干网络这行绕不开的坎就是华为网络设备。配置与排障听起来像两件事其实根本是一件事配置不对排障能排到怀疑人生排障排不明白多半是因为没弄清配置到底有没有生效。这篇文章不打算写成命令大全而是想以我平时处理华为交换机、路由器、防火墙故障的方式把“设备怎么登、配置怎么存、链路怎么查、路由怎么验、日志怎么看”这条主线串起来。适合刚入行的网工、只会点网页后台的运维以及想把手里的配置能力升级成排障能力的人。整套思路下来你会发现很多“疑难杂症”不过是在最基础的地方绊了一跤。1. 上电那一步最容易翻车Console连接与设备初始化1.1 别急着敲命令先确认你看到的是谁的“桌面”新设备到手很多人第一件事就是插Console线结果终端窗口一片黑第一反应是设备坏了。先别急九成情况是连接问题而不是设备问题。笔记本没有串口一般都要用USB转串口线。插上之后去系统设备管理器里看一眼USB转串口用的是哪个COM口很多电脑有多个COM口选错就白搭。打开SecureCRT、XShell这类终端软件新建Serial会话波特率设为9600数据位8停止位1校验None流控全关。不同型号默认值可能有差异但华为设备绝大多数情况就是这套参数。连上之后按几下回车看到尖括号提示符说明已经进到用户视图了。如果屏幕上全是乱码那多半是波特率没配对。如果完全没反应先看设备前面板指示灯是不是正常亮着再看Console线是不是插到了管理口上。还有一类坑是USB转串口芯片驱动没装好设备管理器里是问号换一个驱动版本往往就解决了。判断线缆和终端到底通没通有一个土办法给设备重新上电如果终端窗口能看到启动打印信息那连接链路就是好的只是你回车时机不对或Console口被占用了。1.2 首次登录的默认密码问题很多新手上来就猜admin/admin结果试错三次被锁定。华为设备上电初始化后通常会要求设置管理员密码或者进入初始配置向导所以“默认密码”这个概念在新设备上已经越来越不适用了。如果设备是别人用过的密码早被改过那就别浪费时间猜直接问上一手运维要。进不去设备后面一切配置和排障都无从谈起。进到系统视图后要有意识地熟悉视图层级。尖括号是用户视图方括号是系统视图再往下一层是接口视图、路由协议视图等。system-view进入系统视图quit一层一层退return直接回到用户视图。命令敲一半可以用Tab补全不确定参数就用?查看帮助。不要小看这个习惯很多“命令敲了没生效”的问题其实就是视图选错了在用户视图下敲了接口配置。1.3 远程管理配好之前先别急着上架一台新设备如果只在Console下配置后面每次调整都要跑机房效率太低。所以设备初始化之后第一件正经事就是配好远程管理。一个比较稳妥的模板是这样Huawei system-view [Huawei] aaa [Huawei-aaa] local-user admin password irreversible-cipher YourPassword [Huawei-aaa] local-user admin privilege level 15 [Huawei-aaa] local-user admin service-type telnet ssh [Huawei-aaa] quit [Huawei] user-interface vty 0 4 [Huawei-ui-vty0-4] authentication-mode aaa [Huawei-ui-vty0-4] protocol inbound ssh [Huawei-ui-vty0-4] quit [Huawei] ssh server enable这套配置的意思是创建本地用户允许通过SSH登录所有VTY虚拟终端都走AAA认证并顺手开启SSH服务器。远程登录排障时先用display ip interface brief确认管理IP有没有配上再确认终端到设备的三层路由是通的然后看VTY下有没有被ACL限制住。我遇到过不少次VTY接口下面挂了一条只允许某个管理网段访问的ACL自己电脑不在这个网段里SSH怎么都连不上Console一登进去就发现问题了。注意不同VRP版本命令略有差异有些新版本密码加密参数用法不一样。敲命令报错时不要慌用?查看当前视图下支持的写法这是最稳妥的方式。2. 配置文件的生死保存、备份、回退与恢复出厂2.1 为什么改了配置重启就丢这是排行榜前三的经典事故在某台设备上调整了VLAN、路由现场测试也通了结果傍晚一重启业务全断配置回到从前。原因只有一个——没敲save。华为设备运行中的配置叫当前配置存在内存里重启后加载的是保存配置存在Flash里。你改了配置不保存相当于Word文档没按CtrlS断电就什么都没了。所以养成肌肉记忆每一次变更结束确认业务正常后再敲一次save系统问是否覆盖就按Y回车。判断配置有没有真正落到文件里用几条命令就能查清楚Huawei display current-configuration Huawei display saved-configuration Huawei compare configurationdisplay current-configuration看的是当前生效配置display saved-configuration看的是开机加载的配置。如果设备支持compare configuration直接一键对比两者差异找问题非常快。不支持的时候就把两份配置导出来肉眼比对虽然笨但有效。2.2 回退与恢复出厂的实操边界配置文件排障还有一个反向思路如果改错了配置只要没保存直接重启就能回到保存版本的配置。某次我在远程给一台接入交换机加管理VLAN加完远程就断了可是那台设备我也改过登录认证SSH也进不去了。当时判断自己没敲过save就让机房同事直接重启设备起来后一切恢复原样。这个案例能救急但千万别当成常规手段。设备上还有一个重置命令reset saved-configuration。敲完再reboot设备会回到出厂状态配置清空。这招极危险只适合新设备验收测试、彻底回收设备这种场景。生产设备上绝对不要在没确认业务影响的情况下操作做完之后连管理地址都没了没有Console口在场就是等着跑机房。曾经有同事想“清掉一条垃圾配置”半吊子操作把整台设备的保存配置全清了最后花了半天重新配置才恢复业务。配置文件备份也一样重要。设备Flash里拖配置文件出来最稳妥的做法是把PC当FTP/TFTP服务器然后在设备文件视图里用copy命令把配置文件传到PC。不同型号配置文件名有差异常见的是类似vrpcfg.zip的名字先dir flash:/看一眼再操作。备份文件建议按设备名、日期、变更内容命名每次变更前都备份一次这样出了事可以直接拿旧配置对比省去大量回忆成本。2.3 升级系统软件前必须做对的三件事华为设备升级系统固件核心操作是三步把新版本文件传到Flash、指定下次启动加载的文件、重启生效。具体命令不同型号差异比较大通常和startup system-software有关改完必须保存再重启。但命令不是关键关键是升级前的准备。第一先确认现有版本和硬件是否支持目标版本跨大版本升级前最好看官方文档别凭印象拍脑袋。第二一定要把当前配置备份到本地升级后配置一般会保留但谁也不能保证不出意外。第三升级过程绝对不能断电建议用UPS否则设备可能起不来。升级完第一时间检查版本号和业务是否正常如果异常准备好回滚到旧版本。很多人升级出问题不是新版本的锅而是没做回滚预案。3. 物理层是一切排障的起点接口状态、光模块与协商3.1 display interface brief看到的到底是什么业务报障说“网络不通”我最反感一上来就重启设备。先看物理层再看链路层然后看路由一层层往上查这是网工的基本素养。华为设备上最常用的接口排障命令就两条Huawei display interface brief Huawei display interface GigabitEthernet0/0/1第一条快速扫描所有接口状态第二条看单个接口的详细统计和错误计数。接口状态不同处理方向完全不同整理一下大概是这样的关系接口状态含义处理方向up物理层和协议层正常继续查上层路由、VLAN、ACLdown物理链路中断查光纤、网线、对端状态、光模块功率down (administratively down)被手动shutdown或错误配置关闭进入接口视图执行undo shutdownerr-down设备检测到异常并自动隔离端口看日志确认原因处理后手动恢复端口看到接口down不要急着换线先看对端设备接口状态和线缆两端标签。有些机房跳线很乱A端插着B端的光纤口怎么看都不通。把两端的物理连接理清楚再决定下一步。3.2 光模块与光功率接口up不代表链路健康接口显示up业务却有随机丢包这种故障最迷惑人。大多数时候问题出在光模块或光纤链路质量上。华为设备上可以用一条命令看光模块信息Huawei display transceiver interface GigabitEthernet0/0/1 verbose输出里有收发功率、温度、电压这些参数。光和电不一样不是通了就行。收光功率太小链路可能还勉强能up但误码率会很高表现出来就是业务间歇性卡顿、网速时快时慢。收发功率如果明显偏离正常范围优先怀疑尾纤脏污、连接器松动、法兰盘接触不良不要一上来就换光模块。有一次某分支站点频繁反映视频会议卡顿远程看接口状态全是upPing大包偶尔丢。最后查光模块收光功率到了-30dBm已经接近接收极限但接口就是顽强地up着。把尾纤端面用专用工具清洁、重新插紧后收光功率回到-16dBm问题彻底消失。记住接口up只是假象业务长期不稳定一定要看一眼光模块的收发功率。3.3 协商与错误计数小问题也会让你通宵电口和网线的套路也不少。两端如果一端强制速率和双工另一端是自协商或者两边强制参数不一致就会出现经典的双工不匹配——一端全双工一端半双工延时大、丢包多严重的时候接口疯狂翻转。排查办法是看两端接口配置和display interface里的错误计数比如CRC错误、input error持续增长基本能锁定是物理链路质量问题或者协商异常。遇到这类问题我通常先把两端都改回自协商让它们自己谈多数情况能自愈。如果必须手工强制速率那一定要确保两端配置一致。另外网线质量差、水晶头压线没压好、办公室挪动时网线被门夹过都会造成“间歇性失灵”。别总是怀疑配置先拿一根好的成品网线替换排除一下成本最低也最快。排查这类问题时把端口两端的display interface输出对比着看错误计数只在一端增长就基本能判断故障在哪一侧了。4. VLAN与二层交换绝大多数“Ping不通”的真正凶手4.1 从VLAN创建到Vlanif生效“Ping不通”这个现象一半以上发生在二层。很多业务组新加了一个网段交换机里忘了建VLAN或者建了VLAN但没配Vlanif三层网关自然就不存在。华为交换机上创建一个VLAN并配好三层接口标准流程是这样[Huawei] vlan 10 [Huawei-vlan10] quit [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10 [Huawei-GigabitEthernet0/0/1] quit [Huawei] interface Vlanif10 [Huawei-Vlanif10] ip address 192.168.10.1 255.255.255.0VLAN本身是二层概念想实现跨网段通信必须有一个三层接口。对交换机来说最常用的就是Vlanif。没配Vlanif或者配了Vlanif但地址不对PC不管怎么设IP都Ping不通网关。排查时用display ip interface brief看Vlanif状态和地址这一步只要一分钟就能排除一大半问题。4.2 Access、Trunk与“懒得放行”事故Access口和Trunk口是最容易被忽视的坑。Access口通常用来接终端基本上只跑一个VLANTrunk口用来连接交换机、路由器需要放行多个VLAN。我之前遇到过一个挺典型的故障核心交换机和接入交换机之间的Trunk只放行了VLAN 10和20后来新业务划到VLAN 30接入交换机上配好了VLAN 30但核心侧Trunk忘记加30终端地址怎么配都不通。用display port vlan或者display port trunk查看端口上的放行列表一眼就看到了问题补上port trunk allow-pass vlan 30之后业务立刻恢复。Access和Trunk的区别可以这么理解Access口是“只认一个楼层的人”Trunk口像“大楼门禁能放行多个楼层”。Trunk口上如果忘记放行目标VLAN就等于把某个楼层从门禁名单里删了这个楼层的人自然进不来。判断二层放行问题就用display vlan和display port vlan两条命令看端口在哪个VLAN、Trunk放行了哪些VLAN。很多“我明明配了”的假象在这两条命令面前都会现原形。链路类型典型用途常见坑Access连接PC、IP电话、打印机等终端PVID配错终端跨VLAN不到网关Trunk连接交换机、路由器承载多VLAN放行列表漏加新VLAN、PVID不一致Hybrid华为特有可灵活配置Tag/Untag新手容易混淆Tag规则导致帧转发异常4.3 STP、环路和那些“时通时断”的怪事二层还有一个经典现象网络一开始是通的过几秒又不通了反复抽风。这种多半是STP在收敛或者出现了环路。华为设备默认会跑STP协议新接一台交换机、新连一根线接口状态可能还在Discarding业务自然不会通。不要急着删STP先确认拓扑没有环才是关键。用display stp brief能看到接口的角色和状态看到Discarding时优先怀疑有没有人偷偷拉了一根线形成环路。环路导致的广播风暴更隐蔽。核心交换机CPU突然飙高、所有业务卡顿、日志里大量ARP请求或同源MAC频繁飘移十有八九是二层环路。遇到这种情况第一反应不是看路由而是先找到环路。最直接的方法是看接口流量哪个接口进出流量大到离谱就把它shutdown等网络恢复后再慢慢查物理连线。有些环境里有人图方便把两台接入交换机多连了一根线以为没什么影响实际上STP没配置好就是灾难。二层排障的核心始终是先看VLAN放行再看端口状态最后确认STP和环路顺序不能乱。5. 路由与三层路由表学不到时的判断顺序5.1 静态路由的优先级和下一跳二层通了三层不通问题多半在路由表。排查路由问题第一件事永远是看display ip routing-table。这相当于问设备“你到底知不知道怎么到目的地”如果路由表里根本没有目标网段后面一切都是白谈。静态路由看起来简单坑也不少。最典型的坑之一是下一跳地址写错写成不是直连网段的地址。路由表会显示这条路由存在但下一跳不可达数据包照样转发不过去。静态路由配置格式需要注意[Huawei] ip route-static 10.1.1.0 255.255.255.0 192.168.1.254 [Huawei] ip route-static 0.0.0.0 0.0.0.0 192.168.1.254第一条是到指定网段的明细路由第二条是默认路由。华为静态路由默认优先级是60当同一条目的路由同时来自静态和OSPF时默认静态优先。写静态路由前先看一眼下一跳在不在直连路由里用display ip routing-table就能确认。回程路由也是同样的道理PC到服务器通了服务器回不来查来查去发现是服务器侧交换机上少了一条指向PC网段的回程静态路由。三层排障永远要记住通信是双向的出去的路径和回来的路径都得通。5.2 OSPF邻居起不来从Peer状态到MTUOSPF排障比静态路由复杂但核心思路是先把邻居关系建起来再谈路由学习。邻居起不来路由肯定学不到。华为设备上查邻居状态用Huawei display ospf peer不同状态含义差别很大邻居状态含义处理方向Down没收到对方Hello报文查接口up、区域号、网络类型、Router IDInit / 2-Way收到Hello但未完全建立邻接多路访问网络选DR/BDR中一般能自己解决ExStart / Exchange正在交换DD报文卡住优先查MTU和接口网络类型Loading正在同步链路状态数据库等待如果一直卡住查路由振荡Full完全邻接正常OSPF邻居卡在ExStart或Exchange最经典的原因就是两端接口MTU不一致。一边是1500一边是1492DD报文超过对端MTU会被丢弃邻居就一直谈不拢。解决方法是统一两端MTU或者在某些场景下配置MTU忽略功能让协议继续走。出这种事时很多人翻配置、查区域、看ACL绕了一大圈最后一条display interface对比MTU就解决了。另一个坑是Router ID冲突。两台设备如果在同一个OSPF域里用了相同的Router ID邻居关系会反复震荡路由表七零八落。华为设备没手动指定Router ID时会自动选但最稳妥的方法还是配置时显式指定一个全网唯一的Router ID。邻居关系正常之后如果路由还是学不全再检查一下区域划分和路由通告范围别在接口上配置了静默接口把邻居Hello给吞了。5.3 案例复盘一条“学不到”的路由是怎么抓出来的某次客户反馈分部办公电脑能访问总部部分服务器但新增的服务器网段一直接不通。远程一看分部到总部的OSPF邻居状态是Full新网段在总部核心上也确实存在。问题出在哪先在分部核心上执行display ip routing-table发现新网段没有出现在路由表里。再登到总部核心查OSPF发现新网段所属接口没有宣告进OSPF区域或者宣告方式不对。补上OSPF network通告后分部核心立刻学到了目标网段业务恢复。整个过程不过十分钟但如果一上来就怀疑链路、怀疑防火墙策略很容易绕远路。这件事说明路由排障的顺序就是路由表优先学不到路由就沿着OSPF邻居、通告、区域、过滤一层层往上找准能定位。6. 全网不通的完整排障链路从Ping到Tracert到日志6.1 先画一条从近到远的探测线遇到“全网不通”最高效的办法不是看一堆日志而是从近到远做一连串可控的测试每一步都能把问题域缩小一圈Ping本机回环地址确认自己网卡正常。Ping本机IP确认IP配置没问题。Ping网关确认二层VLAN、Vlanif、ARP都正常。Ping跨网段地址确认三层路由和策略路由有没有问题。Ping外部地址或业务服务器确认出口NAT、默认路由、安全策略是否正常。这套流程听起来简单但很多人一上来就Ping公网地址Ping不通就怀疑光猫、运营商完全跳过了网关层。有一次客户报“整个办公室上不了网”我远程让他先Ping网关发现网关都不通一看交换机上Vlanif 10的IP被人改过改回去业务就恢复了。如果一开始就去查出口防火墙不知道要绕多久。每一条Ping的结果都是一条线索别跳过中间步骤。6.2 抓包、ARP与“单向通”的真相Ping不通还有一种很气人的情况从A侧Ping B侧通从B侧Ping A侧不通看起来就像设备在“挑人”。这个现象最常见的根因不是配置双向都不同而是单向路由或单向策略有问题。查ARP表和路由表能快速定位display arp看网关MAC对应关系display ip routing-table看回程路径。回程路由缺失、入方向ACL把回来的包拒了、设备开了不对称路由导致报文被防火墙当成无效会话丢弃都会造成单向通。抓包是排障的终极武器。没有专业抓包工具的时候可以先在交换机上做端口镜像把故障端口或上联口的流量镜像到PC网卡再用抓包工具在线分析。抓包重点看三件事客户端有没有发出ARP请求、网关有没有回应ARP、数据包到达哪一跳之后不再有响应。如果能抓到请求但抓不到回应问题就在网关或上游如果连请求都看不到问题就在二层VLAN或物理链路。华为设备本身也能通过流量统计和日志辅助判断但最终要定位“丢在哪一跳”抓包对比是最直观的。6.3 DHCP分配失败的常见槽点办公网最常见的连通性故障其实是“电脑突然获取不到IP”。排查DHCP问题不要只盯着IP地址池要看完整链路客户端所在VLAN对不对接入端口PVID对不对交换机上有没有开启DHCP服务接口有没有选择global或interface模式地址池里的网段、网关、DNS参数对不对地址池有没有耗尽有没有IP冲突。华为交换机上如果使用全局地址池典型配置是这样[Huawei] dhcp enable [Huawei] ip pool lan10 [Huawei-ip-pool-lan10] network 192.168.10.0 mask 255.255.255.0 [Huawei-ip-pool-lan10] gateway-list 192.168.10.1 [Huawei-ip-pool-lan10] dns-list 192.168.10.1 [Huawei] interface Vlanif10 [Huawei-Vlanif10] dhcp select global忘记全局执行dhcp enable或者接口下忘了配dhcp select global都会导致客户端拿不到地址。跨网段的DHCP请求还需要配置DHCP中继否则广播报文出不了本网段。地址池冲突则看日志里的冲突告警最常见的场景是有人手动配置了一个静态IP正好落在DHCP动态分配范围内结果三天两头掉线。这类问题其实都不难查难的是很多人一开始就把锅甩给DNS或网关。7. 日常维护才是真功夫日志、时钟与设备“体检”7.1 display logbuffer能告诉你什么设备日志是最被低估的排障工具尤其是接口翻动、CPU升高、配置被改这类问题日志里几乎都有线索。华为设备上最常用的是Huawei display logbuffer Huawei display trapbuffer日志会按时间记录设备上的重大事件比如哪个接口从up变down、谁通过SSH登录了设备、哪条配置被修改、STP发生了什么变化。排障遇到“晚上业务闪断”这类问题光靠猜是没有方向的翻日志能看到具体时间点和具体接口一下子就能缩小范围。有条件的话配置信息中心把日志发送到日志服务器集中保存这样多台设备同一个时间线对比定位问题会快很多。这里有个小提醒排查前先检查设备时间准不准。设备时钟不对日志时间线会骗人。给设备配置NTP时间同步让所有设备时间和本地时间对齐是很基本的运维习惯。否则三台设备的日志时间各差各的对不上号白费功夫。7.2 CPU利用率高不等于设备坏了华为交换机CPU利用率高很多时候不是因为设备性能不够而是下面某个环节在捣乱。常用的检查命令是display cpu-usage和display cpu-usage history再看进程占用情况结合日志判断根因。某次一台核心交换机CPU长期80%以上ping网关都延迟很大看起来像是设备要报废了。登录后先看display cpu-usage发现高占用来自协议进程再翻display logbuffer发现某个下联接口在短时间内收到大量重复ARP请求最终定位到接入交换机下面挂了一个环路广播帧被反复转发放大。把环路端口断开之后CPU占用立刻回落到10%以下。这件事给我留下很深的印象设备性能告警背后往往是网络架构问题不能只看表面数据。日常巡检时把接口流量、STP状态、日志错误、CPU占用这几项放一起看能提前发现很多隐患。7.3 变更管理与基线习惯最后聊一个和具体命令无关但比命令更重要的习惯变更管理。我见过太多事故不是不会配置而是改完忘了保存、忘了备份、忘了记录。现在我的标准动作是三件事变更前先save一次把当前配置作为回退基线把display version、display current-configuration导出来存到本地并简单记录变更时间、变更人、变更目的变更后确认业务正常再save一次并把新配置同步到台账。出问题时先拿当前配置和基线对比很多时候问题一眼就能看出来。每次新设备上线把序列号、软件版本、管理IP、关键配置也记进台账时间越久越能感受到这套笨办法的价值。华为设备本身只是工具真正让你不背锅的是你手里有没有基线、日志和网络拓扑这三样东西。最后再分享一个小技巧每次远程处理完故障我会顺手把关键判断命令的输出存成一个文本文件标注日期和设备名。时间长了这些历史记录就是最好的排障参考甚至比任何文档都有用。希望这篇指南能把你的配置和排障思路理顺少踩几个坑。