华为H3C实战 | 第41章 新手常见问题 FAQ

📚 本系列共 43 篇（第 41 / 43 篇）　·　第六卷 实战与附录篇 —— 把它们拼起来

← 上一篇：第 40 章 华为 / H3C 命令速查字典 　下一篇：第 42 章 术语表与协议索引 →

本章导读：技术上的困境是"这功能怎么配"，经验上的困境是"为什么配了却不生效"。前面各章解决第一种，本章专门解决第二种：45 条来自真实机房的问题，每条按症状→原因→怎么办→怎么避免四段写。

本章结构：

• 41.1 怎么用这一章 —— 给谁看、四段式怎么读、为什么按踩坑频率而不是难度排序
• 41.2 登录与视图类
• 41.3 配置习惯与保存类
• 41.4 常见报错与命令行提示类
• 41.5 VLAN 与二层类
• 41.6 路由与 IP 类
• 41.7 无线与认证类
• 41.8 安全策略与 NAT 类
• 41.9 排障思路类
• 41.10 工程规约与现场作业类
• 41.11 十条「老网管不会明说」的经验
• 41.12 本章小结

重点提示：急的时候只看每条的"怎么办"那一段；41.241.4 几乎人人都会踩，建议通读，之后的组按需查。已经能通但"时好时坏"，先看 41.9 排障思路类；要进现场作业的，41.10 和 41.11 别跳。 关联章节：命令行与视图体系见第 1 章；各类报错对应的功能章见第 336 章；命令怎么查见第 40 章；被问到的术语查第 42 章。

41.1 怎么用这一章

41.1.1 这一章是给谁看的

如果你刚入行，或者第一次独立接手一台华为/H3C 设备，你会遇到两种困境：技术上的困境（这个功能怎么配）和经验上的困境（为什么配了却不生效、为什么别人的能跑我的不行）。

这本书前面每一章都在解决第一种困境。这一章专门解决第二种。

下面 45 条问题，全部来自真实的运维现场——不是「教科书会问的问题」，而是「半夜三点你在机房里会问的问题」。每条都按四段写：症状 → 原因 → 怎么办（附命令）→ 怎么避免。急的时候只看「怎么办」那一段就行。

41.1.2 这一章的排序逻辑

问题按主题分成八组，但组内排序不是按难度，而是按踩坑频率。第一组到第四组是「几乎每个人都会遇到」的，建议通读；第五组之后可以按需查。

41.2 登录与视图类

Q1 敲了命令提示「Error: Unrecognized command」，哪里错了？

症状：命令敲下去，设备回一句 Error: Unrecognized command found at '^' position.。

原因：三种可能——在错误的视图敲命令、命令拼写错误、命令在当前版本不存在。最常见的是第一种：在用户视图 <HUAWEI> 下敲了系统视图命令。

怎么办：先看提示符。<> 是用户视图，[] 是系统视图。

# 从用户视图进入系统视图
<HUAWEI> system-view
[HUAWEI]

怎么避免：敲命令前看一眼提示符。另外善用 ?，在任意视图敲 ? 会列出当前视图支持的所有命令。

Q2 怎么快速知道一台陌生的设备该怎么配？

症状：接手一台设备，不知道它配了什么、跑的什么业务。

原因：没有标准的信息收集流程。

怎么办：登录后按顺序敲这几条：

# 华为：四步摸清一台设备
display version
display current-configuration
display interface brief
display vlan

H3C 的命令完全相同（display 系列是两家兼容度最高的部分）。

怎么避免：把这四条存成便签，作为「接手设备」的固定动作。

Q3 配置时屏幕一直「–More–」，怎么关掉分页？

症状：display current-configuration 输出太长，一直停在 ---- More ----。

原因：设备默认开启分页显示。

怎么办：

# 华为：关闭分页，只对当前会话生效
<HUAWEI> screen-length 0 temporary

# H3C：关闭分页
<H3C> screen-length disable

怎么避免：screen-length 0 temporary 只在当前会话有效，重新登录后恢复。这是好事——避免以后忘记打开导致输出刷屏。

Q4 中文显示乱码怎么办？

症状：设备输出里中文显示成乱码或者是方块。

原因：终端软件的字符编码与设备不一致（多数是 UTF-8 与 GBK 的差异）。

怎么办：在终端软件（SecureCRT/PuTTY/MobaXterm）的会话设置里切换字符编码，一般选 UTF-8 或 GBK 试一下。

怎么避免：团队统一用一个终端软件、统一编码设置。另外配置里的注释建议用英文或拼音，避免跨软件乱码。

41.3 配置习惯与保存类

Q5 敲了 undo 之后，为什么配置「没删」？

症状：敲了 undo xxx，但 display current-configuration 里那条配置还在，或者功能还在生效。

原因：四种可能——

1. 手误敲在错误的视图：undo 只对当前视图有效，在系统视图下 undo 一个接口命令是没用的。
2. 配置有继承关系：上层视图的命令覆盖了下层的删除，比如 AP 组下绑定了模板。
3. 这是「默认值」被显示：有些默认配置本来就会显示，undo 掉后恢复默认值，看起来「还在」。
4. 有另一个设备/端口在提供同样的功能：比如 VRRP 另一台还在提供网关。

怎么办：先确认命令敲在哪个视图，再 display this 看当前视图下的实际配置：

# 看当前视图下生效的配置（华为）
[HUAWEI-interface-GigabitEthernet0/0/1] display this

# H3C 同样支持
[H3C-GigabitEthernet1/0/1] display this

怎么避免：改完立刻用 display this 或 display current-configuration interface X 确认，不要凭「我敲了 undo」就认为生效了。

Q6 忘了 save 会怎样？怎么确认自己存了没？

症状：配了一下午的配置，重启后全没了。

原因：所有配置命令都只改「运行配置」（running-config），断电或重启后设备重新从「启动配置」（saved-configuration）加载。

怎么办：

# 华为：保存配置，会问是否确认，敲 y
<HUAWEI> save

# H3C：保存并跳过确认
<H3C> save force

# 确认自己存了没：对比运行配置与启动配置
<HUAWEI> display saved-configuration

怎么避免：养成「改完就存」的条件反射。更规范的做法是配置完成一个功能段就存一次，而不是全部做完再存。

Q7 怎么对比「当前配置」和「已保存配置」的差异？

症状：想确认自己改了哪些东西、和上次保存的差在哪。

原因：人工对比两份长配置几乎不可能。

怎么办：把两份配置都导出到 PC，用文本对比工具（Beyond Compare、VS Code、diff）比对：

# 华为：分别导出运行配置与启动配置到终端
display current-configuration
display saved-configuration

# H3C：同样
display current-configuration
display saved-configuration

怎么避免：每次改动前先导出当前配置存一份，改动后再导出一次，两次对比就知道改了什么。这是变更管理的标准动作。

Q8 配置改坏了，怎么回到上一次能用的版本？

症状：改了一堆配置，业务坏了，想回滚。

原因：没有提前备份。

怎么办：如果之前备份过配置文件，用配置回滚：

# 华为：用备份文件回滚配置
<HUAWEI> configuration replace file flash:/backup.cfg

# H3C：同样
<H3C> configuration replace file flash:/backup.cfg

如果没有备份，最直接的方案是 reset saved-configuration 后重启恢复出厂，再从文档重建——代价很大。

怎么避免：任何变更前先 save + 导出配置。这一条比任何技巧都重要。

Q9 设备上的时钟不对，会导致什么问题？

症状：日志时间对不上、证书时间错误、认证失败。

原因：设备没有配置 NTP，时钟随运行时间漂移。

怎么办：

# 华为：手动设置时钟
[HUAWEI] clock datetime 10:00:00 2024-01-01

# 配 NTP 客户端，自动同步
[HUAWEI] ntp-service unicast-server 192.168.1.100

怎么避免：所有设备统一配 NTP，并在交付验收清单里加一条「时间偏差 < 1 秒」。

41.4 常见报错与命令行提示类

Q10 「Error: The specified VLAN does not exist」是什么意思？

症状：把接口加入 VLAN 时报错。

原因：先划接口到 VLAN，但 VLAN 还没创建。

怎么办：先建 VLAN 再划接口：

# 华为：先建 VLAN，再划接口
[HUAWEI] vlan batch 10
[HUAWEI] interface GigabitEthernet0/0/1
[HUAWEI-GigabitEthernet0/0/1] port link-type access
[HUAWEI-GigabitEthernet0/0/1] port default vlan 10

怎么避免：配置顺序永远是「先建 VLAN，再划端口，最后配 trunk 放行」。

Q11 「Error: Please configure the interface type first」怎么解决？

症状：H3C 上直接执行 port access vlan 10 报错。

原因：接口当前是三层模式（route mode），不支持二层 VLAN 配置。

怎么办：先把接口切成二层：

# H3C：把接口切成二层（bridge）模式
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] port link-mode bridge
[H3C-GigabitEthernet1/0/1] port access vlan 10

怎么避免：接手设备先 display interface brief，看接口是 UP 还是 DOWN，以及是二层还是三层。

Q12 「Error: The interface has been used by other service」是什么？

症状：想给接口配 IP，但报错说接口已被其他业务占用。

原因：接口被加入了聚合（Eth-Trunk / Bridge-Aggregation），或者被配置为堆叠口、镜像口等。

怎么办：先解除占用：

# 华为：把接口从 Eth-Trunk 中移除
[HUAWEI] interface GigabitEthernet0/0/1
[HUAWEI-GigabitEthernet0/0/1] undo eth-trunk

怎么避免：接口的用途（业务口、聚合成员、堆叠口、镜像口）要先规划好，不要临时改变用途。

Q13 「Error: Unrecognized command」但命令确实存在，怎么办？

症状：照着文档抄的命令报「无法识别」。

原因：版本差异。文档可能来自其他版本，命令在当前版本上不存在或参数不同。

怎么办：在设备上用 ? 逐级展开，看真实的命令树：

# 逐级查命令帮助
[HUAWEI] stp ?
[HUAWEI] stp bpdu-protection ?

怎么避免：永远不要盲抄文档。任何「不确定」的命令，先 ? 确认再敲。

41.5 VLAN 与二层类

Q14 同一个 VLAN 内的两台 PC 不通，怎么查？

症状：两台 PC 连在同一台交换机、属于同一个 VLAN，但互相 ping 不通。

原因：可能的原因按概率排序——

1. PC 的 IP 不在同一网段或掩码错误。
2. 两个口不在同一个 VLAN。
3. 端口被端口安全/MAC 限制封了。
4. 有环路导致 STP 阻塞了某个口。

怎么办：逐条查：

# 1. 确认端口在哪个 VLAN
display port vlan active

# 2. 确认 VLAN 成员
display vlan 10

# 3. 确认 MAC 学习到了
display mac-address vlan 10

# 4. 确认端口没被禁用
display interface GigabitEthernet0/0/1

怎么避免：接入端口上线前统一模板化配置，不手工一个个口配。

Q15 跨 VLAN 不通（能 ping 通网关，但 ping 不通其它 VLAN 的主机），怎么查？

症状：PC 能 ping 通自己的网关，但 ping 不通另一个 VLAN 的主机。

原因：网关配置没问题（能 ping 通），那么问题在三层转发或策略：一是三层设备上没有目标网段的路由，二是 ACL 或防火墙策略拦了。

怎么办：

# 1. 在网关设备上看路由表里有没有目标网段
display ip routing-table 192.168.20.0

# 2. 看 ACL 命中情况
display acl 3000

# 3. 从网关带源地址 ping 目标
ping -a 192.168.10.1 192.168.20.10

怎么避免：每加一个网段，都要在网关设备上验证「路由 + ACL」两件事。

Q16 为什么 display vlan 10 里看不到我的接口？

症状：明明配了 port default vlan 10，但 VLAN 10 的端口列表里没有它。

原因：三种可能——接口类型不是 access、接口是 trunk 但没放行 VLAN 10、接口被 shutdown 了。

怎么办：

# 华为：看接口的完整二层配置
display current-configuration interface GigabitEthernet0/0/1
display port vlan active

怎么避免：配完立刻 display port vlan active 确认，不要等出问题再看。

Q17 接口一直显示 DOWN，可能是什么原因？

症状：display interface brief 里某个口是 DOWN。

原因：按顺序排查——

怎么办：

# 看光模块收发光功率是否正常
display transceiver diagnosis interface GigabitEthernet0/0/1

# 看接口详细状态
display interface GigabitEthernet0/0/1

怎么避免：上架时两端都设置 negotiation auto（华为）或 speed auto/duplex auto（H3C），除非有明确理由才强制。

41.6 路由与 IP 类

Q18 VLANIF 配了地址，但状态一直是 DOWN，为什么？

症状：interface Vlanif 10 下配了 ip address，但 display interface Vlanif 10 显示 DOWN。

原因：VLANIF 的状态依赖于该 VLAN 内是否有 up 的物理接口。如果这个 VLAN 在设备上没有任何 up 的端口，VLANIF 就是 down 的。

怎么办：

# 1. 看 VLAN 里有哪些口
display vlan 10

# 2. 看这些口的物理状态
display interface brief

# 3. 确认 trunk 放行了这个 VLAN
display port vlan active

怎么避免：先保证有 up 的物理端口加入该 VLAN，再配 VLANIF 地址。另外注意跨设备时，Trunk 必须放行该 VLAN，否则对端口虽然 up 但不属于这个 VLAN。

Q19 ping 不通，但 ARP 学不到，怎么回事？

症状：PC ping 网关没反应，网关上看不到 PC 的 ARP。

原因：三层无法解析二层地址。可能原因——PC 的掩码错（不在同一网段）、VLAN 划错、网关配错。

怎么办：

# 1. 看目标地址的 ARP 是否存在
display arp | include 192.168.10.5

# 2. 看接口的 IP 与掩码
display ip interface brief

# 3. 清 ARP 后重新学
reset arp all

怎么避免：VLAN 划分与 IP 规划要严格对应，做一张「VLAN-IP 对照表」贴在机房。

Q20 静态路由配了不生效，怎么办？

症状：配了静态路由，但路由表里没有。

原因：三种可能——下一跳不可达（路由递归失败）、有更优先的路由（OSPF 或直连）、下一跳接口没配 IP 或没 up。

怎么办：

# 1. 看路由表里到底有没有这条
display ip routing-table 192.168.20.0

# 2. 看下一跳是否可达
ping 192.168.10.2

# 3. 看是否有直连或动态路由覆盖
display ip routing-table protocol ospf

怎么避免：配静态路由后必须验证两件事——「路由表里有」和「下一跳能 ping 通」。

Q21 为什么 ping 能通，但访问服务不通？

症状：网络层通（ping 通），应用层不通（网页打不开、SSH 连不上）。

原因：ICMP 与 TCP/UDP 走不同的策略路径。可能是防火墙只放行了 ICMP、ACL 只放行了 ICMP，或者应用服务本身没启动。

怎么办：分层看——

# 1. 测端口是否可达
telnet 192.168.10.5 80

# 2. 看防火墙会话表里有没有这条流
display firewall session table

# 3. 看服务器上的服务是否在监听
netstat -an | findstr :80

怎么避免：ACL/防火墙策略要按「协议+端口」写，不要只写 permit icmp 就以为放通了。

41.7 无线与认证类

Q22 AP 不上线，怎么一步步查？

症状：AP 加电后，AC 上 display ap all 一直显示离线。

原因：按顺序排查——AP 没拿到 IP、DHCP 没带 Option 43、AP 到 AC 不通、AC 的 CAPWAP 源接口配置错、AP 认证方式拒绝。

怎么办：五步定位：

# 第 1 步：AP 是否拿到了管理 IP（在核心上看 ARP）
display arp | include 172.16.100

# 第 2 步：DHCP 是否有 Option 43
display current-configuration | include option 43

# 第 3 步：从 AP 所在交换机 ping 通 AC
ping -a 172.16.100.51 172.16.100.2

# 第 4 步：AC 的 CAPWAP 源接口
display capwap configuration

# 第 5 步：AP 状态与失败原因
display ap all

怎么避免：AP 上线率纳入验收清单，每次新增 AP 都要验证「拿到 IP + 在线」两件事。

Q23 无线连上了但打不开网页，为什么？

症状：手机显示已连接 Wi-Fi，但网页打不开。

原因：最常见的是业务 VLAN 没配网关，或者无线用户拿不到 IP，或者被 Portal 认证拦住。

怎么办：

# 1. 看手机是否拿到 IP（在 AC 或核心上看在线用户）
display station all

# 2. 看业务 VLAN 的网关是否 up
display interface Vlanif 40

# 3. 看是否有 Portal 认证
display web-auth-server configuration

怎么避免：无线上线前把「终端拿到业务 IP + 能 ping 通网关」作为两级验收。

Q24 Portal 认证页面不弹出来怎么办？

症状：连上 Wi-Fi 后，浏览器不弹认证页。

原因：Portal 服务器不可达、共享密钥不一致、免认证规则漏配（DNS 被拦）、或者终端浏览器缓存。

怎么办：

# 1. 看 Portal 服务器探测状态
display web-auth-server configuration
display server-detect state

# 2. 确认免认证规则里有 DNS
display current-configuration | include free-rule

# 3. 手动访问任意 HTTP 站点触发重定向

怎么避免：Portal 配置上线后必须做「三台不同品牌的手机」联调，因为各家的重定向行为不一样。

Q25 AP 数量多的是不是一定要用 AC？

症状：纠结于「胖 AP 还是瘦 AP + AC」。

原因：取决于规模与运维需求。

怎么办：给一张判断表：

怎么避免：在采购阶段就定，不要买了胖 AP 后面再想着转瘦。

41.8 安全策略与 NAT 类

Q26 防火墙策略明明配了 allow，为什么还是不通？

症状：安全策略里配了允许，但流量仍然被拦。

原因：五种可能——策略方向配反、源/目的区域不对、地址对象写错（尤其 NAT 后地址变了）、会话未建立、默认动作是拒绝且规则未命中。

怎么办：按顺序查：

# 1. 看策略是否命中（看命中计数）
display security-policy rule all

# 2. 看会话表里有没有这条流
display firewall session table

# 3. 看流量的真实源/目的（是否被 NAT 改过）
display firewall session table verbose

怎么避免：写策略时把「源区域、目的区域、源地址、目的地址、服务」五项全部写清楚，不要依赖默认值。

Q27 防火墙默认策略是什么？要不要改？

症状：配完防火墙后什么都不通。

原因：华为 USG6000E/H3C F1000 的默认动作是拒绝所有，不配策略就一条流量都过不去。

怎么办：显式确认默认动作，并按需配置放行策略：

# 华为：查看默认动作
display security-policy rule all

# 设置默认拒绝（推荐，明确表达安全基线）
[HUAWEI] security-policy
[HUAWEI-policy-security] default action deny

怎么避免：把「默认拒绝」当作设计前提，所有放行都是显式声明的。这是等保 2.0 的基本要求。

Q28 NAT 配了，内网上不了网，怎么查？

症状：内网 PC 打不开外网网页。

原因：按顺序排查——路由不通、NAT 的 ACL 没匹配上、nat outbound 配在错误接口、防火墙拦了、DNS 没配。

怎么办：五步定位：

# 1. 路由通不通
display ip routing-table 0.0.0.0

# 2. NAT 是否建立了转换
display nat session all

# 3. ACL 是否匹配流量
display acl 2000

# 4. 防火墙会话
display firewall session table

# 5. 直接 ping 公网 IP 与域名，区分 DNS 问题
ping 8.8.8.8

怎么避免：NAT 上线前做「逐跳 ping」验证（见第 38 章 37.5.5），每一跳确认一次。

Q29 外网访问不了内网服务器，但内网可以访问外网？

症状：典型的「单向不通」。

原因：缺少 NAT Server（端口映射）或防火墙没有放行外网到内网的入站策略。

怎么办：

# 1. 看 NAT Server 是否配置
display nat server

# 2. 看防火墙是否有入站放行策略
display security-policy rule all

# 3. 从外网测端口
telnet 100.64.8.2 8080

怎么避免：发布内网服务时，三处必须同时配：NAT Server、防火墙入站策略、服务器本机防火墙放行。

Q30 「内网访问公网映射地址失败」，是故障吗？

症状：内网 PC 用公网 IP 访问内网服务器，访问不了，但外网可以。

原因：不是故障，是 NAT 的默认行为限制——NAT 设备通常不处理「从内网口进入、又从内网口返回」的流量。

怎么办：两个方案——内网用户直接访问服务器内网地址（最佳实践，用 DNS 分流），或者配置 NAT 回流（Hairpin）。

怎么避免：测试内网服务时直接用内网地址测，不要绕公网。

41.9 排障思路类

Q31 排障第一步该做什么？

症状：接到报障，不知道从哪下手。

原因：没有套路的排障会导致「乱试」。

怎么办：先问三个问题——影响范围多大？什么时候开始的？最近改了什么？ 然后按分层法（物理 → 二层 → 三层 → 应用）逐层缩小。具体方法见第 39 章 38.1。

怎么避免：把「先问范围、再问时间、再问变更」当成肌肉记忆。

Q32 为什么我改了很多配置都没用，但重启就好了？

症状：各种改配置都不生效，重启后全好了。

原因：部分配置需要重启才能生效（尤其是堆叠、IRF、部分硬件相关配置），或者设备状态异常（如进程挂死）。

怎么办：先确认这条配置是否「需要重启生效」，再考虑重启作为方案。

怎么避免：把「重启」当最后手段，不是第一手段。重启会中断业务，且让你失去现场。

Q33 怎么判断问题在「有线」还是「无线」？

症状：用户说「网络慢」。

原因：需要先分清是哪个链路。

怎么办：把笔记本直接插到 AP 所在交换机的同一个口（同 VLAN）测速：有线也慢 → 有线侧或上游；有线正常 → 空口问题。

怎么避免：所有「慢」类问题都先做这个二分。

Q34 网络「时好时坏」，怎么查？

症状：有时正常，有时不通。

原因：常见原因——环路与 STP 抖动、地址冲突（两个设备用了同 IP）、链路聚合一侧故障（单边断）、光衰临界、ARP 老化。

怎么办：

# 1. 看 STP 拓扑变化次数
display stp

# 2. 看地址冲突告警
display logbuffer | include conflict

# 3. 看聚合成员状态
display eth-trunk 1

# 4. 看光模块收光
display transceiver diagnosis interface GigabitEthernet0/0/1

怎么避免：配好日志服务器，把所有异常事件记录下来，「时好时坏」的问题靠日志抓。

Q35 怎么「证明」问题不在我这一层？

症状：甲方/同事质疑「是你的交换机问题」。

原因：没有证据意识。

怎么办：用命令留下证据——接口统计、路由表、ACL 命中计数、日志。截图 + 时间戳。

# 华为：一次性收集全部关键信息
display diagnostic-information

怎么避免：每次排障都留档，形成「排障记录」，这在责任划分与后续优化中都很有价值。

41.10 工程规约与现场作业类

Q36 新设备上架前的检查清单是什么？

症状：设备上架后才发现型号/版本不对。

原因：没有上架前的核对流程。

怎么办：上架前查四项：

怎么避免：把这张表做成上架检查单，签字确认。

Q37 为什么每根线都要打标签？

症状：出故障时找不到线是哪根。

原因：标签是「未来自己」的救命绳。

怎么办：两端都打标签，内容是「设备名-端口-对端设备名-对端端口」，例如 CORE-GE0/0/1-ACC3F-GE0/0/24。用标签打印机，不要用记号笔。

怎么避免：把打标签写进施工规范，验收时检查。

Q38 机房里应该常备什么工具？

症状：故障时发现少工具。

原因：没有标准工具包。

怎么办：常备清单——Console 线（RJ45 与 USB 两种）、网线测试仪、寻线仪、光功率计、标签打印机、备用光模块、备用跳线、笔记本（带串口软件）、手电筒。

怎么避免：工具包编号管理，定期盘点。

Q39 怎么给甲方做一次「网络交付」？

症状：不知道该交什么。

原因：缺少交付标准。

怎么办：至少交五份文档——拓扑图、配置清单、接线表、账号表、变更记录。再加上「验收清单逐项签字」。详见第 38 章 37.9.4。

怎么避免：把交付文档模板化，每次项目复用。

Q40 登录设备应该用什么方式？Telnet 还能用吗？

症状：老设备只有 Telnet。

原因：Telnet 是明文传输，密码在网络上是裸奔。

怎么办：能用 SSH 就用 SSH，把 Telnet 关闭：

# 华为：开 SSH，VTY 只允许 SSH
stelnet server enable
user-interface vty 0 4
 protocol inbound ssh
 quit

怎么避免：所有新设备交付必须 SSH；老设备通过升级或加跳板机的方式过渡。

Q41 交换机在机柜里要不要接地？

症状：有人觉得「不接地也能用」。

原因：接地是安全与防雷要求，不是「可选项」。

怎么办：所有机柜设备必须接地，接地电阻符合规范（一般 ≤4 欧姆，具体按机房标准）。

怎么避免：验收清单里加一条「接地检查」。

Q42 配置里的密码能不能明文写在文档里？

症状：交接文档里写了明文密码。

原因：方便，但不安全。

怎么办：文档里只写「密码存放位置」，不写密码本身；密码用密码管理器或加密文件统一管理。设备上用 irreversible-cipher（华为）或 simple 加密后配置。

怎么避免：把「密码不入文档」写进团队规范。

Q43 VLAN 1 到底能不能用？

症状：新配置默认都在 VLAN 1。

原因：VLAN 1 是默认 VLAN，所有未配置端口都在其中。

怎么办：业务不要放在 VLAN 1。VLAN 1 可以保留给设备管理（有争议），但建议管理也用独立 VLAN。

怎么避免：规划时把业务 VLAN 从 10 开始编号，VLAN 1 保持空置。

Q44 公司网络需要做等保吗？

症状：不清楚合规要求。

原因：等保 2.0 对网络设备有明确要求。

怎么办：至少做到——SSH 与管理 VLAN、AAA 认证、日志集中、NTP、默认拒绝的安全策略、漏洞补丁管理。这是最低基线。

怎么避免：把等保基线做成「设备上线检查单」，不靠人记。

Q45 遇到真的搞不定的问题，怎么办？

症状：查了很久，还是不通。

原因：可能是硬件故障、版本缺陷、或者是极端场景。

怎么办：按顺序升级处理——

1. 收集证据：display diagnostic-information（两家都有）。
2. 记录现象：时间、命令、输出、已尝试的操作。
3. 查官方：厂商文档的「故障处理」章节、技术社区。
4. 提工单：把上面的材料打包发给厂商。
5. 降级方案：如果有备用设备或链路，先切换保证业务。

怎么避免：把「收集证据」当成习惯，工单写得清楚，处理速度快一倍。

41.11 十条「老网管不会明说」的经验

这一节不是问答，是十年以上老手才会总结出来的经验。它们不出现在任何手册里，但每一条都能省下你几十个小时。

经验一：先画图，再动手。 不管多小的网络，先画出拓扑和 IP 规划。画不出来的地方，就是你还没想清楚的地方。很多人配置失败的根源不在命令，而在「边配边想」。

经验二：一次只改一处。 改三处配置然后测试，如果通了，你不知道是哪一处起的作用；如果不通，你也不知道是哪一处的问题。一次改一处，改完就测——这是所有排障效率的根源。

经验三：记录每一次变更。 哪怕只是加了一条 ACL 规则。三个月后你不会记得「是谁改的、为什么改」，但日志会记得。

经验四：保留「能用」的配置。 每次上线成功后，把配置存一份，文件名带日期。将来回滚时，这份文件就是你的救命绳。

经验五：不要相信「应该没问题」。 一切都要验证。display 系列命令之所以重要，就是因为它们只输出事实，不输出期望。

经验六：报警要设置在「人还没发现」的时候。 好的监控是设备在用户报障前发出告警。这需要平时配日志服务器、告警阈值。

经验七：作业前先戴「手套」。 动手前的三问：备份做了吗？变更窗口确认了吗？回滚方案想好了吗？这三问花三十秒，能省掉三十小时。

经验八：不要「顺手」改别人的设备。 看到别人配置不规范，别当场改。先记下来，走变更流程。顺手改是生产事故的常见源头。

经验九：遇到第一次见的问题，先做记录，再做修复。 记录现象、时间、命令与输出。因为在修复的瞬间，原始现场就消失了。

经验十：你的下一个接手人，是你的三个月后的自己。 所有文档、标签、注释，都是为「未来的你」写的。缺少它们，你会感谢现在的自己吗？

最后一条实用建议：把这十条用一页纸打印出来，贴在显示器旁。技术细节会忘，这十条不会。

41.12 本章小结

这 45 条问题，如果把「怎么办」那一段抽出来单独看，会发现它们重复着同一套动作：

• 先看视图和提示符（Q1、Q11、Q13）。
• 改完就存、存了就备份（Q6、Q7、Q8）。
• 配完立刻验证（Q14~Q21）。
• 分层定位（Q31、Q33、Q34）。
• 留证据（Q35、Q45）。

技术会过时，这套动作不会。真正让一个网管从「会背命令」到「能扛事情」的，就是这五条习惯。

自测题

1. 敲了 undo 但配置还在，最可能是什么原因？怎么确认？
2. VLANIF 状态是 DOWN，和 VLAN 里有没有 up 的物理口有什么关系？
3. 防火墙策略配了 allow 还是不通，最容易被忽略的一个原因是哪个？
4. 为什么说「内网访问公网映射地址失败」不一定是故障？
5. 排障时收集 display diagnostic-information 的价值是什么？

1. 最可能是命令敲在了错误的视图（undo 只对当前视图有效），或者配置有继承/默认值显示问题。确认方法是 display this 看当前视图的真实配置，或 display current-configuration interface X 看接口的完整配置。
2. 有直接关系。VLANIF 的协议状态依赖于该 VLAN 内至少有一个 up 的二层接口；如果这个 VLAN 在本设备上没有任何 up 的物理口，VLANIF 就是 DOWN 状态，即使配了地址也不转发。
3. NAT 后的地址变化。当 NAT 先于防火墙策略生效时，防火墙看到的源地址已经是被转换后的地址，策略里写内网段就匹配不上。
4. 因为 NAT 设备默认只处理「内网口进、外网口出」方向的流量；内网 PC 访问公网映射地址时，报文从内网口进、又从内网口出，不满足转换条件。这是协议实现的默认行为，不是故障。
5. 它会一次性收集版本、配置、接口状态、路由、日志等关键信息，是「现场快照」。当问题无法当场定位、需要升级到厂商或他人协助时，这份材料就是唯一的诊断依据。

关于本书：《华为 / H3C 网络设备典型功能配置详解》—— 面向国内高校/企业网络环境， 华为 VRP 与 H3C Comware 双厂商并排配置的实操教材，共 43 章。 全书所有命令尽量有官方出处，查不到的显式标注「待核实」。 返回系列目录