华为H3C实战 | 第40章 华为 / H3C 命令速查字典

📚 本系列共 43 篇（第 40 / 43 篇）　·　第六卷 实战与附录篇 —— 把它们拼起来

← 上一篇：第 39 章 典型组网排障实录 　下一篇：第 41 章 新手常见问题 FAQ →

本章导读：这不是用来读原理的章节，是翻查用的工具书：知道要配什么功能、想不起准确命令，或者手上只有华为笔记却要配 H3C，就翻它。270 余行命令按功能分节，重点看"差异说明"栏。

本章结构：

• 40.1 使用说明与命名差异总纲 —— 三条查法、两家命名哲学对照表、核实标记说明（哪些是核对过官方原文的高风险命令）
• 40.2~40.4 —— 基础视图与设备管理、文件与配置管理、用户权限与远程登录
• 40.5~40.9 —— 接口配置、VLAN 与二层转发、STP、链路聚合与堆叠、三层接口与网关
• 40.10~40.13 —— 静态与动态路由、ACL 与路由策略、NAT、DHCP 与 DHCP Snooping
• 40.14~40.15 —— 无线 WLAN（AC/AP）、安全与防火墙策略
• 40.16 排错与维护
• 40.17 命令差异速记与易混点
• 40.18 场景索引：从「我要做什么」出发 —— 五个马上要用的配置片段（新建接入交换机、开新网段等）
• 40.19 本章小结

重点提示：不记得命令长什么样，先看 40.18 的场景索引——它是按"我要做什么"组织的，比按功能翻快；从华为切到 H3C 就先看 40.1.2 的命名总纲，再跳 40.17 的易混点。带 ⚠ 或 TODO-FIXME 的行不要直接上生产，先在设备上用 ? 确认。 关联章节：各功能的原理与排错见对应专题章（第 1~36 章）；术语叫法差异见第 42 章；命令来源与文档出处见第 43 章；新手问题见第 41 章。

40.1 使用说明与命名差异总纲

40.1.1 这本字典怎么用

这不是一本「读懂原理」的章节，而是一本翻查用的工具书。使用场景是这样的：你现在要配一个功能，脑子里知道「框架」但想不起「准确命令」；或者你的设备是 H3C 但你手上只有华为的笔记，需要快速换算过去。

查法有三条：

1. 按功能找节。每节标题就是一个功能大类，比如「39.7 链路聚合」。你先定位到节，再在表里找具体动作。
2. 看「差异说明」栏。这一栏写的是「为什么两边不一样」和「新手为什么会敲错」，比命令本身更值钱。
3. 对不上的先查证。凡表里带 ⚠ 或页面里带 TODO-FIXME 的，说明这条命令的写法在不同版本间可能不同，必须在你的设备上用 ? 确认后再上生产。

40.1.2 华为 VRP 与 H3C Comware 的命名哲学

两家设备本质上都是「先进入某个视图，再在该视图下敲命令」的模式，差异集中在三处：

记住这张表，你就掌握了「两套命令互相翻译」的语法规则。后面每一节的表，本质上都是这条规则的具体应用。

40.1.3 本字典的核实说明

字典里 270 余行命令，来源分三种，读的时候要对号入座：

已经逐条核对过官方原文的高风险命令（附出处）：

上表是「已核实」的部分；字典里其余大量命令是按两家命令体系整理、与官方文档一致的基础命令，但没有逐条留出处。审稿时若发现疑点，请以本表口径为准，并把新发现补进勘误。

40.1.4 版本适用声明

本字典的命令以以下版本为基线：

• 华为：VRP V200R019 及以上（S5700/S5735 系列交换机、AR6000 系列路由器、AC6005/AC6608、USG6000E 防火墙）；
• H3C：Comware V7（R2610 及以上，S5130S/S5560X/S6520X 交换机、MSR3610 路由器、WX3540H 无线控制器、F1000 防火墙）。

Comware V5 的老命令（如 V5 的 port access vlan、save）在表里遇到时会在「差异说明」中单独提示。

适用版本：华为 VRP V200R019 及以上；H3C Comware V7（R2610 及以上）。

这一节的命令是「进设备后的头五分钟」。它们的准确率要求很高，因为如果连 display version 都敲不出来，后面全是空谈。

一个实用建议：登录任何一台不熟悉的设备，第一件事永远是 display version + display current-configuration interface + display interface brief。这三条能告诉你「这是什么设备、版本多少、配了什么、哪里通哪里不通」。设备管理命令的价值不在「高级」，而在「稳定」——它们不依赖任何复杂配置，永远能执行。

40.2 基础视图与设备管理

这一节覆盖「进设备后第一分钟」会用到的东西：视图切换、显示系统信息、改名、退出。

易混点：quit 是逐级退出，return 是直接回到用户视图。在接口视图下敲 quit 会回到系统视图而不是 <HUAWEI>，新手容易在「我已经退出来了？」上迷惑。

配置管理是「生产设备维修保养」的核心环节。它的重要性在平时体现不出来——因为没人会因为「配置没备份」而当场出故障；但一旦出事，它就是唯一的救命绳。

这一节真正要记住的不是命令本身，而是三条纪律：每次改动后 save；每周做一次配置归档；改配置前先 display current-configuration 并导出。命令只是工具，纪律才是保障。

40.3 文件与配置管理

这一节处理「配置怎么保存、怎么备份、怎么回滚」——这是生产设备上最容易出事的环节。

易混点：华为 save 默认会问「是否保存」，需要敲 y；H3C 的 save 也一样需要确认，save force 才是免确认的写法。注意方向别搞反：force 参数是 H3C 专有的，华为 VRP 的 save 命令没有 force 可选（华为官方命令参考的参数就是 save [ configuration-file ]）。所以在华为设备上写自动化脚本时，要么在 save 后追加 y 回车，要么改用 configuration file auto-save 开启定时自动保存。忘记保存 = 重启回到解放前，这是新手最常见的「事故」。

安全登录命令是所有命令里「风险最高、投入最少、收益最大」的一类。它们不参与业务转发，但一旦配错，要么全体管理者被锁在门外，要么设备完全暴露在公网。

这一节的配置底线是：SSH 取代 Telnet、AAA 本地用户带强密码、VTY 限制源网段、管理面单独 VLAN。至于「哪个用户名、什么密码、哪个源网段」，那是策略问题，不属于本章「命令查表」的范畴。

40.4 用户、权限与远程登录

易混点：华为的「网络管理员」权限是 privilege level 15；H3C 是「角色」概念 user-role network-admin。两者不等价，不要互相套用数字。

接口命令是整本字典里使用频率最高的一节。几乎所有排障动作最终都会落到「这个接口通不通、是二层还是三层、速率对不对」上。

这一节需要特别留意的是「二层与三层的切换」——华为 undo portswitch、H3C port link-mode route。这一对命令没有对应关系，不能互相套用，做配置迁移时一定要单独核对型号支持情况。很多中低端交换机的部分端口不支持三层，undo portswitch 会直接报错。

40.5 接口配置

易混点：华为 S 系列交换机端口默认是二层口，要当三层口用需要 undo portswitch（部分型号支持）；H3C 用 port link-mode route。这两条命令在旧版本上可能不支持，需确认型号。

VLAN 与二层是「配置量大、变化快」的一节。一家公司可能不做 OSPF、不做 NAT，但一定做 VLAN——因为不通 VLAN 业务就没法隔离。

这一节要建立的核心认知是：VLAN 的「归属」和「放行」是两件事。归属（access 口进哪个 VLAN、hybrid 的 PVID）决定终端属于哪个广播域；放行（trunk 的 allow-pass、hybrid 的 tagged）决定 VLAN 是否被送过某条链路。排障时把这两件事分开问，思路会清楚很多。

40.6 VLAN 与二层转发

易混点：Hybrid 口是华为与 H3C 都支持的「最强但最难懂」的端口类型。记住它的核心：tagged 表示发出时打标签（相当于 trunk 放行），untagged 表示发出时剥掉标签（相当于 access 归属），PVID 决定收到无标签帧时归入哪个 VLAN。

STP 命令最容易被「配了就不管」。很多网络在初期随便配了一版 STP，之后几年没动过，也没出问题；可一旦有人私接设备、网络扩容或光纤切换，问题就一次性爆发。

STP 配置的要点是「三件事必须做齐」：根桥指定、边缘端口、BPDU 保护。缺任何一项都可能在某天演出「全网停顿 30 秒」的戏码。这一节的表按这个顺序看：先看模式和根桥，再看端口角色，最后看防护。

40.7 生成树 STP/RSTP/MSTP

易混点：MSTP 的 active region-configuration 必须敲，否则前面的 instance 配置不生效——这是 MSTP 配置里最常见的漏配项。

聚合与堆叠是「华为和 H3C 差异最剧烈」的一节。VLAN 还能一一对应，到了聚合几乎是两套完全不同的抽象：华为叫 Eth-Trunk，H3C 叫 Bridge-Aggregation；华为 iStack/CSS，H3C IRF。跨厂商迁移时，这一节不能靠「感觉翻译」，必须逐条核对配置。

这一节也建议先理解「为什么」再看「怎么配」：聚合解决的是带宽叠加与链路冗余，堆叠解决的是多台当一台管理。这两个目标的配置路径完全不同，别混为一谈。

40.8 链路聚合与堆叠

易混点：华为的「静态」和 H3C 的「dynamic」其实都指 LACP。判断方法：只要配了 mode lacp-static（华为）或 link-aggregation mode dynamic（H3C），就是 LACP；不配则一端是手工模式。

三层接口是「把二层网络串成整张网」的起点。VLANIF 配错，全网就断；VRRP 配反，主备就颠倒。

这一节的表要配合 39.17.2 的「数值方向相反」一起看。VRRP 与路由 preference 这两个「优先级」方向相反，是这一节最经典的陷阱。建议把这个对比当成一个知识点来背，而不是遇到问题再查。

40.9 三层接口与网关

易混点：VRRP 的优先级数值越大越优先（默认 100，最大 254），而路由 preference 数值越小越优先（默认 60）。这两个「优先级」方向相反，是排障中最容易搞反的一对。

路由命令是「网络规模化」的分水岭。两台设备之间用静态路由就够了，上百台设备必须动态路由。

这一节的表按协议分组：先是静态路由，然后是 OSPF、BGP、IS-IS。查询时的建议是「先按协议定位，再看具体动作」，因为不同协议的同类命令往往高度相似（比如 display ospf peer 与 display bgp peer），看错协议是常见的小失误。

另外提醒一句：宣告网段的反掩码和静态路由的正掩码是两套写法，一个设备上会同时出现，别写混。

40.10 静态路由与动态路由

易混点：OSPF 宣告用 network + 反掩码；静态路由用正掩码。同一个设备上两种写法并存，新手经常在这上面翻车。

ACL 是「策略的基础零件」，几乎所有访问控制（包过滤、NAT、策略路由、SNMP 访问、VTY 登录限制）都以 ACL 为输入。

这一节最值钱的是「ACL 的匹配规则」：从上到下逐条匹配，命中即停，末尾隐式拒绝。理解这一句话，就能解释 90% 的「策略不生效」。

路由策略（route-policy）是另一个层级：它不是「过滤报文」，而是「过滤路由」。新手常常把这两者混为一谈——ACL 过滤流量，route-policy 过滤路由，别搞反。

40.11 ACL 与路由策略

易混点：华为与 H3C 的 ACL 末尾都有隐式拒绝（implicit deny）。所以如果你只写 deny 规则不写 permit 兜底，所有未匹配流量都会被丢掉。

NAT 是「局域网连上互联网的必备一脚」。它的命令本身不难，难的是方向和位置：ACL 只匹配源地址、nat outbound 必须配在出接口上。

这一节的表把几种 NAT 形态列在一起：Easy IP、地址池 NAT、NAT Server（端口映射）、静态 NAT。查表时先想清楚你要的是哪种，再找对应行，比一条条试要快。

40.12 NAT

易混点：NAT 的 ACL 只匹配源地址，不要写目的地址。写反了就会变成「只对访问某个网站做 NAT」，其它全失败。

DHCP 是「用户上网的第一关」。DHCP 不通，后面所有的认证、策略、限速都无从谈起。

这一节的配置量不大，但「坑很集中」——地址池的网关、排除地址、Option 43、Snooping 的信任端口，每一处都对应过大量的「用户上不了网」工单。建议把这些命令当成「检查清单」来用：配完 DHCP 后逐条对照。

40.13 DHCP 与 DHCP Snooping

易混点：DHCP Snooping 的「信任端口」必须配在连接合法 DHCP 服务器的方向上（通常上行口）。不配的话，设备会把所有 DHCP 应答都丢掉，用户拿不到地址。

无线是「命令最多、结构最复杂」的一节。原因在于两家厂商都在这块走了「分层抽象」的路线：华为是 SSID 模板 + 安全模板 + VAP 模板 + AP 组的四层结构；H3C 是服务模板 + AP 组的二层结构。

查询这一节的技巧是：先在纸上画出你的配置目标（几个 SSID、各自什么 VLAN、什么安全方式、哪个 AP 组），再去表里找对应的命令。直接照抄别人的配置，大概会得到「模板引用了但没绑定」的半成品。

无线命令的版本差异尤其大，V200R019 前后华为 AC 的 wlan 视图结构有调整，务必以自己设备上 ? 展开的帮助为准。

40.14 无线 WLAN（AC/AP）

易混点：华为的无线配置是「多模板组合」（SSID 模板 + 安全模板 + VAP 模板），H3C 是「服务模板一体化」。切换到另一家设备时，最容易出错的是少了一个 enable（H3C 的 service-template enable）或模板引用链断了（华为的 vap-profile 挂到 AP 组）。

防火墙命令是「最容易被旧教程误导」的一节。很多流传很广的配置示例还停留在「包过滤」时代（firewall packet-filter default permit），而现在的设备默认是「安全策略 + 会话」，默认拒绝一切。

这一节要记住三件事：安全区域、安全策略、会话表。三者配合构成了「允许还是拒绝」的完整答案。另外，华为与 H3C 在防火墙上的差异比其他产品线都大，跨厂商迁移时建议整段重写而不是逐条替换。

40.15 安全与防火墙策略

易混点：华为防火墙从「包过滤」演进到「安全策略 + 会话」后，默认拒绝所有；很多教程还停留在包过滤时代，照着配会「什么都通不了」。H3C 防火墙的域间策略在 V7 里叫 security-policy ip，与 V5 的 zone-pair 完全不同。

排错命令是「决定你查故障快慢」的关键。同样的故障，有人五分钟定位，有人两小时没头绪，差距往往就在「敲对命令」上。

这一节建议按「信息收集」的顺序记：display diagnostic-information（全景）→ display interface brief（物理）→ display ip routing-table（路由）→ display acl（策略）→ display logbuffer（历史）。这个顺序覆盖了绝大多数场景。

另外提醒：ping 和 tracert 都能带源地址参数（-a），排障时务必带源，否则测出来的是「设备自己能不能通」，不是「终端能不能通」。

40.16 排错与维护

易混点：display diagnostic-information 是排障时最该敲的第一条命令之一——它会一次性输出设备所有关键状态（版本、配置、接口、路由、日志），适合在求助厂商前打包信息。

40.17 命令差异速记与易混点

这一节把散落在各表里的「最容易搞混」的成对命令集中起来，方便背。

40.17.1 语序相反的成对命令

40.17.2 数值方向相反的两对「优先级」

这两对是排障中最高频的「反向」陷阱。记住一句话：路由数字小才优先，VRRP 数字大才优先。

40.17.3 视图名对照

40.17.4 V5 老设备提示

如果你手上的 H3C 是 Comware V5（display version 里版本号形如 R2100 之类的老版本），下面这些 V7 写法要替换：

• V5 无 port link-type access 的显式需求，但没有 port access vlan 的简化写法，需要 port link-type access + port default vlan（部分版本）。
• V5 的聚合接口叫 Bridge-Aggregation，但命令是 link-aggregation group。
• V5 的 VRRP、OSPF 命令基本与 V7 一致。
• V5 的 save 也需要确认，save force 同样可用（force 自始至终是 H3C 的写法，华为没有这个参数）。

⚠ 版本差异：Comware V5 与 V7 在无线、安全策略、IRF 上的差异非常大，建议对 V5 设备单独查对应版本的《命令参考》。 ⚠ 待核实：待核实 Comware V5 各细分版本（如 R2100/R2200）与 V7 在 VLAN 与聚合命令上的全部差异，本表只列了最普遍的几条

40.17.5 一张「查找路径」速查

当你只知道「我要做什么」，不知道它属于哪一节时，用这张反查表定位：

40.17.6 命令输入的小技巧（两家通用）

查字典之外，还有几个「打字省时间」的技巧，两家设备基本通用：

同一个前缀能简写到多短？ 规则是「不能有歧义」。比如 interface 可以简写为 int，但你不能简写成一个 i，因为 ip、import 等命令也以 i 开头。这个技巧在熟手手里能省下大量输入时间，但在写教材、写工单、写脚本时必须写全，因为简写在不同版本上可能失效。

40.17.7 跨厂商迁移的三步法

如果你要把一套华为配置迁移到 H3C（或反过来），不要逐行替换，按这三步走：

第一步：抽出功能清单。 把原配置按功能拆成「VLAN、接口、路由、NAT、ACL、无线」几个模块，每个模块只记「要达成什么效果」，不记原始命令。

第二步：按本字典逐模块重写。 每个模块在表里找到 H3C 的对应行，重新写一遍。这一步不复制原配置的任何一行，因为复制会带着「厂商特有的思维」过去。

第三步：验证并对比。 在新设备上用 display 系列命令验证每个功能是否真的生效。特别注意那些「看起来一样但语义不同」的地方，比如两家 ACL 的默认动作、VRRP 与路由优先级的默认值。

这个三步法的核心是：迁移的是「意图」，不是「文本」。直接把华为命令抄成 H3C，几乎一定会出至少一处隐性错误。

40.18 场景索引：从「我要做什么」出发

40.18.1 按场景再走一遍：五个「马上要用」的配置片段

字典以「动作」组织，但实际工作中人们是按场景找命令的。这里给五个最常用的场景片段，直接可以对照着敲（华为版），H3C 版请按 39.17 的语序表翻译：

场景一：新建一台接入交换机并上线。 需要：39.2 改名与时钟 → 39.5 上行口 → 39.6 VLAN → 39.7 边缘端口 → 39.4 SSH。

# 接入交换机的最短可用配置（华为）
system-view
sysname ACC-NEW
vlan batch 10 100
interface GigabitEthernet0/0/24
 description TO-CORE
 port link-type trunk
 port trunk allow-pass vlan 10 100
 quit
port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/22
 port link-type access
 port default vlan 10
 stp edged-port enable
 quit
interface Vlanif 100
 ip address 10.200.100.55 24
 quit
ip route-static 0.0.0.0 0.0.0.0 10.200.100.1
stelnet server enable

场景二：给新部门开一个新网段。 需要：39.6 建 VLAN → 39.9 建网关 → 39.13 DHCP → 39.11 ACL 隔离。

# 新部门 VLAN 25（华为）
vlan batch 25
interface Vlanif 25
 description GW-DEPT-NEW
 ip address 192.168.25.1 24
 dhcp select global
 quit
ip pool dept-new
 network 192.168.25.0 mask 255.255.255.0
 gateway-list 192.168.25.1
 dns-list 8.8.8.8
 quit

场景三：把内网服务发布到公网。 需要：39.12 NAT Server → 39.15 防火墙放行 → 39.11 ACL 限制源。

# 发布 Web 服务（华为路由器）
acl number 3000
 rule 5 permit tcp source any destination 192.168.60.10 0 destination-port eq 80
 quit
interface GigabitEthernet0/0/1
 nat server protocol tcp global 100.64.8.2 8080 inside 192.168.60.10 80
 quit

场景四：修一条不稳定的无线。 需要：39.14 信道与频宽 → 39.16 射频统计 → 39.7 如果是有线环路。

# 查 AP 与终端（华为 AC）
display ap all
display station all
display ap performance-statistics ap-name AP-01

场景五：排查「上不了网」。 按 39.16 的「信息收集顺序」走：

# 五步定位（华为）
display ip routing-table 0.0.0.0
display nat session all
display acl 3000
display interface brief
display logbuffer

40.18.2 这张字典的「下一页」在哪

字典覆盖的永远是「最常见」的命令。真遇到表里没有的，正确的做法不是猜，而是按下面的顺序找：

1. 设备上的 ?：最准确，永远对应你手上的版本。
2. 官方命令参考：华为 support.huawei.com 搜「S 系列 命令参考」，H3C www.h3c.com 搜「命令参考」。
3. 官方典型配置案例：搜「典型配置举例」，里面通常有完整的场景化配置。
4. 厂商技术社区与知了社区：适合查「别人踩过的坑」。

第 43 章会给出这些入口的详细地址和使用方法。记住一句话：设备上的 ? 永远是第一手资料，任何书、任何博客都排在它之后。

40.18.3 用「五级检视表」检查你抄的配置

无论从字典里抄了哪一段，上生产前都用下面这张表过一遍。它来自真实的配置事故统计——每一行都对应过至少一次「配置看起来没问题但业务不通」的工单：

这五条看起来简单，但它们覆盖了「配置事故」里的绝大多数。特别是第 5 条——每次改完必存，这个习惯值一个工程师的职业生涯。

40.19 本章小结

本章是一本「翻开就能用」的工具书，几个使用要点：

• 先定位功能大类，再查具体动作，每节的表按「动作」组织，不按「命令」组织。
• 「差异说明」栏比命令本身更重要，它告诉你会踩哪个坑。
• 带 ⚠ 的条目一定要在真机上确认，不要直接抄进生产配置。
• 语序相反与数值方向相反是两家的主要差异来源，记住 39.17 的两张小表就够用。
• 遇到不确定的命令，用 ? 逐级展开帮助，这是最可靠的「官方文档」——它就在设备上。

这一节的最后，说一个反直觉的事实：命令表背下来是没用的。真正省时间的是「知道去哪个节找」，而不是「记住第 137 行是什么」。所以本章除了表，还给了一张反查表（39.17.5）和一张场景索引（39.18）。前者按「我想干什么」查，后者按「我要完成什么项目」查。

把这两张表打印出来贴在工位上，比把 280 行命令表背下来有效得多。

自测题

1. 华为 port default vlan 10 对应的 H3C 命令是什么？两者语序为什么不同？
2. NAT 的 ACL 为什么只匹配源地址？如果不匹配目的地址会有什么后果？
3. 华为 mode lacp-static 与 H3C link-aggregation mode dynamic 是不是同一个东西？
4. OSPF 宣告网段用反掩码，静态路由用正掩码，各自的含义是什么？
5. DHCP Snooping 的「信任端口」为什么要配在上行口？

1. H3C 对应 port access vlan 10。华为的语序是「动词 + 属性 + 值」（把默认 VLAN 设为 10），H3C 是「对象 + 结构 + 值」（把访问 VLAN 配置为 10），表达的是同一件事。
2. NAT 的语义是「把哪些源地址转换成公网地址」，转换发生在出方向，此时目的地址不需要参与判断。如果写成只匹配某个目的地址，那只有访问该地址的流量才会被 NAT，其他流量全部无法出网。
3. 是同一个东西，都表示链路聚合的 LACP 模式。华为用 lacp-static（静态 LACP），H3C 用 dynamic（动态聚合），只是命名习惯不同。
4. OSPF 的 network 后面跟的是反掩码（wildcard mask），0 表示必须匹配、1 表示忽略；静态路由后面跟的是正掩码，表示网段长度。两者语义相反，混用会导致匹配范围完全错误。
5. DHCP Snooping 的目的是防止私接 DHCP 服务器：只有从「信任端口」收到的 DHCP 应答才被放行。上行口才是连接合法 DHCP 服务器的方向，所以信任端口必须配在上行口；配在接入口会让终端私接的 DHCP 服务器也能发地址。

关于本书：《华为 / H3C 网络设备典型功能配置详解》—— 面向国内高校/企业网络环境， 华为 VRP 与 H3C Comware 双厂商并排配置的实操教材，共 43 章。 全书所有命令尽量有官方出处，查不到的显式标注「待核实」。 返回系列目录