华为三层交换机配置是企业网络架构中的核心环节，其通过VLAN间路由、静态路由、动态路由协议以及访问控制列表等功能，实现不同网络 segment 的高效互联与安全管控，以下从基础配置、路由协议配置、ACL配置及高级功能四个维度，详细解析华为三层交换机的典型配置命令,并结合实际场景说明应用逻辑。

基础配置：初始化与VLAN接口启用

在配置三层路由功能前，需完成交换机的基础初始化，包括设备命名、管理IP配置及VLAN划分与接口启用。

设备基础配置

system-view                           # 进入系统视图  
[Huawei] sysname SW-Core              # 设置设备名称为SW-Core  
[Huawei] vlan batch 10 20 30          # 批量创建VLAN 10、20、30（如不同部门或业务分区）  

端口与VLAN绑定

[Huawei] interface gigabitethernet 0/0/1  # 进入接口视图  
[Huawei-GigabitEthernet0/0/1] port link-type access  # 设置端口为接入型  
[Huawei-GigabitEthernet0/0/1] port default vlan 10    # 将端口划入VLAN 10  
[Huawei-GigabitEthernet0/0/1] quit  
[Huawei] interface gigabitethernet 0/0/2  
[Huawei-GigabitEthernet0/0/2] port link-type trunk    # 设置端口为干道型（用于跨设备VLAN传输）  
[Huawei-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 20 30  # 允许VLAN 10/20/30通过  

VLAN接口启用（三层核心步骤）

华为三层交换机通过将VLAN接口转换为三层接口（SVI接口）实现VLAN间路由，需手动启用接口并配置IP地址作为网关。

[Huawei] interface vlanif 10           # 进入VLAN 10的三层接口视图  
[Huawei-Vlanif10] ip address 192.168.10.1 24  # 配置VLAN 10的网关IP  
[Huawei-Vlanif10] description Gateway_VLAN10   # 添加接口描述（可选，便于管理）  
[Huawei-Vlanif10] quit  
[Huawei] interface vlanif 20  
[Huawei-Vlanif20] ip address 192.168.20.1 24  
[Huawei-Vlanif20] quit  
[Huawei] interface vlanif 30  
[Huawei-Vlanif30] ip address 192.168.30.1 24  
[Huawei-Vlanif30] quit  

关键逻辑：VLAN接口相当于虚拟的路由器接口，当交换机收到跨VLAN的报文时，会通过查找路由表，将报文从对应VLAN接口转发出去，实现VLAN间互通，需注意，若VLAN接口未配置IP或未执行undo shutdown（默认开启），则无法转发流量。

路由协议配置：静态与动态路由

三层交换机需通过路由协议学习网络路径，常见包括静态路由（适用于小型网络）和动态路由（如OSPF、RIP，适用于中大型网络）。

静态路由配置

静态路由需手动指定目标网络和下一跳地址，配置简单但无法动态适应网络变化。

[Huawei] ip route-static 192.168.40.0 24 192.168.30.254  # 静态路由：目标网段192.168.40.0/24，下一跳192.168.30.254  
[Huawei] ip route-static 0.0.0.0 0 192.168.10.254       # 默认路由：所有未知流量指向出口网关192.168.10.254  

场景示例：若VLAN 30的用户需访问另一台路由器（192.168.30.254）后的192.168.40.0/24网段，则需在交换机上配置上述静态路由，否则报文将被丢弃。

OSPF动态路由配置

OSPF（开放最短路径优先）是内部网关协议（IGP），基于链路状态算法，适用于中大型网络，支持VLSM和CIDR，收敛速度快。

[Huawei] ospf 1                        # 启动OSPF进程号1（同一进程内交换路由信息）  
[Huawei-ospf-1] area 0                 # 创建骨干区域Area 0（所有区域必须与Area 0相连）  
[Huawei-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 area 0  # 宣告直连网段（反掩码255.255.255.0）  
[Huawei-ospf-1-area-0.0.0.0] network 192.168.20.0 0.0.0.255 area 0  
[Huawei-ospf-1-area-0.0.0.0] network 192.168.30.0 0.0.0.255 area 0  
# 若需与其他区域交换路由，可配置虚连接（如Area 1与Area 0不直连时）  
[Huawei-ospf-1] area 1  
[Huawei-ospf-1-area-0.0.0.1] vlink-peer 192.168.100.1  # 对端设备OSPF Router ID  

关键参数：

• process-id：OSPF进程号，本地有效，不同设备可相同；
• area：区域号，骨干区域必须为0；
• network：需宣告的网络地址及反掩码（反掩码用于匹配连续的IP位，如255.255.0对应0.0.255）。

RIP动态路由配置

RIP（路由信息协议）是距离矢量协议，跳数最大为15，适用于小型网络，配置简单但收敛速度慢。

[Huawei] rip 1                         # 启动RIP进程号1  
[Huawei-rip-1] version 2              # 使用RIP版本2（支持VLSM、认证，版本1为有类路由）  
[Huawei-rip-1] network 192.168.10.0   # 宣告直连网段（自动匹配主类网络，如192.168.10.0为B类）  
[Huawei-rip-1] network 192.168.20.0  
[Huawei-rip-1] network 192.168.30.0  

ACL配置：访问控制与流量过滤

访问控制列表（ACL）通过匹配报文特征（源/目的IP、端口、协议等）实现流量过滤，是网络安全的基础，华为ACL支持基本ACL（2000-2999，基于IP）和高级ACL（3000-3999，基于IP+端口+协议）。

基本ACL配置（限制VLAN 10访问VLAN 20）

[Huawei] acl 2001                      # 创建基本ACL 2001  
[Huawei-acl-basic-2001] rule deny source 192.168.10.0 0.0.0.255  # 拒绝VLAN 10网段访问  
[Huawei-acl-basic-2001] quit  
[Huawei] interface vlanif 20           # 在VLAN 20的入方向应用ACL  
[Huawei-Vlanif20] traffic-filter inbound acl 2001  

高级ACL配置（限制特定协议端口）

[Huawei] acl 3010                      # 创建高级ACL 3010  
[Huawei-acl-adv-3010] rule deny tcp source 192.168.10.0 0.0.0.255 destination-port eq 8080  # 拒绝VLAN 10访问8080端口  
[Huawei-acl-adv-3010] rule permit ip any any  # 允许其他流量通过  
[Huawei-acl-adv-3010] quit  
[Huawei] interface vlanif 30  
[Huawei-Vlanif30] traffic-filter inbound acl 3010  

应用逻辑：ACL需在接口的入方向（inbound）或出方向（outbound）应用，匹配顺序为“自上而下”，一旦匹配某条规则即停止，未匹配则默认通过（除非配置rule deny any any）。

高级功能：DHCP中继与NAT

DHCP中继配置

当交换机连接的VLAN用户需通过其他DHCP服务器获取IP时，需启用DHCP中继功能。

[Huawei] dhcp enable                  # 全局开启DHCP  
[Huawei] interface vlanif 10  
[Huawei-Vlanif10] dhcp select relay   # 启用DHCP中继  
[Huawei-Vlanif10] dhcp relay server-ip 192.168.100.1  # 指定DHCP服务器IP  

NAT地址转换（如通过出口路由器访问互联网）

若三层交换机作为出口网关，可配置NAT实现内网用户共享公网IP。

[Huawei] interface gigabitethernet 0/0/24  # 连接互联网的接口  
[Huawei-GigabitEthernet0/0/24] ip address 202.100.1.1 24  
[Huawei-GigabitEthernet0/0/24] nat outbound 2001  # 将ACL 2001允许的流量进行NAT转换  

华为三层配置命令关键步骤总结

相关问答FAQs

Q1: 三层交换机配置VLAN接口后，VLAN间仍无法通信，可能的原因有哪些？
A: 可能原因包括：① VLAN接口未配置IP地址或IP地址与所属VLAN网段不匹配；② 未开启接口状态（默认开启，但若手动执行shutdown需恢复）；③ ACL规则误拦截（检查接口应用的ACL配置）；④ 路由表中缺少目标网段路由（静态路由未配置或动态协议未正确宣告）；⑤ 物理链路故障（检查端口状态、线缆及对端设备配置），可通过display ip interface brief查看接口状态，display ip routing-table检查路由表，display acl all查看ACL规则。

Q2: 在华为三层交换机上配置OSPF时，为什么无法与邻居设备建立邻接关系？
A: 常见原因及解决方法：① 区域号不匹配（OSPF邻接设备必须在同一区域，骨干区域需为0）；② Hello/Dead间隔时间不一致（通过timer hello命令调整，默认为10s/40s）；③ 认证密码或类型不匹配（若配置区域认证，需确保双方认证模式、密码一致）；④ Router ID冲突（通过ospf router-id手动指定唯一ID，避免重复）；⑤ 网络类型不匹配（如广播网络与P2P网络无法邻接，可通过link-mode调整接口类型），可使用display ospf peer查看邻居状态，display ospf interface检查接口OSPF参数。