- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-登录设备配置
本章节下载： 02-登录设备配置 (580.13 KB)
设备支持CLI（Command Line Interface，命令行接口）、Web和SNMP（Simple Network Management Protocol，简单网络管理协议）三种登录方式：
· 通过CLI登录设备后，可以直接输入命令行，来配置和管理设备。CLI方式下又根据使用的登录接口以及登录协议不同，分为：通过Console口、Telnet、SSH或Modem登录方式。
· 通过Web登录设备后，用户可以使用Web界面直观地管理和维护网络设备。
· 通过SNMP登录设备后，NMS可以通过Set和Get等操作来配置和管理设备。关于SNMP的详细介绍请参见“网络管理与维护配置指导”中的“SNMP”。
用户首次登录设备时，只能通过Console口登录。登录时认证方式为none（不需要用户名和密码），用户角色为network-admin，详细登录过程请参见“缺省情况下如何通过Console口登录设备”。只有通过Console口登录到设备，进行相应的配置后，才能通过其它方式登录。各登录方式下需要的最小配置详见表1-1。
设备运行于FIPS模式时，不支持Telnet登录或HTTP方式的Web登录。有关FIPS模式的详细介绍请参见“安全配置指导”中的“FIPS”。
|
缺省情况下，Console口登录时认证方式为none，存在安全隐患。用户在首次登录后，可以通过修改Console口登录的认证方式以及其它参数来增强设备的安全性 |
|
|
· 开启设备的Telnet功能 · 配置IP地址，并确保设备与Telnet登录用户间路由可达（缺省情况下，设备没有配置IP地址） · 配置password认证方式的密码，或者更改认证方式并完成相关参数的设置（缺省情况下，VTY用户采用password认证方式） · 配置VTY用户的用户角色（缺省情况下，VTY用户的角色为network-operator） |
|
|
· 开启设备SSH功能并完成SSH属性的配置 · 配置IP地址，并确保设备与SSH登录用户间路由可达（缺省情况下，设备没有配置IP地址） · 配置VTY用户的认证方式为scheme（缺省情况下，VTY用户采用password认证方式） · 配置VTY用户的用户角色（缺省情况下，VTY用户的角色为network-operator） |
|
|
缺省情况下，用户可以直接通过Modem拨号方式登录设备，Modem用户的用户角色为network-admin |
|
|
· 配置设备IP地址，确保设备与Web登录用户间路由可达（缺省情况下，设备没有配置IP地址） · 配置Web用户的用户名与密码（缺省情况下，设备没有创建Web用户名和密码） · 配置Web用户的用户角色（缺省情况下，Web用户的角色为network-operator） · 配置Web用户的服务类型为http或者https（缺省情况下，未配置Web登录用户的服务类型） |
|
|
· 配置IP地址，并确保设备与NMS登录用户间路由可达（缺省情况下，设备没有配置IP地址） · 配置SNMP基本参数 |
通过Console口进行本地登录是登录设备的最基本的方式，也是配置通过其它方式登录设备的基础。
通过Console口登录设备时，请按照以下步骤进行操作：
(1) PC断电。因为PC机串口不支持热插拔，请不要在PC带电的情况下，将串口线插入或者拔出PC机。
(2) 请使用产品随机附带的配置口电缆连接PC机和设备。请先将配置口电缆的DB-9（孔）插头插入PC机的9芯（针）串口中，再将RJ-45插头端插入设备的Console口中。
· 在拆下配置口电缆时，请先拔出RJ-45端，再拔下DB-9端。
图2-1 将设备与PC通过配置口电缆进行连接
(3) 给PC上电。
(4) 在PC机上运行终端仿真程序，选择与设备相连的串口，设置终端通信参数。这些参数的值必须和设备上的值一致，缺省情况如下：
如果PC使用的是Windows Server 2003操作系统，请在Windows组件中添加超级终端程序后，再按照本文介绍的方式登录和管理设备；如果PC使用的是Windows Server 2008、Windows Vista、Windows 7或其它操作系统，请准备第三方的终端控制软件，使用方法请参照软件的使用指导或联机帮助。
(5) 设备上电，终端上显示设备自检信息，自检结束后提示用户键入回车，用户键入回车后将出现命令行提示符（<H3C>），如下所示。
Press Ctrl-B to enter Boot Menu 0
Auto-booting
Decompress Image
OK!
Starting at 0x80100000
Cryptographic algorithms tests passed.
User interface aux0 is available.
Press ENTER to get started.
<H3C>%Sep 24 09:48:54:109 2014 H3C SHELL/4/LOGIN: Console login from aux0
<H3C>
(6) 键入命令，配置设备或查看设备运行状态，需要帮助可以随时键入?。
设备运行于FIPS模式时，不支持用户通过Telnet登录。有关FIPS模式的详细介绍请参见“安全配置指导”中的“FIPS”。
通过CLI登录设备包括：通过Console口、Telnet、SSH或Modem登录方式。
· 缺省情况下，用户不需要任何认证即可通过Console口登录设备，这给设备带来许多安全隐患；
· 缺省情况下，用户不能通过Telnet、SSH以及Modem方式登录设备，这样不利于用户对设备进行远程管理和维护。
因此，用户需要对这些登录方式进行相应的配置，来增加设备的安全性及可管理性。
本文将分别介绍如何配置通过Console口、Telnet、SSH及Modem登录设备时的认证方式、用户角色及公共属性。
用户线用于管理、限制CLI登录用户的访问行为：网络管理员可以给每个用户线配置一系列参数，比如用户登录时是否需要认证、用户登录后的角色等。当用户使用Console口、Telnet、SSH及Modem登录到设备的时候，系统会给用户分配一个用户线，登录用户将受到该用户线下配置参数的约束。
· AUX用户线：用来管理和监控通过Console口登录的用户。
· VTY（Virtual Type Terminal，虚拟类型终端）用户线：用来管理和监控通过Telnet或SSH登录的用户。
用户登录时，系统会根据用户的登录方式，自动给用户分配一个当前空闲的、编号最小的某类型的用户线，整个登录过程将受该用户线视图下配置的约束。用户与用户线并没有固定的对应关系：
· 同一用户登录的方式不同，分配的用户线不同。比如用户A使用Console口登录设备时，将受到AUX用户线视图下配置的约束；当使用Telnet登录设备时，将受到VTY用户线视图下配置的约束。
· 同一用户登录的时间不同，分配的用户线可能不同。比如用户本次使用Telnet登录设备，设备为其分配的用户线是VTY 1。当该用户下次再Telnet登录时，设备可能已经把VTY 1分配给其他Telnet用户了，只能为该用户分配其他的用户线。
如果没有空闲的、相应类型的用户线可分配，则用户不能登录设备。
使用绝对编号方式，可以唯一的指定一个用户线。绝对编号从0开始自动编号，每次增长1，先给所有AUX用户线编号，其次是所有VTY用户线。使用display line（不带参数）可查看到设备当前支持的用户线以及它们的绝对编号。
相对编号是每种类型用户线的内部编号。相对编号方式的形式是：“用户线类型 编号”，遵守如下规则：
· Console口的编号：第一个为AUX 0，第二个为AUX 1，依次类推。
· VTY的编号：第一个为VTY 0，第二个为VTY 1，依次类推。
在用户线下配置认证方式，可以要求当用户使用指定用户线登录时是否需要认证，以提高设备的安全性。非FIPS模式下，设备支持的认证方式有none、password和scheme三种；FIPS模式下，设备仅支持scheme认证方式。
· 认证方式为none：表示下次使用该用户线登录时不需要进行用户名和密码认证，任何人都可以登录到设备上，这种情况可能会带来安全隐患。
· 认证方式为password：表示下次使用该用户线登录时，需要输入密码。只有密码正确，用户才能登录到设备上。配置认证方式为password后，请妥善保存密码。
· 认证方式为scheme：表示下次使用该用户线登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。配置认证方式为scheme后，请妥善保存用户名及密码。
|
在ISP域视图下为login用户配置认证方法 |
用户角色对登录用户至关重要，角色中定义了允许用户操作哪些系统功能以及资源对象，即用户登录后可以执行哪些命令。关于用户角色的详细描述以及配置请参见“基础配置指导”中的“RBAC”。
· 对于none和password认证方式，登录用户的角色由用户线下的用户角色配置决定。
· 对于scheme认证方式，且用户通过SSH的publickey或password-publickey方式登录设备时，登录用户将被授予同名的设备管理类本地用户视图下配置的授权用户角色。
· 对于scheme认证方式，非SSH登录以及用户通过SSH的password方式登录设备时，登录用户使用AAA认证用户的角色配置。尤其对于远程AAA认证用户，如果AAA服务器没有下发用户角色且缺省用户角色授权功能处于关闭状态时，用户将不能登录设备。
通过Console口进行本地登录是登录设备的基本方式之一，用户可以使用本地链路登录设备，便于系统维护。如图3-1所示。
图3-1 通过Console口登录设备示意图
缺省情况下，用户可以直接通过Console口登录设备，登录时认证方式为none（不需要用户名和密码），用户角色为network-admin。用户可以修改认证方式、用户角色以及其它登录参数，来增加设备的安全性及可管理性。
|
配置通过Console口登录设备时的认证方式 |
配置通过Console口登录设备时无需认证（none） |
FIPS模式下，仅支持AAA认证（scheme） |
|
|
配置通过Console口登录设备时采用密码认证（password） |
|||
|
配置通过Console口登录设备时采用AAA认证（scheme） |
|||
|
配置Console口登录方式的公共属性 |
|||
· 改变Console口登录的认证方式后，新认证方式对新登录的用户生效。
· 在多台设备组成IRF前，请先配置AUX用户线类的认证方式为none，用户角色为network-admin。
用户已经成功登录到了设备上，并希望以后通过Console口登录设备时无需进行认证。
表3-3 配置用户通过Console口登录设备时无需认证
|
进入AUX用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入AUX用户线类视图 |
||
|
缺省情况下，用户通过Console口登录，认证方式为none |
||
|
缺省情况下，通过Console口登录设备的用户角色为network-admin |
当用户下次通过Console口登录设备时，无须提供用户名或密码，直接按回车键进入用户视图。
用户已经成功登录到了设备上，并希望以后通过Console口登录设备时采用密码认证，以提高设备的安全性。
表3-4 配置用户通过Console口登录设备时采用密码认证
|
进入AUX用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入AUX用户线类视图 |
||
|
缺省情况下，用户通过Console口登录，认证方式为none |
||
|
缺省情况下，通过Console口登录设备的用户角色为network-admin |
配置完成后，当用户再次通过Console口登录设备，键入回车后，设备将要求用户输入登录密码。正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>）。
用户已经成功的登录到了设备上，并希望以后通过Console口登录设备时采用AAA认证，以提高设备的安全性。
要使配置的AAA认证方式生效，还需要在ISP域视图下配置login认证方法。如果选择本地认证，请配置本地用户及相关属性；如果选择远程认证，请配置相应的远程认证方案。相关详细介绍请参见“安全配置指导”中的“AAA”。
表3-5 配置用户通过Console口登录设备时采用AAA认证
|
进入AUX用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入AUX用户线类视图 |
||
|
缺省情况下，用户通过Console口登录，认证方式为none |
配置完成后，当用户再次通过Console口登录设备，键入回车后，设备将要求用户输入登录用户名和密码。正确输入用户名和密码并回车，登录界面中出现命令行提示符（如<H3C>）。
· 改变Console口属性后会立即生效，所以通过Console口登录来配置Console口属性可能在配置过程中发生连接中断，建议通过其它登录方式来配置Console口属性。
· 若用户需要通过Console口再次登录设备，需要改变PC机上运行的终端仿真程序的相应配置，使之与设备上配置的Console口属性保持一致。否则，连接失败。
|
进入AUX用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入AUX用户线类视图 |
||
|
缺省情况下，Console口使用的传输速率为9600bit/s |
||
|
缺省情况下，Console口的校验方式为none，即不进行校验 |
||
|
缺省情况下，Console口的停止位为1 |
||
|
缺省情况下，Console口的数据位为8位 数据位的设置取决于需要传送的信息。比如，如果传送的是标准的ASCII码，则可以将数据位设置为7，如果传输的是扩展的ASCII码，则需要将数据位设置为8 |
||
|
缺省情况下，按<Enter>键启动终端会话 |
||
|
缺省情况下，键入<Ctrl+C>中止当前运行的任务 |
||
|
当设备的终端类型与客户端（如超级终端或者Telnet客户端等）的终端类型不一致，或者均设置为ANSI，并且当前编辑的命令行的总字符数超过80个字符时，客户端会出现光标错位、终端屏幕不能正常显示的现象。建议两端都设置为VT100类型 |
||
|
screen-length 0表示关闭分屏显示功能 |
||
|
缺省情况下，每个用户的历史缓冲区的大小为10，即可存放10条历史命令 |
||
|
缺省情况下，所有的用户线的超时时间为10分钟，如果直到超时时间到达，某用户线一直没有用户进行操作，则该用户线将自动断开 idle-timeout 0表示永远不会超时 |
设备可以作为Telnet服务器，以便用户能够Telnet登录到设备进行远程管理和监控。具体请参见“3.3.1 配置设备作为Telnet服务器”。
设备也可以作为Telnet客户端，Telnet到其它设备，对别的设备进行管理和监控。具体请参见“3.3.2 配置设备作为Telnet客户端登录其它设备”。
设备运行于FIPS模式时，不支持Telnet登录。有关FIPS模式的详细介绍请参见“安全配置指导”中的“FIPS”。
缺省情况下，设备的Telnet服务器功能处于关闭状态，通过Telnet方式登录设备的认证方式为password，但设备没有配置缺省的登录密码，即在缺省情况下用户不能通过Telnet登录到设备上。因此当使用Telnet方式登录设备前，首先需要通过Console口登录到设备上，开启Telnet服务器功能，然后对认证方式、用户角色及公共属性进行相应的配置，才能保证通过Telnet方式正常登录到设备。
表3-7 配置设备作为Telnet服务器的配置任务简介
|
配置设备作为Telnet服务器时的认证方式 |
配置Telnet登录设备时无需认证（none） |
||
|
配置Telnet登录设备时采用密码认证（password） |
|||
|
配置Telnet登录设备时采用AAA认证（scheme） |
|||
|
配置Telnet登录同时在线的最大用户连接数 |
|||
|
配置Telnet服务器发送报文的DSCP优先级 |
|||
|
配置VTY用户线的公共属性 |
|||
改变Telnet登录的认证方式后，新认证方式对新登录的用户生效。
用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时无需进行认证。
|
缺省情况下，Telnet服务处于关闭状态 |
||
|
进入一个或多个VTY用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入VTY用户线类视图 |
||
|
设置VTY登录用户的认证方式为不认证 |
缺省情况下，VTY用户线的认证方式为password 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
|
|
缺省情况下，通过Telnet登录设备的用户角色为network-operator |
配置完成后，当用户再次通过Telnet登录设备时：
******************************************************************************
* Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
******************************************************************************
<Sysname>
· 如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。
用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行密码认证。
|
缺省情况下，Telnet服务处于关闭状态 |
||
|
进入一个或多个VTY用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入VTY用户线类视图 |
||
|
缺省情况下，VTY用户线的认证方式为password 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
||
|
缺省情况下，通过Telnet登录设备的用户角色为network-operator |
配置完成后，当用户再次通过Telnet登录设备时：
· 设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<Sysname>），如下所示。
******************************************************************************
* Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
******************************************************************************
Password：
<Sysname>
· 如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。
用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行AAA认证。
要使配置的AAA认证方式生效，还需要在ISP域视图下配置login认证方法。如果选择本地认证，请配置本地用户及相关属性；如果选择远程认证，请配置相应远程认证方案。相关详细介绍请参见“安全配置指导”中的“AAA”。
表3-10 配置用户通过Telnet登录设备时采用AAA认证
|
缺省情况下，Telnet服务处于关闭状态 |
||
|
进入一个或多个VTY用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入VTY用户线类视图 |
||
|
缺省情况下，VTY用户线的认证方式为password 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
配置完成后，当用户再次通过Telnet登录设备时：
· 设备将要求用户输入登录用户名和密码，正确输入用户名（此处以用户名admin为例）和密码并回车，登录界面中出现命令行提示符（如<Sysname>），如下所示。
******************************************************************************
* Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
******************************************************************************
login:admin
Password:
<Sysname>
· 如果出现“All lines are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。
通过配置同时在线的最大用户连接数，可以限制采用Telnet登录同时接入设备的在线用户数。
该配置对于通过任何一种认证方式（none、password或者sheme）接入设备的用户都生效。
|
配置Telnet登录同时在线的最大用户连接数 |
缺省情况下，Telnet登录同时在线的最大用户连接数为16 配置本命令后，已经在线的用户连接不会受到影响，只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值，则新的连接请求会被拒绝，登录会失败 |
DSCP携带在IP/IPv6报文的ToS/Trafic class字段，用来体现报文自身的优先等级，决定报文传输的优先程度。
表3-12 配置Telnet服务器发送报文的DSCP优先级
|
配置Telnet服务器发送报文的DSCP优先级 |
缺省情况下，Telnet/IPv6 Telnet服务器发送Telnet/IPv6 Telnet报文的DSCP优先级48 |
|
· 使用auto-execute command命令后，将导致用户通过该用户线登录后，不能对设备进行常规配置，需谨慎使用。
· 在配置auto-execute command命令并退出登录之前，要确保可以通过其它VTY、AUX用户登录进来更改配置，以便出现问题后，能删除该配置。
表3-13 配置VTY用户线的公共属性
|
进入一个或多个VTY用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
进入VTY用户线类视图 |
||
|
配置VTY用户线支持的协议 |
缺省情况下，设备同时支持Telnet和SSH协议 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
|
|
缺省情况下，键入<Ctrl+C>中止当前运行的任务 |
||
|
screen-length 0表示关闭分屏显示功能 |
||
|
缺省情况下，每个用户的历史缓冲区大小为10，即可存放10条历史命令 |
||
|
设置VTY用户线的超时时间 |
如果10分钟内某用户线没有用户进行操作，则该用户线将自动断开 idle-timeout 0表示永远不会超时 |
|
|
配置自动执行命令后，用户在登录时，系统会自动执行已经配置好的命令，执行完命令后，自动断开用户连接。如果这条命令引发起了一个任务，系统会等这个任务执行完毕后再断开连接。该命令通常用来配置Telnet命令，使用户登录时自动连接到指定的主机 |
用户已经成功登录到了设备上，并希望将当前设备作为Telnet客户端登录到Telnet服务器上进行操作，如图3-2所示。
先给设备配置IP地址并获取Telnet服务器的IP地址。如果设备与Telnet服务器相连的端口不在同一子网内，请配置路由使得两台设备间路由可达。
表3-14 设备作为Telnet客户端登录到Telnet服务器的配置
|
（可选）指定设备作为Telnet客户端时，发送Telnet报文的源IPv4地址或源接口 |
telnet client source { interface interface-type interface-number | ip ip-address } |
缺省情况下，没有指定发送Telnet报文的源IPv4地址和源接口，使用报文路由出接口的主IPv4地址作为Telnet报文的源地址 |
|
设备作为Telnet客户端登录到Telnet服务器 |
||
|
telnet ipv6 remote-host [ -i interface-type interface-number ] [ port-number ] [ dscp dscp-value ] |
用户通过一个不能保证安全的网络环境远程登录到设备时，SSH（Secure Shell，安全外壳）可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。
· 设备可以作为SSH服务器，以便用户能够使用SSH协议登录到设备进行远程管理和监控。具体请参见“3.4.2 配置设备作为SSH服务器”。
· 设备也可以作为SSH客户端，使用SSH协议登录到别的设备，对别的设备进行管理和监控。具体请参见“3.4.3 配置设备作为SSH客户端登录其它设备”。
缺省情况下，设备的SSH Server功能处于关闭状态，因此当使用SSH方式登录设备前，首先需要通过Console口登录到设备上，开启设备的SSH服务器功能、对认证方式及其它属性进行相应的配置，才能保证通过SSH方式正常登录到设备。
以下配置步骤只介绍采用password方式认证SSH客户端的配置方法，publickey方式的配置方法及SSH的详细介绍，请参见“安全配置指导”中的“SSH”。
表3-15 设备作为SSH服务器时的配置
|
|||
|
|||
|
public-key local create { dsa | rsa | ecdsa } [ name key-name ] |
|
||
|
使能SSH服务器功能 |
缺省情况下，SSH服务器功能处于关闭状态 |
|
|
|
（可选）建立SSH用户，并指定SSH用户的认证方式 |
· 非FIPS模式下： · FIPS模式下： |
|
|
|
进入VTY用户线视图 |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
|
进入VTY用户线类视图 |
|
||
|
配置登录用户线的认证方式为scheme方式 |
非FIPS模式下：缺省情况下，VTY用户线认证为password方式 FIPS模式下：缺省情况下，VTY用户线认证为scheme方式 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
|
|
|
（可选）配置VTY用户线支持的SSH协议 |
· 非FIPS模式下： protocol inbound { all | ssh | telnet } · FIPS模式下： |
非FIPS模式下：缺省情况下，设备同时支持Telnet和SSH协议 FIPS模式下：缺省情况下，设备支持SSH协议 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
|
|
（可选）配置SSH方式登录设备时，同时在线的最大用户连接数 |
缺省情况下，SSH方式登录设备时，同时在线的最大用户连接数为32 配置本命令后，已经在线的用户连接不会受到影响，只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值，则新的连接请求会被拒绝，登录会失败 |
|
|
|
（可选）配置VTY用户线的公共属性 |
|
||
用户已经成功登录到了设备上，并希望将当前设备作为SSH客户端登录到其它设备上进行操作，如图3-3所示。
先给设备配置IP地址并获取SSH服务器的IP地址。如果设备与SSH服务器相连的端口不在同一子网内，请配置路由使得两台设备间路由可达。
表3-16 设备作为SSH客户端登录到其它设备的配置
|
设备作为SSH客户端登录到SSH IPv4服务器 |
||
|
设备作为SSH客户端登录到SSH IPv6服务器 |
为配合SSH服务器，设备作为SSH客户端时还可进一步进行其它配置，具体请参见“安全配置指导”中的“SSH”。
网络管理员可以通过设备的Console口，利用一对Modem和PSTN（Public Switched Telephone Network，公共电话交换网）拔号登录到设备上，对远程设备进行管理和维护。这种登录方式一般适用于在网络中断的情况下，利用PSTN网络对设备进行远程管理、维护及故障定位。
通过Console口利用Modem拨号进行远程登录时，使用的是AUX用户线。缺省情况下，用户可以直接通过Modem拨号方式登录设备，Modem用户的用户角色为network-admin。
需要注意的是：Modem的传输速率要高于Console口的波特率，否则可能会出现丢包现象
(1) 如图3-4所示，建立远程配置环境，在PC机（或终端）的串口和设备的Console口分别挂接Modem。
(2) 获取远程设备端Console口所连Modem上对应的电话号码。
(3) 在与设备直接相连的Modem上进行以下配置。
AT&F-------------------------- Modem恢复出厂配置
ATS0=1------------------------ 配置自动应答（振铃一声）
AT&D-------------------------- 忽略DTR信号
AT&K0------------------------- 禁止流量控制
AT&R1------------------------- 忽略RTS信号
AT&S0------------------------- 强制DSR为高电平
ATEQ1&W----------------------- 禁止modem回送命令响应和执行结果并存储配置
在配置后为了查看Modem的配置是否正确，可以输入AT&V命令显示配置的结果。
各种Modem配置命令及显示的结果有可能不一样，具体操作请参照Modem的说明书进行。
(4) 在PC机上运行终端仿真程序（如Windows XP/Windows 2000的超级终端等，以下配置以Windows XP为例），新建一个拨号连接（所拨号码为与设备相连的Modem的电话号码），与设备建立连接，如图3-5至图3-7所示。
如果PC使用的是Windows Server 2003操作系统，请在Windows组件中添加超级终端程序后，再按照本文介绍的方式登录和管理设备；如果PC使用的是Windows Server 2008、Windows 7 、Windows Vista或其他操作系统，请您准备第三方的拨号控制软件，使用方法请参照软件的使用指导或联机帮助。
(5) 在远端通过终端仿真程序和Modem向设备拨号。
图3-7 在远端PC机上拨号
· 如果AUX用户线的认证方式为none，则在超级终端上键入回车键之后将出现命令行提示符（如<H3C>），如图3-8所示。
· 如果AUX用户线的认证方式为password，则在超级终端上需键入合法的密码之后才会出现命令行提示符。
· 如果AUX用户线的认证方式为scheme，则在超级终端上需键入合法的用户名和密码之后才会出现命令行提示符。
图3-8 Console口登录界面
· 当您想断开PC与远端设备的连接时，首先在超级终端中用“ATH”命令断开modem间的连接。如果在超级终端窗口无法输入此命令，可输入“AT+ + +”并回车，待窗口显示“OK”提示后再输入“ATH”命令，屏幕再次显示“OK”提示，表示已断开本次连接。您也可以使用超级终端页面提供的挂断按扭
断开PC与远端设备的连接。
· 当您使用完超级终端仿真程序后，务必要先断开PC与远端设备的连接，不能直接关闭超级终端，否则有些型号的远程modem将一直在线，下次拨号连接时将无法拨号成功。
表3-17 CLI显示和维护
|
显示设备作为Telnet客户端的相关配置信息 |
||
|
系统支持多个用户同时对设备进行配置，当管理员在维护设备时，其它在线用户的配置影响到管理员的操作，或者管理员正在进行一些重要配置不想被其它用户干扰时，可以使用以下命令强制断开该用户的连接 |
||
|
FIPS模式下，不支持此命令 |
||
设备运行于FIPS模式时，不支持用户通过HTTP登录。有关FIPS模式的详细介绍请参见“安全配置指导”中的“FIPS”。
为了方便用户对网络设备进行配置和维护，设备提供Web功能。用户可以通过PC登录到设备上，使用Web界面直观地配置和维护设备。
设备支持两种Web登录方式：
· HTTP登录方式：HTTP（Hypertext Transfer Protocol，超文本传输协议）用来在Internet上传递Web页面信息。HTTP位于TCP/IP协议栈的应用层，传输层采用面向连接的TCP。目前，设备支持的HTTP协议版本为HTTP/1.0。
· HTTPS登录方式：HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）是支持SSL（Secure Sockets Layer，安全套接字层）协议的HTTP协议。HTTPS通过SSL协议，能对客户端与设备之间交互的数据进行加密，能为设备制定基于证书属性的访问控制策略，提高了数据传输的安全性和完整性，保证合法客户端可以安全地访问设备，禁止非法的客户端访问设备，从而实现了对设备的安全管理。
缺省情况下，用户不能通过Web登录设备。需要先通过Console口登录到设备，开启Web功能（开启HTTP和HTTPS服务），并配置设备IP地址、Web用户和认证密码等参数后，才能使用Web登录设备。
Web登录的时候，用户输入的用户名和密码属于敏感信息，Web登录请求是采用HTTPS的方式发送到Web服务器的。所以，即使用户希望使用HTTP的方式访问Web，也必须先开启设备的HTTPS服务才能成功的登录。
表4-1 配置通过HTTP方式登录设备
|
（可选）配置用户访问Web的固定校验码 |
缺省情况下，用户只能使用Web页面显示的校验码访问Web |
|
|
开启HTTP服务 |
缺省情况下，HTTP服务处于关闭状态 |
|
|
开启HTTPS服务 |
缺省情况下，HTTPS服务处于关闭状态 |
|
|
（可选）配置HTTP服务的端口号 |
缺省情况下，HTTP服务的端口号为80 |
|
|
（可选）设置Web登录用户连接的超时时间 |
缺省情况下，Web闲置超时时间为10分钟 |
|
|
（可选）设置同时在线的最大HTTP用户连接数 |
缺省情况下，同时在线的最大HTTP用户连接数为5 配置本命令后，已经在线的用户连接不会受到影响，只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值，则新的连接请求会被拒绝，登录会失败 |
|
|
创建本地用户用于Web登录，并进入本地用户视图 |
||
|
· 非FIPS模式下： password [ { hash | simple } password ] · FIPS模式下： |
设备管理类用户的密码将在哈希计算后以密文的方式保存到配置文件中 非FIPS模式下： 不存在本地用户密码，即本地用户认证时无需输入密码，只要用户名有效且其它属性验证通过即可认证成功 FIPS模式下： |
|
|
配置Web用户的角色 |
缺省情况下，Web用户的角色为network-operator |
|
|
配置Web用户的服务类型为HTTP |
HTTPS登录方式分为以下两种：
· 简便登录方式：采用这种方式时，设备上只需使能HTTPS服务，用户即可通过HTTPS登录设备。此时，设备使用的证书为自签名证书，使用的SSL参数为各个参数的缺省值。这种方式简化了配置，但是存在安全隐患。（自签名证书指的是服务器自己生成的证书，无需从CA获取）
· 安全登录方式：采用这种方式时，设备上不仅要使能HTTPS服务，还需要配置SSL服务器端策略、PKI域等。这种方式配置复杂，但是具有更高的安全性。
表4-2 配置通过HTTPS方式登录设备
|
（可选）配置用户访问Web的固定校验码 |
缺省情况下，用户只能使用Web页面显示的校验码访问Web |
|
|
（可选）配置HTTPS服务与SSL服务器端策略关联 |
缺省情况下，没有SSL服务器端策略与HTTPS服务关联，HTTPS使用自签名证书 · 关闭HTTPS服务后，系统将自动取消HTTPS服务与SSL服务器端策略的关联。再次使能HTTPS服务之前，需要重新配置HTTPS服务与SSL服务器端策略关联 · HTTPS服务处于使能状态时，对与其关联的SSL服务器端策略进行的修改不会生效 |
|
|
使能HTTPS服务 |
缺省情况下，HTTPS服务处于关闭状态 使能HTTPS服务，会触发SSL的握手协商过程。在SSL握手协商过程中，如果设备的本地证书已经存在，则SSL协商可以成功，HTTPS服务可以正常启动；如果设备的本地证书不存在，则SSL协商过程会触发证书申请流程。由于证书申请需要较长的时间，会导致SSL协商不成功，从而无法正常启动HTTPS服务。因此，在这种情况下，需要多次执行ip https enable命令，这样HTTPS服务才能正常启动 |
|
|
（可选）配置HTTPS服务与证书属性访问控制策略关联 |
· 通过将HTTPS服务与已配置的客户端证书属性访问控制策略关联，可以实现对客户端的访问权限进行控制，进一步保证设备的安全性 · 如果配置HTTPS服务与证书属性访问控制策略关联，则必须同时在与HTTPS服务关联的SSL服务器端策略中配置client-verify enable命令，否则，客户端无法登录设备。 · 如果配置HTTPS服务与证书属性访问控制策略关联，则证书属性访问控制策略中必须至少包括一条permit规则，否则任何HTTPS客户端都无法登录设备。 |
|
|
（可选）配置HTTPS服务的端口 |
缺省情况下，HTTPS服务的端口号为443 |
|
|
（可选）配置使用HTTPS登录设备时的认证方式 |
缺省情况下，用户使用HTTPS登录设备时采用的认证模式为manual |
|
|
（可选）设置Web登录用户连接的超时时间 |
缺省情况下，Web闲置超时时间为10分钟 |
|
|
（可选）设置同时在线的最大HTTPS用户连接数 |
缺省情况下，同时在线的最大HTTPS用户连接数为5 配置本命令后，已经在线的用户连接不会受到影响，只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值，则新的连接请求会被拒绝，登录会失败 |
|
|
创建本地用户用于Web登录，并进入本地用户视图 |
||
|
· 非FIPS模式下： password [ { hash | simple } password ] · FIPS模式下： |
非FIPS模式下： 不存在本地用户密码，即本地用户认证时无需输入密码，只要用户名有效且其它属性验证通过即可认证成功 FIPS模式下： |
|
|
配置Web登录的用户角色 |
缺省情况下，Web登录的用户角色为network-operator |
|
|
配置Web登录用户的服务类型为HTTPS |
在完成上述配置后，在任意视图下执行display命令可以显示Web用户的信息，通过查看显示信息验证配置的效果。
表4-3 Web用户显示
|
显示Web用户的相关信息 |
|
|
显示Web的页面菜单树 |
|
|
显示HTTP的状态信息 |
|
|
显示HTTPS的状态信息 |
|
|
强制在线Web用户下线 |
free web users { all | user-id user-id | user-name user-name } |
PC与设备通过IP网络相连且路由可达，PC和设备的IP地址分别为192.168.101.99/24和192.168.100.99/24。
图4-1 配置HTTP方式登录组网图
# 配置VLAN 1接口的IP地址为192.168.100.99，子网掩码为255.255.255.0。
[Sysname] interface vlan-interface 1
[Sysname-Vlan-interface1] ip address 192.168.100.99 255.255.255.0
[Sysname-Vlan-interface1] quit
# 配置Web用户名为admin，认证密码为admin，服务类型为http，用户角色为network-admin。
[Sysname-luser-manage-admin] service-type http
[Sysname-luser-manage-admin] authorization-attribute user-role network-admin
[Sysname-luser-manage-admin] password simple admin
[Sysname-luser-manage-admin] quit
# 配置开启HTTP服务和HTTPS服务。
[Sysname] ip https enable
# 在PC的浏览器地址栏内输入设备的IP地址并回车，浏览器将显示Web登录页面。
# 在“Web用户登录”对话框中输入用户名、密码及验证码，点击<登录>按钮后即可登录，显示Web初始页面。成功登录后，用户可以在配置区对设备进行相关配置。
用户可以通过Web页面访问和控制设备。为了防止非法用户访问和控制设备，提高设备管理的安全性，设备要求用户以HTTPS的方式登录Web页面，利用SSL协议实现用户身份验证，并保证传输的数据不被窃听和篡改。
· 配置Device作为HTTPS服务器，并为Device申请证书。
· 为HTTPS客户端Host申请证书，以便Device验证其身份。
其中，负责为Device和Host颁发证书的CA（Certificate Authority，证书颁发机构）名称为new-ca。
· 本配置举例中，采用Windows Server作为CA。在CA上需要安装SCEP（Simple Certificate Enrollment Protocol，简单证书注册协议）插件。
· 进行下面的配置之前，需要确保Device、Host、CA之间路由可达。
图4-2 HTTPS配置组网图
(1) 配置HTTPS服务器Device
# 配置PKI实体en，指定实体的通用名为http-server1、FQDN为ssl.security.com。
[Device] pki entity en
[Device-pki-entity-en] common-name http-server1
[Device-pki-entity-en] fqdn ssl.security.com
[Device-pki-entity-en] quit
# 配置PKI域1，指定信任的CA名称为new-ca、注册服务器的URL为http://10.1.2.2/certsrv/mscep/mscep.dll、证书申请的注册受理机构为RA、实体名称为en。
[Device-pki-domain-1] ca identifier new-ca
[Device-pki-domain-1] certificate request url http://10.1.2.2/certsrv/mscep/mscep.dll
[Device-pki-domain-1] certificate request from ra
[Device-pki-domain-1] certificate request entity en
# 指定证书申请使用的RSA密钥对名称为“hostkey”，用途为“通用”，密钥对长度为1024比特。
[Device-pki-domain-1] public-key rsa general name hostkey
[Device-pki-domain-1] quit
# 生成本地的RSA密钥对。
[Device] public-key loc al create rsa
# 获取CA的证书。
[Device] pki retrieve-certificate domain 1 ca
# 为Device申请证书。
[Device] pki request-certificate domain 1
# 创建SSL服务器端策略myssl，指定该策略使用PKI域1，并配置服务器端需要验证客户端身份。
[Device] ssl server-policy myssl
[Device-ssl-server-policy-myssl] pki-domain 1
[Device-ssl-server-policy-myssl] client-verify enable
[Device-ssl-server-policy-myssl] quit
# 创建证书属性组mygroup1，并配置证书属性规则，该规则规定证书颁发者的DN（Distinguished Name，识别名）中包含new-ca。
[Device] pki certificate attribute-group mygroup1
[Device-pki-cert-attribute-group-mygroup1] attribute 1 issuer-name dn ctn new-ca
[Device-pki-cert-attribute-group-mygroup1] quit
# 创建证书访问控制策略myacp，并建立控制规则，该规则规定只有由new-ca颁发的证书可以通过证书访问控制策略的检测。
[Device] pki certificate access-control-policy myacp
[Device-pki-cert-acp-myacp] rule 1 permit mygroup1
[Device-pki-cert-acp-myacp] quit
# 配置HTTPS服务与SSL服务器端策略myssl关联。
[Device] ip https ssl-server-policy myssl
# 配置HTTPS服务与证书属性访问控制策略myacp关联，确保只有从new-ca获取证书的HTTPS客户端可以访问HTTPS服务器。
[Device] ip https certificate access-control-policy myacp
# 使能HTTPS服务。
# 创建本地用户usera，密码为123，服务类型为https，用户角色为network-admin。
[Device-luser-manage-usera] password simple 123
[Device-luser-manage-usera] service-type https
[Device-luser-manage-usera] authorization-attribute user-role network-admin
(2) 配置HTTPS客户端Host
在Host上打开IE浏览器，输入网址http://10.1.2.2/certsrv，根据提示为Host申请证书。
在Host上打开IE浏览器，输入网址https://10.1.1.1，选择new-ca为Host颁发的证书，即可打开Device的Web登录页面。在登录页面，输入用户名usera，密码123，则可进入Device的Web配置页面，实现对Device的访问和控制。
· HTTPS服务器的URL地址以“https://”开始，HTTP服务器的URL地址以“http://”开始。
· PKI配置命令的详细介绍请参见“安全命令参考”中的“PKI”；
· public-key local create rsa命令的详细介绍请参见“安全命令参考”中的“公钥管理”；
· SSL配置命令的详细介绍请参见“安全命令参考”中的“SSL”。
使用SNMP协议，用户可通过NMS（Network Management System，网络管理系统）登录到设备上，通过Set和Get等操作对设备进行管理、配置，如图5-1所示。设备支持多种NMS软件，如iMC等。
缺省情况下，用户不能通过NMS登录到设备上，如果要使用NMS登录设备，首先需要通过Console口登录到设备上，在设备上进行相关配置。设备支持SNMPv1、SNMPv2c和SNMPv3三种版本，只有NMS和Agent使用的SNMP版本相同，NMS才能和Agent建立连接。请根据使用的SNMP版本选择对应的配置步骤。配置完成后，即可使用NMS网管的方式登录设备。关于SNMP的详细介绍及配置，请参见“网络管理和监控配置指导”中的“SNMP”。
通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：
· 当未引用ACL、或者引用的ACL不存在、或者引用的ACL为空时，允许所有登录用户访问设备；
· 当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，以免非法用户使用Telnet/SSH访问设备。
关于ACL的详细描述和介绍请参见“ACL和QoS配置指导”中的“ACL”。
用户登录后，可以通过AAA功能来对用户使用的命令行进行授权和计费。
确定了对Telnet/SSH的控制策略，包括对哪些源IP、目的IP、源MAC等参数进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。
表6-1 配置对Telnet用户的控制
|
通过ACL控制Telnet客户端的访问权限 |
缺省情况下，没有使用ACL限制Telnet客户端 |
|
表6-2 配置对SSH用户的控制
|
通过ACL控制Telnet客户端的访问权限 |
ssh server acl { advanced-acl-number | basic-acl-number | mac-acl-number } |
缺省情况下，没有使用ACL限制SSH客户端 ssh server acl和ssh server ipv6 acl命令的详细介绍请参见“安全命令参考”中的“SSH” |
|
ssh server ipv6 acl { ipv6 { advanced-acl-number | basic-acl-number } | mac-acl-number } |
通过源IP对Telnet进行控制，仅允许来自10.110.100.52和10.110.100.46的Telnet用户访问设备。
图6-1 使用ACL对Telnet用户进行控制
# 定义ACL。
[Sysname] acl number 2000 match-order config
[Sysname-acl-basic-2000] rule 1 permit source 10.110.100.52 0
[Sysname-acl-basic-2000] rule 2 permit source 10.110.100.46 0
[Sysname-acl-basic-2000] quit
# 引用ACL，允许源地址为10.110.100.52和10.110.100.46的Telnet用户访问设备。
[Sysname] telnet server acl 2000
通过引用ACL可以对访问设备的Web用户进行控制。只有ACL中permit的用户才能使用Web访问设备，其它用户不允许访问设备，以免非法用户使用Web访问设备。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。
确定了对Web用户的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。
表6-3 通过源IP对Web用户进行控制
|
引用访问控制列表对Web用户进行控制 |
HTTP和HTTPS是两种独立的登录方式，不存在配置依赖关系，请根据需要二者必选其一 |
|
网络管理员可以通过命令行强制在线Web用户下线。
表6-4 强制在线Web用户下线
|
强制在线Web用户下线 |
free web-users { all | user-id user-id | user-name user-name } |
通过源IP对Web用户进行控制，仅允许来自10.110.100.52的Web用户访问设备。
图6-2 对Device的HTTP用户进行ACL控制
# 定义基本访问控制列表。
[Sysname] acl number 2030 match-order config
[Sysname-acl-basic-2030] rule 1 permit source 10.110.100.52 0
# 引用访问控制列表，仅允许来自10.110.100.52的Web用户访问设备。
确定了对NMS的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。
表6-5 SNMPv1/SNMPv2c版本配置对NMS的控制
|
在配置SNMP团体名的命令中引用ACL |
VACM方式： |
根据网管用户运行的SNMP版本及配置习惯，可以在团体名、组名或者用户名配置时引用访问控制列表，详细介绍请参见“网络管理和监控配置指导”中的“SNMP” 配置SNMP团体名或用户名时二者选其一 |
|
RBAC方式： |
||
|
在配置SNMPv1/SNMPv2c用户名的命令中引用ACL |
||
表6-6 SNMPv3版本配置对NMS的控制
|
在配置SNMPv3组名的命令中引用ACL |
根据网管用户运行的SNMP版本及配置习惯，可以在组名或者用户名配置时引用访问控制列表，详细介绍请参见“网络管理和监控配置指导”中的“SNMP” |
|
|
在配置SNMPv3用户名的命令中引用ACL |
VACM方式： |
|
|
RBAC方式： |
通过源IP对NMS进行控制，仅允许来自10.110.100.52和10.110.100.46的NMS访问设备。
图6-3 使用ACL对NMS进行控制
# 定义基本ACL。
[Sysname] acl number 2000 match-order config
[Sysname-acl-basic-2000] rule 1 permit source 10.110.100.52 0
[Sysname-acl-basic-2000] rule 2 permit source 10.110.100.46 0
[Sysname-acl-basic-2000] quit
# 引用ACL，仅允许来自10.110.100.52和10.110.100.46的NMS访问设备。
[Sysname] snmp-agent community read aaa acl 2000
[Sysname] snmp-agent group v2c groupa acl 2000
[Sysname] snmp-agent usm-user v2c usera groupa acl 2000
缺省情况下，用户登录设备后可以使用的命令行由用户拥有的用户角色决定。当用户线采用AAA认证方式并配置命令行授权功能后，用户可使用的命令行将受到用户角色和AAA授权的双重限制。用户每执行一条命令都会进行授权检查，只有授权成功的命令才被允许执行。
要使配置的命令行授权功能生效，还需要在ISP域视图下配置命令行授权方法。命令行授权方法可以和login用户的授权方法相同，也可以不同。相关详细介绍请参见“安全配置指导”中的“AAA”。
|
line { first-number1 [ last-number1 ] | { aux | vty } first-number2 [ last-number2 ] } |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
缺省情况下，AUX用户线的认证方式为none（即不需要进行认证），VTY用户线的认证方式为password 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
||
|
缺省情况下，没有使能命令行授权功能，即用户登录后执行命令行不需要授权 如果用户类视图下使能了命令行授权功能，则该类型用户线视图都使能命令行授权功能，并且在该类型用户线视图下将无法禁用命令行授权功能 |
为了保证Device的安全，需要对登录用户执行命令的权限进行限制：用户Host A登录设备后，输入的命令必须先获得HWTACACS服务器的授权，才能执行。否则，不能执行该命令。如果HWTACACS服务器故障导致授权失败，则采用本地授权。
# 在设备上配置IP地址，以保证Device和Host A、Device和HWTACACS server之间互相路由可达。（配置步骤略）
# 开启设备的Telnet服务器功能，以便用户访问。
[Device] telnet server enable
# 配置用户登录设备时，需要输入用户名和密码进行AAA认证，可以使用的命令由认证结果决定。
[Device-line-vty0-63] authentication-mode scheme
# 使能命令行授权功能，限制用户只能使用授权成功的命令。
[Device-line-vty0-63] command authorization
[Device-line-vty0-63] quit
# 配置HWTACACS方案：授权服务器的IP地址:TCP端口号为192.168.2.20:49（该端口号必须和HWTACACS服务器上的设置一致），报文的加密密码是expert，登录时不需要输入域名，使用缺省域。
[Device-hwtacacs-tac] primary authentication 192.168.2.20 49
[Device-hwtacacs-tac] primary authorization 192.168.2.20 49
[Device-hwtacacs-tac] key authentication expert
[Device-hwtacacs-tac] key authorization expert
[Device-hwtacacs-tac] user-name-format without-domain
[Device-hwtacacs-tac] quit
# 配置缺省域的命令行授权AAA方案，使用HWTACACS方案。
[Device-isp-system] authentication login hwtacacs-scheme tac local
[Device-isp-system] authorization command hwtacacs-scheme tac local
[Device-isp-system] quit
# 配置本地认证所需参数：创建本地用户monitor，密码为123，可使用的服务类型为telnet，用户角色为level-1。
[Device-luser-manage-admin] password cipher 123
[Device-luser-manage-admin] service-type telnet
[Device-luser-manage-admin] authorization-attribute user-role level-1
当用户线采用AAA认证方式并配置命令行计费功能后，系统会将用户执行过的命令记录到HWTACACS服务器上，以便集中监视用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，则用户执行的每一条合法命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则用户执行的并且授权成功的命令都会发送到HWTACACS服务器上做记录。
要使配置的命令行计费功能生效，还需要在ISP域视图下配置命令行计费方法。命令行计费方法、命令行授权方法、login用户的授权方法可以相同，也可以不同。相关详细介绍请参见“安全配置指导”中的“AAA”。
|
line { first-number1 [ last-number1 ] | { aux | vty } first-number2 [ last-number2 ] } |
· 用户线类视图下的配置修改不会立即生效，当用户下次登录后所修改的配置值才会生效 · 用户线视图下的属性配置为缺省值时，将采用用户线类视图下配置的值。如果用户线类视图下的属性配置也为缺省值时，则直接采用该属性的缺省值 |
|
|
缺省情况下，AUX用户线的认证方式为none（即不需要进行认证），VTY用户线的认证方式为password 用户线视图下，对authentication-mode和protocol inbound进行关联绑定，当两条命令中的任意一条配置了非缺省值，那么另外一条取缺省值 |
||
|
缺省情况下，没有使能命令行计费功能，即计费服务器不会记录用户执行的命令行 如果用户类视图下使能了命令行计费功能，则该类型用户线视图都使能命令行计费功能，并且在该类型用户线视图下将无法禁用命令行计费功能 |
为便于集中控制、监控用户对设备的操作，需要将登录用户执行的命令发送到HWTACACS服务器进行记录。
# 开启设备的Telnet服务器功能，以便用户访问。
[Device] telnet server enable
# 配置使用Console口登录设备的用户执行的命令需要发送到HWTACACS服务器进行记录。
[Device-line-aux0] command accounting
[Device-line-aux0] quit
# 配置使用Telnet或者SSH登录的用户执行的命令需要发送到HWTACACS服务器进行记录。
[Device-line-vty0-63] command accounting
[Device-line-vty0-63] quit
# 配置HWTACACS方案：计费服务器的IP地址:TCP端口号为192.168.2.20:49，报文的加密密码是expert，登录时不需要输入域名，使用缺省域。
[Device-hwtacacs-tac] primary accounting 192.168.2.20 49
[Device-hwtacacs-tac] key accounting expert
[Device-hwtacacs-tac] user-name-format without-domain
[Device-hwtacacs-tac] quit
# 配置缺省域的命令行计费AAA方案，使用HWTACACS方案。
[Device-isp-system] accounting command hwtacacs-scheme tac
[Device-isp-system] quit
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
