SSH接入Password认证典型配置举例(V5)

资料版本：6W114-20210416

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置注意事项

3.3 配置步骤

3.3.1 AC的配置

3.3.2 Switch的配置

3.4 验证配置

3.5 配置文件

4 相关资料

1  简介

本文档介绍了SSH接入Password认证配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解SSH特性。

3  配置举例

3.1  组网需求

如图1所示，AC作为Stelnet服务器，并采用password认证方式对无线客户端Client进行认证，Client的用户名和密码保存在AC本地，使Client可以安全的登录到AC上，且Client的用户级别为管理级。

图1 无线控制器作为Stelnet服务器配置组网图  

3.2  配置注意事项

·     由于不同客户端支持的公钥算法不同，为了确保所有的无线客户端都能够成功登录AC，需要在AC上同时生成DSA和RSA两种密钥对。

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.3  配置步骤

3.3.1  AC的配置

(1)     配置AC的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 192.168.1.1 24

[AC-Vlan-interface100] quit

# 创建VLAN 200作为WLAN-ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN，并为该接口配置IP地址。

[AC] vlan 300

[AC-vlan300] quit

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ip address 192.168.3.1 24

[AC-Vlan-interface300] quit

# 配置AC与Switch相连的GigabitEthernet1/0/1接口的链路类型为Trunk，PVID为100，允许VLAN 100和VLAN 300的报文通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] quit

# 创建WLAN-ESS 1接口，并设置端口的链路类型为Hybrid。

[AC] interface wlan-ess 1

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为200，禁止VLAN 1通过并允许VLAN 200不带Tag通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 200 untagged

[AC-WLAN-ESS1] port hybrid pvid vlan 200 

# 在Hybrid端口上使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(2)     配置Stelnet服务器

# 在AC上生成RSA密钥对。

[AC] public-key local create rsa

The range of public key size is (512 ~ 2048).

NOTES: If the key modulus is greater than 512,

It will take a few minutes.

Press CTRL+C to abort.

Input the bits of the modulus[default = 1024]:

Generating Keys...

++++++++

++++++++++++++

+++++

++++++++

# 在AC上生成DSA密钥对。

[AC] public-key local create dsa 

The range of public key size is (512 ~ 2048).

NOTES: If the key modulus is greater than 512,

It will take a few minutes.

Press CTRL+C to abort. 

Input the bits of the modulus[default = 1024]:512

Generating Keys...

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*++

+++

# 使能SSH服务器功能。

[AC] ssh server enable

# 设置Stelnet客户端登录用户界面的认证方式为AAA认证。

[AC] user-interface vty 0 4

[AC-ui-vty0-4] authentication-mode scheme

# 设置AC上远程用户登录协议为SSH。

[AC-ui-vty0-4] protocol inbound ssh

[AC-ui-vty0-4] quit

# 创建本地用户client001，密码为aabbcc，服务类型为SSH，本地用户的级别为3（管理级）。

[AC] local-user client001

[AC-luser-client001] password simple aabbcc

[AC-luser-client001] service-type ssh

[AC-luser-client001] authorization-attribute level 3

[AC-luser-client001] quit

# 配置SSH用户client001的服务类型为Stelnet，认证方式为password认证。

[AC] ssh user client001 service-type stelnet authentication-type password

(3)     配置无线服务

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS 1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC-wlan-st-1] service-template enable 

[AC-wlan-st-1] quit

(4)     配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称选择WA2620E-AGN。

[AC] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC-wlan-ap-officeap-radio-2] radio enable

[AC-wlan-ap-officeap-radio-2] return

3.3.2  Switch的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线客户端接入的VLAN。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口属性为Trunk，PVID为100，允许VLAN 100和VLAN 300通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过，并使能PoE功能。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与DHCP server相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

3.4  验证配置

# 在AC上通过display local-user命令查看本地用户的信息，可以看到无线用户client001的服务类型为SSH，且用户级别为管理级。

<AC> display local-user

The contents of local user admin:

 State:                    Active

 ServiceType:              telnet

 Access-limit:             Disabled          Current AccessNum: 0

 User-group:               system

 Bind attributes:

 Authorization attributes:

  User Privilege:          3

The contents of local user client001:

 State:                    Active

 ServiceType:              ssh

 Access-limit:             Disabled          Current AccessNum: 0

 User-group:               system

 Bind attributes:

 Authorization attributes:

  User Privilege:          3

Total 2 local user(s) matched.

# 在Client上打开PuTTY.exe程序，出现如图2所示的客户端配置界面。在“Host Name (or IP address)”文本框中输入Stelnet服务器的IP地址为192.168.3.1，单击<Open>按钮。

图2 Stelnet客户端配置界面

# 若首次登录，客户端会弹出警告信息如图3所示，单击<Yes>按钮。

图3 首次登录时弹出的警告信息

# 如图4所示，按提示输入用户名client001及密码aabbcc，即可进入AC的配置界面。

图4 输入用户名和密码后登录到AC配置界面

# 当Stelnet客户端成功登录时，在AC上会显示用户client001上线的日志信息。

<AC>

#Feb 19 11:23:43:342 2014 AC SHELL/4/LOGIN:

 Trap 1.3.6.1.4.1.11.2.14.11.15.2.2.1.1.3.0.1:client001 login from VTY

%Feb 19 11:23:43:362 2014 AC SHELL/5/SHELL_LOGIN: client001 logged in from 192.168.3.5.

# 通过display ssh server session命令查看会话信息，可以看到用户client001已上线。

<AC> display ssh server session  

 Conn   Ver   Encry    State          Retry    SerType  Username

 VTY 0  2.0   AES      Established    0        Stelnet  client001

# 当Stelnet客户端退出时，在AC上会显示用户client001下线的日志信息。

<AC>

#Feb 19 11:24:17:994 2014 AC SHELL/4/LOGOUT:

 Trap 1.3.6.1.4.1.11.2.14.11.15.2.2.1.1.3.0.2:client001 logout from VTY

%Feb 19 11:24:18:015 2014 AC SHELL/5/SHELL_LOGOUT: client001 logged out from 192.168.3.5.

# 通过display ssh server session命令查看会话信息，可以看到显示为空，表示之前上线的用户client001已下线。

<AC> display ssh server session

 Conn   Ver   Encry    State          Retry    SerType  Username

3.5  配置文件

·     AC的配置文件：

#

vlan 100

#

vlan 200

#

vlan 300

#

local-user client001

 password cipher $c$3$quTLFMdNMvGbzJHtkzp0LjIlmQKSc9SJ5w==

 authorization-attribute level 3

 service-type ssh

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1 

 service-template enable

#

wlan ap-group default_group

 ap officeap

#

interface Vlan-interface100

 ip address 192.168.1.1 255.255.255.0 

#

interface Vlan-interface300

 ip address 192.168.3.1 255.255.255.0

#

interface GigabitEthernet1/0/1 

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1 

 port link-type hybrid 

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200 

 mac-vlan enable

#

wlan ap ap1 model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

 ssh server enable

 ssh user client001 service-type stelnet authentication-type password 

#

user-interface vty 0 4 

 authentication-mode scheme

 user privilege level 3

 protocol inbound ssh

#

·     Switch的配置文件：

#

vlan 100

#

vlan 300

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/3

 port link-type access

 port access vlan 100

#

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。

·     《H3C无线控制器产品 配置指导》中的“二层技术配置指导”。

·     《H3C无线控制器产品 命令参考》中的“二层技术命令参考”。