华为交换机配置备份与恢复：从FTP到SFTP的运维避坑指南

简介：面向网络管理员与IT运维人员的华为交换机配置备份与恢复实战指南，重点解决设备故障、升级或迁移时配置文件的安全保存与快速恢复问题。资源包为1个docx文档，体积约22KB，内容紧凑，覆盖备份、恢复两大环节的完整操作路径。目前已有2577人学习下载。文中系统介绍了屏幕拷贝、Flash内备份、通过FTP/TFTP/FTPS/SFTP/SCP协议传输、命令行备份以及实时自动备份当前配置等多种方式，详细演示了设备作为FTP服务器时的用户与权限配置、客户端binary模式传输、文件大小校验等步骤；恢复部分则说明了通过FTP上传配置后，使用startup saved-configuration指定启动文件并reboot重启使配置生效的要点。同时提醒在实际生产环境操作前先在测试环境演练，并优先选择SFTP/SCP等安全协议保障数据传输，是一份兼顾操作细节与安全意识的实用手册。

1. 华为交换机配置备份：先把“后悔药”备好，再谈业务连续性

网络设备最怕的不是硬件损坏，而是硬件损坏后配置跟着一起消失。华为交换机的配置备份与恢复，本质上就是给设备上的运行配置做快照，然后把快照存到设备 flash、FTP 服务器或维护终端上。很多网络管理员第一次接触这批命令是在割接或者设备返修的紧要关头，上手就直接敲 save 和 reboot，结果因为备份文件缺失、协议没开、文件名后缀不对，把一次简单恢复硬生生变成故障演练。这篇文章从实际运维角度拆解华为交换机配置备份与恢复的完整路径，覆盖屏幕拷贝、flash 存储、FTP/SFTP 传输、命令行备份和实时备份，适合网络管理员、IT 运维人员以及所有需要维护华为交换机的技术人员。先把备份通道建立好，再谈业务连续性，顺序不能反。

2. 五种备份路径对比：从屏幕拷贝到实时自动备份，边界在哪

2.1 直接屏幕拷贝与 flash 本地备份：最轻量的兜底动作

华为交换机上最直接的配置备份方式是执行 display current-configuration 命令，把设备当前的运行配置全部输出到终端，然后手动复制到 TXT 文件里保存。这种方式的适用场景非常有限，适合配置量不大、临时需要留存一份配置快照的情况。

<HUAWEI> display current-configuration

执行这条命令后，终端会刷出几百行甚至上千行的配置文本。常见做法是右键选择“全选”再复制，或者用 SecureCRT、Xshell 的日志记录功能把输出直接存到本地文件。这个操作不需要在设备上开启任何服务，也不会影响业务转发，风险最小。但它的边界也很明显：一是输出内容依赖终端缓冲，配置过长时可能截断，需要分段执行 display current-configuration | include 或配合分页参数；二是设备崩溃后，这份手工拷贝的配置缺少设备上的一些动态生成的默认参数，恢复时可能要手工补。所以屏幕拷贝只适合作为应急留存，不能当唯一备份手段。

真正在设备本地建立备份的常规操作是通过 save 命令保存配置到 flash，再用 copy 命令复制一份副本。具体命令是：

<HUAWEI> save config.cfg <HUAWEI> copy config.cfg backup.cfg

save 命令会把当前运行配置保存为 config.cfg 文件，默认保存在 flash 根目录。如果 flash 里已经有同名文件，系统会提示是否覆盖，输入 Y 确认。copy 命令将 config.cfg 复制一份为 backup.cfg，这样就形成了“当前生效配置 + 历史备份”的双副本结构。我一般会建议把 backup.cfg 再复制到设备 flash 的 backup 目录下，比如 copy config.cfg flash:/backup/config-20250101.cfg，避免在根目录堆积大量文件，也防止误操作覆盖。

这两条命令是整篇备份体系里最基础、最不容易出错的组合，但它解决不了“设备整机损坏、flash 物理失效”这类极端情况。flash 里的文件跟着设备一起没了，备份也就失去了意义。所以更可靠的备份方案必须把配置文件传出场外，也就是下面要说的 FTP/SFTP 等文件传输协议。

2.2 configuration copy startup to file：启动配置的定点快照

除了把运行配置保存成普通文件，华为交换机还提供了一条更语义化的备份命令：configuration copy startup to file。这条命令做的事情是直接把启动配置文件复制到指定的文件，适合在做配置变更前先留一个可回滚的启动配置快照。

<HUAWEI> system-view [HUAWEI] configuration copy startup to file pre-upgrade.cfg

执行这条命令时，系统会把当前 startup 配置复制为 pre-upgrade.cfg。这里有两个规则需要特别注意：指定的目的文件必须以 .cfg 或 .zip 作为扩展名，而且后缀必须与被备份文件的后缀一致。也就是说，如果当前启动配置文件是 config.cfg，那么目的文件也必须是 .cfg，不能写成 pre-upgrade.zip 或 pre-upgrade.bak。如果存在同名文件，系统会询问是否覆盖，输入 Y 覆盖，输入 N 取消。

这条命令和 save 命令的差别在语义上：save 是把当前运行配置写入启动配置，会改变下次重启加载的配置；而 configuration copy startup to file 只是做复制，不会动当前生效配置。在做版本升级、割接、批量修改端口配置之前，先执行这条命令留一个启动配置快照，比手动复制文件更不容易出错。缺点在于它备份的是启动配置文件，如果当前运行配置还没 save，那这个快照里就没有最近改动的内容。所以执行顺序应该是先 save，再做 configuration copy startup to file，两个动作配合才能保证快照里包含最新的配置变更。

2.3 实时备份与双备份机制：2 小时后自动落盘的玄学

华为交换机还有一个容易被忽略的自动备份机制，叫“配置变更后实时备份”。系统默认使能了备份运行配置到本地的功能，当配置发生变化 2 小时后，设备会自动把当前运行配置备份到本地。这个机制听起来很理想，实际使用时需要理解它的触发逻辑。

<HUAWEI> system-view [HUAWEI] undo configuration backup local disable

undo configuration backup local disable 命令是恢复缺省行为，也就是确保自动备份功能处于打开状态。缺省情况下这个功能是打开的，但如果之前有人执行过 configuration backup local disable，自动备份就会被关闭。恢复功能后，设备会在配置变更满 2 小时后自动生成备份文件，文件名通常带有时间戳。这个备份机制的特点是“延迟触发”，不是配置一改就立刻备份，所以它只能作为补充手段，不能依赖它来保证每一次变更都有即时快照。我一般会把它当成一个“低成本兜底策略”：即使忘了手工备份，2 小时后系统也会自动留下一份可用的配置副本。

五条备份路径放在一起看，各有各的适用场景。屏幕拷贝适合临时留存，flash 本地复制适合日常维护，configuration copy startup to file 适合变更前快照，实时备份适合长期自动兜底，FTP/SFTP 传输适合把配置文件送出场外。对生产环境来说，至少要有两条路径同时生效：一条场内，一条场外。

3. 搭建 FTP/SFTP 备份通道：认证、目录与传输参数逐个说清

3.1 设备侧开启 FTP server：源接口、AAA 用户与权限联动

把配置文件备份到远端服务器，最常见的做法是把设备配置成 FTP 服务器，然后从维护终端发起连接下载文件。华为交换机开启 FTP 服务需要三个层面的配置联动：源接口、服务开关、AAA 用户。缺一个，FTP 连接都可能建立不起来。

<HUAWEI> system-view [HUAWEI] ftp server-source -i MEth 0/0/1 [HUAWEI] ftp server enable [HUAWEI] aaa [HUAWEI-aaa] local-user huawei password irreversible-cipher Helloworld@6789 [HUAWEI-aaa] local-user huawei ftp-directory flash: [HUAWEI-aaa] local-user huawei service-type ftp [HUAWEI-aaa] local-user huawei privilege level 15

ftp server-source -i 指定 FTP 服务器使用的源接口。大多数盒式交换机有管理网口 MEth 0/0/1，直接指定管理口最稳妥，管理 IP 也不会因为业务 VLAN 变化而变动。如果没有独立管理口，可以配置为设备管理 IP 对应的 VLANIF 接口。这里有一个常见认知误区：如果服务器端源地址配置成非管理 IP，客户端必须使用这个配置的源地址才能连接服务器，用设备上其他 IP 连接会失败。

ftp server enable 是总开关，执行后会提示 FTP 不是安全协议，建议使用 SFTP。这条警告不能直接跳过，它提醒的是 FTP 的明文传输特性，在不可信网络中传输配置文件和密码本身就有泄露风险。AAA 部分创建了 FTP 用户 huawei，密码用 irreversible-cipher 加密保存，fttp-directory 限定该用户只能访问 flash: 目录，service-type ftp 限定服务类型，privilege level 15 给予最高权限。privilege 等级直接决定用户通过 FTP 能否读取配置文件，等级过低会导致 get 文件时提示权限不足。

3.2 客户端 binary、lcd、get/put：三个参数决定备份成败

设备侧 FTP 服务开启后，维护终端就可以发起 FTP 连接。Windows 自带 FTP 客户端虽然老旧，但完成基本备份足够，Linux 终端用系统自带的 ftp 命令操作一致。连接阶段的交互如下：

C:\Documents and Settings\Administrator> ftp 10.110.24.254 Connected to 10.110.24.254. 220 FTP service ready. User (10.110.24.254:(none)): huawei 331 Password required for huawei. Password: 230 User logged in.

登录成功后，关键的三个参数依次敲：binary、lcd、get。这三个参数搞错了，备份出来的文件多半不能用。

ftp> binary 200 Type set to I. ftp> lcd c:\temp Local directory now C:\temp. ftp> get config.cfg backup.cfg

binary 命令把传输模式切换为二进制。配置文件不是纯文本，里面包含换行符、不可见字符、文件头信息，如果用默认的 ASCII 模式传输，文件在传输过程中可能被转换换行符，导致备份文件与原始文件大小不一致甚至损坏。lcd 命令切换 FTP 客户端本地目录，也就是把下载的文件存到哪里。如果不切换，文件会保存在当前用户目录下，后期找文件会比较费劲。get 命令从设备下载文件，get config.cfg backup.cfg 的含义是从设备获取 config.cfg，保存到本地并命名为 backup.cfg。

传输完成后需要确认文件大小是否一致。Windows FTP 客户端在传输结束时不会自动提示文件大小，需要执行 dir 查看设备端文件大小，再对比本地文件属性。如果文件大小相同，备份基本成功；如果大小不一致，需要重新传输。这个校验步骤经常被跳过，但跳过它的后果很可能在设备故障恢复时才会暴露，到时候备份文件打不开，一切归零。

3.3 为什么强烈建议换 SFTP：FTP 明文传输的边界

FTP 的问题在于它把用户名、密码、配置文件内容全部明文传输，只要有人在这条链路上抓包，配置里的所有密码和网络拓扑就直接暴露。华为交换机的提示已经很明确：FTP is not a secure protocol, and it is recommended to use SFTP。生产环境中如果设备支持 SSH，建议直接使用 SFTP 替代 FTP。

[HUAWEI] sftp server enable

开启 SFTP 服务后，AAA 用户的 service-type 需要改为 sftp 或同时包含 ftp 和 sftp。客户端侧的操作与 FTP 基本相同，Linux 下直接用 sftp 命令连接，Windows 下可以用 Xshell 内置的 SFTP 面板或 WinSCP 等工具。SFTP 走 SSH 通道，用户名密码加密传输，配置文件的完整性由 SSH 的传输校验保证，不需要像 FTP 那样手工对比文件大小。代价是 SSH 协商过程比 FTP 稍慢，但对配置文件这种 KB 级文件来说，差距可以忽略。

FTPS、SCP 也是可选的加密传输方案，FTPS 是 FTP over SSL，SCP 走 SSH 通道复制文件。对绝大多数华为交换机维护场景，SFTP 是最顺手的选择：设备天然支持，客户端工具丰富，配置成本低。我个人的习惯是 FTP 只用于内网临时环境或测试环境，所有生产环境的配置备份一律走 SFTP 或 SCP。

4. 恢复配置文件：从上传到 reboot 的完整闭环

4.1 FTP 上传与文件校验：size 对不上就不要重启

恢复配置是备份的逆过程，通过 get 下载的文件需要用 put 传回设备。操作路径与备份类似，仍然是 binary、lcd、put 三个步骤：

C:\Documents and Settings\Administrator> ftp 10.110.24.254 Connected to 10.110.24.254. 220 FTP service ready. User (10.110.24.254:(none)): huawei 331 Password required for huawei. Password: 230 User logged in. ftp> binary 200 Type set to I. ftp> lcd c:\temp Local directory now C:\temp. ftp> put config.cfg backup.cfg

put config.cfg backup.cfg 表示把本地文件 config.cfg 上传到设备，保存为 backup.cfg，文件存储在用户 ftp-directory 指定的 flash: 目录下。上传完成后，在设备上执行 dir 命令查看 flash 目录，确认 backup.cfg 存在，再对比文件大小。

这个步骤是整个恢复流程中最重要的校验点。文件大小不一致的文件，即便能加载，也可能在运行到某个配置关键字时解析失败，导致部分配置丢失。更严重的情况是配置文件损坏导致设备反复重启。我见过一次恢复场景：同事从服务器下载配置后，没有对比大小就直接传到新设备并 reboot，结果设备启动后部分 VLAN 配置丢失，排查了半天才发现是 FTP 客户端用 ASCII 模式传输导致文件内容被转换。所以文件大小校验是恢复前不可省略的动作。

4.2 startup saved-configuration 指定启动文件：后缀一致性规则

配置文件上传到设备 flash 后，并不会自动成为设备下次启动时加载的配置。设备启动时加载哪个文件，由 startup saved-configuration 命令决定。如果上传的配置文件名与设备当前启动配置文件名相同，比如设备原来就是用 config.cfg 启动，上传的文件也叫 config.cfg，那么不需要额外指定。但如果上传的文件名是 backup.cfg，就必须先指定：

<HUAWEI> startup saved-configuration backup.cfg

执行 startup saved-configuration 时，系统会检查文件是否存在、是否为合法的配置文件。如果文件名后缀不是 .cfg 或 .zip，这条命令会直接报错，因为华为交换机的启动配置文件只识别这两种后缀。还有一种容易掉坑的情况：上传的文件名后缀与文件内容不匹配，比如把 .cfg 的配置文件重命名为 .zip 上传，设备在启动加载时会解压失败。所以命名时要保证后缀真实反映文件格式，不要为了过限制而乱改后缀。

确认启动文件已经指定后，执行 display startup 查看当前的启动配置信息，确认系统下次启动加载的配置文件确实是我们指定的文件。这一步做完，恢复流程的下半段才能开始。

4.3 恢复后的验证顺序：display startup 与关键业务检查

指定完启动配置文件后，执行 reboot 命令重启设备：

<HUAWEI> reboot Info: The system is comparing the configuration, please wait. Warning: All the configuration will be saved to the configuration file for the next startup: backup.cfg. Continue? [Y/N]: y

这里有一个很多人踩过的坑：reboot 时如果运行配置和启动配置不一致，系统会提示是否保存当前运行配置。如果在恢复场景下误输入 Y，当前运行的空配置或默认配置会覆盖我们刚指定的 backup.cfg，导致恢复的一切努力白费。正确做法是输入 N，不保存当前运行配置，让设备按 startup saved-configuration 指定的文件加载。这一点在恢复场景下比任何命令都重要。

设备重启完成后，验证顺序建议按以下三步走：

<HUAWEI> display startup <HUAWEI> display current-configuration | include sysname <HUAWEI> display ip interface brief

display startup 确认实际加载的配置文件；display current-configuration 检查配置是否完整，可以先看 sysname、VLAN、接口 IP 等关键特征；display ip interface brief 验证三层接口状态。除此以外，还要验证业务面：跨 VLAN 互通是否正常、关键链路端口是否 up、路由表是否完整。配置加载成功不等于业务恢复成功，只有业务流量通过了，才算真正恢复完成。

5. 配置文件备份与恢复避坑：五个典型案例与处理建议

5.1 FTP 连接失败但 ping 得通：源接口与 AAA 配置脱节

现象：维护终端能够 ping 通交换机管理 IP，但执行 ftp 命令后长时间停在连接阶段，最后提示连接超时或被拒绝。原因通常是设备 FTP 服务没有真正开启，或者 ftp server-source 指定的源接口与客户端访问的 IP 不在同一接口上。如果设备管理 IP 在 VLANIF 接口上，而 ftp server-source 指定的是 MEth 0/0/1，客户端访问的是 VLANIF 的 IP，FTP 服务不会响应这个 IP 上的连接请求。解决方法是把 ftp server-source 的源接口改为客户端访问 IP 对应的接口，或者用管理口 IP 发起 FTP 连接。再检查 aaa 里 local-user 的 service-type 是否包含 ftp，密码是否配置正确。这三个位置各看一眼，基本能定位问题。

5.2 get 下来的文件比设备上的源文件大：ASCII 模式惹的祸

现象：FTP 登录后没有敲 binary，直接执行 get，下载完成后发现本地文件比设备 flash 里的源文件大出几百字节，打开文本发现换行符全部多了一个字符。原因就是 FTP 默认的 ASCII 模式会把配置文件里的 \n 转换为 \r\n，Windows 和 Linux 平台的换行符差异在 ASCII 模式下被自动转换。配置文件的解析对换行符敏感，这种被“篡改”过的文件恢复到设备上可能导致配置加载不完整。解决方法是传输前必须执行 binary 命令，切换为二进制模式后再执行 get/put。我习惯在登录成功后第一件事就敲 binary，不管这次要传什么文件，避免后边忘了。

5.3 startup saved-configuration 提示文件不存在，但 dir 里能看到文件

现象：配置已经上传到 flash 根目录，执行 startup saved-configuration backup.cfg 时却提示文件不存在。原因一是文件名写错，flash 根目录的文件名大小写敏感，设备上显示的是 backup.CFG，命令里写的是 backup.cfg，就会提示不存在。原因二是文件不在 flash 根目录，而是被上传到了 ftp-directory 指定的子目录下，但命令里没有写完整路径。解决方法是先用 dir 确认文件名和路径，再执行 startup saved-configuration flash:/backup.cfg，路径和文件名都写全。华为的命令行支持 Tab 补全，输入到一半按 Tab 键可以自动带出文件名，建议养成这个习惯。

5.4 reboot 后配置没生效，设备变成了出厂状态

现象：恢复配置后重启设备，配置没有加载，设备以默认配置启动。最可能的原因是 reboot 时系统询问是否保存当前运行配置，输入了 Y。恢复场景下运行配置很可能不是我们想要的配置，一旦保存就把启动配置覆盖掉了。另一个原因是执行 startup saved-configuration 时指定的文件不对，或者设备实际启动顺序中该文件被跳过。解决方法是 reboot 时对 “All the configuration will be saved” 的提示输入 N，并在重启前反复确认 display startup 的输出。如果已经误操作覆盖了启动配置，只能重新上传配置文件再走一遍恢复流程，没有更快的后悔药。

5.5 恢复后端口 up 但业务不通：忽略端口隔离与链路类型配置

现象：配置文件加载成功，display ip interface brief 显示接口状态正常，ping 邻居设备也能通，但业务网段之间的互访不通。原因通常是配置文件里的端口隔离、端口安全、QoS 策略等细节没有被注意到，或者使用了 display current-configuration 手工拷贝路径恢复时遗漏了部分隐式配置。解决方法是恢复完成后不要只看接口状态，至少检查 port isolategroup、port link-type、port default vlan、traffic-filter 这些与转发路径强相关的配置，再用业务终端的真实 IP 做端到端验证。这个问题提醒我们，恢复配置不等于恢复业务，业务验证才是最终标准。

6. 用脚本验证备份可恢复性：定期做一次“演练式恢复”

理论上的备份流程跑通了，不代表关键时刻一定能恢复。配置文件的完整性和可恢复性需要定期验证，而不是等到设备故障时才第一次尝试。常见做法是把备份验证纳入巡检脚本，由脚本自动从设备下载配置，然后检查文件大小和关键配置项的数量。

import os import re config_path = "/backup/huawei-switch/config.cfg" backup_path = "/backup/huawei-switch/backup.cfg" def check_config(file_path): if not os.path.exists(file_path): return False size = os.path.getsize(file_path) if size < 1024: return False with open(file_path, "r", encoding="utf-8", errors="ignore") as f: content = f.read() checks = { "sysname": len(re.findall(r"sysname", content)) > 0, "vlan": len(re.findall(r"^vlan \d+", content, re.M)) > 0, "interface": len(re.findall(r"^interface", content, re.M)) > 0, } missing = [k for k, v in checks.items() if not v] return {"size_ok": size > 1024, "missing": missing, "size": size} for path in [config_path, backup_path]: result = check_config(path) if result is False: print(f"FAIL: {path} 不存在") elif result.get("missing"): print(f"FAIL: {path} 缺少关键配置段 {result['missing']}") else: print(f"PASS: {path} 大小 {result['size']} 字节，关键配置齐全")

这段脚本的作用很简单：确认备份目录下存在配置文件，文件大小超过阈值，并且包含 sysname、vlan、interface 等关键配置关键字。它可以定时执行，也可以集成到现有的巡检平台里。对比 config.cfg 和 backup.cfg 两份文件的大小差异，如果同一设备两个文件的大小相差很大，说明某次备份可能发生了截断或转换异常，这时候就应该手工拉文件检查。

我自己的习惯是每月做一次“演练式恢复”：把备份文件传到一台闲置的交换机上，指定启动文件后重启，然后跑一遍业务连通性测试。整台设备从上传文件到完成验证不超过半小时，但这半小时能确保真正用到备份的那一天，手里的文件是能用的，而不是一份躺了半年从未验证过的空壳。从那以后，我每次做备份都会顺手在设备上执行一遍 display startup 确认启动文件指向，并在巡检脚本里对比 config.cfg 和 backup.cfg 的大小误差，超过预期就直接重新备份。备份这件事，难的不是命令，而是养成闭环验证的习惯；希望这份配置备份与恢复的完整记录能帮到你，让你的网络设备也有一份真正能用的“后悔药”。

本文还有配套的精品资源，点击获取