交换机上架通电、接上 Console 线、敲几行 interface range 就算“部署完成”，这是绝大多数故障的温床。运维不嫌配置麻烦，就嫌排查“明明通了，为什么又断了”麻烦。以下四个基础项若没落地，迟早要在半夜爬机柜。
一、管理 VLAN：别让带外管理变“带内单点”
把管理口（或 Vlanif 1）直接扔进业务 VLAN，或者全网设备共用一个管理 VLAN 且未做 ACL，是典型的“图省事”。一旦业务广播风暴或二层环路炸裂，管理平面随之失联，SSH 全挂，只能走 Console。
- 物理隔离优先： 条件允许必须走独立管理网口（MGMT/OOB），走独立交换机上联防火墙/堡垒机。
- 逻辑隔离次之： 必须用业务端口做管理时，建立专用
Vlan 100 (MGMT)，仅 在核心/汇聚层做三层网关，接入层不配置 IP，禁止跨 VLAN 漫游。 - ACL 落地： 入向只许堡垒机/监控平台网段（如
10.255.0.0/24）访问TCP 22/443/161，其余deny ip any any log。
示例：核心交换机interface Vlanif 100配置ip address 10.255.0.1/24，下挂接入交换机interface Vlanif 100不配 IP，仅management-vlan 100，网关指向核心。接入层设备管理流量强制走 Tagged VLAN 100 上联，不占用业务 VLAN 资源。
二、端口描述：别让 show interface description 变“盲文”
Port 1: To Server、Port 24: Uplink 这种描述在 48 口满配、跨机柜跳线时毫无价值。标准化描述应包含对端设备名、对端端口、业务归属、跳线标签号四要素。
- 命名规范：
[Local_Port] -> [Remote_Device]_[Remote_Port] | [Biz_Tag] | [Patch_Label] - 示例：
Gi1/0/1 -> LSW-Access-03_Gi1/0/49 | VLAN100_Web | LB-03-A-07 - 自动化落地：Ansible/NetBox 入库时强制校验
description正则，不合规直接shutdown报警。
排查“哪根光纤去哪了”从 30 分钟缩短到 30 秒，省下的工时够买十根 LC 跳线。
三、生成树：默认配置就是“隐形炸弹”
全网跑默认 PVST+/MSTP、优先级 32768、无 Root Guard、无 BPDU Guard，新接入一台误插环路的瘦 AP 或未授权小交换机，整个二层域收敛 30 秒+，业务全挂。
- 指定根桥： 核心
spanning-tree priority 0（实例 0），汇聚4096，接入61440。禁止非核心设备成为根。 - 边缘端口加速： 所有下联服务器/AP/终端端口
spanning-tree portfast+bpduguard enable。收到 BPDU 直接error-disable，防私接交换机。 - 上联保护： 汇聚/核心互联端口
spanning-tree guard root，防止接入层配置错误抢根导致拓扑翻转。 - 实例映射： MSTP 场景下，
instance 1 vlan 10-100、instance 2 vlan 101-200，负载分担的同时缩小故障域。
验收动作：核心执行show spanning-tree detail | include Root|Bridge|Port，确认根桥 MAC 为核心设备，边缘端口状态为P2P Edge，无非预期的Designated角色出现在接入层上联口。
四、配置备份：没有“昨天的配置”就没有“明天的恢复”
只靠 write memory 存在 Flash 里，设备一旦物理损坏或误 erase startup-config，重配耗时按小时计。备份必须满足“自动、异地、版本、可验证”。
- 触发机制： 定时任务（每日 02:00）+ 事件触发（
config-changesyslog 触发即时推送）。 - 存储路径： SFTP/SCP 推送至异地备份服务器（非同机房），目录按
/backup/switches/YYYY-MM-DD/hostname.cfg归档。 - 版本保留： 保留最近 30 份每日全量 + 最近 100 份增量变更，Git 管理差异对比。
- 完整性校验： 备份脚本末尾执行
show running-config | sha256sum与远端文件比对，不一致告警。 - 演练闭环： 季度随机抽取 3 台设备，在隔离实验网用备份文件
configure replace flash:backup.cfg force验证可启动性。
可执行检查清单（下次巡检直接带走）
| 检查项 | 合格标准 | 排查命令 |
|---|---|---|
| 管理 VLAN 隔离 | 独立 VLAN/接口 + ACL 仅放行堡垒机网段 | show run | sec vlan 100 / show access-lists |
| 端口描述规范 | 100% 端口含对端设备/端口/业务/标签 | show interfaces description | exclude down |
| 根桥固化 | 核心 Priority 0，其余递增 4096 | show spanning-tree summary |
| 边缘 BPDU Guard | 所有下联启用 Portfast + BPDU Guard | show spanning-tree interface Gi1/0/1 detail |
| 备份近 24h 存在 | 异地服务器有当日文件且 SHA250 一致 | 备份服务器 ls -l /backup/switches/$(date +%F)/ |
| 恢复演练记录 | 最近 90 天有演练日志且签名 | 运维平台/工单系统查阅 |
把这七行表格贴在机柜侧板，下次割接前核对一次，少发一张工单、少熬一个通宵。
本文由 南方数据技术博客编辑整理，涉及具体环境时请以官方文档与实际配置为准。