- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
44-Password Control典型配置举例
本章节下载： 44-Password Control典型配置举例 (118.97 KB)
目 录
本章介绍了采用Password Control（密码管理）功能，对设备管理类的本地用户登录密码的设置、老化、更新等方面进行管理，并对用户的登录状态进行控制的典型配置举例。
设备运行于FIPS模式时（可通过display fips status命令查看），不能关闭全局Password Control功能，即undo password control enable命令执行后不生效。
配置Password Control功能前保证设备存储空间充足，否则会造成以下两个影响：
· 不能使能全局密码管理功能。
· 全局密码管理功能处于使能的状态下，用户登录设备失败。
表1 配置适用的产品与软件版本关系
|
产品 |
软件版本 |
|
S5830V2&S5820V2系列以太网交换机 |
Release 2208P01，Release 2210 |
如图1所示，管理员Admin登录到Switch上进行密码管理相关配置，具体需求如下
· 全局密码管理策略：用户2次登录失败Switch后就永久禁止登录；密码老化时间为30天；允许用户进行密码更新的最小时间间隔为36小时；密码过期后60天内允许登录5次；用户帐号的闲置时间为30天；不允许密码中包含用户名或者字符顺序颠倒的用户名；不允许密码中包含连续三个或以上相同字符。
· Host A为采用本地认证的Telnet用户，用户名为telnet-user，登录到设备后的用户角色为level-0，配置其密码管理策略为：最小密码长度为20个字符，密码元素的最少组合类型为4种，至少要包含每种元素的个数为4个。
· Host B为采用本地认证的FTP用户，用户名为ftp-user，登录到设备后的用户角色为level-9，配置其密码管理策略为：最小密码长度为24个字符，密码元素的最少组合类型为4种，至少要包含每种元素的个数为5个，密码老化时间为1天。
图1 Password Control典型组网图
· 对于FTP用户，密码老化后，只能由管理员修改FTP用户的密码；对于Telnet、SSH、Terminal（通过Console口登录设备）用户可自行修改密码。
· 使能全局密码管理功能后，设备管理类本地用户密码的配置将不被显示，即无法通过相应的display命令查看到设备管理类本地用户密码的配置。
# 开启Telnet服务器功能。
<Switch> system-view
[Switch] telnet server enable
# 开启FTP服务器功能。
[Switch] ftp server enable
# 设置VTP用户界面的认证方式为AAA认证，远程登录协议为all。
[Switch] user-interface vty 0 15
[Switch-ui-vty0-15] authentication-mode scheme
[Switch-ui-vty0-15] protocol inbound all
[Switch-ui-vty0-15] quit
# 使能全局密码管理功能。
[Switch] password-control enable
# 配置用户2次登录失败后就永久禁止该用户登录。
[Switch] password-control login-attempt 2 exceed lock
# 配置全局的密码老化时间为30天。
[Switch] password-control aging 30
# 配置密码更新的最小时间间隔为36小时。
[Switch] password-control update-interval 36
# 配置用户密码过期后的60天内允许登录5次。
[Switch] password-control expired-user-login delay 60 times 5
# 配置用户帐号的闲置时间为30天。
[Switch] password-control login idle-time 30
# 使能在配置的密码中检查包含用户名或者字符顺序颠倒的用户名的功能。
[Switch] password-control complexity user-name check
# 使能在配置的密码中检查包含连续三个或以上相同字符的功能。
[Switch] password-control complexity same-character check
# 添加设备管理类本地用户telnet-user。
[Switch] local-user telnet-user class manage
New local user added.
# 配置本地用户的服务类型为Telnet。
[Switch-luser-manage-telnet-user] service-type telnet
# 删除本地用户telnet-user的缺省用户角色，仅使用授权的用户角色为level-0。
[Switch-luser-manage-telnet-user] undo authorization-attribute user-role network-operator
[Switch-luser-manage-telnet-user] authorization-attribute user-role level-0
# 配置本地用户的最小密码长度为20个字符。
[Switch-luser-manage-telnet-user] password-control length 20
# 配置本地用户的密码元素的最少组合类型为4种，至少要包含每种元素的个数为4个。
[Switch-luser-manage-telnet-user] password-control composition type-number 4 type-length 4
[Switch-luser-manage-telnet-user] quit
# 添加设备管理类本地用户ftp-user。
[Switch] local-user ftp-user class manage
New local user added.
# 配置本地用户的服务类型为FTP。
[Switch-luser-manage-ftp-user] service-type ftp
# 删除本地用户ftp-user的缺省用户角色，仅使用授权的用户角色为level-9。
[Switch-luser-manage-ftp-user] undo authorization-attribute user-role network-operator
[Switch-luser-manage-ftp-user] authorization-attribute user-role level-9
# 配置本地用户的最小密码长度为24个字符。
[Switch-luser-manage-ftp-user] password-control length 24
# 配置本地用户的密码元素的最少组合类型为4种，至少要包含每种元素的个数为5个。
[Switch-luser-manage-ftp-user] password-control composition type-number 4 type-length 5
# 配置本地用户的密码老化时间为1天。
[Switch-luser-manage-ftp-user] password-control aging 1
[Switch-luser-manage-ftp-user] quit
# 上述配置完成后，可通过如下命令查看全局密码管理的配置信息。
<Switch> display password-control
Global password control configurations:
Password control: Enabled
Password aging: Enabled (30 days)
Password length: Enabled (10 characters)
Password composition: Enabled (1 types, 1 characters per type)
Password history: Enabled (max history records:4)
Early notice on password expiration: 7 days
Maximum login attempts: 2
Action for exceeding login attempts: Lock
Minimum interval between two updates:36 hours
User account idle time: 30 days
Logins with aged password: 5 times in 60 days
Password complexity: Enabled (username checking)
Disabled (repeated characters checking)
# 可通过如下命令查看到本地用户密码管理的配置信息。
<Switch> system-view
[Switch] local-user telnet-user class manage
[Switch-luser-manage-telnet-user] display this
#
local-user telnet-user class manage
service-type telnet
authorization-attribute user-role level-0
password-control length 20
password-control composition type-number 4 type-length 4
#
return
[Switch-luser-manage-telnet-user] quit
[Switch] local-user ftp-user class manage
[Switch-luser-manage-ftp-user] display this
#
local-user ftp-user class manage
service-type ftp
authorization-attribute user-role level-9
password-control aging 1
password-control length 24
password-control composition type-number 4 type-length 5
#
return
# 以交互式方式为本地用户telnet-user配置符合密码管理策略的密码12345ABGFTweuix@#$%!。
[Switch] local-user telnet-user class manage
[Switch-luser-manage-telnet-user] password
Password:
Confirm :
Updating user information. Please wait ... ...
[Switch-luser-manage-telnet-user] quit
# 以交互式方式为本地用户ftp-user配置符合密码管理策略的密码123456789ABGFTweuix@#$%!。
[Switch] local-user ftp-user class manage
[Switch-luser-manage-ftp-user] password
Password:
Confirm :
Updating user information. Please wait ... ...
[Switch-luser-manage-ftp-user] quit
配置成功后，Telnet用户“telnet-user”和FTP用户“ftp-user”，使用符合密码管理策略的密码可登录到Switch上，并分别具有角色Level-0和Level-9的权限。
#
ftp server enable
#
telnet server enable
#
user-interface vty 0 15
authentication-mode scheme
user-role network-admin
user-role network-operator
#
password-control enable
password-control aging 30
password-control login-attempt 2 exceed lock
password-control update-interval 36
password-control login idle-time 30
password-control expired-user-login delay 60 times 5
password-control complexity user-name check
password-control complexity same-character check
#
local-user ftp-user class manage
service-type ftp
authorization-attribute user-role level-9
password-control aging 1
password-control length 24
password-control composition type-number 4 type-length 5
#
local-user telnet-user class manage
service-type telnet
authorization-attribute user-role level-0
password-control length 20
password-control composition type-number 4 type-length 4
#
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
