★ FEATURED ARTICLE 半夜十一点被电话叫起来说某个机房的接入层设备配置被人清空了业务全断——这种时候没人会去翻几百页的手册能救命的是脑子里那几十条H3C交换机常用配置命令。我把这些年攒下来的命令清单重新梳理了一遍从进设备的第一条system-view到最后的save从 VLAN 划分到 DHCP 下发中间夹着一堆踩过坑才记住的细节。这篇东西不是手册翻译而是按一台裸机上线到出故障能定位的顺序把真正高频用到的东西摊开讲。不管你刚接手一批设备、准备考个认证、还是临时被拉去顶班只要接触的是基于 Comware 平台的设备这套命令逻辑都通用。我尽量把每条命令背后的为什么写出来因为见过太多人背下了port link-type trunk却不知道为什么业务不通最后在机房里耗掉一整晚。适合零基础照着抄也适合有经验的人拿来当速查表对照检查。1. 命令体系的底层逻辑先把视图这件事想明白1.1 从登录到退出一条命令的完整进门路径Comware 平台的命令行是分层的这个概念不理解后面所有命令都是死记硬背。设备刚登录进去是用户视图提示符是尖括号H3C这个视图下只能做查看、测试、保存这类轻量操作改不了任何配置。想动配置必须先敲system-view进入系统视图提示符变成方括号[H3C]。再往下是接口视图、协议视图、VLAN视图等等每一层只认自己那一层的命令。我用一个生活化的比喻这台设备像一栋楼用户视图是大门口系统视图是一楼大厅接口视图是某个具体房间。你在房间里只能摆弄这个房间的家具想去隔壁得先quit退出来。所以新手最常遇到的报错就是命令不存在九成情况下不是命令写错了而是站错了楼层。比如port link-type access这条命令只有站在接口视图下才认在系统视图下敲必然报错。层级结构带来的操作习惯是每条命令前先确认提示符。我自己的做法是改配置前先看一眼提示符改完一条quit或者直接return回用户视图做一次display current-configuration核对。return的好处是不管你在多深的层级里一条命令直接回顶层比连敲五个quit稳妥得多。还有一点值得强调用户视图下的save才是真正写盘的操作。所有在系统视图里改的东西都活在内存里断电就没了。这个设计对调试很友好——改错了直接reboot不保存回到原状态但对生产环境很危险我见过不止一次改完之后直接拔电源走人第二天重启发现配置全丢。所以我的习惯是每完成一个模块比如 VLAN 全划完、路由全配完就save一次而不是攒到最后。提示不确定当前处于哪个视图时敲一个quit看提示符变化比瞎猜快。连按return也能直接回到最顶层。1.2 三条救命的辅助功能问号、Tab 与上下方向键命令行的效率差距基本就体现在这三个功能上。问号?是随身携带的说明书在任意视图下单独敲一个?列出当前视图所有可用命令敲前半截再加?比如display ?列出这个命令下所有子参数。这招在考试或者现场没有文档的时候特别管用我至今保留着用问号探路的习惯比翻手册快。Tab 键补全要配合前几个字母用。H3C 的命令都支持唯一前缀匹配输入sys再按 Tab 会自动补成system-view。这在长命令上省事比如display interface GigabitEthernet1/0/1敲到dis int g1/0/1加 Tab 就够了。但要注意前缀必须唯一dis int后面如果还有别的候选Tab 不会补全这时候多敲两个字母或者直接上问号。上下方向键调历史命令是老手的肌肉记忆。排查故障时经常要反复执行同一条display interface看计数器变化或者重复 ping 某个地址用方向键翻回去比重敲快得多。更进阶一点的是display history-command把这次会话敲过的所有命令列出来适合复盘我刚才到底改了啥。我出过一次事故排查就是靠这条命令发现自己在半小时前误删了一条 ACL 规则。这三条功能本身不值钱真正值钱的是养成先探路再动手的习惯。我在带新人的时候反复讲不要凭记忆敲完整命令然后回车看结果先?确认参数空间再 Tab 补全最后回车。多花三秒少一次误操作。1.3 Comware V5 与 V7 的差异别把旧经验直接套用这是个必须提前说清楚的问题。市面上流通的设备横跨好几个版本V5 和 V7 在命令语法上有大量差异网上搜到的教程十有八九不会标注版本照抄就容易翻车。判断方法很简单登录后敲display version输出里有一行Comware Software, Version 7.1.xxx或者5.20.xxx。差异最大的几个点保存命令在 V7 里不能直接save后等提示很多场景要写save force才能免交互STP 的全局开关在 V5 里是stp enableV7 里变成了stp global enable链路聚合的物理口加入聚合组的命令V5 常见写法是port link-aggregation group 1V7 在部分型号上行为一致但聚合口本身要先用link-aggregation mode dynamic声明模式用户线配置V5 是user-interface vty 0 4V7 扩展到了user-interface vty 0 63。我的建议是拿到一台陌生设备第一件事永远是display version加display current-configuration前者告诉你版本后者告诉你现有配置的语法风格两下一对照就能判断出该用哪套写法。别嫌麻烦这一步花不了一分钟能省掉后面几小时的试错。另外同版本号不同型号之间也可能有细微差别比如某些低端型号不支持某些高级特性命令敲进去不报错但功能不生效这种坑只能靠实际验证来发现。2. 开局配置设备从裸机到可管理的八步2.1 Console 接入与基础信息设置新设备或者配置被清空的设备只能走 Console。接法是Console 线一头插设备面板上的 Console 口一头接电脑的串口现在的笔记本基本没串口了得用 USB 转串口线。终端软件的参数是波特率 9600、数据位 8、停止位 1、无校验、无流控这组参数是所有网络设备的通用值配错了就是一堆乱码或者干脆没反应。连上之后按几下回车出现H3C就成功了。第一件事是给设备起个名字进入系统视图后sysname SW-Access-3F-01。命名规范很重要我见过太多设备全叫 H3C出故障时得靠display lldp neighbor一个个反查物理位置。我的习惯是位置角色序号三段式比如SW-Core-01、SW-Access-3F-02一眼能看出来是核心还是接入、在哪一层。命名完成后是时钟。设备出厂时间可能停在几年前如果不校准日志时间戳全是错的排查故障时根本对不上事件顺序。手动设置用clock datetime 14:30:00 2024-06-15格式是时:分:秒 年-月-日。生产环境更应该配 NTP 自动同步命令是ntp-service enable加上ntp-service unicast-server 服务器地址这样所有设备的日志时间才能横向对齐。紧接着关掉一些默认开启但不需要的功能比如空闲超时。默认情况下 VTY 会话挂在那里几分钟不动就断了调试长任务时挺烦人。改法是在user-interface vty 0 4视图下idle-timeout 10 010分钟0秒或者干脆idle-timeout 0 0永不超时——后者只建议在受控环境用安全风险自己掂量。2.2 管理地址与远程登录通道Console 只能救急日常运维必须走远程。给设备配管理地址通常有两种做法一是直接用interface Vlan-interface 1配个地址简单但所有设备都挤在 VLAN 1 里不安全也不好管二是新建一个专用管理 VLAN比如 VLAN 100把管理地址放在Vlan-interface 100上。我强烈推荐第二种把管理面和业务面隔开。完整命令流是这样先vlan 100创建 VLAN然后interface Vlan-interface 100再ip address 10.10.100.1 255.255.255.0。配完之后要确保上联口允许这个 VLAN 通过否则本地能通、远端不通这是新手最容易漏的一步。命令是在上联接口视图下port trunk permit vlan 100。远程登录有 Telnet 和 SSH 两条路。Telnet 明文传输只适合内网临时调试SSH 加密是生产环境的标准做法。SSH 的配置分三步先生成密钥对public-key local create rsa有些版本是public-key local create rsa后会提示输入密钥长度直接回车用默认 1024 位安全要求高的可以指定 2048再开启服务ssh server enable最后在 VTY 视图下把认证方式改成authentication-mode scheme表示走本地账号认证protocol inbound ssh只允许 SSH 接入。注意protocol inbound ssh配下去之后 Telnet 就进不来了如果 SSH 还没配通你就把自己锁在门外了。稳妥顺序是先配好账号和 SSH验证能登录再关 Telnet。2.3 账号权限与本地认证配置没有集中认证服务器的情况下本地账号是标配。命令是local-user admin class manage然后在这个视图下依次配三样东西密码password simple 你的密码simple 是明文存储password cipher是密文生产环境用 cipher、服务类型service-type ssh telnet、权限级别authorization-attribute user-role network-admin。权限级别这块值得多说两句。Comware 的角色体系里network-admin是最高权限能改一切network-operator只能看不能改还有更细粒度的自定义角色可以限制到具体命令。我一般会建两个账号一个管理员账号给自己用权限拉满一个只读账号给监控或者值班同事用避免误操作。密码策略上V7 支持password-control系列命令强制复杂度比如password-control length 8要求最短8位password-control login-attempt 3 exceed lock-time 5表示连错3次锁定5分钟。这些在合规要求高的环境里是必配项。另外提醒一个常见误区很多人在user-interface vty下配了authentication-mode scheme却忘了在 VTY 下指定user-role结果账号能认证通过但进去啥也干不了。V7 的写法是在 VTY 视图下user-role network-admin或者在本地账号里用authorization-attribute user-role。两种方式都行我习惯在账号里定义因为按角色管理更清晰。3. 二层配置VLAN、端口与链路聚合3.1 端口类型怎么选Access、Trunk、Hybrid二层配置的核心问题只有一个这个端口要承载几个 VLAN。答案决定了端口类型。端口类型承载 VLAN 数典型场景帧的处理方式Access1 个接电脑、打印机、AP收无标签帧打上 VLAN 标签发出去时剥掉标签Trunk多个交换机级联、接服务器网卡只放行 permit 列表里的 VLAN默认 VLAN 1 不打标签Hybrid多个特殊场景比如一个口同时给 IPTV 和上网可以灵活配置哪些 VLAN 打标签、哪些不打新手最稳妥的选择是接终端用 Access级联用 Trunk除非明确需要否则别碰 Hybrid。Hybrid 灵活但容易配错我在实际项目里见过一个口配了 Hybrid 但untagged和tagged写反导致用户能拿到地址但上不了网查了半天。Access 口的配置就两行port link-type access和port access vlan 10。注意顺序不能反必须先声明类型再指定 VLAN否则会报错。Trunk 口是三行port link-type trunk、port trunk permit vlan 10 20 30、如果要放行全部就写port trunk permit vlan all。这里有个坑Trunk 口默认只放行 VLAN 1新加的业务 VLAN 必须显式 permit否则跨交换机不通。我排查过的二三层故障中这个原因占了相当大的比例。还有一个容易忽略的细节Trunk 口的默认 VLANPVID。默认是 VLAN 1意味着不带标签的帧会被归到 VLAN 1。如果对端把某个业务 VLAN 设成 untagged 发过来这边就会认错 VLAN。规范和做法是两边保持一致或者干脆全用 tagged。3.2 VLAN 划分与批量配置的效率技巧建 VLAN 本身很简单vlan 10然后quit或者在系统视图下一次性vlan 10 to 20批量创建。真正耗时的是给几十个端口划 VLAN。一条条敲interface GigabitEthernet1/0/1再配24 口交换机得敲上百行效率太低。批量操作有两招。第一招是端口组port-group manual group1创建一个手动端口组然后用group-member GigabitEthernet1/0/1 to GigabitEthernet1/0/12把端口加进去之后在这个组视图下配的命令会作用到所有成员端口。这个功能在 V5 和部分 V7 上都支持是批量配置的利器。第二招是interface rangeinterface range GigabitEthernet1/0/1 to GigabitEthernet1/0/12直接进入多端口视图配置一次性下发。V7 上这个写法更常见。两种方式效果类似具体支持哪个取决于型号和版本敲一下试试就知道。配置完一定要验证。display vlan看所有 VLAN 及成员端口display vlan 10看单个 VLAN 的详细信息display port或者display interface brief看端口的 link 状态和 VLAN 归属。我习惯配完一个模块就display vlan brief扫一眼确认端口归属没串。提示给端口加描述是个好习惯。description To-3F-Printer这种写法半年后回来看还能知道这个口接的是什么。display interface brief会显示描述排障时特别好用。3.3 链路聚合与防环让带宽叠加、让环路闭嘴两台交换机之间单条千兆线不够用就做链路聚合。Comware 的做法是先建聚合口interface Bridge-Aggregation 1在这个口下配link-aggregation mode dynamic动态 LACP 模式推荐静态模式是link-aggregation mode static然后把物理口加进来在物理口视图下port link-aggregation group 1。物理口加进去之后就不能单独配业务命令了所有配置都在聚合口上做。这里有个必须先讲清楚的前提对端设备也必须配聚合而且模式要匹配。一边动态一边静态是起不来的两边都动态但 LACP 报文过不去比如中间有透传设备也不行。验证命令是display link-aggregation summary看 Selected 状态的成员口数量是否符合预期display link-aggregation verbose能看到更详细的协商信息排查起不来的时候必看。再说防环。二层网络一旦成环广播风暴能在几秒内打满所有链路设备 CPU 飙到 100%整个网络瘫痪。STP 是默认开启的但默认模式不一定是最优的。我的建议是配成 RSTP快速生成树stp mode rstpV7 上还要确认stp global enable。核心交换机上手动指定根桥stp root primary让生成树的拓扑稳定可预测而不是让设备自己选举。接终端的端口要配边缘端口接口视图下stp edged-port。边缘端口不参与生成树计算接上电脑立刻能用不用等 30 秒的收敛。但注意边缘端口绝不能接交换机否则一旦有环路边缘端口不收 BPDU 就不会触发保护环路照样炸。配套的保护措施是stp bpdu-protection全局开启后边缘端口一旦收到 BPDU 就自动 shutdown把环路掐死在萌芽状态。还有一个实用功能是环路检测loopback-detection enable vlan 10配合接口下的loopback-detection enable设备会主动发检测报文发现环路就告警甚至自动关端口。这个和 STP 是互补关系STP 管正常拓扑环路检测兜底防止有人私接小交换机。3.4 端口安全与隔离把不该通的东西隔开同一个 VLAN 里的端口默认是互通的但很多场景不需要。比如酒店客房、宿舍网口、公共区域的网口一个口中毒能横向感染一整片。这时候用端口隔离port-isolate enable group 1同组的端口之间二层隔离但都能和上行口通信。这个功能配置极简效果立竿见影。端口安全解决的是另一个问题防止私接。port-security enable全局开启后接口下port-security max-mac-count 1限制这个口只能学到一个 MACport-security port-mode autolearn表示自动学习第一个 MAC 并锁定。有人把路由器接上来想共享网络第二个 MAC 出现就会触发动作可以配成丢弃、告警或者直接关端口。命令是port-security intrusion-mode disableport-temporarily。MAC 地址表的查看和清理也是日常操作display mac-address看全表display mac-address interface GigabitEthernet1/0/5看某个口的display mac-address mac-move看重表项迁移记录——MAC 漂移是环路最典型的信号同一个 MAC 在两个口之间反复跳基本可以断定有环。发现异常表项要清理用undo mac-address或者针对接口undo mac-address interface GigabitEthernet1/0/5。4. 三层配置网关、路由与 DHCP4.1 VLAN 接口与静态路由的配置逻辑三层交换的核心是给每个业务 VLAN 配一个网关地址命令是进interface Vlan-interface 10然后ip address 192.168.10.1 255.255.255.0。这个接口是逻辑接口只要 VLAN 里有一个物理口是 up 的这个接口就 up。反过来如果一个 VLAN 里没有任何 up 的物理口接口就是 down 状态网关不生效——这个特性有时候会被误判成网关配错了其实是物理层没通。静态路由的语法是ip route-static 目标网段 掩码 下一跳。默认路由是ip route-static 0.0.0.0 0 192.168.10.254前两个 0 代表任意目标最后是出口网关。写静态路由最容易犯的错是下一跳不可达下一跳地址必须在本设备某个直连接口的网段内否则路由不会生效。查这个问题用display ip routing-table看路由表里有没有这条以及状态是不是 Active。路由优先级也值得了解。直连路由优先级是 0静态路由默认是 60OSPF 是 10内部路由。数值越小越优先。如果同时存在静态和 OSPF 路由OSPF 会胜出——很多人配了静态路由发现不生效就是因为动态路由把静态盖住了。想强制走静态就在命令末尾加preference 5手动调高优先级。4.2 OSPF 骨架配置与验证要点网络规模一上去静态路由维护成本就爆炸了。OSPF 的最小可用配置只有四行左右ospf 1 router-id 10.0.0.1启动进程并指定 router-idarea 0.0.0.0进区域视图network 192.168.10.0 0.0.0.255宣告直连网段完事。注意这里的掩码是反掩码255.255.255.0 对应的反掩码是 0.0.0.255这个格式和 ACL 一致。router-id 必须是全网唯一的格式是点分十进制。不配的话设备会自动选一个接口地址但可能因为接口 down 而变化导致邻居关系震荡。我的习惯是手动指定一般用 Loopback 口的地址。没有 Loopback 就用管理地址关键是固定。邻居建立不起来的排查顺序我总结成固定套路先display ospf peer看邻居状态卡在 Init 说明单向收到 Hello 包通常是组播过滤或者 ACL 挡了卡在 ExStart 多半是 MTU 不一致一直 Down 就查接口有没有ospf enable、区域 ID 是否一致、认证是否匹配。验证路由学习结果用display ospf routing看 OSPF 自己算出来的路由display ip routing-table protocol ospf看最终进全局路由表的部分。4.3 DHCP 服务与中继地址自动下发的两种姿势小网络里让三层交换机直接做 DHCP 服务器最省事。开启流程是全局dhcp enable然后dhcp server ip-pool vlan10建地址池池内配network 192.168.10.0 mask 255.255.255.0、gateway-list 192.168.10.1、dns-list 114.114.114.114再配租期expired day 1。别忘了把网关地址和其他静态设备地址排除掉dhcp server forbidden-ip 192.168.10.1 192.168.10.50这样批量排除一段最省事。验证命令是display dhcp server ip-in-use看已经分配出去的地址和对应的 MACdisplay dhcp server pool看池的配置和剩余数量。如果客户端拿不到地址先确认客户端所在接口有没有dhcp select server部分版本需要显式指定再看全局dhcp enable有没有敲。大网络里 DHCP 服务器通常是集中部署的这时候网关设备要做中继。命令是进 VLAN 接口视图dhcp select relay然后dhcp relay server-address 10.10.100.20指向服务器。中继的原理是把客户端的广播请求转成单播发给服务器服务器按 giaddr 字段判断该分配哪个网段。最常见的故障是服务器上没有配置对应网段的地址池请求过去了但服务器不知道给什么地址静默丢弃。所以中继配完不通先查服务器侧。5. 运维排障命令速查与实战场景5.1 十类高频诊断命令速查表排障效率取决于你对命令的熟悉程度。我按从下往上的顺序整理了一张表网络问题永远先看物理层和二层再往上看。排查层次命令看什么设备健康display version/display device版本、型号、模块在位状态电源风扇display power/display fan状态是否 Normal温度display environment各传感器温度是否超阈值资源占用display cpu-usage/display memoryCPU 和内存是否异常飙高端口状态display interface brieflink 状态、速率、双工、VLAN端口详情display interface GigabitEthernet1/0/1收发字节、错包、CRC、丢包计数光模块display transceiver interface/display transceiver diagnosis interface收发光功率是否在范围内MAC 表display mac-address/display mac-address mac-move终端位置、是否有漂移ARP 表display arpIP 与 MAC 对应关系路由表display ip routing-table目标网段是否可达、下一跳是谁邻居display lldp neighbor-information对端设备和端口画拓扑用日志display logbuffer/display trapbuffer最近的告警和事件这张表里的命令我几乎每天都在用。特别说一下display interface里的错包统计那是判断物理链路质量最直接的证据CRC 错误持续增长基本就是线缆或者光模块的问题input errors里包含的 giants、runts 各指向不同的帧长异常。reset counters interface可以把计数器清零然后观察一段时间看增量比看累计值准确。5.2 三个典型故障场景的排查路径场景一某个办公室的电脑突然上不了网。排查顺序是先display interface brief看那个口是不是 down 的down 了就查线缆和电脑网卡up 的话看 VLAN 归属对不对display vlan确认端口在正确的 VLAN 里再看display mac-address interface GigabitEthernet1/0/5有没有学到 MAC学不到说明二层没通学到了就看display arp有没有对应的 ARP 表项没有说明三层没通可能是网关问题或者客户端 IP 配错。这套链路→VLAN→MAC→ARP→路由的逐层推进能覆盖 90% 的接入故障。场景二整个楼层网速奇慢ping 网关丢包严重。这种大概率是广播风暴。第一反应是display cpu-usageCPU 打满基本坐实。然后display mac-address mac-move看有没有大量 MAC 在两个口之间跳有就是环路。快速止血的办法是找到环路所在的口直接shutdown代价是断一小片但比全网瘫强。事后要在那个口上配stp edged-port加stp bpdu-protection防止再次发生。如果 MAC 漂移不明显就看display interface的广播包计数某个口广播占比特别高就是源头。场景三跨网段访问不通但同网段正常。这说明二层没问题问题在三层。先display ip routing-table看目标网段有没有路由没有就看是缺静态路由还是 OSPF 没学到有路由就ping下一跳不通说明链路断了下一跳通但目标不通多半是目标侧没回程路由或者中间有 ACL 拦截。ACL 排查用display acl all看规则重点看rule deny的匹配范围是不是写得比预想的宽。我遇过一次事故某条 ACL 的源地址写成了any把管理流量也拦了结果设备直接失联。注意reset counters interface、shutdown、undo这类操作都会实时影响业务在生产环境动手前先确认影响范围必要时先display备份当前配置。5.3 配置备份、恢复与版本升级配置丢失是所有故障里最恶心的因为前面所有排查工作都要重来。备份分三个层次设备本地备份用save写进 flash但 flash 坏了就一起完蛋异地备份用backup startup-configuration to tftp服务器 文件名把配置文件传到外部服务器版本化备份是把每次变更后的配置按日期存档出问题能回滚到任意历史状态。TFTP 备份的完整流程是设备上先配置tftp client source interface Vlan-interface 100指定源接口多网段环境必须配否则可能用错源地址导致不通然后backup startup-configuration to 10.10.100.50 SW-01-20240615.cfg。恢复是反向操作restore startup-configuration from 服务器 文件名恢复完必须reboot才生效且提示是否保存当前配置时选不保存否则新恢复的配置又被覆盖。版本升级要谨慎得多。步骤是先查当前版本display version去官方渠道确认目标版本和升级路径有些版本不能跨大版本直升要经过中间版本过渡然后备份配置和当前固件把新固件传到设备 flash用boot-loader file flash:/xxx.bin指定下次启动文件最后reboot。升级期间业务会中断必须安排在窗口期。我踩过的坑是没检查 flash 剩余空间传到一半空间不足设备重启后找不到启动文件只能进 BootWare 恢复那才叫一个手忙脚乱。6. 避坑清单那些年踩过的配置坑6.1 十条高频错误与正确写法这些错误我或者身边的人基本都犯过列出来对照自查能省很多时间。第一改完配置忘记save。这是造成事故最多的一条没有之一。养成习惯每个模块配完立刻保存别攒着。第二Trunk 口忘permit vlan。新建的 VLAN 不会自动放行跨交换机必然不通。配完 Trunk 用display port trunk核对放行列表。第三接口类型先配 VLAN 后改类型。顺序反了会报错正确顺序是port link-type在前。第四管理地址和管理 VLAN 没打通。VLAN 100 配了地址但上联口没 permit本地通远端不通人会懵很久。第五DHCP 池的掩码和网关不匹配。network的掩码决定了可分配范围gateway-list必须是同网段的地址写错了客户端拿到地址也用不了。第六OSPF 的 router-id 重复。两台设备配了同一个 ID邻居时好时坏排查起来极痛苦。建议全网规划一套 ID 规则。第七光模块型号不匹配。单模模块配多模跳线收光功率直接掉到阈值以下。用display transceiver diagnosis interface看实际收发光值比对模块规格。第八端口速率双工写死。一端写死速率一半另一端是自协商自协商端会降级到半双工出现大量冲突和丢包。要么两端都自协商要么两端都写死且一致。第九ACL 规则顺序搞反。Comware 的 ACL 是按序号从小到大匹配命中即停。rule deny写在rule permit前面后面的 permit 就永远不生效。第十边缘端口接了交换机。stp edged-port配在级联口上一旦有环STP 完全失效。记住边缘端口只接终端。6.2 日常维护的固定动作设备上线之后才是工作的开始。我给自己定了一套固定动作每周或每月执行一次能提前发现大部分隐患。每月做一次配置备份并且是异地备份。只存本地等于没备份设备一坏全没。备份文件按设备名-日期命名存到一个统一的目录这样回滚时有据可查。每季度核对一次资源占用。display cpu-usage和display memory的正常值应该稳定在一个区间如果某台设备的 CPU 突然从 10% 涨到 40% 并保持说明有异常流量或者某个进程跑飞了趁没出问题赶紧查。定期清理 MAC 和 ARP 表。长期运行的表里会积累大量失效条目占用表项空间。虽然设备有老化机制但大表环境下手动undo mac-address清理一次能缓解。关注日志。display logbuffer里的告警不要视而不见端口频繁 up/down 说明线缆在劣化温度告警说明风扇或者环境有问题这些都是故障的前兆。有条件的话配个日志服务器把日志统一收集起来info-center loghost 10.10.100.60一行命令就能把日志推出去。固件版本保持相对统一。同型号设备尽量用同一个版本避免因为版本差异导致命令行为不一致、特性支持不同排查问题时产生误判。升级前看一遍发行说明重点看修复了哪些已知问题。我个人在实际操作中的体会是命令本身并不难难的是在正确的时机想起来用哪一条。上面这些命令我建议不要一次性背而是按场景分组记忆——开局一组、VLAN 一组、路由一组、排障一组每组就那么十几条配上?和display的验证习惯基本上现场就够用了。真遇上特别偏的需求现场翻官方命令手册比背下来靠谱关键是要知道这个功能该往哪个方向找。
阅读完成 · 觉得有帮助？
