简介面向网络管理员与IT运维人员的华为交换机配置备份与恢复实战指南重点解决设备故障、升级或迁移时配置文件的安全保存与快速恢复问题。资源包为1个docx文档体积约22KB内容紧凑覆盖备份、恢复两大环节的完整操作路径。目前已有2577人学习下载。文中系统介绍了屏幕拷贝、Flash内备份、通过FTP/TFTP/FTPS/SFTP/SCP协议传输、命令行备份以及实时自动备份当前配置等多种方式详细演示了设备作为FTP服务器时的用户与权限配置、客户端binary模式传输、文件大小校验等步骤恢复部分则说明了通过FTP上传配置后使用startup saved-configuration指定启动文件并reboot重启使配置生效的要点。同时提醒在实际生产环境操作前先在测试环境演练并优先选择SFTP/SCP等安全协议保障数据传输是一份兼顾操作细节与安全意识的实用手册。1. 华为交换机配置备份先把“后悔药”备好再谈业务连续性网络设备最怕的不是硬件损坏而是硬件损坏后配置跟着一起消失。华为交换机的配置备份与恢复本质上就是给设备上的运行配置做快照然后把快照存到设备 flash、FTP 服务器或维护终端上。很多网络管理员第一次接触这批命令是在割接或者设备返修的紧要关头上手就直接敲 save 和 reboot结果因为备份文件缺失、协议没开、文件名后缀不对把一次简单恢复硬生生变成故障演练。这篇文章从实际运维角度拆解华为交换机配置备份与恢复的完整路径覆盖屏幕拷贝、flash 存储、FTP/SFTP 传输、命令行备份和实时备份适合网络管理员、IT 运维人员以及所有需要维护华为交换机的技术人员。先把备份通道建立好再谈业务连续性顺序不能反。2. 五种备份路径对比从屏幕拷贝到实时自动备份边界在哪2.1 直接屏幕拷贝与 flash 本地备份最轻量的兜底动作华为交换机上最直接的配置备份方式是执行 display current-configuration 命令把设备当前的运行配置全部输出到终端然后手动复制到 TXT 文件里保存。这种方式的适用场景非常有限适合配置量不大、临时需要留存一份配置快照的情况。HUAWEI display current-configuration执行这条命令后终端会刷出几百行甚至上千行的配置文本。常见做法是右键选择“全选”再复制或者用 SecureCRT、Xshell 的日志记录功能把输出直接存到本地文件。这个操作不需要在设备上开启任何服务也不会影响业务转发风险最小。但它的边界也很明显一是输出内容依赖终端缓冲配置过长时可能截断需要分段执行 display current-configuration | include 或配合分页参数二是设备崩溃后这份手工拷贝的配置缺少设备上的一些动态生成的默认参数恢复时可能要手工补。所以屏幕拷贝只适合作为应急留存不能当唯一备份手段。真正在设备本地建立备份的常规操作是通过 save 命令保存配置到 flash再用 copy 命令复制一份副本。具体命令是HUAWEI save config.cfg HUAWEI copy config.cfg backup.cfgsave 命令会把当前运行配置保存为 config.cfg 文件默认保存在 flash 根目录。如果 flash 里已经有同名文件系统会提示是否覆盖输入 Y 确认。copy 命令将 config.cfg 复制一份为 backup.cfg这样就形成了“当前生效配置 历史备份”的双副本结构。我一般会建议把 backup.cfg 再复制到设备 flash 的 backup 目录下比如 copy config.cfg flash:/backup/config-20250101.cfg避免在根目录堆积大量文件也防止误操作覆盖。这两条命令是整篇备份体系里最基础、最不容易出错的组合但它解决不了“设备整机损坏、flash 物理失效”这类极端情况。flash 里的文件跟着设备一起没了备份也就失去了意义。所以更可靠的备份方案必须把配置文件传出场外也就是下面要说的 FTP/SFTP 等文件传输协议。2.2 configuration copy startup to file启动配置的定点快照除了把运行配置保存成普通文件华为交换机还提供了一条更语义化的备份命令configuration copy startup to file。这条命令做的事情是直接把启动配置文件复制到指定的文件适合在做配置变更前先留一个可回滚的启动配置快照。HUAWEI system-view [HUAWEI] configuration copy startup to file pre-upgrade.cfg执行这条命令时系统会把当前 startup 配置复制为 pre-upgrade.cfg。这里有两个规则需要特别注意指定的目的文件必须以 .cfg 或 .zip 作为扩展名而且后缀必须与被备份文件的后缀一致。也就是说如果当前启动配置文件是 config.cfg那么目的文件也必须是 .cfg不能写成 pre-upgrade.zip 或 pre-upgrade.bak。如果存在同名文件系统会询问是否覆盖输入 Y 覆盖输入 N 取消。这条命令和 save 命令的差别在语义上save 是把当前运行配置写入启动配置会改变下次重启加载的配置而 configuration copy startup to file 只是做复制不会动当前生效配置。在做版本升级、割接、批量修改端口配置之前先执行这条命令留一个启动配置快照比手动复制文件更不容易出错。缺点在于它备份的是启动配置文件如果当前运行配置还没 save那这个快照里就没有最近改动的内容。所以执行顺序应该是先 save再做 configuration copy startup to file两个动作配合才能保证快照里包含最新的配置变更。2.3 实时备份与双备份机制2 小时后自动落盘的玄学华为交换机还有一个容易被忽略的自动备份机制叫“配置变更后实时备份”。系统默认使能了备份运行配置到本地的功能当配置发生变化 2 小时后设备会自动把当前运行配置备份到本地。这个机制听起来很理想实际使用时需要理解它的触发逻辑。HUAWEI system-view [HUAWEI] undo configuration backup local disableundo configuration backup local disable 命令是恢复缺省行为也就是确保自动备份功能处于打开状态。缺省情况下这个功能是打开的但如果之前有人执行过 configuration backup local disable自动备份就会被关闭。恢复功能后设备会在配置变更满 2 小时后自动生成备份文件文件名通常带有时间戳。这个备份机制的特点是“延迟触发”不是配置一改就立刻备份所以它只能作为补充手段不能依赖它来保证每一次变更都有即时快照。我一般会把它当成一个“低成本兜底策略”即使忘了手工备份2 小时后系统也会自动留下一份可用的配置副本。五条备份路径放在一起看各有各的适用场景。屏幕拷贝适合临时留存flash 本地复制适合日常维护configuration copy startup to file 适合变更前快照实时备份适合长期自动兜底FTP/SFTP 传输适合把配置文件送出场外。对生产环境来说至少要有两条路径同时生效一条场内一条场外。备份方式存储位置自动化程度典型场景局限性display current-configuration 屏幕拷贝维护终端手动临时留存、配置量小易截断、无动态参数save copy flash 备份设备 flash手动日常维护、变更前设备损坏后失效configuration copy startup to file设备 flash手动版本升级、割接前需先 save 才包含最新变更FTP/SFTP/SCP 传输远端服务器手动/脚本定期备份、集中管理需开启文件传输服务有安全风险configuration backup local 实时备份设备本地自动长期兜底延迟 2 小时非即时3. 搭建 FTP/SFTP 备份通道认证、目录与传输参数逐个说清3.1 设备侧开启 FTP server源接口、AAA 用户与权限联动把配置文件备份到远端服务器最常见的做法是把设备配置成 FTP 服务器然后从维护终端发起连接下载文件。华为交换机开启 FTP 服务需要三个层面的配置联动源接口、服务开关、AAA 用户。缺一个FTP 连接都可能建立不起来。HUAWEI system-view [HUAWEI] ftp server-source -i MEth 0/0/1 [HUAWEI] ftp server enable [HUAWEI] aaa [HUAWEI-aaa] local-user huawei password irreversible-cipher Helloworld6789 [HUAWEI-aaa] local-user huawei ftp-directory flash: [HUAWEI-aaa] local-user huawei service-type ftp [HUAWEI-aaa] local-user huawei privilege level 15ftp server-source -i 指定 FTP 服务器使用的源接口。大多数盒式交换机有管理网口 MEth 0/0/1直接指定管理口最稳妥管理 IP 也不会因为业务 VLAN 变化而变动。如果没有独立管理口可以配置为设备管理 IP 对应的 VLANIF 接口。这里有一个常见认知误区如果服务器端源地址配置成非管理 IP客户端必须使用这个配置的源地址才能连接服务器用设备上其他 IP 连接会失败。ftp server enable 是总开关执行后会提示 FTP 不是安全协议建议使用 SFTP。这条警告不能直接跳过它提醒的是 FTP 的明文传输特性在不可信网络中传输配置文件和密码本身就有泄露风险。AAA 部分创建了 FTP 用户 huawei密码用 irreversible-cipher 加密保存fttp-directory 限定该用户只能访问 flash: 目录service-type ftp 限定服务类型privilege level 15 给予最高权限。privilege 等级直接决定用户通过 FTP 能否读取配置文件等级过低会导致 get 文件时提示权限不足。3.2 客户端 binary、lcd、get/put三个参数决定备份成败设备侧 FTP 服务开启后维护终端就可以发起 FTP 连接。Windows 自带 FTP 客户端虽然老旧但完成基本备份足够Linux 终端用系统自带的 ftp 命令操作一致。连接阶段的交互如下C:\Documents and Settings\Administrator ftp 10.110.24.254 Connected to 10.110.24.254. 220 FTP service ready. User (10.110.24.254:(none)): huawei 331 Password required for huawei. Password: 230 User logged in.登录成功后关键的三个参数依次敲binary、lcd、get。这三个参数搞错了备份出来的文件多半不能用。ftp binary 200 Type set to I. ftp lcd c:\temp Local directory now C:\temp. ftp get config.cfg backup.cfgbinary 命令把传输模式切换为二进制。配置文件不是纯文本里面包含换行符、不可见字符、文件头信息如果用默认的 ASCII 模式传输文件在传输过程中可能被转换换行符导致备份文件与原始文件大小不一致甚至损坏。lcd 命令切换 FTP 客户端本地目录也就是把下载的文件存到哪里。如果不切换文件会保存在当前用户目录下后期找文件会比较费劲。get 命令从设备下载文件get config.cfg backup.cfg 的含义是从设备获取 config.cfg保存到本地并命名为 backup.cfg。传输完成后需要确认文件大小是否一致。Windows FTP 客户端在传输结束时不会自动提示文件大小需要执行 dir 查看设备端文件大小再对比本地文件属性。如果文件大小相同备份基本成功如果大小不一致需要重新传输。这个校验步骤经常被跳过但跳过它的后果很可能在设备故障恢复时才会暴露到时候备份文件打不开一切归零。3.3 为什么强烈建议换 SFTPFTP 明文传输的边界FTP 的问题在于它把用户名、密码、配置文件内容全部明文传输只要有人在这条链路上抓包配置里的所有密码和网络拓扑就直接暴露。华为交换机的提示已经很明确FTP is not a secure protocol, and it is recommended to use SFTP。生产环境中如果设备支持 SSH建议直接使用 SFTP 替代 FTP。[HUAWEI] sftp server enable开启 SFTP 服务后AAA 用户的 service-type 需要改为 sftp 或同时包含 ftp 和 sftp。客户端侧的操作与 FTP 基本相同Linux 下直接用 sftp 命令连接Windows 下可以用 Xshell 内置的 SFTP 面板或 WinSCP 等工具。SFTP 走 SSH 通道用户名密码加密传输配置文件的完整性由 SSH 的传输校验保证不需要像 FTP 那样手工对比文件大小。代价是 SSH 协商过程比 FTP 稍慢但对配置文件这种 KB 级文件来说差距可以忽略。FTPS、SCP 也是可选的加密传输方案FTPS 是 FTP over SSLSCP 走 SSH 通道复制文件。对绝大多数华为交换机维护场景SFTP 是最顺手的选择设备天然支持客户端工具丰富配置成本低。我个人的习惯是 FTP 只用于内网临时环境或测试环境所有生产环境的配置备份一律走 SFTP 或 SCP。4. 恢复配置文件从上传到 reboot 的完整闭环4.1 FTP 上传与文件校验size 对不上就不要重启恢复配置是备份的逆过程通过 get 下载的文件需要用 put 传回设备。操作路径与备份类似仍然是 binary、lcd、put 三个步骤C:\Documents and Settings\Administrator ftp 10.110.24.254 Connected to 10.110.24.254. 220 FTP service ready. User (10.110.24.254:(none)): huawei 331 Password required for huawei. Password: 230 User logged in. ftp binary 200 Type set to I. ftp lcd c:\temp Local directory now C:\temp. ftp put config.cfg backup.cfgput config.cfg backup.cfg 表示把本地文件 config.cfg 上传到设备保存为 backup.cfg文件存储在用户 ftp-directory 指定的 flash: 目录下。上传完成后在设备上执行 dir 命令查看 flash 目录确认 backup.cfg 存在再对比文件大小。这个步骤是整个恢复流程中最重要的校验点。文件大小不一致的文件即便能加载也可能在运行到某个配置关键字时解析失败导致部分配置丢失。更严重的情况是配置文件损坏导致设备反复重启。我见过一次恢复场景同事从服务器下载配置后没有对比大小就直接传到新设备并 reboot结果设备启动后部分 VLAN 配置丢失排查了半天才发现是 FTP 客户端用 ASCII 模式传输导致文件内容被转换。所以文件大小校验是恢复前不可省略的动作。4.2 startup saved-configuration 指定启动文件后缀一致性规则配置文件上传到设备 flash 后并不会自动成为设备下次启动时加载的配置。设备启动时加载哪个文件由 startup saved-configuration 命令决定。如果上传的配置文件名与设备当前启动配置文件名相同比如设备原来就是用 config.cfg 启动上传的文件也叫 config.cfg那么不需要额外指定。但如果上传的文件名是 backup.cfg就必须先指定HUAWEI startup saved-configuration backup.cfg执行 startup saved-configuration 时系统会检查文件是否存在、是否为合法的配置文件。如果文件名后缀不是 .cfg 或 .zip这条命令会直接报错因为华为交换机的启动配置文件只识别这两种后缀。还有一种容易掉坑的情况上传的文件名后缀与文件内容不匹配比如把 .cfg 的配置文件重命名为 .zip 上传设备在启动加载时会解压失败。所以命名时要保证后缀真实反映文件格式不要为了过限制而乱改后缀。确认启动文件已经指定后执行 display startup 查看当前的启动配置信息确认系统下次启动加载的配置文件确实是我们指定的文件。这一步做完恢复流程的下半段才能开始。4.3 恢复后的验证顺序display startup 与关键业务检查指定完启动配置文件后执行 reboot 命令重启设备HUAWEI reboot Info: The system is comparing the configuration, please wait. Warning: All the configuration will be saved to the configuration file for the next startup: backup.cfg. Continue? [Y/N]: y这里有一个很多人踩过的坑reboot 时如果运行配置和启动配置不一致系统会提示是否保存当前运行配置。如果在恢复场景下误输入 Y当前运行的空配置或默认配置会覆盖我们刚指定的 backup.cfg导致恢复的一切努力白费。正确做法是输入 N不保存当前运行配置让设备按 startup saved-configuration 指定的文件加载。这一点在恢复场景下比任何命令都重要。设备重启完成后验证顺序建议按以下三步走HUAWEI display startup HUAWEI display current-configuration | include sysname HUAWEI display ip interface briefdisplay startup 确认实际加载的配置文件display current-configuration 检查配置是否完整可以先看 sysname、VLAN、接口 IP 等关键特征display ip interface brief 验证三层接口状态。除此以外还要验证业务面跨 VLAN 互通是否正常、关键链路端口是否 up、路由表是否完整。配置加载成功不等于业务恢复成功只有业务流量通过了才算真正恢复完成。5. 配置文件备份与恢复避坑五个典型案例与处理建议5.1 FTP 连接失败但 ping 得通源接口与 AAA 配置脱节现象维护终端能够 ping 通交换机管理 IP但执行 ftp 命令后长时间停在连接阶段最后提示连接超时或被拒绝。原因通常是设备 FTP 服务没有真正开启或者 ftp server-source 指定的源接口与客户端访问的 IP 不在同一接口上。如果设备管理 IP 在 VLANIF 接口上而 ftp server-source 指定的是 MEth 0/0/1客户端访问的是 VLANIF 的 IPFTP 服务不会响应这个 IP 上的连接请求。解决方法是把 ftp server-source 的源接口改为客户端访问 IP 对应的接口或者用管理口 IP 发起 FTP 连接。再检查 aaa 里 local-user 的 service-type 是否包含 ftp密码是否配置正确。这三个位置各看一眼基本能定位问题。5.2 get 下来的文件比设备上的源文件大ASCII 模式惹的祸现象FTP 登录后没有敲 binary直接执行 get下载完成后发现本地文件比设备 flash 里的源文件大出几百字节打开文本发现换行符全部多了一个字符。原因就是 FTP 默认的 ASCII 模式会把配置文件里的 \n 转换为 \r\nWindows 和 Linux 平台的换行符差异在 ASCII 模式下被自动转换。配置文件的解析对换行符敏感这种被“篡改”过的文件恢复到设备上可能导致配置加载不完整。解决方法是传输前必须执行 binary 命令切换为二进制模式后再执行 get/put。我习惯在登录成功后第一件事就敲 binary不管这次要传什么文件避免后边忘了。5.3 startup saved-configuration 提示文件不存在但 dir 里能看到文件现象配置已经上传到 flash 根目录执行 startup saved-configuration backup.cfg 时却提示文件不存在。原因一是文件名写错flash 根目录的文件名大小写敏感设备上显示的是 backup.CFG命令里写的是 backup.cfg就会提示不存在。原因二是文件不在 flash 根目录而是被上传到了 ftp-directory 指定的子目录下但命令里没有写完整路径。解决方法是先用 dir 确认文件名和路径再执行 startup saved-configuration flash:/backup.cfg路径和文件名都写全。华为的命令行支持 Tab 补全输入到一半按 Tab 键可以自动带出文件名建议养成这个习惯。5.4 reboot 后配置没生效设备变成了出厂状态现象恢复配置后重启设备配置没有加载设备以默认配置启动。最可能的原因是 reboot 时系统询问是否保存当前运行配置输入了 Y。恢复场景下运行配置很可能不是我们想要的配置一旦保存就把启动配置覆盖掉了。另一个原因是执行 startup saved-configuration 时指定的文件不对或者设备实际启动顺序中该文件被跳过。解决方法是 reboot 时对 “All the configuration will be saved” 的提示输入 N并在重启前反复确认 display startup 的输出。如果已经误操作覆盖了启动配置只能重新上传配置文件再走一遍恢复流程没有更快的后悔药。5.5 恢复后端口 up 但业务不通忽略端口隔离与链路类型配置现象配置文件加载成功display ip interface brief 显示接口状态正常ping 邻居设备也能通但业务网段之间的互访不通。原因通常是配置文件里的端口隔离、端口安全、QoS 策略等细节没有被注意到或者使用了 display current-configuration 手工拷贝路径恢复时遗漏了部分隐式配置。解决方法是恢复完成后不要只看接口状态至少检查 port isolategroup、port link-type、port default vlan、traffic-filter 这些与转发路径强相关的配置再用业务终端的真实 IP 做端到端验证。这个问题提醒我们恢复配置不等于恢复业务业务验证才是最终标准。6. 用脚本验证备份可恢复性定期做一次“演练式恢复”理论上的备份流程跑通了不代表关键时刻一定能恢复。配置文件的完整性和可恢复性需要定期验证而不是等到设备故障时才第一次尝试。常见做法是把备份验证纳入巡检脚本由脚本自动从设备下载配置然后检查文件大小和关键配置项的数量。import os import re config_path /backup/huawei-switch/config.cfg backup_path /backup/huawei-switch/backup.cfg def check_config(file_path): if not os.path.exists(file_path): return False size os.path.getsize(file_path) if size 1024: return False with open(file_path, r, encodingutf-8, errorsignore) as f: content f.read() checks { sysname: len(re.findall(rsysname, content)) 0, vlan: len(re.findall(r^vlan \d, content, re.M)) 0, interface: len(re.findall(r^interface, content, re.M)) 0, } missing [k for k, v in checks.items() if not v] return {size_ok: size 1024, missing: missing, size: size} for path in [config_path, backup_path]: result check_config(path) if result is False: print(fFAIL: {path} 不存在) elif result.get(missing): print(fFAIL: {path} 缺少关键配置段 {result[missing]}) else: print(fPASS: {path} 大小 {result[size]} 字节关键配置齐全)这段脚本的作用很简单确认备份目录下存在配置文件文件大小超过阈值并且包含 sysname、vlan、interface 等关键配置关键字。它可以定时执行也可以集成到现有的巡检平台里。对比 config.cfg 和 backup.cfg 两份文件的大小差异如果同一设备两个文件的大小相差很大说明某次备份可能发生了截断或转换异常这时候就应该手工拉文件检查。我自己的习惯是每月做一次“演练式恢复”把备份文件传到一台闲置的交换机上指定启动文件后重启然后跑一遍业务连通性测试。整台设备从上传文件到完成验证不超过半小时但这半小时能确保真正用到备份的那一天手里的文件是能用的而不是一份躺了半年从未验证过的空壳。从那以后我每次做备份都会顺手在设备上执行一遍 display startup 确认启动文件指向并在巡检脚本里对比 config.cfg 和 backup.cfg 的大小误差超过预期就直接重新备份。备份这件事难的不是命令而是养成闭环验证的习惯希望这份配置备份与恢复的完整记录能帮到你让你的网络设备也有一份真正能用的“后悔药”。本文还有配套的精品资源点击获取