华为H3C实战 | 第25章 路由器基础配置

📚 本系列共 43 篇（第 25 / 43 篇）　·　第四卷 设备与安全篇 —— 路由器与防火墙

← 上一篇：第 24 章 WLAN 故障排查专题 　下一篇：第 26 章 防火墙安全区域与基本策略 →

本章导读：交换机管同一层楼内走动，路由器管隔壁那栋楼怎么送。本章把"装门（接口）、配地图（路由）、发号码（DHCP）“这三件出口必备的事讲透，包括单臂路由子接口、广域网口和选型怎么算。

本章结构：

• 25.1 功能原理与业务场景 —— 路由器到底干哪三件事、典型中小企业出口的报文逐跳走向，以及 AR / MSR 产品线怎么选、硬件形态和 License 有什么暗坑
• 25.2 华为设备配置详解 —— 接口与地址、子接口（单臂路由）、广域网口、默认路由与 NAT、DHCP 服务的完整模板
• 25.3 H3C 设备配置详解 —— MSR 侧对应配置与命令差异
• 25.4 华为 / H3C 命令对照表
• 25.5 配置验证 —— 接口状态、路由表、NAT 会话、DHCP 租约逐项确认
• 25.6 排错与故障树 —— 接口 down、路由不通、DHCP 拿不到地址的分层排查
• 25.7 新手踩坑与注意事项
• 25.8 本章小结

重点提示：第一次配出口就按 25.2 从接口→路由→NAT→DHCP 顺着敲，顺序倒了会反复返工；只有一个网段却要多 VLAN 时看 25.2 的子接口部分；选型别只看吞吐，25.1.3 的三条硬规矩（接口余量、并发会话数、要不要内置 AC）比参数表有用。 关联章节：接口与速率双工见第 2 章；VLAN 间通信原理见第 3、6 章；静态路由与默认路由见第 10 章；DHCP 地址池细节见第 8 章；NAT 的完整机制见第 14 章。

25.1 功能原理与业务场景

25.1.1 这功能是干嘛的（通俗版）

把网络想成一栋写字楼。交换机是楼里的走廊和房间门——它只负责「同一个楼层里，A 房间的人走到 B 房间」。可一旦你要把文件送到隔壁那栋楼，走廊就管不了了，得有个人站在大门口登记、判断「这箱子该往哪条街送」，这个岗位就是路由器。

路由器干的事就三件：

1. 认路：手里有张地图（路由表），知道「去某某方向从哪个门出去、下一站交给谁」。
2. 换装：进楼的包裹按楼里规矩包装，出楼可能要换成另一套包装（换封装、换地址），这就是 NAT 和广域网封装干的活。
3. 发号码：楼里新来的人不知道自己的工号（IP 地址），路由器负责发号，这就是 DHCP 服务器的活。

所以「路由器基础配置」这一章，本质上就是教你：怎么给这台设备装门（接口）、怎么给它配地图（路由）、怎么给下面的电脑发号码（DHCP）。这三件事配明白了，一个中小企业出口就通了。

25.1.2 在网络里怎么落地（设计视角）

典型的中小企业出口长这样：一根运营商线路进来，路由器做出口网关，下面接一台核心交换机，再分楼层。

                 Internet
                    |
            [运营商光猫/ONU]
                    |  公网地址（PPPoE 或固定 IP）
            +-------+--------+
            |  出口路由器      |
            | AR6140-16G4XG   |
            +-------+--------+
                    |  GE0/0/1  192.168.10.1/24
            +-------+--------+
            |   核心交换机      |
            +--+---------+----+
               |         |
        VLAN10 办公   VLAN20 访客
        192.168.10.0/24  192.168.20.0/24

一个报文从办公电脑去访问外网，会经历下面几步，每一步都对应本章一个知识点：

如果这个企业有多个部门要隔离，但只有一根线到楼层，就需要「一根线上跑多个 VLAN」，这就是子接口（口语叫单臂路由）。如果运营商给的是串口专线或者光口，就涉及广域网接口。这三类组网在本章都会给出完整配置。

适用版本：华为 VRP V200R010 及以上（AR6000/AR6100/AR6200/AR6300 系列，即 AR 系列 V300R0xx 与 V200R0xx 两条版本线）；H3C Comware V7（MSR3610 系列，R0615 及以上）。不同版本的接口命名、DHCP 地址池语法细节有差异，实操前先 display version 看清版本。

25.1.3 产品线怎么选（选型视角）

零基础读者最容易犯的错，是拿一台家用路由器的思路去买企业路由器，结果发现「接口不够」「跑不动 300 个终端」。选型看四个维度就够了：带机量、接口类型、转发性能、是否需要内置 AC/防火墙。

华为 AR 系列（企业接入路由器）常见型号：

H3C MSR 系列（多业务路由器）常见型号：

选型的三条硬规矩，比看参数表重要得多：

1. 接口数量要留 30% 余量。今天只接一根运营商线，明天可能加一条专线做备份，预留接口能省一次换机。
2. 带机量看「新建连接数」而不是只看吞吐。企业路由器标称的 Mbps 是 64 字节小包下的理想值，实际带 300 个终端刷视频，瓶颈往往在并发会话数上。
3. 要不要内置 AC 决定组网结构。AR 部分型号内置 WLAN AC 功能，小企业可以 AC 和出口合一；中大型园区建议 AC 独立部署，别把出口设备和无线管理绑死。

除了上面三条，选型时还有一个容易被忽略的维度：硬件形态。企业路由器分箱式（盒式）和框式两类。盒式设备（AR6140-16G4XG、MSR3610-X1 这类）安装简单、成本低，只能单电源单主控；框式设备（AR6280 这类）支持双电源、双主控，一块故障不影响转发。分支网点、小微园区用盒式就够了；如果这条线路承载的是「断了全公司都上不了网」的业务，双电源的成本一定要算进去——机房跳闸和电源模块损坏是运维里最高频的故障之一。

还有一个更隐蔽的维度：许可与功能授权。企业路由器的 NAT、IPSec、WLAN AC 等功能在部分型号上是「可选许可」，出厂默认只能跑基础转发，升级到高级功能要买 license 或加载授权文件。买设备前问清楚「这台机器默认带哪些功能、哪些要额外付费」，比事后发现 VPN 起不来要划算得多。

25.2 华为设备配置详解

25.2.1 命令行基础速览（本章会用到的那几条）

华为设备登录后先是用户视图（提示符 <>），只能看不能改；输入 system-view 进入系统视图（提示符 [HUAWEI]），才能改配置。本章反复用到的命令不多：

每个型号的接口命名不同：AR6140-16G4XG 上是 GigabitEthernet0/0/1 这样的三层口，H3C MSR 上是 GigabitEthernet0/0/1（注意有些型号写 1/0/1，下标以 display interface brief 实际输出为准）。

顺带纠正一个常见误解：华为 VRP 的掩码并不是只能写点分十进制。 ip address 192.168.10.1 24 和 ip route-static 10.0.0.0 24 172.16.1.1 都是合法写法，官方命令参考里掩码参数就同时接受「点分十进制」和「掩码长度」两种形式。之所以本书华为侧例子多写 255.255.255.0，是因为老配置习惯和大部分存量资料这么写，且不同版本对掩码长度的兼容性略有差异。写点分十进制是最保险的。

25.2.2 完整配置模板（三层接口 + 路由 + NAT 出口网关）

这是把一台 AR 路由器配成一个「能上网的出口网关」的最小可用集合：管理口、内网网关口、外网口、默认路由、NAT、DNS、DHCP。命令可以直接照抄，地址按自己规划替换。

# 进入系统视图并命名设备
system-view
sysname AR-EGRESS

# 配置内网接口（连接核心交换机，作为 VLAN10 的网关）
interface GigabitEthernet0/0/1
 description TO-CORE-SW
 ip address 192.168.10.1 255.255.255.0
 quit

# 配置外网接口（假设运营商分配固定地址 172.16.1.2/30）
interface GigabitEthernet0/0/2
 description TO-ISP
 ip address 172.16.1.2 255.255.255.252
 quit

# 配置默认路由，所有未知目的地的报文都往运营商送
ip route-static 0.0.0.0 0.0.0.0 172.16.1.1

# 配置 DNS 代理，让内网终端把路由器当 DNS 服务器
dns resolve
dns proxy enable

# 配置 DHCP 服务器，为 VLAN10 终端分配地址
dhcp enable
ip pool VLAN10
 gateway-list 192.168.10.1
 network 192.168.10.0 mask 255.255.255.0
 dns-list 192.168.10.1
 excluded-ip-address 192.168.10.1 192.168.10.20
 lease day 3
 quit

# 在接口上启用 DHCP 服务器功能
interface GigabitEthernet0/0/1
 dhcp select global
 quit

# 配置 NAT：内网网段出外网时转换为出接口地址
acl number 2000
 rule 5 permit source 192.168.10.0 0.0.0.255
 quit
interface GigabitEthernet0/0/2
 nat outbound 2000
 quit

# 保存配置
save

25.2.3 逐行讲解

先解释为什么必须按「先接口、再路由、再 NAT、最后 DHCP」的顺序配：接口有地址了路由才能成立；路由成立后 NAT 才有意义；DHCP 是最后一个环节，把它放最后是为了避免「终端拿到地址但上不了网」时你没法判断是 DHCP 的问题还是 NAT 的问题。

再说几个模板里容易踩的细节。

第一，excluded-ip-address 必须留出来。 模板里把 192.168.10.1 到 192.168.10.20 排除了，因为这些地址是给网关、交换机管理地址、打印机、服务器手动配置用的。如果 DHCP 把它们也分出去，就会出现「地址冲突」——某个终端突然断网，查半天发现是 IP 撞了。

第二，dns-list 指向路由器自己（192.168.10.1）而不是直接写公网 DNS，是有意为之。 这样将来运营商 DNS 变了，你只改路由器上 dns server 的配置，全内网终端自动跟着变，不用挨个电脑去改。

第三，acl number 2000 的规则里 0.0.0.255 是反掩码，不是子网掩码。 这是零基础读者最常错的地方：子网掩码 255.255.255.0 的反掩码是 0.0.0.255。写反了，ACL 匹配不上任何地址，NAT 也就一条都转换不了。

第四，DNS 代理还需要指定上游 DNS 服务器。 模板里只写了 dns resolve 和 dns proxy enable，这两条是「允许解析」和「允许代理」，但路由器把请求转给谁？答案在 dns server 命令里。真实配置要补上这一步，否则内网终端把路由器当 DNS 时会返回解析失败。

# 指定上游 DNS 服务器（运营商给的，各用各的）
dns server 8.8.8.8
dns server 114.114.114.114

第五，NAT 出接口地址方式的正式名称叫 Easy IP。 它在华为路由器和防火墙上的行为是一致的：把源 IP 和源端口一起替换成出接口地址和随机端口，靠端口号区分不同的内网会话。所以它的适用条件是「出接口地址是固定的」；如果外网口是 DHCP 或 PPPoE 动态拿地址，也照样能用——因为 Easy IP 在转发时实时读取接口当前地址，接口地址变了转换地址跟着变，这正是它比「地址池」更适合动态线路的原因。

25.2.4 子接口与 VLAN 终结（单臂路由）

场景：企业只有一根网线从路由器通到交换机，但下面有三个部门 VLAN（10/20/30），都要能上网且互相隔离。物理上来不及铺三根线，就用一个物理接口切出三个子接口，每个子接口终结一个 VLAN——这就是口语说的「单臂路由」，因为一根线像单臂一样承担了所有 VLAN 的转发。

   [路由器 GE0/0/1] ──── 一根 trunk 线 ──── [交换机 GE0/0/24]
                                              |      |      |
                                          VLAN10  VLAN20  VLAN30

交换机上把连路由器的那个口配成 trunk，放通三个 VLAN；路由器上建三个子接口：

# 交换机侧：连接路由器的接口配成 trunk，放通三个业务 VLAN
system-view
sysname SW-CORE
vlan batch 10 20 30
interface GigabitEthernet0/0/24
 description TO-ROUTER
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
 quit

路由器侧切出三个子接口，每个子接口 dot1q termination vid 指定终结哪个 VLAN，并开启 ARP 广播：

# 路由器侧：一个物理口切三个子接口，各自终结一个 VLAN
interface GigabitEthernet0/0/1.10
 description VLAN10-OFFICE
 dot1q termination vid 10
 ip address 192.168.10.1 255.255.255.0
 arp broadcast enable
 quit

interface GigabitEthernet0/0/1.20
 description VLAN20-GUEST
 dot1q termination vid 20
 ip address 192.168.20.1 255.255.255.0
 arp broadcast enable
 quit

interface GigabitEthernet0/0/1.30
 description VLAN30-SERVER
 dot1q termination vid 30
 ip address 192.168.30.1 255.255.255.0
 arp broadcast enable
 quit

这里有三个必须记住的点：

1. dot1q termination vid 10 是「拆标签」的动作。报文从交换机出来时带着 VLAN 10 的标签，子接口认得这个标签，把它拆掉后再按 IP 处理。不配这行，子接口收到带标签的帧直接丢弃。
2. arp broadcast enable 必须手动开。子接口默认不处理 ARP 广播，不开这行，网关地址 PING 得通自己但学不到终端 ARP，表现得像「网关在但电脑上不了网」。
3. 子网划分的网关地址要落在对应子接口上。192.168.20.1 必须配在 .20 子接口，配到 .10 上就会串号。

关于华为侧的 VLAN 终结命令，已核实清楚：dot1q termination vid 是华为的唯一写法。 我查了华为 AR 命令参考全文（35 万行），vlan-type 这个命令在华为 AR 上出现 0 次——它是 H3C 的命令，不是华为的。所以：

• 华为（VRP）：dot1q termination vid <VLAN ID>，没有任何别名
• H3C（Comware）：vlan-type dot1q vid <VLAN ID>

网上流传的「华为老设备用 vlan-type dot1q」说法是把两家的命令记混了。看到 vlan-type 就要立刻想到 H3C，这个联想能省很多排错时间。

25.2.5 广域网接口配置（以太 / 串口 / 光口）

广域网接口按物理介质分三类，配置复杂度从低到高：

以太网上行最简单，就是运营商给一个固定 IP 或者 PPPoE 拨号。固定 IP 的配置就是 24.2.2 模板里那段；PPPoE 拨号则需要建 Dialer 接口：

# PPPoE 拨号上网：运营商只给宽带账号密码、地址动态分配
# dialer-rule 是系统视图下的一条命令，不是独立视图
dialer-rule 1 ip permit

interface Dialer1
 link-protocol ppp
 ppp chap user office@163.gd
 ppp chap password cipher YourPassword123
 ip address ppp-negotiate
 dialer user user1
 dialer bundle 1
 dialer-group 1
 quit

# 把物理口绑定到拨号池
interface GigabitEthernet0/0/2
 pppoe-client dial-bundle-number 1
 quit

# 拨号接口上做 NAT（因为地址是动态的，只能用出接口地址方式）
interface Dialer1
 nat outbound 2000
 quit

光口在配置上跟电口没区别，都是 ip address，区别在物理层：光模块要匹配单模/多模、波长、传输距离，且发光功率和收光功率要在范围内，否则表现为接口 down。检查用 display transceiver interface。

串口多用于老专线，除了 IP 还要协商链路层参数：

# 串口专线：一端 DCE 负责提供时钟，另一端 DTE 服从对端时钟
interface Serial1/0/0
 link-protocol ppp
 ip address 172.16.2.1 255.255.255.252
 quit

⚠ 版本差异：串口相关接口（如 Serial、POS）在 AR6000 系列上通过 SIC 子卡提供，型号和命令随子卡不同；不少新型号已不再支持串口，实操前确认子卡型号。 ⚠ 待核实：待核实 不同 SIC 子卡与 AR 型号的串口/CPOS 支持矩阵

25.2.6 DHCP 服务器与客户端

DHCP 的作用是给终端自动发 IP、掩码、网关和 DNS。服务器是发号的人，客户端是拿号的人。企业出口路由器通常两件事都干：对内当 DHCP 服务器，对外（PPPoE 或专线对端分配地址）当 DHCP 客户端。

路由器作为 DHCP 服务器的完整配置（提供三种发号方式）：

# 全局地址池方式（推荐，便于跨接口复用同一网段配置）
dhcp enable
ip pool OFFICE
 network 192.168.10.0 mask 255.255.255.0
 gateway-list 192.168.10.1
 dns-list 192.168.10.1 8.8.8.8
 excluded-ip-address 192.168.10.1 192.168.10.20
 lease day 1 hour 0
 quit

# 接口地址池方式（简单，但地址池和接口绑定，只适合小网络）
interface GigabitEthernet0/0/3
 dhcp select interface
 dhcp server dns-list 192.168.30.1
 dhcp server excluded-ip-address 192.168.30.1
 quit

路由器作为 DHCP 客户端（上行是运营商 DHCP 分配地址时）：

# 外网口向运营商 DHCP 服务器申请地址，并自动生成默认路由
interface GigabitEthernet0/0/2
 ip address dhcp-alloc
 quit

对外网接口作为客户端的场景，新手最容易踩的坑是**「拿到了地址但上不了网」**——地址拿到了，网关也下发了，但设备自己没把「运营商网关」变成默认路由，公网报文走不出去。

这个问题的正规解法是给静态路由加 dhcp 关键字，华为 AR 命令参考里专门提供了这种形态：

ip route-static ip-address { mask | mask-length } interface-type interface-number dhcp
              [ preference preference ] [ track nqa admin-name test-name ] [ description text ]

实际配置长这样：

# DHCP 客户端场景专用：出接口 + dhcp 关键字，网关由 DHCP 下发决定
ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/2 dhcp

dhcp 关键字的作用是告诉设备「这条路由的下一跳不要写死，用该接口上 DHCP 协商到的网关」。动态地址场景下这是比手工写出接口更准确的写法，也是官方推荐的方式。

一个补充事实（官方原文）：ip address 静态配置的优先级高于 ip address dhcp-alloc，如果接口上先配了静态地址再配 DHCP 客户端，静态地址会覆盖动态地址——所以配 DHCP 客户端前要确认接口上没有残留静态地址。

不管用哪种写法，配完之后一定要用 display ip routing-table 确认 0.0.0.0/0 真的出现了，这是唯一可靠的验收标准。

DHCP 中继是第三种形态：DHCP 服务器在核心机房，终端在远端子网，中间的路由器要把 DHCP 广播报文转成单播送给服务器。

# 在终端所在网段的网关接口上开启中继，指向远端 DHCP 服务器
interface GigabitEthernet0/0/4
 ip address 192.168.40.1 255.255.255.0
 dhcp select relay
 dhcp relay server-ip 192.168.10.10
 quit

中继的坑在于：服务器上的地址池必须包含终端所在网段的地址，否则服务器收到请求后找不到匹配地址池，直接不回。这一步必须由 gateway-list 或 network 保证匹配。

25.2.7 路由器作为出口网关的完整验证

配置完之后，先别急着给用户交付，按这个顺序验：

1. display ip interface brief 看接口是否都 up；
2. display ip routing-table 看有没有默认路由；
3. display ip pool name OFFICE 看地址池是否正常；
4. 从下面终端 ipconfig /release 再 ipconfig 看能否拿到地址；
5. 从终端 PING 网关、PING 公网 DNS（8.8.8.8）；
6. display nat session table 看有没有转换表项。

这六步跑通，出口网关就算配好了。

25.2.8 多出口与策略路由：一个接口不够用的时候

真实企业很少只有一根线。常见形态是「电信 + 联通双出口」「主线路 + 4G/5G 备份」。多出口的核心问题是：两条默认路由，报文该走哪一条？ 这里有三条路可选，选型的原则是：线路数少、预算紧就主备，业务对出口有强偏好就按目的分流，部门级隔离诉求强就按源分流。 不要一上来就上策略路由，策略路由配错了比没有更麻烦，因为「路由表看着是对的，报文却走反了」，排障要多花三倍时间。

具体的三种做法：

主备方式（推荐入门）：主线路的默认路由优先级数值小（默认为 60），备用线路用 preference 80，主线路接口 down 时主路由消失，备用路由接管。

# 主出口：优先级默认 60，最优先
ip route-static 0.0.0.0 0.0.0.0 172.16.1.1

# 备出口：优先级 80，主路由失效后接管
ip route-static 0.0.0.0 0.0.0.0 172.16.9.1 preference 80

这里有个必须讲清的细节：静态路由的「失效」只认接口 down 这一种情况。如果运营商线路断了但你的光猫还亮着、接口还是 up，主路由不会消失，流量会一直往黑洞里送。这种情况就要配 NQA 或 BFD 联动，主动探测对端可达性：

# 用 NQA 主动探测主线路，探测失败才把默认路由置为不可用
nqa test-instance admin isp1
 test-type icmp
 destination-address ipv4 172.16.1.1
 frequency 5
 timeout 2
 probe-count 2
 start now
 quit

ip route-static 0.0.0.0 0.0.0.0 172.16.1.1 track nqa admin isp1

track nqa 的语法已核实（华为 AR 命令参考 ip route-static 条目原文）：命令格式里写的是 [ track { bfd-session cfg-name | efm-state interface-type interface-number | nqa admin-name test-name } ]——track nqa 后面跟的是「管理员名 + 测试例名」，中间用空格分隔，不带 admin/test 之类的前缀关键字。所以实例 nqa test-instance admin isp1 对应 track nqa admin isp1，两者要对齐。

同一份命令参考还显示，静态路由除了 track nqa，还支持 track bfd-session（BFD 会话）与路由监控组 track route-monitor-group。三者的选择：

另外 start now 会立即启动测试，生产环境如果还没配好路由就先启动了测试例，会产生大量探测报文。稳妥做法是先用 start now 验证通过，再改成定时启动。

⚠ 待核实：待核实 NQA 测试例的参数名（test-type icmp / destination-address ipv4 的准确写法）与 start now 之外的定时启动命令，需按 NQA 配置指南核对

策略路由方式（进阶）：按源网段把办公区和访客区分流到不同出口。

# 定义策略路由：办公区（VLAN10）走出口1，访客（VLAN20）走出口2
acl number 3010
 rule 5 permit ip source 192.168.10.0 0.0.0.255
 quit
acl number 3020
 rule 5 permit ip source 192.168.20.0 0.0.0.255
 quit

policy-based-route PBR-EGRESS permit node 10
 if-match acl 3010
 apply ip-address next-hop 172.16.1.1
 quit
policy-based-route PBR-EGRESS permit node 20
 if-match acl 3020
 apply ip-address next-hop 172.16.9.1
 quit

# 在入接口上应用策略路由，越早应用越省转发开销
interface GigabitEthernet0/0/1
 ip policy-based-route PBR-EGRESS
 quit

策略路由的坑：只对「进入被应用接口」的报文生效。配在 GE0/0/1 上只影响 VLAN10/20 进来的流量；如果终端在 VLAN30 且从另一个接口进来，完全不生效。另外策略路由优先级高于路由表，配错了会出现「路由表看是对的但报文走反了」的情况，排障时 display policy-based-route 是第一命令。

25.2.9 接口备份与链路汇聚

上行带宽不够时，两条线路可以绑成一个链路聚合（Eth-Trunk），前提是两端都支持聚合、且都在同一台运营商设备上。注意：跨运营商的「双线聚合」是不可行的，两条线分属不同 ISP，聚合后对端不在同一台设备，链路聚合无法形成。

# 建以太网聚合口，绑定两个物理口
interface Eth-Trunk1
 description TO-ISP-BUNDLE
 mode lacp-static
 ip address 172.16.1.2 255.255.255.252
 nat outbound 2000
 quit
interface GigabitEthernet0/0/2
 eth-trunk 1
 quit
interface GigabitEthernet0/0/3
 eth-trunk 1
 quit

mode lacp-static 是静态 LACP 模式，比 manual 模式多了链路状态检测能力：一条成员线断了，LACP 会自动把它从聚合组里踢出去，而不是继续往坏线上发一半报文。这是零基础读者最容易忽略的一个参数。

25.2.10 接口常见状态与含义

带星号的 *down 是新手最容易误判的一类：接口被 shutdown 了，物理灯还亮着，但配置不生效。华为 display interface 输出里会明确写 Administratively DOWN，看到这个词就 undo shutdown。

25.2.11 本章配置的整体验证顺序

前面各小节的验证命令汇总成一张清单，按顺序执行一遍就能覆盖出口网关的全部关键点：

这十项就是「登上去五分钟看懂这台出口设备是否健康」的标准动作清单。把它贴在机房墙上，比背命令有用。

25.3 H3C 设备配置详解

25.3.1 H3C MSR 命令行基础与差异标注

H3C 的 Comware V7 与华为 VRP 在「视图结构」上几乎同构：用户视图 <> 进系统视图 [H3C]，接口视图、协议视图逐层下去。差异主要在关键词拼写和部分默认行为上，下面把本章涉及的差异集中列出来（详见 24.4 对照表）：

• 华为 sysname vs H3C sysname，相同；
• 华为 display vs H3C display，相同（两家都用 display，不是 Cisco 的 show）；
• 华为 ip route-static vs H3C ip route-static，相同；
• 华为 dhcp enable + ip pool NAME vs H3C dhcp enable + dhcp server ip-pool NAME，不同；
• 华为 port link-type trunk vs H3C port link-type trunk，相同；但华为 port trunk allow-pass vlan vs H3C port trunk permit vlan，不同；
• 保存：华为 save（交互确认 y）vs H3C save force（免交互），写法有别。

记住一句话：两家设备「骨架同构，关键词有差」，配置思路可以完全照搬，命令拼写要看着对照表敲。

25.3.2 完整配置模板（三层接口 + 路由 + NAT 出口网关）

同样的出口网关场景，在 MSR3610-X1 上的配置：

# 进入系统视图并命名设备
system-view
sysname MSR-EGRESS

# 配置内网接口（连接核心交换机）
interface GigabitEthernet0/0/1
 description TO-CORE-SW
 ip address 192.168.10.1 24
 quit

# 配置外网接口
interface GigabitEthernet0/0/2
 description TO-ISP
 ip address 172.16.1.2 30
 quit

# 配置默认路由
ip route-static 0.0.0.0 0 172.16.1.1

# 配置 DNS 代理
dns proxy enable

# 配置 DHCP 全局地址池
dhcp enable
dhcp server ip-pool VLAN10
 gateway-list 192.168.10.1
 network 192.168.10.0 mask 255.255.255.0
 dns-list 192.168.10.1
 forbidden-ip 192.168.10.1 192.168.10.20
 expired day 3
 quit

# 接口上启用 DHCP 服务器功能
interface GigabitEthernet0/0/1
 dhcp select server
 quit

# 配置 NAT：内网网段出外网时转换为出接口地址
acl basic 2000
 rule 5 permit source 192.168.10.0 0.0.0.255
 quit
interface GigabitEthernet0/0/2
 nat outbound 2000
 quit

# 保存（force 表示免交互确认）
save force

逐行对比华为那段，差异集中在五处：地址掩码写法（两家都支持 24 这种掩码长度写法，但华为文档与老配置习惯写 255.255.255.0，H3C 习惯写 24）、地址池命令（dhcp server ip-pool）、排除地址命令（forbidden-ip 而非 excluded-ip-address）、接口启用命令（dhcp select server 而非 dhcp select global）、ACL 命令（acl basic 2000 而非 acl number 2000）。

排除地址要注意 H3C 有两个同名不同作用域的命令，别混。 上面模板用的是地址池视图下的 forbidden-ip，它只对当前这个地址池生效；如果要「全局所有地址池都不分配某段地址」，要在系统视图下发 dhcp server forbidden-ip 起 止。两者的区别：

华为这边只有地址池视图下的 excluded-ip-address，没有全局版本，所以从华为迁到 H3C 时，这条要重新想一遍放哪个作用域。

25.3.3 子接口与 VLAN 终结

H3C 的单臂路由同样是子接口 + 终结 VLAN，命令为 vlan-type dot1q vid：

# 交换机侧：连接路由器的接口配成 trunk
vlan 10
vlan 20
vlan 30
interface GigabitEthernet1/0/24
 description TO-ROUTER
 port link-type trunk
 port trunk permit vlan 10 20 30
 quit

路由器侧一个物理口切三个子接口：

# MSR 侧：子接口终结 VLAN，配网关地址
interface GigabitEthernet0/0/1.10
 description VLAN10-OFFICE
 vlan-type dot1q vid 10
 ip address 192.168.10.1 24
 quit

interface GigabitEthernet0/0/1.20
 description VLAN20-GUEST
 vlan-type dot1q vid 20
 ip address 192.168.20.1 24
 quit

interface GigabitEthernet0/0/1.30
 description VLAN30-SERVER
 vlan-type dot1q vid 30
 ip address 192.168.30.1 24
 quit

H3C 这边对应的命令与华为不同：子接口要发广播/组播报文，需要用 vlan-termination broadcast enable 打开。H3C 官方 VLAN 终结配置指导明确：「配置了 Dot1q 终结功能的子接口，缺省不允许发送广播、组播报文」，需要显式开启（https://www.h3c.com/cn/d_201912/1251801_30005_0.htm ）。这条与华为的 arp broadcast enable 是两个厂商各自的对应物，两边都要配，都不配就都会出现「网关能 PING 自己但终端上不了网」——我第一轮写「H3C 不需要」是错的，已更正。

# H3C：子接口允许收发广播/组播（对应华为的 arp broadcast enable）
interface GigabitEthernet0/0/1.10
 vlan-type dot1q vid 10
 vlan-termination broadcast enable
 ip address 192.168.10.1 24
 quit

H3C 还多一个约束：同一个 VLAN ID 不能被同一个物理口下的两个子接口同时终结，你在两个子接口上都写 vlan-type dot1q vid 10 会冲突；而 H3C 官方也明确「同一主接口下的不同子接口终结的最外层 VLAN ID 范围不能存在交集」。

V5 老设备提示：Comware V5 的 MSR 子接口命令同样为 vlan-type dot1q vid，但 V5 的 DHCP 命令为 dhcp server ip-pool（无 dhcp enable 全局开关）。已淘汰设备上排障时要留意这一条。

25.3.4 广域网接口与 PPPoE 拨号

H3C 的 PPPoE 客户端配置思路与华为一致，靠 Dialer 接口承载：

# PPPoE 拨号：建 Dialer 接口承载 PPP，物理口绑定拨号池
interface Dialer1
 mtu 1492
 ppp chap user office@163.gd
 ppp chap password simple YourPassword123
 ip address ppp-negotiate
 dialer user user1
 dialer bundle 1
 dialer-group 1
 quit

# 物理口发起 PPPoE
interface GigabitEthernet0/0/2
 pppoe-client dial-bundle-number 1
 quit

# 拨号接口做 NAT
dialer-rule 1 ip permit
interface Dialer1
 nat outbound 2000
 quit

H3C 的 dialer-rule 是系统视图下的命令，华为是 dialer-rule 视图再 dialer-rule 1 ip permit，细节位置不同，按各自提示符敲。

25.3.5 DHCP 服务器 / 客户端 / 中继

H3C 的三种 DHCP 形态：

# 服务器：全局地址池 + 接口启用
dhcp enable
dhcp server ip-pool OFFICE
 network 192.168.10.0 mask 255.255.255.0
 gateway-list 192.168.10.1
 dns-list 192.168.10.1
 expired day 1
 quit
interface GigabitEthernet0/0/3
 dhcp select server
 quit

接口地址池方式（不建全局池，直接用接口网段发号）：

# 接口地址池：地址池跟着接口走，适合小网络快速上线
interface GigabitEthernet0/0/3
 ip address 192.168.30.1 24
 dhcp select server
 dhcp server ip-pool
  quit
 quit

⚠ 待核实：待核实 H3C 接口地址池（dhcp select server 后不引用全局池）与全局池的准确区分命令，不同版本的配置指导描述略有差异

DHCP 客户端（上行运营商 DHCP 分配地址）：

# 外网口作为 DHCP 客户端申请地址
interface GigabitEthernet0/0/2
 ip address dhcp-alloc
 quit

DHCP 中继：

# 中继：把远端网段的 DHCP 请求单播转给服务器
interface GigabitEthernet0/0/4
 ip address 192.168.40.1 24
 dhcp select relay
 dhcp relay server-address 192.168.10.10
 quit

25.4 华为 / H3C 命令对照表

25.5 配置验证

25.5.1 华为验证命令与期望输出

第一组，看接口状态和地址是否都配上了：

# 看全部三层接口的 IP 与物理/协议状态
display ip interface brief

正常应看到内外网口都是 UP/UP，并带上你配的地址：

Interface                     IP Address/Mask      Physical  Protocol
GigabitEthernet0/0/1          192.168.10.1/24      up        up
GigabitEthernet0/0/2          172.16.1.2/30        up        up

第二组，看路由和地址池：

# 确认默认路由存在，下一跳正确
display ip routing-table

# 确认地址池配置和已分配情况
display ip pool name VLAN10

display ip routing-table 里要能看见 0.0.0.0/0 Static 60 0 RD 172.16.1.1 GigabitEthernet0/0/2；display ip pool name VLAN10 里要看 Used : X（已用数）在增长，说明终端确实在拿地址。

第三组，确认 NAT 生效：

# 看 NAT 会话表，确认内网地址被转换成了公网地址
display nat session table

正常输出里能看到每一行是「源地址:端口 → 转换后地址:端口 → 目的地址:端口」，转换后地址应当等于外网接口地址：

Protocol  Source           Dest             Status     NAT-Info
tcp       192.168.10.100:51234  203.0.113.5:443  ESTABLISHED  Src: 192.168.10.100:51234 -> 172.16.1.2:60122

这行输出信息量很大：Src: 后面的两个地址分别是「转换前」和「转换后」（示意写法，实际输出格式以设备为准），一眼就能确认 NAT 到底做了没有、做成了什么。如果这里是空的，说明 NAT 策略没命中；如果转换后的地址不是外网接口地址，说明命中了别的转换规则。

第四组，从终端侧做端到端验证。这一步无法用设备命令代替，必须真机真敲：

Windows 终端：
ipconfig /release
ipconfig /renew
ipconfig /all        （确认 IP、网关、DNS 都拿到了）
ping 192.168.10.1    （通网关）
ping 8.8.8.8         （通公网，验证路由+NAT）
nslookup www.example.com   （验证 DNS 解析）

从终端验的顺序不能乱：先 PING 网关、再 PING 公网 IP、最后解析域名，哪一步断就说明问题在哪一层。跳过第一步直接 PING 公网，出问题时你根本分不清是本地链路、路由还是 NAT 的锅。

25.5.2 H3C 验证命令与期望输出

H3C 的验证命令在语义上与华为一一对应，只是个别关键词不同：

# 接口状态与地址
display ip interface brief

# 路由表
display ip routing-table

# DHCP 地址池与地址分配
display dhcp server pool name OFFICE
display dhcp server ip-in-use

# NAT 会话（确认转换生效）
display nat session verbose

display dhcp server ip-in-use 的输出里，每一行是一个已分配地址，包含 IP、MAC、租约到期时间，正常长这样：

IP address       Client identifier/Host name    Type        Lease expires
192.168.10.101   6a3c-0d8e-1122                 Auto(C)    2026-10-20 10:12:33

如果 display dhcp server ip-in-use 一条都没有，而终端确实在请求地址，问题几乎一定在「接口没启用 dhcp select server」或「地址池网段和接口网段不匹配」这两处。

H3C 特有的两个排障命令值得单独记一下。第一个是 display dhcp server statistics，它按报文类型计数，能看出自己到底有没有收到客户端的 DHCPDISCOVER、有没有发出 DHCPOFFER：

# 看 DHCP 报文收发计数，判断是「没收到」还是「没发出」
display dhcp server statistics

如果 Discover 计数一直为 0，说明报文根本没到设备（链路或接口配置问题）；如果 Discover 有增长但 Offer 为 0，说明设备拒发了，几乎必然是地址池不匹配。

第二个是 display nat session verbose，它的输出比华为的 display nat session table 更详细，能看到会话的入接口、出接口、是否命中 NAT 规则，是确认「NAT 到底有没有被这条会话用到」的关键命令：

# 详细 NAT 会话，含入/出接口与规则命中信息
display nat session verbose

25.6 排错与故障树

25.6.1 出口不通的故障树

按「物理层 → 二层 → 三层 → NAT → 应用层」的顺序逐层往上查，不要跳层。下面是常见症状与对应的排查路径：

25.6.2 一个真实的排查示例

现象：所有终端都能上网，唯独 3 楼一个打印服务器访问不了外网的 SaaS 系统。

排查过程：

1. 先在路由器上 display nat session table，能看到这台服务器的会话——说明 NAT 是通的；
2. 再看会话的目的地址，发现报文被送到了一个完全不对的公网地址；
3. 追问发现 3 楼有人手动配了一台二级路由器，它的 DHCP 抢答了，让部分终端的网关指向了那台二级路由。路由器本身还以为是「内网有两跳 NAT」。把二级路由改成 AP 模式（关 DHCP）后问题消失。

这个案例的教训是：「能上网但个别设备不通」优先怀疑「有另一个 DHCP 服务器在抢答」。排查命令是 display arp | include 网关IP 看网关 MAC 是否有多台设备在应答。

25.7 新手踩坑与注意事项

1. 不保存配置，重启全部丢失——华为 save 后要按 y 确认，H3C 用 save force 免交互。反复犯这个就养成「配完立即存」的肌肉记忆。
2. dhcp enable 忘敲——地址池配得再对，全局 DHCP 功能没开也不发地址。这类「功能总开关」命令要先敲再进细节。
3. ACL 反掩码写成子网掩码——192.168.10.0 0.0.0.255 里 0.0.0.255 是反掩码。写成 255.255.255.0 就匹配不到任何地址。
4. NAT 配在内网口——nat outbound 必须配在出外网的那个接口上，配反了完全无效。
5. 子接口漏配 ARP 广播（华为特有）——表现为网关能 PING 自己但下面终端不通，arp broadcast enable 是必配。
6. 默认路由下一跳填自己——下一跳必须是「对端设备的地址」，填成自己的接口地址路由会报错或无效。
7. 地址池没排除网关和服务器地址——DHCP 会把网关地址分配给终端，造成 IP 冲突、全网抖动。
8. PPPoE 拨号后 MTU 没调——PPPoE 有 8 字节头，MTU 实际只能到 1492，不调就会出现「有的网站能开有的打不开」。
9. 两根线接在一个网段——同一台路由器两个接口配了同网段地址，内网出现路由震荡，表现为时通时断。
10. 串口两端都设 DCE——时钟冲突，链路起不来。一头 DCE 提供时钟、一头 DTE，是最稳的约定。
11. Eth-Trunk 一根线直连、另一根线过交换机——两条成员链路的路径不一样，聚合后会出现乱序和丢包。成员口的物理路径必须完全一致。
12. 策略路由只配在系统视图、没在接口上应用——policy-based-route 定义完不等于生效，必须在入接口上 ip policy-based-route。
13. NQA 探测的目标是自己的网关——探自己的网关永远是通的，等于没探测。要探运营商对端或一个确定的公网目标。
14. DHCP 租约设得太短——设成 10 分钟，几百个终端会频繁续租刷报文，严重时把设备 CPU 打高。办公网 1~3 天比较合理。
15. 改配置前不备份——出口设备改一条命令可能全网断网，改之前先 display current-configuration 导出一份存本地，出问题能对照回滚。

25.8 本章小结

25.8.1 要点清单

• 路由器出口的三件事：认路（路由表）、换装（NAT）、发号码（DHCP）。
• 接口配置顺序：先接口与地址，再路由，再 NAT，最后 DHCP。
• 华为接口掩码必须点分十进制，H3C 可以写掩码长度。
• 单臂路由：物理口切子接口，华为 dot1q termination vid + 必配 arp broadcast enable，H3C vlan-type dot1q vid 且默认处理 ARP。
• NAT 的 ACL 里用反掩码，nat outbound 配在外网出接口。
• DHCP 三种形态：全局池、接口地址池、中继；地址池网段必须与网关接口网段一致。
• 排错顺序：物理层 → 二层 → 三层 → NAT → 应用层，按层定位，不要跳层。

25.8.2 自测题

1. 一台华为 AR6140 要接三个 VLAN（10/20/30）上网，只有一根线连交换机，写出子接口的完整配置，并指出最容易漏配的那一条。
2. acl number 2000 下的 rule 5 permit source 192.168.10.0 0.0.0.255，如果把 0.0.0.255 改成 255.255.255.0，会发生什么？
3. 终端拿到 169.254.1.5 这样的地址，说明什么？列出至少三条排查命令。
4. 华为和 H3C 的 DHCP 中继命令分别是什么？中间路由器需要满足什么条件？
5. PPPoE 拨号后为什么要把 MTU 调到 1492？不调会出现什么症状？

1. 三个子接口 .10/.20/.30，各配 dot1q termination vid 10/20/30、ip address 网关地址、arp broadcast enable。最容易漏的是 arp broadcast enable，漏了表现为「网关在但终端上不了网」。
2. ACL 变成匹配 192.168.10.0 且掩码为 255.255.255.0 的组合（实际匹配不到任何地址），NAT 一条都不转换，所有内网终端上不了外网。
3. 说明 DHCP 没拿到地址，系统自动分配的链路本地地址。排查：display ip pool name、display dhcp server ip-in-use（H3C）、display ip interface brief、确认接口有没有 dhcp select global/dhcp select server。
4. 华为 dhcp relay server-ip X，H3C dhcp relay server-address X；中间路由器需要在终端网段的网关接口上开启中继，且 DHCP 服务器上必须有能匹配终端网段的地址池。
5. PPPoE 封装要在以太帧里塞 8 字节 PPPoE/PPP 头，物理 MTU 1500 减去这 8 字节只剩 1492。不调会出现大包被丢弃，症状是「小页面能开、大网站打不开、部分 VPN 连不上」。

25.8.3 延伸思考

本章讲了出口网关的最小闭环。真实项目里还有三块内容会在后续章节展开：防火墙替代路由器做出口（第 25~26 章）、双出口高可用（第 28 章）、出口设备本身的管理安全（第 30 章）。建议读者先把本章的模板在 eNSP/HCL 模拟器上完整敲一遍——模拟器里敲一遍，胜过看十遍。模拟器练习的建议顺序是：

1. 单出口 + 单网段：跑通 24.2.2 模板；
2. 单出口 + 三网段单臂路由：加上 24.2.4 的子接口；
3. 单出口 + DHCP 中继：把 DHCP 服务器挪到另一个网段；
4. 双出口主备：加上 24.2.8 的备份路由与 NQA；
5. 把第 2 步的交换机换成防火墙，重做一遍——体会「路由器默认转发、防火墙默认拒绝」的根本差别。

第 5 步是通往第 26 章的桥梁。很多读者在路由器上做的配置一搬到防火墙上就全不通，原因就是没有意识到「防火墙默认拒绝一切」这条铁律。这一步走通，后面两章的坑就能少踩一半。

关于本书：《华为 / H3C 网络设备典型功能配置详解》—— 面向国内高校/企业网络环境， 华为 VRP 与 H3C Comware 双厂商并排配置的实操教材，共 43 章。 全书所有命令尽量有官方出处，查不到的显式标注「待核实」。 返回系列目录