新华三 400 系列设备快速接入指南

“400”可能对应不同产品系列、硬件版本和软件界面。本文提供的是安全的通用接入思路，不假设具体端口名称或默认地址。操作前先查看设备铭牌、随机说明书和当前版本的官方手册。

一、接入前先记录

• 完整型号、序列号、硬件版本和软件版本；
• 当前管理地址、登录方式、管理 VLAN 和已有配置；
• WAN、LAN、Console、管理口和 PoE 口的实际标识；
• 上联运营商参数：静态 IP、PPPoE、DHCP、VLAN ID、DNS 和 MTU；
• 内网网段、网关、DHCP 范围、保留地址和已有 VLAN；
• 变更窗口、现场联系人和回退方式。

若设备已在生产使用，不要按 Reset，也不要直接恢复出厂。先导出配置，并确认断电或重启对业务的影响。

二、首次本地接入

1. 笔记本只连接设备的管理口或明确的 LAN 口，暂时关闭其他有冲突的有线、无线和 VPN 网络。
2. 根据设备说明书设置同网段静态地址，或使用设备提供的 DHCP 地址。
3. 使用 HTTPS 打开管理地址；若浏览器提示自签名证书，应核对地址和设备身份，不要在公共网络忽略告警。
4. 首次登录后立即修改管理员口令，创建独立运维账号，并记录账号归属。
5. 设置设备名称、时区、NTP、DNS 和管理来源限制。

默认地址和默认账户会因型号、版本或出厂批次而不同，应以设备铭牌和官方手册为准，不在本文固定写死。

三、配置上联

按运营商或上级网络提供的方式选择：

• DHCP 获取：检查是否获得地址、网关和 DNS，并确认租约。
• 静态地址：逐项核对 IP、掩码、网关、DNS 和是否需要指定 VLAN。
• PPPoE：核对账号、密码、MTU 和拨号状态；敏感凭据不要截图或写入公开文档。
• 双线路：先分别验证每条线路，再配置主备或负载策略，明确会话保持和回切条件。

不要只看“接口已连接”。至少应验证默认路由、DNS 解析、到运营商网关的时延和公网访问。

四、配置内网与 DHCP

建议先画出简化地址表：

关键原则：

1. DHCP 地址池不要包含网关、服务器、打印机和网络设备的固定地址。
2. 访客网、办公网和设备网之间按最小权限放行。
3. 管理页面只允许管理 VLAN 或指定运维地址访问。
4. 修改管理地址前，先准备新地址段的访问方式，避免把自己锁在设备外。

五、NAT、端口映射与安全

仅在确有需要时开放公网端口。优先使用 VPN 或零信任接入，不建议把设备管理页面、远程桌面、数据库等直接暴露到互联网。

若必须做端口映射，应记录：公网端口、目标地址、目标端口、协议、允许来源、业务负责人、到期时间和日志位置。配置后使用外部网络验证，同时确认内部回流访问是否需要单独策略。

建议同步完成：

• 关闭未使用的远程管理协议和服务；
• 启用 HTTPS、SSH 或设备支持的安全管理协议；
• 配置 Syslog、NTP、SNMPv3 或 Telemetry；
• 设置配置变更、登录失败、链路中断和资源异常告警；
• 核查是否存在适用的稳定版固件与安全公告。

六、保存与备份

很多网络设备的“当前运行配置”和“下次启动配置”不是同一个概念。每次确认业务正常后：

1. 保存运行配置；
2. 导出一份带日期的配置备份；
3. 将备份存放到受控位置，不要公开包含口令、密钥或运营商账号的文件；
4. 记录软件版本、启动文件、变更内容和回退步骤。

七、验收清单

• 管理员口令已修改，管理来源已限制；
• WAN 地址、默认路由、DNS 和 NTP 正常；
• 各 VLAN 网关和 DHCP 分配符合规划；
• 内外网访问、访客隔离和必要的业务端口均已验证；
• 未开放不需要的公网管理服务；
• 日志、监控和告警可以收到；
• 配置已保存、导出并能找到恢复方法；
• 断电重启后配置仍然有效。

八、常见故障

延伸阅读

• H3C 官方技术支持与文档