目  录

1 登录交换机方式介绍

1.1 登录交换机方式综述

1.2 用户界面简介

1.2.1 用户界面概述

1.2.2 用户与用户界面的关系

1.2.3 用户界面的编号

2 配置用户通过CLI登录设备

2.1 配置用户通过CLI登录设备简介

2.2 配置通过Console口登录设备

2.2.1 通过Console口登录设备简介

2.2.2 缺省配置下如何通过Console口登录设备

2.2.3 Console口登录的认证方式介绍

2.2.4 配置通过Console口登录设备时无需认证（None）

2.2.5 配置通过Console口登录设备时采用密码认证（Password）

2.2.6 配置通过Console口登录设备时采用AAA认证（Scheme）

2.2.7 配置Console口登录方式的公共属性（可选）

2.3 配置通过Telnet登录设备

2.3.1 通过Telnet登录设备简介

2.3.2 Telnet登录的认证方式介绍

2.3.3 配置通过Telnet Client登录设备时无需认证（None）

2.3.4 配置通过Telnet Client登录设备时采用密码认证（Password）

2.3.5 配置通过Telnet Client登录设备时采用AAA认证（Scheme）

2.3.6 配置VTY用户界面的公共属性（可选）

2.3.7 配置设备充当Telnet Client登录到Telnet Server

2.4 配置通过SSH登录

2.4.1 通过SSH登录设备简介

2.4.2 配置设备充当SSH服务器

2.4.3 配置设备充当SSH客户端登录其它设备

2.5 配置通过Modem登录设备

2.5.1 通过Modem登录设备简介

2.5.2 缺省配置下如何通过Modem登录设备

2.5.3 Modem拨号登录的认证方式介绍

2.5.4 配置用户通过Modem登录设备时无需认证（None）

2.5.5 配置用户通过Modem登录设备时采用密码认证（Password）

2.5.6 配置用户通过Modem登录设备时采用AAA认证（Scheme）

2.5.7 配置AUX用户界面的公共属性（可选）

2.6 CLI登录显示和维护

3 配置通过Web网管登录设备

3.1 通过Web网管登录设备简介

3.2 配置通过HTTP方式登录设备

3.3 配置通过HTTPS方式登录设备

3.4 通过Web网管登录设备显示与维护

3.5 通过Web网管登录设备典型配置举例

3.5.1 使用HTTP方式登录设备典型配置举例

3.5.2 使用HTTPS方式登录设备典型配置举例

4 配置通过NMS登录设备

4.1 通过NMS登录设备简介

4.2 配置通过NMS登录设备

4.3 通过NMS登录设备典型配置举例

5 对登录用户的控制

5.1 对登录用户的控制简介

5.2 配置对Telnet用户的控制

5.2.1 配置准备

5.2.2 通过源IP对Telnet进行控制

5.2.3 通过源IP、目的IP对Telnet进行控制

5.2.4 通过源MAC地址对Telnet进行控制

5.2.5 配置举例

5.3 通过源IP对网管用户进行控制

5.3.1 配置准备

5.3.2 通过源IP对网管用户进行控制

5.3.3 配置举例

5.4 通过源IP对Web用户进行控制

5.4.1 配置准备

5.4.2 通过源IP对Web用户进行控制

5.4.3 强制在线Web用户下线

5.4.4 配置举例

 

1 登录交换机方式介绍

1.1  登录交换机方式综述

用户可以通过以下几种方式登录到交换机上，对交换机进行配置和管理：

登录方式及介绍		各种登录方式缺省状况分析
通过CLI登录设备	配置通过Console口登录设备	缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3
	配置通过Telnet登录设备	缺省情况下，用户不能直接通过Telnet方式登录设备。如需采用Telnet方式登录，需要先通过Console口本地登录设备、并完成如下配置： l      开启设备的Telnet功能 l      配置设备VLAN接口的IP地址，确保设备与Telnet登录用户间路由可达（缺省情况下，设备没有IP地址） l      配置VTY用户的认证方式（缺省情况下，VTY用户采用Password认证方式） l      配置VTY用户的用户级别（缺省情况下，VTY用户的用户级别为0）
	配置通过SSH登录	缺省情况下，用户不能直接通过SSH方式登录设备。如需采用SSH方式登录，需要先通过Console口本地登录设备、并完成如下配置： l      开启设备SSH功能并完成SSH属性的配置 l      配置设备VLAN接口的IP地址，确保设备与SSH登录用户间路由可达（缺省情况下，设备没有配置IP地址） l      配置VTY用户的认证方式为scheme（缺省情况下，VTY用户采用Password认证方式） l      配置VTY用户的用户级别（缺省情况下，VTY用户的用户级别为0）
	配置通过Modem登录设备	缺省情况下，用户可以直接通过Modem拨号方式登录设备，Modem用户的用户级别为3
配置通过Web网管登录设备		缺省情况下，用户不能直接通过Web登录设备。如需采用Web方式登录，需要先通过Console口本地登录设备、并完成如下配置： l      配置设备VLAN接口的IP地址，确保设备与Web登录用户间路由可达（缺省情况下，设备没有配置IP地址） l      配置Web用户的用户名与密码（缺省情况下，没有Web登录的用户名和密码） l      配置Web登录的用户级别（缺省情况下，未配置Web登录用户的用户级别） l      配置Web登录用户的服务类型为web（缺省情况下，未配置Web登录用户的服务类型）
配置通过NMS登录设备		缺省情况下，用户不能直接通过NMS登录设备。如需采用NMS方式登录，需要先通过Console口本地登录设备、并完成如下配置： l      配置设备VLAN接口的IP地址，确保设备与NMS登录用户间路由可达（缺省情况下，设备没有IP配置地址） l      配置SNMP基本参数

 

在以下的章节中，将分别为您介绍如何通过Console口、Telnet、Modem、Web及NMS登录到设备上。

1.2  用户界面简介

1.2.1  用户界面概述

当用户使用Console口、Telnet或者SSH方式登录设备的时候，系统会分配一个用户界面（也称为Line）用来管理、监控设备和用户间的当前会话。每个用户界面有对应的用户界面视图（User-interface view），在用户界面视图下网络管理员可以配置一系列参数，比如用户登录时是否需要认证、用户登录后的级别等，当用户使用该用户界面登录的时候，将受到这些参数的约束，从而达到统一管理各种用户会话连接的目的。

目前系统支持的命令行配置方式有：

l              Console口本地配置

l              Telnet或SSH本地或远程配置

与这些配置方式对应的是两种类型的用户界面：

l              AUX用户界面：用来管理和监控通过Console口登录的用户。Console口端口类型为EIA/TIA-232 DCE。

l              VTY（Virtual Type Terminal，虚拟类型终端）用户界面：用来管理和监控通过VTY方式登录的用户。VTY口属于逻辑终端线，用于对设备进行Telnet或SSH访问。

1.2.2  用户与用户界面的关系

用户界面的管理和监控对象是使用某种方式登录的用户，虽然单个用户界面某一时刻只能被一个用户使用，但它并不针对某个用户。比如用户A使用Console口登录设备时，将受到AUX用户界面视图下配置的约束，当使用VTY 1登录设备时，将受到VTY 1用户界面视图下配置的约束。

一台设备上最多支持1个AUX用户界面、16个VTY用户界面，这些用户界面与用户并没有固定的对应关系。用户登录时，系统会根据用户的登录方式，自动给用户分配一个当前空闲的、编号最小的某类型的用户界面，整个登录过程将受该用户界面视图下配置的约束。同一用户登录的方式不同，分配的用户界面不同；同一用户登录的时机不同，分配的用户界面可能不同。

1.2.3  用户界面的编号

用户界面的编号有两种方式：绝对编号方式和相对编号方式。

1. 绝对编号方式

使用绝对编号方式，可以唯一的指定一个用户界面或一组用户界面。绝对编号从0开始自动编号，每次增长1，先给所有AUX用户界面编号，其次是所有VTY用户界面。使用display user-interface（不带参数）可查看到设备当前支持的用户界面以及它们的绝对编号。

2. 相对编号方式

相对编号是每种类型用户界面的内部编号。该方式只能指定某种类型的用户界面中的一个或一组，而不能跨类型操作。

相对编号方式的形式是：“用户界面类型 编号”，遵守如下规则：

l              控制台的相对编号：第一个为AUX 0，第二个为AUX 1，依次类推。

l              VTY的相对编号：第一个为VTY 0，第二个为VTY 1，依次类推。

 

2 配置用户通过CLI登录设备

2.1  配置用户通过CLI登录设备简介

CLI（命令行接口）是用户与设备之间的文本类指令交互界面，用户键入文本类命令，通过输入回车键提交设备执行相关命令，用户可以输入命令对设备进行配置，并可以通过查看输出的信息确认配置结果，方便用户配置和管理设备。

通过CLI登录设备包括：通过Console口、Telnet、SSH或Modem四种登录方式。当您使用Console口、Telnet、SSH或Modem登录设备时，都需要使用CLI来与设备进行交互。

l              缺省情况下，用户不需要任何认证即可通过Console口及Modem方式登录设备，这给设备带来许多安全隐患；

l              缺省情况下，用户不能通过Telnet和SSH方式登录设备，这样不利于用户对设备进行远程管理和维护。

因此，用户需要对这些登录方式进行相应的配置，来增加设备的安全性及可管理性。

以下章节将分别为您介绍如何通过Console口、Telnet、SSH及Modem登录到设备，并配置通过Console口、Telnet、SSH及Modem登录设备时的认证方式、用户级别及公共属性，来实现对登录用户的控制和管理。

2.2  配置通过Console口登录设备

2.2.1  通过Console口登录设备简介

通过Console口进行本地登录是登录设备的最基本的方式，也是配置通过其他方式登录设备的基础。如图2-1所示。

图2-1 通过Console口登录设备示意图

 

缺省情况下，设备可以通过Console口进行本地登录，用户登录到设备上后，即可以对各种登录方式进行配置。

本节将为您介绍：

l              设备缺省情况下，如何通过Console口登录设备。具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

l              设备Console口支持的登录方式及配置Console口登录认证方式的意义、各种认证方式的特点及注意事项。具体请参见2.2.3  Console口登录的认证方式介绍。

l              当用户确定了今后通过Console口登录设备时将采用何种认证方式后、并通过缺省配置登录到设备后，用户如何在设备上配置Console口登录设备时的认证方式及用户级别，实现对Console口登录用户的控制和管理。具体请参见2.2.4  配置通过Console口登录设备时无需认证（None）、2.2.5  配置通过Console口登录设备时采用密码认证（Password）及2.2.6  配置通过Console口登录设备时采用AAA认证（Scheme）。

l              配置通过Console口登录设备时的公共属性。具体请参见2.2.7  配置Console口登录方式的公共属性（可选）。

2.2.2  缺省配置下如何通过Console口登录设备

表2-1 通过Console登录设备需要具备的条件

对象	需要具备的条件
设备	缺省情况下，设备侧不需要任何配置
Console口登录用户	运行超级终端程序
	配置超级终端属性

 

当用户使用Console口登录设备时，用户终端的通信参数配置要和设备Console口的缺省配置保持一致，才能通过Console口登录到设备上。设备Console口的缺省配置如下：

表2-2 设备Console口缺省配置

属性	缺省配置
传输速率	9600bit/s
流控方式	不进行流控
校验方式	不进行校验
停止位	1
数据位	8

 

(1)        请使用产品随机附带的配置口电缆连接PC机和设备。请先将配置电缆的DB-9（孔）插头插入PC机的9芯（针）串口插座，再将RJ-45插头端插入设备的Console口中。

图2-2 将设备与PC通过配置口电缆进行连接

 

 

 

(2)        在PC机上运行终端仿真程序（如Windows XP/Windows 2000的超级终端等，以下配置以Windows XP为例），选择与设备相连的串口，设置终端通信参数：传输速率为9600bit/s、8位数据位、1位停止位、无校验和无流控，如图2-3至图2-5所示。

 

图2-3 新建连接

 

图2-4 连接端口设置

 

图2-5 端口通信参数设置

 

(3)        设备上电，终端上显示设备自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如<H3C>），如图2-6所示。

图2-6 设备配置界面

 

(4)        键入命令，配置设备或查看设备运行状态。需要帮助可以随时键入“?”，具体的配置命令请参考本手册中相关部分的内容。

2.2.3  Console口登录的认证方式介绍

通过在Console口用户界面下配置认证方式，可以对使用Console口登录的用户进行限制，以提高设备的安全性。Console口支持的认证方式有none、password和scheme三种。

l              认证方式为none：表示下次使用Console口本地登录设备时，不需要进行用户名和密码认证、任何人都可以通过Console口登录到设备上，这种情况可能会带来安全隐患。

l              认证方式为password：表示下次使用Console口本地登录设备时，需要进行密码认证、只有密码认证成功、用户才能登录到设备上。配置认证方式为password后，请妥善保存密码。

l              认证方式为scheme：表示下次使用Console口登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。用户认证又分为本地认证和远程认证，如果采用本地认证，则需要配置本地用户及相应参数；如果采用远程认证，则需要在远程认证服务器上配置用户名和密码。有关用户认证方式及参数的详细介绍请参见“安全配置指导”中的“AAA”。配置认证方式为scheme后，请妥善保存用户名及密码。

不同的认证方式下，Console口登录方式需要进行的配置不同，具体配置如表2-3所示。

表2-3 配置任务简介

认证方式	认证所需配置			说明
None	设置登录用户的认证方式为不认证			具体内容请参见2.2.4
Password	设置登录用户的认证方式为Password认证			具体内容请参见2.2.5
	设置本地验证的口令
Scheme	设置登录用户的认证方式为Scheme认证			具体内容请参见2.2.6
	选择认证方案	采用远端AAA服务器认证	在设备上配置RADIUS/HWTACACS方案
			在设备上配置域使用的AAA方案
			在AAA服务器上配置相关的用户名和密码
		采用本地认证	在设备上配置认证用户名和密码
			在设备上配置域使用的AAA方案为本地认证

 

 

2.2.4  配置通过Console口登录设备时无需认证（None）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Console口登录设备时无需进行认证。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-4 配置用户通过Console口登录设备时无需认证

操作	命令	说明
进入系统视图	system-view	-
进入AUX用户界面视图	user-interface aux first-number [ last-number ]	-
设置登录用户的认证方式为不认证	authentication-mode none	必选 缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证）
配置Console口的公共属性	-	可选 详细配置请参见2.2.7  配置Console口登录方式的公共属性（可选）

 

配置完成后，当用户再次通过Console口登录设备时，设备将提示用户键入回车，之后将出现命令行提示符（如<H3C>），如图2-7所示。

图2-7 用户通过Console口登录设备时无需认证登录界面

 

2.2.5  配置通过Console口登录设备时采用密码认证（Password）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Console口登录设备时采用密码认证、以提高设备的安全性。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-5 配置用户通过Console口登录设备时采用密码认证

操作	命令	说明
进入系统视图	system-view	-
进入AUX用户界面视图	user-interface aux first-number [ last-number ]	-
设置登录用户的认证方式为本地口令认证	authentication-mode password	必选 缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证）
设置本地验证的口令	set authentication password { cipher | simple } password	必选 缺省情况下，没有设置本地认证的口令
配置Console口的公共属性	-	可选 详细配置请参见2.2.7  配置Console口登录方式的公共属性（可选）

 

配置完成后，当用户再次通过Console口登录设备时，键入回车后，设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>），如图2-8所示。

图2-8 用户通过Console口登录设备时采用密码认证登录界面

 

2.2.6  配置通过Console口登录设备时采用AAA认证（Scheme）

1. 配置前提

用户已经成功的登录到了设备上，并希望以后通过Console口登录设备时采用AAA认证、以提高设备的安全性。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-6 配置用户通过Console口登录设备时采用AAA认证

操作		命令	说明
进入系统视图		system-view	-
进入AUX用户界面视图		user-interface aux first-number [ last-number ]	-
设置登录用户的认证方式为通过认证方案认证		authentication-mode scheme	必选 具体采用本地认证还是RADIUS认证、HWTACACS认证视AAA方案配置而定 缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证）
使能命令行授权功能		command authorization	可选 l      缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 l      缺省情况下，用户登录设备后可以使用的命令行由用户级别决定，用户只能使用缺省级别等于/低于用户级别的命令行。配置命令行授权功能后，用户可使用的命令行将受到用户级别和AAA授权的双重限制。即便是足够级别的用户每执行一条命令都会进行授权检查，只有授权成功的命令才被允许执行。
使能命令行计费功能		command accounting	可选 l      缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 l      命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录。
退出至系统视图		quit	-
配置设备采用的认证方案	进入ISP域视图	domain domain-name	可选 缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： l      设备上的RADIUS、HWTACACS方案配置请参见“安全配置指导”中的“AAA” l      AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书
	配置域使用的AAA方案	authentication default { hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none | radius-scheme radius-scheme-name [ local ] }
	退出至系统视图	quit
创建本地用户（进入本地用户视图）		local-user user-name	必选 缺省情况下，无本地用户
设置本地用户认证口令		password { cipher | simple  } password	必选
设置本地用户的命令级别		authorization-attribute level level	可选 缺省情况下，命令级别为0
设置本地用户的服务类型		service-type terminal	必选 缺省情况下，无用户服务类型
配置Console口的公共属性		-	可选 详细配置请参见2.2.7  配置Console口登录方式的公共属性（可选）

 

 

 

配置完成后，当用户再次通过Console口登录设备时，键入回车后，设备将要求用户输入登录用户名和密码，正确输入用户名（此处以用户为admin为例）和密码并回车，登录界面中出现命令行提示符（如<H3C>），如图2-9所示。

图2-9 用户通过Console口登录设备时AAA认证登录界面

 

2.2.7  配置Console口登录方式的公共属性（可选）

Console口登录方式的公共属性配置，如表2-7所示。

表2-7 Console口登录方式公共属性配置

操作		命令	说明
进入系统视图		system-view	-
使能显示版权信息		copyright-info enable	可选 缺省情况下，显示版权信息处于使能状态
进入AUX用户界面视图		user-interface aux first-number [ last-number ]	-
配置Console口的属性	配置传输速率	speed speed-value	可选 缺省情况下，Console口使用的传输速率为9600bit/s 传输速率为设备与访问终端之间每秒钟传送的比特的个数
	配置校验方式	parity { even | none | odd }	可选 缺省情况下，Console口的校验方式为none，即不进行校验
	配置停止位	stopbits { 1 | 1.5 | 2 }	可选 缺省情况下，Console口的停止位为1 停止位用来表示单个包的结束。停止位的位数越多，传输效率越低
	配置数据位	databits { 5 | 6 | 7 | 8 }	可选 缺省情况下，Console口的数据位为8位 数据位的设置取决于需要传送的信息。比如，如果传送的是标准的ASCII码，则可以将数据位设置为7，如果传输的是扩展的ASCII码，则需要将数据位设置为8
	配置启动终端会话的快捷键	activation-key character	可选 缺省情况下，按<Enter>键启动终端会话
	配置中止当前运行任务的快捷键	escape-key { default | character }	可选 缺省情况下，键入<Ctrl+C>中止当前运行的任务
	配置流量控制方式	flow-control { hardware | none | software }	可选 缺省情况下，流量控制方式为none 目前设备只支持配置流量控制方式为none
	配置终端的显示类型	terminal type { ansi | vt100 }	可选 缺省情况下，终端显示类型为ANSI 当设备的终端类型与客户端（如超级终端或者Telnet客户端等）的终端类型不一致，或者均设置为ANSI，并且当前编辑的命令行的总字符数超过80个字符时，客户端会出现光标错位、终端屏幕不能正常显示的现象。建议两端都设置为VT100类型
	设置用户登录后可以访问的命令级别	user privilege level level	可选 缺省情况下，从AUX用户界面登录后可以访问的命令级别为3级
	设置终端屏幕一屏显示的行数	screen-length screen-length	可选 缺省情况下，终端屏幕一屏显示的行数为24行 screen-length 0表示关闭分屏显示功能
	设置历史命令缓冲区大小	history-command max-size value	可选 缺省情况下，每个用户的历史缓冲区的大小为10，即可存放10条历史命令
	设置用户界面的超时时间	idle-timeout minutes [ seconds ]	可选 缺省情况下，所有的用户界面的超时时间为10分钟，如果10分钟内某用户界面没有用户进行操作，则该用户界面将自动断开 idle-timeout 0表示关闭用户界面的超时功能

 

 

2.3  配置通过Telnet登录设备

2.3.1  通过Telnet登录设备简介

设备支持Telnet功能，用户可以通过Telnet方式登录到设备上，对设备进行远程管理和维护。如图2-10。

图2-10 通过Telnet登录设备示意图

 

表2-8 采用Telnet方式登录需要具备的条件

对象	需要具备的条件
Telnet服务器端	配置设备VLAN的IP地址，设备与Telnet用户间路由可达
	配置Telnet登录的认证方式和其它配置（根据Telnet服务器端的情况而定）
Telnet客户端	运行Telnet程序
	获取要登录设备VLAN接口的IP地址

 

设备可以作为Telnet Client登录到Telnet Server上，从而对其进行操作。

设备可以充当Telnet Server：

l              设备支持Telnet Server功能、可作为Telnet Server，并可在设备上进行一系列的配置，从而实现对不同Telnet Client登录的具体认证方式、用户级别等方面的控制与管理。

l              缺省情况下，设备的Telnet Server功能处于关闭状态，通过Telnet方式登录设备的认证方式为Password，但设备没有配置缺省的登录密码，即在缺省情况下用户不能通过Telnet登录到设备上。因此当您使用Telnet方式登录设备前，首先需要通过Console口登录到设备上，开启Telnet Server功能，然后对认证方式、用户级别及公共属性进行相应的配置，才能保证通过Telnet方式正常登录到设备。

本节将为您介绍设备充当Telnet服务器端时：

l              设备支持的各种登录认证方式及配置Telnet登录认证方式的意义、各种认证方式的特点及注意事项。具体介绍请参见2.3.2  Telnet登录的认证方式介绍。

l              当用户确定了今后通过Telnet客户端登录设备时将采用何种认证方式后、并已成功登录到设备后，用户如何在设备上配置Telnet客户端登录设备时的认证方式、用户级别及公共属性，从而实现对Telnet登录用户的控制和管理。具体介绍请参见2.3.3  配置通过Telnet Client登录设备时无需认证（None）、2.3.4  配置通过Telnet Client登录设备时采用密码认证（Password）及2.3.5  配置通过Telnet Client登录设备时采用AAA认证（Scheme）。

l              配置通过Telnet登录设备时的公共属性。具体介绍请参见2.3.6  配置VTY用户界面的公共属性（可选）。

本节还将为您介绍设备充当Telnet客户端、Telnet登录到Server时的配置，具体请参见2.3.7  配置设备充当Telnet Client登录到Telnet Server。

2.3.2  Telnet登录的认证方式介绍

通过在Telnet的用户界面下配置认证方式，可以对使用Telnet登录的用户进行限制，以提高设备的安全性。通过Telnet登录支持的认证方式有none、password和scheme三种。

l              认证方式为none：表示下次使用Telnet登录设备时不需要进行用户名和密码认证，任何人都可以通过Telnet登录到设备上，这种情况可能会带来安全隐患。

l              认证方式为password：表示下次使用Telnet登录设备时需要进行密码认证，只有密码认证成功，用户才能登录到设备上。配置认证方式为password后，请妥善保存密码，如果密码丢失，可以使用Console口登录到设备，对Telnet的密码配置进行查看或修改。

l              认证方式为scheme：表示下次使用Telnet登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。用户认证又分为本地认证和远程认证，如果采用本地认证，则需要配置本地用户及相应参数；如果采用远程认证，则需要在远程认证服务器上配置用户名和密码。有关用户认证方式及参数的详细介绍请参见“安全配置指导”中的“AAA”。配置认证方式为scheme后，请妥善保存用户名及密码，如果本地认证密码丢失，可以使用Console口登录到设备，对Telnet的密码配置进行查看或修改。如果远程认证密码丢失，建议您联系服务器管理员。

不同的认证方式下，Telnet登录方式需要进行的配置不同，具体配置如表2-9所示。

表2-9 配置Telnet登录的认证方式

认证方式	认证所需配置			说明
None	设置登录用户的认证方式为不认证			具体内容请参见2.3.3
Password	设置登录用户的认证方式为Password认证			具体内容请参见2.3.4
	设置本地验证的口令
Scheme	设置登录用户的认证方式为Scheme认证			具体内容请参见2.3.5
	选择认证方案	采用远端AAA服务器认证	在设备上配置RADIUS/HWTACACS方案
			在设备上配置域使用的AAA方案
			在AAA服务器上配置相关的用户名和密码
		采用本地认证	在设备上配置认证用户名和密码
			在设备上配置域使用的AAA方案为本地认证

 

2.3.3  配置通过Telnet Client登录设备时无需认证（None）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时无需进行认证。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-10 认证方式为None的配置

操作	命令	说明
进入系统视图	system-view	-
使能设备的Telnet服务	telnet server enable	必选 缺省情况下，Telnet服务处于关闭状态
进入一个或多个VTY用户界面视图	user-interface vty first-number [ last-number ]	-
设置VTY登录用户的认证方式为不认证	authentication-mode none	必选 缺省情况下，VTY用户界面的认证方式为password
配置从当前用户界面登录系统的用户所能访问的命令级别	user privilege level level	必选 缺省情况下，通过VTY用户界面登录系统所能访问的命令级别是0
配置VTY用户界面的公共属性	-	可选 详细配置请参见2.3.6  配置VTY用户界面的公共属性（可选）

 

配置完成后，当用户再次通过Telnet登录设备时：

l              用户将直接进入VTY用户界面，如图2-11所示。

l              如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。

图2-11 用户通过Telnet登录设备时无需认证登录界面

 

2.3.4  配置通过Telnet Client登录设备时采用密码认证（Password）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行密码认证。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-11 认证方式为Password的配置

操作	命令	说明
进入系统视图	system-view	-
使能设备的Telnet服务	telnet server enable	必选 缺省情况下，Telnet服务处于关闭状态
进入一个或多个VTY用户界面视图	user-interface vty first-number [ last-number ]	-
设置登录用户的认证方式为本地口令认证	authentication-mode password	必选 缺省情况下，VTY用户界面的认证方式为password
设置本地验证的口令	set authentication password { cipher | simple } password	必选 缺省情况下，没有设置本地认证的口令
配置从当前用户界面登录系统的用户所能访问的命令级别	user privilege level level	必选 缺省情况下，通过VTY用户界面登录系统所能访问的命令级别是0
配置VTY用户界面的公共属性	-	可选 详细配置请参见2.3.6  配置VTY用户界面的公共属性（可选）

 

配置完成后，当用户再次通过Telnet登录设备时：

l              设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>），如图2-12所示。

l              如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。

图2-12 配置用户通过Telnet登录设备时采用密码认证登录界面

 

2.3.5  配置通过Telnet Client登录设备时采用AAA认证（Scheme）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行AAA认证。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-12 配置用户通过Telnet登录设备时采用AAA认证

操作		命令	说明
进入系统视图		system-view	-
使能设备的Telnet服务		telnet server enable		必选 缺省情况下，Telnet服务处于关闭状态
进入一个或多个VTY用户界面视图		user-interface vty first-number [ last-number ]	-
设置登录用户的认证方式为通过认证方案认证		authentication-mode scheme	必选 具体采用本地认证还是RADIUS认证、HWTACACS认证视AAA方案配置而定 缺省情况下采用本地认证方式
使能命令行授权功能		command authorization	可选 缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 l      需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数，详细介绍请参见“安全配置指导”中的“AAA” l      需要在ISP域中引用已创建的HWTACACS方案，详细介绍请参见“安全配置指导”中的“AAA”
使能命令行计费功能		command accounting	可选 l      缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 l      命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录。
退出至系统视图		quit	-
配置设备采用的认证方案	进入ISP域视图	domain domain-name	可选 缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： l      设备上的配置请参见“安全配置指导”中的“AAA” l      AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书
	配置域使用的AAA方案	authentication default { hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none | radius-scheme radius-scheme-name [ local ] }
	退出至系统视图	quit
创建本地用户（进入本地用户视图）		local-user user-name	缺省情况下，无本地用户
设置本地认证口令		password { cipher | simple } password	必选 缺省情况下，没有配置本地认证口令
设置VTY用户的命令级别		authorization-attribute level level	可选 缺省情况下，命令级别为0
设置VTY用户的服务类型		service-type telnet	必选 缺省情况下，无用户的服务类型
退出至系统视图		quit	-
配置VTY用户界面的公共属性		-	可选 详细配置请参见2.3.6  配置VTY用户界面的公共属性（可选）

 

 

 

配置完成后，当用户再次通过Telnet登录设备时：

l              设备将要求用户输入登录用户名和密码，正确输入用户名（此处以用户为admin为例）和密码并回车，登录界面中出现命令行提示符（如<H3C>），如图2-13所示。

l              如果用户输入正确的登录用户名和密码后，设备提示用户再次输入一个指定类型的密码，则表示当前用户需要进行二次密码认证，即用户还必须根据提示信息输入一个正确的密码后才能通过认证。

l              如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。

图2-13 用户通过Telnet登录设备时AAA认证登录界面

 

2.3.6  配置VTY用户界面的公共属性（可选）

表2-13 VTY用户界面的公共属性配置

操作		命令	说明
进入系统视图		system-view	-
使能显示版权信息		copyright-info enable	可选 缺省情况下，显示版权信息处于使能状态
进入一个或多个VTY用户界面视图		user-interface vty first-number [ last-number ]	-
VTY用户界面配置	启动终端服务	shell	可选 缺省情况下，在所有的用户界面上启动终端服务
	配置VTY用户界面支持的协议	protocol inbound { all | ssh | telnet }	可选 缺省情况下，设备同时支持Telnet和SSH协议 使用该命令配置的协议将在用户下次使用该用户界面登录时生效
	配置中止当前运行任务的快捷键	escape-key { default | character }	可选 缺省情况下，键入<Ctrl+C>中止当前运行的任务
	配置终端的显示类型	terminal type { ansi | vt100 }	可选 缺省情况下，终端显示类型为ANSI
	设置终端屏幕一屏显示的行数	screen-length screen-length	可选 缺省情况下，终端屏幕一屏显示的行数为24行 screen-length 0表示关闭分屏显示功能
	设置设备历史命令缓冲区大小	history-command max-size value	可选 缺省情况下，每个用户的历史缓冲区大小为10，即可存放10条历史命令
	设置VTY用户界面的超时时间	idle-timeout minutes [ seconds ]	可选 缺省情况下，所有的用户界面的超时时间为10分钟 如果10分钟内某用户界面没有用户进行操作，则该用户界面将自动断开 idle-timeout 0表示关闭用户界面的超时功能
	设置从用户界面登录后自动执行的命令	auto-execute command command	可选 缺省情况下，未设定自动执行命令 配置自动执行命令后，用户在登录时，系统会自动执行已经配置好的命令，执行完命令后，自动断开用户连接。如果这条命令引发起了一个任务，系统会等这个任务执行完毕后再断开连接。该命令通常用来配置Telnet命令，使用户登录时自动连接到指定的主机

 

 

2.3.7  配置设备充当Telnet Client登录到Telnet Server

1. 配置前提

用户已经成功登录到了设备上，并希望将当前设备作为Telnet Client登录到Telnet Server上进行操作。具体请参见图2-14所示。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

图2-14 通过交换机登录到其它交换机

 

 

2. 配置过程

表2-14 设备作为Telnet Client登录到Telnet Server的配置

操作	命令	说明
设备作为Telnet Client登录到Telnet Server	telnet remote-host [ service-port ] [ source { interface interface-type interface-number | ip ip-address } ]	二者必选其一 此命令在用户视图下执行
	telnet ipv6 remote-host [ -i interface-type interface-number ] [ port-number ]
指定设备作为Telnet客户端时，发送Telnet报文的源IPv4地址或源接口	telnet client source { interface interface-type interface-number | ip ip-address }	可选 此命令在系统视图下执行 缺省情况下，没有指定发送Telnet报文的源IPv4地址和源接口，此时通过路由选择源IPv4地址

 

配置完成后，设备即可登录到相应的Telnet Server上。

2.4  配置通过SSH登录

2.4.1  通过SSH登录设备简介

SSH是Secure Shell（安全外壳）的简称。用户通过一个不能保证安全的网络环境远程登录到设备时，SSH可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。设备支持SSH功能，用户可以通过SSH方式登录到设备上，对设备进行远程管理和维护如图2-15所示。

图2-15 通过SSH登录

 

表2-15 采用SSH方式登录需要具备的条件

对象	需要具备的条件
SSH服务器端	配置设备VLAN接口的IP地址，设备与SSH客户端间路由可达
	配置SSH登录的认证方式和其它配置（根据SSH服务器端的情况而定）
SSH客户端	如果是主机作为SSH客户端，则需要在主机上运行SSH客户端程序
	获取要登录设备VLAN接口的IP地址

 

设备可以作为SSH Client登录到SSH Server上，从而对其进行 操作。

设备可以充当SSH Server：

l              设备支持SSH Server功能：可作为SSH Server，并可在设备上进行一系列的配置、实现对不同SSH Client的登录权限的控制。

l              缺省情况下，设备的SSH Server功能处于关闭状态，因此当您使用SSH方式登录设备前，首先需要通过Console口登录到设备上，开启设备的SSH Server功能、对认证方式及其它属性进行相应的配置，才能保证通过SSH方式正常登录到设备。

本节将为您介绍：

l              设备充当SSH服务器端时：当用户确定了今后通过SSH客户端登录设备、并已成功登录到设备后，用户如何在设备上配置SSH客户端登录设备时的认证方式及其它属性，从而实现对SSH登录用户的控制和管理。具体介绍请参见2.4.2  配置设备充当SSH服务器。

l              设备充当SSH客户端时：设备SSH登录到Server时的配置，具体请参见2.4.3  配置设备充当SSH客户端登录其它设备。

2.4.2  配置设备充当SSH服务器

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过SSH Client登录设备。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-16 设备充当SSH服务器时的配置

操作		命令	说明
进入系统视图		system-view	-
生成本地DSA或RSA密钥对		public-key local create { dsa | rsa }	必选 缺省情况下，没有生成DSA和RSA密钥对
使能SSH服务器功能		ssh server enable	必选 缺省情况下，SSH服务器功能处于关闭状态
进入VTY用户界面视图		user-interface vty first-number [ last-number ]	-
配置登录用户界面的认证方式为scheme方式		authentication-mode scheme	必选 缺省情况下，用户界面认证为password方式
配置所在用户界面支持SSH协议		protocol inbound { all | ssh }	可选 缺省情况下，系统支持所有的协议，即支持Telnet和SSH
使能命令行授权功能		command authorization	可选 缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 l      需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数，详细介绍请参见“安全配置指导”中的“AAA” l      需要在ISP域中引用已创建的HWTACACS方案，详细介绍请参见“安全配置指导”中的“AAA”
使能命令行计费功能		command accounting	可选 l      缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 l      命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录。
退出至系统视图		quit	-
配置设备采用的认证方案	进入ISP域视图	domain domain-name	可选 缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： l      设备上的配置请参见“安全配置指导”中的“AAA” l      AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书
	配置域使用的AAA方案	authentication default { hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none | radius-scheme radius-scheme-name [ local ] }
	退出至系统视图	quit
创建本地用户，并进入本地用户视图		local-user user-name	必选 缺省情况下，没有配置本地用户
设置本地认证口令		password { cipher | simple } password	必选 缺省情况下，没有配置本地认证口令
设置本地用户的命令级别		authorization-attribute level level	可选 缺省情况下，命令级别为0
设置本地用户的服务类型		service-type ssh	必选 缺省情况下，无用户的服务类型
退回系统视图		quit	-
建立SSH用户，并指定SSH用户的认证方式		ssh user username service-type stelnet authentication-type { password | { any | password-publickey | publickey } assign publickey keyname }	必选 缺省情况下，没有配置SSH用户及SSH用户的认证方式
配置VTY用户界面的公共属性		-	可选 详细配置请参见2.3.6  配置VTY用户界面的公共属性（可选）

 

 

 

 

2.4.3  配置设备充当SSH客户端登录其它设备

1. 配置前提

用户已经成功登录到了设备上，并希望将当前设备作为SSH Client登录到其它设备上进行操作。具体请参见图2-14所示。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

图2-16 通过交换机设备登录到其它交换机设备

 

 

2. 配置过程

表2-17 设备作为SSH Client登录到其它设备的配置

操作	命令	说明
设备作为SSH Client登录到SSH IPv4服务器端	ssh2 server	必选 server：服务器IPv4地址或主机名称，为1～20个字符的字符串，不区分大小写 此命令在用户视图下执行
设备作为SSH Client登录到SSH IPv6服务器端	ssh2 ipv6 server	必选 server：服务器的IPv6地址或主机名称，为1～46个字符的字符串，不区分大小写。

 

 

配置完成后，设备即可登录到相应的SSH Server上。

2.5  配置通过Modem登录设备

2.5.1  通过Modem登录设备简介

网络管理员可以通过设备的Console口，利用一对Modem和PSTN（Public Switched Telephone Network，公共电话交换网）拔号登录到设备上，对远程设备进行管理和维护。这种登录方式一般适用于在网络中断的情况下，利用PSTN网络对设备进行远程管理、维护及故障定位。

本节将为您介绍如何通过Modem登录设备，并配置登录时的认证方式、用户级别及公共属性，实现对Modem登录用户的控制。

本节将为您介绍：

l              设备支持Modem登录认证方式及配置Modem登录认证方式的意义、各种认证方式的特点及注意事项。具体请参见2.5.3  Modem拨号登录的认证方式介绍。

l              当用户确定了今后通过Modem登录设备时将采用何种认证方式后、并通过缺省配置登录到设备后，用户如何在设备上配置Modem登录设备时的认证方式及用户级别，实现对Modem登录用户的控制和管理。具体请参见2.5.4  配置用户通过Modem登录设备时无需认证（None）、2.5.5  配置用户通过Modem登录设备时采用密码认证（Password）及2.5.6  配置用户通过Modem登录设备时采用AAA认证（Scheme）。

l              配置通过Modem登录设备时的公共属性。具体请参见2.5.7  配置AUX用户界面的公共属性（可选）。

2.5.2  缺省配置下如何通过Modem登录设备

缺省情况下，用户通过Modem登录设备时，设备不需要任何登录认证，缺省可以访问命令级别为3级的命令。

通过Modem登录设备的方法如下：

表2-18 通过Console口利用Modem拨号进行远程登录需要具备的条件

配置对象	需要具备的条件
网络管理员端	PC终端与Modem正确连接
	Modem与可正常使用的电话线正确相连
	获取了远程设备端Console口所连Modem上对应的电话号码
设备端	Console口与Modem正确连接
	在Modem上进行了正确的配置
	Modem与可正常使用的电话线正确相连
	设备上配置了登录用户的认证方式、用户级别及其它配置

 

(1)        如图2-17所示，建立远程配置环境，在PC机（或终端）的串口和设备的Console口分别挂接Modem。

图2-17 搭建远程配置环境

 

(2)        网络管理员端的相关配置。

PC终端与Modem正确连接、Modem与可正常使用的电话线正确相连、获取了远程设备端Console口所连Modem上对应的电话号码。

 

(3)        在与设备直接相连的Modem上进行以下配置。

AT&F-------------------------- Modem恢复出厂配置

ATS0=1------------------------ 配置自动应答（振铃一声）

AT&D-------------------------- 忽略DTR信号

AT&K0------------------------- 禁止流量控制

AT&R1------------------------- 忽略RTS信号

AT&S0------------------------- 强制DSR为高电平

ATEQ1&W----------------------- 禁止modem回送命令响应和执行结果并存储配置

在配置后为了查看Modem的配置是否正确，可以输入AT&V命令显示配置的结果。

 

(4)        在PC机上运行终端仿真程序（如Windows XP/Windows 2000的超级终端等，以下配置以Windows XP为例），新建一个拨号连接（所拨号码为与设备相连的Modem的电话号码），与设备建立连接，如图2-18至图2-20所示。

 

(5)        在远端通过终端仿真程序和Modem向设备拨号

图2-18 新建连接

 

图2-19 拨号号码配置

 

图2-20 在远端PC机上拨号

 

(6)        当听到拨号音后，超级终端窗口将返回字符串“CONNECT9600”，键入回车键之后将出现命令行提示符（如<H3C>），如图2-21所示。

图2-21 Console口登录界面

 

(7)        如果配置验证方式为Password，在远端的终端仿真程序上输入已配置的登录口令，出现命令行提示符（如<H3C>），即可对设备进行配置或管理。需要帮助可以随时键入“?”，具体的配置命令请参考本手册中相关模块的内容。

(8)        键入命令，配置设备或查看设备运行状态。需要帮助可以随时键入“?”，具体的配置命令请参考本手册中相关部分的内容。

 

2.5.3  Modem拨号登录的认证方式介绍

通过在AUX用户界面下配置认证方式，可以对使用Modem拨号登录的用户进行限制，以提高设备的安全性。Modem拨号支持的认证方式有none、password和scheme三种。

l              认证方式为none：表示下次使用Modem拨号登录设备时，不需要进行用户名和密码认证、任何人都可以通过Modem拨号登录到设备上，这种情况可能会带来安全隐患。

l              认证方式为password：表示下次使用Modem拨号登录设备时，需要进行密码认证、只有密码认证成功、用户才能登录到设备上。配置认证方式为password后，请妥善保存密码，如果密码丢失，则无法使用该方式登录。此时，可以使用Console登录到设备，对Modem拨号的密码配置进行查看或修改。

l              认证方式为scheme：表示下次使用Modem拨号登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。用户认证又分为本地认证和远程认证，如果采用本地认证，则需要配置本地用户及相应参数；如果采用远程认证，则需要在远程认证服务器上配置用户名和密码。有关用户认证方式及参数的详细介绍请参见“安全配置指导”中的“AAA”。配置认证方式为scheme后，请妥善保存用户名及密码，如果本地认证密码丢失，可以使用Console登录到交换机，对Modem拨号的密码配置进行查看或修改。如果远程认证密码丢失，建议您联系服务器管理员。

不同的认证方式下，Modem拨号登录方式需要进行的配置不同，具体配置如表2-3所示。

表2-19 配置任务简介

认证方式	认证所需配置			说明
None	设置登录用户的认证方式为不认证			具体内容请参见2.5.4
Password	设置登录用户的认证方式为Password认证			具体内容请参见2.5.5
	设置本地验证的口令
Scheme	设置登录用户的认证方式为Scheme认证			具体内容请参见2.5.6
	选择认证方案	采用远端AAA服务器认证	在设备上配置RADIUS/HWTACACS方案
			在设备上配置域使用的AAA方案
			在AAA服务器上配置相关的用户名和密码
		采用本地认证	在设备上配置认证用户名和密码
			在设备上配置域使用的AAA方案为本地认证

 

 

2.5.4  配置用户通过Modem登录设备时无需认证（None）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Modem拨号登录设备时无需进行认证。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-20 配置用户通过Modem拨号登录设备时无需认证

操作	命令	说明
进入系统视图	system-view	-
进入AUX用户界面视图	user-interface aux first-number [ last-number ]	-
设置登录用户的认证方式为不认证	authentication-mode none	必选 缺省情况下，用户通过Modem拨号登录，认证方式为none（即不需要进行认证）
配置AUX用户界面的公共属性	-	可选 详细配置请参见2.5.7  配置AUX用户界面的公共属性（可选）

 

配置完成后，当用户再次通过Modem拨号登录设备时，设备将提示用户键入回车，之后将出现命令行提示符（如<H3C>），如图2-22所示。

图2-22 用户通过Modem拨号登录设备时无需认证登录界面

 

2.5.5  配置用户通过Modem登录设备时采用密码认证（Password）

1. 配置前提

用户已经成功登录到了设备上，并希望以后通过Modem拨号登录设备时采用密码认证、以提高设备的安全性。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-21 配置用户通过Modem拨号登录设备时采用密码认证

操作	命令	说明
进入系统视图	system-view	-
进入AUX用户界面视图	user-interface aux first-number [ last-number ]	-
设置登录用户的认证方式为本地口令认证	authentication-mode password	必选 缺省情况下，用户通过Modem登录，认证方式为none（即不需要进行认证）
设置本地验证的口令	set authentication password { cipher | simple } password	必选 缺省情况下，没有设置本地认证的口令
配置AUX用户界面的公共属性	-	可选 详细配置请参见2.5.7  配置AUX用户界面的公共属性（可选）

 

配置完成后，当用户再次通过Modem拨号登录设备时，键入回车后，设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>），如图2-23所示。

图2-23 用户通过Modem拨号登录设备时采用密码认证登录界面

 

2.5.6  配置用户通过Modem登录设备时采用AAA认证（Scheme）

1. 配置前提

用户已经成功的登录到了设备上，并希望以后通过Modem拨号登录设备时采用AAA认证、以提高设备的安全性。

缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2  缺省配置下如何通过Console口登录设备。

2. 配置过程

表2-22 配置用户通过Modem拨号登录设备时采用AAA认证

操作		命令	说明
进入系统视图		system-view	-
进入AUX用户界面视图		user-interface aux first-number [ last-number ]	-
设置登录用户的认证方式为通过认证方案认证		authentication-mode scheme	必选 具体采用本地认证还是RADIUS认证、HWTACACS认证视AAA方案配置而定 缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证）
使能命令行授权功能		command authorization	可选 l      缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 l      缺省情况下，用户登录设备后可以使用的命令行由用户级别决定，用户只能使用缺省级别等于/低于用户级别的命令行。配置命令行授权功能后，用户可使用的命令行将受到用户级别和AAA授权的双重限制。即便是足够级别的用户每执行一条命令都会进行授权检查，只有授权成功的命令才被允许执行。
使能命令行计费功能		command accounting	可选 l      缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 l      命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录。
退出至系统视图		quit	-
配置设备采用的认证方案	进入ISP域视图	domain domain-name	可选 缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： l      设备上的RADIUS、HWTACACS方案配置请参见“安全配置指导”中的“AAA” l      AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书
	配置域使用的AAA方案	authentication default { hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none | radius-scheme radius-scheme-name [ local ] }
	退出至系统视图	quit
创建本地用户（进入本地用户视图）		local-user user-name	必选 缺省情况下，无本地用户
设置本地用户认证口令		password { cipher | simple } password	必选
设置本地用户的命令级别		authorization-attribute level level	可选 缺省情况下，命令级别为0
设置本地用户的服务类型		service-type terminal	必选 缺省情况下，无用户服务类型
配置AUX用户界面的公共属性		-	可选 详细配置请参见2.5.7  配置AUX用户界面的公共属性（可选）

 

 

 

配置完成后，当用户再次通过Modem拨号登录设备时，键入回车后，设备将要求用户输入登录用户名和密码，正确输入用户名（此处以用户为admin为例）和密码并回车，登录界面中出现命令行提示符（如<H3C>），如图2-6所示。

图2-24 用户通过Modem拨号登录设备时AAA认证登录界面

 

2.5.7  配置AUX用户界面的公共属性（可选）

表2-23 AUX用户界面的公共属性配置

操作		命令	说明
进入系统视图		system-view	-
使能显示版权信息		copyright-info enable	可选 缺省情况下，显示版权信息处于使能状态
进入AUX用户界面视图		user-interface aux first-number [ last-number ]	-
配置AUX用户界面的属性	配置传输速率	speed speed-value	可选 缺省情况下，传输速率为9600bit/s 传输速率为设备与访问终端之间每秒钟传送的比特的个数
	配置校验方式	parity { even | none | odd }	可选 缺省情况下，校验方式为none，即不进行校验
	配置停止位	stopbits { 1 | 1.5 | 2 }	可选 缺省情况下，停止位为1 停止位用来表示单个包的结束。停止位的位数越多，传输效率越低
	配置数据位	databits { 5 | 6 | 7 | 8 }	可选 缺省情况下，数据位为8位 数据位的设置取决于需要传送的信息。比如，如果传送的是标准的ASCII码，则可以将数据位设置为7，如果传输的是扩展的ASCII码，则需要将数据位设置为8
	配置启动终端会话的快捷键	activation-key character	可选 缺省情况下，按<Enter>键启动终端会话
	配置中止当前运行任务的快捷键	escape-key { default | character }	可选 缺省情况下，键入<Ctrl+C>中止当前运行的任务
	配置流量控制方式	flow-control { hardware | none | software }	可选 缺省情况下，流量控制方式为none 目前设备只支持配置流量控制方式为none
	配置终端的显示类型	terminal type { ansi | vt100 }	可选 缺省情况下，终端显示类型为ANSI 当设备的终端类型与客户端（如超级终端或者Telnet客户端等）的终端类型不一致，或者均设置为ANSI，并且当前编辑的命令行的总字符数超过80个字符时，客户端会出现光标错位、终端屏幕不能正常显示的现象。建议两端都设置为VT100类型
	设置用户登录后可以访问的命令级别	user privilege level level	可选 缺省情况下，从AUX用户界面登录后可以访问的命令级别为3级
	设置终端屏幕一屏显示的行数	screen-length screen-length	可选 缺省情况下，终端屏幕一屏显示的行数为24行 screen-length 0表示关闭分屏显示功能
	设置历史命令缓冲区大小	history-command max-size value	可选 缺省情况下，每个用户的历史缓冲区的大小为10，即可存放10条历史命令
	设置用户界面的超时时间	idle-timeout minutes [ seconds ]	可选 缺省情况下，所有的用户界面的超时时间为10分钟，如果10分钟内某用户界面没有用户进行操作，则该用户界面将自动断开 idle-timeout 0表示关闭用户界面的超时功能

 

 

2.6  CLI登录显示和维护

表2-24 CLI显示和维护

操作	命令	说明
显示当前正在使用的用户界面以及用户的相关信息	display users [ | { begin | exclude | include } regular-expression ]	在任意视图下执行
显示设备支持的所有用户界面以及用户的相关信息	display users all [ | { begin | exclude | include } regular-expression ]	在任意视图下执行
显示用户界面的相关信息	display user-interface [ num1 | { aux | vty } num2 ] [ summary ] [ | { begin | exclude | include } regular-expression ]	在任意视图下执行
显示设备作为Telnet客户端的相关配置信息	display telnet client configuration [ | { begin | exclude | include } regular-expression ]	在任意视图下执行
释放指定的用户界面	free user-interface { num1 | { aux | vty } num2 }	在用户视图下执行 系统支持多个用户同时对设备进行配置，当管理员在维护设备时，其他在线用户的配置影响到管理员的操作，或者管理员正在进行一些重要配置不想被其他用户干扰时，可以使用以下命令强制断开该用户的连接 不能使用该命令释放用户当前自己使用的连接
锁住当前用户界面	lock	在用户视图下执行 缺省情况下，不锁住当前用户界面
设置在用户界面之间传递消息	send { all | num1 | { aux | vty } num2 }	在用户视图下执行