28-SSH接入Password认证典型配置举例

SSH接入Password认证典型配置举例

Copyright ? 2014 杭州华三通信技术有限公司版权所有，保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，

并不得以任何形式传播。本文档中的信息可能变动，恕不另行通知。

目录

1 简介 (1)

2 配置前提 (1)

3 配置举例 (1)

3.1 组网需求 (1)

3.2 配置注意事项 (1)

3.3 配置步骤 (2)

3.3.1 AC的配置 (2)

3.3.2 Switch的配置 (4)

3.4 验证配置 (5)

3.5 配置文件 (7)

4 相关资料 (9)

1 简介

本文档介绍了SSH 接入Password 认证配置举例。

2 配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解SSH 特性。

3 配置举例

3.1 组网需求

如图1所示，AC 作为Stelnet 服务器，并采用password 认证方式对无线客户端Client 进行认证，Client 的用户名和密码保存在AC 本地，使Client 可以安全的登录到AC 上，且Client 的用户级别为管理级。

图1 无线控制器作为Stelnet 服务器配置组网图

3.2 配置注意事项

?

由于不同客户端支持的公钥算法不同，为了确保所有的无线客户端都能够成功登录AC ，需要在AC 上同时生成DSA 和RSA 两种密钥对。 ? 配置AP 的序列号时请确保该序列号与AP 唯一对应，AP 的序列号可以通过AP 设备背面的标签获取。

AC Switch AP Client

3.3 配置步骤

3.3.1 AC的配置

(1) 配置AC的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 192.168.1.1 24

[AC-Vlan-interface100] quit

# 创建VLAN 200作为WLAN-ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN，并为该接口配置IP地址。

[AC] vlan 300

[AC-vlan300] quit

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ip address 192.168.3.1 24

[AC-Vlan-interface300] quit

# 配置AC与Switch相连的GigabitEthernet1/0/1接口的链路类型为Trunk，PVID为100，允许VLAN 100和VLAN 300的报文通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] quit

# 创建WLAN-ESS 1接口，并设置端口的链路类型为Hybrid。

[AC] interface wlan-ess 1

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为200，禁止VLAN 1通过并允许VLAN 200不带T ag通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 200 untagged

[AC-WLAN-ESS1] port hybrid pvid vlan 200

# 在Hybrid端口上使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(2) 配置Stelnet服务器

# 在AC上生成RSA密钥对。

[AC] public-key local create rsa

The range of public key size is (512 ~ 2048).

NOTES: If the key modulus is greater than 512,

It will take a few minutes.

Press CTRL+C to abort.

Input the bits of the modulus[default = 1024]:

Generating Keys...

++++++++

++++++++++++++

+++++

++++++++

# 在AC上生成DSA密钥对。

[AC] public-key local create dsa

The range of public key size is (512 ~ 2048).

NOTES: If the key modulus is greater than 512,

It will take a few minutes.

Press CTRL+C to abort.

Input the bits of the modulus[default = 1024]:512

Generating Keys...

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*++

+++

# 使能SSH服务器功能。

[AC] ssh server enable

# 设置Stelnet客户端登录用户界面的认证方式为AAA认证。

[AC] user-interface vty 0 4

[AC-ui-vty0-4] authentication-mode scheme

# 设置AC上远程用户登录协议为SSH。

[AC-ui-vty0-4] protocol inbound ssh

[AC-ui-vty0-4] quit

# 创建本地用户client001，密码为aabbcc，服务类型为SSH，本地用户的级别为3（管理级）。[AC] local-user client001

[AC-luser-client001] password simple aabbcc

[AC-luser-client001] service-type ssh

[AC-luser-client001] authorization-attribute level 3

[AC-luser-client001] quit

# 配置SSH用户client001的服务类型为Stelnet，认证方式为password认证。

[AC] ssh user client001 service-type stelnet authentication-type password

(3) 配置无线服务

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS 1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4) 配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称选择WA2620E-AGN。

[AC] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC-wlan-ap-officeap-radio-2] radio enable

[AC-wlan-ap-officeap-radio-2] return

3.3.2 Switch的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线客户端接入的VLAN。

system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口属性为Trunk，PVID为100，允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过，并使能PoE功能。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与DHCP server相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

3.4 验证配置

Stelnet客户端软件有很多，例如PuTTY、OpenSSH等，本文中仅以客户端软件PuTTY0.58为例，说明Stelnet客户端的配置方法。

# 在AC上通过display local-user命令查看本地用户的信息，可以看到无线用户client001的服务类型为SSH，且用户级别为管理级。

display local-user

The contents of local user admin:

State: Active

ServiceType: telnet

Access-limit: Disabled Current AccessNum: 0

User-group: system

Bind attributes:

Authorization attributes:

User Privilege: 3

The contents of local user client001:

State: Active

ServiceType: ssh

Access-limit: Disabled Current AccessNum: 0

User-group: system

Bind attributes:

Authorization attributes:

User Privilege: 3

Total 2 local user(s) matched.

# 在Client上打开PuTTY.exe程序，出现如图2所示的客户端配置界面。在“Host Name (or IP address)”文本框中输入Stelnet服务器的IP地址为192.168.3.1，单击按钮。

图2Stelnet客户端配置界面

# 若首次登录，客户端会弹出警告信息如图3所示，单击按钮。

图3首次登录时弹出的警告信息

# 如图4所示，按提示输入用户名client001及密码aabbcc，即可进入AC的配置界面。

图4输入用户名和密码后登录到AC配置界面

# 当Stelnet客户端成功登录时，在AC上会显示用户client001上线的日志信息。

#Feb 19 11:23:43:342 2014 AC SHELL/4/LOGIN:

Trap 1.3.6.1.4.1.11.2.14.11.15.2.2.1.1.3.0.1:client001 login from VTY

%Feb 19 11:23:43:362 2014 AC SHELL/5/SHELL_LOGIN: client001 logged in from 192.168.3.5.

# 通过display ssh server session命令查看会话信息，可以看到用户client001已上线。

display ssh server session

Conn Ver Encry State Retry SerType Username

VTY 0 2.0 AES Established 0 Stelnet client001

# 当Stelnet客户端退出时，在AC上会显示用户client001下线的日志信息。

#Feb 19 11:24:17:994 2014 AC SHELL/4/LOGOUT:

Trap 1.3.6.1.4.1.11.2.14.11.15.2.2.1.1.3.0.2:client001 logout from VTY

%Feb 19 11:24:18:015 2014 AC SHELL/5/SHELL_LOGOUT: client001 logged out from 192.168.3.5.

# 通过display ssh server session命令查看会话信息，可以看到显示为空，表示之前上线的用户client001已下线。

display ssh server session

Conn Ver Encry State Retry SerType Username

3.5 配置文件

AC的配置文件：

#

vlan 100

#

vlan 200

#

vlan 300

#

local-user client001

password cipher $c$3$quTLFMdNMvGbzJHtkzp0LjIlmQKSc9SJ5w==

authorization-attribute level 3

service-type ssh

#

wlan service-template 1 clear

ssid service

bind WLAN-ESS 1

service-template enable

#

wlan ap-group default_group

ap officeap

#

interface Vlan-interface100

ip address 192.168.1.1 255.255.255.0

#

interface Vlan-interface300

ip address 192.168.3.1 255.255.255.0

#

interface GigabitEthernet1/0/1

port link-type trunk

port trunk permit vlan 100 300

port trunk pvid vlan 100

#

interface WLAN-ESS1

port link-type hybrid

undo port hybrid vlan 1

port hybrid vlan 200 untagged

port hybrid pvid vlan 200

mac-vlan enable

#

wlan ap ap1 model WA2620E-AGN id 1

serial-id 21023529G007C000020

radio 1

radio 2

service-template 1 vlan-id 300

radio enable

#

ssh server enable

ssh user client001 service-type stelnet authentication-type password #

user-interface vty 0 4

authentication-mode scheme

user privilege level 3

protocol inbound ssh

#

?Switch的配置文件：

#

vlan 100

#

vlan 300

#

interface GigabitEthernet1/0/1

port link-type trunk

port trunk permit vlan 100

port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

port link-type access

port access vlan 100

poe enable

#

interface GigabitEthernet1/0/3

port link-type access

port access vlan 100

#

4 相关资料

?《H3C WX系列无线控制器产品配置指导》“二层技术配置指导”。

?《H3C WX系列无线控制器产品命令参考》“二层技术命令参考”。

?《H3C WX系列无线控制器产品配置指导》“WLAN配置指导”。

?《H3C WX系列无线控制器产品命令参考》“WLAN命令参考”。

?《H3C WX系列无线控制器产品配置指导》“安全配置指导”。

?《H3C WX系列无线控制器产品命令参考》“安全命令参考”。