新设备上架，最烦的不是不会配，而是要从零把一堆命令拼起来：命名、建 VLAN、下联 access、上联 trunk、开 SSH、配 SNMP/NTP/Syslog……漏一个，后面排错能排一下午。工具里的「场景模板库」就是干这个的——选好组网角色，填几个参数，整套开局配置一次生成，五厂商各自按自家语法出。

它怎么工作

选角色这一步决定生成哪些配置块，填参数决定具体内容，最后直接出五家语法。四个角色共享的"地基"是 SSH 和网管三件套，差异只在场景专属那几块——下面把四个角色和它们各自生成的配置块列清楚。

四个场景分别生成什么

场景	典型设备	自动生成的配置块
接入层	接入交换机	①命名 ②业务/管理 VLAN ③管理 VLANIF ④下联 access（端口安全+BPDU Guard+风暴抑制）⑤上联 trunk ⑥SSH ⑦网管三件套
核心层	核心交换机	①命名 ②三层 SVI 网关+VRRP ③下联 trunk ④默认路由 ⑤OSPF ⑥SSH ⑦网管三件套
出口	出口路由器	①命名 ②内网接口 ③外网接口 ④NAT Easy IP ⑤默认路由 ⑥SSH ⑦网管三件套
数据中心	Leaf 交换机	①命名 ②上联 Spine 链路聚合 ③OSPF underlay ④SSH ⑤网管三件套

每个场景的「SSH 远程登录安全」和「网管三件套」逻辑完全一样，区别只在场景专属那几块。下面拿接入层把整套跑一遍，其余场景只讲专属差异。

接入层交换机——完整五厂商对照

参数示例：设备名 SW-ACC-01，业务 VLAN 10,20,30，管理 VLAN 100/IP 192.168.100.10，下联 GE0/0/1-24 划 VLAN 10 并开端口安全，上联 GE0/0/25-26 trunk。

华为接入层

华为一次建齐：vlan batch 一条建四个 VLAN，端口安全、风暴抑制、边缘端口都在接口下逐条敲；storm-control action block 超阈值只丢报文不关接口，业务不断但异常流量也被压住：

system-view
sysname SW-ACC-01
vlan batch 10 20 30 100
interface Vlanif100
 ip address 192.168.100.10 255.255.255.0
 quit
interface range GigabitEthernet0/0/1 to GigabitEthernet0/0/24
 port link-type access
 port default vlan 10
 port-security enable
 port-security max-mac-num 2
 port-security mac-address sticky
 port-security protect-action protect
 storm-control broadcast min-rate 250 max-rate 500
 storm-control action block
 stp edged-port enable
 quit
stp bpdu-protection
interface range GigabitEthernet0/0/25 to GigabitEthernet0/0/26
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 100
 quit

华三接入层

华三与华为同宗但细节不同：广播抑制用 broadcast-suppression pps 500 直接按包速率限，边缘端口 stp edged-port 不带 enable（Comware 版本差异见坑段），端口安全 sticky 的写法也多一层：

system-view
sysname SW-ACC-01
vlan 10 20 30 100
interface Vlan-interface100
 ip address 192.168.100.10 255.255.255.0
 quit
interface range GigabitEthernet0/0/1 to GigabitEthernet0/0/24
 port link-type access
 port access vlan 10
 port-security enable
 port-security max-mac-count 2
 port-security port-mode autolearn
 port-security mac-address security sticky
 broadcast-suppression pps 500
 stp edged-port
 quit
stp bpdu-protection
interface range GigabitEthernet0/0/25 to GigabitEthernet0/0/26
 port link-type trunk
 port trunk permit vlan 10 20 30 100
 quit

锐捷接入层

锐捷是 IOS 风格，bpduguard/portfast 直接在接口下开；注意它的风暴控制 action shutdown 超阈值直接 shutdown 接口，比华为的 block 狠——下联口终端异常时是"断这个口"而不是"丢这个包"：

configure terminal
hostname SW-ACC-01
vlan range 10,20,30,100
interface vlan 100
 ip address 192.168.100.10 255.255.255.0
 exit
interface range GigabitEthernet 0/0/1 - GigabitEthernet 0/0/24
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation protect
 storm-control broadcast pps 500
 storm-control action shutdown
 spanning-tree bpduguard enable
 spanning-tree portfast
 exit
interface range GigabitEthernet 0/0/25 - GigabitEthernet 0/0/26
 switchport mode trunk
 switchport trunk allowed vlan add 10,20,30,100
 exit

迈普接入层

迈普骨架同锐捷，但关键字自有写法：sticky 学 MAC 叫 permit mac-address sticky，trunk 放行必须带 add（不带会覆盖已有放行列表，坑段细讲）：

configure terminal
hostname SW-ACC-01
vlan 10,20,30,100
interface vlan 100
 ip address 192.168.100.10 255.255.255.0
 exit
interface range gigabitethernet 0/0/1 - gigabitethernet 0/0/24
 switchport mode access
 switchport access vlan 10
 port-security enable
 port-security maximum 2
 port-security permit mac-address sticky
 port-security violation protect
 storm-control broadcast pps 500
 storm-control action shutdown
 spanning-tree portfast bpduguard
 exit
interface range gigabitethernet 0/0/25 - gigabitethernet 0/0/26
 switchport mode trunk
 switchport trunk allowed vlan add 10,20,30,100
 exit

思科接入层

思科标准 IOS：VLAN 只能一个个建（没有 batch/range 简写），其余与锐捷几乎同款——这也正是拿锐捷配置直接抄给思科最容易翻车的地方，switchport trunk allowed vlan 就差一个 add 字：

configure terminal
hostname SW-ACC-01
vlan 10
 exit
vlan 20
 exit
vlan 30
 exit
vlan 100
 exit
interface vlan 100
 ip address 192.168.100.10 255.255.255.0
 exit
interface range GigabitEthernet0/0/1 - GigabitEthernet0/0/24
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation protect
 storm-control broadcast pps 500
 storm-control action shutdown
 spanning-tree bpduguard enable
 spanning-tree portfast
 exit
interface range GigabitEthernet0/0/25 - GigabitEthernet0/0/26
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,100
 exit

开局配完怎么验证

# 华为 / 华三
display vlan
display ssh server status
display ntp-service status
# VLAN 列表要包含业务/管理 VLAN，SSH 服务 enable，NTP 状态 synchronized

# 锐捷 / 迈普 / 思科
show vlan brief
show port-security address
show ssh
show ntp status
# access 口应显示 sticky MAC 已学到、VLAN 10 在列

验证顺序有讲究：先看 VLAN 和接口状态（没放行一切白搭），再确认端口安全 sticky 学到了终端 MAC（没学到说明下联口模式或接口选错），最后从管理 VLAN 用 SSH 登一次确认远程可达。NTP 没同步先查可达性和时钟源指定，Syslog 发没发出去看网管平台的接收记录。

回退：如果哪块配错导致管理面失联，Console 口是最后手段——所以开局配置里 Console 认证这一块建议保留默认提示，别急着简化。

另外三个场景的「专属块」差异

接入层看完了，核心层、出口、数据中心的区别只在下面这些场景专属命令（SSH 与网管三件套五家写法完全一致，不复贴）。

核心层——三层 SVI 网关 + VRRP（VLAN 10、VIP 192.168.10.254、优先级 120）

• 华为/华三：interface Vlanif10 / Vlan-interface10 → vrrp vrid 1 virtual-ip 192.168.10.254 → vrrp vrid 1 priority 120
• 锐捷/迈普/思科：interface vlan 10 → vrrp 1 ip 192.168.10.254 → vrrp 1 priority 120

出口——NAT Easy IP 上网（内网 192.168.0.0/24 走外网口出公网）

• 华为：interface <出接口> 下 nat enable，再进 nat-policy → rule → action source-nat easy-ip
• 华三：acl 2000 + 出接口 nat outbound 2000
• 锐捷/迈普/思科：ip nat inside/outside + ip nat inside source list 2000 interface <出接口> overload

数据中心——上联 Spine 链路聚合（聚合组 1，成员 GE0/0/1-2，LACP）

• 华为 Eth-Trunk 1 / 华三 Bridge-Aggregation 1 / 锐捷 AggregatePort 1 / 思科 port-channel 1 / 迈普 link-aggregation 1

什么时候用场景库、什么时候手配

• 用场景库：标准开局（接入/核心/出口/DC 模板化开局）、批量上同类设备、新人快速出基线。
• 手配：已有复杂现网、需要和旧配置 merge、或非标组网（特殊策略、跨域 MPLS 等）。

容易踩的坑

1. 迈普 trunk 必须带 add：switchport trunk allowed vlan add 10,20,30，不带 add 会覆盖已放行 VLAN，别照抄华为/华三的 allow-pass/permit。
2. 华三边缘端口写法看机型：Comware 7 用 stp edged-port（无 enable），老 Comware 5/6 才用 stp edged-port enable，上机前核对版本。
3. 华为 NAT 走 nat-policy：不是接口直接敲 nat outbound，要先建 nat-policy 规则再 action source-nat easy-ip，这是校准过的写法。

说明

场景模板库生成的命令，均复用各单模块的已校准逻辑（VLAN、端口安全、VRRP、OSPF、NAT、链路聚合、SSH、网管三件套），五厂商语法与单模块篇一致。场景库只出配置文本，落机前请以设备手册/上机核对为准，尤其是华三 Comware 版本差异与迈普多系列差异。

工具获取

专业版 v2.6.7：https://download.csdn.net/download/qq_42614669/93155107

专业版 v2.6.5：https://download.csdn.net/download/qq_42614669/93711818

评论区回复"路由交换命令生成器"免费下载

下一篇账号与登录配置——本地用户、AAA、Console、SSH/Telnet 开关一键出，别再被 Telnet 明文和弱口令坑。