网络设备配置速查
华为 / 思科 / H3C 三厂对照：开局、VLAN、路由、ACL、NAT、DHCP、堆叠与排障，命令可直接复制到设备使用。
设备开局与基础配置
首次上电、管理地址、SSH 与时间同步
开启 SSH 服务器（含密钥生成）热门
SSH 是所有网络设备的标配管理通道，但三厂开启步骤不同：华为/H3C 先生成主机密钥再开服务，思科先生成 RSA 密钥再配 VTY 传输协议，漏一步都登不上。
保存配置 save / copy run start
运行配置（running-config / current-configuration）断电即失，必须写入启动配置文件；三厂的保存交互与免交互写法不同，每次变更后都要执行。
新建本地管理用户（三厂语法差异最大）
本地账号是三厂开局脚本差异最大的部分：华为走 aaa + local-user，思科是 username + secret，H3C Comware 7 拆成 class manage + user-role，命令完全不能通用。
首次上电 Console 登录与视图切换
新设备开箱第一次调试必须走 Console（或 Mini-USB）口；三厂从用户视图进入系统/配置视图的入口命令与提示符不同，先把这个肌肉记忆建立起来。
配置管理 IP（VLAN 接口 / SVI）
交换机最常见的带内管理方式：建管理 VLAN、给它一个三层接口地址，再通过 VTY 远程登录；管理地址务必与业务流量隔离规划。
查看版本与设备型号 display version / show version
接手任何一台设备第一条要敲的巡检命令：软件版本、补丁、启动文件、运行时长与序列号都在其中，是升级基线与排障上报的必需素材。
新设备首配上电必查清单
把开局 10 项收敛成一张清单：从改名到备份逐项打勾，避免“少配一项后面全返工”；这是把前序所有命令串起来的实战顺序。
查看当前生效配置
display current-configuration / show running-config 查看内存中正在生效的完整配置，是核对变更是否生效的第一手段；配合管道过滤可快速定位片段。
NTP 客户端（单播服务器）配置
设备时间不准会毁掉日志时间线与证书验证，开局必配 NTP；Comware 7 有个独有坑：必须配 clock protocol ntp 才会真的用 NTP 时间。
修改设备主机名 sysname / hostname
主机名是设备在网络里的身份标识，会出现在登录提示符、日志、SNMP sysName 与邻居发现信息中；开局第一步改名，后续排障才能对上号。
日志上送 Syslog 服务器
把设备日志集中到 Syslog，是排障与审计的基础设施；三厂都是指定日志主机 + 调整发送级别两步。
管理地址的默认网关配置
给交换机管理 IP 配默认网关，跨网段的管理流量（SSH/SNMP/Syslog）才能回包；二层与三层模式下的命令不同，是开局仅次于管理 IP 的必配项。
物理端口直接配 IP（三层口模式）
路由器互联口、堆叠上行口常用三层物理口直接配地址；华为/H3C 需先切换端口模式，思科需 no switchport，这一步漏做的话 ip address 命令根本敲不进去。
限制管理登录源地址（VTY ACL）
只允许管理网段 SSH 登录，是设备面最容易落地的访问控制；三厂都是“建 ACL + 绑 VTY”两步，细节在 ACL 语法与绑定位置。
SNMPv2c 团体字与限源配置
监控纳管最常用 v2c：团体字相当于明文口令，务必只读 + ACL 限源；三厂都支持在 community 后直接挂 ACL。
用户权限级别 / 角色配置
三厂权限模型：华为 0-15 级、思科 privilege 0-15（配合 enable）、H3C 新版为角色（user-role），老版是 0-3 级；对应关系是安全审计的常考点。
查看日志缓冲区（display logbuffer）
设备内存中的日志缓冲区是排障第一现场：接口 up/down、认证失败、协议邻居变化都在里面；注意重启即清空。
设备重启（reboot / reload）
远程重启前必须确认启动配置已保存；思科独有 reload in 定时与 cancel，是改高风险配置时的保命绳，其余两家为即时重启+交互确认。
查看下次启动生效的配置文件
设备重启后加载的是启动配置文件；display startup / show startup-config 用来确认下次启动用哪个文件、保存是否真的成功。
AAA 本地认证方案（认证/授权）
把登录认证统一到 AAA 框架是规范开局动作：华为/H3C 引用本地用户库或外部服务器，思科 aaa new-model 后由 default 列表接管；配置顺序不当会把自己锁在门外。
VTY 登录认证方式（aaa/local/scheme）
远程登录认证入口三厂各用一个关键词：华为 authentication-mode aaa、H3C authentication-mode scheme、思科 login local/login authentication default；配错组合会直接无法登录。
日志级别与通道过滤（info-center source）
不做过滤的日志等于没有日志：日志轰炸会掩盖关键信息；三厂都有分级机制，理解 severity 0-7 语义是配置前提。
限制用户可用的服务类型
账号维度最小化：把管理用户限定只能用 SSH（或加 terminal），拦截 HTTP/Telnet 等旁路；思科没有一一对应的用户属性，控制点在 VTY 线路的 transport input。
开启/关闭 Telnet 服务
Telnet 明文传输口令，规范做法是彻底关闭；华为/H3C 有全局服务开关（H3C 默认开启需显式关），思科按 VTY 线路的 transport input 控制。
SNMP Trap 目的主机配置
设备主动上报接口 down、CPU 超限等事件到网管；trap 是 UDP 单向发送，收不到时先查网络与接收端，再看配置。
配置备份到 TFTP / SFTP 服务器
异地配置备份是恢复能力的底线：换机、回滚、审计都靠它；三厂都支持直接从设备向服务器上传启动配置文件。
用户口令修改与重置
管理员覆盖式改密：三厂都是直接重设新口令，无需旧口令；忘记 enable/super 类口令才需要走密码恢复（物理接触+中断启动）。
Console 口密码与认证
Console 是设备失联后的最后救命通道，必须设密码但同时要登记管理，避免真的变成“谁都进不去”；三厂配置入口都是 user-interface console。
口令密文存储与显示加密
配置文件中口令的存储形态决定泄露后的危害：华为 irreversible-cipher、思科 type 7 弱加密、H3C cipher/hash 两档，安全基线审计都要检查这一项。
用设备自带 SSH 客户端跳转登录
不装 PuTTY 也能从一台设备跳登另一台：华为是 stelnet（首次连接需开 first-time）、H3C 是 ssh2、思科是 ssh -l，命令名各不相同。
VTY 空闲超时时间设置
无人操作自动登出，是防呆与合规的基础项；三厂命令与参数格式几乎一致（分 秒），多数版本默认 10 分钟。
时区设置（clock timezone）
时区只影响本地时间显示与日志时间戳，不影响 NTP 协议里的 UTC；三厂名称可自定义，但全网必须统一（国内固定 add 08:00:00）。
SNMPv3 用户（认证+加密）
v3 用 用户+组+认证+加密 四要素替代明文团体字，是等保与安全基线的优选；华为/H3C 要先建组，思科一条 user 命令挂组。
CPU 利用率查看
CPU 冲高是最常见的“设备好卡”投诉：先看 5 分钟均值与 TOP 进程，再联查接口流量与二层环路，避免盲目重启。
一键收集诊断信息（报障必备）
面向厂商/TAC 的标准动作：一条命令收集版本、配置、日志、硬件状态等全部诊断数据；输出数 MB，先关分屏并保存成文件。
用 Loopback 地址作为管理/源地址
Loopback 接口永不 down，适合做带内管理的稳定地址、路由协议 Router ID 与 BGP 源地址；三厂命令几乎一致，只有掩码写法不同。
登录失败锁定与暴力破解防护
对管理入口的爆破防护：思科有原生 login block-for，H3C 用 password-control，华为主流版本依赖 ACL 限源与日志监控，缺少等价的一键锁定命令。
NTP 同步状态检查
配完 NTP 不等于同步成功：要确认 clock status 为 synchronized、stratum 合理、offset 收敛；这条命令是所有“日志时间不对”类投诉的起点。
恢复出厂配置（reset saved-configuration）
设备复用、报废、实验环境重置的标准动作：清空启动配置 + 重启；思科二层交换机还要额外删除 vlan.dat，VLAN 数据库不在 startup-config 里。
VTY 实时日志与输出防打断
远程调试时默认看不到日志（需开 terminal monitor），思科还有 logging synchronous 防止日志打断正在输入的命令；这是排查连接问题时的高频开关。
特权口令与提权密码（enable / super）
低权限用户临时提权的机制：思科 enable secret 从用户模式进特权，华为/H3C 用 super password 为低级别用户提供提权入口，三厂的保护对象与存储方式不同。
关闭分屏显示（脚本抓取必备）
设备默认分屏输出（华为/H3C 的 ---- More ----、思科回车翻页），自动抓配置或长输出时会被卡在半截，三厂都有关分屏开关。
NTP 认证配置（防伪造时间源）
不加密的 NTP 可被伪造源欺骗（时间投毒会扰乱日志与证书校验），生产网应启用 NTP 认证；三厂都是 密钥ID + 认证密码 + 服务端标记可信 的组合。
在线用户会话查看与强制释放
清理卡死的 VTY 会话、排查“谁在改设备”：三厂都能列出在线会话；华为/H3C 用 free user-interface 释放，思科用 clear line。
硬件环境巡检（温度/风扇/电源/板卡）
过温与风扇故障是设备宕机前兆：思科 show environment 一条看全，华为/H3C 分多条命令查询；例行巡检必查项。
SSH 版本与加密算法加固
默认配置往往仍允许 SSHv1 或弱算法（3DES/SHA1），等保与扫描报告高频项；三厂都支持显式锁到 SSHv2 并裁剪算法集。
登录警示语 Banner 配置
合规硬要求：设备登录前要显示“未授权禁止访问”的法律声明；三厂语法差异主要差在分隔符与关键字上。
手动校时与时钟协议选择
设备无 NTP 可用时的应急校时；注意 Comware 7 有个独有坑：clock protocol 选了 ntp 后手动改时间会被拒绝，要先切回 none。
指定下次启动配置文件 / 回滚配置
华为/H3C 支持把任意本地文件指定为下次启动配置，实现快速回滚；思科没有多启动文件概念，回滚=覆盖 startup-config。
内存利用率查看
内存持续上涨通常意味着进程泄漏或表项膨胀；三厂命令各不相同，排查时重点看趋势与 TOP 进程。
SSH 公钥认证配置（免密登录）
自动化巡检与跳板场景用公钥替代口令：三厂都是“导入对端公钥 + 用户绑定公钥”两步，但存放位置与语法完全不同。
日志时间戳格式（日期/毫秒/时区）
时间戳是日志可分析的前提：默认可能只有启动计时，跨设备对比需要统一为“日期+毫秒+时区”格式。
查看序列号与电子标签（报修凭证）
设备序列号、制造日期、MAC 地址段都藏在电子标签里；开局录入 CMDB、报修续保、备件更换都要用，三厂命令只有思科叫法不同。
命令行历史与快捷操作
排障时快速回看敲过什么：三厂都能翻历史，但命令不同；思科与 Comware 7 的 do 前缀可在配置模式下直接执行 show。
开启 Web / HTTPS 网管
图形界面适合快速巡检与值班，但风险面远大于 CLI：能不开就不开，必须开时限定内网源并强制 HTTPS，三厂开关命令名称各异。
SSH 服务状态与会话查看
SSH 登不上时先看服务状态与密钥，再看会话协商；三厂都有状态+会话两组命令，输出字段含义接近。
设备 DNS 解析配置
让设备能 ping 域名、按域名 SSH 跳转；主要用于调试便利，生产设备建议指向内网 DNS 并评估是否保留该功能。
日志缓冲区容量调整
默认缓冲区较小（常见 512 条左右），高流量设备容易被覆盖；调大容量是低成本的排障保障。
消除误敲命令时的 DNS 解析卡顿
设备默认开启域名解析时，敲错一条命令会触发 DNS 查询，光标卡数秒——这是“设备很卡”的经典误判；关闭解析或保证 DNS 可用即可。
SNMP 配置核对与收发统计
监控采不到数据时先本地核验：版本开关、凭据、ACL 三要素；思科 show snmp 的报文计数还能区分“没到设备”与“设备没回”。
设备作为 NTP 服务器（本地时钟基准）
内网无外部时间源时，用核心设备做权威时钟：华为/H3C 用 refclock-master，思科用 ntp master；对外提供服务的动作三厂都自动生效。
接口与链路
物理/逻辑接口、链路聚合与光模块信息
接口状态速查（brief 命令对照）
排障第一步永远是看全局接口状态：哪些口 up、哪些 down、哪些协议异常；三厂各有一条 brief 命令可在 3 秒内扫完全机端口。
单接口详细信息查看
定位单口问题时看详细输出：物理/协议状态、双工速率、最后 up 时间、收发包与错包计数、光功率；这是接口排障的核心查询命令。
接口关闭与开启（shutdown / undo shutdown）
割接前关端口、光口默认关闭需激活、排障时清计数器前先关开端口——开关接口是最基础也最高频的操作之一。
链路聚合技术总览与术语对照
多根线缆捆成一根逻辑链路（带宽叠加 + 冗余）：三厂叫法、模式与关键命令完全不同；做混合厂商网络或跨厂迁移前先把对照关系建立起来。
接口视图进入与三厂命名规则
所有接口配置都从进入接口视图开始；三厂提示符与接口编号规则完全不同，跨厂商迁移或照抄配置时接口名写错会直接创建出不存在的接口视图。
速率与双工固定配置（speed / duplex）
电口互连（尤其对接老设备/服务器网卡）时协商可能不稳，需要固定速率与双工；固定前必须确认两端一致，否则会产生大量 late collision。
批量接口配置（range / port-group）
接入交换机成排端口配同样参数（描述、VLAN、安全）必须用批量视图，否则 48 口配到手酸且易错；三厂各有自己的批量接口语法。
物理口 Down 排查流程（三厂命令对照）
一条链路不通从快照到定位的标准流程：查状态与人为关闭标记 → 查优化项（光模块/收光）→ 查日志 → 换件验证；按顺序走能避免瞎换件。
LACP 动态聚合创建（lacp-static / active / dynamic）
LACP 协商知道对端情况：成员协商通过才转发，对端没聚合直接不转发而不是环回；跨厂商与服务器对接的标准选择。
接口描述（description / 接口标注）
接口描述是弱架构下最便宜的价值：对端设备名、用途、跳线类型写清楚，变更和排障时能省下大量 tracing 时间；三厂语法几乎一致。
接口流量与错包统计查看
判断链路健康状况看三类数字：吞吐量、错误计数（CRC/丢包）、丢弃；三厂都在接口详细输出或专门计数命令里给全。
聚合状态验证（summary / verbose）
聚合到底建没建、几个成员在位、为什么有成员没选中，都在这几条状态命令里；割接收尾与排障第一步都跑它。
光模块信息查看（transceiver）
插了模块不亮灯、速率不对、距离不对时，第一条命令就是看模块信息：类型、厂商、波长、传输距离、是否被识别。
链路聚合三厂命令速查表
把聚合全流程命令浓缩成一张对照表：创建 → 模式 → 成员 → 验证 → 调优 → 排障，收藏这一条即可覆盖 90% 日常操作。
CRC / FCS 错包排查（物理层问题定位）
CRC（思科称 FCS）错误是物理链路质量问题的铁证：线缆、水晶头、光衰、模块、电磁干扰、双工不匹配都会贡献；这条给出三厂查看与定位路径。
接口巡检一行命令（Down 口扫描）
日常巡检最高频需求：快速找出 down、半双工、错包增长的端口；三厂都有可过滤的 brief/status 输出，一行命令扫全机。
聚合负载分担模式配置
聚合流量按什么字段哈希到成员口：默认配置在“单一业务流”场景往往全走同一条线；按源/目的 IP 或 MAC 调整后分布更均衡。
接口 MTU 调整
MTU 不一致会导致“小包通、大包丢”的隐性故障（VPN、VXLAN、存储场景高发）；改前必须评估全路径，改后要用大包 ping 验证。
光模块数字诊断（DDM 收发光功率）
链路 up 但丢包/CRC 涨，或干脆不 up，优先看收光功率是否在阈值区间内：低于灵敏度或高于饱和光功率都会出问题；这条命令是光路类故障的定盘星。
物理口转三层（undo portswitch / no switchport）
用交换机物理口直接做三层互联（连路由器、防火墙、专线）时必须先把交换口切成三层口；部分低端盒式型号不支持。
本地端口镜像配置（抓包必备）
排障抓包的核心手段：把被测端口流量复制到观察口接笔记本；三厂命令结构类似（源端口 + 观察口 + 方向）。
聚合口承载 Trunk（VLAN 放通配置）
交换机间双上联的聚合口几乎都是 Trunk：VLAN 放通、PVID/原生 VLAN、接口类型配置在聚合口上做（三厂一致），成员口继承。
聚合不 up / 成员不选中排查流程
聚合故障排查有固定顺序：物理层 → 模式匹配 → 成员一致性 → 协商细节；按顺序走 5 分钟定位，比乱试命令高效得多。
光模块类型与介质选型对照
SFP/SFP+/SFP28/QSFP+ 系列与单模/多模选型错了就是不通；这张对照表用于采购验收和现场排障时快速核对。
子接口与 VLAN 终结（dot1q termination）
路由器/三层口单臂路由、连接运营商多 VLAN 汇聚的常用手段：一个物理口下挂多个逻辑子接口，各终结一个 VLAN。
静态聚合创建（manual / mode on）
不跑协商协议、手动指定成员：配置最简单但没有任何协商校验，适合两端设备模式都明确的场景；跨厂商环境慎用。
成员口加入与移除（正确姿势）
加成员直接进组即可；移除成员要注意流量重分布瞬间的丢包，规范操作是先在成员口上 shutdown 再移除。
服务器双网卡 bond 对接交换机（完整示例）
服务器双网卡聚合对接是重灾区：Linux bond 模式、交换机聚合模式、哈希模式三者都要匹配；本条目给出常见组合与验证方法。
自协商控制（negotiation auto）
华为电口有独立的自协商开关；思科/H3C 通过 speed auto + duplex auto 表达。理解对应关系才能在企业混合环境中把参数配到一致。
接口 MAC 地址查看与修改
查接口 MAC 用于对接端绑定、溯源；修改接口 MAC 用于替换设备时保持上游策略不变（谨慎使用）。三厂地址格式不同：华为/H3C 用短横线，思科用点分。
LLDP 邻居发现开启（拓扑测绘基础）
LLDP 是自动摸清物理拓扑的协议：对接设备间互相通告身份与端口；做拓扑图、排线序、查互联关系全靠它。
巨帧（Jumbo Frame）开启
存储、备份、VDI 等大包场景开启巨帧可显著降低 CPU 与协议开销；但必须全路径（服务器-交换机-对端）同时开启，链路中任一节点不支持都会导致大包丢弃。
接口计数器清零（reset counters）
排障时先清零再观察，才能把“历史累计错误”和“正在发生的错误”分开；清零本身不影响转发。
PoE 供电配置（poe enable）
接摄像头、AP、IP 电话的接入口必须开 PoE；关闭空闲口 PoE 还能省电降低故障面。三厂命令与默认状态各不相同。
接口保护状态恢复（err-disable / error-down）
端口被保护特性（BPDU Guard、端口安全、风暴抑制等）触发后会进入保护关闭状态：思科叫 err-disabled，华为叫 ERROR DOWN；恢复方式三厂不同，处理根因前直接重开会再次触发。
静态聚合 vs LACP 动态聚合怎么选
决策简单化：能 LACP 就 LACP（跨厂商、服务器、堆叠链路全部适用）；静态只留给“对端明确不支持 LACP”的少数场景。
成员口一致性要求（配置/速率/类型）
聚合不是“随便插两根线”：成员口速率双工、端口类型、VLAN 配置必须一致，否则要么不被选中、要么埋下隐性故障；本条目给出执行清单。
Null0 黑洞接口与防环用法
Null0 是永远 down 的逻辑黑洞口：递归到它的流量被丢弃；配置汇总路由指向 Null0 是防止路由黑洞变成环路放大器的标准手段。
链路震荡（flapping）排查
端口频繁 up/down 会引发路由/STP 反复收敛、日志刷屏；用好日志与计数里的 flap 信息能快速定位震荡源头。
三层聚合口配置（路由场景聚合）
聚合口也能做三层：核心-核心、核心-出口互联常用三层聚合；华为/H3C 直接给 Eth-Trunk/Route-Aggregation 配 IP，思科 no switchport 后配 IP。
跨设备聚合（堆叠/IRF 跨框链路）
双机堆叠后成员口可分布在两台物理设备上：服务器双上联或接入-汇聚双上联接两台成员机，天然形成跨设备冗余聚合。
光模块兼容性告警处理
第三方/非认证光模块常触发厂商告警；思科严重的会进 err-disable（gbic-invalid），华为/H3C 多为日志告警。上线前要评估风险与合规。
LLDP 邻居信息查看与拓扑核对
LLDP 邻居表是核对“图纸与现网是否一致”的证据来源：对端设备名、端口、管理地址一览无余；割接前用它确认拔插正确。
堆叠/虚拟化技术对照（iStack / StackWise / IRF）
堆叠把多台交换机变成一台逻辑设备：简化拓扑、双上行免复杂协议；三厂命名与实现完全不同，选型与排障要先建立对照关系。
LACP 主动/被动模式（active / passive）
LACP 模式决定谁先发起协商：至少一端主动才建链；服务器/交换机混合场景经常因两端都被动而翻车。
最小激活链路数（least / min-links / selected-port minimum）
成员掉到阈值以下就整体关掉聚合口：宁可整条链路 down 触发路由/STP 绕行，也不要带宽不足硬扛；接入双上联场景常用。
端口流控（flow-control）
流控用于拥塞时让对方暂缓发送（PAUSE 帧）；存储、备份、服务器接入等突发流量场景常开 receive 方向，防止瞬间拥塞丢包。
光电复用口（Combo）切换
Combo 口电口与光口互斥：同一时刻只有一个工作；接光口上联、电口下联的场景必须显式切换，否则插了光纤也不通。
流量采样分析（sFlow / NetStream / Netstream）
需要“谁在占带宽”的长期视角时用流量采样：按比例采样报文送到采集器，与镜像相比对转发影响小、可全端口覆盖。
LACP 成员口优先级（决定谁被选中）
成员口多于最大可选中数时，优先级决定哪些口被选中：优先级数值小的优先；调整优先级可以指定主用/备用链路。
聚合成员口错包定位（成员级排障）
聚合总链路丢包时，问题往往出在个别成员（一根线/一个模块）：逐成员看错包计数与流量，定位后单独下线处理。
接口 DHCP 客户端获取地址
上联口或不方便静态规划的场景（专线、临时调试）让接口自动获取地址；注意保存持久化与企业 DHCP 依赖风险。
端口镜像状态检查与常见问题
镜像配好了不一定抓到包：核对源/目的、方向、观察口状态；三厂各有一条验证命令，抓包前先跑一遍。
BFD 双向转发检测基础配置
路由协议收敛靠 Hello 慢、链路直连不通要秒级发现，BFD 就是干这个的：毫秒级检测直连或跨设备链路，联动静态路由/OSPF。
PoE 供电状态与故障排查
摄像头/AP 批量不上电时，先看整机功率预算、单口供电状态与分级协商结果；PoE 问题往往不是设备坏而是预算不足或非标设备。
聚合流量分布验证（分担是否生效）
配了哈希不等于流量真的分开走；验证要看各成员的实时速率与包数增量，三厂都能在成员口统计里找到答案。
LACP 系统优先级（主/从协商的裁决位）
两端 LACP 协商要选出主动端：系统优先级小的成为主动端，由它决定哪些成员被选中；链路两端系统优先级相同时用系统 MAC 比较。
聚合与 STP 的交互（生成树视角）
聚合口在 STP 世界中是一条逻辑链路：边会收敛、代价按聚合带宽计算；STP 调优要作用在聚合口上，成员口不参与独立的 STP 决策。
远程端口镜像（跨设备抓包）
被测设备与抓包点不在同一台时用远程镜像：把镜像流量打上专用 VLAN 穿过网络送到观察设备；三厂机制名不同（华为观察口跨设备 / Cisco RSPAN / H3C 远程镜像）。
硬件环境查看（单板 / 风扇 / 电源 / 温度）
链路大面积异常、设备告警灯亮时，先看硬件环境健康度：单板在线状态、风扇/电源冗余、温度是否超限。
堆叠状态与角色验证
堆叠是否健康、主备是否如预期、堆叠口是否全 up，上线后必须核验；这也是堆叠割接的回退判断依据。
最大激活链路数（max active-linknumber / max-bundle）
限制参与转发的成员数量：控制带宽上限、预留备用链路（其余成员 standby 状态）、或规避超规格。
成员口临时摘除（排障与割接的轻量操作）
不拆聚合、只临时让某成员退出转发：换线、换模块、验证冗余时最常用的“无损”（低损）操作，处理完 undo 恢复。
LACP 邻居与协商详情查看
聚合不对劲时看协商报文层面的信息：对端系统 ID、端口状态、LACP 超时模式——判断“两端到底有没有对上”的直接证据。
聚合成员反复抖动（flapping）定位
成员口一会儿 Selected 一会儿 Unselected：流量反复重哈希、业务抖动；常见根因是光衰临界、LACP 报文丢失、对端配置变更。
堆叠成员配置与优先级（iStack/IRF 示例）
堆叠上线前的预配置：设定成员编号与优先级，决定主备角色与成员顺序；三厂命令结构差异较大，照抄必错。
PAgP 思科私有聚合协议（与 LACP 区别）
PAgP 是思科早期私有协商协议：命令形式与 LACP 相似但只能跑在思科设备之间；对接非思科设备必须改用 LACP 或静态。
聚合口 MTU / 巨帧一致性
聚合链路整体 MTU 取成员口径：成员口 MTU 不一致会造成大包在某些成员被丢；改 MTU/巨帧时聚合口与成员口要一次核对。
链路聚合高频疑问（8 问速查）
聚合相关问题集中在模式匹配、流量分布、故障行为三类；这组问答覆盖最常见的 8 个疑问，先查这里再深入排查。
聚合成员线缆/模块更换规范操作
换线换模块的完整动作序列（两端配合）：摘除成员 → 换件 → 恢复验证；这套流程同样适用于 ISL/上联链路维护。
聚合组编号范围与命名（规划参考）
聚合组编号规划要避开平台上限并留出预留段；三厂编号范围与默认值不同，跨厂迁移配置文件时编号也要核对。
聚合容量与冗余规划（N-1 原则）
聚合链接不仅看总带宽，还要看单成员失效后的剩余容量：按 N-1（坏一根）设计才能避免成员故障直接引发拥塞。
两端成员数不一致的影响与处理
一端 4 成员、一端 2 成员（或对端被动拼成 2 条）时，聚合仍可能 up：容量按较小端算、流量分布不均衡；发现后应尽快补齐或调整。
VLAN 与二层交换
VLAN、Trunk、生成树与端口隔离
创建 VLAN（单条）
一切二层业务的起点：每创建一个业务段就要建对应 VLAN；三厂命令都是 vlan N + 名称/描述，注意输入后进入的是 VLAN 视图而不是接口视图。
Trunk 口配置（交换机互联）
交换机之间跑多个 VLAN 用 Trunk：默认只有 PVID（原生 VLAN）不打标签，其余 VLAN 带 tag 传输；配置要从两端同时规划。
Access 口配置（接终端/服务器）
接入终端的最常见配置：端口划入指定 VLAN，收发 untagged；三厂都是两步（类型 + 归属），顺序和关键字有差异。
华为 VLANIF 接口配置（VLAN 间路由）
华为三层交换机互通 VLAN 的标准做法：interface VlanifN 配 IP；一个 VLANIF 就是一个 VLAN 的网关。
思科 SVI 接口配置（含 ip routing 开关）
思科三层交换机互通 VLAN：interface vlan N 配 IP，且必须确认全局 ip routing 已开启；这是从二层眼切换到三层视角的总开关。
端口链路类型总览（Access / Trunk / Hybrid）
华为/H3C 有三种端口类型（Access/Trunk/Hybrid），思科只有 Access/Trunk：Hybrid 是前两者能力的超集，跨厂迁移时最易踩坑。
Trunk 原生 VLAN / PVID 配置与对齐
Trunk 上不打标签的那个 VLAN：思科叫 native VLAN，华为/H3C 叫 PVID。两端不一致会造成 VLAN 串流与告警（native VLAN mismatch），安全上还要注意 VLAN 跳跃风险。
MAC 地址表查看与结构解读
找到“某设备接在哪个口”的权威答案：MAC 表记录 MAC-端口-VLAN 三元组；三厂显示命令与字段略有差异，排障看表基本功。
VLAN 与二层交换命令速查表
把 VLAN 创建、端口类型、互通、MAC 与隔离的常用命令压缩成一张三厂对照表；日常操作与跨厂迁移照它执行即可。
生成树协议族总览（STP / RSTP / MSTP / PVST+）
二层防环靠生成树：STP 慢（30-50 秒）、RSTP 快（秒级）、MSTP 支持多实例负载分担；思科默认 PVST+ 是私有每 VLAN 一棵树，跨厂互通要注意模式选择。
VLAN 信息查看（列表 / 明细 / 端口归属）
确认 VLAN 建没建、哪些端口在哪些 VLAN、Trunk 放通了谁：三厂各有一组显示命令，巡检与交接前必跑。
H3C Vlan-interface 配置（VLAN 间路由）
H3C 的 VLAN 网关叫 Vlan-interface：接口名带连字符、编号即 VLAN；三层路由功能默认开启（存量老版本不同，顺手确认）。
二层不通排查流程（六步定位法）
同 VLAN 不通、跨 VLAN 不通，九成问题出在六个点上：VLAN 是否存在、端口类型、放通列表、PVID、STP 状态、MAC 学习；按序排查最快。
MSTP 多实例负载分担（不同实例不同根桥）
两台汇聚互为备份并分流：实例 1 让 SW-A 当根、实例 2 让 SW-B 当根；把业务 VLAN 分别映射进两个实例，不同 VLAN 就会走不同上行链路。
二层环路应急处理流程（先恢复后破案）
环路发生时广播风暴撕扯 CPU、MAC 漂移、全员卡顿：处置口诀“先隔离恢复流量，再定位根因”，处置前后都要留现场证据。
Trunk 放通 VLAN 列表管理
Trunk 上放通哪些 VLAN 是安全与广播域控制的核心：最小化放通、变更审计、双向对账；三厂命令与批量增删语法不同。
VLAN 间路由三种方式总览（VLANIF / 单臂 / 三层口）
不同 VLAN 要互通必须过三层：三层交换机 VLANIF（SVI）是主流，路由器单臂与三层物理口是补充；先选对方式再谈配置。
根桥指定（root primary / secondary）
生成树收敛质量取决于根桥位置：把根桥固定在核心/汇聚（优先级最低），接入永远做叶子；这是园区网开局第一件“STP 大事”。
MSTP 域配置（region-name / revision / 实例映射）
MSTP 多实例的前提：同一域的交换机必须 region-name、revision-level、VLAN-实例映射完全一致，否则各算各的域，负载分担直接失效；改完必须 active 生效。
批量创建 VLAN（batch / range）
割接 20 个业务段不逐条敲：三厂都支持一条命令创建多个 VLAN；思科在部分平台写法不同，跨厂脚本要分别适配。
端口 VLAN 归属验证（两端对账用）
确认“这个口是什么类型、属于哪个 VLAN、放通了哪些”的唯一可靠方式是查询命令：三厂输出关键字不同，判读要按本条目对照。
STP 状态查看（全局信息解读）
STP 排障第一入口：看本机角色（根/非根）、根桥 ID、端口角色与状态；三厂输出结构相似，关键字段要会读。
生成树选路四步曲（为什么是它阻塞）
STP 的所有结果都来自同一条比较链：最小根桥 ID → 最小根路径开销 → 最小发送者桥 ID → 最小发送者端口 ID；排障按这四步逐级验证，不再凭感觉。
VLAN 间路由验证与不通排查
VLANIF 配完要验证三件事：接口 up、路由表有直连、跨 VLAN 能 ping；不通时按“二层成员 → 网关配置 → 终端网关指向”三级定位。
MSTP 域与实例状态核对（digest / 实例角色）
MSTP 上线后的核对三件事：各设备 region 摘要一致、每个实例的根桥符合规划、端口在预期实例内转发或阻塞；digest 不一致时按名称→修订号→映射顺序查。
STP 收敛与双上行切换验证（实战流程）
验证秒级收敛的标准动作：记录初始端口角色→断开主上行→观察备用口切换→统计丢包→恢复；三厂命令体系一致，但务必在维护窗口操作。
Hybrid 口配置（华为/H3C 特有）
Hybrid 是 Access 与 Trunk 的超集：可对每个 VLAN 单独控制“收报文要不要 tag、发报文带不带 tag”；思科无此类型，对接时先用最简组合代替。
生成树模式配置（改模式三步）
改模式（STP↔RSTP↔MSTP）会引起整网拓扑重建：必须全网统一、窗口操作；三厂命令结构相似但默认值不同。
IGMP Snooping 基础（二层组播按需转发）
默认二层的组播帧会被当广播泛洪；开启 IGMP Snooping 后交换机按组维护成员口，组播只发给订阅者，VLAN 越大收益越明显。
端口隔离（同 VLAN 内二层隔离）
同一 VLAN 内主机互不通信（只与网关通信）：酒店/宿舍/公共区域标配；三厂机制名类似但默认组号与细节不同。
路径开销修改（控制选路与阻断点）
想让某条链路被阻塞、某条链路优先转发：调 cost 是最直接的杠杆（越小越优先）；聚合链路、不同带宽链路混用场景常用。
CDP 邻居发现（思科）与 LLDP 替代对照
CDP 是思科私有二层发现协议：查拓扑、核对连线、确认对端口；华为/H3C 不支持 CDP，但支持标准 LLDP，跨厂发现统一用 LLDP。
IGMP Snooping 成员表与转发验证
验证三看：成员表里目标组是否在、接收口是否转发、mrouter 口是否学到；对不上时按“VLAN 使能→查询器→mrouter”顺序排查。
语音 VLAN 配置（IP 电话接入）
IP 电话接在 PC 前面（电话串联 PC）是经典接入场景：语音流量进专用 VLAN 并给高优先级，PC 流量进数据 VLAN；三厂都有语音 VLAN 机制。
桥优先级配置（手工控根）
优先级是根桥选举的本质参数（越小越优先，步进 4096）：配 root primary 等价设置数值，但要精确控根时直接改优先级更直观。
STP 开销标准（dot1d-1998 与 dot1t 长整型）
同一条千兆链路的开销：旧标准 4、新标准 20000；两端标准不一致时“谁该阻塞”算不出预期结果，跨厂组网必须显式统一。
IGMP Snooping 查询器（无三层组播网关的兜底）
接入 VLAN 内没有运行 IGMP/组播路由的网关时，让交换机自己扮演查询器定期发查询，成员表才不会超时老化、组播转发才能持续。
单端口自环检测（loop-detection / loopback-detection）
接入口下挂的小设备自环（两根线成环）不一定触发 STP 但会打满链路：华为 loop-detection、H3C loopback-detection 可检测并按策略关端口；思科 Catalyst 无对应命令。
三层路由功能开关（跨厂差异）
二层换三层的总闸：思科多数平台默认关闭 ip routing 必须显式开启；华为 VLANIF 配 IP 即生效；H3C 默认开启但有版本差异——迁移配置时这条最容易漏。
VLAN 1 的管理与治理建议
VLAN 1 是默认 VLAN，所有端口出厂归属；安全规范建议：业务与管理全部退出 VLAN 1、Trunk 上禁用 VLAN 1 透传、PVID 改隔离 VLAN。
生成树开启与关闭（安全底线）
接入交换机默认应开启生成树：它是防环的最后一道保险；关闭或部分 VLAN 关闭要非常谨慎（仅限明确无环的网络边界）。
实例级开销/端口优先级微调（指定实例走指定链路）
只想让某个实例的流量改走另一条链路：在该实例上改接口 cost（越小越优先）或端口优先级，改完看端口角色是否翻转。
RSTP 提议/同意协商与 Dispute 状态排障
RSTP 靠 P/A（Proposal/Agreement）协商秒级收敛；当下游无法正确回应（半双工、单向链路、阻断 BPDU 的中间设备）时，上游端口会进入 Dispute 反复震荡，表现为收敛慢、间歇丢包。
未知单播泛洪与 MAC 学习失败排查
目的 MAC 不在表里时交换机会泛洪——这是机制不是故障；异常泛滥时根因多为表项老化过快、MAC 表满、VLAN 不匹配或单向学习失败。
VLAN 命名与描述规范
VLAN ID 只是数字，命名/描述才是给人看的说明：规划里把用途、部门、网段写进描述，变更与排障时价值极高。
Hybrid 口典型用法（服务器多 VLAN / 一线上混合）
实际工程里 Hybrid 的两个高频场景：服务器网卡不带 tag 却要进多 VLAN（用 untagged 列表），以及上联口“多数带 tag + 个别 untagged”的混合链路。
Trunk PVID / Native VLAN 不匹配排查
两端 PVID 不一致时业务可能照常但存在串 VLAN 风险，思科还会刷 CDP 告警日志；对齐与排查是本条目重点。
STP 计时器配置（hello / max-age / forward-delay）
三个计时器决定收敛节奏：hello 定期问候、max-age 判定超时、forward-delay 监听/学习各停一拍；默认值勿动，修改必须全网一致，否则 BPDU 过期判断混乱。
TCN 泛洪与拓扑频繁变化排查
拓扑变化通知（TCN/TC）本身正常，但频繁 TC 会导致全网 MAC 表反复刷新、性能抖动；根因多为边缘口抖动、单向链路或没配边缘端口。
QinQ 基本配置（VLAN 隧道 dot1q-tunnel）
在客户报文外再套一层 VLAN 标签：运营商/多租户网络用外层 VLAN 隔离不同客户，内层 VLAN 由客户自管；接入口的典型角色。
MAC 表清理与异常表项处理
排障时常需要先清再学：清动态表项重新学习定位终端；处理“MAC 漂移/黑洞”异常时还要配合端口操作与环路排查。
VLAN 范围与保留值（规划避坑）
VLAN 数值不是随便用：思科保留 1002-1005（历史协议）、4094 上限；华为/H3C 同样 1-4094，但区间端点行为不同，规划先避保留段。
STP 高频问题速查（收敛慢 / 根桥不对 / 不切换）
把最常见的“生成树怎么不对”归纳成检查单：收敛慢、根桥不符预期、备用链路不接管、VLAN 分流不生效；先对照再改配置。
VTP 思科 VLAN 同步协议（华为/H3C 无对应）
VTP 让思科交换机自动同步 VLAN 数据库：域内 server 改 VLAN、client 跟随；但它也是高危特性（配置修订号会误删全网 VLAN），新网络基本不再使用。
MUX VLAN / Private VLAN（主从 VLAN 精细隔离）
比端口隔离更结构化的隔离方案：一个主 VLAN + 多个从 VLAN，实现“部分互通、部分隔离”；华为 MUX VLAN 与思科 PVLAN 对应，H3C 需用端口隔离替代。
MAC 地址老化时间调整
动态表项默认约 5 分钟（300 秒）老化：老化太长占用表项、太短导致泛洪增加；特殊场景（移动终端密集）可微调。
Trunk 放通列表两端对账（审计方法）
VLAN 不通的隐蔽原因常是“A 端放 10,20、B 端只放 10”：建立例行对账机制（命令 + 模板比对），比逐个盲查高效得多。
端口优先级配置
同一设备上多条并行链路选主备端口时的裁决参数（越小越优先）：双上联到同一交换机的场景用它定哪个口转发、哪个口阻塞。
端口类型切换与配置残留清理
Access↔Trunk↔Hybrid 之间切换时，旧类型的参数可能残留（尤其华为/H3C）：规范是先清理再切换，切换后验证三项（类型/PVID/放通列表）。
VLAN 映射（1:1 转换）
把上游 VLAN 号映射成下游不同 VLAN 号：合并网络、号码冲突、运营商对接时使用；三厂都支持但关键字与方向语义要细看。
路由（静态 / OSPF）
静态路由、默认路由、OSPF 基础与诊断
OSPF 基础配置（进程 + 区域 + network 宣告）
三厂最经典的 OSPF 开局三行：起进程、设 router-id、按区域宣告网段；都使用反掩码通配，思科语法近似但命令层级不同。
OSPF 邻居查看（peer / neighbor）
邻居状态是 OSPF 的体检报告：display ospf peer / show ip ospf neighbor 看状态、Router-ID、接口与 DR 角色；brief 版适合大表速览。
路由表查看与字段解读（三厂对照）
路由表看六件事：目的网段、掩码、协议、优先级（Pre/AD）、度量、下一跳与出接口；三厂列名风格不同但读法一致，直连永远最优先。
静态路由基础配置（一条命令三厂对照）
最基本的远程网段可达：指向下一跳或出接口；三厂命令形似（ip route-static / ip route），差异在命令名与掩码写法。
OSPF MTU 检查差异（思科默认查、华为/H3C 默认不查）
MTU 不一致是邻居卡 EXSTART/EXCHANGE 的头号原因：思科默认在 DBD 中检查 MTU，华为/H3C 默认不检查，需要显式开启。
OSPF 外部路由引入（import-route / redistribute）
把直连、静态、其他协议路由注入 OSPF：思科必须带 subnets 参数否则漏子网（经典坑）；华为/H3C 直接 import-route，可用类型与 cost 控制。
三厂 OSPF 互通对接注意事项（跨厂商 Checklist）
思科/华为/H3C 对接 OSPF 全部基于 RFC 2328，协议本身互通；坑在默认行为差异——按清单核对六项，跨厂链路一次点通。
三厂协议优先级/AD 对照与修改（最易错对照表）
数值越小越优先是三厂共识，但静态与 OSPF 的相对高低相反：华为/H3C 静态 60 劣于 OSPF 10，思科静态 1 优于 OSPF 110。做路由主备必须吃透。
默认路由（0.0.0.0/0）配置与验证
默认路由是“查不到更具体路由时”的兜底出口：华为/H3C 写 0.0.0.0 0，思科写 0.0.0.0 0.0.0.0；出口设备上最常见的一条静态路由。
OSPF Router-ID 规则与修改（改动要重置进程）
Router-ID 是 OSPF 里设备的身份证：优先手动指定，其次自动选（Loopback 最大地址→物理口最大地址）；修改后老邻居不会自动刷新，需要重置进程。
OSPF 安全调试（debug / debugging 与日志）
排疑难杂症才开 debug：三家都要先开终端显示，用完立刻关；生产环境短时开启、低峰执行、开前想好关闭命令。
OSPF 发布默认路由（default-route-advertise / default-information originate）
让 OSPF 域内设备拿到一条 0.0.0.0/0：出口设备把默认路由注入 OSPF；三家默认都要求本地先有默认路由，always 可强制发布。
OSPF 外部路由汇总（asbr-summary / summary-address）
ASBR 引入的一堆外部明细网段，在 ASBR 上汇总成一条 5 型 LSA 下发全网；只汇总自己引入的外部路由，不影响区域间 3 型。
OSPF 收敛调优（SPF 节流与 LSA 间隔）
网络震荡时反复算 SPF 会拖垮 CPU：用智能定时器做 SPF 节流、限制 LSA 生成/接收频率；稳定网络保持默认即可。
OSPF 认证不匹配排查（卡 INIT 专项）
认证失败是邻居卡 INIT 的头号原因：按 模式→Key ID→密钥→作用域 四步核对，配合 error 计数与日志 5 分钟定位。
OSPF 多实例 / VRF 基础（进程与 VPN 实例绑定）
一台设备跑多个隔离的 OSPF：华为/H3C 把进程绑到 VPN 实例，思科用 router ospf + vrf；各 VRF 独立邻居表、独立路由表。
OSPF 协议优先级修改（与静态/其他协议竞争）
默认优先级：华为/H3C OSPF=10、静态=60（OSPF 赢）；思科 OSPF=110、静态=1（静态赢）——双协议共存必须按这组数字推演。
浮动静态路由（主备链路自动切换）
两条同目的静态路由、优先级一好一差：主链路在时只用主路由，主失效后备份路由“浮上来”接管；配合 BFD/IP SLA 才能感知逻辑故障。
静态路由不生效排查流程（六步法）
配置了静态路由但流量不通：按“配置→路由表→转发表→下一跳→回程→策略”六步排查，每步都有对应命令，别一上来就重启。
OSPF Hello / Dead 定时器修改与一致性要求
Hello 周期与 Dead 超时决定邻居保活：默认 10s/40s，Dead 默认等于 4 倍 Hello；改任一侧都必须两侧同步改，否则邻居必掉。
OSPF DR/BDR 优先级与选举控制
广播网里 DR 收集邻接、BDR 备份：优先级大的当 DR（默认 1，0 表示永不参选），平局比 Router-ID；选举不抢占，改完要重置进程才重选。
OSPF 区域认证配置（simple / MD5）
区域认证 = 整个区域统一口令：本区域所有路由器同模式同密钥才建邻接；密钥按区域配一次，不需要每接口重复。
OSPF 路由表查看与 O 标志解读（O / O IA / O E1 / O E2）
路由表里的 O 前缀告诉你路由从哪来：O 区域内、O IA 区域间、O E1/E2 外部；看懂标志比背命令更重要。
OSPF 区域间路由汇总（abr-summary / area range）
ABR 把源区域的明细网段汇总成一条 3 型 LSA 发出去：区域地址规划连续时，汇总能大幅减小 LSDB 与路由表规模。
OSPF Stub 区域配置（stub / stanza no-summary）
末梢区域压减 LSDB：Stub 挡住 5 型外部路由由 ABR 注入默认路由；完全 Stub（no-summary）连 3 型区域间明细也挡，只留默认路由。
OSPF NSSA 区域配置（nssa / nssa no-summary）
NSSA = 会引入外部路由的末梢区域：区域内 ASBR 产生 7 型 LSA，由 ABR 翻译成 5 型发给骨干；普通 stub 不允许引入外部路由。
OSPF 路由过滤（filter-policy / distribute-list）
OSPF 的过滤分方向：import 影响本机路由表收哪些路由，export 影响对外发布哪些外部路由；两家语法结构类似但命令名不同。
OSPF 平滑重启 GR（graceful-restart / NSF）
控制平面重启（升级、主备切换）期间保持转发表不变、数据不丢：本机开 GR，邻居以 helper 模式配合维持邻接。
OSPF 联动 BFD（毫秒级故障检测）
OSPF 默认靠 Hello/Dead（秒级）发现故障太慢：联动 BFD 后毫秒级检测链路/邻居失效，触发快速重收敛。
OSPF 多进程并存（同设备多实例，非 VRF）
同一台设备可以起多个 OSPF 进程做网络隔离/迁移：进程之间路由默认不交换，需要 import-route 显式互通；进程号本地有效。
静态路由验证三板斧（路由表 / 转发表 / 端到端）
“配置成功”不算数：①路由表有没有条目 ②转发表（FIB）有没有命中 ③ping/tracert 端到端通不通；三层都过才算完成。
OSPF 基础概念与三厂术语对照
OSPF 是链路状态协议：靠 Hello 建邻居、同步 LSDB、SPF 算最短路；三厂术语一致（Area/DR/BDR/LSA/Cost），只是命令长相不同。
OSPF 邻居状态机释义（卡在哪=什么病）
邻居要经历 DOWN→INIT→2-WAY→EXSTART→EXCHANGE→LOADING→FULL：每个状态卡住对应不同故障类型；先认清状态再排错。
OSPF 网络类型修改（broadcast / p2p / p2mp）
网络类型决定是否选 DR、以什么方式发现邻居：以太网点对点互联改 p2p 可免 DR 选举加速收敛；NBMA/P2MP 用于帧中继等老场景。
OSPF 参考带宽调整（万兆以上必调）
默认参考带宽 100Mbps，千兆及以上接口 Cost 全部算成 1，10G 与 1G 无法区分；把参考带宽改成 10000（10G）才能体现带宽差异。
OSPF 接口认证配置（逐接口精细控制）
接口认证只作用于单个接口，优先级高于区域认证；链路两端必须模式、密钥、Key ID 完全一致，是跨区域互联最常用的认证方式。
OSPF 不生效六步排查清单
邻居起不来/路由出不来，按固定顺序查：物理与接口 → 宣告与使能 → 参数一致性 → 二层与 ACL → 邻居状态 → 路由表与优先级，六步之内必定位。
OSPF 虚链路（virtual-link）基础
非骨干区域没有直连 Area 0 时的补救通道：虚链路是一条穿过普通区域的逻辑骨干链路，两端用 Router-ID 指定。
OSPF 邻居状态期望值（谁该 FULL、谁该 2-WAY）
同一种状态在不同角色间含义不同：广播网 DR/BDR 与所有路由器 FULL，非 DR/BDR 之间保持 2-WAY 才是健康形态。
silent-interface 与 ACL 阻断 OSPF 的区别
两者都能让邻居消失，但一个是协议级开关（仍宣告网段）、一个是数据面过滤（配置隐蔽）；排障时先分清目的再选手段。
OSPF 等价多路径（maximum load-balancing / maximum-paths）
多条 cost 相等的路径默认并不会全部参与转发：把最大等价路径数调大，才能让 OSPF 把流量分摊到所有等价链路上。
OSPF 汇总生效验证（汇总了到底有没有用）
配完汇总要验证三处：源区域 ABR 的 LSDB 里 3 型是否只发汇总、其他区域路由表是否只见聚合路由、ABR 本机明细是否仍可用于转发。
OSPF 端到端验证流程（从邻居到转发）
OSPF 收敛后的完整验证链：邻居 FULL→LSDB 一致→路由表生成→双向 ping 通→路径符合设计→主备切换演练，六步全过才叫上线完成。
静态路由与动态路由选型（含三厂优先级预警）
静态路由零协议开销、完全可控，但不会自愈；OSPF 自动收敛、适合中大型与多路径网络。实务常组合使用：出口默认路由用静态，内部用 OSPF。
静态路由联动 BFD / IP SLA（逻辑故障也能倒换）
静态路由本身不会感知“对端可达但不通”的逻辑故障：华为/H3C 用 BFD 会话联动、思科用 IP SLA + track，链路故障时备份路由秒级接管。
OSPF 接口 Cost 修改（选路控制）
Cost 是 OSPF 选路的唯一度量：改小走这条、改大避开这条；默认按 参考带宽/接口带宽 自动算，手工 ospf cost 直接覆盖。
OSPF 被动接口（silent-interface / passive-interface）
上联口起邻居、下联接终端的接口只想宣告网段不想发 Hello：被动接口只收不发 Hello、不建邻接，但仍把网段放进 LSA。
OSPF LSDB 数据库查看（display ospf lsdb）
LSDB 是区域的地图全集：本区域内每台路由器、每条链路、每个网段都在里面；邻居 FULL 但路由缺失时就查它。
OSPF LSA 类型速查（1-7 型）与查看命令
LSA 是 OSPF 的砖块：1/2 型描区域内拓扑、3/4 型由 ABR 翻译区域间、5/7 型承载外部路由；认型号=认问题。
OSPF 三厂命令速查总表（配置/查看/排错一页纸）
把最常用的 12 组操作做成一张对照表：左列是任务、右边三列是华为 VRP / 思科 IOS / H3C Comware 的对应命令，收藏备用。
OSPF 常见配置错误 Top 7（避坑清单）
从几千次排障里总结的七大高发错误：从网络类型不匹配到重分发漏子网——每条都是真实事故原型，配置后按单自查。
静态路由等价多路径（ECMP 负载分担）
同目的、同优先级、不同下一跳的多条静态路由构成 ECMP：流量按哈希分摊；条件不满足（优先级/度量不同）就退化成主备。
接口级使能 OSPF（精细化宣告）
不想用 network 大范围匹配？直接在接口上使能 OSPF：华为/H3C 是 ospf enable 1 area 0，思科是 ip ospf 1 area 0；更直观、可审计。
OSPF 接口状态查看（display ospf interface）
一张表看全接口的 OSPF 关键参数：区域、Cost、状态（DR/BDR/DROther）、定时器、MTU、邻居数量，排障第一入口。
最长前缀匹配原则（最终谁会生效）
同一目的 IP 能匹配多条路由时：先比掩码长度（越长越优先），只有前缀完全相同时才比优先级和度量；默认路由 0.0.0.0/0 是最后的兜底。
静态路由下一跳三种写法（接口 / IP / 接口+IP）
同一条静态路由的三种指定方式：只写接口、只写下一跳 IP、接口+IP 同写；以太链路推荐双写，避免逐目的 ARP 与递归不确定性。
静态路由典型组网案例（双出口主备 / 分公司回程）
两个高频场景：①企业双 ISP 出口主备：两条默认路由+浮动优先级+检测；②分公司回程：分支指向默认路由，总部指明细静态。
静态路由修改与删除（写全参数才删得掉）
修改=用相同目的重新配置覆盖；删除必须带上完整参数（目的+掩码+下一跳/出接口），少写一个参数命令不会命中。
黑洞路由与汇总防环（NULL0 / Null0）
把垃圾或未分配流量引到 NULL0 丢弃，或把汇总路由指向 NULL0 防止路由黑洞与环路：多与手工汇总、OSPF 汇总配套使用。
指定源地址验证路由（避开误判）
设备多接口多路由时，ping 默认源可能走错接口：指定业务网段源地址测试，才能验证“业务流量实际路径”是否通。
静态路由递归解析（下一跳不必直连）
静态路由的下一跳不必直连：本机只要有到该下一跳的路由即可递归成立；递归链断了，路由就隐藏不生效——很多“配了不通”的隐藏原因。
IPv6 静态路由（三厂命令对照）
IPv6 静态路由思路与 v4 相同，但命令都要带 ipv6：华为/H3C 是 ipv6 route-static，思科是 ipv6 route，验证命令同步换成 ipv6 版本。
ACL 与安全
访问控制列表、端口安全与防攻击特性
华为高级 ACL：匹配协议、源目地址与端口热门
高级 ACL 编号 3000-3999，可同时匹配协议、源/目的 IP、源/目的端口、TCP 标志等，是接口流量过滤的主力。
三厂 ACL 分类与编号段对照热门
华为 VRP、思科 IOS、H3C Comware 对 ACL 的分类命名与编号段完全不同：同为“建 ACL”三厂写法各异，跨厂复制配置必错。
思科标准 ACL：编号 1-99 与隐式 deny
思科标准 ACL 只匹配源地址，编号 1-99（另可用 1300-1999），末尾有一条看不到的隐式 deny any，未显式放行的流量一律丢弃。
通配符掩码（反掩码）换算与写法
三厂 ACL 都使用通配符掩码而非子网掩码：0 表示“必须匹配”，1 表示“忽略”，/24 网段对应 0.0.0.255。
华为接口应用 ACL：traffic-filter 与方向
华为把 ACL 应用到接口用 traffic-filter，必须写方向（inbound/outbound），物理口、Vlanif、Tunnel 口都支持。
华为端口安全：限制接入 MAC 数量
端口安全把交换机端口能学到的 MAC 数量与身份锁定下来，防止私接小路由、MAC 泛洪与非法终端接入。
华为基本 ACL：按源 IP 放行或拒绝
基本 ACL 编号 2000-2999，只能匹配源 IP 地址，最典型的用法是“放行本网段、拒绝其他”，配合接口 traffic-filter 做入方向过滤。
思科扩展 ACL：编号 100-199 与 show access-lists
思科扩展 ACL 编号 100-199（另有 2000-2699 段），可匹配协议、源目地址、端口与 TCP 标志，是 IOS 上最常用的过滤工具。
管理面 ACL：限制 VTY / SSH / SNMP 来源
把管理入口限制在运维网段是最基本的安全加固；三厂语法相近，但引用位置不同——VTY 引用的是 ACL 编号而不是接口。
接入层安全加固清单（三厂命令速查）
把接入交换机最常被漏配的安全项整理成一张对照表：边缘端口、BPDU 保护、端口安全、DHCP Snooping 与 ARP 防护。
三厂 ACL 总对照：编号、语法与应用
三厂 ACL 都是从上到下匹配、默认拒绝（隐式 deny）。差异在编号体系与通配符写法：华为/H3C 编号段一致，思科是经典 1-99/100-199。
思科接口应用 ACL：ip access-group 与方向
思科用 ip access-group 把 ACL 绑到接口，in/out 是必选参数；只建了 ACL 没绑定方向，等于没配置。
ACL 缺省动作与兜底规则
未命中任何规则时怎么处理，是三厂最需注意的差异点：思科明确隐式 deny any，华为/H3C 建议显式写兜底规则以免行为与预期不符。
H3C 基本 ACL：acl basic 与规则编号
H3C Comware V7 用 acl basic 2000 创建基本 ACL，规则以 rule ID 从小到大匹配，默认步长为 5，便于后续插入。
端口匹配：eq / gt / lt / range 三厂写法
端口条件是高级/扩展 ACL 的核心：eq 等于、gt 大于、lt 小于、range 区间、neq 不等于，三厂关键字一致但位置写法不同。
关闭 Telnet 只留 SSH：三厂加固写法
Telnet 明文传输口令，必须关闭并改用 SSHv2；三厂都需要先生成密钥/启用服务，再限制 VTY 只接受 SSH。
规则编号、匹配顺序与步长
ACL 从上到下逐条匹配、命中即停止：编号顺序决定优先级，插入规则要靠预留的步长编号。
H3C 接口应用 ACL：packet-filter 与生效核对
H3C 用 packet-filter 在接口上引用 ACL，方向关键字是 inbound/outbound，配置后要用 display 命令核对是否真的挂上。
高级 ACL 拦端口：放行特定主机 Web 的完整对照
把“只允许某网段访问某服务器 80、封掉其他所有 80”这条经典策略按三厂完整写出，是核对 ACL 语法的最佳练习。
广播风暴抑制：三厂阈值配置
广播/组播/未知单播风暴会瞬间打满链路与 CPU，接入端口必须配置抑制阈值保住整网可用性。
H3C 高级 ACL：acl advanced 与规则日志
H3C 高级 ACL 用 acl advanced 3000 创建，支持 source/destination 加反掩码、端口、TCP 标志与 logging 关键字。
ACL 方向选择：入方向过滤 vs 出方向过滤
同一张 ACL 挂在入方向还是出方向，影响过滤时机、带宽占用以及对本机流量的效果，是排障时最容易被忽略的一点。
ACL 匹配计数查看与清零
ACL 命中的报文数是最直接的“策略是否生效”证据：先清零、再复现、后看计数，比盯着配置猜快得多。
H3C 端口安全：port-mode 与入侵模式
H3C 端口安全必须先选 port-mode（autolearn/secure/userlogin 等）再限制 MAC 数量，非法接入的处理动作由 intrusion-mode 决定。
BPDU 保护：防非法交换机接入
边缘端口收到 BPDU 说明下面接了交换机或发起了环路，BPDU 保护会立即关闭端口，是接入层必配的安全特性。
三厂端口安全总对照：限制 MAC 数量与违例动作
端口安全三要素：开关、最大 MAC 数、违例动作（丢弃/告警/关闭端口）。三厂都是先在接口下配，思科与华为/H3C 命令名差异中等。
协议匹配：ip / tcp / udp / icmp / gre / ospf
ACL 规则里的协议可以写关键字也可以写数字协议号（89=OSPF、47=GRE），关键字或顺序写错是规则不生效的常见原因。
VLAN 接口上应用 ACL（三层网关过滤）
在三层网关接口上挂 ACL 可一次性管控整个网段，三厂的 VLAN 三层接口名不同：Vlanif10 / Vlan10 / Vlan-interface10。
思科 DAI：动态 ARP 检测
DAI 结合 DHCP Snooping 绑定表校验 ARP 报文，把伪造网关的中间人攻击挡在接入端口上。
三厂 802.1X 总对照：全局与接口开关
802.1X 配置骨架三厂一致：全局开功能、接口开认证、服务器（RADIUS）配置。细节差异在认证模式与配套命令。
host 与 any 关键字的三厂写法
单主机与全网的写法在三厂之间差异明显：思科有 host/any 关键字，华为/H3C 用“地址 + 全 0 通配符”或 any。
SNMP 访问限制：ACL 绑定团体名
SNMP 默认团体名 public/private 是经典弱口令；三厂都支持在团体名后面挂 ACL，把采集来源锁死在监控服务器。
端口安全违例动作对照：protect / restrict / shutdown
违例动作决定超限流量怎么处理：三厂命名不同但语义相近，选错了要么悄悄丢包、要么把上行管理端口直接关死。
边缘端口 / PortFast：接入终端快速转发
接入终端的端口配成边缘端口可跳过监听学习阶段，插上网线秒通；同时必须配合 BPDU 保护防止误接交换机。
RADIUS / TACACS 服务器：三厂模板配置
集中认证靠 RADIUS（设备管理+接入认证）或 TACACS+（命令级授权更细），三厂的服务器模板与引用方式差别很大。
ACL 命中日志：log / logging 的开启与收敛
给关键规则加日志能在设备日志里看到“谁在什么时候被拒绝”，但高频命中会刷爆日志并抬高 CPU，必须克制使用。
MAC 数量限制：三厂实现方式对照
限制端口可学习的 MAC 数量是防私接最直接的手段：华为/H3C 有独立命令，思科复用端口安全的最大值。
IP Source Guard：地址欺骗防护三厂对照
IP Source Guard 依据绑定表校验报文的源 IP/MAC，防止用户私自改地址或冒用他人 IP 上网。
华为 802.1X：认证模板与端口启用
802.1X 让终端必须先通过认证才能上网，是园区网准入的基础；华为通过 dot1x enable 与认证模板组合实现。
时间范围 ACL：定时生效的访问控制
按时间段放行或封禁（如仅工作时间允许访问），三厂都支持 time-range 与 ACL 联动，是办公网络限流的标准做法。
err-disable / error-down 端口的自动恢复
端口因安全违例、BPDU 保护等原因被关闭后默认不会自己恢复，必须配置恢复机制，否则现场只能人工插拔或重启设备。
华为 ARP 防攻击：表项限制与报文抑制
ARP 泛洪和伪造扫描会打满 ARP 表并抬高 CPU，华为提供 ARP 表项限制、泛洪抑制与用户绑定检测等手段。
本地用户与权限级别配置
远程认证不可用时要有本地兜底账号；三厂的本地用户创建方式与权限模型差异明显（华为 privilege level、思科 privilege、H3C user-role）。
端口安全状态核对与常见故障
端口安全不生效时，先核对端口模式、最大数、学习到的安全 MAC 与违例计数，再判断是配置问题还是终端问题。
TCP established 与 TCP 标志位匹配
思科的 established 关键字用于放行“已建立连接的返回流量”，华为/H3C 没有该关键字，要用 TCP 标志位（tcp-flag）近似实现。
根桥保护：防止接入设备抢占根桥
接入层设备意外成为生成树根桥会导致流量绕行、性能骤降；根保护让收到更优 BPDU 的端口进入阻塞而非让位。
思科 802.1X：IBNS 端口认证配置
思科把 802.1X 归入 IBNS 体系：先配 AAA 与 RADIUS 服务器，再在端口启用 port-control 与 PAE 角色。
VLAN 跳跃攻击与三层防护差异
VLAN 跳跃利用 DTP 自动协商或双标签（QinQ）把流量送进别的 VLAN；防护要点是端口固定为 access 并关闭协商。
ICMP 类型过滤：精准禁 ping 与探测
禁 ping 要用 ICMP 类型匹配（echo、echo-reply），单纯 deny icmp 会把 traceroute、差错报文一起断掉，反而影响排障。
粘滞 MAC：sticky 学习与自动固化
粘滞（sticky）学习让端口第一次学到的 MAC 自动写入运行配置，重启后按记录放行，免去逐条手工绑定。
风暴抑制动作与告警联动
抑制到阈值后是丢包还是关端口，以及是否告警，直接决定故障表现：静默丢包最难排查，关端口则影响面更大。
二层 / MAC ACL：按以太帧头过滤
二层 ACL 匹配源/目的 MAC 与以太网类型，不解析 IP 头，用于阻断非法 MAC、限制广播域内的二层流量。
静态 MAC 绑定：mac-address static
把终端 MAC 固定绑到端口，是最原始也最可靠的接入控制：未经绑定的 MAC 无法在指定端口通信。
静态绑定表：不依赖 DHCP 的 IPSG/DAI 基础
在静态 IP 或服务器场景下没有 DHCP 租约，必须手工建绑定表，IPSG 与 DAI 才能正常放行。
H3C 802.1X：domain 与认证方式
H3C 的 802.1X 依赖 ISP domain 指定认证方案，端口只需一条 dot1x，是 H3C 准入配置最容易踩坑的地方。
Console / AUX 口认证与超时
Console 是设备最后一道入口，必须配口令与超时；三厂的口令设置语法不同，H3C 的口令还可能要求交互式输入。
未知单播泛洪抑制：三厂手段
未知单播会向 VLAN 内所有端口泛洪，端口数量多时极易打满链路；除风暴抑制外，可用端口级阻断或 MAC 学习限制收敛。
ACL 描述与备注：给规则写说明书
三厂都支持给 ACL 写描述，交接和排障时比看编号快得多，是生产环境必做的维护习惯。
IPv6 ACL：三厂写法与 IPv4 的差异
IPv6 过滤要用 IPv6 ACL（华为 2000-2999 基本 / 3000-3999 高级，H3C 同上，思科用 ipv6 access-list），且必须放行 ICMPv6 邻居发现报文。
ARP 静态绑定：防网关假冒
给关键地址（网关、服务器）写静态 ARP，是最简单的防 ARP 欺骗手段，代价是变更时需人工维护。
环路保护：单向链路导致的 STP 异常
光纤单通、网卡半残等单向链路会让阻塞端口收不到 BPDU 而误认为拓扑变化，环路保护可防止由此产生的二层环路。
地址/端口组：思科 object-group 与华为/H3C 的写法
多地址、多端口场景下，思科用 object-group 复用对象，华为/H3C 用多条 rule 或 object-group 命令（部分型号支持）来简化维护。
安全 MAC 老化与端口恢复计时
终端更换后旧的安全 MAC 会占住名额，需要靠老化或恢复计时让端口自动回到可用状态，避免“插上新电脑还是不通”。
BPDU Filter：慎用的 BPDU 过滤
BPDU Filter 让端口不发不收 BPDU，常用于接终端的边缘口降噪；用错位置会静默形成二层环路，是高风险命令。
登录横幅：法律告知与运维提示
登录横幅在企业合规里属于必配项：明示未授权访问禁止，同时给出维护联系人，事件追溯时也有依据。
NAT 与出口
源 NAT、端口映射与出口链路配置
三厂 NAT 命令体系总览热门
NAT 是跨厂商差异最大的配置之一：思科要标记 inside/outside 接口，华为/H3C 只在外网口配 nat outbound；理解这一层差异就不会配一半不通。
华为 NAT Server：公网端口映射到内网服务器热门
NAT Server 把公网地址的指定端口静态映射到内网服务器，实现“外网访问内网服务”，是自建服务器最常见的出口配置。
华为 Easy IP：借用出接口地址做源 NAT热门
Easy IP 直接用外网接口的地址做转换，不需要公网地址池，是最常见的家用/小型办公出口方案。
思科 PAT：overload 地址端口复用
思科的 PAT 靠 overload 关键字实现：多个内网地址复用同一个（或一批）公网地址的不同端口，是 IOS 上最常规的出口配置。
思科端口映射：ip nat inside source static tcp
思科用一条静态 NAT 语句完成端口映射：内网本地地址端口在前、公网地址端口在后，且同样依赖接口 inside/outside 标记。
PPPoE 拨号出口的 Easy IP（动态地址复用）
宽带拨号拿到动态公网地址后，用 Easy IP 让内网整体复用拨号口地址上网；三厂都是 NAT 引用出接口 + 拨号口的组合，关键是选对出接口。
思科 inside / outside 接口角色（跨厂商最大差异点）
思科的 NAT 必须先在接口上声明方向角色：ip nat inside 面向内网、ip nat outside 面向外网，漏配一边 NAT 完全不生效。
NAT 会话表查看：display nat session / show ip nat translations
NAT 不通时第一件事是看会话表：有没有建表项、地址端口是什么、是否有翻译计数，比反复改配置高效得多。
静态 NAT 一对一：内网整机映射固定公网地址
把内网一台设备的私有地址与一个公网地址做双向固定映射，外网可主动访问、内网出访也使用该公网地址，适合对外发布的 DMZ 服务器。
NAT 不生效排查清单（三厂检验命令）
内网出不去或外网进不来时的固定排查顺序：先看接口角色与 nat 条目挂载，再看 ACL 命中计数，最后看会话表与路由回程；三厂各有一套对应命令。
三厂 NAT 总对照：源 NAT 与端口映射语法
源 NAT（Easy IP/PAT）与 NAT Server（端口映射）对应关系清晰：华为/H3C 语法几乎一致，思科自成一套 inside/outside 模型。
H3C Easy IP：nat outbound 无地址池写法
H3C 的 Easy IP 与华为写法完全一致：nat outbound 后只跟 ACL，转换地址取接口自身的地址。
华为 NAT 的 ACL：哪些流量走转换
NAT 的源选择完全由 ACL 决定：需要上网的网段写 permit，私网互访或特殊业务写 deny 排除。
H3C NAT Server：nat server 与接口引用
H3C 的 nat server 语法与华为几乎一致，配置在外网接口下，支持 current-interface 关键字借用接口地址。
出口 MSS 调整：解决“能 ping 通但网页打不开”
PPPoE、隧道或 NAPT 出口下，TCP 握手正常但大包被丢弃时，调小接口 TCP MSS 是标准解法；三厂都在接口视图下调整。
华为地址池 NAT：address-group 与 section
公网地址多于一个时用地址池：华为在 nat address-group 里用 section 定义地址范围，并选择 pat/no-pat 模式。
思科地址池 NAT：ip nat pool 与 overload
思科用 ip nat pool 定义地址池，再在 ip nat inside source 里引用，加 overload 实现地址复用，不加就是一对一分配。
双出口策略路由搭配 NAT（运营商分流）
两条宽带按目的地址或源网段分流时：先用策略路由选出口，再在各自出口上分别做 NAT。三厂对应 policy-based-route / route-map + ip policy / policy-based-route。
NAT 会话数监控与上限控制
出口 NAT 会话表被 P2P、爬虫或攻击占满后新连接建不起来：先量化会话数量与增长，再按平台用 max-entries 之类命令兜底。
思科 NAT 的 ACL 与 route-map 引用方式
思科除标准 ACL 外还支持 route-map 形式：可按源、目的、下一跳等条件决定是否转换，适合策略型出口。
端口映射选型：NAT Server 还是反向代理
把内网 Web/API 发布到公网有两条路：NAT Server 做 L4 端口直达，Nginx 反代做 L7 应用转发。是否需要按域名分流、统一证书与访问日志决定选型。
华为 PAT 与 No-PAT 模式选择
同一份 outbound 规则下，pat 做地址端口复用（多对一），no-pat 做一对一地址分配（不转换端口），用途完全不同。
H3C 地址池 NAT：nat address-group 与命名
H3C 地址池支持命名（name），多出口或多业务时用名字比编号更好维护；引用时可用编号或名称。
映射端口冲突：公网端口被设备自身占用
用 current-interface 把公网口 80/443 映射给内网服务器前，先确认网关自身没在监听同端口（Web 管理页、SSL VPN 等），否则映射配了也不通。
映射协议选择：TCP / UDP / ICMP 的差别
端口映射必须声明协议：Web/SSH 用 tcp，DNS/VPN 用 udp，ICMP 映射则用于允许外网 ping 内网地址。
NAT 超时与老化：长连接业务掉线的根因
默认 NAT 老化时间对长连接（SSH 空闲、数据库连接池、SIP 心跳）往往偏短，超时后连接被静默回收，表现为“隔几分钟断一次”。
NAT 日志与调试开关（三厂）
排查偶发转换异常时开启 NAT 调试可直接看到转换前后地址与端口；但调试输出极耗 CPU，只能在业务低峰短时开启并立即关闭。
NAT 环回：内网访问公网映射地址
内网用户直接访问“服务器公网映射地址”常常不通，因为流量走了出口却被 NAT 逻辑拒绝，需要启用 NAT 环回（hairpin）。
多端口与端口范围映射的写法
把一段端口（如 8000-8010）映射到内网服务器时，思科没有范围语法，只能逐条写；华为/H3C 同样建议逐条，便于维护。
NAT ALG：FTP / SIP 等特殊协议穿越
FTP 主动/被动模式、SIP 通话等协议会把 IP 与端口写在载荷里，需要 ALG 协同时刻改写，否则连得上但数据传不了。
DNS Mapping：华为解决内网用域名访问自有服务
华为的 DNS Mapping 可让内网用户用域名访问位于同一出口的服务器：设备识别 DNS 应答并改写解析结果。
DHCP 与地址服务
DHCP 服务、中继与保留地址
华为 DHCP 服务器：dhcp enable 与 ip pool 地址池热门
华为路由器/交换机做 DHCP 服务器的标准两步：全局 dhcp enable，再建 ip pool 配置网段、网关与 DNS，最后在接口上使能 DHCP 服务。
思科 DHCP 服务器：service dhcp 与 ip dhcp pool
IOS 的 DHCP 服务随 service dhcp 全局开关，地址池用 ip dhcp pool；注意排除地址要单独配 ip dhcp excluded-address，池内的 network 不会自动避开网关。
华为 DHCP 中继：dhcp select relay 与 relay server-ip
跨网段用集中 DHCP 服务器时要在网关侧开中继：接口下 dhcp select relay 指定中继模式，再用 dhcp relay server-ip 指向服务器。
H3C DHCP 服务器：dhcp enable 与 ip-pool
Comware 同样先 dhcp enable 再建 ip-pool；接口上用 dhcp select server 引用池，租期用 expired 命令设置。
DHCP 静态绑定：按 MAC 固定分配 IP
打印机、AP、监控摄像头需要固定地址又不想手配：在地址池里做静态绑定，服务器按 MAC 每次都下发同一 IP。
思科 DHCP 中继：ip helper-address 的正确姿势
思科中继只认一条命令 ip helper-address，但它是“UDP 广播转发器”而非 DHCP 专用——会顺手转发 TFTP/NetBIOS 等一堆广播，这是最典型的隐藏坑。
客户端拿不到地址：三层排查顺序
“上不了网、网卡显示 169.254 开头地址”的固定排查链：客户端状态 → 接入端口/VLAN → 网关中继 → 服务器池 → 安全特性是否拦截。
三厂 DHCP 总对照：地址池与接口引用
DHCP 服务器三步：建池、配网关/DNS、接口引用。三厂池的写法差异最大，接口引用华为/H3C 需要显式命令、思科按网段自动匹配。
DHCP 租期设置与续租行为（三厂）
租期决定客户端多久续租一次：办公网 1-3 天常见，访客网络可缩短到几小时加速地址回收；临时活动网络用短租期最划算。
华为 DHCP Snooping：防止私接路由器发假地址
二层接入交换机开启 DHCP Snooping 后，只有信任口（上联）的 DHCP 应答能通过，私接路由器/恶意 DHCP 服务器下发的地址会被丢弃。
多 VLAN 多地址池：一次配好多个网段
核心 VLAN 一多，地址池就要按 VLAN 一一对应；三厂都是“每网段一个池”，关键是池与网关接口的对应关系别写错。
多 VLAN 集中式 DHCP：每个网关都要开中继
一台服务器给全楼 VLAN 发地址时，所有 VLAN 的三层网关接口都要开中继并指向同一服务器；漏掉哪个 VLAN，哪个 VLAN 就集体拿不到地址。
接口做 DHCP 客户端：从上级网络取地址
路由器上联光猫/上级网络时，WAN 或管理口常配成 DHCP 客户端自动取地址；三厂命令与查看方式各不相同。
接口地址池：华为 dhcp select interface（免建 pool）
华为支持直接拿接口网段当地址池：接口下 dhcp select interface，再用 dhcp server 系列命令补 DNS 等选项，适合网关接口即池网段的简单场景。
思科 DHCP Snooping：ip dhcp snooping 与 trust
IOS 的 DHCP Snooping 需要显式开启全局 + 逐 VLAN，再在上联口设 trust；未信任的接入口可进一步限制速率防 DHXP 泛洪。
DHCP 网关与 VRRP：池网关必须指向虚地址
双机网关场景，DHCP 下发的网关要写 VRRP/HSRP 虚拟 IP 而不是任一物理口地址，否则主备切换后整网失去网关。
DHCP 选项配置：Option 150/66 等厂商扩展
除了默认网关和 DNS，很多场景要靠 option 下发扩展参数：IP 电话的 TFTP 地址（150）、PXE 的引导服务器（66/67）、无线 AP 的 AC 地址（43）都走这里。
保留地址 vs 排除地址：别把两者用混
保留（静态绑定）是“这个 IP 留给这台设备”，排除是“这个 IP 谁都不发”；把保留当排除用会导致该 IP 空置，把排除当保留用会导致设备拿不到固定地址。
H3C DHCP 中继：server-group 与 server-select
Comware 中继分两步：先建全局服务器组（dhcp relay server-group N ip x.x.x.x），接口下 dhcp select relay 再 server-select 引用组号。
H3C DHCP Snooping：binding 表与信任口
Comware 的 DHCP Snooping 同样是全局 + VLAN + 接口信任三板斧，绑定表可用于防 ARP 欺骗的联动检查。
已分配地址明细：ip-in-use 与 binding 查询
排查地址冲突、定位“某台设备拿了什么 IP”时直接查服务器的在用地址/绑定表：三厂字段相近，都能看到 IP-MAC-租期-类型。
PXE/零配置开局：next-server 与 bootfile
批量装系统或交换机零配置时，DHCP 既要发地址也要告诉设备去哪台服务器取引导文件：三厂都有 next-server + bootfile 等价组合。
DHCP Snooping 绑定表：查看与用途
绑定表记录“IP-MAC-端口-VLAN”四元组，是防 ARP 欺骗（DAI/IPSG）的判决依据；排查“某 IP 到底分给了哪台设备”也靠它。
地址池耗尽：判断与扩容手段
池子不够用时表现为部分设备断续拿地址、部分永远 APIPA；先看 used/idle 与冲突表，再考虑扩容网段、缩短租期或清理僵尸绑定。
ip helper-address 的隐藏转发端口清单
思科 helper-address 开箱就转发 8 个 UDP 端口（TFTP/DNS/NetBIOS/BOOTP 等），大网络里常是“莫名广播噪音/日志刷屏”的源头；华为/H3C 中继无此行为。
地址冲突检测：发地址前先 ping 探测
服务器分配前先用 ICMP 探测目标地址，可避免把已被手工占用的地址发出去；三厂都支持，但默认行为不同（思科默认开启探测）。
DHCP 地址池耗竭攻击与防护组合
攻击者伪造大量 MAC 请求可快速耗光地址池（DHCP Starvation），随后再放假的 DHCP 服务器钓鱼；防护组合：接入限速 + Snooping + 端口安全。
释放租约与重置绑定：让地址立即回收
设备报废/迁移后想立刻收回地址，不必等租期到期：三厂都能对单个地址或全池做 reset/clear。
IPv6 无状态地址：RA 开关与 managed 标志
IPv6 终端默认靠路由器通告（RA）自生成地址；要让终端改走 DHCPv6 取址，需把 RA 的 managed 标志置位。
冲突地址查看与清理：conflict 表
被判定冲突的地址会进 conflict 表暂停分配，网络调整后不清理，这些地址会长期空置，池小的时候直接表现为“地址不够用”。
DHCP 排障：客户端侧与设备侧命令对照
疑点集中在“请求到底发没发出去”时：客户端先做释放/续租与抓包，服务器侧再开事件调试或看统计，两侧对齐时间点定位丢在哪一跳。
DHCPv6 服务器池（三厂）
需要可控下发 IPv6 地址或 DNS 时用 DHCPv6：三厂都是“建池 + 接口引用”，池里放地址前缀与 DNS 服务器。
堆叠、高可用与备份升级
堆叠/VRRP、配置备份与版本升级
华为 VRRP：vrid 虚地址与优先级热门
两台三层设备用同一个 vrid 组成备份组，共享一个虚拟 IP 做网关：主设备转发、备设备待命，主故障时秒级切换。
配置保存：save / write memory / save force 三厂对照热门
改完配置必须显式保存才能重启后保留：三厂保存命令不同，华为/H3C 还可能因交互确认卡住导致实际没保存。
华为 TFTP 备份：tftp put 上传配置
最通用的备份通道：电脑起 TFTP 服务器，设备端 tftp put 把配置打包文件传出去；备份名带日期，方便回滚时定位。
堆叠/IRF 概念与三厂对应：iStack / StackWise / IRF
多台物理交换机通过堆叠线缆合成一台逻辑设备：统一管理、跨设备链路聚合、主备倒换。三厂叫法不同，机制思想一致。
从 TFTP 恢复配置：下载与加载
设备配置损坏或换机导入时：先把配置文件传到设备 flash，再指定为下次启动配置并重启（或按厂商命令直接加载）。
三厂配置备份总对照：保存与 TFTP 上传
备份两步：先保存（内存配置写启动文件），再上传到服务器。三厂命令结构：save / copy run start / save force，上传走 tftp put 或 copy tftp:。
三厂升级流程总对照：上传、指定、重启
升级三步固定：上传新版本文件 → 指定下次启动版本 → 重启生效。三厂命令：startup system-software / boot system / boot-loader file。
思科 HSRP：standby 组与虚 MAC
HSRP 是思科私有网关冗余协议：standby 组共享虚拟 IP/MAC（0000.0c07.acXX），默认优先级 100、高者为主，切换通常 3 秒内完成。
思科 TFTP 备份：copy 命令族与 URL 语法
思科的 copy 是统一传输框架：运行/启动配置与系统镜像都能经 tftp:/ftp:/scp: 前缀指向远端，且支持非交互 URL 写法。
指定下次启动版本：startup / boot system / boot-loader
文件传好后要显式指定下次启动用它：三厂分别是 startup system-software、boot system、boot-loader file ... main；指定完核对再重启。
三厂网关冗余总对照：VRRP 与 HSRP
华为/H3C 用标准 VRRP（开源互操作），思科默认 HSRP（私有）；思科也支持 VRRP 但需显式配置。虚拟 MAC 段位不同。
三厂堆叠/虚拟化总对照：iStack / StackWise / IRF
多台合一的三套技术：华为 iStack、思科 StackWise、H3C IRF。概念一一对应（成员编号、优先级、堆叠口、合并激活），命令完全不同。
VRRP/HSRP 优先级与抢占：谁是主由它决定
优先级大者为主（缺省 100）；虚地址拥有者固定 255 为绝对主。抢占（preempt）决定高优先级设备恢复后是否夺回主角色。
华为 iStack 组网：stack slot 与堆叠口配置
华为交换机堆叠三步：改成员编号（重启生效）→ 建逻辑堆叠口并把物理口加进去 → 连线上电自动选举主设备。
运行配置 vs 启动配置：差异核对
重启后丢配置的根因九成是“运行配置没保存”：升级/重启前先核对两者，把该落地的配置确认落地。
升级文件传输：把系统镜像传到设备
系统镜像动辄几百 MB：传到 flash 前先看剩余空间（建议镜像大小 2 倍以上余量），传完核对文件大小再下一步。
VRRP 联动：跟踪上行链路自动降级
只比设备存活不够：上行口断了主机还当主就是“黑洞网关”。用 track 跟踪上行接口，故障时自动降低优先级让备顶上。
跨设备链路聚合：堆叠的核心价值
服务器/接入交换机双上行分别接不同堆叠成员、聚合成一条逻辑链路：任一成员或单线故障业务不断，免 STP 收敛。
H3C TFTP 备份：backup startup-configuration
H3C 备份配置有专用命令 backup startup-configuration，比手写 tftp put 路径更省事；系统文件则用 tftp put 上传。
配置回滚：configuration replace / configure replace
改错配置不必逐条 undo：把备份配置作为目标状态，设备计算差异并替换；思科与华为/H3C 都有 replace 机制。
升级前兼容性核对：版本、补丁与硬件
升级翻车多数源于准备不足：先核对当前版本与目标版本路径、补丁级别、硬件与内存是否满足，再对照厂家的版本升级指导。
升级后验证：版本、模块与业务三层核对
升级不是重启完就结束：核对版本与补丁、检查模块/堆叠成员状态、验证核心业务（路由邻居/聚合/VRRP），再观察一段日志。
H3C VRRP：与华为同语法体系
H3C 的 VRRP 命令与华为高度一致（vrrp vrid），但定时器单位等细节有坑：advertise 参数单位是厘秒不是秒。
主备切换验证：查看状态与动手演练
配置完成后必须验证：看状态是否 Master/Standby、虚 MAC 与虚拟 IP 是否生效，再模拟断线测试切换与回切。
思科 StackWise：优先级与栈口状态查看
思科堆叠免建逻辑口：专用栈线插好、设好 switch priority 即自动成型；日常维护重点看成员角色与栈口计数。
H3C IRF：member priority 与 irf-port 激活
IRF 配置三件套：改成员编号与优先级、把物理口加入 irf-port、irf-port-configuration active 激活；激活即触发合并与主备选举。
定时自动备份：schedule / kron / scheduler 三厂对照
手工备份迟早会忘：三厂都内建计划任务，可每周自动把配置推到 TFTP/FTP 服务器；思科另有 archive 时间归档可叠加。
重启生效：reboot / reload 与安全用法
指定新版本后重启生效：先保存、确认无未保存变更、评估业务窗口；思科的 reload in 提供“定时重启+可取消”的安全模式。
VRRP/HSRP 双主与不回切排查
最常见两类故障：双主（双方都称主）和不回切（主恢复后仍是备在主）。先查报文、再查优先级与抢占配置。
堆叠主设备选举：优先级与启动次序
主设备选举顺序：优先级高者优先，其次比运行时长（先起者），再比桥 MAC；改优先级后通常要重启才参与新一轮选举。
堆叠分裂检测 MAD：防止双主抢 IP
堆叠线断开会把一台逻辑设备劈成两台“双主”，网关/IP 重复导致整网瘫；必须配 MAD（多主检测），冲突方自动停口，保住一侧业务。
启动文件查看：display startup / show bootvar / display boot-loader
重启前确认“下次启动用哪个文件、备份文件是什么”是防事故的最后一关：三厂命令不同，但都要盯住 next 那一列。
VRRP/HSRP 负载分担：多组互为主备
单组主备会浪费一半转发能力：建两个备份组、互为对方主，让两台设备各自承担部分 VLAN 的流量。
堆叠成员加入与移除流程
扩容加成员：清空新成员旧配置 → 设唯一编号与优先级 → 接线 → 上电加入；拆除成员：先切业务与栈线 → 清配置 → 按规划改号。
FTP 方式备份：带用户名密码的通道
TFTP 太裸、跨网段又不方便时常改用 FTP：设备作为 FTP 客户端登录服务器上传/下载文件，三厂命令结构基本一致。
版本回退：把启动文件指回旧版本
新版本问题无法短期修复时回退：将启动文件改回旧版本（升级前保留在 flash）再重启；旧版本可能不兼容新配置，需同步核对。
升级窗口检查清单：动手前过一遍
把升级做成清单化流程：备份 → 校验镜像 → 检查空间 → 通知业务 → 指定版本 → 重启 → 验证；每步有回执才算完成。
VRRP/HSRP 认证：防伪造报文抢主
同网段有人伪造高优先级 VRRP/HSRP 报文就能抢走主角色；开启认证后报文需带正确口令才被接受。
堆叠分裂恢复：先查再合，别直接插线
分裂后两端各自运行、配置可能已分化：恢复顺序是确认保留侧 → 处理冲突端 → 再恢复连线合并；直接插栈线可能导致配置被覆盖。
堆叠健康巡检：角色、拓扑与栈口状态
例行巡检看三件事：角色与编号是否符合规划、栈口是否全部 Up、成员是否全部在线；任何一项异常都可能是分裂或故障前兆。
两份配置比对：服务器侧 diff 与设备侧工具
变更前后各导一份配置，用服务器上的 diff 逐行比对是最可靠的审计方式；思科还能在设备内直接比对归档版本。
VRRP/HSRP 定时器：切换速度与震荡权衡
切换时间由报文间隔与超时决定：调小加快切换但易误判抖动，调大更稳但中断变长。三厂单位与参数名都有差异。
堆叠成员版本不一致：统一升级与影响
新成员固件低于堆叠主时无法加入或功能异常：以整个堆叠统一升级为主，自动同步只在平台支持且版本同族时可用。
思科 archive 自动归档：配置历史版本库
思科 archive 特性自动把每次保存的配置留档到 flash 或远端，配合 diff/replace 形成完整的配置版本管理闭环。
批量升级：脚本化五步与执行顺序
几十台设备升级靠人工作业必错：脚本化关键在“统一传输 + 逐台校验 + 分批窗口”，每台都留回退文件与验证步骤。
备份有效性验证：生成文件不等于可恢复
最常见的翻车是“备份文件打不开”：定期抽检（大小、解压/回读、关键段在不在），并找实验设备做一次恢复演练。
堆叠线缆与端口故障：更换注意事项
堆叠线/光模块故障是分裂的头号原因：更换前先确认拓扑还有冗余路径；带电操作时不要一次拔掉两台设备的同侧栈线。
SFTP/SCP 安全传输：加密通道备份
安全要求高的环境用 SFTP/SCP：配置文件走 SSH 加密通道；思科有 scp: 前缀，华为/H3C 提供 sftp 客户端命令。
从虚拟 MAC 判断冗余协议：0000.5e00 / 0000.0c07
抓包看到神秘 MAC 别慌：0000.5e00.01xx 是 VRRP 虚拟 MAC（xx=vrid 十六进制），0000.0c07.acXX 是 HSRP；据此快速判断对端跑了什么协议。
华为两阶段提交：configuration commit 与 rollback
VRP 的两阶段机制：变更前先打提交点（commit label），出问题按标签回滚；适合现场批量变更的“后悔药”。
思科配置寄存器 0x2102 与启动加载行为
思科经典知识点：0x2102=正常启动加载配置、0x2142=跳过启动配置（密码恢复临时用）；华为/H3C 无寄存器概念，用启动文件选择实现类似控制。
VRRPv3 与 IPv6：双栈场景的网关冗余
IPv6 网络同样要做网关冗余：三厂主流做法是用 VRRPv3 建 IPv6 备份组，虚地址为 IPv6 地址，其余机制与 v4 相同。
设备排障
常用诊断命令、日志与 CPU/内存排查
三厂 display / show 命令总对照：排障速查热门
华为/H3C 用 display、思科用 show，命令主体大量直译对应。这一份速查表覆盖日常排障最常用的十几组命令，换厂操作不用重新学。
排障第一响应：三厂命令包与分层顺序
排障顺序固定：物理（接口/光/电源）→ 链路（错包/MAC）→ 网络（ARP/路由）→ 应用（端口/会话）。先跑一套第一响应命令包，再针对性深入。
华为 CPU 查看：display cpu-usage 三窗口
CPU 高时先看整体占用：display cpu-usage 给出 5 秒 / 1 分 / 5 分三个窗口，秒级高多为突发，分钟级持续高才是真问题。
日志时间线回溯：故障发生时刻找证据
设备日志是排障第一现场。三厂日志命令不同，但套路一致：先关分页，再查 logbuffer，用过滤器缩小到接口/协议关键词。
查路由定位：为什么目的网段不通
路由排障两级都要查：控制面看路由表有没有、转发面看 FIB 是否真正下发。只查一级经常误判。
ping 分段定位：从近到远逐跳测试
不要从终端一路测到目的只记“不通”。从最近网关开始逐段 ping，把故障区间夹逼出来，再结合接口计数收窄。
三厂 CPU/内存命令总对照
CPU 与内存排障命令对照表：核心记忆点是排序输出（sorted）标识异常进程，历史趋势命令三厂同名 history。
三厂 ping / tracert 参数总对照
连通性测试参数对照：华为/H3C 用减号参数（-c -s -a），思科用关键字（repeat size source）。tracert 拼写：思科多一个 e。
调试命令安全使用：debug 与回退
debug 是双刃剑：高峰期能把 CPU 拉满导致协议中断。三厂都要先开终端显示开关，且必须准备好一键关闭的回退命令。
三厂日志命令总对照：info-center 与 logging
信息中心体系：华为/H3C 是 info-center 全家桶（channel/source/logbuffer），思科是 logging 系列。查看入口 display logbuffer / show logging。
思科 CPU 定位：show processes cpu sorted
思科排 CPU 高基本一条命令解决：show processes cpu sorted 按 5 秒占用排序，头部进程名直接指出问题类型。
MAC 地址漂移排查：同一 MAC 两个口学习
MAC 漂移是环路或双上联未聚合的典型信号。三厂都是先按 MAC 过滤查表，再看它是否在两个端口间来回学习。
计数增量法：定位丢包发生在哪一跳
接口计数是快照，单看绝对值没意义。清零计数→等一个业务周期→再读增量，哪一跳在涨错包/丢包，故障就锁在哪一段。
ACL 不生效排查：是否被前序规则命中
ACL 从上到下匹配、命中即停（华为/H3C 的 deny 还会计数器增长）。不生效多半是被更靠前的规则先匹配走了。
MTU 黑洞：大包丢、小包通
能 ping 通小包但网页打不开、传大文件卡住，典型 MTU 黑洞。用禁止分片的大包逐级缩小测试，定位路径 MTU。
三厂光模块命令总对照：信息与诊断
光模块三段信息：基础（型号/波长）、诊断（收发光/温度）、厂商信息（序列号）。华为/H3C 命令几乎逐字相同。
三厂本地用户与 AAA 总对照
本地用户是管理面最后一道门：华为 local-user、思科 username、H3C local-user class。密钥存储方式与权限模型差异要留意。
三厂 SSH 配置总对照：密钥、服务与登录
SSH 上线四件套：服务开启、密钥生成、用户/认证、VTY 放行协议。三厂命令结构对照，缺一不可。
三厂生成树配置总对照：模式与根桥
STP 三件事：模式（MSTP/RSTP）、开关、根桥指定。三厂命令名 stp / spanning-tree 对照，根桥指定 root primary/secondary。
光模块劣化定位：收发光功率与告警
链路时断时续、误码增长时先看光模块 DDM 数据：收光功率接近门限下限是最常见的劣化信号，对调模块是最快的二分法。
traceroute 判读：星号节点不等于故障点
中间节点不回 ICMP 超时是常态（核心设备策略）。判断断点要看“从哪一跳开始连续星号且后续也不通”，而不是单看某一跳。
协议报文冲击 CPU：CP-CAR 与 CoPP 统计
CPU 被协议报文打高时，先看 CPU 防攻击（CP-CAR/CoPP）统计：哪一个协议被限速丢弃最多，往往就是攻击面或配置错误的协议。
生成树异常：根桥位置与阻塞口判读
收敛慢、时通时断先查根桥在哪：根桥漂到接入层会导致流量绕行全楼。三厂命令结构几乎一一对应。
ACL 方向排查：inbound 与 outbound 的视角
ACL 角度看的是“报文进入接口”还是“离开接口”。同一条 ACL 挂 inbound 能拦的流量，挂 outbound 可能完全拦不到。
业务访问慢：三步切片定位
慢是模糊描述，先切片：长 ping 看网络时延/丢包，再看接口错包，最后才怀疑服务器。把慢量化成时延与丢包数字再谈优化。
OSPF 邻居不建立：从 Hello 到区域逐项查
OSPF 邻居卡在 Init/ExStart/穷举，常见原因：区域号/Hello 参数不匹配、MTU 不一致、认证失败、接口被 ACL 拦。
三厂版本与序列号信息总对照
报修、授权、升级方案的必查信息：版本与序列号。思科 show inventory、华为 display esn/device manuinfo、H3C display device manuinfo。
三厂风暴抑制与环路检测总对照
风暴抑制配置名：华为/思科 storm-control、H3C storm-constrain（拼写差异最坑）；环路检测：华为 loop-detection、H3C loopback-detection、思科靠 STP 体系。
三厂 NTP 总对照：客户端与服务端
时间同步是日志与故障定时的地基。华为/H3C 是 ntp-service 前缀，思科是 ntp 直接命令；客户端配置一行搞定。
三厂 Syslog 外送总对照
日志外送到 syslog 服务器：华为/H3C 走 info-center loghost，思科走 logging host + trap 级别。级别命名一致（informational/warning 等）。
三厂流量镜像总对照
抓包/流量分析前置配置：华为 observe-port + port-mirroring、思科 monitor session、H3C mirroring-group。速查表形式记住两两对应。
华为内存查看：display memory-usage
内存排查看两项：总量使用率与 slab/堆的分布；显示“used%”持续走高再做下钻。
ARP 表项异常：Incomplete 与学习失败
大量 Incomplete 表项说明 ARP 请求发出但没有应答：可能对端关机、被防火墙丢弃、或被代理网段缺路由。
选路异常：优先级与度量值对比
同一目的有两条路由却走了“错”的一条，多半是优先级（AD）或度量值比较问题。用 verbose 输出看清每条的来源与属性。
华为设备抓包：capture-packet 直接抓
华为 VRP 部分平台自带 capture-packet，可直接在设备上带 ACL 过滤抓包并输出到终端或文件，适合快速定位。
单通排查：A 通 B 不通的三件套
单通常见根因就三样：ACL 只放了一个方向、来回路径不对称、状态防火墙没有回程会话。按顺序查，别乱猜。
风暴抑制状态与风暴源定位
怀疑广播/组播风暴时，先看抑制功能是否触发与触发口，再看谁的速率最高——抑制阈值本身也可能造成业务异常的误伤。
802.1X/登录认证失败：AAA 与 RADIUS 排查
认证失败先分三段：到服务器通不通（可达+端口）、密钥对不对（共享密钥）、域与模板对不对。别一上来就 debug。
管理面连不上：服务、端口、会话三段查
SSH/Telnet 连不上按三段查：服务开没开、TCP 端口起没起、VTY 是否占满或被 ACL 拦。三厂命令一一对应。
IP 地址冲突排查：ARP 表与日志证据
IP 冲突的表现是时通时断、ARP 表项在两端之间跳。三厂都能从 ARP 表 + 日志里找到冲突证据。
BGP 邻居不 Established：状态机逐级判读
BGP 卡 Active/Connect 多为 TCP 179 不通；卡 OpenSent/OpenConfirm 多为版本、Router-ID 冲突或认证问题。先看状态再对症。
配置丢失：重启后配置没了的原因
重启后配置丢失三原因：变更后没保存、启动配置文件指错、flash 文件损坏。诊断从检查启动配置指向的命令开始。
三厂接口限速总对照：qos lr 与 police
接口简单限速：华为/H3C 都是 qos lr（line rate），思科用 policy-map + police 组合。单位换算（kbps）三厂一致好记。
三厂 IPv6 地址配置总对照
IPv6 地址写法差异：思科用 /64 前缀长度，华为/H3C 用空格分隔的 64。查看命令 display/show ipv6 interface brief 三厂对应。
三厂 SNMP 总对照：团体字与 Trap 目标
SNMPv2c 三个要素：团体字（读/写）、版本、Trap 目标。思科一条 snmp-server host 搞定 Trap，华为/H3C 的 target-host 参数更长。
三厂文件系统操作总对照：查看、拷贝、删除
镜像与配置文件管理离不开文件系统命令：dir 看文件、copy/tftp 传输、delete 清理。思科老平台删除后需要 squeeze 回收空间。
H3C CPU 查看：display cpu-usage 与进程排行
Comware 同样是 display cpu-usage 打底，进程级用 display process cpu；与华为对照记忆最省脑力。
硬件告警查看：当前活动告警一览
电源、风扇、温度、单板异常都会产生硬件告警。三厂都有主动告警查询命令，报障前先看有没有活动告警。
指定源地址 ping：排除源接口选错
不指定源时设备用出接口地址作源，可能命中不同路由/ACL，出现“设备 ping 通、用户 ping 不通”。指定源就是手选测试视角。
思科 SPAN 与 EPC：本地镜像抓包
思科本地抓包两条路：传统 SPAN 把流量镜像到抓包机，或 EPC（Embedded Packet Capture）在设备内录包导出 pcap。
环路组合判据：MAC 漂移 + 风暴 + CPU 三看
二层环路不做单点判断，用三个信号交叉确认：MAC 反复漂移、广播速率异常、CPU 被协议栈拉高。三厂各有环路检测功能，名字不同。
管理面被 ACL 锁死：自救与预防
把 VTY 管理 ACL 配错把自己挡在外面是最经典的自锁。自救只能走 Console；预防靠变更前先加一条放行自身网段的规则。
掩码与网关错配：同网段通、跨网段不通
能 ping 通同网段、跨网段全不通，先怀疑掩码或网关。核对接口 IP 与掩码、终端网关指向，比查路由更优先。
路由震荡：日志与统计双确认
路由表项反复出现消失（flap），业务随之抖动。用路由统计 + 日志时间线确认震荡频率与来源协议，再查物理链路与协议报错。
限速不生效：策略应用记录排查
QoS 不生效三个检查点：策略是否应用在正确接口/方向、分类是否命中、是否为流分类丢包而非限速。华为的应用记录命令最直观。
GRE/IPsec 隧道不通：接口、路由与 SA 三查
隧道不通先看 tunnel 接口状态（up 需要源地址可达），再看隧道走的路由，最后看 IPsec SA 是否建立。三层不通时先别碰加密配置。
DHCP Snooping 误拦：终端拿不到地址
开了 DHCP Snooping 后终端反而拿不到 IP：多半是上行口没配 trust，或非信任口收到了 DHCP 应答被丢。
思科内存排查：show memory 与进程排行
思科内存分 Processor 与 I/O 两池：先看总量与空闲，再按进程内存排序找异常增长者。
风扇与电源故障定位：display fan / power
风扇或电源单点故障时设备通常仍能转发，但散热/冗余降级，属于必须尽快处理的隐患。
H3C 镜像组：mirroring-group 抓包方案
Comware 用 mirroring-group 做本地镜像：先建组，再定义被镜像口与观察口，最后 display 验证生效。
Console 无输出：从线缆到引导菜单的排查
Console 黑屏八成是线缆/转换器问题，其次才是设备。先核对串口参数，再无输出再考虑引导层面（BootROM/ROMMON）。
策略路由不生效：命中与下一跳两查
PBR 不生效两步查：报文是否被策略命中（ACL/匹配条件）、命中的下一跳是否可达。命中了但下一跳不可达，报文会被丢弃或回落默认路由。
IPv6 邻居不通：地址与 ND 状态检查
IPv6 排障先看接口是否拿到地址、邻居是否可达（ND 替代 ARP）。链路本地地址连通不代表全局地址通，注意作用域。
组播不通：从组员到 RP 的链路排查
组播排查看三段：终端是否加入组（IGMP）、组播路由表有没有表项（PIM/组播路由）、RPF 检查是否通过。RPF 是最容易被忽略的失败点。
PPPoE 拨号失败：从会话到认证排查
出口 PPPoE 拨号失败先看会话状态（是否建立），再看认证阶段（账号/密码/域），最后查线路（光衰/局端）。
设备意外重启：重启原因怎么查
设备无故重启先固化证据：uptime 反推重启时刻，再翻重启前后日志。思科 show version 直接给上次重启原因，华为/H3C 部分平台另有专门命令。
802.1X 认证失败：端口状态与用户记录
终端插上不打不开网、认证一直失败？看端口 dot1x 状态、在线用户记录与服务器交互统计，三处对不上就是问题点。
H3C 内存查看：display memory 与进程分布
Comware 用 display memory 看整体，display process memory 看进程；堆叠多成员时注意指定成员槽位。
温度异常排查：display temperature / show environment
温度传感器读数持续接近告警阈值时，设备可能降频甚至保护性关机。先确认是环境问题还是散热问题。
网线线序测试：virtual-cable-test / TDR
怀疑网线断芯、水晶头接触不良时，支持 TDR 的端口可直接测长度与线对状态，比换线盲测快得多。
引导恢复：BootROM/ROMMON/BootWare 进不去系统的处理
系统文件损坏/升级失败导致设备无法引导时，从引导菜单（BootROM/ROMMON/BootWare）用 TFTP 重新下载系统文件恢复。
特性用不了？先查授权与特性许可
部分特性（高级路由、安全功能）需要正式授权。命令配置全对但功能不生效时，查 license 状态往往一击命中。