28-SSH接入Pass認(rèn)證典型配置舉例

1、H3CSSH接入Password認(rèn)證典型配置舉例Copyright ? 2014杭州華三通信技術(shù)有限公司 版權(quán)所有，保留一切權(quán)利。非經(jīng)本公司書面許可，任何單位和個(gè)人不得擅自摘抄、復(fù)制本文檔內(nèi)容的部分或全部, 并不得以任何形式傳播。本文檔中的信息可能變動(dòng)，恕不另行通知。 TOC o 1-5 h z HYPERLINK l bookmark2 o Current Document 1簡(jiǎn)介1 HYPERLINK l bookmark4 o Current Document 2配置前提 1 HYPERLINK l bookmark6 o Current Document 3配置舉例1 HYPERLIN

2、K l bookmark8 o Current Document 組網(wǎng)需求 1 HYPERLINK l bookmark10 o Current Document 配置注意事項(xiàng) 1 HYPERLINK l bookmark12 o Current Document 配置步驟2AC的配置 2Switch 的配置 4 HYPERLINK l bookmark53 o Current Document 驗(yàn)證配置 5 HYPERLINK l bookmark80 o Current Document 配置文件7 HYPERLINK l bookmark86 o Current Document 4相關(guān)

3、資料91簡(jiǎn)介本文檔介紹了 SSH接入Password認(rèn)證配置舉例。2配置前提本文檔不嚴(yán)格與具體軟、硬件版本對(duì)應(yīng)，如果使用過(guò)程中與產(chǎn)品實(shí)際情況有差異，請(qǐng)參考相關(guān)產(chǎn)品 手冊(cè)，或以設(shè)備實(shí)際情況為準(zhǔn)。本文檔中的配置均是在實(shí)驗(yàn)室環(huán)境下進(jìn)行的配置和驗(yàn)證，配置前設(shè)備的所有參數(shù)均采用出廠時(shí)的缺 省配置。如果您已經(jīng)對(duì)設(shè)備進(jìn)行了配置，為了保證配置效果，請(qǐng)確認(rèn)現(xiàn)有配置和以下舉例中的配置 不沖突。本文檔假設(shè)您已了解 SSH特性。3配置舉例3.1組網(wǎng)需求如圖1所示,AC作為Stelnet服務(wù)器，并采用 password認(rèn)證方式對(duì)無(wú)線客戶端 Client進(jìn)行認(rèn)證, Client的用戶名和密碼保存在 AC本地，使Clien

4、t可以安全的登錄到 AC上，且Client的用戶級(jí)別 為管理級(jí)。圖1無(wú)線控制器作為Stelnet服務(wù)器配置組網(wǎng)圖DHCP server- Vlan-int100l|一L8.1/24 Vlan-int300/24ACSwitchAPClient配置注意事項(xiàng)由于不同客戶端支持的公鑰算法不同，為了確保所有的無(wú)線客戶端都能夠成功登錄AC,需要在AC上同時(shí)生成 DSA和RSA兩種密鑰對(duì)。* 配置AP的序列號(hào)時(shí)請(qǐng)確保該序列號(hào)與 AP唯一對(duì)應(yīng)，AP的序列號(hào)可以通過(guò) AP設(shè)備背面的標(biāo) 簽獲取。配置步驟AC的配置配置AC的接口創(chuàng)建VLAN 100及其對(duì)應(yīng)的VLAN接口，并為該接口配置IP地址。AC將使用該接口的

5、IP地址與 AP建立LWAPP隧道。 system-viewAC vlan 100AC-vlan100 quitAC interface vlan-interface 100AC-Vlan-interface100 ip address 24AC-Vlan-interface100 quit創(chuàng)建 VLAN 200 作為 WLAN-ESS 接口的缺省 VLAN。AC vlan 200AC-vlan200 quit創(chuàng)建VLAN 300作為Client接入的業(yè)務(wù) VLAN ,并為該接口配置IP地址。AC vlan 300AC-vlan300 quitAC interface vlan-interfa

6、ce 300AC-Vlan-interface300 ip address 24AC-Vlan-interface300 quit配置AC與Switch相連的GigabitEthernet1/0/1接口的鏈路類型為 Trunk ,PVID為100，允許VLAN100和VLAN 300的報(bào)文通過(guò)。AC interface gigabitethernet 1/0/1AC-GigabitEthernet1/0/1 port link-type trunkAC-GigabitEthernet1/0/1 port trunk permit vlan 100 300AC-GigabitEthernet1/

7、0/1 port trunk pvid vlan 100AC-GigabitEthernet1/0/1 quit創(chuàng)建 WLAN-ESS 1接口，并設(shè)置端口的鏈路類型為Hybrid。AC interface wlan-ess 1AC-WLAN-ESS1 port link-type hybrid配置當(dāng)前Hybrid端口的PVID為200,禁止VLAN 1通過(guò)并允許 VLAN 200不帶Tag通過(guò)。AC-WLAN-ESS1 undo port hybrid vlan 1AC-WLAN-ESS1 port hybrid vlan 200 untaggedAC-WLAN-ESS1 port hybri

8、d pvid vlan 200在Hybrid端口上使能 MAC VLAN 功能。AC-WLAN-ESS1 mac-vlan enableAC-WLAN-ESS1 quit配置Stelnet服務(wù)器在AC上生成 RSA密鑰對(duì)。AC public-key local create rsaThe range of public key size is (512 2048).NOTES: If the key modulus is greater than 512,It will take a few minutes.Press CTRL+C to abort.Input the bits of the

9、 modulusdefault = 1024:Generating Keys.+ +在AC上生成 DSA密鑰對(duì)。AC public-key local create dsaThe range of public key size is (512 2048).NOTES: If the key modulus is greater than 512, It will take a few minutes.Press CTRL+C to abort.Input the bits of the modulusdefault = 1024:512Generating Keys.+ +*+ + + +

10、+ +*+ +使能SSH服務(wù)器功能。AC ssh server enable設(shè)置Stelnet客戶端登錄用戶界面的認(rèn)證方式為AAA認(rèn)證。AC user-interface vty 0 4AC-ui-vty0-4 authentication-mode scheme設(shè)置AC上遠(yuǎn)程用戶登錄協(xié)議為SSH。AC-ui-vty0-4 protocol inbound sshAC-ui-vty0-4 quit創(chuàng)建本地用戶 client001 ,密碼為aabbcc ,服務(wù)類型為 SSH ,本地用戶的級(jí)別為3 (管理級(jí))。AC local-user client001AC-luser-client001 pa

11、ssword simple aabbccAC-luser-client001 service-type sshAC-luser-client001 authorization-attribute level 3AC-luser-client001 quit配置SSH用戶client001的服務(wù)類型為 Stelnet ,認(rèn)證方式為password認(rèn)證。AC ssh user client001 service-type stelnet authentication-type password配置無(wú)線服務(wù)創(chuàng)建clear類型的服務(wù)模板1。AC wlan service-template 1 clea

12、r設(shè)置當(dāng)前服務(wù)模板的SSID為service 。AC-wlan-st-1 ssid service將WLAN-ESS 1接口綁定到服務(wù)模板1。AC-wlan-st-1 bind wlan-ess 1啟用無(wú)線服務(wù)。AC-wlan-st-1 service-template enableAC-wlan-st-1 quit配置射頻接口并綁定服務(wù)模板創(chuàng)建AP的管理模板，名稱為 officeap ,型號(hào)名稱選擇 WA2620E-AGN。AC wlan ap officeap model WA2620E-AGN設(shè)置 AP 的序列號(hào)為 21023529G007C000020。AC-wlan-ap-offic

13、eap serial-id 21023529G007C000020進(jìn)入radio 2射頻視圖。AC-wlan-ap-officeap radio 2將在AC上配置的clear類型的服務(wù)模板1與射頻2進(jìn)行關(guān)聯(lián)。AC-wlan-ap-officeap-radio-2 service-template 1 vlan-id 300使能 AP 的 radio 2。AC-wlan-ap-officeap-radio-2 radio enableAC-wlan-ap-officeap-radio-2 returnSwitch 的配置創(chuàng)建VLAN 100和VLAN 300，其中VLAN 100用于轉(zhuǎn)發(fā) AC和

14、AP間LWAPP隧道內(nèi)的流量，VLAN 300為無(wú)線客戶端接入的VLAN。 system-viewSwitch vlan 100Switch-vlan100 quitSwitch vlan 300Switch-vlan300 quit配置 Switch 與 AC 相連的 GigabitEthernet1/0/1 接口屬性為 Trunk , PVID 為 100 ,允許 VLAN 100 通過(guò)。Switch interface gigabitethernet 1/0/1Switch-GigabitEthernet1/0/1 port link-type trunkSwitch-GigabitEt

15、hernet1/0/1 port trunk permit vlan 100Switch-GigabitEthernet1/0/1 port trunk pvid vlan 100Switch-GigabitEthernet1/0/1 quit配置Switch與AP相連的 GigabitEthernet1/0/2 接口屬性為 Access ,并允許 VLAN 100 通過(guò)，并 使能PoE功能。Switch interface gigabitethernet 1/0/2Switch-GigabitEthernet1/0/2 port link-type accessSwitch-GigabitE

16、thernet1/0/2 port access vlan 100Switch-GigabitEthernet1/0/2 poe enableSwitch-GigabitEthernet1/0/2 quit配置 Switch 與 DHCP server 相連的 GigabitEthernet1/0/3 接口屬性為 Access，并允許 VLAN 100 通過(guò)。Switch interface gigabitethernet 1/0/3Switch-GigabitEthernet1/0/3 port link-type accessSwitch-GigabitEthernet1/0/3 port

17、 access vlan 100驗(yàn)證配置B說(shuō)明Stelnet客戶端軟件有很多，例如 PuTTY、OpenSSH等，本文中僅以客戶端軟件 PuTTY0.58為例, 說(shuō)明Stelnet客戶端的配置方法。#在AC上通過(guò)display local-user命令查看本地用戶的信息，可以看到無(wú)線用戶client001的服務(wù)類型為SSH ,且用戶級(jí)別為管理級(jí)。 display local-userThe contents of local user admin:State:ActiveServiceType:telnetAccess-limit:DisabledCurrent AccessNum: 0Use

18、r-group:systemBind attributes:Authorization attributes: TOC o 1-5 h z User Privilege:3The contents of local user client001:|State:ActiveServiceType:ssh|Access-limit:DisabledCurrent AccessNum: 0User-group:systemBind attributes:Authorization attributes:User Privilege:3|Total 2 local user(s) matched.#在

19、Client上打開(kāi)PuTTY .exe程序，出現(xiàn)如 圖2所示的客戶端配置界面。在“ Host Name (or IP address) ”文本框中輸入 Stelnet服務(wù)器的IP地址為 ,單擊按鈕。圖2 Stelnet客戶端配置界面圖3所示,單擊Yes按鈕。#若首次登錄，客戶端會(huì)彈出警告信息如 圖3首次登錄時(shí)彈出的警告信息192.163.11 - PuTRPuTiy Secunty AlertEflThe serves hri?t h守 if not 仃巾H in the rpgicny nu ha/f no giiarHFTPf1 Thar rhf，卓rver tHf fampufpr yo

20、u think rt k.The e rsa2 kpy finger print iessh-rca 021 女空 7eSee5:eQ6:t 1:e&7a97 3fi)2ft信If you truit th is host, hit Ves to add thie key仁 PuTTY c cahe arid carry on conrb#ciing.If you wint to cariy cn ccmciiriij juft 口nt. without addrg tht key to- the ochc. ht ixio.If you do n oit trurt th-G 卜白叱 hit

21、 Cineel tc ibindon th c&nniertcin-/esNoCancel#如圖4所示，按提示車入用戶名client001及密碼aabbcc ,即可進(jìn)入 AC的配置界面。圖4輸入用戶名和密碼后登錄到 AC配置界面當(dāng)Stelnet客戶端成功登錄時(shí)，在 AC上會(huì)顯示用戶client001上線的日志信息。#Feb 19 11:23:43:342 2014 AC SHELL/4/LOGIN:Trap 1.36141.11.1:client001 login from VTY |%Feb 19 11:23:43:362 2014 AC SHELL/5/SHELL_LOGIN: clien

22、t001 logged in from .通過(guò)display ssh server session命令查看會(huì)話信息，可以看到用戶 client001已上線。AC display ssh server sessionConn Ver Encry State Retry SerType UsernameVTY 0 2.0 AES Established 0 Stelnet client001當(dāng)Stelnet客戶端退出時(shí)，在 AC上會(huì)顯示用戶client001下線的日志信息。#Feb 19 11:24:17:994 2014 AC SHELL/4/LOGOUT:Trap 41.11.2:client

23、001 logout from VTY .%Feb 19 11:24:18:015 2014 AC SHELL/5/SHELL_LOGOUT: client001 logged out from .通過(guò)display ssh server session命令查看會(huì)話信息，可以看到顯示為空，表示之前上線的用戶client001 已下線。AC display ssh server sessionConn Ver Encry State Retry SerType Username3.5配置文件* AC的配置文件:#vlan 100#vlan 200vlan 300#local-user clien

24、t001password cipher $c$3$quTLFMdNMvGbzJHtkzp0LjIlmQKSc9SJ5w=authorization-attribute level 3service-type ssh#wlan service-template 1 clearssid servicebind WLAN-ESS 1service-template enable#wlan ap-group default_groupap officeap#interface Vlan-interface100ip address #interface Vlan-interface300ip address #interface GigabitEthernet1/0/1port link-type trunkport trunk permit vlan 100 300port trunk pvid vlan 100#interface WLAN-ESS1port link-type hybridundo port hybrid vlan 1port hybrid vla