VRP系統——5

標籤：

配置使用者通過HTTP Web網管登入交換器

因為eNSP無法類比http登入方式，這裡只是簡單過一下

整個HTTP登入方式的配置任務如下：

1、上傳和載入Web網頁檔案：使能HTTP服務功能前，需要確保交換器上已經載入了web網頁檔案。

2、配置SSL策略並載入數位憑證：僅在需要重新載入SSL認證時才執行此項配置任務。

3、配置HTTP服務功能：包括HTTPS及HTTP服務的使能、連接埠號碼、會話逾時時間等。

4、配置HTTP使用者：包括HTTP使用者名稱及密碼、使用者層級、接入類型等。

5、配置HTTP存取控制：包括配置ACL規則及HTTP基本存取控制清單，僅在需要ACL控制使用者通過HTTP方式登入交換器時才執行此項配置任務。

6、使用者通過HTTP登入。

上傳web網頁檔案：web網頁檔案必須儲存在儲存空間根目錄下，且必須是“*.web.zip”或“*.web.7z”格式，通過ftp、sftp等方式上傳到裝置儲存空間中，名稱一般為“產品-軟體版本號碼.WEB網管檔案版本號碼.wab.7z”。

載入文本網頁檔案：系統檢視表下，http server load file-name

web網頁檔案中包含SSL認證，用HTTP方式登入時進行SSL驗證，確保使用者安全（當前HTTP登入會跳至HTTPS登入，登入成功後跳回HTTP）。

配置SSL策略並載入數位憑證：上傳伺服器數位憑證檔案及私密金鑰檔案，必須儲存在flash：儲存空間根目錄的security目錄中。

配置HTTP服務功能：啟動HTTP、HTTPS（使用者登入驗證有個跳轉需要HTTPS，必須啟動HTTPS服務）服務功能，配置SSL策略、HTTP服務連接埠、HTTP會話逾時和釋放HTTP串連。

配置HTTP存取控制：也是通過ACL來控制的。

HTTP Web網管登入管理：在命令列執行 display httpuser [username username]查看當前線上使用者的摘要資訊，display http server查看當前http伺服器資訊

具體配置步驟：

載入web網頁檔案：
<HTTPServer>system-view
[HTTPServer]http server load webtest.web.7z
使能HTTPS和HTTP服務功能
[HTTPServer]http secure-server enable
[HTTPServer]http server eanble
建立HTTP使用者，並配置層級和對HTTP服務的支援
[HTTPServer]aaa
[HTTPServer-aaa]local-user admin password cipher huawei
[HTTPServer-aaa]local-user admin privilege level 15
[HTTPServer-aaa]local-user admin service-type http
[HTTPServer-aaa]quit

然後登陸測試：文本瀏覽器中，輸入http://ip

配置使用者通過HTTPS web網管方式登入交換器

HTTPS將HTTP和SSL結合，通過SSL對伺服器身份進行驗證，對傳輸的資料進行加密。

配置任務如下：

1、上傳及載入web網頁檔案；

2、上傳伺服器數位憑證檔案及私密金鑰檔案；

3、配置SSL策略並載入數位憑證；

4、配置HTTPS服務功能；

5、配置HTTP使用者；

6、配置HTTP存取控制；

7、使用者HTTPS方式登入。

伺服器數位憑證格式分為PEM格式、ANSI格式和PFX格式，PEM格式是最常用一種，副檔名是.pem，適用於系統之間的文字模式傳輸。ANSI格式副檔名是.der，是大多數瀏覽器的預設格式，PFX格式副檔名是.pfx，是可移植的格式及二進位格式。

通過httpsecure-server port port-number配置HTTPS服務監聽連接埠號碼。

display ssl policy [policy-name]查看配置的SSL策略及載入的數位憑證。

具體配置：

上傳數位憑證檔案和Web網頁檔案，以FTP方式上傳
<HUAWEI>system-view
[HUAWEI]sysname HTTPS-Server
[HTTPS-Server]ftp server eanble          #---使能FTP伺服器功能
#---以下為配置FTP使用者的驗證資訊、授權方式和授權目錄。
[HTTPS-Server]aaa
[HTTPS-Server-aaa]local-user huawei password cipher huawei1
[HTTPS-Server-aaa]local-user huawei service-type ftp
[HTTPS-Server-aaa]local-user huawei privilege level 15
[HTTPS-Server-aaa]local-user huawei ftp-directory flash：
[HTTPS-Server-aaa]quit
[HTTPS-Server]quit
在用戶端上傳檔案：
ftp ip
put local-filename [remote-file-name]
假設上傳數位憑證及秘鑰檔案為1_servercert_pem_rsa.pem和1_serverkey_pem_rsa.pem，網頁檔案為web001.7z
配置SSL策略並載入數位憑證
#---以下為建立security目錄，並將儲存空間根目錄下的SSL數位憑證檔案複製到security目錄中
<HTTPS-Server>mkdir security
<HTTPS-Server>copy 1_servercert_pem_rsa.pem security/
<HTTPS-Server>copy 1_serverkey_pem_rsa.pem security/
建立HTTPS伺服器SSL策略，並通過certificate load pem-cert載入PEM格式數位憑證。
<HTTPS-Server>system-view
[HTTPS-Server]ssl policy http_server
[HTTPS-Server-ssl-policy-http_server]certificate load pem-cert 1_servercert_pem_rsa.pem key-pair rsa key-file 1_serverkey_pem_rsa.pem auth-code cipher 123456
[HTTPS-Server-ssl-policy-http_server]quit
通過display ssl policy可以看到載入的數位憑證詳細資料。
載入web網頁檔案
[HTTPS-Server]http server load web001.7z
使能HTTPS伺服器，建立HTTP使用者（注意的是，使用者依然是HTTP使用者，而沒有HTTPS使用者）
[HTTPS-Server]http secure-server ssl-policy http_server
[HTTPS-Server]http secure-server enable
[HTTPS-Server]aaa
[HTTPS-Server-aaa]local-use admin password cipher huawei
[HTTPS-Server-aaa]local-use admin privilege level15
[HTTPS-Server-aaa]local-use admin service-type http
[HTTPS-Server-aaa]quit

登入測試：https://ip

登陸後的常用管理操作

1、顯示線上使用者：display users [all]

2、清除線上使用者：kill user-interface {ui-number | ui-type ui-number} 不是直接針對使用者賬戶操作，而是斷開對應的使用者介面串連。

3、設定切換使用者層級的密碼：super password [level user-level] [cipher password]

4、切換使用者層級：super [level]

5、鎖定使用者配置許可權：多個使用者同時登陸可能出現配置衝突，可以設定許可權互斥，保證同一時間只有一個使用者可以配置。執行configuration exclusive，執行configuration-occupied timeout timeout-value設定自行解鎖的時間間隔。執行display configuration-occupied user查看鎖定配置的使用者資訊。

6、發送訊息給其他使用者介面：send {all | ui-type ui-number | ui-number}，在使用者視圖下執行

7、自動匹配上一級視圖：系統檢視表下執行matched upper-view命令，允許undo命令到上一級視圖執行。

8、鎖定使用者介面：lock

9、允許在系統檢視表下執行使用者視圖命令：run comman-line，eNSP虛擬S5700沒有此命令。

10、設定交換器允許的純文字密碼最小長度：set password min-length length   、 undo set password min-length

常見配置錯誤分析與排錯

1、Telnet登入失敗故障分析與排除

（1）查看使用的VTY使用者介面是否允許支援Telnet服務。

使用user-interface vty進入對應使用者介面視圖，執行display this查看對應VTY使用者介面的protocol inbound命令是否設定為telnet或all

（2）查看登入交換器的使用者數是否到達了上限

執行display users查看當前的VTY通道是否全部被佔用，預設VTY通道是5個，可執行display user-interface maximum-vty查看最大數，執行user-interface maximum-vty 15配置到最大數。

（3）查看交換器上VTY使用者介面視圖下是否正確配置了ACL

執行user-interface vty進入使用者介面視圖，執行display this查看是否配置了ACL，如配置了，記住ACL編號，然後執行dispaly acl acl-number查看控制列表中是否有deny規則限制了登入，在ACL視圖下undo rule rule-id刪除相應規則，rule permit source增加許可。

（4）查看VTY使用者介面視圖下是否正確設定登入驗證

使用authentication-mode password，登入必須輸入準確密碼，使用authentication-mode aaa，必須使用local-user user-name password 命令建立使用者。

2、STelnet登入失敗故障分析及排除

（1）查看VTY使用者介面視圖下是否允許支援SSH服務。

執行user-interface vty進入視圖，display this查看protocol inbound 是否為SSH或all

（2）查看登入SSH伺服器端的使用者數是否達到了上限

display users ，display user-interface maximum-vty

（3）查看SSH伺服器端上上VTY是否綁定了ACL

如果綁定，查看相應的ACL

（4）查看SSH用戶端和伺服器上的SSH版本是否相容

執行display ssh server status，查看SSH版本號碼，如果使用的是SSHv1版本的用戶端登入伺服器，需要執行ssh server compatible-ssh1x enable配置SSH伺服器相容SSHv1版本。

（5）查看SSH伺服器端的SSH伺服器是否啟動

display ssh server status，如沒啟動，ssh server enable

（6）查看在SSH伺服器端是否配置了RSA或DSA公開金鑰

當交換器作為SSH伺服器時必須配置本地金鑰組，執行display rsa local-key-pair public或display dsa local-key-pair public命令查看當前伺服器端秘鑰對資訊。如為空白，表明沒有設定管理員端金鑰組，執行rsa local-key-pair create或dsa local-key-pair create命令建立。

（7）查看SSH伺服器端上是否配置了SSH使用者

display ssh user-information，如果不存在使用者，執行ssh user 、ssh user authentication-type和ssh user service-type

（8）查看SSH用戶端是否是能了首次驗證功能。

在系統檢視表下執行display this查看SSH用戶端是否是能了SSH用戶端首次驗證功能。如果沒有使用，則STelnet用戶端第一次登陸SSH伺服器時由於對SSH伺服器的RSA公開金鑰有效性檢查失敗，導致登陸失敗，此時需要執行ssh client first-time enable命令使能首次驗證功能。使能了SSH用戶端首次認證功能後，當STelnet/SFTP用戶端第一次登陸SSH伺服器時不對SSH伺服器的RSA或DSA公開金鑰進行有效性檢查，因為此時STelnet/SFTP用戶端還沒有儲存SSH伺服器的RSA或DSA公開金鑰。

遠程檔案管理

檔案管理方式的支援：通過FTP、TFTP、SFTP、SCP或FTPS方式進行遠程檔案管理。交換器可以分別充當伺服器和用戶端的角色

1、通過FTP進行檔案操作，以前學過，簡略過一下

1）配置FTP伺服器功能及參數；2）配置FTP本機使用者；3）配置FTP存取控制（ACL）；4）使用者通過FTP訪問

FTP訪問管理：display ftp-server、display ftp-users、display acl

通過FTP進行檔案操作的配置執行個體：

<SSHServer>system-view
Enter system view, return user view with Ctrl+Z.
[SSHServer]ftp server enable
Info: Succeeded in starting the FTP server.
[SSHServer]aaa
[SSHServer-aaa]local-user huawei password cipher huawei1
Info: Add a new user.
[SSHServer-aaa]local-user huawei privilege level 15
[SSHServer-aaa]local-user huawei service-type ftp
[SSHServer-aaa]local-user huawei ftp-directory flash:/
[SSHServer-aaa]quit
[SSHServer]

通過SFTP進行檔案操作

SFTP是SSH協議的一部分，需要通過VTY使用者介面進行串連（FTP協議不需要通過VTY使用者介面串連）。

配置任務的步驟：

1、配置SFTP伺服器功能和參數：包括伺服器本地金鑰組產生、SFTP伺服器功能使能及參數配置：監聽連接埠、金鑰組更新時間、SSH驗證逾時、SSH驗證重試次數等。

2、配置SSH使用者登入的使用者介面：包括VTY使用者介面的使用者驗證方式、VTY使用者介面支援SSH協議及其他屬性。

3、配置SSH使用者：包括SSH使用者的建立、驗證方式、服務方式、SFTP服務授權目錄等。

4、使用者通過SFTP協議訪問交換器

從終端通過SFTP訪問交換器需要在終端安裝SSH用戶端軟體，如OpenSSH或Putty，以OpenSSH為例，在Windows命令視窗輸入sftp [email protected]，SFTP用戶端必須手動輸入完整的命令

通過SFTP進行檔案操作的配置執行個體：

通過psftp軟體登入的過程：

通過SCP進行檔案操作

SCP也是SSH協議的一部分，是基於SSH協議的遠程檔案複製技術。

配置任務步驟“：

1、配置SCP伺服器功能及參數：包括伺服器本地金鑰組產生、SCP伺服器功能的使能及參數設定：監聽連接埠、金鑰組更新時間、ssh驗證逾時、ssh驗證次數等。

2、配置SSH使用者登入的使用者介面：VTY介面，同SFTP

3、配置SSh使用者：包括建立、驗證、服務等。

需要在終端安裝支援SCP的SSH用戶端，如OpenSSH和Putty。以OpenSSH為例：

scp 【-port port-number | -a sourceaddress  | -i interface-type interface-number | -r | -cipher {des | 3des | aes128} | -c】 sourcefile destinationfile命令直接上傳檔案只伺服器或從伺服器下載檔案至本地。

SCP訪問管理：display scp-client、display ssh user-information 、display ssh server status 、display ssh server session。

配置執行個體：

在上一步配置SFTP的基礎上配置：

<SSH-Server>sys
Enter system view, return user view with Ctrl+Z.
[SSH-Server]scp server enable
Info: Succeeded in starting the SCP server.
[SSH-Server]ssh user scpu authentication-type password
Info: Succeeded in adding a new SSH user.
[SSH-Server]ssh user scpu service-type ?
  all      Set all service type
  sftp     Set SFTP service type
  stelnet  Set Stelnet service type
[SSH-Server]ssh user scpu service-type all
[SSH-Server]ssh user scpu ?
  assign               Set the key
  authentication-type  Authentication type
  authorization-cmd    Authorization mode
  service-type         Set service type
  sftp-directory       Set SFTP directory
  <cr>                 
[SSH-Server]aaa
[SSH-Server-aaa]local-user scpu password cipher 321321
Info: Add a new user.
[SSH-Server-aaa]local-user scpu privilege level 15
[SSH-Server-aaa]local-user scpu service-type ?
  8021x     802.1x user
  bind      Bind authentication user
  ftp       FTP user
  http      Http user
  ppp       PPP user
  ssh       SSH user
  telnet    Telnet  user
  terminal  Terminal user
  web       Web authentication user
  x25-pad   X25-pad user
[SSH-Server-aaa]local-user scpu service-type ssh
[SSH-Server-aaa]quit
<SSH-Server>dir
Directory of flash:/


  Idx  Attr     Size(Byte)  Date        Time       FileName 
    0  drw-              -  Aug 06 2015 21:26:42   src
    1  drw-              -  May 26 2016 10:58:18   compatible
    2  drw-              -  May 27 2016 00:00:52   resetinfo
    3  -rw-            481  May 31 2016 15:40:22   vrpcfg-test.zip

32,004 KB total (31,940 KB free)
<SSH-Server>

注意：SSH使用者的service-type是all，沒有scp這一選項；aaa建立的local-user的service-type是ssh；ssh user沒有scp-directory這一項，預設就能訪問flash：

通過FTPS進行檔案操作

FTPS將FTP協議和SSL協議結合，通過SSL對伺服器進行驗證，對傳輸的資料進行加密。

配置任務步驟：

1、上傳伺服器數位憑證及私密金鑰檔案；

2、配置SSL策略並載入數位憑證，同HTTPS配置；

3、配置FTPS伺服器功能及參數，包括為FTPS伺服器配置SSL策略、使能及參數：連接埠、源地址、逾時等；

4、配置FTP本機使用者：包括配置本機使用者服務類型及授權目錄。

5、通過FTPS訪問交換器；

配置執行個體：

<HUAWEI>system-view
[HUAWEI]sysname FTPS-Server
[FTPS-Server]ftp server eanble          #---使能FTP伺服器功能
[FTPS-Server]aaa
[FTPS-Server-aaa]local-user huawei password cipher huawei1
[FTPS-Server-aaa]local-user huawei service-type ftp
[FTPS-Server-aaa]local-user huawei privilege level 3
[FTPS-Server-aaa]local-user huawei ftp-directory flash：
[FTPS-Server-aaa]quit
[FTPS-Server]quit
在用戶端上傳檔案：
ftp ip
put local-filename [remote-file-name]
假設上傳數位憑證及秘鑰檔案為servercert.der和serverkey.der
配置SSL策略並載入數位憑證
#---以下為建立security目錄，並將儲存空間根目錄下的SSL數位憑證檔案複製到security目錄中
<FTPS-Server>mkdir security
<FTPS-Server>copy servercert.der security/
<FTPS-Server>copy serverkey.der security/
建立FTPS伺服器SSL策略，並通過certificate load pem-cert載入PEM格式數位憑證。
<FTPS-Server>system-view
[FTPS-Server]ssl policy FTP_server
[FTPS-Server-ssl-policy-FTP_server]certificate load ans1-cert servercert.der key-pair rsa key-file serverkey.der 
[FTPS-Server-ssl-policy-FTP_server]quit
通過display ssl policy可以看到載入的數位憑證詳細資料。


使能FTPS伺服器，建立FTP使用者（注意的是，使用者依然是FTP使用者，而沒有FTPS使用者）
[FTPS-Server]undo ftp server   #---使能FTPS伺服器功能前，必須先關閉普通FTP伺服器功能。
[FTPS-Server]FTP secure-server ssl-policy FTP_server
[FTPS-Server]FTP secure-server enable

VRP系統——5