华为交换机登录配置：Console 与 Telnet 实战

新到货的华为交换机第一件事就是通过 Console 口完成初始配置，很多运维新手卡在终端仿真软件参数、本地认证配置和 Telnet 远程维护这几步上。本文基于华为官方《交换机登录的典型配置》案例（适用 S300/S500/S2700/S3700/S5700/S6700/S7700/S7900/S9700 系列），完整演示从 Console 接线到 Telnet 远程登录的全过程，命令可直接照抄。

登录方式总览与选择原则

华为 VRP 平台交换机的登录方式分为本地登录与远程登录两大类。本地登录只有 Console 口一种，通过物理线缆直连设备，不依赖任何网络配置，是设备首次上电开局、软件升级、配置误操作恢复以及远程登录不可用时的唯一入口。远程登录包括 Telnet、STelnet（SSH）、SFTP、SNMP 网管以及部分型号支持的 Web 网管，依赖管理地址可达，适合日常运维和批量操作。

选择原则很明确：开局和救急用 Console 口，日常运维用 STelnet，Telnet 只在隔离的带外管理网或实验室中使用，并且必须配合 ACL 限制源地址。三者不是互相替代的关系，而是分层备份的关系——远程登录配好之后，Console 口仍然要保留物理可达，否则一次 VTY 配置错误就会让设备彻底失联，只能到机房现场处理。

通过 Console 口登录交换机

Console 口登录是交换机最基本、最可靠的登录方式，也是 Telnet、STelnet 等远程登录方式的基础。用 Console 线缆连接 PC 串口与交换机 Console 口（笔记本需 USB 转串口线），打开终端仿真软件，通信参数必须与交换机缺省值一致：传输速率 9600bit/s、数据位 8、停止位 1、无校验、无流控。双主控板设备连接任意主控板的 Console 口均可登录。

配置交换机基本信息

登录后首先设置日期、时间、时区与设备名称，方便后续日志与运维管理：

<Huawei> system-view
[Huawei] clock timezone BJ add 08:00:00
[Huawei] sysname SW-CORE-01
[SW-CORE-01] quit
<SW-CORE-01> clock datetime 09:00:00 2026-08-29

配置 Console 用户界面本地认证

缺省情况下 Console 口登录不需要认证，必须配置本地认证防止未授权访问：

<SW-CORE-01> system-view
[SW-CORE-01] user-interface console 0
[SW-CORE-01-ui-console0] authentication-mode password
[SW-CORE-01-ui-console0] set authentication password cipher Huawei@2026
[SW-CORE-01-ui-console0] quit

Console 登录常见问题排查

Console 口登录失败几乎都出在物理层和终端参数上，按下面的顺序检查，比反复插拔线缆有效得多。

• 完全没有回显：先确认终端仿真软件的串口参数——传输速率 9600bit/s、数据位 8、停止位 1、无校验、无流控。参数不一致时设备可能仍有输出但显示为乱码，也可能完全安静。
• 显示乱码：多为波特率不匹配或串口芯片驱动异常，部分 USB 转串口线在 macOS 与新版 Windows 上需要单独安装驱动。
• 提示符出现但无法输入命令：检查是否处于 <Huawei> 用户视图而非系统视图，或在分页显示状态下按空格翻页、按 Ctrl+C 退出。
• 连接后立刻断开：检查 Console 用户在用户界面下的空闲超时设置，以及是否有其他会话占用同一个 Console 口。
• 串口被占用：Windows 上安全软件、串口调试助手会独占 COM 端口，关闭其他程序后重试。

# 查看 Console 用户界面的当前配置
<SW-CORE-01> display current-configuration configuration user-interface
<SW-CORE-01> display users           # 查看当前登录的会话及来源
<SW-CORE-01> display user-interface console 0

如果 Console 口密码也已丢失，只能通过重启时进入 BootROM 菜单选择清除密码配置再重新配置。正因如此，Console 口令应当与其他管理员共享的密码一并纳入密码管理制度，而不是设置后就不再记录。

配置本地用户与 AAA 认证（推荐做法）

前文使用 authentication-mode password 的方式所有管理员共用一个口令，无法区分操作人，也无法在审计日志中定位是谁在什么时间登录。生产设备应改为本地用户加 AAA 认证，每个管理员一个账号，并绑定权限级别与服务类型。

[SW-CORE-01] aaa
[SW-CORE-01-aaa] local-user admin password irreversible-cipher Admin@2026
[SW-CORE-01-aaa] local-user admin privilege level 15
[SW-CORE-01-aaa] local-user admin service-type telnet terminal ssh
[SW-CORE-01-aaa] quit

# 用户界面改为 AAA 认证
[SW-CORE-01] user-interface console 0
[SW-CORE-01-ui-console0] authentication-mode aaa
[SW-CORE-01-ui-console0] quit
[SW-CORE-01] user-interface vty 0 4
[SW-CORE-01-ui-vty0-4] authentication-mode aaa
[SW-CORE-01-ui-vty0-4] user privilege level 15
[SW-CORE-01-ui-vty0-4] quit
[SW-CORE-01] save

口令必须使用 irreversible-cipher 关键字，这样配置文件中保存的是不可逆加密的密文，display current-configuration 不会泄露明文口令。若企业已有 RADIUS 或 HWTACACS 服务器，将 authentication-mode 保持为 aaa 并配置 radius-server template 即可实现集中认证与计费，本地用户退化为服务器不可达时的备份账号。

配置管理 IP 与 Telnet 远程维护

远程维护需要管理 VLAN 的 IP 地址和 Telnet 服务，并用 ACL 限制可登录的管理员网段：

[SW-CORE-01] vlan 10
[SW-CORE-01-vlan10] quit
[SW-CORE-01] interface vlanif 10
[SW-CORE-01-Vlanif10] ip address 192.168.10.1 255.255.255.0
[SW-CORE-01-Vlanif10] quit
[SW-CORE-01] telnet server enable
[SW-CORE-01] acl number 2000
[SW-CORE-01-acl-basic-2000] rule 5 permit source 192.168.10.0 0.0.0.255
[SW-CORE-01-acl-basic-2000] quit
[SW-CORE-01] user-interface vty 0 4
[SW-CORE-01-ui-vty0-4] authentication-mode password
[SW-CORE-01-ui-vty0-4] set authentication password cipher Admin@2026
[SW-CORE-01-ui-vty0-4] acl 2000 inbound
[SW-CORE-01-ui-vty0-4] quit
[SW-CORE-01] save

生产环境推荐：配置 STelnet（SSH）登录

Telnet 的用户名、口令与全部配置命令都以明文经过网络传输，任何一个抓包点都能还原。生产环境应当关闭 Telnet 并改用 STelnet。华为交换机支持生成 RSA 或 ECC 密钥对，客户端只需支持 SSH2 即可接入。

[SW-CORE-01] rsa local-key-pair create
# 输入密钥长度，建议 2048 位，生成过程约需数秒

[SW-CORE-01] stelnet server enable
[SW-CORE-01] ssh user admin authentication-type password
[SW-CORE-01] ssh user admin service-type stelnet
[SW-CORE-01] user-interface vty 0 4
[SW-CORE-01-ui-vty0-4] protocol inbound ssh
[SW-CORE-01-ui-vty0-4] quit

# 关闭不安全的明文 Telnet
[SW-CORE-01] undo telnet server enable
[SW-CORE-01] save

改完 protocol inbound ssh 之后必须先用一个新的 SSH 会话验证可以登录，再关闭当前 Telnet 会话，否则一旦密钥或认证类型配置有误就会同时失去两条远程通路。如果设备支持，进一步将 SSH 版本限制为 V2 并禁用不安全的加密算法，可参考 华为 VRP 常用配置与排障命令大全 中的安全配置章节。

VTY 用户界面与访问控制进阶

VTY 0 4 表示同时允许 5 个远程会话（0 到 4）。会话数太少会在多人同时维护时互相挤占，太多则增加暴力破解面。常用加固参数如下。

[SW-CORE-01] user-interface vty 0 4
[SW-CORE-01-ui-vty0-4] acl 2000 inbound          # 只允许管理网段登录
[SW-CORE-01-ui-vty0-4] idle-timeout 10 0         # 空闲 10 分钟自动断开
[SW-CORE-01-ui-vty0-4] screen-length 30          # 分页显示行数
[SW-CORE-01-ui-vty0-4] protocol inbound ssh
[SW-CORE-01-ui-vty0-4] quit

ACL 2000 只做源地址过滤，属于最基本的限制。更严格的做法是同时配置 ACL 与超级密码（super password）双重校验，或者让管理流量只走带外管理网、物理上与业务网隔离。idle-timeout 不要设置为 0（永不超时），那会让无人值守的终端一直占用一个 VTY 会话。

常见故障排查对照表

安全加固清单

1. 关闭 Telnet，只保留 STelnet；确需 Telnet 时用 ACL 限定到带外管理网段。
2. 使用 AAA 加本地用户，每人一个账号，权限级别按最小必需原则分配，不要统一给 15 级。
3. 口令使用 irreversible-cipher，并定期更换；禁止使用出厂默认口令。
4. 配置 idle-timeout 自动断开空闲会话，避免会话被长期占用。
5. 管理流量与业务流量分离，管理 VLANIF 只允许受控网段访问。
6. 开启日志并发送到 syslog 服务器，记录登录成功与失败事件，便于事后审计。
7. 保存配置后备份到本地或 TFTP/FTP 服务器，避免设备故障时重新手工配置。

验证与排错要点

配置完成后用 display current-configuration | include user-interface 检查认证配置，用 display acl 2000 确认 ACL 规则。Telnet 连不上时依次排查：管理 VLAN 是否配置 IP、telnet server enable 是否开启、VTY 认证是否配置、ACL 是否放行了源地址。生产环境强烈建议改用 STelnet（SSH）加密登录，配合本地用户或 RADIUS 认证。更多华为命令参考 华为 VRP 常用配置与排障命令大全，VLAN 划分实战见 华为交换机配置宝典。

相关阅读：华为 CE 交换机配置回滚。

原文链接：https://support.huawei.com/enterprise/zh/doc/EDOC1000069491/176653a6