配置通过Console口本地登录设备

缺省情况下，Console口登录时认证方式为none，存在安全隐患。用户在首次登录后，可以通过修改Console口登录的认证方式以及其它参数来增强设备的安全性。

配置通过Telnet登录设备

·     开启设备的Telnet功能

·     配置IP地址，并确保设备与Telnet登录用户间路由可达（缺省情况下，设备没有配置IP地址）

·     配置password认证方式的密码，或者更改认证方式并完成相关参数的设置（缺省情况下，VTY用户采用password认证方式）

·     配置VTY用户的用户角色（缺省情况下，VTY用户的角色为network-operator）

配置通过SSH登录设备

·     开启设备SSH功能并完成SSH属性的配置

·     配置IP地址，并确保设备与SSH登录用户间路由可达（缺省情况下，设备没有配置IP地址）

·     配置VTY用户的认证方式为scheme（缺省情况下，VTY用户采用password认证方式）

·     配置VTY用户的用户角色（缺省情况下，VTY用户的角色为network-operator）

配置通过SNMP登录设备

·     配置IP地址，并确保设备与NMS登录用户间路由可达（缺省情况下，设备没有配置IP地址）

·     配置SNMP基本参数

none

设置登录用户的认证方式为不认证

具体配置请见各登录方式下的相关章节

password

设置登录用户的认证方式为password认证

具体配置请见各登录方式下的相关章节

设置密码认证的密码

scheme

设置登录用户的认证方式为scheme认证

具体配置请见各登录方式下的相关章节

在ISP域视图下为login用户配置认证方法

请参见“安全配置指导”中的“AAA”

配置通过Console口登录设备时的认证方式

配置通过Console口登录设备时无需认证（none）

必选

请根据实际需要选择其中的一种认证方式

FIPS模式下，仅支持AAA认证（scheme）

3.2.2  1.

配置通过Console口登录设备时采用密码认证（password）

3.2.2  2.

配置通过Console口登录设备时采用AAA认证（scheme）

3.2.2  3.

配置Console口登录方式的公共属性

可选

3.2.2  4.

进入系统视图

system-view

-

进入AUX用户线视图

line aux first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入AUX用户线类视图

line class aux

设置登录用户的认证方式为不认证

authentication-mode none

缺省情况下，用户通过Console口登录，认证方式为none

配置从当前用户线登录设备的用户角色

user-role role-name

缺省情况下，通过Console口登录设备的用户角色为network-admin。

进入系统视图

system-view

-

进入AUX用户线视图

line aux first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入AUX用户线类视图

line class aux

设置登录用户的认证方式为密码认证

authentication-mode password

缺省情况下，用户通过Console口登录，认证方式为none

设置密码认证的密码

set authentication password { hash | simple } password

缺省情况下，没有设置密码认证的密码

配置从当前用户线登录设备的用户角色

user-role role-name

缺省情况下，通过Console口登录设备的用户角色为network-admin。

进入系统视图

system-view

-

进入AUX用户线视图

line aux first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入AUX用户线类视图

line class aux

设置登录用户的认证方式为通过AAA认证

authentication-mode scheme

缺省情况下，用户通过Console口登录，认证方式为none

进入系统视图

system-view

-

进入AUX用户线视图

line aux first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入AUX用户线类视图

line class aux

配置传输速率

speed speed-value

缺省情况下，Console口使用的传输速率为9600bit/s

传输速率为设备与访问终端之间每秒钟传送的比特的个数

用户线类视图下不支持该命令

配置校验方式

parity { even | mark | none | odd | space }

缺省情况下，Console口的校验方式为none，即不进行校验

用户线类视图下不支持该命令

配置停止位

stopbits { 1 | 1.5 | 2 }

缺省情况下，Console口的停止位为1

停止位用来表示单个包的结束。停止位的位数越多，传输效率越低

用户线类视图下不支持该命令

配置数据位

databits { 5 | 6 | 7 | 8 }

缺省情况下，Console口的数据位为8位

数据位的设置取决于需要传送的信息。比如，如果传送的是标准的ASCII码，则可以将数据位设置为7，如果传输的是扩展的ASCII码，则需要将数据位设置为8

用户线类视图下不支持该命令

配置启动终端会话的快捷键

activation-key character

缺省情况下，按<Enter>键启动终端会话

配置中止当前运行任务的快捷键

escape-key { character | default }

缺省情况下，键入<Ctrl+C>中止当前运行的任务

配置流量控制方式

flow-control { hardware | none | software }

缺省情况下，流量控制方式为none

用户线类视图下不支持该命令

配置终端的显示类型

terminal type { ansi | vt100 }

缺省情况下，终端显示类型为ANSI

当设备的终端类型与客户端（如超级终端或者Telnet客户端等）的终端类型不一致，或者均设置为ANSI，并且当前编辑的命令行的总字符数超过80个字符时，客户端会出现光标错位、终端屏幕不能正常显示的现象。建议两端都设置为VT100类型

设置终端屏幕一屏显示的行数

screen-length screen-length

缺省情况下，终端屏幕一屏显示的行数为24行

screen-length 0表示关闭分屏显示功能

设置历史命令缓冲区大小

history-command max-size value

缺省情况下，每个用户的历史缓冲区的大小为10，即可存放10条历史命令

设置用户线的超时时间

idle-timeout minutes [ seconds ]

缺省情况下，所有的用户线的超时时间为10分钟，如果直到超时时间到达，某用户线一直没有用户进行操作，则该用户线将自动断开

idle-timeout 0表示永远不会超时

配置设备作为Telnet服务器时的认证方式

配置Telnet登录设备时无需认证（none）

必选

请根据实际需要选择其中的一种认证方式

3.3.1  2.

配置Telnet登录设备时采用密码认证（password）

3.3.1  3.

配置Telnet登录设备时采用AAA认证（scheme）

3.3.1  4.

配置Telnet登录同时在线的最大用户连接数

可选

3.3.1  5.

配置Telnet服务器发送报文的DSCP优先级

可选

3.3.1  6.

配置VTY用户线的公共属性

可选

3.3.1  7.

进入系统视图

system-view

-

使能设备的Telnet服务

telnet server enable

缺省情况下，Telnet服务处于关闭状态

进入一个或多个VTY用户线视图

line vty first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入VTY用户线类视图

line class vty

设置VTY登录用户的认证方式为不认证

authentication-mode none

缺省情况下，VTY用户线的认证方式为password

用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值

配置从当前用户线登录设备的用户角色

user-role role-name

缺省情况下，通过Telnet登录设备的用户角色为network-operator。

进入系统视图

system-view

-

使能设备的Telnet服务

telnet server enable

缺省情况下，Telnet服务处于关闭状态

进入一个或多个VTY用户线视图

line vty first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入VTY用户线类视图

line class vty

设置登录用户的认证方式为密码认证

authentication-mode password

缺省情况下，VTY用户线的认证方式为password

用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值

设置密码认证的密码

set authentication password { hash | simple } password

缺省情况下，没有设置密码认证的密码

（可选）配置从当前用户线登录设备的用户角色

user-role role-name

缺省情况下，通过Telnet登录设备的用户角色为network-operator。

进入系统视图

system-view

-

使能设备的Telnet服务

telnet server enable

缺省情况下，Telnet服务处于关闭状态

进入一个或多个VTY用户线视图

line vty first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入VTY用户线类视图

line class vty

设置登录用户的认证方式为通过AAA认证

authentication-mode scheme

缺省情况下，VTY用户线的认证方式为password

用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值

进入系统视图

system-view

-

配置Telnet登录同时在线的最大用户连接数

aaa session-limit telnet max-sessions

缺省情况下，最大用户连接数为32

配置本命令后，已经在线的用户连接不会受到影响，只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值，则新的连接请求会被拒绝，登录会失败

关于该命令的详细描述，请参见“安全命令参考”中的“AAA”

进入系统视图

system-view

-

配置Telnet服务器发送报文的DSCP优先级

telnet server dscp dscp-value

缺省情况下，Telnet服务器发送Telnett报文的DSCP优先级48

进入系统视图

system-view

-

进入一个或多个VTY用户线视图

line vty first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入VTY用户线类视图

line class vty

启动终端服务

shell

缺省情况下，在所有的用户线上启动终端服务

配置VTY用户线支持的协议

protocol inbound { all | ssh | telnet }

缺省情况下，设备同时支持Telnet和SSH协议

使用该命令配置的协议将在用户下次使用该用户线登录时生效

用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值

配置中止当前运行任务的快捷键

escape-key { character | default }

缺省情况下，键入<Ctrl+C>中止当前运行的任务

配置终端的显示类型

terminal type { ansi | vt100 }

缺省情况下，终端显示类型为ANSI

设置终端屏幕一屏显示的行数

screen-length screen-length

缺省情况下，终端屏幕一屏显示的行数为24行

screen-length 0表示关闭分屏显示功能

设置设备历史命令缓冲区大小

history-command max-size value

缺省情况下，每个用户的历史缓冲区大小为10，即可存放10条历史命令

设置VTY用户线的超时时间

idle-timeout minutes [ seconds ]

缺省情况下，所有的用户线的超时时间为10分钟

如果10分钟内某用户线没有用户进行操作，则该用户线将自动断开

idle-timeout 0表示永远不会超时

设置从用户线登录后自动执行的命令

auto-execute command command

缺省情况下，未设定自动执行命令

配置自动执行命令后，用户在登录时，系统会自动执行已经配置好的命令，执行完命令后，自动断开用户连接。如果这条命令引发起了一个任务，系统会等这个任务执行完毕后再断开连接。该命令通常用来配置telnet命令，使用户登录时自动连接到指定的主机

进入系统视图

system-view

-

（可选）指定设备作为Telnet客户端时，发送Telnet报文的源IPv4地址或源接口

telnet client source { interface interface-type interface-number | ip ip-address }

缺省情况下，没有指定发送Telnet报文的源IPv4地址和源接口，使用报文路由出接口的主IPv4地址作为Telnet报文的源地址

退回到用户视图

quit

-

设备作为Telnet客户端登录到Telnet服务器

telnet remote-host [ service-port ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ip ip-address } ] [ dscp dscp-value ]

本命令在用户视图下执行

进入系统视图

system-view

-

生成本地密钥对

public-key local create { dsa | rsa | ecdsa } [ name key-name ]

缺省情况下，没有生成密钥对

使能SSH服务器功能

ssh server enable

缺省情况下，SSH服务器功能处于关闭状态

（可选）建立SSH用户，并指定SSH用户的认证方式

非FIPS模式下：

ssh user username service-type stelnet authentication-type { password | { any | password-publickey | publickey } assign publickey keyname }

FIPS模式下：

ssh user username service-type stelnet authentication-type { password | password-publickey assign publickey keyname }

缺省情况下，不存在任何SSH用户

进入VTY用户线视图

line vty first-number [ last-number ]

二者选其一

·     用户线视图下的配置优先于用户线类视图下的配置

·     用户线视图下的配置只对该用户线生效且立即生效

·     用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效

·     用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值，则直接采用该属性的缺省值

进入VTY用户线类视图

line class vty

配置登录用户线的认证方式为scheme方式

authentication-mode scheme

非FIPS模式下：缺省情况下，VTY用户线认证为password方式

FIPS模式下：缺省情况下，VTY用户线认证为scheme方式

用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值

（可选）配置VTY用户线支持的SSH协议

非FIPS模式下：

protocol inbound { all | ssh | telnet }

FIPS模式下：

protocol inbound ssh

非FIPS模式下：缺省情况下，设备同时支持Telnet和SSH协议

FIPS模式下：缺省情况下，设备支持SSH协议

使用该命令配置的协议将在用户下次使用该用户线登录时生效

用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值

（可选）配置SSH方式登录设备时，同时在线的最大用户连接数

aaa session-limit ssh max-sessions

缺省情况下，最大用户连接数为32

配置本命令后，已经在线的用户连接不会受到影响，只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值，则新的连接请求会被拒绝，登录会失败

关于该命令的详细描述，请参见“安全命令参考”中的“AAA”

退回系统视图

quit

-

（可选）配置VTY用户线的公共属性

-

详细配置请参见“3.3.1  7. 配置VTY用户线的公共属性”

设备作为SSH客户端登录到SSH IPv4服务器

ssh2 server

此命令在用户视图下执行

显示当前正在使用的用户线以及用户的相关信息

display users

在任意视图下执行

显示设备支持的所有用户线以及用户的相关信息

display users all

在任意视图下执行

显示用户线的相关信息

display line [ num1 | { aux |  vty } num2 ] [ summary ]

在任意视图下执行

显示设备作为Telnet客户端的相关配置信息

display telnet client

在任意视图下执行

释放指定的用户线

free line { num1 | { aux | vty } num2 }

在用户视图下执行

系统支持多个用户同时对设备进行配置，当管理员在维护设备时，其它在线用户的配置影响到管理员的操作，或者管理员正在进行一些重要配置不想被其它用户干扰时，可以使用以下命令强制断开该用户的连接

不能使用该命令释放用户当前自己使用的连接

锁住当前用户线，防止未授权的用户操作该线

lock

在用户视图下执行

缺省情况下，系统不会自动锁住当前用户线

FIPS模式下，不支持此命令

向指定的用户线发送消息

send { all | num1 | { aux | vty } num2 }

在用户视图下执行

进入系统视图

system-view

-

启动SNMP Agent服务

snmp-agent

缺省情况下，SNMP Agent服务处于关闭状态

（可选）创建MIB视图或更新MIB视图内容

snmp-agent mib-view { excluded | included } view-name oid-tree [ mask mask-value ]

缺省情况下，设备上已创建了四个视图，视图名均为ViewDefault：

·     视图一包含MIB子树iso

·     视图二不包含子树snmpUsmMIB

·     视图三不包含子树snmpVacmMIB

·     视图四不包含子树snmpModules.18

创建SNMPv3组

snmp-agent group v3 group-name [ authentication | privacy ] [ read-view view-name ] [ write-view view-name ] [ notify-view view-name ] [ acl acl-number ] *

缺省情况下，设备上没有配置SNMP组

创建SNMPv3用户

snmp-agent usm-user v3 user-name group-name [ remote ip-address [ vpn-instance vpn-instance-name ] ] [ { cipher | simple } authentication-mode { md5 | sha } auth-password [ privacy-mode { aes128 | des56 } priv-password ] ] [ acl acl-number ] *

当设备需要向目的主机发送SNMPv3 Inform信息时，remote ip-address参数必选

进入系统视图

system-view

-

启动SNMP Agent服务

snmp-agent

缺省情况下，SNMP Agent服务处于关闭状态

（可选）创建MIB视图或更新MIB视图内容

snmp-agent mib-view { excluded | included } view-name oid-tree [ mask mask-value ]

缺省情况下，设备上已创建了四个视图，视图名均为ViewDefault：

·     视图一包含MIB子树iso

·     视图二不包含子树snmpUsmMIB

·     视图三不包含子树snmpVacmMIB

·     视图四不包含子树snmpModules.18

设置访问权限

直接设置

创建一个新的SNMP团体

snmp-agent community { read | write } [ simple | cipher ]  community-name [ mib-view view-name ] [ acl acl-number ] *

二者选其一

直接设置是以SNMPv1和SNMPv2c版本的团体名进行设置

间接设置采用与SNMPv3版本一致的命令形式，添加的用户到指定的组，即相当于SNMPv1和SNMPv2c版本的团体名，在NMS上配置的团体名需要跟Agent上配置的用户名一致

间接设置

设置一个SNMP组

snmp-agent group { v1 | v2c } group-name [ read-view view-name ] [ write-view view-name ] [ notify-view view-name ] [ acl acl-number ] *

为一个SNMP组添加一个新用户

snmp-agent usm-user { v1 | v2c } user-name group-name [ acl acl-number ] *