三層交換機(jī)01-登錄設(shè)備典型配置舉例

H3CS5130-EI登錄設(shè)備典型配置舉例TOC\o"1-5"\h\z\o"CurrentDocument"1簡介 1\o"CurrentDocument"2配置前提 1\o"CurrentDocument"3通過Console□登錄設(shè)備配置舉例 1組網(wǎng)需求 1配置思路 1使用版本 1配置注意事項(xiàng) 1配置步驟 2驗(yàn)證配置 3配置文件 3\o"CurrentDocument"4 通過Telnet登錄設(shè)備配置舉例 4組網(wǎng)需求 4配置思路 4使用版本 4配置步驟 4驗(yàn)證配置 5配置文件 7\o"CurrentDocument"5用戶登錄交換機(jī)認(rèn)證及命令行授權(quán)和計(jì)費(fèi)的典型配置舉例 7組網(wǎng)需求 7配置思路 8使用版本 8配置注意事項(xiàng) 8配置步驟 8iMC的配置步驟 8設(shè)備的配置步驟 12驗(yàn)證配置 13配置文件 15166相關(guān)資料161簡介本文檔介紹了登錄設(shè)備的典型配置案例，以及如何通過命令行授權(quán)和計(jì)費(fèi)對登錄的用戶進(jìn)行控制。配置前提本文檔中的配置均是在實(shí)驗(yàn)室環(huán)境下進(jìn)行的配置和驗(yàn)證，配置前設(shè)備的所有參數(shù)均采用出廠時(shí)的缺省配置。如果您已經(jīng)對設(shè)備進(jìn)行了配置，為了保證配置效果，請確認(rèn)現(xiàn)有配置和以下舉例中的配置不沖突。本文檔假設(shè)您已了解登錄設(shè)備的特性。通過Console口登錄設(shè)備配置舉例組網(wǎng)需求主機(jī)通過配置電纜與設(shè)備的Console口連接。現(xiàn)要求：用戶通過設(shè)備的Console口登錄到設(shè)備，對設(shè)備進(jìn)行管理和配置，并且配置本地認(rèn)證方式為AAA認(rèn)證，以提高設(shè)備的安全性。配置思路?通過Console口登錄設(shè)備，需要使用戶終端的通信參數(shù)配置和交換機(jī) Console口的缺省配置保持一致。?當(dāng)通過Console口采用本地認(rèn)證方式登錄時(shí)，由于本地用戶缺省的授權(quán)用戶角色為network-operator，且本地是無服務(wù)類型的。因此，需要設(shè)置本地用戶的服務(wù)類型為terminal（通過Console口登錄使用的是 terminal服務(wù)類型），授權(quán)用戶角色為 network-admin，才能使用戶下次成功登錄并在登錄后對設(shè)備進(jìn)行管理和配置。使用版本本舉例是在 S5130EI_E-CMW710-R3106版本上進(jìn)行配置和驗(yàn)證的。配置注意事項(xiàng)?連接時(shí)請認(rèn)準(zhǔn)接口上“Console”的標(biāo)識，以免誤插入其它接口。?如果主機(jī)使用的是 WindowsServer2003 、WindowsXP操作系統(tǒng)，請?jiān)赪indows組件中添加超級終端程序后，再按照本文介紹的方式登錄設(shè)備；如果 PC使用的是WindowsServer2008、WindowsVista、Windows7或者其它操作系統(tǒng)，請準(zhǔn)備第三方的終端控制軟件，使用方法參考軟件的使用指導(dǎo)或聯(lián)機(jī)幫助。配置步驟主機(jī)斷電。因?yàn)閜c機(jī)串口不支持熱插拔，請不要在 pc帶電的情況下，將配置電纜插入或者拔出PC機(jī)。請使用產(chǎn)品隨機(jī)附帶的配置電纜連接 PC機(jī)和設(shè)備。請先將配置口電纜的DB-9(孔)插頭插入PC機(jī)的9芯(針)串口中，再將RJ-45插頭端插入設(shè)備的Console口中。圖3-1將設(shè)備與PC通過配置口電纜進(jìn)行連接DeviceDevice將PC上電。在PC機(jī)上運(yùn)行終端仿真程序， 選擇與設(shè)備相連的串口， 設(shè)置終端通信參數(shù)。 這些參數(shù)的值必須和設(shè)備上的值一致，參數(shù)設(shè)置要求如下：? 波特率：9600? 數(shù)據(jù)位：8? 停止位：1? 奇偶校驗(yàn)：無? 流量控制：無設(shè)備上電，終端上顯示設(shè)備自檢信息， 自檢結(jié)束后提示用戶鍵入回車， 用戶鍵入回車后將出現(xiàn)命令行提示符(如<Sysname>)。******************************************************************************TOC\o"1-5"\h\z*Copyright(c)2010-2014HangzhouH3CTechCo,Ltd.All rightsreserved. **Withouttheowner'sprior writtenconsent, **nodecompilingorreverse-engineeringshall beallowed. *******************************************************************************Lineaux0isavailable.PressENTERtogetstarted.<Sysname>%Jun2309:52:58:2432014H3CSHELL/5/SHELL_LOGIN:TTYloggedinfrom aux0.<Sysname>鍵入命令，配置設(shè)備或查看設(shè)備運(yùn)行狀態(tài)，需要幫助可以隨時(shí)鍵入“ ？”。進(jìn)入AUX用戶線視圖，并進(jìn)行后續(xù)配置：進(jìn)入AUX用戶線視圖。<Sysname>system-view[Sysname]lineaux0設(shè)置通過Console口登錄交換機(jī)的用戶進(jìn)行 AAA認(rèn)證。[Sysname-line-aux0]authentication-modescheme退出到系統(tǒng)視圖，創(chuàng)建本地用戶 admin,并進(jìn)入本地用戶視圖。[Sysname-line-aux0]quit[Sysname]local-useradminclassmanageNewlocaluseradded.#設(shè)置本地用戶的認(rèn)證口令為明文方式，口令為#設(shè)置本地用戶的認(rèn)證口令為明文方式，口令為123。[Sysname-luser-manage-admin]passwordsimple123#設(shè)置本地用戶的服務(wù)類型為 Terminal,授權(quán)用戶角色為network-admin,刪除默認(rèn)角色。[Sysname-luser-manage-admin]service-typeterminal[Sysname-luser-manage-admin]authorization-attributeuser-rolenetwork-admin[Sysname-luser-manage-admin]undoauthorization-attributeuser-role network-operator[Sysname-luser-manage-admin]quit驗(yàn)證配置配置完成后，當(dāng)用戶再次通過Console口登錄設(shè)備時(shí)，鍵入回車后，設(shè)備將要求用戶輸入登錄用戶名和密碼，輸入用戶名“admin”和密碼“123”并回車，登錄界面中將出現(xiàn)命令行提示符（如<Sysname>）。如圖3-2所示:圖3-2Console口登錄界面LineauxOisava.ilable.PressENTERtogetstarted.login;adminPassword:<Sysnaine>|配置文件#lineaux0authentication-modeschemeuser-rolenetwork-admin#local-useradminclassmanagepasswordhash$h$6$R1DZqFZrkA93GMAf$th9k1FcsjqRRy1A2reQXQkfmnTBSr/7//80W5gKuyeHYxNor/FVNl4tbBQLhaGeY5XFrVr1+WopPcC+dfaumgg==service-typeterminalauthorization-attributeuser-rolenetwork-admin4通過Telnet登錄設(shè)備配置舉例4.1組網(wǎng)需求4.1組網(wǎng)需求如圖4-1所示，要求僅允許使用 IP地址為為6/24和2/24的主機(jī)以Telnet方式登錄設(shè)備，且在登錄時(shí)必須進(jìn)行基于用戶名和密碼的身份驗(yàn)證。這兩個(gè)主機(jī)在相同的認(rèn)證方式下使用兩個(gè)不同的用戶名登錄設(shè)備時(shí)，具有兩種不同的權(quán)限，分別為管理權(quán)限和可執(zhí)行所有特性中讀類型的命令權(quán)限。圖4-1通過Telnet登錄交換機(jī)組網(wǎng)圖HastA

192.163046^4RS芝32 Cofiskj后?DevcsHastB

192,166052^24DevcsHostC

192168058^4.2配置思路4.2配置思路缺省情況下，設(shè)備的Telnet服務(wù)器處于關(guān)閉狀態(tài)，需要通過Console口登錄后開啟設(shè)備的 Telnet服務(wù)功能?？梢酝ㄟ^ACL來限制IP地址為8的主機(jī)不能以Telnet方式登錄設(shè)備。缺省情況下，本地用戶的角色為 network-operator。因此，對于用戶權(quán)限僅為允許執(zhí)行所有特性中讀類型的命令，需要重新創(chuàng)建一個(gè)具有此權(quán)限的角色。4.3使用版本本舉例是在S5130EIE-CMW710-R3106 版本上進(jìn)行配置和驗(yàn)證的。4.4配置步驟4.4配置步驟#通過Console#通過Console口登錄設(shè)備，進(jìn)入系統(tǒng)視圖，開啟Telnet服務(wù)。<Sysname>system-view[Sysname]telnetserverenabletelnetserverenable#設(shè)置通過VTY用戶線登錄交換機(jī)使用 AAA的認(rèn)證方式。[Sysname]linevty063[Sysname-line-vty0-63]authentication-modescheme[Sysname-line-vty0-63]quit創(chuàng)建本地用戶userA,授權(quán)其用戶角色為 network-admin,為其配置密碼，刪除默認(rèn)角色。[Sysname]local-useruserAclassmanageNewlocaluseradded.[Sysname-luser-manage-userA]authorization-attributeuser-rolenetwork-admin[Sysname-luser-manage-userA]service-typetelnet[Sysname-luser-manage-userA]passwordsimple123[Sysname-luser-manage-userA]undoauthorization-attributeuser-role network-operator[Sysname-luser-manage-userA]quit創(chuàng)建用戶角色roleB,權(quán)限為允許執(zhí)行所有特性中讀類型的命令。[Sysname]rolenameroleB[Sysname-role-roleB]rule1permitreadfeature[Sysname-role-roleB]quit創(chuàng)建本地用戶userB,為其配置密碼，授權(quán)其用戶角色為 roleB,刪除默認(rèn)角色。[Sysname]local-useruserBclassmanageNewlocaluseradded.[Sysname-luser-manage-userB]authorization-attributeuser-roleroleB[Sysname-luser-manage-userB]service-typetelnet[Sysname-luser-manage-userB]passwordsimple123[Sysname-luser-manage-userB]undoauthorization-attributeuser-role network-operator[Sysname-luser-manage-userB]quit創(chuàng)建ACL視圖，定義規(guī)則，僅允許來自 6和2的用戶訪問交換機(jī)。[Sysname]aclnumber2000[Sysname-acl-basic-2000]rule1permitsource60[Sysname-acl-basic-2000]rule2permitsource20[Sysname-acl-basic-2000]rule3denysourceany[Sysname-acl-basic-2000]quit引用訪問控制列表 2000,通過源IP對Telnet用戶進(jìn)行控制。[Sysname]telnetserveracl20004.5驗(yàn)證配置配置完成后，各用戶的權(quán)限為：?當(dāng)用戶使用userA作為用戶名以Telnet方式登錄設(shè)備時(shí)，具有對設(shè)備進(jìn)行管理和配置的權(quán)限。如圖4-2所示：圖4-2用戶登錄設(shè)備后情況Login.:Login.:userAPassword:<SysrLame>?Userviewcommands:archivebackupboot-laadeubootromcdafdclockcopydebtiggingdeletediagnostic-lcgfiledirdisplayexceptionfdiskfixdiskformatfreeftpgrtnzipqzipinstallissu -Moxe"一■ArchiveconfigurationBackupthe白tar七upconfiguration￡xlSoftwareimagefilemanag-ementUpdate/rea.d/ba.cknp/restorebootrcmChangecurrentdirectoryConnectivityFaultDetection(CFD)mSpecifythesystemclockCopyafileEnablesystemdebuggingfunctionsDeleteafileDiagnosticlogfileconfigurationDisplayfilesand.directoriesontheDisplaycurrentsysteminfarmatiQnExceptioninformaticnccnfiguraticnPartitionastoragemediumCheckandrepairastoragemediumFormat-astoragemediumReleaseaconnectionOpen2rLFTPconnectionDeconipres5fileCompressfilePerformpacksgremanag曰mentioperal;ionIn-ServiceSoftwareUpgrademodule當(dāng)用戶使用userB作為用戶名以Telnet方式登錄到設(shè)備上時(shí)，則只允許執(zhí)行所有特性中讀類型的命令。如圖4-3所示圖4-3用戶登錄設(shè)備后情況login:userBPassword:<Sysnam.e>?Userviewcommands;display Displaycurrentsystem informationquit Exitfrom currentcommand viewsystem—viewEnterth? SystemViewxml EnterXML viewOysname?HostC無法通過Telnet登錄設(shè)備。4.6配置文件#telnetserverenabletelnetserveracl2000#aclnumber2000rule1permitsource20rule2permitsource60rule3deny#linevty063authentication-modeschemeuser-rolenetwork-operator#local-useruserAclassmanagepasswordhash$h$6$I2Sg4Llj1qVUWQZ3$JA6KkU3zfVVRg48MM92X6cVpdiqR2JF887PKi3GQMwnXXXcsWBuz7GIeJZeeNFMmMBaV7DPkKblnb0sGT2axvg==service-typetelnetauthorization-attributeuser-rolenetwork-admin#local-useruserBclassmanagepasswordhash$h$6$q+c3OcSxrPpDpsDf$BWkgfOyxBLyR5zyYgF/+VvN/1ofy81zoHDlFf80OjDla6/EiSJbSBl33PeazilSkWSYcttkg5V5bGecB7oYwAw==service-typetelnetauthorization-attributeuser-roleroleB#rolenameroleBrule1permitreadfeature#5用戶登錄交換機(jī)認(rèn)證及命令行授權(quán)和計(jì)費(fèi)的典型配置舉例組網(wǎng)需求某公司組網(wǎng)如圖5-1所示,為了保證交換機(jī)能夠安全的運(yùn)行，在交換機(jī)使用過程中，需要對登錄用戶進(jìn)行認(rèn)證、命令行執(zhí)行限制以及對用戶執(zhí)行過的所有命令進(jìn)行記錄。圖5-1用戶登錄設(shè)備認(rèn)證及命令行授權(quán)和計(jì)費(fèi)組網(wǎng)圖HWTACACSserver0/24GE1/0/1/24Device/24/24HostAHWTACACSserver0/24GE1/0/1/24Device/24/24HostA配置思路? 本案例使用遠(yuǎn)程認(rèn)證、授權(quán)和計(jì)費(fèi)功能，需要配置HWTACACS方案(本舉例使用HWTACACS服務(wù)器)。? 如果需要HWTACACS服務(wù)器記錄用戶執(zhí)行過的命令，可以通過創(chuàng)建一個(gè)可用 Telnet方式登錄設(shè)備的用戶名，為其授權(quán)權(quán)限。則使用該用戶登錄時(shí)，只能執(zhí)行 HWTACACS服務(wù)器授權(quán)的命令，且這些命令都會(huì)被記錄。使用版本本舉例是在S5130EI_E-CMW710-R3106 版本上進(jìn)行配置和驗(yàn)證的。配置注意事項(xiàng)執(zhí)行commandauthorization 命令后，命令行授權(quán)功能將立即生效，用戶執(zhí)行的命令只有被授權(quán)后才被允許執(zhí)行。因此，在執(zhí)行此命令之前，請先在HWTACACS服務(wù)器上配置相應(yīng)用戶及用戶可以使用的命令行，再在設(shè)備上配置命令行授權(quán)功能對應(yīng)的 HWTACACS方案。配置步驟iMC的配置步驟二,說明下面以iMC為例(使用iMC版本為：iMCPLAT7.1(E0302)、iMCEIA7.1(E0301))，說明HWTACACS服務(wù)器的基本配置。增加設(shè)備區(qū)域。選擇“用戶”頁簽，單擊導(dǎo)航樹中的［設(shè)備用戶策略管理/授權(quán)場景條件/設(shè)備區(qū)域管理］菜單項(xiàng)，進(jìn)入設(shè)備區(qū)域列表頁面。單擊〈增加〉按鈕，進(jìn)入增加設(shè)備區(qū)域頁面。? 輸入?yún)^(qū)域名稱system。? 其它參數(shù)采用缺省值。? 單擊〈確定〉按鈕，完成增加設(shè)備區(qū)域。圖5-2增加設(shè)備區(qū)域增加設(shè)備。選擇“用戶”頁簽，單擊導(dǎo)航樹中的 ［設(shè)備用戶策略管理/設(shè)備管理］菜單項(xiàng)，進(jìn)入設(shè)備管理頁面。單擊〈增加〉按鈕，進(jìn)入增加設(shè)備頁面。? 輸入共享密鑰和確認(rèn)共享密鑰 expert。? 輸入認(rèn)證端口，缺省為49。? 選擇設(shè)備區(qū)域?yàn)閟ystem。? 選擇是否支持單一連接，選擇“不支持”，表示設(shè)備與TAM通信時(shí)不支持在同一個(gè) TCP連接中建立多個(gè)會(huì)話。? 選擇是否支持Watchdog報(bào)文，選擇“不支持”，表示用戶在線時(shí)設(shè)備不發(fā)送Watchdog報(bào)文。? 單擊設(shè)備管理中的〈手工增加〉按鈕，打開設(shè)備增加窗口。輸入設(shè)備 IP地址,單擊〈確定〉按鈕即可增加設(shè)備。單擊〈確定〉按鈕，完成增加設(shè)備的操作。

圖5-3增加設(shè)備增加ShellProfile。選擇“用戶”頁簽，單擊導(dǎo)航樹中的 ［設(shè)備用戶策略管理/授權(quán)命令配置/ShellProfie配置］菜單項(xiàng),進(jìn)入ShellProfie列表頁面。單擊〈增加〉按鈕，進(jìn)入增加ShellProfie頁面。?輸入ShellProfile名稱ShellProfilel。? 輸入授權(quán)級別，這里選擇級別 1。? 其它參數(shù)采用缺省值。?單擊〈確定〉按鈕，完成增加ShellProfile。圖5-4增力口ShellProfile#接入授權(quán)信息。選擇“用戶”頁簽，單擊導(dǎo)航樹中的［設(shè)備用戶策略管理/授權(quán)策略管理］菜單項(xiàng)，進(jìn)入授權(quán)策略列表頁面。單擊〈增加〉按鈕，進(jìn)入增加授權(quán)策略頁面。輸入策略的名稱 tac。單擊接入授權(quán)信息區(qū)域的增加〉按鈕，打開增加授權(quán)項(xiàng)的頁面。?設(shè)備區(qū)域選擇“不限”，表示任意設(shè)備區(qū)域都符合要求。?設(shè)備類型選擇“不限”，表示任意設(shè)備類型都符合要求。?授權(quán)時(shí)段選擇“不限”，表示任意時(shí)間段都符合要求。? 選擇ShellProfile為ShellProfilel。? 選擇命令集選擇“不限”，表示用戶登錄設(shè)備后可以執(zhí)行任何命令。? 單擊〈確定〉按鈕，完成增加授權(quán)項(xiàng)。圖5-5接入授權(quán)信息單擊〈確定〉按鈕，完成增加授權(quán)策略。圖5-6增加授權(quán)策略#增加設(shè)備用戶。選擇“用戶”頁簽，單擊導(dǎo)航樹中的［設(shè)備用戶管理/所有設(shè)備用戶］菜單項(xiàng)，進(jìn)入設(shè)備用戶列表頁面。單擊〈增加〉按鈕，進(jìn)入增加設(shè)備用戶頁面。? 輸入帳號名monitor。? 輸入用戶名telnet-user。? 輸入登錄密碼和登錄密碼確認(rèn)為123。? 選擇用戶使用的授權(quán)策略為tac。? 輸入在線數(shù)量限制為5,表示最多允許5個(gè)該用戶同時(shí)在線。? 其它參數(shù)采用缺省值。? 單擊〈確定〉按鈕，完成增加設(shè)備用戶。圖5-7增加設(shè)備用戶設(shè)備的配置步驟在設(shè)備上配置IP地址及路由，以保證Device、HostA、HWTACACSserver之間相互路由可達(dá)。（配置步驟略）開啟設(shè)備的Telnet服務(wù)器功能，以便用戶訪問。<Sysname>system-view[Sysname]telnetserverenable配置HWTACACS方案：? 授權(quán)計(jì)費(fèi)服務(wù)器的 IP地址:TCP端口號為0:49（該端口號必須和HWTACACS服務(wù)器上的設(shè)置一致）。? 報(bào)文的加密密碼是expert。? 登錄時(shí)不需要輸入域名，使用缺省域。[Sysname]hwtacacsschemetac[Sysname-hwtacacs-tac]primaryauthentication049[Sysname-hwtacacs-tac]primaryauthorization049[Sysname-hwtacacs-tac]primaryaccounting049[Sysname-hwtacacs-tac]keyauthenticationsimpleexpert[Sysname-hwtacacs-tac]keyauthorizationsimpleexpert[Sysname-hwtacacs-tac]keyaccountingsimpleexpert[Sysname-hwtacacs-tac]user-name-formatwithout-domain[Sysname-hwtacacs-tac]quit配置缺省域的命令行授權(quán)計(jì)費(fèi)的AAA方案，使用HWTACACS方案tac進(jìn)行認(rèn)證，并且使用本地認(rèn)證local作為備選認(rèn)證方法。[Sysname]domainsystem[Sysname-isp-system]authenticationloginhwtacacs-schemetaclocal[Sysname-isp-system]authorizationloginhwtacacs-schemetaclocal[Sysname-isp-system]authorizationcommandhwtacacs-schemetaclocal[Sysname-isp-system]accountingloginhwtacacs-schemetaclocal[Sysname-isp-system]accountingcommandhwtacacs-schemetac[Sysname-isp-system]quit配置本地認(rèn)證所需參數(shù)：創(chuàng)建本地用戶monitor，密碼為123，可使用的服務(wù)類型為telnet。刪除用戶缺省角色，配置用戶角色為level-1，限制用戶權(quán)限。[Sysname]local-usermonitorclassmanage[Sysname-luser-manage-monitor]passwordsimple123[Sysname-luser-manage-monitor]service-typetelnet[Sysname-luser-manage-monitor]authorization-attributeuser-role level-1[Sysname-luser-manage-monitor]undoauthorization-attributeuser-role network-operator[Sysname-luser-manage-monitor]quit設(shè)置通過VTY用戶線登錄交換機(jī)使用AAA的認(rèn)證方式。[Sysname]linevty063[Sysname-line-vty0-63]authentication-modescheme使能命令行授權(quán)和命令行計(jì)費(fèi)功能。[Sysname-line-vty0-63]commandauthorization[Sysname-line-vty0-63]commandaccounting[Sysname-line-vty0-63]quit驗(yàn)證配置驗(yàn)證命令行授權(quán)功能在用戶主機(jī)上通過telnet方式登錄設(shè)備，進(jìn)入登錄界面下，輸入用戶名monitor和密碼123。C:\DocumentsandSettings\Administrator>telnet******************************************************************************TOC\o"1-5"\h\zCopyright(c)2004-2014HangzhouH3CTech.Co.,Ltd.All rightsreserved. *Withouttheowner'sprior writtenconsent, *nodecompilingorreverse-engineeringshall beallowed. *******************************************************************************login:monitorPassword:<Sysname>輸入“？”，可以查看登錄設(shè)備后能操作的命令行權(quán)限，此處顯示僅能輸入用戶角色 level-1允許執(zhí)行的命令。<Sysname>?Userviewcommands:display Displaycurrentsysteminformationping Pingfunctionquit Exitfromcurrentcommand viewssh2 Establishasecureshell client connectionsuper Switchtoauserrolesystem-view EntertheSystem Viewtelnet Establishatelnet connectiontracert Tracertfunctionxml EnterXMLview<Sysname>system-viewSystemView:returntoUserViewwithCtrl+Z.[Sysname]?Systemviewcommands:displayDisplaycurrentsysteminformationlocal-userConfigurealocaluserpingPingfunctionquitExitfromcurrentcommandviewreturnExittoUserViewtracertTracertfunction驗(yàn)證命令行計(jì)費(fèi)功能#選擇“用戶”頁簽，單擊導(dǎo)航樹中的 ［設(shè)備用戶管理/日志管理/審計(jì)日志］菜單項(xiàng)，進(jìn)入審計(jì)日志列表頁面。? 輸入賬號名"monitor"。? 選擇審計(jì)起始時(shí)間。單擊〈查詢〉按鈕，查詢出符合條件的審計(jì)