link-type access # 配置端口为终端接入模式
[Core-L3-SW-GigabitEthernet0/0/1] port default vlan 10 # 端口划入办公VLAN10
[Core-L3-SW-GigabitEthernet0/0/1] undo shutdown # 开启端口
[Core-L3-SW-GigabitEthernet0/0/1] quit
[Core-L3-SW] interface GigabitEthernet 0/0/2 # 进入千兆接入端口0/0/2
[Core-L3-SW-GigabitEthernet0/0/2] port link-type access # 配置端口为终端接入模式
[Core-L3-SW-GigabitEthernet0/0/2] port default vlan 20 # 端口划入监控VLAN20
[Core-L3-SW-GigabitEthernet0/0/2] undo shutdown # 开启端口
[Core-L3-SW-GigabitEthernet0/0/2] quit
[Core-L3-SW] interface GigabitEthernet 0/0/3 # 进入千兆接入端口0/0/3
[Core-L3-SW-GigabitEthernet0/0/3] port link-type access # 配置端口为终端接入模式
[Core-L3-SW-GigabitEthernet0/0/3] port default vlan 30 # 端口划入访客VLAN30
[Core-L3-SW-GigabitEthernet0/0/3] undo shutdown # 开启端口
[Core-L3-SW-GigabitEthernet0/0/3] quit |
七、上行Trunk端口配置（对接路由器/上级交换机）
[Core-L3-SW] interface GigabitEthernet 0/0/24 # 进入上联核心端口0/0/24
[Core-L3-SW-GigabitEthernet0/0/24] port link-type trunk # 配置端口为Trunk中继模式，传输多VLAN标签数据
[Core-L3-SW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 30 # 放行所有业务VLAN数据上行
[Core-L3-SW-GigabitEthernet0/0/24] undo shutdown # 开启上联端口
[Core-L3-SW-GigabitEthernet0/0/24] quit |
八、默认路由配置（全网外网访问）
[Core-L3-SW] ip route-static 0.0.0.0 0.0.0.0 192.168.1.1 # 配置默认路由，所有外网流量转发至路由器内网网关 |
九、设备安全与环路加固（企业必配）
[Core-L3-SW] stp enable # 开启生成树协议，防止二层网络环路、杜绝广播风暴
[Core-L3-SW] undo telnet server enable # 关闭明文Telnet服务，避免账号密码明文泄露
[Core-L3-SW] undo http server enable # 关闭不安全WEB管理功能，缩小设备攻击面 |
十、上线核验 & 配置保存
[Core-L3-SW] display current-configuration # 查看设备完整配置，核对配置无误
[Core-L3-SW] display vlan brief # 快速查看VLAN划分及端口绑定情况
[Core-L3-SW] display ip routing-table # 查看路由表，确认默认路由生效
[Core-L3-SW] display stp brief # 查看生成树状态，确认网络无环路
[Core-L3-SW] save # 永久保存配置，设备断电重启不丢失
Y # 确认保存操作 |
