最近群里不少兄弟在问华为三层交换机的配置，刚好我手头有点实战经验，今天就跟大伙儿聊聊这块。咱们搞弱电的，交换机配置是家常便饭，但新手容易卡在VLAN划分、端口限速这些地方，别急，我一步步讲清楚。
先说VLAN划分。VLAN就是虚拟局域网，相当于把一台交换机切成几个独立的小网络，互不干扰。比如VLAN 10就是个编号，跟IP地址没直接关系——你完全可以把VLAN 10的网关设成192.168.66.1，没人规定必须跟编号一样。下面拿华为设备举例，把第20个千兆口划进VLAN 10：
先打sys进系统视图，然后加个VLAN 10：vlan 10，退出来。接着给这VLAN配个IP，用作网关：int vlanif 10，再ip address 192.168.66.66 255.255.255.0。注意，华为的VLANIF接口就是三层口，配了IP才能跨VLAN通信。然后设置端口模式，默认是Trunk，得改成Access才能接电脑：int g0/0/20，敲port link-type access。最后把端口加进VLAN 10：在VLAN视图下打port g0/0/20。完事用网线连电脑，IP设成192.168.66.X，网关指向66.66，ping一下通了就对了。
【实战经验】 我头一回配VLAN时，老把端口模式忘了改，结果电脑死活不通。后来养成了习惯：划端口前先敲display this看看当前模式，省得返工。还有，新手容易在VLANIF里配错掩码，比如写成255.255.255.0，但实际网段是192.168.66.0/24，别搞混了。建议配完马上测一下，省得后期排查瞎折腾。
再说删除VLAN。这坑我踩过好几回。删VLAN分两步：先删三层口，用undo int vlan 2，这步只是把VLAN的IP抹掉，端口还挂着呢。要彻底释放端口，再敲undo vlan 2，这步才把VLAN本身删掉，端口变成自由身。但注意，如果端口是Access模式且已加入VLAN，想改成Trunk，直接敲port link-type trunk会报错“Please renew the default configurations”。得先让端口脱离VLAN——也就是用undo port把它踢出来，才能改模式。我吃过这亏，后来都先清干净再动手。
接下来是端口限速。比如限制第2个口下载速度不超过128KB/s，命令是：int g0/0/2，然后qos lr outbound cir 1024 cbs 204800。这里1024是1M带宽（理论下载128KB/s），cbs是突发大小，设成1024×200。实测下来，限速效果比路由器靠谱，稳定后基本在128KB/s上下，但起始瞬间会飙高，因为交换机检测流量需要时间。取消限速用undo qos lr outbound。
【省钱技巧】 限速这招在监控项目里特实用。比如摄像头带宽占太多，又不想换交换机，用qos限一下端口，效果立竿见影。但注意别限太狠，否则视频会卡。我一般设成2M（cir 2048），够1080P流畅。还有，限速只对出方向生效，入方向得用inbound参数，但一般下载是出方向，别搞反了。
配置DHCP服务器，基于地址池的。先全局开启：dhcp enable。然后建地址池：ip pool 10，指定网段network 192.168.10.0 mask 255.255.255.0，设DNSdns-list 202.103.24.68，网关gateway-list 192.168.10.1，租期lease day 10。接着把端口加进VLAN 10，再配VLANIF10：int vlan 10，ip add 192.168.10.1 24，最后dhcp select global让客户端从全局池拿地址。用dis ip pool检查配置，电脑上设自动获取IP就能验证。
Telnet远程登录设置。进AAA视图：aaa，建用户local-user tcwq password cipher tcwq（密码加密显示），设服务类型service-type telnet，权限级别privilege level 3。然后配虚拟终端：user-interface vty 0 4，认证模式authentication-mode aaa。完事在电脑CMD里telnet网关就行。注意，如果提示验证失败，先禁用再启用网卡，我试过管用。
最后是FTP服务器。开启FTP服务：ftp server enable。进AAA，建用户local-user tcwq password simple tcwq，服务类型service-type ftp，指定目录ftp-directory flash:/。这样就能用FTP客户端上传下载交换机文件了，比如升级固件或备份配置。
【踩过的坑】 有次帮客户配FTP，怎么都连不上，查半天发现是防火墙没放行21端口。华为设备默认安全策略严格，得在接口视图下敲undo firewall packet-filter或者配ACL放行。还有，FTP目录别设成根目录flash:/，容易误删系统文件。建议建个子文件夹，比如mkdir backup，然后指定ftp-directory flash:/backup，安全又省心。
