- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-登录设备配置
本章节下载： 02-登录设备配置 (786.64 KB)
2.2.4 配置通过Console口登录设备时无需认证（None）
2.2.5 配置通过Console口登录设备时采用密码认证（Password）
2.2.6 配置通过Console口登录设备时采用AAA认证（Scheme）
2.3.3 配置通过Telnet Client登录设备时无需认证（None）
2.3.4 配置通过Telnet Client登录设备时采用密码认证（Password）
2.3.5 配置通过Telnet Client登录设备时采用AAA认证（Scheme）
2.3.7 配置设备充当Telnet Client登录到Telnet Server
用户可以通过以下几种方式登录到设备上，对设备进行配置和管理：
|
通过CLI登录设备 |
缺省情况下，用户可以直接通过Console口或者AUX口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3 |
|
|
缺省情况下，用户可以直接通过Telnet方式登录设备，缺省配置如下： · 设备的IP地址为192.168.0.100/24（设备管理口没有IP地址） · Telnet登录的用户名为admin，密码为admin |
||
|
缺省情况下，用户不能直接通过SSH方式登录设备。如需采用SSH方式登录，需要先登录设备、并完成如下配置： · 开启设备SSH功能并完成SSH属性的配置 · 配置设备接口的IP地址，确保设备与SSH登录用户间路由可达 · 配置VTY用户的认证方式为scheme（缺省情况下，VTY用户采用Password认证方式） · 配置VTY用户的用户级别（缺省情况下，VTY用户的用户级别为0） |
||
|
缺省情况下，用户可以直接通过Web登录设备。缺省配置如下： · 设备的IP地址为192.168.0.100/24（设备管理口没有配置IP地址） · Web用户的用户名为admin，密码为admin |
||
|
缺省情况下，用户不能直接通过NMS登录设备。如需采用NMS方式登录，需要先登录设备、并完成如下配置： · 配置设备接口的IP地址，确保设备与NMS登录用户间路由可达 · 配置SNMP基本参数 |
||
在以下的章节中，将分别为您介绍如何通过Console口、AUX口、Telnet、Web及NMS登录到设备上。
当用户使用Console口、AUX口、Telnet或者SSH方式登录设备的时候，系统会分配一个用户界面（也称为Line）用来管理、监控设备和用户间的当前会话。每个用户界面有对应的用户界面视图（User-interface view），在用户界面视图下网络管理员可以配置一系列参数，比如用户登录时是否需要认证、是否重定向到别的设备以及用户登录后的级别等，当用户使用该用户界面登录的时候，将受到这些参数的约束，从而达到统一管理各种用户会话连接的目的。
· Console口本地配置
· AUX口本地配置
· Telnet或SSH本地或远程配置
· Console用户界面：用来管理和监控通过Console口登录的用户。Console口端口类型为EIA/TIA-232 DCE。
· AUX用户界面：用来管理和监控通过AUX口登录的用户。AUX口（Auxiliary port，辅助端口）端口类型为EIA/TIA-232 DTE。
· VTY（Virtual Type Terminal，虚拟类型终端）用户界面：用来管理和监控通过VTY方式登录的用户。VTY口属于逻辑终端线，用于对设备进行Telnet或SSH访问。
用户界面的管理和监控对象是使用某种方式登录的用户，虽然单个用户界面某一时刻只能被一个用户使用，但它并不针对某个用户。比如用户A使用Console口登录设备时，将受到Console用户界面视图下配置的约束，当使用VTY 1登录设备时，将受到VTY 1用户界面视图下配置的约束。
根据设备的硬件配备情况，一台设备上可能有多个以太网接口，所以设备可能支持多个VTY用户界面，这些用户界面与用户并没有固定的对应关系。用户登录时，系统会根据用户的登录方式，自动给用户分配一个当前空闲的、编号最小的某类型的用户界面，整个登录过程将受该用户界面视图下配置的约束。同一用户登录的方式不同，分配的用户界面不同；同一用户登录的时机不同，分配的用户界面可能不同。
使用绝对编号方式，可以唯一的指定一个用户界面或一组用户界面。绝对编号从0开始自动编号，每次增长1，先给所有Console用户界面编号，然后是所有AUX用户界面，最后是所有VTY用户界面。使用display user-interface（不带参数）可查看到设备当前支持的用户界面以及它们的绝对编号。
相对编号是每种类型用户界面的内部编号。该方式只能指定某种类型的用户界面中的一个或一组，而不能跨类型操作。
相对编号方式的形式是：“用户界面类型 编号”，遵守如下规则：
· 控制台的编号：CON 0。
· 辅助接口的编号：AUX 0。
· VTY的编号：第一个为VTY 0，第二个为VTY 1，依次类推。
CLI（命令行接口）是用户与设备之间的文本类指令交互界面，用户键入文本类命令，通过输入回车键提交设备执行相关命令，用户可以输入命令对设备进行配置，并可以通过查看输出的信息确认配置结果，方便用户配置和管理设备。
通过CLI登录设备包括：通过Console口(AUX口)、Telnet、SSH三种登录方式。当您使用Console口(AUX口)、Telnet、SSH登录设备时，都需要使用CLI来与设备进行交互。
以下章节将分别为您介绍如何通过Console口(AUX口)、Telnet、SSH登录到设备，并配置通过Console口、Telnet、SSH登录设备时的认证方式、用户级别及公共属性，来实现对登录用户的控制和管理。
· 配置通过Console口和AUX口登录设备的内容完全相同，此处仅以配置通过Console口登录设备为例进行介绍。
· Console口和AUX口的支持情况与设备的型号有关，请参见“配置指导导读”中的“特性差异情况”部分的介绍。
通过Console口进行本地登录是登录设备的最基本的方式，也是配置通过其他方式登录设备的基础。如图2-1所示。
图2-1 通过Console口登录设备示意图
通过Console口进行本地登录，用户登录到设备上后，即可以对各种登录方式进行配置。
· 设备缺省情况下，如何通过Console口登录设备。具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
· 设备Console口支持的登录方式及配置Console口登录认证方式的意义、各种认证方式的特点及注意事项。具体请参见2.2.3 Console口登录的认证方式介绍。
· 当用户确定了今后通过Console口登录设备时将采用何种认证方式后、并通过缺省配置登录到设备后，用户如何在设备上配置Console口登录设备时的认证方式及用户级别，实现对Console口登录用户的控制和管理。具体请参见2.2.4 配置通过Console口登录设备时无需认证（None）、2.2.5 配置通过Console口登录设备时采用密码认证（Password）及2.2.6 配置通过Console口登录设备时采用AAA认证（Scheme）。
· 配置通过Console口登录设备时的公共属性。具体请参见2.2.7 配置Console口登录方式的公共属性（可选）。
表2-1 通过Console登录设备需要具备的条件
|
Console口登录用户 |
|
当用户使用Console口登录设备时，用户终端的通信参数配置要和设备Console口的缺省配置保持一致，才能通过Console口登录到设备上。设备Console口的缺省配置如下：
表2-2 设备Console口缺省配置
(1) 给PC机断电。因为PC机串口不支持热插拔，请不要在PC机带电的情况下，将串口插入或者拔出PC机。
(2) 请使用产品随机附带的配置口电缆连接PC机和设备。请先将配置电缆的DB-9（孔）插头插入PC机的9芯（针）串口插座，再将RJ-45插头端插入设备的Console口中。
图2-2 将设备与PC通过配置口电缆进行连接
在拆下时，先拔出RJ-45端，再拔下DB-9端。
(2) 给PC机上电。
(3) 在PC机上运行终端仿真程序（如Windows XP/Windows 2000的超级终端等，以下配置以Windows XP为例），选择与设备相连的串口，设置终端通信参数：传输速率为9600bit/s、8位数据位、1位停止位、无校验和无流控，如图2-3至图2-5所示。
如果您的PC使用的是Windows 2003 Server操作系统，请在Windows组件中添加超级终端程序后，再按照本文介绍的方式登录和管理设备；如果您的PC使用的是Windows 2008 Server、Windows 7 、Windows Vista或其他操作系统，请您准备第三方的终端控制软件，使用方法请参照软件的使用指导或联机帮助。
(4) 设备上电，终端上显示设备自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如<H3C>），如图2-6所示。
(5) 键入命令，配置设备或查看设备运行状态。需要帮助可以随时键入“?”，具体的配置命令请参考本手册中相关部分的内容。
通过在Console口用户界面下配置认证方式，可以对使用Console口登录的用户进行限制，以提高设备的安全性。Console口支持的认证方式有none、password和scheme三种。
· 认证方式为none：表示下次使用Console口本地登录设备时，不需要进行用户名和密码认证、任何人都可以通过Console口登录到设备上，这种情况可能会带来安全隐患。
· 认证方式为password：表示下次使用Console口本地登录设备时，需要进行密码认证、只有密码认证成功、用户才能登录到设备上。配置认证方式为password后，请妥善保存密码。
· 认证方式为scheme：表示下次使用Console口登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。用户认证又分为本地认证和远程认证，如果采用本地认证，则需要配置本地用户及相应参数；如果采用远程认证，则需要在远程认证服务器上配置用户名和密码。有关用户认证方式及参数的详细介绍请参见“安全配置指导”中的“AAA”。配置认证方式为scheme后，请妥善保存用户名及密码。
不同的认证方式下，Console口登录方式需要进行的配置不同，具体配置如表2-3所示。
|
采用远端AAA服务器认证 |
||||
|
在AAA服务器上配置相关的用户名和密码 |
||||
|
在设备上配置域使用的AAA方案为本地认证 |
||||
改变Console口登录方式的认证方式后，该认证方式的设置不会立即生效。用户需要退出命令行接口后重新登录，该设置才会生效。
用户已经成功登录到了设备上，并希望以后通过Console口登录设备时无需进行认证。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
表2-4 配置用户通过Console口登录设备时无需认证
|
进入Console口用户界面视图 |
||
|
缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证） |
||
|
配置Console口的公共属性 |
配置完成后，当用户再次通过Console口登录设备时，设备将提示用户键入回车，之后将出现命令行提示符（如<H3C>）。
用户已经成功登录到了设备上，并希望以后通过Console口登录设备时采用密码认证、以提高设备的安全性。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
表2-5 配置用户通过Console口登录设备时采用密码认证
|
进入Console用户界面视图 |
||
|
缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证） |
||
|
set authentication password [ hash ] { cipher | simple } password |
||
|
配置Console口的公共属性 |
配置完成后，当用户再次通过Console口登录设备时，键入回车后，设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>）。
用户已经成功的登录到了设备上，并希望以后通过Console口登录设备时采用AAA认证、以提高设备的安全性。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
表2-6 配置用户通过Console口登录设备时采用AAA认证
|
进入Console用户界面视图 |
|||
|
具体采用本地认证还是RADIUS认证、HWTACACS认证视AAA方案配置而定 缺省情况下，用户通过Console口登录，认证方式为none（即不需要进行认证） |
|||
|
· 缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 · 缺省情况下，用户登录设备后可以使用的命令行由用户级别决定，用户只能使用缺省级别等于/低于用户级别的命令行。配置命令行授权功能后，用户可使用的命令行将受到用户级别和AAA授权的双重限制。即便是足够级别的用户每执行一条命令都会进行授权检查，只有授权成功的命令才被允许执行。 |
|||
|
· 缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 · 命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录。 |
|||
|
进入ISP域视图 |
缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： · 设备上的RADIUS、HWTACACS方案配置请参见“安全配置指导”中的“AAA” · AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书 |
||
|
配置Console口的公共属性 |
|||
使能命令行授权功能或命令行计费功能后，还需要进行如下配置才能保证命令行授权功能生效：
· 需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数；
· 需要在ISP域中引用已创建的HWTACACS方案。
详细介绍请参见“安全配置指导”中的“AAA”。
需要注意的是用户采用Scheme认证方式登录设备时，其所能访问的命令级别取决于AAA方案中定义的用户级别。
· AAA方案为local认证时，用户级别通过authorization-attribute level level命令设定。
· AAA方案为RADIUS或者HWTACACS方案认证时，在相应的RADIUS或者HWTACACS服务器上设定相应用户的级别。
有关AAA、RADIUS、HWTACACS的详细内容，请参见“安全配置指导”中的“AAA”。
配置完成后，当用户再次通过Console口登录设备时，键入回车后，设备将要求用户输入登录用户名和密码，正确输入用户名和密码并回车，登录界面中出现命令行提示符（如<H3C>）。
表2-7 Console口登录方式公共属性配置
|
进入Console用户界面视图 |
||
|
缺省情况下，Console口使用的传输速率为9600bit/s |
||
|
缺省情况下，Console口的校验方式为none，即不进行校验 |
||
|
缺省情况下，Console口的停止位为1 |
||
|
缺省情况下，Console口的数据位为8位 数据位的设置取决于需要传送的信息。比如，如果传送的是标准的ASCII码，则可以将数据位设置为7，如果传输的是扩展的ASCII码，则需要将数据位设置为8 |
||
|
缺省情况下，按<Enter>键启动终端会话 |
||
|
缺省情况下，键入<Ctrl+C>中止当前运行的任务 |
||
|
当设备的终端类型与客户端（如超级终端或者Telnet客户端等）的终端类型不一致，或者均设置为ANSI，并且当前编辑的命令行的总字符数超过80个字符时，客户端会出现光标错位、终端屏幕不能正常显示的现象。建议两端都设置为VT100类型 |
||
|
缺省情况下，从Console用户界面登录后可以访问的命令级别为3级 |
||
|
screen-length 0表示关闭分屏显示功能 |
||
|
缺省情况下，每个用户的历史缓冲区的大小为10，即可存放10条历史命令 |
||
|
缺省情况下，所有的用户界面的超时时间为10分钟，如果10分钟内某用户界面没有用户进行操作，则该用户界面将自动断开 idle-timeout 0表示关闭用户界面的超时功能 |
改变Console口属性后会立即生效，所以通过Console口登录来配置Console口属性可能在配置过程中发生连接中断，建议通过其他登录方式来配置Console口属性。若用户需要通过Console口再次登录设备，需要改变PC机上运行的终端仿真程序的相应配置，使之与设备上配置的Console口属性保持一致。
在FIPS模式下不支持通过Telnet登录设备。
设备支持Telnet功能，用户可以通过Telnet方式登录到设备上，对设备进行远程管理和维护。如图2-7。
图2-7 通过Telnet登录设备示意图
表2-8 采用Telnet方式登录需要具备的条件
|
Telnet服务器端 |
配置设备VLAN接口或管理接口的IP地址，设备与Telnet用户间路由可达 |
|
配置Telnet登录的认证方式和其它配置（根据Telnet服务器端的情况而定） |
|
|
Telnet客户端 |
运行Telnet程序 |
|
获取要登录设备VLAN接口或管理接口的IP地址 |
设备可以作为Telnet Client登录到Telnet Server上，从而对其进行操作。
· 设备支持Telnet Server功能、可作为Telnet Server，并可在设备上进行一系列的配置，从而实现对不同Telnet Client登录的具体认证方式、用户级别等方面的控制与管理。
· 缺省情况下，设备的Telnet Server功能处于开启状态，通过Telnet方式登录设备的认证方式为scheme。
本节将为您介绍设备充当Telnet服务器端时：
· 设备支持的各种登录认证方式及配置Telnet登录认证方式的意义、各种认证方式的特点及注意事项。具体介绍请参见2.3.2 Telnet登录的认证方式介绍。
· 当用户确定了今后通过Telnet客户端登录设备时将采用何种认证方式后、并已成功登录到设备后，用户如何在设备上配置Telnet客户端登录设备时的认证方式、用户级别及公共属性，从而实现对Telnet登录用户的控制和管理。具体介绍请参见2.3.3 配置通过Telnet Client登录设备时无需认证（None）、2.3.4 配置通过Telnet Client登录设备时采用密码认证（Password）及2.3.5 配置通过Telnet Client登录设备时采用AAA认证（Scheme）。
· 配置通过Telnet登录设备时的公共属性。具体介绍请参见2.3.6 配置VTY用户界面的公共属性（可选）。
本节还将为您介绍设备充当Telnet客户端、Telnet登录到Server时的配置，具体请参见2.3.7 配置设备充当Telnet Client登录。
通过在Telnet的用户界面下配置认证方式，可以对使用Telnet登录的用户进行限制，以提高设备的安全性。通过Telnet登录支持的认证方式有none、password和scheme三种。
· 认证方式为none：表示下次使用Telnet登录设备时不需要进行用户名和密码认证，任何人都可以通过Telnet登录到设备上，这种情况可能会带来安全隐患。
· 认证方式为password：表示下次使用Telnet登录设备时需要进行密码认证，只有密码认证成功，用户才能登录到设备上。配置认证方式为password后，请妥善保存密码，如果密码丢失，可以使用Console口登录到设备，对Telnet的密码配置进行修改。
· 认证方式为scheme：表示下次使用Telnet登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。用户认证又分为本地认证和远程认证，如果采用本地认证，则需要配置本地用户及相应参数；如果采用远程认证，则需要在远程认证服务器上配置用户名和密码。有关用户认证方式及参数的详细介绍请参见“安全配置指导”中的“AAA”。配置认证方式为scheme后，请妥善保存用户名及密码，如果本地认证密码丢失，可以使用Console口登录到设备，对Telnet的密码配置进行修改。如果远程认证密码丢失，建议您联系服务器管理员。
不同的认证方式下，Telnet登录方式需要进行的配置不同，具体配置如表2-9所示。
表2-9 配置Telnet登录的认证方式
|
采用远端AAA服务器认证 |
||||
|
在AAA服务器上配置相关的用户名和密码 |
||||
|
在设备上配置域使用的AAA方案为本地认证 |
||||
用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时无需进行认证。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
|
缺省情况下，Telnet服务处于开启状态 |
||
|
进入一个或多个VTY用户界面视图 |
||
|
设置VTY登录用户的认证方式为不认证 |
缺省情况下，VTY用户界面的认证方式为password |
|
|
缺省情况下，通过VTY用户界面登录系统所能访问的命令级别是0 |
||
|
配置VTY用户界面的公共属性 |
配置完成后，当用户再次通过Telnet登录设备时：
· 用户将直接进入VTY用户界面，如下所示。
******************************************************************************
* Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
******************************************************************************
<H3C>
· 如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。
用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行密码认证。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
|
缺省情况下，Telnet服务处于开启状态 |
||
|
进入一个或多个VTY用户界面视图 |
||
|
缺省情况下，VTY用户界面的认证方式为password |
||
|
set authentication password [ hash ] { cipher | simple } password |
||
|
缺省情况下，通过VTY用户界面登录系统所能访问的命令级别是0 |
||
|
配置VTY用户界面的公共属性 |
配置完成后，当用户再次通过Telnet登录设备时：
· 设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>），如下所示。
******************************************************************************
* Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
******************************************************************************
Login authentication
Password:
<H3C>
· 如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。
用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行AAA认证。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
表2-12 配置用户通过Telnet登录设备时采用AAA认证
|
缺省情况下，Telnet服务处于开启状态 |
|||
|
进入一个或多个VTY用户界面视图 |
|||
|
具体采用本地认证还是RADIUS认证、HWTACACS认证视AAA方案配置而定 |
|||
|
缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 · 需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数，详细介绍请参见“安全配置指导”中的“AAA” · 需要在ISP域中引用已创建的HWTACACS方案，详细介绍请参见“安全配置指导”中的“AAA” |
|||
|
· 缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 · 命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录 |
|||
|
进入ISP域视图 |
缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： · AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书 |
||
|
配置VTY用户界面的公共属性 |
|||
使能命令行授权功能或命令行计费功能后，还需要进行如下配置才能保证命令行授权功能生效：
· 需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数；
· 需要在ISP域中引用已创建的HWTACACS方案。详细介绍请参见“安全配置指导”中的“AAA”。
需要注意的是用户采用Scheme认证方式登录设备时，其所能访问的命令级别取决于AAA方案中定义的用户级别。
· AAA方案为local认证时，用户级别通过authorization-attribute level level命令设定。
· AAA方案为RADIUS或者HWTACACS方案认证时，在相应的RADIUS或者HWTACACS服务器上设定相应用户的级别。
有关AAA、RADIUS、HWTACACS的详细内容，请参见“AAA配置指导”中的“AAA”。
配置完成后，当用户再次通过Telnet登录设备时：
· 设备将要求用户输入登录用户名和密码，正确输入用户名（此处以用户为admin为例）和密码并回车，登录界面中出现命令行提示符（如<H3C>），如下所示。
******************************************************************************
* Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
******************************************************************************
Login authentication
Username:admin
Password:
<H3C>
· 如果用户输入正确的登录用户名和密码后，设备提示用户再次输入一个指定类型的密码，则表示当前用户需要进行二次密码认证，即用户还必须根据提示信息输入一个正确的密码后才能通过认证。
· 如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。
表2-13 VTY用户界面的公共属性配置
|
进入一个或多个VTY用户界面视图 |
||
|
配置VTY用户界面支持的协议 |
· 在非FIPS模式下，设备同时支持Telnet和SSH协议 · 在FIPS模式下，设备只支持SSH协议 |
|
|
缺省情况下，键入<Ctrl+C>中止当前运行的任务 |
||
|
screen-length 0表示关闭分屏显示功能 |
||
|
缺省情况下，每个用户的历史缓冲区大小为10，即可存放10条历史命令 |
||
|
设置VTY用户界面的超时时间 |
如果10分钟内某用户界面没有用户进行操作，则该用户界面将自动断开 idle-timeout 0表示关闭用户界面的超时功能 |
|
|
配置自动执行命令后，用户在登录时，系统会自动执行已经配置好的命令，执行完命令后，自动断开用户连接。如果这条命令引发起了一个任务，系统会等这个任务执行完毕后再断开连接。该命令通常用来配置Telnet命令，使用户登录时自动连接到指定的主机 |
· 使用auto-execute command命令后，可能导致用户不能通过该终端线对本系统进行常规配置，需谨慎使用。
· 在配置auto-execute command命令并保存配置（执行save操作）之前，要确保可以通过其他VTY、AUX用户登录进来更改配置，以便出现问题后，能删除该配置。
用户已经成功登录到了设备上，并希望将当前设备作为Telnet Client登录到Telnet Server上进行操作。具体请参见图2-8所示。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
如果Telnet Client与Telnet Server相连的端口不在同一子网内，请确保两台设备间路由可达。
表2-14 设备作为Telnet Client登录到Telnet Server的配置
|
设备作为Telnet Client登录到Telnet Server |
||
|
telnet ipv6 remote-host [ -i interface-type interface-number ] [ port-number ] |
||
|
指定设备作为Telnet客户端时，发送Telnet报文的源IPv4地址或源接口 |
telnet client source { interface interface-type interface-number | ip ip-address } |
缺省情况下，没有指定发送Telnet报文的源IPv4地址和源接口，此时通过路由选择源IPv4地址 |
配置完成后，设备即可登录到相应的Telnet Server上。
SSH是Secure Shell（安全外壳）的简称。用户通过一个不能保证安全的网络环境远程登录到设备时，SSH可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。设备支持SSH功能，用户可以通过SSH方式登录到设备上，对设备进行远程管理和维护如图2-9所示。
表2-15 采用SSH方式登录需要具备的条件
|
SSH服务器端 |
配置设备VLAN接口或管理接口的IP地址，设备与SSH客户端间路由可达 |
|
配置SSH登录的认证方式和其它配置（根据SSH服务器端的情况而定） |
|
|
SSH客户端 |
如果是主机作为SSH客户端，则需要在主机上运行SSH客户端程序 |
|
获取要登录设备VLAN接口或管理接口的IP地址 |
设备可以作为SSH Client登录到SSH Server上，从而对其进行操作。
· 设备支持SSH Server功能：可作为SSH Server，并可在设备上进行一系列的配置、实现对不同SSH Client的登录权限的控制。
· 缺省情况下，设备的SSH Server功能处于关闭状态，因此当您使用SSH方式登录设备前，首先需要通过Console口登录到设备上，开启设备的SSH Server功能、对认证方式及其它属性进行相应的配置，才能保证通过SSH方式正常登录到设备。
· 设备充当SSH服务器端时：当用户确定了今后通过SSH客户端登录设备、并已成功登录到设备后，用户如何在设备上配置SSH客户端登录设备时的认证方式及其它属性，从而实现对SSH登录用户的控制和管理。具体介绍请参见2.4.2 配置设备充当SSH服务器。
· 设备充当SSH客户端时：设备SSH登录到Server时的配置，具体请参见2.4.3 配置设备充当SSH客户端登录其它设备。
用户已经成功登录到了设备上，并希望以后通过SSH Client登录设备。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
表2-16 设备充当SSH服务器时的配置
|
||||
|
||||
|
||||
|
使能SSH服务器功能 |
缺省情况下，SSH服务器功能处于关闭状态 |
|
||
|
进入VTY用户界面视图 |
|
|||
|
配置登录用户界面的认证方式为scheme方式 |
缺省情况下，用户界面认证为password方式 |
|
||
|
protocol inbound { all | ssh | telnet } |
|
|||
|
缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 · 需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数，详细介绍请参见“安全配置指导”中的“AAA” · 需要在ISP域中引用已创建的HWTACACS方案，详细介绍请参见“安全配置指导”中的“AAA” |
||||
|
· 缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 · 命令行计费功能用来在HWTACACS服务器上记录用户对设备执行过的命令（只要设备支持的命令，不管执行成功或者失败都会记录），以便集中监视、控制用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，用户执行的每一条命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则每一条授权成功的命令都会发送到HWTACACS服务器上做记录。 |
||||
|
进入ISP域视图 |
缺省情况下，系统使用的AAA方案为local 如果采用local认证，则必须进行后续的本地用户配置；如果采用RADIUS或者HWTACACS方式认证，则需进行如下配置： · AAA服务器上需要配置相关的用户名和密码，具体请参见服务器的指导书 |
|||
|
||||
|
||||
|
||||
|
||||
|
||||
|
建立SSH用户，并指定SSH用户的认证方式 |
ssh user username service-type stelnet authentication-type { password | { any | password-publickey | publickey } assign publickey keyname } |
|
||
|
配置VTY用户界面的公共属性 |
|
|||
本章只介绍采用password方式认证SSH客户端的配置方法，publickey方式的配置方法及SSH的详细介绍，请参见“安全配置指导”中的“SSH”。
使能命令行授权功能或命令行计费功能后，还需要进行如下配置才能保证命令行授权功能生效：
· 需要创建HWTACACS方案，在方案中指定授权服务器的IP地址以及授权过程的其它参数；
· 需要在ISP域中引用已创建的HWTACACS方案。
详细介绍请参见“安全配置指导”中的“AAA”。
· 用户采用password认证方式登录设备时，其所能访问的命令级别取决于AAA方案中定义的用户级别。AAA方案为local认证时，用户级别通过authorization-attribute level level命令设定；AAA方案为RADIUS或者HWTACACS方案认证时，在相应的RADIUS或者HWTACACS服务器上设定相应用户的级别。有关AAA、RADIUS、HWTACACS的详细内容，请参见“安全配置指导”中的“AAA”。
· 用户采用publickey认证方式登录设备时，其所能访问的命令级别取决于用户界面上通过user privilege level命令配置的级别
用户已经成功登录到了设备上，并希望将当前设备作为SSH Client登录到其它设备上进行操作。具体请参见图2-8所示。
缺省情况下，用户可以直接通过Console口本地登录设备，登录时认证方式为None（不需要用户名和密码），登录用户级别为3。如何在缺省情况下登录设备，具体请参见2.2.2 缺省配置下如何通过Console口登录设备。
如果SSH Client与SSH Server相连的端口不在同一子网内，请确保两台设备间路由可达。
表2-17 设备作为SSH Client登录到其它设备的配置
|
设备作为SSH Client登录到SSH IPv4服务器端 |
server：服务器IPv4地址或主机名称，为1～20个字符的字符串，不区分大小写 |
|
|
设备作为SSH Client登录到SSH IPv6服务器端 |
server：服务器的IPv6地址或主机名称，为1～46个字符的字符串，不区分大小写。 |
为配合SSH Server，设备充当SSH Client时还可进一步进行其它配置，具体请参见“安全配置指导”中的“SSH”。
表2-18 CLI显示和维护
|
display users [ | { begin | exclude | include } regular-expression ] |
||
|
display users all [ | { begin | exclude | include } regular-expression ] |
||
|
console和aux参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍 |
||
|
显示设备作为Telnet客户端的相关配置信息 |
display telnet client configuration [ | { begin | exclude | include } regular-expression ] |
|
|
free user-interface { num1 | { aux | console | vty } num2 } |
系统支持多个用户同时对设备进行配置，当管理员在维护设备时，其他在线用户的配置影响到管理员的操作，或者管理员正在进行一些重要配置不想被其他用户干扰时，可以使用以下命令强制断开该用户的连接 console和aux参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍 |
|
|
console和aux参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍 |
在FIPS模式下不支持通过HTTP方式登录设备。
为了方便您对网络设备进行配置和维护，设备提供Web网管功能。设备提供一个内置的Web服务器，您可以通过PC登录到设备上，使用Web界面直观地配置和维护设备。
缺省情况下，用户能通过Web登录到设备上，设备的IP地址为192.168.0.100/24，Web登录用户名为admin，密码为admin。
· HTTP登录方式：HTTP（Hypertext Transfer Protocol，超文本传输协议）用来在Internet上传递Web页面信息。HTTP位于TCP/IP协议栈的应用层。传输层采用面向连接的TCP。目前，设备支持的HTTP协议版本为HTTP/1.0。
· HTTPS登录方式：HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）是支持SSL（Secure Sockets Layer，安全套接字层）协议的HTTP协议。HTTPS通过SSL协议，使客户端与设备之间交互的数据经过加密处理，并为设备制定基于证书属性的访问控制策略，提高了数据传输的安全性和完整性，保证合法客户端可以安全地访问设备，禁止非法的客户端访问设备，从而实现了对设备的安全管理。
表3-1 通过Web登录设备需要具备的条件
|
配置设备VLAN接口或管理口的IP地址，设备与Web登录用户间路由可达 |
||
|
配置Web登录用户的属性 （HTTP和HTTPs是两种独立的登录方式，不存在配置依赖关系，请根据需要二者必选其一） |
HTTP方式配置 |
|
|
HTTPS方式配置 |
||
|
Web登录用户 |
运行Web浏览器 |
|
|
获取要登录设备VLAN接口或管理口的IP地址 |
||
本节将为您介绍如何通过Web登录设备，并配置通过Web登录时的认证方式及用户级别等，实现对Web登录用户的控制。
· 对于WX5002V2、WX5004、WX3510E、WX3540E、WX5510E通过Web网管直接登录到设备主机；
· 对于LSQM1WCMD0、LSRM1WCM3A1、EWPXM2WCMD0、LSQM1WCMB0、LSBM1WCM2A0、LSRM1WCM2A1、LSWM1WCM10、LSWM1WCM20、 LSUM3WCMD0和EWPXM3WCMD0/EWPXM1WCME0/LSUM1WCME0业务板，可以通过Web网管直接登录到无线控制业务板；
· 对于WX6103，通过Web网管直接登录到设备的主控板，对于设备交换板的登录可参考《H3C WX6103无线控制器交换板操作手册》的“01-登录无线控制器交换板配置”手册的Web登录部分介绍；
· 对于WX3024、WX3010和WX3008，通过Web网管直接登录到设备的无线控制引擎，对于设备交换引擎的登录可参考《H3C WX3000系列有线无线一体化交换机交换引擎 操作手册》的“02-登录交换引擎配置”手册的Web登录部分介绍；
· 对于WX3010E和WX3024E，通过Web网管直接登录到设备的无线控制引擎，对于设备交换引擎的登录可参考《H3C WX3000E有线无线一体化交换机交换引擎 配置指导》的“02-登录交换引擎配置”手册的Web登录部分介绍；
· 对于WX5540E，通过Web网管直接登录到设备的无线控制引擎，对于设备交换引擎的登录可参考《H3C WX5540E无线控制器交换引擎 配置指导》的“02-登录设备”手册的Web登录部分介绍；
表3-2 配置通过HTTP方式登录设备
|
启动HTTP服务器 |
缺省情况下，Web服务器为启动状态 |
|
|
配置HTTP服务的端口号 |
ip http port port-number |
缺省情况下，HTTP服务的端口号为80 如果重复执行此命令，HTTP服务将使用最后一次配置的端口号 |
|
配置HTTP服务与ACL关联 |
缺省情况下，没有ACL与HTTP服务关联 通过将HTTP服务与ACL关联，可以过滤掉来自某些客户端的请求，只允许通过ACL过滤的客户端访问设备 |
|
|
设置Web登录用户连接的超时时间 |
||
|
设置Web日志缓冲区容量 |
||
|
配置Web登录的用户级别 |
缺省情况下，没有配置Web登录的用户级别 |
|
|
配置Web登录用户的服务类型 |
||
|
创建VLAN接口并进入VLAN接口视图 |
如果该VLAN接口已经存在，则直接进入该VLAN接口视图 |
|
|
配置VLAN接口的IP地址 |
缺省情况下，VLAN 1接口的IP地址为192.168.0.100 |
HTTPS登录方式分为以下两种：
· 简便登录方式：采用这种方式时，设备上只需使能HTTPS服务，用户即可通过HTTPS登录设备。此时，设备使用的证书为自签名证书，使用的SSL参数为各个参数的缺省值。这种方式简化了配置，但是存在安全隐患。（自签名证书指的是服务器自己生成的证书，无需从CA获取）
· 安全登录方式：采用这种方式时，设备上不仅要使能HTTPS服务，还需要配置SSL服务器端策略、PKI域等。这种方式配置复杂，但是具有更高的安全性。
表3-3 配置通过HTTPS方式登录设备
|
配置用户访问Web的固定校验码 |
缺省情况下，用户只能使用Web页面显示的校验码访问Web |
|
|
配置HTTPS服务与SSL服务器端策略关联 |
缺省情况下，没有SSL服务器端策略与HTTPS服务关联，HTTPS使用自签名证书 · 关闭HTTPS服务后，系统将自动取消HTTPS服务与SSL服务器端策略的关联。再次使能HTTPS服务之前，需要重新配置HTTPS服务与SSL服务器端策略关联 · HTTPS服务处于使能状态时，对与其关联的SSL服务器端策略进行的修改不会生效 |
|
|
使能HTTPS服务 |
缺省情况下，HTTPS服务处于关闭状态 使能HTTPS服务，会触发SSL的握手协商过程。在SSL握手协商过程中，如果设备的本地证书已经存在，则SSL协商可以成功，HTTPS服务可以正常启动；如果设备的本地证书不存在，则SSL协商过程会触发证书申请流程。由于证书申请需要较长的时间，会导致SSL协商不成功，从而无法正常启动HTTPS服务。因此，在这种情况下，需要多次执行ip https enable命令，这样HTTPS服务才能正常启动 |
|
|
配置HTTPS服务与证书属性访问控制策略关联 |
· 通过将HTTPS服务与已配置的客户端证书属性访问控制策略关联，可以实现对客户端的访问权限进行控制，进一步保证设备的安全性 · 如果配置HTTPS服务与证书属性访问控制策略关联，则必须同时在与HTTPS服务关联的SSL服务器端策略中配置client-verify enable命令，否则，客户端无法登录设备。 · 如果配置HTTPS服务与证书属性访问控制策略关联，则证书属性访问控制策略中必须至少包括一条permit规则，否则任何HTTPS客户端都无法登录设备。 |
|
|
配置HTTPS服务的端口 |
ip https port port-number |
缺省情况下，HTTPS服务的端口号为443 |
|
配置HTTPS服务与ACL关联 |
缺省情况下，没有ACL与HTTPS服务关联 通过将HTTP服务与ACL关联，可以过滤掉来自某些客户端的请求，只允许通过ACL过滤的客户端访问设备 |
|
|
配置用户使用HTTPS登录设备时采用的认证模式 |
缺省情况下，用户使用HTTPS登录设备时采用的认证模式为manual 选择auto认证模式时表示用户通过HTTPS登录设备时，使用客户端的PKI证书自动认证登录 选择manual认证模式时表示用户通过HTTPS登录设备时，设备给出登录页面，用户必须输入合法的用户名和密码后才能登录 |
|
|
设置Web登录用户连接的超时时间 |
||
|
设置Web日志缓冲区容量 |
||
|
配置Web登录的用户级别 |
缺省情况下，没有配置Web登录的用户级别 |
|
|
配置Web登录用户的服务类型 |
||
|
创建VLAN接口并进入VLAN接口视图 |
如果该VLAN接口已经存在，则直接进入该VLAN接口视图 |
|
|
配置VLAN接口的IP地址 |
缺省情况下， VLAN 1接口的IP地址为192.168.0.100 |
在完成上述配置后，在任意视图下执行display命令可以显示Web用户的信息，通过查看显示信息验证配置的效果。
表3-4 Web用户显示
PC与AC通过以太网相连，设备的IP地址为192.168.1.58/24。
图3-1 配置HTTP方式登录组网图
# 创建VLAN 999，用作远程登录，并将AC上与PC相连的接口GigabitEthernet 1/0/1加入VLAN 999.
[AC] vlan 999
[AC-vlan999] port gigabitethernet 1/0/1
[AC-vlan999] quit
# 配置VLAN 999接口的IP地址为192.168.1.58，子网掩码为255.255.255.0。
[AC] interface vlan-interface 999
[AC-VLAN-interface999] ip address 192.168.1.58 255.255.255.0
[AC-VLAN-interface999] quit
# 配置Web网管用户名为admin，认证口令为admin，用户级别为3级。
[AC-luser-admin] service-type web
[AC-luser-admin] authorization-attribute level 3
[AC-luser-admin] password simple admin
# 在PC的浏览器地址栏内输入设备的IP地址并回车，浏览器将显示Web网管的登录页面，如图3-2所示：
图3-2 通过Web登录设备
# 在“Web网管用户登录”对话框中输入用户名、密码及验证码（此处用户名以admin为例），并选择登录使用的语言，点击<登录>按钮后即可登录，显示Web网管初始页面。成功登录后，您可以在配置区对AC进行各种配置。
用户可以通过Web页面访问和控制AC。为了防止非法用户访问和控制AC，提高AC管理的安全性，要求用户以HTTPS（HTTP Security，支持SSL协议的HTTP）的方式登录Web页面，利用SSL协议实现用户身份验证，并保证传输的数据不被窃听和篡改。
· 配置AC作为HTTPS服务器，并为AC申请证书。
· 为HTTPS客户端Host申请证书，以便AC验证其身份。
其中，负责为AC和Host颁发证书的CA（Certificate Authority，认证机构）名称为new-ca。
· 本配置举例中，采用Windows Server作为CA。在CA上需要安装SCEP（Simple Certificate Enrollment Protocol，简单证书注册协议）插件。
· 进行下面的配置之前，需要确保AC、Host、CA之间路由可达。
图3-3 HTTPS配置组网图
(1) 配置HTTPS服务器AC
# 配置PKI实体en，指定实体的通用名为http-server1、FQDN为ssl.security.com。
[AC] pki entity en
[AC-pki-entity-en] common-name http-server1
[AC-pki-entity-en] fqdn ssl.security.com
[AC-pki-entity-en] quit
# 配置PKI域1，指定信任的CA名称为new-ca、注册服务器的URL为http://10.1.2.2/certsrv/mscep/mscep.dll、证书申请的注册受理机构为RA、实体名称为en。
[AC-pki-domain-1] ca identifier new-ca
[AC-pki-domain-1] certificate request url http://10.1.2.2/certsrv/mscep/mscep.dll
[AC-pki-domain-1] certificate request from ra
[AC-pki-domain-1] certificate request entity en
[AC-pki-domain-1] quit
# 生成本地的RSA密钥对。
[AC] public-key local create rsa
# 获取CA的证书。
[AC] pki retrieval-certificate ca domain 1
# 为AC申请证书。
[AC] pki request-certificate domain 1
# 创建SSL服务器端策略myssl，指定该策略使用PKI域1，并配置服务器端需要验证客户端身份。
[AC-ssl-server-policy-myssl] pki-domain 1
[AC-ssl-server-policy-myssl] client-verify enable
[AC-ssl-server-policy-myssl] quit
# 创建证书属性组mygroup1，并配置证书属性规则，该规则规定证书颁发者的DN（Distinguished Name，可识别名称）中包含new-ca。
[AC] pki certificate attribute-group mygroup1
[AC-pki-cert-attribute-group-mygroup1] attribute 1 issuer-name dn ctn new-ca
[AC-pki-cert-attribute-group-mygroup1] quit
# 创建证书访问控制策略myacp，并建立控制规则，该规则规定只有由new-ca颁发的证书可以通过证书访问控制策略的检测。
[AC] pki certificate access-control-policy myacp
[AC-pki-cert-acp-myacp] rule 1 permit mygroup1
[AC-pki-cert-acp-myacp] quit
# 配置HTTPS服务与SSL服务器端策略myssl关联。
[AC] ip https ssl-server-policy myssl
# 配置HTTPS服务与证书属性访问控制策略myacp关联，确保只有从new-ca获取证书的HTTPS客户端可以访问HTTPS服务器。
[AC] ip https certificate access-control-policy myacp
# 使能HTTPS服务。
# 创建本地用户usera，密码为123，服务类型为web。
[AC-luser-usera] password simple 123
[AC-luser-usera] service-type web
[AC-luser-usera] authorization-attribute level 3
(2) 配置HTTPS客户端Host
在Host上打开IE浏览器，输入网址http://10.1.2.2/certsrv，根据提示为Host申请证书。
在Host上打开IE浏览器，输入网址https://10.1.1.1，选择new-ca为Host颁发的证书，即可打开AC的Web登录页面。在登录页面，输入用户名usera，密码123，则可进入AC的Web配置页面，实现对AC的访问和控制。
· HTTPS服务器的URL地址以“https://”开始，HTTP服务器的URL地址以“http://”开始。
· PKI配置命令的详细介绍请参见“安全命令参考”中的“PKI”；
· public-key local create rsa命令的详细介绍请参见“安全命令参考”中的“公钥管理”；
· SSL配置命令的详细介绍请参见“安全命令参考”中的“SSL”。
在FIPS模式下不支持通过NMS登录设备。
用户可通过NMS（Network Management Station，网管工作站）登录到设备上，通过设备上的Agent模块对设备进行管理、配置。设备支持多种NMS软件，如iMC、CAMS等。
缺省情况下，用户不能通过NMS登录到设备上，如果要使用NMS登录设备，您首先需要通过Console口登录到设备上，在设备上进行相关配置。配置完成后，您即可使用NMS网管的方式登录设备。
表4-1 通过NMS登录设备需要具备的条件
|
配置设备VLAN接口的IP地址，设备与NMS间路由可达 |
|
|
配置SNMP基本功能 |
|
|
NMS（网管工作站） |
NMS网管工作站进行了正确配置，具体配置请参见NMS附带的网管手册 |
建立配置环境，将NMS通过网络与设备连接，确保NMS和设备之间路由可达。
图4-1 通过NMS方式登录组网环境
表4-2 配置SNMP基本参数（SNMP v3版本）
|
缺省情况下，SNMP Agent服务处于关闭状态 执行除snmp-agent calculate-password外任何以snmp-agent开头的命令，都可以启动SNMP Agent服务 |
||
|
为SNMP组添加新用户 |
表4-3 配置SNMP基本参数（SNMP v1版本、SNMP v2c版本）
|
缺省情况下，SNMP Agent服务处于关闭状态 执行除snmp-agent calculate-password外任何以snmp-agent开头的命令，都可以启动SNMP Agent服务 |
||||
|
创建或更新MIB视图内容 |
snmp-agent mib-view { excluded | included } view-name oid-tree [ mask mask-value ] |
缺省情况下，视图名为ViewDefault，OID为1 |
||
|
直接设置是以SNMP v1和v2c版本的团体名进行设置 间接设置采用与SNMP v3版本一致的命令形式，添加的用户到指定的组，即相当于SNMP v1和SNMP v2c版本的团体名，在NMS上配置的团体名需要跟Agent上配置的用户名一致 |
||||
|
为一个SNMP组添加一个新用户 |
||||
设备支持SNMP v1、SNMP v2c和SNMP v3三种版本，关于SNMP的详细介绍及配置，请参见“网络管理和监控配置指导”中的“SNMP”。
使用SNMPv3版本通过NMS对设备进行自动管理。
图4-2 通过NMS登录设备典型配置组网图
(1) 配置AC
# 配置设备的IP地址，并确保设备与NMS之间路由可达。（配置步骤略）
# 进入系统视图。
# 启动SNMP Agent服务。
# 配置SNMP组。
[AC] snmp-agent group v3 managev3group
# 为SNMP组添加新用户
[AC] snmp-agent usm-user v3 managev3user managev3group
用户可利用网管系统完成对设备的查询和配置操作，具体情况请参考NMS的配套手册。
NMS侧的版本、用户名配置必须和设备侧保持一致，否则无法进行相应操作。
|
通过无线客户端的SSID对Telnet进行控制 |
|||
|
通过源IP对Telnet进行控制 |
通过基本ACL实现 |
||
|
通过源IP、目的IP对Telnet进行控制 |
通过高级ACL实现 |
||
|
通过源MAC对Telnet进行控制 |
通过二层ACL实现 |
||
|
通过源IP对网管用户进行控制 |
通过基本ACL实现 |
||
|
通过源IP对Web用户进行控制 |
通过基本ACL实现 |
确定了对Telnet的控制策略，包括对哪些源IP、目的IP、源MAC进行控制，控制的动作是允许访问还是拒绝访问。
本配置需要通过WLAN ACL访问控制列表实现根据无线客户端的SSID制定匹配规则，对报文进行相应的分析处理。WLAN ACL访问控制列表的序号取值范围为100～199。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL配置”模块的相关内容。
表5-2 通过无线客户端的SSID对Telnet进行控制
|
创建WLAN ACL并进入WLAN ACL视图 |
||
|
退出ACL视图 |
||
|
user-interface { first-num1 [ last-num1 ] | { aux | console | vty } first-num2 [ last-num2 ] } |
||
|
引用访问控制列表，通过无线客户端的SSID对Telnet进行控制 |
inbound：对Telnet到本无线控制器产品的用户进行ACL控制 |
本配置需要通过基本访问控制列表实现。基本访问控制列表的序号取值范围为2000～2999。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。
表5-3 通过源IP对Telnet进行控制
|
acl [ ipv6 ] number acl-number [ name name ] [ match-order { config | auto } ] |
||
|
为IPv4基本ACL创建规则 |
如果是IPv4组网环境，该步骤必选 缺省情况下，IPv4基本ACL内不存在任何规则 |
|
|
为IPv6基本ACL创建规则 |
如果是IPv6组网环境，该步骤必选 缺省情况下，IPv6基本ACL内不存在任何规则 |
|
|
退出ACL视图 |
||
|
user-interface { first-num1 [ last-num1 ] | { aux | console | vty } first-num2 [ last-num2 ] } |
||
|
引用访问控制列表，通过源IP对Telnet进行控制 |
inbound：对Telnet到本设备的用户进行ACL控制 outbound：对从本设备Telnet到其他Telnet服务器的用户进行ACL控制 |
本配置需要通过高级访问控制列表实现。高级访问控制列表的序号取值范围为3000～3999。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。
|
acl [ ipv6 ] number acl-number [ name name ] [ match-order { config | auto } ] |
||
|
用户可以根据需要配置对相应的源IP、目的IP进行过滤的规则 |
||
|
退出ACL视图 |
||
|
user-interface { first-num1 [ last-num1 ] | { aux | console | vty } first-num2 [ last-num2 ] } |
||
|
引用访问控制列表，通过源IP、目的IP对Telnet进行控制 |
inbound：对Telnet到本设备的用户进行ACL控制 outbound：对从本设备Telnet到其他Telnet服务器的用户进行ACL控制 |
本配置需要通过二层访问控制列表实现。二层访问控制列表的序号取值范围为4000～4999。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。
二层访问控制列表对于Telnet Client的源IP与Telnet服务器的接口IP不在同一网段的不生效。
通过源IP对Telnet进行控制，仅允许来自10.110.100.52和10.110.100.46的Telnet用户访问设备。
图5-1 对AC的Telnet用户进行ACL控制
# 定义基本访问控制列表。
[AC] acl number 2000 match-order config
[AC-acl-basic-2000] rule 1 permit source 10.110.100.52 0
[AC-acl-basic-2000] rule 2 permit source 10.110.100.46 0
[AC-acl-basic-2000] quit
# 引用访问控制列表，允许源地址为10.110.100.52和10.110.100.46的Telnet用户访问设备。
[AC-ui-vty0-4] acl 2000 inbound
设备支持通过网管软件进行远程管理。网管用户可以通过SNMP访问设备。通过引用访问控制列表，可以对访问设备的SNMP用户进行控制。
确定了对网管用户的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问。
本配置需要通过基本访问控制列表实现。基本访问控制列表的序号取值范围为2000～2999。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。
表5-6 通过源IP对网管用户进行控制
|
acl [ ipv6 ] number acl-number [ name name ] [ match-order { config | auto } ] |
||
|
退出ACL视图 |
||
|
在配置SNMP团体名的命令中引用访问控制列表 |
根据网管用户运行的SNMP版本及配置习惯，可以在团体名、组名或者用户名配置时引用访问控制列表，详细介绍请参见“网络管理和监控配置指导”中的“SNMP” |
|
|
在配置SNMPv1/v2c组名的命令中引用访问控制列表 |
||
|
在配置SNMPv3组名的命令中引用访问控制列表 |
||
|
在配置SNMPv1/v2c用户名的命令中引用访问控制列表 |
||
|
在配置SNMPv3用户名的命令中引用访问控制列表 |
通过源IP对网管用户进行控制，仅允许来自10.110.100.52和10.110.100.46的SNMP用户访问设备。
图5-2 对SNMP用户进行ACL控制
# 定义基本访问控制列表。
[AC] acl number 2000 match-order config
[AC-acl-basic-2000] rule 1 permit source 10.110.100.52 0
[AC-acl-basic-2000] rule 2 permit source 10.110.100.46 0
[AC-acl-basic-2000] quit
# 引用访问控制列表，仅允许来自10.110.100.52和10.110.100.46的SNMP用户访问设备。
[AC] snmp-agent community read aaa acl 2000
[AC] snmp-agent group v2c groupa acl 2000
[AC] snmp-agent usm-user v2c usera groupa acl 2000
设备支持通过Web方式进行远程管理。Web用户可以通过HTTP/HTTPS协议访问设备。通过引用访问控制列表，可以对访问设备的Web用户进行控制。
确定了对Web用户的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问。
本配置需要通过基本访问控制列表实现。基本访问控制列表的序号取值范围为2000～2999。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。
表5-7 通过源IP对Web用户进行控制
|
acl [ ipv6 ] number acl-number [ name name ] [ match-order { config | auto } ] |
||
|
退出ACL视图 |
||
|
引用访问控制列表对Web用户进行控制 |
HTTP和HTTPs是两种独立的登录方式，不存在配置依赖关系，请根据需要二者必选其一 |
|
网络管理员可以通过命令行强制在线Web用户下线。
表5-8 强制在线Web用户下线
|
强制在线Web用户下线 |
free web-users { all | user-id user-id | user-name user-name } |
通过源IP对Web用户进行控制，仅允许来自10.110.100.52的Web用户访问设备。
图5-3 对AC的HTTP用户进行ACL控制
# 定义基本访问控制列表。
[AC] acl number 2030 match-order config
[AC-acl-basic-2030] rule 1 permit source 10.110.100.52 0
[AC-acl-basic-2030] quit
# 引用访问控制列表，仅允许来自10.110.100.52的Web用户访问设备。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
