目  录

1 登录设备方式介绍

2 缺省情况下如何通过Console口登录设备

3 配置通过CLI登录设备

3.1 配置通过CLI登录设备简介

3.1.1 用户界面简介

3.1.2 认证方式简介

3.1.3 用户角色简介

3.2 配置通过Console口/AUX口本地登录设备

3.2.1 通过Console口/AUX口登录设备配置任务简介

3.2.2 配置通过Console口/AUX口登录设备

3.3 配置通过Telnet登录设备

3.3.1 配置设备作为Telnet服务器

3.3.2 配置设备作为Telnet客户端登录其它设备

3.4 配置通过SSH登录设备

3.4.1 通过SSH登录设备简介

3.4.2 配置设备作为SSH服务器

3.4.3 配置设备作为SSH客户端登录其它设备

3.5 CLI登录显示和维护

4 配置通过SNMP登录设备

5 对登录用户的控制

5.1 配置对Telnet/SSH用户的控制

5.1.1 配置准备

5.1.2 配置对Telnet/SSH用户的控制

5.1.3 配置举例

5.2 配置对NMS的控制

5.2.1 配置准备

5.2.2 配置对NMS的控制

5.2.3 配置举例

5.3 配置命令行授权功能

5.3.1 配置步骤

5.3.2 配置举例

5.4 配置命令行计费功能

5.4.1 配置步骤

5.4.2 配置举例

1 登录设备方式介绍

设备支持CLI（Command Line Interface，命令行接口）和SNMP（Simple Network Management Protocol，简单网络管理协议）两种登录方式：

·              通过CLI登录设备后，可以直接在控制台输入命令行，来配置和管理设备。CLI方式下又根据使用的登录接口以及登录协议不同，分为：通过Console口、AUX口（Auxiliary port，辅助端口）、Telnet、SSH登录方式。

·              通过SNMP登录设备后，NMS可以通过SET和GET等操作来配置和管理设备。关于SNMP的详细介绍请参见“网络管理与维护配置指导”中的“SNMP”。

用户首次登录设备时，只能通过Console口登录，且登录的是缺省MDC。登录时认证方式为none（不需要用户名和密码），用户角色为network-admin，详细登录过程请参见“缺省情况下如何通过Console口登录设备”。只有通过Console口登录到缺省MDC，进行相应的配置后，才能通过其它方式登录缺省MDC。各登录方式下需要的最小配置详见表1-1。

用户登录缺省MDC后，可以划分非缺省MDC。非缺省MDC没有Console口/AUX口，所以不支持Console口/AUX口本地登录方式。在缺省MDC下使用switchto mdc命令登录非缺省MDC并进行如表1-1所示的最小配置后，就能通过Telnet/SSH/SNMP登录。switchto mdc命令的详细介绍，请参见“基础配置指导”中的“MDC”。

表1-1 各种登录设备方式的最小配置描述表

2 缺省情况下如何通过Console口登录设备

通过Console口进行本地登录是登录设备的最基本的方式，也是配置通过其它方式登录设备的基础。

通过Console口登录设备时，请按照以下步骤进行操作：

(1)      PC断电。因为PC机串口不支持热插拔，请不要在PC带电的情况下，将串口线插入或者拔出PC机。

(2)      请使用产品随机附带的配置口电缆连接PC机和设备。请先将配置口电缆的DB-9（孔）插头插入PC机的9芯（针）串口插座，再将RJ-45插头端插入设备的Console口中。

图2-1 将设备与PC通过配置口电缆进行连接

(3)      给PC上电。

(4)      在PC机上运行终端仿真程序（如Windows XP/Windows 2000的超级终端等，以下配置以Windows XP为例），选择与设备相连的串口，设置终端通信参数。这些参数的值必须和设备上的值一致，缺省情况下：传输速率为9600bit/s、8位数据位、1位停止位、无校验和无流控，如图2-2至图2-4所示。

图2-2 新建连接

图2-3 连接端口设置

图2-4 端口通信参数设置

(5)      设备上电，终端上显示设备自检信息，自检结束后提示用户键入回车，用户键入回车后将出现命令行提示符（<H3C>），如图2-5所示。

图2-5 设备配置界面

(6)      键入命令，配置设备或查看设备运行状态，需要帮助可以随时键入?。

3 配置通过CLI登录设备

3.1  配置通过CLI登录设备简介

通过CLI登录设备包括：通过Console口、Telnet、SSH或AUX口登录方式。

·              缺省情况下，用户不需要任何认证即可通过Console口登录设备，这给设备带来许多安全隐患；

·              缺省情况下，用户不能通过AUX口、Telnet、SSH方式登录设备，这样不利于用户对设备进行远程管理和维护。

因此，用户需要对这些登录方式进行相应的配置，来增加设备的安全性及可管理性。

本文将分别介绍如何配置通过Console口、Telnet、SSH、AUX口登录设备时的认证方式、用户角色及公共属性。

3.1.1  用户界面简介

用户界面用于管理、限制CLI登录用户的访问行为：网络管理员可以给每个用户界面配置一系列参数，比如用户登录时是否需要认证、用户登录后的角色等。当用户使用Console口、Telnet、SSH、AUX口登录到设备的时候，系统会给用户分配一个用户界面，登录用户将受到该用户界面下配置参数的约束。

1. 用户界面概述

设备提供了三种类型的用户界面：

·              Console用户界面：用来管理和监控通过Console口登录的用户。

·              AUX用户界面：用来管理和监控通过AUX口登录的用户。

·              VTY（Virtual Type Terminal，虚拟类型终端）用户界面：用来管理和监控通过Telnet或SSH登录的用户。

2. 用户与用户界面的关系

用户登录时，系统会根据用户的登录方式，自动给用户分配一个当前空闲的、编号最小的某类型的用户界面，整个登录过程将受该用户界面视图下配置的约束。用户与用户界面并没有固定的对应关系：

·              同一用户登录的方式不同，分配的用户界面不同。比如用户A使用Console口登录设备时，将受到Console用户界面视图下配置的约束；当使用Telnet登录设备时，将受到VTY用户界面视图下配置的约束。

·              同一用户登录的时间不同，分配的用户界面可能不同。比如用户本次使用Telnet登录设备，设备为其分配的用户界面是VTY 1。当该用户下次再Telnet登录时，设备可能已经把VTY 1分配给其他Telnet用户了，只能为该用户分配其他的用户界面。

如果没有空闲的、相应类型的用户界面可分配，则用户不能登录设备。

3. 用户界面的编号

用户界面的编号有两种方式：绝对编号方式和相对编号方式。

(1)      绝对编号方式

使用绝对编号方式，可以唯一的指定一个用户界面。绝对编号从0开始自动编号，每次增长1，先给所有Console用户界面编号，其次是所有AUX用户界面，最后是所有VTY用户界面。使用display user-interface（不带参数）可查看到设备当前支持的用户界面以及它们的绝对编号。

(2)      相对编号方式

相对编号是每种类型用户界面的内部编号。相对编号方式的形式是：“用户界面类型 编号”，遵守如下规则：

·              Console/AUX口的编号：位于0号槽位主控板上的Console/AUX口的编号为CON 0/AUX 0，位于1号槽位主控板上的Console/AUX口编号为CON 1/AUX 1。

·              VTY的编号：第一个为VTY 0，第二个为VTY 1，依次类推。

3.1.2  认证方式简介

在用户界面下配置认证方式，可以要求当用户使用指定用户界面登录时是否需要认证，以提高设备的安全性。设备支持的认证方式有none、password和scheme三种。

·              认证方式为none：表示下次使用该用户界面登录时不需要进行用户名和密码认证，任何人都可以登录到设备上，这种情况可能会带来安全隐患。

·              认证方式为password：表示下次使用该用户界面登录时，需要输入密码。只有密码正确，用户才能登录到设备上。配置认证方式为password后，请妥善保存密码。

·              认证方式为scheme：表示下次使用该用户界面登录设备时需要进行用户名和密码认证，用户名或密码错误，均会导致登录失败。配置认证方式为scheme后，请妥善保存用户名及密码。

认证方式不同，配置不同，具体配置如表3-1所示。

表3-1 不同认证方式下配置任务简介

3.1.3  用户角色简介

用户角色对登录用户至关重要，角色中定义了允许用户操作哪些系统功能以及资源对象，即用户登录后可以执行哪些命令。关于用户角色的详细描述以及配置请参见“基础配置指导”中的“RBAC”。

·              对于none和password认证方式，登录用户的角色由用户界面下的用户角色配置决定。

·              对于scheme认证方式，且用户通过SSH的publickey或password-publickey方式登录设备时，登录用户的角色也由用户界面下的用户角色配置决定。

·              对于scheme认证方式，非SSH登录以及用户通过SSH的password方式登录设备时，登录用户使用AAA认证用户的角色配置。尤其对于远程AAA认证用户，如果AAA服务器没有下发用户角色且缺省用户角色授权功能处于关闭状态时，用户将不能登录设备。

3.2  配置通过Console口/AUX口本地登录设备

通过Console口/AUX口进行本地登录是登录设备的基本方式之一，用户可以使用本地链路登录设备，便于系统维护。如图3-1所示。

图3-1 通过Console口/AUX口登录设备示意图

缺省情况下，用户可以直接通过Console口登录设备，登录时认证方式为none（不需要用户名和密码），用户角色为network-admin。用户可以修改认证方式、用户角色以及其它登录参数，来增加设备的安全性及可管理性。

缺省情况下，通过AUX口进行本地登录，使用password认证方式。需要先通过Console口或其它方式登录到设备上，配置AUX口password认证方式的密码，或者更改认证方式并完成相关参数的设置，才可以通过AUX口从本地登录设备。

3.2.1  通过Console口/AUX口登录设备配置任务简介

表3-2 通过Console口/AUX口登录设备配置任务简介

3.2.2  配置通过Console口/AUX口登录设备

1. 配置通过Console口/AUX口登录设备时无需认证（none）

用户已经成功登录到了设备上，并希望以后通过Console口/AUX口登录设备时无需进行认证。

表3-3 配置用户通过Console口/AUX口登录设备时无需认证

当用户下次通过Console口/AUX口登录设备时，无须提供用户名或密码，直接按回车键进行用户视图，如图3-2和图3-3所示。

图3-2 用户通过Console口登录设备时无需认证登录界面

图3-3 用户通过AUX口登录设备时无需认证登录界面

2. 配置通过Console口/AUX口登录设备时采用密码认证（password）

用户已经成功登录到了设备上，并希望以后通过Console口/AUX口登录设备时采用密码认证，以提高设备的安全性。

表3-4 配置用户通过Console口/AUX口登录设备时采用密码认证

配置完成后，当用户再次通过Console口/AUX口登录设备，键入回车后，设备将要求用户输入登录密码。正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>），如图3-4和图3-5所示。

图3-4 用户通过Console口登录设备时采用密码认证登录界面

图3-5 用户通过AUX口登录设备时采用密码认证登录界面

3. 配置通过Console口/AUX口登录设备时采用AAA认证（scheme）

用户已经成功的登录到了设备上，并希望以后通过Console口/AUX口登录设备时采用AAA认证，以提高设备的安全性。

要使配置的AAA认证方式生效，还需要在ISP域视图下配置login认证方法。相关详细介绍请参见“安全配置指导”中的“AAA”。

表3-5 配置用户通过Console口/AUX口登录设备时采用AAA认证

配置完成后，当用户再次通过Console口/AUX口登录设备，键入回车后，设备将要求用户输入登录用户名和密码。正确输入用户名（此处以用户为admin为例）和密码并回车，登录界面中出现命令行提示符（如<H3C>），如图3-6和图3-7所示。

图3-6 用户通过Console口登录设备时AAA认证登录界面

图3-7 用户通过AUX口登录设备时AAA认证登录界面

4. 配置Console口/AUX口登录方式的公共属性

表3-6 配置Console口/AUX口登录方式的公共属性

3.3  配置通过Telnet登录设备

设备可以作为Telnet服务器，以便用户能够Telnet登录到设备进行远程管理和监控。具体请参见“3.3.1  配置设备作为Telnet服务器”。

设备也可以作为Telnet客户端，Telnet到其它设备，对别的设备进行管理和监控。具体请参见“3.3.2  配置设备作为Telnet客户端登录其它设备”。

3.3.1  配置设备作为Telnet服务器

缺省情况下，设备的Telnet服务器功能处于关闭状态，通过Telnet方式登录设备的认证方式为password，但设备没有配置缺省的登录密码，即在缺省情况下用户不能通过Telnet登录到设备上。因此当使用Telnet方式登录设备前，首先需要通过Console口登录到设备上，开启Telnet服务器功能，然后对认证方式、用户角色及公共属性进行相应的配置，才能保证通过Telnet方式正常登录到设备。

1. 配置设备作为Telnet服务器的配置任务简介

表3-7 配置设备作为Telnet服务器的配置任务简介

2. 配置Telnet登录设备时无需认证（none）

用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时无需进行认证。

表3-8 认证方式为none的配置

配置完成后，当用户再次通过Telnet登录设备时：

·              设备会显示如图3-8所示的登录界面。

·              如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。

图3-8 用户通过Telnet登录设备时无需认证登录界面

3. 配置Telnet登录设备时采用密码认证（password）

用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行密码认证。

表3-9 认证方式为password的配置

配置完成后，当用户再次通过Telnet登录设备时：

·              设备将要求用户输入登录密码，正确输入登录密码并回车，登录界面中出现命令行提示符（如<H3C>），如图3-9所示。

·              如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。

图3-9 配置用户通过Telnet登录设备时采用密码认证登录界面

4. 配置Telnet登录设备时采用AAA认证（scheme）

用户已经成功登录到了设备上，并希望以后通过Telnet登录设备时需要进行AAA认证。

要使配置的AAA认证方式生效，还需要在ISP域视图下配置login认证方法。相关详细介绍请参见“安全配置指导”中的“AAA”。

表3-10 配置用户通过Telnet登录设备时采用AAA认证

配置完成后，当用户再次通过Telnet登录设备时：

·              设备将要求用户输入登录用户名和密码，正确输入用户名（此处以用户为admin为例）和密码并回车，登录界面中出现命令行提示符（如<H3C>），如图3-10所示。

·              如果出现“All user interfaces are used, please try later!”的提示，表示当前Telnet到设备的用户过多，则请稍候再连接。

图3-10 用户通过Telnet登录设备时AAA认证登录界面

5. 配置VTY用户界面的公共属性

表3-11 配置VTY用户界面的公共属性

3.3.2  配置设备作为Telnet客户端登录其它设备

用户已经成功登录到了设备上，并希望将当前设备作为Telnet客户端登录到Telnet服务器上进行操作，如图3-11所示。

先给设备配置IP地址并获取Telnet服务器的IP地址。如果设备与Telnet服务器相连的端口不在同一子网内，请配置路由使得两台设备间路由可达。

图3-11 通过设备登录到其它设备

表3-12 设备作为Telnet客户端登录到Telnet服务器的配置

3.4  配置通过SSH登录设备

3.4.1  通过SSH登录设备简介

用户通过一个不能保证安全的网络环境远程登录到设备时，SSH（Secure Shell，安全外壳）可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。

·              设备可以作为SSH服务器，以便用户能够使用SSH协议登录到设备进行远程管理和监控。具体请参见“3.4.2  配置设备作为SSH服务器”。

·              设备也可以作为SSH客户端，使用SSH协议登录到别的设备，对别的设备进行管理和监控。具体请参见“3.4.3  配置设备作为SSH客户端登录其它设备”。

3.4.2  配置设备作为SSH服务器

缺省情况下，设备的SSH Server功能处于关闭状态，因此当使用SSH方式登录设备前，首先需要通过Console口登录到设备上，开启设备的SSH服务器功能、对认证方式及其它属性进行相应的配置，才能保证通过SSH方式正常登录到设备。

以下配置步骤只介绍采用password方式认证SSH客户端的配置方法，publickey方式的配置方法及SSH的详细介绍，请参见“安全配置指导”中的“SSH”。

表3-13 设备作为SSH服务器时的配置

3.4.3  配置设备作为SSH客户端登录其它设备

用户已经成功登录到了设备上，并希望将当前设备作为SSH客户端登录到其它设备上进行操作，如图3-12所示。

给设备配置IP地址并获取SSH服务器的IP地址。如果设备与SSH服务器相连的端口不在同一子网内，请配置路由使得两台设备间路由可达。

图3-12 通过设备登录到其它设备

表3-14 设备作为SSH客户端登录到其它设备的配置

3.5  CLI登录显示和维护

表3-15 CLI显示和维护

4 配置通过SNMP登录设备

使用SNMP协议，用户可通过NMS（Network Management System，网络管理系统）登录到设备上，通过SET和GET等操作对设备进行管理、配置，如图4-1所示。设备支持多种NMS软件，如iMC等。

图4-1 通过SNMP登录设备组网图

缺省情况下，用户不能通过NMS登录到设备上，如果要使用NMS登录设备，首先需要通过Console口登录到设备上，在设备上进行相关配置。设备支持SNMPv1、SNMPv2c和SNMPv3三种版本，只有NMS和Agent使用的SNMP版本相同，NMS才能和Agent建立连接。请根据使用的SNMP版本选择对应的配置步骤，见表4-1或表4-2。配置完成后，即可使用NMS网管的方式登录设备。关于SNMP的详细介绍及配置，请参见“网络管理和监控配置指导”中的“SNMP”。

表4-1 配置SNMP基本参数（SNMPv3版本）

表4-2 配置SNMP基本参数（SNMPv1版本、SNMPv2c版本）

5 对登录用户的控制

通过引用ACL（Access Controle List，访问控制列表），可以对访问设备的登录用户进行控制：

·              当未引用ACL、或者引用的ACL不存在、或者引用的ACL为空时，允许所有登录用户访问设备；

·              当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，以免非法用户使用Telnet/SSH访问设备。

关于ACL的详细描述和介绍请参见“ACL和QoS配置指导”中的“ACL”。

用户登录后，可以通过AAA功能来对用户使用的命令行进行授权和计费。

5.1  配置对Telnet/SSH用户的控制

5.1.1  配置准备

确定了对Telnet/SSH的控制策略，包括对哪些源IP、目的IP、源MAC等参数进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。

5.1.2  配置对Telnet/SSH用户的控制

表5-1 配置对Telnet用户的控制

表5-2 配置对SSH用户的控制

5.1.3  配置举例

1. 组网需求

通过源IP对Telnet进行控制，仅允许来自10.110.100.52和10.110.100.46的Telnet用户访问设备。

2. 组网图

图5-1 使用ACL对Telnet用户进行控制

3. 配置步骤

# 定义ACL。

<Sysname> system-view

[Sysname] acl number 2000 match-order config

[Sysname-acl-basic-2000] rule 1 permit source 10.110.100.52 0

[Sysname-acl-basic-2000] rule 2 permit source 10.110.100.46 0

[Sysname-acl-basic-2000] quit

# 引用ACL，允许源地址为10.110.100.52和10.110.100.46的Telnet用户访问设备。

[Sysname] telnet server acl 2000

5.2  配置对NMS的控制

5.2.1  配置准备

确定了对NMS的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。

5.2.2  配置对NMS的控制

表5-3 配置对NMS的控制

5.2.3  配置举例

1. 组网需求

通过源IP对NMS进行控制，仅允许来自10.110.100.52和10.110.100.46的NMS访问设备。

2. 组网图

图5-2 使用ACL对NMS进行控制

3. 配置步骤

# 定义基本ACL。

<Sysname> system-view

[Sysname] acl number 2000 match-order config

[Sysname-acl-basic-2000] rule 1 permit source 10.110.100.52 0

[Sysname-acl-basic-2000] rule 2 permit source 10.110.100.46 0

[Sysname-acl-basic-2000] quit

# 引用ACL，仅允许来自10.110.100.52和10.110.100.46的NMS访问设备。

[Sysname] snmp-agent community read aaa acl 2000

[Sysname] snmp-agent group v2c groupa acl 2000

[Sysname] snmp-agent usm-user v2c usera groupa acl 2000

5.3  配置命令行授权功能

5.3.1  配置步骤

缺省情况下，用户登录设备后可以使用的命令行由用户拥有的用户角色决定。当用户界面采用AAA认证方式并配置命令行授权功能后，用户可使用的命令行将受到用户角色和AAA授权的双重限制。用户每执行一条命令都会进行授权检查，只有授权成功的命令才被允许执行。

要使配置的命令行授权功能生效，还需要在ISP域视图下配置命令行授权方法。命令行授权方法可以和login用户的授权方法相同，也可以不同。相关详细介绍请参见“安全配置指导”中的“AAA”。

表5-4 配置命令行授权功能

5.3.2  配置举例

1. 组网需求

为了保证Device的安全，需要对登录用户执行命令的权限进行限制：用户Host A登录设备后，输入的命令必须先获得HWTACACS服务器的授权，才能执行。否则，不能执行该命令。如果HWTACACS服务器故障导致授权失败，则采用本地授权。

2. 组网图

图1-1 命令行授权配置组网图

3. 配置步骤

# 在设备上配置IP地址，以保证Device和Host A、Device和HWTACACS server之间互相路由可达。（配置步骤略）

# 开启设备的Telnet服务器功能，以便用户访问。

<Device> system-view

[Device] telnet server enable

# 配置用户登录设备时，需要输入用户名和密码进行AAA认证，可以使用的命令由认证结果决定。

[Device] user-interface vty 0 15

[Device-ui-vty0-15] authentication-mode scheme

# 使能命令行授权功能，限制用户只能使用授权成功的命令。

[Device-ui-vty0-15] command authorization

[Device-ui-vty0-15] quit

# 配置HWTACACS方案：授权服务器的IP地址:TCP端口号为192.168.2.20:49（该端口号必须和HWTACACS服务器上的设置一致），报文的加密密码是expert，登录时不需要输入域名，使用缺省域。

[Device] hwtacacs scheme tac

[Device-hwtacacs-tac] primary authentication 192.168.2.20 49

[Device-hwtacacs-tac] primary authorization 192.168.2.20 49

[Device-hwtacacs-tac] key authentication expert

[Device-hwtacacs-tac] key authorization expert

[Device-hwtacacs-tac] server-type standard

[Device-hwtacacs-tac] user-name-format without-domain

[Device-hwtacacs-tac] quit

# 配置缺省域的命令行授权AAA方案，使用HWTACACS方案。

[Device] domain system

[Device-isp-system] authentication login hwtacacs-scheme tac local

[Device-isp-system] authorization command hwtacacs-scheme tac local

[Device-isp-system] quit

# 配置本地认证所需参数：创建本地用户monitor，密码为123，可使用的服务类型为telnet，可使用缺省级别等于或低于1（监控级）的命令。

[Device] local-user monitor class manage

[Device-luser-manage-monitor] password cipher 123

[Device-luser-manage-monitor] service-type telnet

[Device-luser-manage-monitor] authorization-attribute level 1

5.4  配置命令行计费功能

5.4.1  配置步骤

当用户界面采用AAA认证方式并配置命令行计费功能后，系统会将用户执行过的命令记录到HWTACACS服务器上，以便集中监视用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，则用户执行的每一条合法命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则用户执行的并且授权成功的命令都会发送到HWTACACS服务器上做记录。

要使配置的命令行计费功能生效，还需要在ISP域视图下配置命令行计费方法。命令行计费方法、命令行授权方法、login用户的授权方法可以相同，也可以不同。相关详细介绍请参见“安全配置指导”中的“AAA”。

表5-5 配置命令行计费功能

5.4.2  配置举例

1. 组网需求

为便于集中控制、监控用户对设备的操作，需要将登录用户执行的命令发送到HWTACACS服务器进行记录。

2. 组网图

图1-1 命令行计费配置组网图

3. 配置步骤

# 开启设备的Telnet服务器功能，以便用户访问。

<Device> system-view

[Device] telnet server enable

# 配置使用Console口登录设备的用户执行的命令需要发送到HWTACACS服务器进行记录。

[Device] user-interface console 0

[Device-ui-console0] command accounting

[Device-ui-console0] quit

# 配置使用Telnet或者SSH登录的用户执行的命令需要发送到HWTACACS服务器进行记录。

[Device] user-interface vty 0 15

[Device-ui-vty0-15] command accounting

[Device-ui-vty0-15] quit

# 配置HWTACACS方案：计费服务器的IP地址:TCP端口号为192.168.2.20:49，报文的加密密码是expert，登录时不需要输入域名，使用缺省域。

[Device] hwtacacs scheme tac

[Device-hwtacacs-tac] primary accounting 192.168.2.20 49

[Device-hwtacacs-tac] key accounting expert

[Device-hwtacacs-tac] user-name-format without-domain

[Device-hwtacacs-tac] quit

# 配置缺省域的命令行计费AAA方案，使用HWTACACS方案。

[Device] domain system

[Device-isp-system] accounting command hwtacacs-scheme tac

[Device-isp-system] quit