VRP系统——5

配置用户通过HTTP Web网管登录交换机

由于eNSP没法摹拟http登录方式，这里只是简单过1下

全部HTTP登录方式的配置任务以下：

1、上传和加载Web网页文件：使能HTTP服务功能前，需要确保交换机上已加载了web网页文件。

2、配置SSL策略并加载数字证书：仅在需要重新加载SSL证书时才履行此项配置任务。

3、配置HTTP服务功能：包括HTTPS及HTTP服务的使能、端口号、会话超时时间等。

4、配置HTTP用户：包括HTTP用户名及密码、用户级别、接入类型等。

5、配置HTTP访问控制：包括配置ACL规则及HTTP基本访问控制列表，仅在需要ACL控制用户通过HTTP方式登录交换机时才履行此项配置任务。

6、用户通过HTTP登录。

上传web网页文件：web网页文件必须保存在存储器根目录下，且必须是“*.web.zip”或“*.web.7z”格式，通过ftp、sftp等方式上传到装备存储器中，名称1般为“产品-软件版本号.WEB网管文件版本号.wab.7z”。

加载文本网页文件：系统视图下，http server load file-name

web网页文件中包括SSL证书，用HTTP方式登录时进行SSL验证，确保用户安全（当前HTTP登录会跳至HTTPS登录，登录成功后跳回HTTP）。

配置SSL策略并加载数字证书：上传服务器数字证书文件及私钥文件，必须保存在flash：存储器根目录的security目录中。

配置HTTP服务功能：启动HTTP、HTTPS（用户登录验证有个跳转需要HTTPS，必须启动HTTPS服务）服务功能，配置SSL策略、HTTP服务端口、HTTP会话超时和释放HTTP连接。

配置HTTP访问控制：也是通过ACL来控制的。

HTTP Web网管登录管理：在命令行履行 display httpuser [username username]查看当前在线用户的摘要信息，display http server查看当前http服务器信息

具体配置步骤：

加载web网页文件：
<HTTPServer>system-view
[HTTPServer]http server load webtest.web.7z
使能HTTPS和HTTP服务功能
[HTTPServer]http secure-server enable
[HTTPServer]http server eanble
创建HTTP用户，并配置级别和对HTTP服务的支持
[HTTPServer]aaa
[HTTPServer-aaa]local-user admin password cipher huawei
[HTTPServer-aaa]local-user admin privilege level 15
[HTTPServer-aaa]local-user admin service-type http
[HTTPServer-aaa]quit

然后登陆测试：文本阅读器中，输入http://ip

配置用户通过HTTPS web网管方式登录交换机

HTTPS将HTTP和SSL结合，通过SSL对服务器身份进行验证，对传输的数据进行加密。

配置任务以下：

1、上传及加载web网页文件；

2、上传服务器数字证书文件及私钥文件；

3、配置SSL策略并加载数字证书；

4、配置HTTPS服务功能；

5、配置HTTP用户；

6、配置HTTP访问控制；

7、用户HTTPS方式登录。

服务器数字证书格式分为PEM格式、ANSI格式和PFX格式，PEM格式是最经常使用1种，文件扩大名是.pem，适用于系统之间的文本模式传输。ANSI格式文件扩大名是.der，是大多数阅读器的缺省格式，PFX格式扩大名是.pfx，是可移植的格式及2进制格式。

通过httpsecure-server port port-number配置HTTPS服务监听端口号。

display ssl policy [policy-name]查看配置的SSL策略及加载的数字证书。

具体配置：

上传数字证书文件和Web网页文件，以FTP方式上传
<HUAWEI>system-view
[HUAWEI]sysname HTTPS-Server
[HTTPS-Server]ftp server eanble          #---使能FTP服务器功能
#---以下为配置FTP用户的验证信息、授权方式和授权目录。
[HTTPS-Server]aaa
[HTTPS-Server-aaa]local-user huawei password cipher huawei1
[HTTPS-Server-aaa]local-user huawei service-type ftp
[HTTPS-Server-aaa]local-user huawei privilege level 15
[HTTPS-Server-aaa]local-user huawei ftp-directory flash：
[HTTPS-Server-aaa]quit
[HTTPS-Server]quit
在客户端上传文件：
ftp ip
put local-filename [remote-file-name]
假定上传数字证书及秘钥文件为1_servercert_pem_rsa.pem和1_serverkey_pem_rsa.pem，网页文件为web001.7z
配置SSL策略并加载数字证书
#---以下为创建security目录，并将存储器根目录下的SSL数字证书文件复制到security目录中
<HTTPS-Server>mkdir security
<HTTPS-Server>copy 1_servercert_pem_rsa.pem security/
<HTTPS-Server>copy 1_serverkey_pem_rsa.pem security/
创建HTTPS服务器SSL策略，并通过certificate load pem-cert加载PEM格式数字证书。
<HTTPS-Server>system-view
[HTTPS-Server]ssl policy http_server
[HTTPS-Server-ssl-policy-http_server]certificate load pem-cert 1_servercert_pem_rsa.pem key-pair rsa key-file 1_serverkey_pem_rsa.pem auth-code cipher 123456
[HTTPS-Server-ssl-policy-http_server]quit
通过display ssl policy可以看到加载的数字证书详细信息。
加载web网页文件
[HTTPS-Server]http server load web001.7z
使能HTTPS服务器，创建HTTP用户（注意的是，用户仍然是HTTP用户，而没有HTTPS用户）
[HTTPS-Server]http secure-server ssl-policy http_server
[HTTPS-Server]http secure-server enable
[HTTPS-Server]aaa
[HTTPS-Server-aaa]local-use admin password cipher huawei
[HTTPS-Server-aaa]local-use admin privilege level15
[HTTPS-Server-aaa]local-use admin service-type http
[HTTPS-Server-aaa]quit

登录测试：https://ip

登陆后的经常使用管理操作

1、显示在线用户：display users [all]

2、清除在线用户：kill user-interface {ui-number | ui-type ui-number} 不是直接针对用户账户操作，而是断开对应的用户界面连接。

3、设置切换用户级别的密码：super password [level user-level] [cipher password]

4、切换用户级别：super [level]

5、锁定用户配置权限：多个用户同时登陆可能出现配置冲突，可以设置权限互斥，保证同1时间只有1个用户可以配置。履行configuration exclusive，履行configuration-occupied timeout timeout-value设置自行解锁的时间间隔。履行display configuration-occupied user查看锁定配置的用户信息。

6、发送消息给其他用户界面：send {all | ui-type ui-number | ui-number}，在用户视图下履行

7、自动匹配上1级视图：系统视图下履行matched upper-view命令，允许undo命令到上1级视图履行。

8、锁定用户界面：lock

9、允许在系统视图下履行用户视图命令：run comman-line，eNSP虚拟的S5700没有此命令。

10、设置交换机允许的明文密码最小长度：set password min-length length   、 undo set password min-length

常见配置毛病分析与排错

1、Telnet登录失败故障分析与排除

（1）查看使用的VTY用户界面是不是允许支持Telnet服务。

使用user-interface vty进入对利用户界面视图，履行display this查看对应VTY用户界面的protocol inbound命令是不是设置为telnet或all

（2）查看登录交换机的用户数是不是到达了上限

履行display users查看当前的VTY通道是不是全部被占用，缺省VTY通道是5个，可履行display user-interface maximum-vty查看最大数，履行user-interface maximum-vty 15配置到最大数。

（3）查看交换机上VTY用户界面视图下是不是正确配置了ACL

履行user-interface vty进入用户界面视图，履行display this查看是不是配置了ACL，如配置了，记住ACL编号，然后履行dispaly acl acl-number查看控制列表中是不是有deny规则限制了登录，在ACL视图下undo rule rule-id删除相应规则，rule permit source增加许可。

（4）查看VTY用户界面视图下是不是正确设置登录验证

使用authentication-mode password，登录必须输入准确密码，使用authentication-mode aaa，必须使用local-user user-name password 命令创建用户。

2、STelnet登录失败故障分析及排除

（1）查看VTY用户界面视图下是不是允许支持SSH服务。

履行user-interface vty进入视图，display this查看protocol inbound 是不是为SSH或all

（2）查看登录SSH服务器真个用户数是不是到达了上限

display users ，display user-interface maximum-vty

（3）查看SSH服务器端上上VTY是不是绑定了ACL

如果绑定，查看相应的ACL

（4）查看SSH客户端和服务器上的SSH版本是不是兼容

履行display ssh server status，查看SSH版本号，如果使用的是SSHv1版本的客户端登录服务器，需要履行ssh server compatible-ssh1x enable配置SSH服务器兼容SSHv1版本。

（5）查看SSH服务器真个SSH服务器是不是启动

display ssh server status，如没启动，ssh server enable

（6）查看在SSH服务器端是不是配置了RSA或DSA公钥

当交换机作为SSH服务器时必须配置本地密钥对，履行display rsa local-key-pair public或display dsa local-key-pair public命令查看当前服务器端秘钥对信息。如为空，表明没有配置服务器端密钥对，履行rsa local-key-pair create或dsa local-key-pair create命令创建。

（7）查看SSH服务器端上是不是配置了SSH用户

display ssh user-information，如果不存在用户，履行ssh user 、ssh user authentication-type和ssh user service-type

（8）查看SSH客户端是不是是能了首次验证功能。

在系统视图下履行display this查看SSH客户端是不是是能了SSH客户端首次验证功能。如果没有使用，则STelnet客户端第1次登陆SSH服务器时由于对SSH服务器的RSA公钥有效性检查失败，致使登陆失败，此时需要履行ssh client first-time enable命令使能首次验证功能。使能了SSH客户端首次认证功能后，当STelnet/SFTP客户端第1次登陆SSH服务器时不对SSH服务器的RSA或DSA公钥进行有效性检查，由于此时STelnet/SFTP客户端还没有保存SSH服务器的RSA或DSA公钥。

远程文件管理

文件管理方式的支持：通过FTP、TFTP、SFTP、SCP或FTPS方式进行远程文件管理。交换机可以分别充当服务器和客户真个角色

1、通过FTP进行文件操作，之前学过，简略过1下

1）配置FTP服务器功能及参数；2）配置FTP本地用户；3）配置FTP访问控制（ACL）；4）用户通过FTP访问

FTP访问管理：display ftp-server、display ftp-users、display acl

通过FTP进行文件操作的配置实例：

<SSHServer>system-view
Enter system view, return user view with Ctrl+Z.
[SSHServer]ftp server enable
Info: Succeeded in starting the FTP server.
[SSHServer]aaa
[SSHServer-aaa]local-user huawei password cipher huawei1
Info: Add a new user.
[SSHServer-aaa]local-user huawei privilege level 15
[SSHServer-aaa]local-user huawei service-type ftp
[SSHServer-aaa]local-user huawei ftp-directory flash:/
[SSHServer-aaa]quit
[SSHServer]

通过SFTP进行文件操作

SFTP是SSH协议的1部份，需要通过VTY用户界面进行连接（FTP协议不需要通过VTY用户界面连接）。

配置任务的步骤：

1、配置SFTP服务器功能和参数：包括服务器本地密钥对生成、SFTP服务器功能使能及参数配置：监听端口、密钥对更新时间、SSH验证超时、SSH验证重试次数等。

2、配置SSH用户登录的用户界面：包括VTY用户界面的用户验证方式、VTY用户界面支持SSH协议及其他属性。

3、配置SSH用户：包括SSH用户的创建、验证方式、服务方式、SFTP服务授权目录等。

4、用户通过SFTP协议访问交换机

从终端通过SFTP访问交换机需要在终端安装SSH客户端软件，如OpenSSH或Putty，以OpenSSH为例，在Windows命令窗口输入sftp username@ip，SFTP客户端必须手动输入完全的命令

通过SFTP进行文件操作的配置实例：

通过psftp软件登录的进程：

通过SCP进行文件操作

SCP也是SSH协议的1部份，是基于SSH协议的远程文件复制技术。

配置任务步骤“：

1、配置SCP服务器功能及参数：包括服务器本地密钥对生成、SCP服务器功能的使能及参数设置：监听端口、密钥对更新时间、ssh验证超时、ssh验证次数等。

2、配置SSH用户登录的用户界面：VTY界面，同SFTP

3、配置SSh用户：包括创建、验证、服务等。

需要在终端安装支持SCP的SSH客户端，如OpenSSH和Putty。以OpenSSH为例：

scp 【-port port-number | -a sourceaddress  | -i interface-type interface-number | -r | -cipher {des | 3des | aes128} | -c】 sourcefile destinationfile命令直接上传文件只服务器或从服务器下载文件至本地。

SCP访问管理：display scp-client、display ssh user-information 、display ssh server status 、display ssh server session。

配置实例：

在上1步配置SFTP的基础上配置：

<SSH-Server>sys
Enter system view, return user view with Ctrl+Z.
[SSH-Server]scp server enable
Info: Succeeded in starting the SCP server.
[SSH-Server]ssh user scpu authentication-type password
Info: Succeeded in adding a new SSH user.
[SSH-Server]ssh user scpu service-type ?
  all      Set all service type
  sftp     Set SFTP service type
  stelnet  Set Stelnet service type
[SSH-Server]ssh user scpu service-type all
[SSH-Server]ssh user scpu ?
  assign               Set the key
  authentication-type  Authentication type
  authorization-cmd    Authorization mode
  service-type         Set service type
  sftp-directory       Set SFTP directory
  <cr>                 
[SSH-Server]aaa
[SSH-Server-aaa]local-user scpu password cipher 321321
Info: Add a new user.
[SSH-Server-aaa]local-user scpu privilege level 15
[SSH-Server-aaa]local-user scpu service-type ?
  8021x     802.1x user
  bind      Bind authentication user
  ftp       FTP user
  http      Http user
  ppp       PPP user
  ssh       SSH user
  telnet    Telnet  user
  terminal  Terminal user
  web       Web authentication user
  x25-pad   X25-pad user
[SSH-Server-aaa]local-user scpu service-type ssh
[SSH-Server-aaa]quit
<SSH-Server>dir
Directory of flash:/


  Idx  Attr     Size(Byte)  Date        Time       FileName 
    0  drw-              -  Aug 06 2015 21:26:42   src
    1  drw-              -  May 26 2016 10:58:18   compatible
    2  drw-              -  May 27 2016 00:00:52   resetinfo
    3  -rw-            481  May 31 2016 15:40:22   vrpcfg-test.zip

32,004 KB total (31,940 KB free)
<SSH-Server>

注意：SSH用户的service-type是all，没有scp这1选项；aaa创建的local-user的service-type是ssh；ssh user没有scp-directory这1项，默许就可以访问flash：

通过FTPS进行文件操作

FTPS将FTP协议和SSL协议结合，通过SSL对服务器进行验证，对传输的数据进行加密。

配置任务步骤：

1、上传服务器数字证书及私钥文件；

2、配置SSL策略并加载数字证书，同HTTPS配置；

3、配置FTPS服务器功能及参数，包括为FTPS服务器配置SSL策略、使能及参数：端口、源地址、超时等；

4、配置FTP本地用户：包括配置本地用户服务类型及授权目录。

5、通过FTPS访问交换机；

配置实例：

<HUAWEI>system-view
[HUAWEI]sysname FTPS-Server
[FTPS-Server]ftp server eanble          #---使能FTP服务器功能
[FTPS-Server]aaa
[FTPS-Server-aaa]local-user huawei password cipher huawei1
[FTPS-Server-aaa]local-user huawei service-type ftp
[FTPS-Server-aaa]local-user huawei privilege level 3
[FTPS-Server-aaa]local-user huawei ftp-directory flash：
[FTPS-Server-aaa]quit
[FTPS-Server]quit
在客户端上传文件：
ftp ip
put local-filename [remote-file-name]
假定上传数字证书及秘钥文件为servercert.der和serverkey.der
配置SSL策略并加载数字证书
#---以下为创建security目录，并将存储器根目录下的SSL数字证书文件复制到security目录中
<FTPS-Server>mkdir security
<FTPS-Server>copy servercert.der security/
<FTPS-Server>copy serverkey.der security/
创建FTPS服务器SSL策略，并通过certificate load pem-cert加载PEM格式数字证书。
<FTPS-Server>system-view
[FTPS-Server]ssl policy FTP_server
[FTPS-Server-ssl-policy-FTP_server]certificate load ans1-cert servercert.der key-pair rsa key-file serverkey.der 
[FTPS-Server-ssl-policy-FTP_server]quit
通过display ssl policy可以看到加载的数字证书详细信息。


使能FTPS服务器，创建FTP用户（注意的是，用户仍然是FTP用户，而没有FTPS用户）
[FTPS-Server]undo ftp server   #---使能FTPS服务器功能前，必须先关闭普通FTP服务器功能。
[FTPS-Server]FTP secure-server ssl-policy FTP_server
[FTPS-Server]FTP secure-server enable