03-登录设备配置
本章节下载: 03-登录设备配置 (391.57 KB)
3.3.2 通过Console口/AUX口登录设备配置任务简介
3.3.3 配置通过Console口/AUX口登录设备的认证方式
3.3.4 配置Console口/AUX口登录方式的公共属性
5.3.1 配置对SNMPv1/SNMPv2c版本NMS的控制
设备支持CLI(Command Line Interface,命令行接口)、SNMP(Simple Network Management Protocol,简单网络管理协议)等登录方式:
· 通过CLI登录设备后,可以直接输入命令行,来配置和管理设备。CLI方式下又根据使用的登录接口以及登录协议不同,分为:通过Console口、AUX口(Auxiliary port,辅助端口)、Telnet、SSH登录方式。
· 通过SNMP登录设备后,NMS可以通过Set和Get等操作来配置和管理设备。
用户首次登录设备时,只能通过Console口登录。只有通过Console口登录到设备,进行相应的配置后,才能通过其他方式登录。
本文所述缺省情况下的设备登录方式设置均假设设备启动后不进入自动配置程序。
通过Console口进行本地登录是登录设备的最基本的方式,也是配置通过其他方式登录设备的基础。
通过Console口登录设备时,请按照以下步骤进行操作:
(1) 将PC断电。因为PC机串口不支持热插拔,请不要在PC带电的情况下,将串口线插入或者拔出PC机。
(2) 请使用产品随机附带的配置口电缆连接PC机和设备。请先将配置口电缆的DB-9(孔)插头插入PC机的9芯(针)串口中,再将RJ-45插头端插入设备的Console口中。
· 连接时请认准接口上的标识,以免误插入其他接口。
· 在拆下配置口电缆时,请先拔出RJ-45端,再拔下DB-9端。
图2-1 将设备与PC通过配置口电缆进行连接
(3) 给PC上电。
(4) 在通过Console口搭建本地配置环境时,需要通过超级终端或PuTTY等终端仿真程序与设备建立连接。用户可以运行这些程序来连接网络设备、Telnet或SSH站点,这些程序的详细介绍和使用方法请参见该程序的使用指导。打开终端仿真程序后,请按如下要求设置终端参数:
· 波特率:9600
· 数据位:8
· 停止位:1
· 奇偶校验:无
· 流量控制:无
(5) 设备上电,自检结束后提示用户键入回车,出现命令行提示符后即可键入命令来配置设备或查看设备运行状态,需要帮助可以随时键入?。
CLI登录用户的访问行为需要由用户线管理、限制,即网络管理员可以给每个用户线配置一系列参数,比如用户登录时是否需要认证、用户登录后的角色等。当用户通过CLI登录到设备的时候,系统会给用户分配一个用户线,登录用户将受到该用户线下配置参数的约束。
设备提供如下类型的用户线:
· Console用户线:用来管理和监控通过Console口登录的用户。
· AUX用户线:用来管理和监控通过AUX口登录的用户。
· VTY(Virtual Type Terminal,虚拟类型终端)用户线:用来管理和监控通过Telnet或SSH登录的用户。
需要注意的是,目前暂不支持通过AUX口本地登录设备。
用户线的编号有绝对编号方式和相对编号方式。
· 绝对编号方式
使用绝对编号方式,可以唯一的指定一个用户线。绝对编号从0开始自动编号,每次增长1,先给所有Console用户线编号,其次是所有AUX用户线,最后是所有VTY用户线。使用display line(不带参数)可查看到设备当前支持的用户线以及它们的绝对编号。
· 相对编号方式
相对编号是每种类型用户线的内部编号,表现形式为 “用户线类型 编号”。Console用户线、AUX用户线、VTY用户线的编号从0开始以1为单位递增。
用户登录时,系统会根据用户的登录方式,自动给用户分配一个当前空闲的、编号最小的某类型的用户线,整个登录过程将受该用户线视图下配置的约束。用户与用户线并没有固定的对应关系:
· 同一用户登录的方式不同,分配的用户线不同。比如用户A使用Console口登录设备时,将受到Console用户线视图下配置的约束;当使用Telnet登录设备时,将受到VTY用户线视图下配置的约束。
· 同一用户登录的时间不同,分配的用户线可能不同。比如用户本次使用Telnet登录设备,设备为其分配的用户线是VTY 1。当该用户下次再Telnet登录时,设备可能已经把VTY 1分配给其他Telnet用户了,只能为该用户分配其他的用户线。
如果没有空闲的、相应类型的用户线可分配,则用户不能登录设备。
在用户线下配置认证方式,可以要求当用户使用指定用户线登录时是否需要认证,以提高设备的安全性。设备支持配置如下认证方式:
· 认证方式为none:表示下次使用该用户线登录时不需要进行用户名和密码认证,任何人都可以登录到设备上,这种情况可能会带来安全隐患。
· 认证方式为password:表示下次使用该用户线登录时,需要输入密码。只有密码正确,用户才能登录到设备上。配置认证方式为password后,请妥善保存密码。
· 认证方式为scheme:表示下次使用该用户线登录设备时需要进行用户名和密码认证,用户名或密码错误,均会导致登录失败。配置认证方式为scheme后,请妥善保存用户名及密码。
认证方式不同,配置不同,具体配置如表3-1所示。
认证方式 |
认证所需配置 |
none |
设置登录用户的认证方式为不认证 |
password |
设置登录用户的认证方式为password认证 设置密码认证的密码 |
scheme |
设置登录用户的认证方式为scheme认证 在ISP域视图下为login用户配置认证方法 |
用户角色中定义了允许用户配置的系统功能以及资源对象,即用户登录后执行的命令。关于用户角色的详细描述以及配置请参见“基础配置指导”中的“RBAC”。
· 对于none和password认证方式,登录用户的角色由用户线下的用户角色配置决定。
· 对于scheme认证方式,且用户通过SSH的publickey或password-publickey方式登录设备时,登录用户将被授予同名的设备管理类本地用户视图下配置的授权用户角色。
· 对于scheme认证方式,非SSH登录以及用户通过SSH的password方式登录设备时,登录用户使用AAA认证用户的角色配置。尤其对于远程AAA认证用户,如果AAA服务器没有下发用户角色且缺省用户角色授权功能处于关闭状态时,用户将不能登录设备。
· 用户线视图下的配置优先于用户线类视图下的配置。
· 当用户线或用户线类视图下的属性配置为缺省值时,将优先采用配置为非缺省值的视图下的配置。
· 用户线视图下的配置只对该用户线生效。
· 用户线类视图下的配置修改不会立即生效,当用户下次登录后所修改的配置值才会生效。
通过Console口/AUX口进行本地登录是登录设备的基本方式之一,用户可以使用本地链路登录设备,便于系统维护。如图3-1所示。具体登录步骤,请参见通过Console口首次登录设备。
图3-1 通过Console口/AUX口登录设备示意图
缺省情况下,通过Console口登录时认证方式为none,可直接登录。登录成功之后用户角色为network-admin。缺省情况下,通过AUX口登录时认证方式为password,密码为空,用户回车即可直接登录。登录成功之后用户角色为network-operator。
改变Console口/AUX口登录的认证方式后,新认证方式对新登录的用户生效。
表3-2 通过Console口/AUX口登录设备配置任务简介
配置任务 |
说明 |
详细配置 |
|
配置通过Console口/AUX口登录设备的认证方式 |
配置通过Console口/AUX口登录设备时无需认证(none) |
必选 请根据实际需要选择其中的一种认证方式 |
|
配置通过Console口/AUX口登录设备时采用密码认证(password) |
|||
配置通过Console口/AUX口登录设备时采用AAA认证(scheme) |
|||
配置Console口/AUX口登录方式的公共属性 |
可选 |
表3-3 配置通过Console口/AUX口登录设备时无需认证
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入Console/AUX用户线视图 |
line { aux | console } first-number [ last-number ] |
二者选其一 |
进入Console/AUX用户线类视图 |
line class { aux | console } |
|
设置登录用户的认证方式为不认证 |
authentication-mode none |
缺省情况下,用户通过Console口登录,认证方式为none;用户通过AUX口登录,认证方式为password |
配置从当前用户线登录设备的用户角色 |
user-role role-name |
缺省情况下,通过Console口登录设备的用户角色为network-admin;通过AUX口登录设备的用户角色为network-operator |
表3-4 配置用户通过Console口/AUX口登录设备时采用密码认证
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入Console/AUX用户线视图 |
line { aux | console } first-number [ last-number ] |
二者选其一 |
进入Console/AUX用户线类视图 |
line class { aux | console } |
|
设置登录用户的认证方式为密码认证 |
authentication-mode password |
缺省情况下,用户通过Console口登录,认证方式为none;用户通过AUX口登录,认证方式为password |
设置认证密码 |
set authentication password { hash | simple } password |
缺省情况下,未设置认证密码 |
配置从当前用户线登录设备的用户角色 |
user-role role-name |
缺省情况下,通过Console口登录设备的用户角色为network-admin;通过AUX口登录设备的用户角色为network-operator |
表3-5 配置用户通过Console口/AUX口登录设备时采用AAA认证
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入Console/AUX用户线视图 |
line { aux | console } first-number [ last-number ] |
二者选其一 用户线视图下的配置优先于用户线类视图下的配置 用户线视图下的配置只对该用户线生效 用户线类视图下的配置修改不会立即生效,当用户下次登录后所修改的配置值才会生效 用户线视图下的属性配置为缺省值时,将采用用户线类视图下配置的值 |
进入Console/AUX用户线类视图 |
line class { aux | console } |
|
设置登录用户的认证方式为通过AAA认证 |
authentication-mode scheme |
缺省情况下,用户通过Console口登录,认证方式为none;用户通过AUX口登录,认证方式为password |
在ISP域视图下为login用户配置认证方法 |
- |
如果选择本地认证,请配置本地用户及相关属性;如果选择远程认证,请配置RADIUS、HWTACACS或LDAP方案。相关详细介绍请参见“用户接入配置指导”中的“AAA” |
· 改变Console口/AUX口属性后会立即生效,所以通过Console口/AUX口登录来配置Console口/AUX口属性可能在配置过程中发生连接中断,建议通过其他登录方式来配置Console口/AUX口属性。
· 若用户需要通过Console口/AUX口再次登录设备,需要改变PC机上运行的终端仿真程序的相应配置,使之与设备上配置的Console口/AUX口属性保持一致。否则,连接失败。
设备可以作为Telnet服务器,以便用户能够Telnet登录到设备进行远程管理和监控。具体配置请参见“3.4.2 配置设备作为Telnet服务器”。
设备也可以作为Telnet客户端,Telnet到其他设备,对别的设备进行管理和监控。具体配置请参见“3.4.3 配置设备作为Telnet客户端登录其他设备”。
改变Telnet登录的认证方式后,新认证方式对新登录的用户生效。
表3-7 设备作为Telnet服务器配置任务简介
配置任务 |
说明 |
详细配置 |
|
开启Telnet服务 |
必选 |
||
配置设备作为Telnet服务器时的认证方式 |
配置Telnet登录设备时无需认证(none) |
必选 请根据实际需要选择其中的一种认证方式 |
|
配置Telnet登录设备时采用密码认证(password) |
|||
配置Telnet登录设备时采用AAA认证(scheme) |
|||
配置Telnet服务器发送报文的公共属性 |
可选 |
||
配置VTY用户线的公共属性 |
可选 |
表3-8 开启Telnet服务
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
开启设备的Telnet服务 |
telnet server enable |
缺省情况下,Telnet服务处于关闭状态 |
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入一个或多个VTY用户线视图 |
line vty first-number [ last-number ] |
二者选其一 |
进入VTY用户线类视图 |
line class vty |
|
设置VTY登录用户的认证方式为不认证 |
authentication-mode none |
缺省情况下,VTY用户线的认证方式为password 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值 |
配置从当前用户线登录设备的用户角色 |
user-role role-name |
缺省情况下,通过Telnet登录设备的用户角色为network-operator |
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入一个或多个VTY用户线视图 |
line vty first-number [ last-number ] |
二者选其一 |
进入VTY用户线类视图 |
line class vty |
|
设置登录用户的认证方式为密码认证 |
authentication-mode password |
缺省情况下,VTY用户线的认证方式为password 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值 |
设置密码认证的密码 |
set authentication password { hash | simple } password |
缺省情况下,未设置密码认证的密码 |
(可选)配置从当前用户线登录设备的用户角色 |
user-role role-name |
缺省情况下,通过Telnet登录设备的用户角色为network-operator |
要使配置的AAA认证方式生效,还需要在ISP域视图下配置login认证方法。如果选择本地认证,请配置本地用户及相关属性;如果选择远程认证,请配置RADIUS、HWTACACS或LDAP方案。相关详细介绍请参见“用户接入配置指导”中的“AAA”。
表3-11 配置用户通过Telnet登录设备时采用AAA认证
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入一个或多个VTY用户线视图 |
line vty first-number [ last-number ] |
二者选其一 |
进入VTY用户线类视图 |
line class vty |
|
设置登录用户的认证方式为通过AAA认证 |
authentication-mode scheme |
缺省情况下,VTY用户线的认证方式为password 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值 |
在ISP域视图下为login用户配置认证方法 |
- |
如果选择本地认证,请配置本地用户及相关属性;如果选择远程认证,请配置RADIUS、HWTACACS或LDAP方案。相关详细介绍请参见“用户接入配置指导”中的“AAA” |
表3-12 配置Telnet服务器发送报文的公共属性
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
配置Telnet服务器发送报文的DSCP优先级 |
telnet server dscp dscp-value |
缺省情况下,Telnet服务器发送Telnet报文的DSCP优先级48 |
配置Telnet服务器发送IPv6报文的DSCP优先级 |
telnet server ipv6 dscp dscp-value |
缺省情况下,IPv6 Telnet服务器发送IPv6 Telnet报文的DSCP优先级48 |
配置IPv4网络Telnet协议的端口号 |
telnet server port port-number |
缺省情况下,IPv4网络Telnet协议的端口号为23 |
配置IPv6网络Telnet协议的端口号 |
telnet server ipv6 port port-number |
缺省情况下,IPv6网络Telnet协议的端口号为23 |
配置Telnet登录同时在线的最大用户连接数 |
aaa session-limit telnet max-sessions |
缺省情况下,最大用户连接数为32 该配置对所有认证方式(none、password或者scheme)Telnet接入设备的用户生效 配置本命令后,已经在线的用户连接不会受到影响,只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值,提示“All lines are used, please try later!”,则新的连接请求会被拒绝,登录会失败 关于该命令的详细描述,请参见“用户接入命令参考”中的“AAA” |
· 使用auto-execute command命令后,将导致用户通过该用户线登录后,不能对设备进行常规配置,需谨慎使用。
· 在配置auto-execute command命令并退出登录之前,要确保可以通过其他VTY、AUX用户登录并更改配置,以便出现问题后,能删除该配置。
表3-13 配置VTY用户线的公共属性
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入一个或多个VTY用户线视图 |
line vty first-number [ last-number ] |
二者选其一 |
进入VTY用户线类视图 |
line class vty |
|
启动终端服务 |
shell |
缺省情况下,所有用户线的终端服务功能处于开启状态 |
配置VTY用户线支持的协议 |
protocol inbound { all | ssh | telnet } |
缺省情况下,设备同时支持Telnet和SSH协议 使用该命令配置的协议将在用户下次使用该用户线登录时生效 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值 |
配置中止当前运行任务的快捷键 |
escape-key { character | default } |
缺省情况下,键入<Ctrl+C>中止当前运行的任务 |
配置对当前用户线进行锁定并重新认证的快捷键 |
lock-key key-string |
缺省情况下,未配置对当前用户线进行锁定并重新认证的快捷键 |
配置终端的显示类型 |
terminal type { ansi | vt100 } |
缺省情况下,终端显示类型为ANSI |
设置终端屏幕一屏显示的行数 |
screen-length screen-length |
缺省情况下,终端屏幕一屏显示的行数为24行 screen-length 0表示关闭分屏显示功能 |
设置设备历史命令缓冲区大小 |
history-command max-size value |
缺省情况下,每个用户的历史缓冲区大小为10,即可存放10条历史命令 |
设置VTY用户线的超时时间 |
idle-timeout minutes [ seconds ] |
缺省情况下,所有的用户线的超时时间为10分钟 如果10分钟内某用户线没有用户进行操作,则该用户线将自动断开 idle-timeout 0表示永远不会超时 |
设置从用户线登录后自动执行的命令 |
auto-execute command command |
缺省情况下,未配置自动执行命令 配置自动执行命令后,用户在登录时,系统会自动执行已经配置好的命令,执行完命令后,自动断开用户连接 如果这条命令引发起了一个任务,系统会等这个任务执行完毕后再断开连接 |
用户已经成功登录到了设备上,并希望将当前设备作为Telnet客户端登录到Telnet服务器上进行操作,如图3-2所示。
先配置设备IP地址并获取Telnet服务器的IP地址。如果设备与Telnet服务器相连的端口不在同一子网内,请保证两台设备间路由可达。
表3-14 设备作为Telnet客户端登录到Telnet服务器的配置
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
(可选)指定设备作为Telnet客户端时,发送Telnet报文的源IPv4地址或源接口 |
telnet client source { interface interface-type interface-number | ip ip-address } |
缺省情况下,未指定发送Telnet报文的源IPv4地址和源接口,使用报文路由出接口的主IPv4地址作为Telnet报文的源地址 |
退回到用户视图 |
quit |
- |
设备作为Telnet客户端登录到Telnet服务器 |
telnet remote-host [ service-port ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ip ip-address } | dscp dscp-value ] * |
二者选其一 此命令在用户视图下执行 |
telnet ipv6 remote-host [ -i interface-type interface-number ] [ port-number ] [ vpn-instance vpn-instance-name ] [ source { interface interface-type interface-number | ipv6 ipv6-address } | dscp dscp-value ] * |
用户通过一个不能保证安全的网络环境远程登录到设备时,SSH(Secure Shell,安全外壳)可以利用加密和强大的认证功能提供安全保障,保护设备不受诸如IP地址欺诈、明文密码截取等攻击。
· 设备可以作为SSH服务器,以便用户能够使用SSH协议登录到设备进行远程管理和监控。具体配置请参见“3.5.2 配置设备作为SSH服务器”。
· 设备也可以作为SSH客户端,使用SSH协议登录到别的设备,对别的设备进行管理和监控。具体配置请参见“3.5.3 配置设备作为SSH客户端登录其他设备”。
以下配置步骤只介绍采用password方式认证SSH客户端的配置方法,publickey方式的配置方法及SSH的详细介绍,请参见“安全配置指导”中的“SSH”。
表3-15 设备作为SSH服务器时的配置
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
生成本地密钥对 |
public-key local create { dsa | rsa | ecdsa [ secp192r1 | secp256r1 | secp384r1 ] } [ name key-name ] |
缺省情况下,没有生成密钥对 |
|
开启SSH服务器功能 |
ssh server enable |
缺省情况下,SSH服务器功能处于关闭状态 |
|
(可选)建立SSH用户,并指定SSH用户的认证方式 |
ssh user username service-type stelnet authentication-type password |
缺省情况下,不存在任何SSH用户 |
|
进入VTY用户线视图 |
line vty first-number [ last-number ] |
二者选其一 |
|
进入VTY用户线类视图 |
line class vty |
|
|
配置登录用户线的认证方式为scheme方式 |
authentication-mode scheme |
缺省情况下,VTY用户线认证为password方式 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值。当两条命令都配置成非缺省值,则均取用户线下的配置值 |
|
(可选)配置VTY用户线支持的SSH协议 |
protocol inbound { all | ssh | telnet } |
缺省情况下,设备同时支持Telnet和SSH协议 使用该命令配置的协议将在用户下次使用该用户线登录时生效 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值。当两条命令都配置成非缺省值,则均取用户线下的配置值 |
|
(可选)配置SSH方式登录设备时,同时在线的最大用户连接数 |
aaa session-limit ssh max-sessions |
缺省情况下,最大用户连接数为32 配置本命令后,已经在线的用户连接不会受到影响,只对新的用户连接生效。如果当前在线的用户连接数已经达到最大值,则新的连接请求会被拒绝,登录会失败 关于该命令的详细描述,请参见“用户接入命令参考”中的“AAA” |
|
退回系统视图 |
quit |
- |
|
(可选)配置VTY用户线的公共属性 |
- |
详细配置请参见“3.4.2 7. 配置VTY用户线的公共属性” |
|
用户已经成功登录到了设备上,并希望将当前设备作为SSH客户端登录到其他设备上进行操作,如图3-3所示。
先配置设备IP地址并获取SSH服务器的IP地址。如果设备与SSH服务器相连的端口不在同一子网内,请配置路由使得两台设备间路由可达。
表3-16 设备作为SSH客户端登录到其他设备的配置
操作 |
命令 |
说明 |
配置设备作为SSH客户端登录到SSH IPv4服务器 |
ssh2 server |
此命令在用户视图下执行 |
配置设备作为SSH客户端登录到SSH IPv6服务器 |
ssh2 ipv6 server |
此命令在用户视图下执行 |
为配合SSH服务器,设备作为SSH客户端时还可进一步进行其他配置,具体配置请参见“安全配置指导”中的“SSH”。
表3-17 CLI显示和维护
操作 |
命令 |
说明 |
显示当前正在使用的用户线以及用户的相关信息 |
display users |
在任意视图下执行 |
显示设备支持的所有用户线以及用户的相关信息 |
display users all |
在任意视图下执行 |
显示用户线的相关信息 |
display line [ num1 | { aux | console | vty } num2 ] [ summary ] |
在任意视图下执行 |
显示设备作为Telnet客户端的相关配置信息 |
display telnet client |
在任意视图下执行 |
释放指定的用户线 |
free line { num1 | { aux | console | vty } num2 } |
在用户视图下执行 系统支持多个用户同时对设备进行配置,当管理员在维护设备时,其他在线用户的配置影响到管理员的操作,或者管理员正在进行一些重要配置不想被其他用户干扰时,可以使用以下命令强制断开该用户的连接 不能使用该命令释放用户当前自己使用的连接 |
锁定当前用户线并设置解锁密码,防止未授权的用户操作该线 |
lock |
在用户视图下执行 缺省情况下,系统不会自动锁定当前用户线 |
锁定当前用户线并对其进行重新认证 |
lock reauthentication |
在任意视图下执行 缺省情况下,系统不会自动锁定当前用户线并对其进行重新认证 请使用设备登录密码解除锁定并重新登录设备 |
向指定的用户线发送消息 |
send { all | num1 | { aux | console | vty } num2 } |
在用户视图下执行 |
使用SNMP协议,用户可通过NMS(Network Management System,网络管理系统)登录到设备上,通过Set和Get等操作对设备进行管理、配置,如图4-1所示。
设备支持SNMPv1、SNMPv2c和SNMPv3三种版本。
只有NMS和Agent使用的SNMP版本相同,NMS才能和Agent建立连接。
使用NMS登录设备,首先需要登录到设备上,配置设备的IP地址,确保设备与NMS登录用户间路由可达。然后根据使用的SNMP版本选择对应的配置步骤。配置完成后,即可使用NMS网管的方式登录设备。
关于SNMP的详细介绍及配置,请参见“网络管理和监控配置指导”中的“SNMP”。
通过引用ACL(Access Control List,访问控制列表),可以对访问设备的登录用户进行控制:
· 当未引用ACL、或者引用的ACL不存在、或者引用的ACL为空时,允许所有登录用户访问设备;
· 当引用的ACL非空时,则只有ACL中permit的用户才能访问设备,其他用户不允许访问设备,以免非法用户访问设备。
关于ACL的详细描述和介绍请参见“ACL和QoS配置指导”中的“ACL”。
用户登录后,可以通过AAA功能来对用户使用的命令行进行授权和计费。
表5-1 配置对Telnet用户的控制
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
使用ACL限制哪些Telnet客户端可以访问设备 |
telnet server [ mac ] acl acl-number |
请根据需要选择 缺省情况下,未使用ACL限制Telnet客户端 |
telnet server ipv6 acl { ipv6 | mac } acl-number |
表5-2 配置对SSH用户的控制
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
使用ACL限制哪些SSH客户端可以访问设备 |
ssh server acl acl-number |
请根据需要选择 缺省情况下,未使用ACL限制SSH客户端 ssh server acl和ssh server ipv6 acl命令的详细介绍请参见“安全命令参考”中的“SSH” |
ssh server ipv6 acl [ ipv6 ] acl-number |
通过源IP对Telnet进行控制,仅允许来自10.110.100.52和10.110.100.46的Telnet用户访问设备。
图5-1 使用ACL对Telnet用户进行控制
# 定义ACL。
<Sysname> system-view
[Sysname] acl basic 2000 match-order config
[Sysname-acl-ipv4-basic-2000] rule 1 permit source 10.110.100.52 0
[Sysname-acl-ipv4-basic-2000] rule 2 permit source 10.110.100.46 0
[Sysname-acl-ipv4-basic-2000] quit
# 引用ACL,允许源地址为10.110.100.52和10.110.100.46的Telnet用户访问设备。
[Sysname] telnet server acl 2000
表5-3 SNMPv1/SNMPv2c版本配置对NMS的控制
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
在配置SNMP团体名的命令中引用ACL |
VACM方式: snmp-agent community { read | write } [ simple | cipher ] community-name [ mib-view view-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * |
根据网管用户运行的SNMP版本及配置习惯,可以在团体名、组名或者用户名配置时引用访问控制列表,详细介绍请参见“网络管理和监控配置指导”中的“SNMP” 配置SNMP团体名或用户名时二者选其一 |
RBAC方式: snmp-agent community [ simple | cipher ] community-name user-role role-name [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * |
||
在配置SNMPv1/SNMPv2c用户名的命令中引用ACL |
snmp-agent group { v1 | v2c } group-name [ read-view view-name ] [ write-view view-name ] [ notify-view view-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * |
|
snmp-agent usm-user { v1 | v2c } user-name group-name [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * |
表5-4 SNMPv3版本配置对NMS的控制
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
在配置SNMPv3组名的命令中引用ACL |
snmp-agent group v3 group-name [ authentication | privacy ] [ read-view view-name ] [ write-view view-name ] [ notify-view view-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * |
根据网管用户运行的SNMP版本及配置习惯,可以在组名或者用户名配置时引用访问控制列表,详细介绍请参见“网络管理和监控配置指导”中的“SNMP” |
在配置SNMPv3用户名的命令中引用ACL |
· VACM方式: snmp-agent usm-user v3 user-name group-name [ remote { ipv4-address | ipv6 ipv6-address } [ vpn-instance vpn-instance-name ] ] [ { cipher | simple } authentication-mode { md5 | sha } auth-password [ privacy-mode { aes128 | 3des | des56 } priv-password ] ] [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * · RBAC方式: snmp-agent usm-user v3 user-name user-role role-name [ remote { ipv4-address | ipv6 ipv6-address } [ vpn-instance vpn-instance-name ] ] [ { cipher | simple } authentication-mode { md5 | sha } auth-password [ privacy-mode { aes128 | 3des | des56 } priv-password ] ] [ acl { ipv4-acl-number | name ipv4-acl-name } | acl ipv6 { ipv6-acl-number | name ipv6-acl-name } ] * |
通过源IP对NMS进行控制,仅允许来自10.110.100.52和10.110.100.46的NMS访问设备。
图5-2 使用ACL对NMS进行控制
# 定义基本ACL。
<Sysname> system-view
[Sysname] acl basic 2000 match-order config
[Sysname-acl-ipv4-basic-2000] rule 1 permit source 10.110.100.52 0
[Sysname-acl-ipv4-basic-2000] rule 2 permit source 10.110.100.46 0
[Sysname-acl-ipv4-basic-2000] quit
# 引用ACL,仅允许来自10.110.100.52和10.110.100.46的NMS访问设备。
[Sysname] snmp-agent community read aaa acl 2000
[Sysname] snmp-agent group v2c groupa acl 2000
[Sysname] snmp-agent usm-user v2c usera groupa acl 2000
缺省情况下,用户登录设备后可以使用的命令行由用户拥有的用户角色决定。当用户线采用AAA认证方式并配置命令行授权功能后,用户可使用的命令行将受到用户角色和AAA授权的双重限制。用户每执行一条命令都会进行授权检查,只有授权成功的命令才被允许执行。
要使配置的命令行授权功能生效,还需要在ISP域视图下配置命令行授权方法。命令行授权方法可以和login用户的授权方法相同,也可以不同。相关详细介绍请参见“用户接入配置指导”中的“AAA”。
表5-5 配置命令行授权功能
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入用户线视图 |
line { first-number1 [ last-number1 ] | { aux | console | vty } first-number2 [ last-number2 ] } |
二者选其一 用户线视图下的配置优先于用户线类视图下的配置 用户线视图下的配置只对该用户线生效 用户线类视图下的配置修改不会立即生效,当用户下次登录后所修改的配置值才会生效 用户线视图下的属性配置为缺省值时,将采用用户线类视图下配置的值 |
进入用户线类视图 |
line class { aux | console | vty } |
|
设置登录用户的认证方式为通过AAA认证 |
authentication-mode scheme |
缺省情况下,用户通过Console口登录,认证方式为none(即不需要进行认证);用户通过AUX口登录,认证方式为password(即需要进行密码认证);用户通过VTY用户线登录,认证方式为password 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值 |
开启命令行授权功能 |
command authorization |
缺省情况下,未开启命令行授权功能,即用户登录后执行命令行不需要授权 如果用户类视图下开启了命令行授权功能,则该类型用户线视图都开启命令行授权功能,并且在该类型用户线视图下将无法关闭命令行授权功能 |
为了保证Device的安全,需要对登录用户执行命令的权限进行限制:用户Host A登录设备后,输入的命令必须先获得HWTACACS服务器的授权,才能执行。否则,不能执行该命令。如果HWTACACS服务器故障导致授权失败,则采用本地授权。
图5-3 命令行授权配置组网图
# 在设备上配置IP地址,以保证Device和Host A、Device和HWTACACS server之间互相路由可达。(配置步骤略)
# 开启设备的Telnet服务器功能,以便用户访问。
<Device> system-view
[Device] telnet server enable
# 配置用户登录设备时,需要输入用户名和密码进行AAA认证,可以使用的命令由认证结果决定。
[Device] line vty 0 63
[Device-line-vty0-63] authentication-mode scheme
#开启命令行授权功能,限制用户只能使用授权成功的命令。
[Device-line-vty0-63] command authorization
[Device-line-vty0-63] quit
# 配置HWTACACS方案:授权服务器的IP地址:TCP端口号为192.168.2.20:49(该端口号必须和HWTACACS服务器上的设置一致),报文的加密密码是expert,登录时不需要输入域名,使用缺省域。
[Device] hwtacacs scheme tac
[Device-hwtacacs-tac] primary authentication 192.168.2.20 49
[Device-hwtacacs-tac] primary authorization 192.168.2.20 49
[Device-hwtacacs-tac] key authentication simple expert
[Device-hwtacacs-tac] key authorization simple expert
[Device-hwtacacs-tac] user-name-format without-domain
[Device-hwtacacs-tac] quit
# 配置缺省域的命令行授权AAA方案,使用HWTACACS方案。
[Device] domain system
[Device-isp-system] authentication login hwtacacs-scheme tac local
[Device-isp-system] authorization command hwtacacs-scheme tac local
[Device-isp-system] quit
# 配置本地认证所需参数:创建本地用户monitor,密码为明文的123,可使用的服务类型为telnet,用户角色为level-1。
[Device] local-user monitor
[Device-luser-manage-monitor] password simple 123
[Device-luser-manage-monitor] service-type telnet
[Device-luser-manage-monitor] authorization-attribute user-role level-1
当用户线采用AAA认证方式并配置命令行计费功能后,系统会将用户执行过的命令记录到HWTACACS服务器上,以便集中监视用户对设备的操作。命令行计费功能生效后,如果没有配命令行授权功能,则用户执行的每一条合法命令都会发送到HWTACACS服务器上做记录;如果配置了命令行授权功能,则用户执行的并且授权成功的命令都会发送到HWTACACS服务器上做记录。
要使配置的命令行计费功能生效,还需要在ISP域视图下配置命令行计费方法。命令行计费方法、命令行授权方法、login用户的授权方法可以相同,也可以不同。相关详细介绍请参见“用户接入配置指导”中的“AAA”。
表5-6 配置命令行计费功能
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入用户线视图 |
line { first-number1 [ last-number1 ] | { aux | console | vty } first-number2 [ last-number2 ] } |
二者选其一 用户线视图下的配置优先于用户线类视图下的配置 用户线视图下的配置只对该用户线生效 用户线类视图下的配置修改不会立即生效,当用户下次登录后所修改的配置值才会生效 用户线视图下的属性配置为缺省值时,将采用用户线类视图下配置的值 |
进入用户线类视图 |
line class { aux | console | vty } |
|
设置登录用户的认证方式为通过AAA认证 |
authentication-mode scheme |
缺省情况下,用户通过Console口登录,认证方式为none(即不需要进行认证);用户通过AUX口登录,认证方式为password(即需要进行密码认证);用户通过VTY用户线登录,认证方式为password 用户线视图下,对authentication-mode和protocol inbound进行关联绑定,当两条命令中的任意一条配置了非缺省值,那么另外一条取缺省值 |
开启命令行计费功能 |
command accounting |
缺省情况下,未开启命令行计费功能,即计费服务器不会记录用户执行的命令行 如果用户类视图下开启了命令行计费功能,则该类型用户线视图都开启命令行计费功能,并且在该类型用户线视图下将无法关闭命令行计费功能 |
为便于集中控制、监控用户对设备的操作,需要将登录用户执行的命令发送到HWTACACS服务器进行记录。
图5-4 命令行计费配置组网图
# 开启设备的Telnet服务器功能,以便用户访问。
<Device> system-view
[Device] telnet server enable
# 配置使用Console口登录设备的用户执行的命令需要发送到HWTACACS服务器进行记录。
[Device] line console 0
[Device-line-console0] command accounting
[Device-line-console0] quit
# 配置使用Telnet或者SSH登录的用户执行的命令需要发送到HWTACACS服务器进行记录。
[Device] line vty 0 63
[Device-line-vty0-63] command accounting
[Device-line-vty0-63] quit
# 配置HWTACACS方案:计费服务器的IP地址:TCP端口号为192.168.2.20:49,报文的加密密码是expert,登录时不需要输入域名,使用缺省域。
[Device] hwtacacs scheme tac
[Device-hwtacacs-tac] primary accounting 192.168.2.20 49
[Device-hwtacacs-tac] key accounting simple expert
[Device-hwtacacs-tac] user-name-format without-domain
[Device-hwtacacs-tac] quit
# 配置缺省域的命令行计费AAA方案,使用HWTACACS方案。
[Device] domain system
[Device-isp-system] accounting command hwtacacs-scheme tac
[Device-isp-system] quit
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!