华为交换机 · 路由器 · 防火墙学习笔记

适用对象：从零开始学华为数通设备（S 系列交换机、AR 系列路由器、USG 系列防火墙），目标是能看懂配置、能动手配通一个小网络、能排常见故障。用法：先通读第 0～1 章建立整体概念，再按交换机 → 路由器 → 防火墙顺序学；命令部分建议在华为 eNSP 模拟器里逐条敲一遍，光看不练记不住。

0. 先搞清三类设备各干什么

设备	工作层次	一句话职责	华为典型系列
交换机	二层（为主）	同一个局域网内部转发数据，按 MAC 地址找人	S 系列（S5700、S5735 等）
路由器	三层	在不同网络之间选路，把数据送出局域网、上互联网	AR 系列（AR6120、AR720 等）
防火墙	三层 + 安全	控制“谁能访问谁”，做安全隔离、NAT、上网管控	USG 系列（USG6600、USG6300 等）

一个典型小网络的搭配：终端 → 交换机（接入）→ 防火墙（安全出口）→ 路由器/光猫 → 互联网。小门店或小公司也常见“路由器兼做出口 + 防火墙功能”的简化方案，但原理不变：交换机管内网互通，路由器管选路，防火墙管放行规则。

0.1 必须先懂的几个基础概念

MAC 地址：网卡的物理地址，如 5489-98f7-1234（华为显示格式是每 4 位一短横）。二层转发靠它。
IP 地址与子网掩码：如 192.168.1.10/24，掩码决定“同一网段”的范围。同网段直达，不同网段必须经网关（三层设备）转发。
网关：本网段通往外网的出口 IP，一般是三层交换机 VLANIF 接口或路由器/防火墙接口的 IP，如 192.168.1.1。
ARP：已知对方 IP、查对方 MAC 的协议。display arp 是排错常用命令。
OSI/TCP-IP 分层排错思想：物理层（线、灯）→ 二层（VLAN、MAC）→ 三层（IP、路由）→ 四层（端口）→ 应用。自下而上查，不跳层。

1. 通用基础：VRP 系统与命令习惯（三类设备通用）

华为三类设备都跑 VRP（Versatile Routing Platform） 系统，命令体系基本一致，学会一台，其他两台上手很快。

1.1 视图层级

<Hostname>            用户视图：只能看、测（ping）、存配置，不能改配置
<Hostname> system-view → 进入系统视图
[Hostname]            系统视图：全局配置（改名、建 VLAN、进接口……）
[Hostname-GigabitEthernet0/0/1]  接口视图等子视图

system-view（可简写 sys）：进入系统视图
quit：退回上一层视图
return 或 Ctrl+Z：直接回到用户视图
?：任意位置打问号，列出当前可用的命令/参数——新手最重要的键
Tab：补全命令；命令可以简写，只要不与别的命令冲突（如 dis cu = display current-configuration）
undo xxx：删除/取消一条已配的命令（华为的“删除”就是加 undo）

1.2 第一次上手必做的事

<Huawei> system-view
[Huawei] sysname SW1                      改设备名
[SW1] user-interface console 0
[SW1-ui-console0] idle-timeout 0 0        （可选）控制台永不超时，实验室方便；生产环境别这么设

1.3 配置的保存（高频坑点）

VRP 的配置改完立即生效，但断电就丢，必须手动保存：

<SW1> save

display current-configuration：看正在运行的配置（已改未存的也在里面）
display saved-configuration：看已保存的配置（下次开机用的）
reset saved-configuration：清空已保存配置（恢复出厂流程的一步，需再重启）
口诀：改完配置，先验证通不通，再 save。先存后验，配错了连回滚都麻烦。

1.4 常用查看命令（display 家族，先记住这批）

命令	看什么
`display version`	系统版本、运行时间
`display device`	板卡/设备状态
`display interface brief`	所有接口的物理/协议状态速览
`display ip interface brief`	所有三层接口 IP 速览
`display current-configuration`	全部运行配置
`display logbuffer`	日志缓冲区（排错先看它）
`ping` / `tracert`	连通性 / 路径跟踪

2. 交换机（S 系列）

2.1 二层转发原理（理解了才懂后面所有配置）

交换机靠 MAC 地址表转发：从某端口学到源 MAC → 帧要去某目的 MAC 时查表 → 表里有就从对应端口发出，没有就泛洪（除入端口外全发）。MAC 表老化时间默认 300 秒。

[SW1] display mac-address        查看 MAC 地址表（排错：终端的 MAC 学到了哪个口）

2.2 VLAN：把一个局域网切成几个逻辑网

为什么切：隔离广播、隔离部门（如财务和普通办公互不相通）、配合不同网段做策略。一个 VLAN = 一个广播域 = 通常对应一个 IP 网段。

[SW1] vlan batch 10 20 30                 一次建多个 VLAN
[SW1] vlan 10
[SW1-vlan10] description caiwu            给 VLAN 写说明（好习惯）

2.3 三种端口类型（交换机最核心的知识点）

端口类型	用途	特点
Access	接电脑、打印机等终端	只属于 1 个 VLAN，进出帧不带标签
Trunk	交换机↔交换机、交换机↔路由器/防火墙	允许多个 VLAN 通过，帧带 VLAN 标签（802.1Q）
Hybrid	灵活场景（如一口多 VLAN 给终端）	可自定义哪些 VLAN 带标签/不带，初学可先跳过

Access 口配置（把端口划进 VLAN 10）：

[SW1] interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1] port link-type access
[SW1-GigabitEthernet0/0/1] port default vlan 10

Trunk 口配置（允许 VLAN 10、20 通过）：

[SW1] interface GigabitEthernet 0/0/24
[SW1-GigabitEthernet0/0/24] port link-type trunk
[SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20
[SW1-GigabitEthernet0/0/24] port trunk pvid vlan 1      PVID=该口的默认 VLAN（收无标签帧时归入）

查看：display vlan（看 VLAN 和成员口）、display port vlan。

高频坑点：两台交换机互联口一端 Trunk、一端 Access，或 Trunk 没放行某个 VLAN，是“某部门突然全断网”的头号原因，先查这里。

2.4 VLANIF：让交换机做三层网关

三层交换机可以给每个 VLAN 建一个逻辑三层接口 VLANIF，作为该 VLAN 的网关，实现 VLAN 间互访：

[SW1] interface Vlanif 10
[SW1-Vlanif10] ip address 192.168.10.1 24
[SW1-Vlanif10] quit
[SW1] interface Vlanif 20
[SW1-Vlanif20] ip address 192.168.20.1 24

配完后 VLAN 10 与 20 的终端把网关分别指向 .1，即可互通。注意：互通是默认全通的，想限制（如财务 VLAN 不让别人进）要在交换机上加 ACL，或把网关放到防火墙上做策略（见第 4 章）。

2.5 链路聚合 Eth-Trunk：多条线捆成一条

两条千兆线捆成逻辑 2Gbps，并互为备份（断一条不断网）：

[SW1] interface Eth-Trunk 1
[SW1-Eth-Trunk1] mode lacp-static           LACP 动态协商（推荐）；或 mode manual load-balance 手工模式
[SW1-Eth-Trunk1] trunkport GigabitEthernet 0/0/23 0/0/24   把物理口加入（手工模式写法）

LACP 模式下加入成员口的写法：进入物理口执行 eth-trunk 1。两端配置必须一致。查看：display eth-trunk 1。

2.6 STP/RSTP：防环路

两台交换机之间有两条链路就会成环，广播风暴能直接打瘫网络。生成树协议自动阻塞一条冗余链路，主链路断了再放开备用。

[SW1] stp enable
[SW1] stp mode rstp                RSTP 收敛比 STP 快，日常用 RSTP 或 MSTP
[SW1] stp root primary             把核心交换机设为根桥（主）

接终端的端口设为边缘端口（跳过等待、立即转发）：

[SW1-GigabitEthernet0/0/1] stp edged-port enable

查看：display stp brief。坑点：乱插网线成环 + 没开 STP = 全网卡顿丢包，排错时先想环路。

2.7 交换机其他常用功能（知道有、用时查）

DHCP Snooping：防私接小路由器乱发 DHCP。核心交换机/接入层开启，只信任上行口为 DHCP 服务器方向。
端口安全（port-security）：限制端口可学 MAC 数量、防 MAC 泛洪，接会议室等公共口可用。
LLDP：邻居发现协议，display lldp neighbor brief 能看到每个口对端接的是什么设备——理线神器。
** PoE**：display poe power 查看供电（给 AP、摄像头供电的交换机排错用）。

3. 路由器（AR 系列）

3.1 接口配 IP（一切三层功能的基础）

[AR1] interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0] ip address 192.168.1.1 24
[AR1-GigabitEthernet0/0/0] undo shutdown      接口默认可能是关闭的，记得打开

3.2 路由：告诉路由器“去某个网段往哪走”

路由表查看：display ip routing-table。路由来源优先级（协议优先级，越小越优）：直连 0 ＜ OSPF 10 ＜静态 60 ＜ RIP 100。

静态路由（小网络、出口默认路由最常用）：

[AR1] ip route-static 192.168.20.0 24 192.168.1.2        去 192.168.20.0/24，下一跳交给 192.168.1.2
[AR1] ip route-static 0.0.0.0 0.0.0.0 202.100.1.1        默认路由：所有未知目的地走运营商网关（上网就靠它）

浮动静态路由（备份线路）：给备用路由加更大的 preference 值，平时不生效，主线路断了自动顶上：

[AR1] ip route-static 0.0.0.0 0.0.0.0 202.100.2.1 preference 100

3.3 OSPF：中大型内网的动态路由（只需懂基本盘）

思路：每台路由器把自己直连的网段“通告”进同一个区域（Area），大家自动算出最短路径，链路断了自动绕行。

[AR1] ospf 1 router-id 1.1.1.1              进程 1，router-id 全网唯一，自己编个好记的
[AR1-ospf-1] area 0                          骨干区域 0
[AR1-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255   通告网段（注意用反掩码）

查看邻居：display ospf peer（状态为 Full 才是建好）
查看 OSPF 路由：display ip routing-table protocol ospf
DR/BDR：同一网段多台路由器会选一个 DR 负责协调，由接口优先级+router-id 决定，初学知道有这回事即可
成本（cost）：与带宽相关，路径选择看总成本最小

3.4 DHCP：自动给终端发地址

[AR1] dhcp enable
[AR1] ip pool LAN                              建地址池
[AR1-ip-pool-LAN] network 192.168.1.0 mask 24
[AR1-ip-pool-LAN] gateway-list 192.168.1.1     发给终端的网关
[AR1-ip-pool-LAN] dns-list 223.5.5.5 114.114.114.114
[AR1-ip-pool-LAN] excluded-ip-address 192.168.1.200 192.168.1.254   排除段（留给服务器/打印机固定 IP）
[AR1-ip-pool-LAN] lease day 3
[AR1] interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0] dhcp select global  接口启用全局地址池

查看分配情况：display ip pool。坑点：终端拿不到地址，先查 DHCP 是否 enable、地址池网段与接口是否同一网段、池子是否发完。

3.5 ACL：访问控制列表（路由器和防火墙的通用语言）

ACL 本身只是一张“条件清单”，要挂到某个功能上（NAT、流量过滤、路由策略）才起作用。

类型	编号范围	匹配粒度
基本 ACL	2000～2999	只看源 IP
高级 ACL	3000～3999	源/目的 IP、协议、源/目的端口全可匹配

[AR1] acl number 3000
[AR1-acl-adv-3000] rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 1433
[AR1-acl-adv-3000] rule 10 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.10.0 0.0.0.255

要点：规则按编号从小到大匹配，命中即停；末尾有隐含 deny（高级 ACL 用于流量过滤时）；通配符掩码与子网掩码相反，如 /24 写 0.0.0.255。

3.6 NAT：内网地址转公网地址上网（出口必配）

内网用私有地址（192.168.x.x），上公网必须做 NAT 转换。最常用的是 Easy IP（借用出口接口的公网 IP 做转换，小网络标配）：

[AR1] acl number 2000
[AR1-acl-basic-2000] rule 5 permit source 192.168.0.0 0.0.255.255   允许哪些内网网段做 NAT
[AR1] interface GigabitEthernet 0/0/1          （出口/WAN 口）
[AR1-GigabitEthernet0/0/1] nat outbound 2000   在出口接口上启用

其他 NAT 形态（知道区别即可）：

地址池 NAT：有多个公网 IP 时，用 nat address-group 建池，nat outbound 2000 address-group 1
NAT Server：把内网服务器发布到公网（如把内网一台机器的 1433/3389 映射出去）： [AR1-GigabitEthernet0/0/1] nat server protocol tcp global 202.100.1.10 1433 inside 192.168.10.10 1433 ⚠️ 端口映射等于把内网服务直接暴露在公网，务必配合防火墙策略和强口令，别裸奔。
静态 NAT：内网 IP 与公网 IP 一对一固定绑定

查看会话：display nat session all（看转换中的连接，排“能上网但某应用不通”很有用）。

3.7 VRRP：网关冗余（两台设备互为备份）

两台路由器/三层交换机共用一个虚拟网关 IP，主设备挂了备设备自动接管，终端无感：

[主] interface Vlanif 10 / 或物理口
[主] vrrp vrid 1 virtual-ip 192.168.10.1     虚拟网关（终端填这个）
[主] vrrp vrid 1 priority 120                优先级高者为主（默认 100）
[备] vrrp vrid 1 virtual-ip 192.168.10.1     备机优先级保持默认 100 即可

查看：display vrrp brief。

3.8 PPPoE 拨号（宽带上网场景，了解即可）

家庭/小门店宽带常用：建 Dialer 口填运营商账号密码 → Dialer 口做 NAT 出口 → 默认路由指向 Dialer 口。具体命令因型号略有差异，用时按“AR PPPoE 拨号”查官方配置手册对应章节抄即可。

4. 防火墙（USG 系列）

防火墙的思维与路由器不同：路由器默认“能通就通”，防火墙默认“先全部拦住，再逐条放行”。

4.1 安全区域（Zone）：防火墙的地基概念

接口必须先划入安全区域，流量才能谈策略。预定义区域与默认安全级别（级别高=更可信）：

区域	默认级别	典型放什么
Local	100	防火墙本身（管理、协议报文）
Trust	85	内网办公区
DMZ	50	对外服务器区（网站、对外系统）
Untrust	5	互联网

[FW] firewall zone trust
[FW-zone-trust] add interface GigabitEthernet 1/0/1      把内网口加入 Trust
[FW] firewall zone untrust
[FW-zone-untrust] add interface GigabitEthernet 1/0/0    把外网口加入 Untrust

4.2 安全策略：决定“谁能访问谁”（防火墙最核心的配置）

默认规则：区域之间（域间）默认全部拒绝；配了 permit 才放行。策略按从上到下顺序匹配，命中即停。

[FW] security-policy
[FW-policy-security] rule name trust_to_untrust
[FW-policy-security-rule-trust_to_untrust] source-zone trust
[FW-policy-security-rule-trust_to_untrust] destination-zone untrust
[FW-policy-security-rule-trust_to_untrust] source-address 192.168.1.0 24
[FW-policy-security-rule-trust_to_untrust] action permit

细化控制可以加 destination-address（目的）、service（服务/端口，如 http、自定义服务集）。原则：只放行必需的源、目的和端口，别写“全通”图省事——那等于没装防火墙。

查看：display security-policy rule all（看策略及命中次数，命中 0 次的策略说明没生效或没流量）。

4.3 会话表与状态检测

防火墙是状态防火墙：首包查策略，通过后建会话，后续包和回包查会话快速放行。所以“出去能出去、回来进不来”在防火墙上一般不是问题，问题往往出在首包方向的策略。

[FW] display firewall session table        看当前会话（源/目的/端口/命中策略）

4.4 防火墙上的 NAT

USG 上 NAT 用独立的 NAT 策略配置（与安全策略是两套，要同时配对：安全策略放行 + NAT 策略转换）

[FW] nat-policy
[FW-policy-nat] rule name nat_out
[FW-policy-nat-rule-nat_out] source-zone trust
[FW-policy-nat-rule-nat_out] destination-zone untrust
[FW-policy-nat-rule-nat_out] source-address 192.168.1.0 24
[FW-policy-nat-rule-nat_out] action source-nat easy-ip

把内网服务器对外发布用 nat server（全局地址/端口 → 内部服务器），同样要再配一条 Untrust→DMZ 的安全策略只放行对应服务端口。

4.5 防火墙管理与安全加固（上线前必做）

管理方式：Web 界面（默认 https://192.168.0.1 一类管理口地址，视型号）、SSH、Console；关掉 Telnet 和 HTTP 明文管理
改默认管理员密码；新建管理员并分级（系统管理员/审计管理员等）
接口上按需开启管理服务，不要对 Untrust 接口开放管理（service-manage 相关配置，老版本在接口下，新版本在管理策略里）
定期 display logbuffer 看日志，开启日志记录到策略里（session logging），出事能溯源

4.6 双机热备 HRP（重要场景知道原理）

两台 USG 一主一备，配置和会话自动同步，主机故障备机秒级接管，外网 IP、网关 IP 不变。查看：display hrp state。前提是两台型号、版本一致，有专门的心跳口直连。

4.7 IPSec VPN：两个网络通过公网安全互联（分支互联常见）

概念四件套，不背命令、理解流程：① IKE 提议（加密/认证算法协商）→ ② IKE 对等体（对端公网 IP、预共享密钥）→ ③ 用 ACL 定义“感兴趣流”（哪些内网网段之间要走隧道）→ ④ IPSec 策略绑到出口接口。排错先看 IKE SA 是否建立（display ike sa），再看 IPSec SA（display ipsec sa）；两端算法、密钥、感兴趣流 ACL 必须镜像一致，十有八九的 VPN 不通都是两端参数对不上。

4.8 内容安全（知道有这些能力即可）

USG 还可做：入侵防御（IPS）、病毒过滤、URL 过滤（限网站分类）、应用识别与管控（如限视频/游戏应用）、审计日志。这些按授权（License）开通，配置在“安全策略里引用对应的 profile”，初学先把 4.1～4.4 的基础打牢。

5. 三台设备通用命令速查表（建议贴墙）

目的	命令
保存配置	`save`
看全部配置	`display current-configuration`
看某个接口的配置段	`display current-configuration interface GigabitEthernet 0/0/1`
接口状态速览	`display interface brief`
IP 接口速览	`display ip interface brief`
路由表	`display ip routing-table`
ARP 表	`display arp`
MAC 表（交换机）	`display mac-address`
VLAN 列表	`display vlan`
OSPF 邻居	`display ospf peer`
DHCP 地址池	`display ip pool`
NAT 会话	`display nat session all` / 防火墙 `display firewall session table`
防火墙策略命中	`display security-policy rule all`
日志	`display logbuffer`
撤销一条配置	在对应视图下 `undo 原命令`
恢复命令默认	同上，用 undo

6. 排错思路（按层查，别乱试）

口诀：先物理、后逻辑；先本机、后对端；改一条、测一次；动生产配置前先备份 display current-configuration 全文。

物理层：接口灯亮不亮、display interface brief 是不是 UP/UP？线、水晶头、光模块先换一根试。
二层：终端 MAC 学到了吗（display mac-address）？VLAN 划对没有、Trunk 放行没有？怀疑环路先查 display stp brief。
三层：终端 IP/掩码/网关填对没有？在设备上 ping 网关、ping 对端，一段一段缩小范围；查 display arp（有 ARP 无回应多半是对端问题）、display ip routing-table（有没有去目的网段的路由、回程路由对端有没有——回程路由缺失是新手最常见的坑）。
策略层：经过防火墙不通 → 查会话表有没有会话、策略命中次数有没有涨；路由器 ACL 同理，先临时放行一条测试定位，再收紧。
NAT：能上内网不能上外网 → 查默认路由、NAT 是否配在出口接口、ACL 是否包含该网段、会话表有没有生成转换记录。
应用层：IP 能 ping 通但业务不通 → 多半是端口/服务问题，查目的端口监听、防火墙 service 是否放行该端口、服务器自身防火墙。

7. 实战拓扑：一家小门店的网络（综合练习）

需求：门店有收银区、办公区、客用 WiFi 三类终端，要隔离：收银最重要、只许访问总部和支付通道；办公可上网；客用 WiFi 只上网、不许进内网。

规划：
- VLAN 10 收银区  192.168.10.0/24  网关 192.168.10.1
- VLAN 20 办公区  192.168.20.0/24  网关 192.168.20.1
- VLAN 30 客用    192.168.30.0/24  网关 192.168.30.1
- 设备互联段      192.168.254.0/30（交换机 ↔ 防火墙）

做法（要点）：
1. 交换机建 3 个 VLAN，接终端的口配 Access 划入对应 VLAN；上行口 Trunk 放行 10/20/30。
2. 网关放在防火墙上：防火墙用子接口（或物理口接三层交换机做 VLANIF 再互联）分别做三个 VLAN 的网关——放防火墙上才能用安全策略精细控制。
3. 防火墙策略：
   - 收银区 → Untrust：只放行支付所需的目的/端口；收银区 → 总部网段走 IPSec VPN
   - 办公区 → Untrust：放行常规上网
   - 客用 → Untrust：放行上网；客用 → 收银/办公：明确 deny（或靠默认拒绝，单独说明）
   - 收银 ↔ 办公之间默认不通，只按需要开单向单端口
4. 防火墙 NAT 策略：三个内网网段出 Untrust 做 Easy IP。
5. 交换机给收银口开 DHCP Snooping + 只信任上行方向，防私接设备乱发地址。

这个拓扑把前面所有知识点串起来了：在 eNSP 里搭一遍、逐项验证（各 VLAN 终端 ping 网关、客用 ping 不通收银、收银能出网），这份笔记就算学通了大半。

8. 学习路线与练习清单

顺序（约按 HCIA-Datacom 的知识框架）： 1. 第 1 章 VRP 操作 + 第 2 章 VLAN/Trunk（先把二层玩熟） 2. VLANIF/静态路由 → OSPF → DHCP/ACL → NAT 3. 防火墙区域与安全策略 → 防火墙 NAT → 双机/IPSec 概念 4. 第 7 章综合拓扑独立搭一遍

动手工具：华为 eNSP 模拟器（免费，含 S5700、AR、USG 模拟设备），配合 VirtualBox 使用；找不到安装包时也可以用真机 Console 口练。

自测清单（每条都能不看笔记独立完成才算过）： - [ ] 改设备名、配 Console/管理、保存配置并验证 - [ ] 两个 VLAN 终端经三层交换机互通；改 Trunk 放行后跨交换机互通 - [ ] 两台路由器静态路由实现三网段互通；拔掉主线路后浮动路由自动切换 - [ ] OSPF 邻居到 Full，断一条链路后路由自动收敛 - [ ] DHCP 自动发地址且排除段不发；ACL 只放行指定端口后其余被拦 - [ ] 出口 NAT（Easy IP）让内网终端上网，会话表能看到转换记录 - [ ] 防火墙默认拒绝下，只配策略放行指定网段上网；客用网段访问内网被拦 - [ ] 故意配错一条（如 Trunk 少放行一个 VLAN），用第 6 章的顺序自己查出来

说明：命令以主流 VRP V200 版本为准，不同型号/版本个别命令有差异（如防火墙管理服务、聚合加入成员口的写法），实际配置时以对应型号的官方配置手册为准。

华为交换机 · 路由器 · 防火墙 学习笔记