VRP系统——4

用户登录配置与管理

当设备作为服务器时，用户可以通过Console口、Telnet、STelnet（安全Telnet）或者Web方式登录交换机。STelnet登录方式也称为SSH（Secure Shell，安全外壳）登录方式，是基于SSL协议进行的。设备作为客户端时，可以从设备通过Telnet或STelnet方式登录其他设备。

这个知识点有些前面说过，不过有句话说得好，重要的事情说三遍，这里是重要的内容练三遍。

一、命令行登录方式

Console口、Telnet或STelnet三种登录方式都属于命令行登录方式。下面是一个比较：

二、Web网管登录方式

通过HTTP或者HTTPS方式登录交换机。HTTPS登录方式是将HTTP和SSL结合，通过SSL对服务器身份进行验证，对传输的数据进行加密，实现安全管理。

三、配置用户通过Telnet登录交换机

Telnet协议在TCP/IP协议族中属于应用层协议，通过网络提供远程登录和虚拟终端功能。以服务器/客户端（Server/Client）模式工作。

配置任务重要节点过程：

1、配置Telnet服务器功能和参数：包括使能Telnet服务器和Telnet服务器参数配置

2、配置Telnet用户登录的VTY用户界面：指定可用于Telnet登录的VTY用户界面，配置VTY用户界面属性，这包括VTY用户界面的用户优先级、验证方式、呼入/呼出限制等。

3、配置Telnet类型的本地用户AAA验证方式：包括2步配置验证方式为AAA时的用户名和密码，并支持Telnet，如果采用的是密码验证或不验证，则不需要进行本项配置任务。

4、从终端通过Telnet登录。

华为S系列交换机有关Telnet登录的参数缺省配置：

配置Telnet服务器功能和参数：

从终端通过Telnet登录设备：

telnet ip-address port

Telnet登录管理：

display users [all] 、display tcp status  查看当前建立的所有TCP连接情况、display telnet server status 查看Telnet服务器的状态和配置信息。

配置实例：

要求及思路：要求——Telnet登录方式采用VTY虚拟线路，采用AAA验证方式，需要通过ACL控制允许通过Telnet的终端；

思路——1）配置VTY用户界面属性，指定支持Telnet服务的VTY用户界面，并在指定的VTY用于界面下配置ACL策略控制允许Telnet登录的终端，保证只有当前管理员使用的PC才能登录交换机；2）配置Telnet登录的AAA验证方式，并创建AAA验证的本地用户和密码，以及支持的Telnet服务和命令访问级别；3）使能Telnet服务器，并配置Telnet服务器属性。

配置具体步骤：

关闭终端提示信息：设备配置改变后，会有提示信息出现，导致界面显示混乱，使用undo terminal  monitor关闭。

1）配置交换机的管理IP，以便于登录，这里设置vlan1接口的IP：192.168.1.150/24。

2）配置Telnet登录所用VTY用户界面的属性，指定VTY0~7这8条VTY虚拟通道可用：

3）配置Telnet登录VTY用户界面的AAA验证方式以及用户级别。

4）配置控制通过Telnet访问交换机的用户ACL策略。

5）创建用于Telnet登录AAA验证的用户名和密码，对Telnet服务的支持，以及用户访问级别。

6）使能Telnet服务器功能，并配置Telnet服务器的监听端口号。

7）客户端登录测试

做一测试，增加一台交换机，如下图：

配置交换机ip为192.168.1.31，进行云配置：

这样从31交换机ping150就能ping痛：

进行telnet

无法成功。配置150上的acl，

然后在31交换机上telnet：

显示已经能够登录上了，说明ACL的配置起作用了。看一下acl

看一下现在的登录用户情况：

Console登录，telnet在VTY0和1上有两个登录。

四、配置用户通过STelnet登录交换机

STelnet（Secure Telnet）是基于SSH（Secure Shell）协议，在传输过程中客户端和服务器端之间需要经过协商，建立安全传输连接，SSH通过以下措施实现在不安全的网络上提供安全的远程登录。

-- 支持RSA（Revest-Shamir-Adleman）和DSA（Digital Signature Algorithm，数字签名算法）加密、认证方式，RSA用于对发送的数据进行加密和数字签名，DSA仅用于对数据进行数字签名。

-- 支持用加密算法DES（Date Encryption Standard）、3DES、AES128（Advanced Encryption Standard 128）对用户名密码以及传输的数据进行加密。

华为S系列交换机支持SSH服务器功能和客户端功能。但作为SSH客户端只支持SSH2版本。

配置任务重要节点过程：

1、配置STelnet服务器功能及参数：包括服务器本地密钥对生成、STelnet服务器功能的开启以及服务器参数的配置，如监听端口号、密钥对更新时间、SSH验证超时时间或SSH验证重试次数等。

2、配置SSH用户登录的用户界面：包括VTY用户界面的用户优先级、用户验证方式（仅可选择AAA验证模式）、支持SSH协议及其他VTY用户界面属性。

3、配置SSH用户：包括SSH用户名和密码、验证方式和服务方式等。

4、用户通过STelnet登录。

配置STelnet服务器功能和参数

STelnet服务器功能和参数配置步骤见下表，主要包括创建用于传输数据加密的SSH本地密钥对，使能STelnet服务器功能，配置SSH监听端口、SSH秘钥更新周期、SSH验证重试次数、SSH连接超时等。

配置SSH用户

S系列交换机支持RSA、DSA、password、password-rsa、password-dsa和all六种用户验证方式。其中password-rsa验证需要同时满足password验证和RSA验证；password-dsa验证需要同时满足password验证和DSA验证；all验证是指password验证、RSA或DSA验证方式满足其中一种即可。

这里的password验证要依靠AAA实现，所以当用户使用password、password-rsa、password-dsa验证方式登录设备时，需要在AAA视图下创建同名的本地用户。如果SSH用户使用password验证，则只需要在SSH服务器端生成本地RSA或DSA密钥；如果SSH用户使用RSA或DSA验证，则需要在服务器端和客户端都生成本地RSA或DSA密钥对，并且服务器端和客户端都需要将对方的公钥配置到本地。

如果对SSH用户进行password验证（password、password-rsa、password-dsa）还需要进行表3-18所示配置；如果对SSH用户进行rsa或dsa验证（包括dsa、rsa、password-dsa或者password-rsa）还需进行3-19表配置；如果对SSH用户进行password-rsa或password-dsa验证，则AAA用户和RSA或DSA公钥都需要进行配置，即要同时进行表3-18和3-19配置。

按照上面的解释，这里的local-user的user-name应该与ssh创建的用户名相同。（password的验证是借助于AAA来进行验证。）

STelnet登录管理

-- 使用display ssh user-information [username]命令在SSH服务器端（也就是交换机设备）查看SSH用户配置信息。如不指定SSH用户，可以查看SSH服务器端所有的SSH用户配置信息。

-- 使用display ssh server status命令查看SSH服务器的全局配置信息。

-- 使用display ssh server session命令在SSH服务器端查看与SSH客户端连接的会话信息。

通过STelnet登录交换机的配置实例：

交换机的ip为192.168.1.150，在SSH服务器端配置两个登录用户为client001、client002，client001通过password验证方式登录SSH服务器，client002通过rsa验证方式登录SSH服务器。

基本配置思路：

要求采用STelnet方式（采用的是SSH服务）登录VRP系统，所用也是VTY用户界面。

1）client001采用password验证方式，所以事先安装好SSH服务客户端软件，client002采用RSA验证方式，除了安装SSH服务客户端软件，还需要生成用于RSA验证所需的本地RSA公钥对和服务器密钥对。SSH用户有password、RSA、passwor-rsa、DSA、password-dsa、all6种认证方式，如果SSH用户的认证方式为password、password-rsa、password-dsa，必须在服务器端配置同名的本地用户；如果SSH用户的认证方式为RSA、password-rsa、DSA、password-dsa和all，则在服务器端应保存SSH客户端的RSA或DSA公钥。

2）配置STelnet登录用户所用VTY用户界面，并设置它们支持SSH服务，采用AAA验证方式和用户级别。

3）在配置为SSH服务器的交换机端生成本地密钥对和服务器密钥对，实现在SSH服务器端和SSH客户端进行安全的数据交互。

4）在SSH服务器端开启STelnet服务功能，并创建SSH用户client001、client002，并分别指定password验证方式和RSA验证方式，配置client001用户密码、用户级别和支持SSH服务。

5）用户client001和client002分别以STelnet方式实现登录SSH服务器。

具体配置步骤：

1）配置STelnet登录用户所用的VTY用户界面属性，包括指定AAA验证方式，支持SSH服务和用户级别：

2）新建用户名为client001的SSH用户，且验证方式为password，并为其配置AAA验证所需的密码，用户级别（这里设3级）和SSH服务支持：

3）新建用户名client002的SSH用户，且验证方式为RSA：

4）在终端分别安装支持SSH服务的Putty终端软件，在client002终端运行puttygen.exe，生成公钥和私钥两个文件：

保存的公钥为key.pub，私钥为private.ppk。（在上图最后一步保存时，保存公钥的类型为所有文件，保存私钥的文件类型为.ppk）。生成的秘钥类型，看第一图，为SSH-2 RSA，秘钥位数为1024。

然后运行sshkey.exe，

选择browse，找到上一步生成的公钥文件key.pub，然后点击vonvert，就会将公钥转换为需要的编码格式（默认是per），然后保存，我保存成文本文件key.txt。

5）在SSH服务器端使用rsa local-key-pair create命令生成本地RSA密钥对（秘钥位也为1024位），用于服务器端向SSH用户client002传输数据时的数据加密保护。

使用命令：display rsa local-key-pair public查看生成的公钥信息：

6）在SSH服务器端配置client002端上产生的RSA公钥，并为SSH用户创建client002绑定在其客户端上创建的RSA公钥，以实现SSH服务器对SSH用户client002的验证。在执行public-key-code begin命令后的提示符下输入前面得到的client002客户端RSA公钥（就是上一步转换后得到的key.txt的内容）。

最后一句ssh user client002 assign rsa-key rsakey001 将配置的公钥rsakey001与client002进行了绑定。

7）在SSH服务器上使能STelnet服务功能，并配置SSH用户client001、client002的服务方式为STelnet。

8）通过STelnet登录交换机测试：

首先是client001：打开putty，输入交换机的ip地址选择协议为ssh，用password验证方式连接SSH服务器，然后单击open

（也许默认就是password验证方式吧，具体在什么地方能看出是password验证的？？我没发现）open后出现提示

点击是，出现登录画面：

输入用户client001，输入密码001001，登陆成功。

测试client002登录，运行putty，开始的界面都相同，输入地址，端口，选择ssh，然后需要点击左侧的SSH：

、

版本选择2（默认值），然后点击左侧Auth：

点击browse，选择本地的私钥文件，就是前面我们生成的私钥private.ppk，然后点击open，出现提示：

选择是，出现登录界面：

这里就要注意了，因为client002只是使用rsa验证，所以没有密码输入这一项，输入用户名后直接就进入系统了。

使用display命令查看用户及SSH服务器状态：

疑问：就是rsa local-key-pair create命令，该命令生成的密钥对交换机名称_Host和交换机名称_Server，通过上面第5）步看出，不明白的是下面的解释：

主机密钥对和服务器密钥对，这是一对（公钥私钥）还是两对，主机密钥对有公钥和私钥，服务器密钥对也是有公钥和私钥？？？？服务器秘钥对有什么作用？？？