多厂商网络设备配置手册：交换机路由器防火墙命令实战与模拟器实验

这次我们来看一份覆盖华为、H3C、锐捷、思科等多厂商的网络设备配置手册合集。注意，不是只讲某个品牌的一两条命令，而是把交换机、路由器、防火墙的常用配置命令按场景整理好，能查、能练、能对着敲。

这类手册最核心的价值不是“命令大全”四个字，而是它能不能帮你把零散的知识串成一条完整路径：登录设备、配置 VLAN、打通三层路由、部署防火墙安全策略、最后用模拟器验证整条链路。对零基础小白来说，最怕的是背了一堆命令，却不知道什么场景该用哪一条；对已经入门的网络工程师来说，最怕的是换了一台设备型号，命令体系全变了。

本文会围绕这份多厂商配置手册，拆解它的内容结构和学习路径，重点放在交换机、路由器、防火墙三类设备的配置命令实战。同时结合 eNSP、HCL、GNS3 等主流模拟器的使用方法，给出本地实验环境的搭建思路，再延伸到软考网络工程师备考和网络工程师面试题这些实际场景。整篇文章适合零基础入行、准备软考、以及正在准备网络工程师面试的读者。

1. 核心能力速览

要判断一份配置手册值不值得看，先看它的覆盖面和可用性。

能力项	说明
覆盖厂商	华为、H3C、锐捷、思科为主，部分内容涉及深信服、天融信等国内防火墙品牌
设备类型	交换机、路由器、防火墙三大类
命令体系	华为 VRP、H3C Comware、锐捷 RGOS、思科 IOS，四套命令风格并行
配置场景	VLAN、Trunk、端口镜像、堆叠、路由协议、VRRP、NAT、安全策略、黑白名单
实验环境	eNSP、HCL、GNS3、EVE-NG，均可搭建本地虚拟化实验环境
学习门槛	零基础可学，但需要具备基础的 IP 地址、子网掩码、VLAN 概念
拓展价值	与软考网络工程师考试、企业网工面试题、日常运维排错结合紧密
使用方式	查命令、抄配置、搭模拟器练手、按场景做排错验证

从这几项就能看出，这份手册不是单一品牌的命令清单，而是一套“多厂商对照 + 实战场景”的配置参考。对网工来说，最值钱的是命令背后的思路：面对一个业务需求，应该在哪一层设备上做什么配置。

2. 适用场景与使用边界

2.1 适合谁

第一类是想转行网络工程师的零基础人群。手册把交换机、路由器、防火墙的命令按功能模块拆开，每个模块都有输入示例和验证方法，比直接啃厂商官方文档要友好得多。

第二类是准备软考网络工程师的考生。软考中级网络工程师的下午案例分析题，经常直接给出一台设备的部分配置输出，让你判断故障、补齐配置或者说明命令作用。这类题目考的不是死记硬背，而是你对配置命令的理解和排错思路。手册里的配置场景，正好覆盖了这部分考点。

第三类是刚上岗的初级运维或网络管理员。日常工作中最常见的三类需求：把一台新交换机接入网络并划分 VLAN、配置路由器实现部门间互通、在防火墙上放通或阻断某个业务流量。手册里对应场景都有可直接套用的配置模板。

2.2 不适合什么场景

如果是想通过看手册就能直接上手管理几千台设备的大型园区网，那不太现实。大型网络的难点在架构设计、冗余规划、自动化运维，而不是单条命令。手册更适合解决单台或小规模组网的配置问题。

另外，如果完全不了解 IP 地址、子网掩码、网关、MAC 地址这些基础概念，建议先补几节计算机网络基础再来看命令，否则容易出现“命令敲对了，但不知道为什么要这样敲”的情况。

2.3 版权、隐私与安全边界

这里必须强调一点：配置命令手册类的学习内容，应当用于合法的网络实验、企业网络运维和认证考试备考。所有实验操作建议在模拟器或自有测试设备上完成，不要未经授权访问或配置他人的网络设备。

在真实企业环境中配置防火墙、交换机、路由器时，要严格遵守单位的网络管理制度，不得利用设备配置绕过安全审查，不得将内部网络配置信息用于未经授权的用途。涉及远程登录配置时，要注意账号口令的保密，启用 SSH 代替 Telnet，避免明文传输口令。

3. 环境准备：用模拟器搭一套免费实验室

先给结论：现阶段零基础学网络配置，不要急着买真机。模拟器完全够用，而且容错率高，配置写错了大不了重启设备，不用像真机那样担心误操作影响生产网络。

3.1 主流模拟器对比

模拟器	主要厂商	优点	缺点
eNSP	华为	华为官方出品，命令与真实设备一致度高，内置拓扑拖拽方便	部分版本需要配套 VirtualBox，启动设备偶发失败
HCL	H3C	H3C 官方模拟器，适合华三设备配置练习	对 VirtualBox 版本敏感，不支持 macOS
GNS3	多厂商	支持导入思科 IOS、部分第三方设备镜像，扩展性强	需要自己找 IOS 镜像，配置门槛略高
Cisco Packet Tracer	思科	适合思科 CCNA 学习，操作简单	部分高级命令不支持，命令集有限

如果是零基础，优先推荐按目标厂商选模拟器：目标是华为就装 eNSP，目标是 H3C 就装 HCL，目标是思科就装 Packet Tracer 或 GNS3。学完一个厂商的命令体系，再切换另一个厂商时会发现，除了进入系统视图和查看命令的写法有差异，配置逻辑几乎是一样的。

3.2 模拟器安装通用检查清单

模拟器安装失败，七成以上是环境依赖问题。安装前先检查这几项：

• 操作系统位数，建议使用 64 位 Windows 10/11 或 Windows Server。
• VirtualBox 版本与模拟器要求是否匹配。eNSP 对 VirtualBox 版本比较敏感，版本不匹配容易导致设备无法启动。
• 关闭防火墙或杀毒软件对模拟器进程的拦截。eNSP 启动时经常因为防火墙拦截导致 ARP 通信失败。
• 安装路径不要带中文和空格，避免调用底层命令时路径解析异常。
• 以管理员身份运行模拟器安装包和主程序。
• 检查电脑 BIOS 中虚拟化开关是否开启，任务管理器“性能”标签页能看到“虚拟化: 已启用”才算正常。

3.3 模拟器中需要安装的依赖组件

以 eNSP 为例，常见需要安装依赖组件，安装包路径下的依赖目录通常包含 WinPcap、VirtualBox、Wireshark 等。确认依赖组件全部安装完成后，再启动 eNSP 并拖入设备。如果路由器或交换机启动后长时间一直显示“启动中”，优先排查 VirtualBox 版本和虚拟化开关。

4. 交换机配置实战：从登录到业务上线

交换机的配置是网工日常工作中最基础也最高频的内容。以下配置以华为 VRP 命令体系为主，H3C、锐捷和思科的差异会在第 7 章统一对照。

4.1 登录设备与基本视图

新交换机第一次上电，通常通过 Console 口登录。用 SecureCRT、Xshell、Putty 等终端软件连接，串口参数按照设备说明书设置，常见的是波特率 9600，数据位 8，停止位 1，无校验。

登录后进入用户视图，输入system-view进入系统视图：

<Huawei> system-view [Huawei] sysname LSW-CORE-01

把设备名改成LSW-CORE-01，方便后续多设备管理时区分。

查看当前配置：

[Huawei] display current-configuration

保存配置，避免重启丢失：

[Huawei] return <LSW-CORE-01> save The current configuration will be written to the device. Are you sure to continue? [Y/N]: Y

4.2 创建 VLAN 并配置 Access 和 Trunk

业务隔离是交换机的第一需求。假设现在要把两台服务器划分到 VLAN 10，把办公网段划分到 VLAN 20。

创建 VLAN：

<LSW-CORE-01> system-view [LSW-CORE-01] vlan batch 10 20

配置接口 GE0/0/1 为 Access 口，加入 VLAN 10：

[LSW-CORE-01] interface GigabitEthernet0/0/1 [LSW-CORE-01-GigabitEthernet0/0/1] port link-type access [LSW-CORE-01-GigabitEthernet0/0/1] port default vlan 10 [LSW-CORE-01-GigabitEthernet0/0/1] quit

配置上联接口 GE0/0/24 为 Trunk，放通 VLAN 10 和 VLAN 20：

[LSW-CORE-01] interface GigabitEthernet0/0/24 [LSW-CORE-01-GigabitEthernet0/0/24] port link-type trunk [LSW-CORE-01-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 [LSW-CORE-01-GigabitEthernet0/0/24] quit

验证命令：

<LSW-CORE-01> display vlan <LSW-CORE-01> display port vlan

如果 VLAN 没有生效，先检查接口是否处在正确的视图下，再检查接口类型是否配成 Trunk 却用了 Access 的放通方式。

4.3 端口镜像配置

企业排查故障或做流量审计时，经常需要把某个接口的流量复制到监控接口。华为交换机端口镜像配置：

<LSW-CORE-01> system-view [LSW-CORE-01] observe-port 1 interface GigabitEthernet0/0/2 [LSW-CORE-01] interface GigabitEthernet0/0/1 [LSW-CORE-01-GigabitEthernet0/0/1] port-mirroring to observe-port 1 both [LSW-CORE-01-GigabitEthernet0/0/1] quit

both表示双向流量镜像，也可以按需求改成inbound或outbound。配置完成后，在监控接口 GE0/0/2 上接一台抓包设备或 Wireshark，就可以看到被镜像接口的流量。

4.4 交换机堆叠配置

堆叠用于把多台交换机虚拟成一台逻辑设备，简化管理并提高链路冗余。华为堆叠配置一般在系统视图下设置堆叠成员编号和优先级：

[LSW-CORE-01] stack member 1 priority 200 [LSW-CORE-01] stack member 2 priority 150

具体堆叠口的绑定和物理连线需要结合实际设备型号。第一次操作堆叠建议在模拟器里先验证逻辑，不要直接在生产设备上敲。堆叠配置错误可能导致两台设备同时抢占管理地址，造成业务中断。

4.5 交换机 DHCP 配置

有些场景要求交换机直接给终端分配 IP 地址。以华为交换机为例，在 VLANIF 接口上启用 DHCP：

[LSW-CORE-01] dhcp enable [LSW-CORE-01] interface Vlanif10 [LSW-CORE-01-Vlanif10] ip address 192.168.10.254 255.255.255.0 [LSW-CORE-01-Vlanif10] dhcp select interface [LSW-CORE-01-Vlanif10] quit

如果需要排除某些地址不分配，可以配置地址池参数。锐捷交换机释放某个地址的命令和使用场景更偏向实机操作，如果遇到设备地址租约异常，可以先在用户视图下执行clear ip dhcp binding，再重新获取地址。

5. 路由器配置实战：打通三层网络

交换机的核心任务是二层转发，路由器才是解决三层互通的关键。

5.1 配置接口 IP 地址

华为路由器进入接口视图：

<AR1> system-view [AR1] interface GigabitEthernet0/0/0 [AR1-GigabitEthernet0/0/0] ip address 192.168.1.1 255.255.255.0 [AR1-GigabitEthernet0/0/0] quit

配置完成后用display ip interface brief查看接口状态和 IP 地址，接口物理状态和协议状态都必须是 Up，否则路由无法正常工作。

5.2 配置静态路由

两台路由器直连后，全网互通还需要回程路由。假设 AR1 连接 192.168.1.0/24 网段，AR2 连接 192.168.2.0/24 网段，中间链路网段是 10.0.0.0/30。

在 AR1 上配置去往 192.168.2.0/24 的静态路由：

[AR1] ip route-static 192.168.2.0 255.255.255.0 10.0.0.2

在 AR2 上配置回程路由：

[AR2] ip route-static 192.168.1.0 255.255.255.0 10.0.0.1

验证命令：

<AR1> display ip routing-table <AR1> ping 192.168.2.1

如果 ping 不通，先检查直连接口的物理状态，再检查回程路由是否缺失。很多静态路由问题不是去程配置错了，而是回程路由没写。

5.3 配置 OSPF 动态路由

静态路由适合小型网络，规模变大后推荐使用 OSPF。以华为路由器为例：

[AR1] ospf 1 router-id 1.1.1.1 [AR1-ospf-1] area 0 [AR1-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255 [AR1-ospf-1-area-0.0.0.0] network 10.0.0.0 0.0.0.3 [AR1-ospf-1-area-0.0.0.0] quit

OSPF 配置完成后，用display ospf peer查看邻居状态，正常的邻居状态是 Full。

5.4 配置 VRRP 实现网关冗余

VRRP 通常部署在三层交换机或路由器上，为终端提供冗余网关。以思科设备为例：

interface Vlan10 ip address 192.168.10.2 255.255.255.0 vrrp 10 ip 192.168.10.254 vrrp 10 priority 150

华为设备使用vrrp vrid 10 virtual-ip 192.168.10.254，命令风格不同，但原理一致。VRRP 优先级越高，越有机会成为 Master。模拟器中验证 VRRP 时，可以只配置一台设备，观察虚拟 IP 是否生效，再配置第二台设备，测试主备切换。

5.5 配置 NAT 实现上网

内网终端访问互联网离不开 NAT。以华为路由器为例，配置 ACL 匹配内网网段，再在出接口上做 NAT：

[AR1] acl number 2000 [AR1-acl-basic-2000] rule 5 permit source 192.168.10.0 0.0.0.255 [AR1-acl-basic-2000] quit [AR1] interface GigabitEthernet0/0/1 [AR1-GigabitEthernet0/0/1] nat outbound 2000

配置后内网终端可以正常访问外网。测试时优先确认出接口是否已配置公网 IP，ACL 是否匹配到了正确的源地址段。

6. 防火墙配置实战：安全策略才是核心

防火墙配置和三层的交换机、路由器有个关键区别：即使接口 IP 配好了，如果安全策略没放通，业务依旧不通。

6.1 登录防火墙的两种方式

Console 口登录适合初始配置和故障恢复。天融信、深信服、华为等品牌防火墙的 console 口登录方式类似，使用终端软件连接串口，默认参数以设备说明书为准。

如果防火墙已经配置了管理 IP，可以尝试 Web 登录。例如在 eNSP 中，防火墙的 Web 管理界面一般通过浏览器访问管理地址。深信服防火墙 Web 登录默认使用控制台管理地址，输入管理员账号密码即可进入管理后台。华为 USG 防火墙开启 Web 管理服务后，也可以直接通过浏览器访问。

6.2 安全区域与安全策略

防火墙最重要的概念是区域。华为防火墙默认区域包括 trust、untrust、dmz，默认情况下 trust 到 untrust 的访问通常放通，untrust 到 trust 的访问默认阻断。

配置一条 trust 访问 untrust 的安全策略：

[USG] security-policy [USG-policy-security] rule name permit_trust_to_untrust [USG-policy-security-rule-permit_trust_to_untrust] source-zone trust [USG-policy-security-rule-permit_trust_to_untrust] destination-zone untrust [USG-policy-security-rule-permit_trust_to_untrust] action permit [USG-policy-security-rule-permit_trust_to_untrust] quit

如果业务不通，逐项排查源区域、目的区域、源地址、目的地址、服务端口和动作，任何一个条件不匹配，报文都会走到默认阻断策略。

6.3 防火墙黑白名单配置

防火墙黑白名单是企业中最常见的访问控制需求。在深信服防火墙中，配置黑名单后该 IP 的所有访问都会被阻断；配置白名单后只允许名单内的 IP 访问指定业务。

配置黑名单前必须确认名单内的 IP 是准确的，否则容易误封合法用户。生产环境建议先用白名单模式验证业务流量，确认没有漏放后再切换到黑名单模式。

6.4 无线网被防火墙拦截的排查

搜索热词里有一条“无线网被防火墙拦截了怎么操作”，这在实际运维中非常常见。无线终端无法上网时，排查顺序如下：

• 先确认终端是否获取到正确的 IP 地址，如果获取不到地址，问题大概率在 DHCP 或无线控制器的地址池配置。
• 确认终端网关能否 ping 通，能 ping 通网关但无法访问外网，问题大概率在出口安全策略。
• 在防火墙上查看会话表，确认对应流量是否被丢包。华为防火墙命令是display firewall session table，能看到流量的源、目的、端口和动作。
• 如果是 windows 系统自带防火墙拦截了 ping 或出站请求，可以临时关闭 Windows 防火墙测试，但不能永久关闭，测试完需要恢复。

如果临时关闭 Windows 防火墙后网络恢复正常，说明是软件防火墙规则配置过严，需要在“高级安全 Windows Defender 防火墙”中单独放通对应程序或端口，而不是直接关闭防火墙。

7. 多厂商命令对照速查

配置命令看起来千差万别，实际上核心逻辑一致：进入管理视图、创建资源、应用到接口、查看验证。下面这张对照表适合放在手边，换厂商时快速定位。

操作	华为	H3C	锐捷	思科
进入系统视图	system-view	system-view	configure terminal	configure terminal
设置设备名	sysname SW1	sysname SW1	hostname SW1	hostname SW1
创建 VLAN	vlan 10	vlan 10	vlan 10	vlan 10
接口配置 Access	port link-type access	port link-type access	switchport mode access	switchport mode access
接口加入 VLAN	port default vlan 10	port default vlan 10	switchport access vlan 10	switchport access vlan 10
配置 Trunk	port link-type trunk	port link-type trunk	switchport mode trunk	switchport mode trunk
放通 VLAN	port trunk allow-pass vlan 10	port trunk permit vlan 10	switchport trunk allowed vlan 10	switchport trunk allowed vlan 10
查看所有配置	display current-configuration	display current-configuration	show running-config	show running-config
保存配置	save	save	write	write memory

对比后会发现，H3C 和华为的命令相似度很高，锐捷和思科的命令相似度较高。掌握一套命令体系后，切换到同系厂商上手速度会快很多。真正需要花时间记的是不同厂商命令之间的差异点，而不是重复记忆相同逻辑。

8. 软考网络工程师与面试备考结合

8.1 软考网络工程师考什么

软考中级网络工程师考试分为基础知识和应用技术两科。上午的基础知识主要考察网络原理、协议、操作系统、数据库等，下午的应用技术重点关注网络配置、故障排查和实际应用场景。

配置命令在软考下午题中的考察方式是：给出一段设备配置输出，要求判断配置是否存在错误、补充缺少的命令、说明某条命令的作用。比如给出华为交换机某个接口的配置，让你说明port link-type trunk和port trunk allow-pass vlan all分别实现什么效果，或者给出一个网络拓扑，要求写出实现全网互通的路由配置。

这时候前面几章的配置实战就派上用场了。如果只在书本上背概念，遇到配置输出题往往不知道怎么下手；如果在模拟器上亲手敲过一遍，看到 display 输出就能快速判断设备当前状态。

8.2 常见网络工程师面试题

面试中最常考的命令与原理结合题包括：

• 交换机与路由器有什么区别。交换机的核心是二层转发，基于 MAC 地址；路由器的核心是三层转发，基于 IP 地址。但现在三层交换机也能做路由，所以要从转发机制和应用场景两个角度回答。
• 划分 VLAN 有什么好处。广播隔离、安全隔离、灵活管理。
• 静态路由和动态路由的适用场景。静态路由适合小型网络，稳定且不占带宽；动态路由适合大型网络，自动收敛。
• 防火墙安全策略配置流程。先划分安全区域，再配置策略匹配条件，最后放通或阻断对应服务。
• Trunk 和 Access 的区别。Access 口只属于一个 VLAN，Trunk 口可以承载多个 VLAN。
• 端口镜像的应用场景。流量监控、故障定位、安全审计。

面试官问这些题的时候，真正想听的往往不是死记硬背的定义，而是你有没有排错思路和实际配置经验。回答时如果能加上一句“我在模拟器上配置过 XX 场景，当时遇到 XX 问题，通过 XX 命令排查定位”，会更有说服力。

8.3 刷题与实战怎么结合

软考备战不要光刷题。上午题靠刷题巩固概念可以，下午题必须动手配置过才有感觉。建议按这个节奏：

• 先刷上午基础题，把 IP 地址计算、子网划分、协议原理搞扎实。
• 再按章节做下午案例分析题，遇到配置题就先在模拟器里复制拓扑，自己动手配一遍。
• 配置完成后，对照题目中的错误选项，找出自己配置中容易忽略的参数。
• 最后整理一份错题笔记，专门记录容易混淆的命令，比如各厂商的保存命令和放通命令。

9. 模拟器常见问题与排查

模拟器是学习网络配置的重要工具，但也常常成为劝退新手的第一道坎。这里整理了几个高频问题。

问题现象	可能原因	排查方式	解决方案
eNSP 路由器或交换机启动失败	VirtualBox 版本不匹配或虚拟化未开启	查看任务管理器虚拟化状态，检查 eNSP 日志	重装匹配版本的 VirtualBox，开启 BIOS 虚拟化
HCL 设备启动失败	VirtualBox 版本兼容问题	查看 HCL 安装日志，确认依赖组件	按官方要求安装匹配的 VirtualBox 版本
设备启动后无法 ping 通	接口未配置 IP 或链路未 Up	使用 display ip interface brief 检查接口状态	补齐接口 IP 地址，检查接口是否 shutdown
模拟器启动过程中被杀毒软件拦截	杀毒软件拦截进程或端口	查看杀毒软件拦截日志	添加白名单或暂时关闭杀毒软件
保存配置后重启失效	未执行 save 或不会写命令	使用 display current-configuration 确认	在用户视图执行 save，H3C 和华为命令类似
Putty 连接路由器被拒绝	SSH 或 Telnet 服务未开启，或连接端口错误	检查服务状态，确认连接端口	开启对应服务，使用正确端口连接

eNSP 中设备启动失败最常见的三种原因是 VirtualBox 版本过低、ACE 组件未安装、杀毒软件拦截。装好依赖组件后仍然失败，可以尝试重置 VirtualBox 网络设置，或者卸载重装 eNSP。

10. 最佳实践与使用建议

10.1 命令学习先跑通一套，再横向对比

不建议一开始就同时学四家厂商的命令。先选一个目标厂商，比如华为，把交换机、路由器、防火墙的常用配置全部跑一遍，形成一套完整的配置思维。任何一个场景都能说清楚在哪个视图、敲什么命令、怎么验证，再切换到 H3C 或锐捷横向对比。这时候会发现，跨厂商学习其实是查差异表的过程，而不是重新学一遍。

10.2 建立自己的配置模板库

把常用的配置整理成模板，按设备类型和场景分类。比如交换机模板、路由器模板、防火墙模板，每个模板里写清楚适用场景和需要替换的参数。实际工作中配置新设备时，直接复制模板改参数，既快又不容易漏项。模板库建议保存成文本文件，不要放到在线文档里，避免泄露内网地址和账号信息。

10.3 用验证命令确认配置生效

每条配置命令敲完后，都要用对应的验证命令确认生效。配置 VLAN 后看display vlan，配置路由后看display ip routing-table，配置防火墙策略后看会话表。不做验证的配置等于白配，因为配置可能写进去了，但实际没有生效。

10.4 学习过程中注意合规

使用模拟器学习时不需要真实设备，也不涉及真实业务流量。但进入真实企业网络环境后，所有配置操作都必须遵守企业的设备管理制度和网络安全规范，尤其是防火墙黑白名单、策略放通、端口镜像这些涉及安全边界和流量的操作，一定要走正规审批流程，避免产生越权访问或误阻断业务的风险。

11. 总结与下一步

这份多厂商配置手册手册最大的价值，不是把所有命令背下来，而是帮你建立一个可持续复用的配置框架：先搞懂设备视图和命令结构，再用模拟器把交换机、路由器、防火墙的典型场景各跑通一遍，最后回到软考和面试题里检验理解深度。

如果你现在还是零基础，下一步先装一个 eNSP 或 HCL，把本文第 4 章的交换机 VLAN 配置照着敲一遍，再尝试自己改动接口编号和 VLAN 编号，理解参数变化带来的影响。等你能够不看手册独立完成 VLAN、静态路由、OSPF 和防火墙基础安全策略的配置，再去看高级的堆叠、VRRP、端口镜像和策略路由，会轻松很多。

最容易踩的坑是眼高手低：看视频和文章都能看懂，一打开模拟器就不知道从哪里开始。配置命令的学习没有捷径，至少要亲手敲过一遍，才算真正掌握了一条命令。下次遇到不懂的命令，不用硬背，先查手册确认用途，再进模拟器验证效果，这样学到的内容比单纯抄配置牢固得多。