1.建一条acl

acl 3000

   rule 5 permit sou 自己主机地址 0
   rule 10 deny any

2.acl 3000 应用到ssh

ssh sever acl 3000

telnet ssh使用acl只准许指定用户访问

7 对登录用户的控制

通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：

·     当未引用ACL、或者引用的ACL不存在、或者引用的ACL为空时，允许所有登录用户访问设备；

·     当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，以免非法用户使用Telnet/SSH访问设备。

关于ACL的详细描述和介绍请参见“ACL和QoS配置指导”中的“ACL”。

用户登录后，可以通过AAA功能来对用户使用的命令行进行授权和计费。

7.1  配置对Telnet/SSH用户的控制

7.1.1  配置准备

确定了对Telnet/SSH的控制策略，包括对哪些源IP、目的IP、源MAC等参数进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。

7.1.2  配置对Telnet/SSH用户的控制

表7-1 配置对Telnet用户的控制

表7-2 配置对SSH用户的控制

7.1.3  配置举例

1. 组网需求

通过源IP对Telnet进行控制，仅允许来自10.110.100.52和10.110.100.46的Telnet用户访问AC。

2. 组网图

图7-1 使用ACL对Telnet用户进行控制

3. 配置步骤

# 定义ACL。

<Sysname> system-view

[Sysname] acl basic 2000 match-order config

[Sysname-acl-ipv4-basic-2000] rule 1 permit source 10.110.100.52 0

[Sysname-acl-ipv4-basic-2000] rule 2 permit source 10.110.100.46 0

[Sysname-acl-ipv4-basic-2000] quit

# 引用ACL，允许源地址为10.110.100.52和10.110.100.46的Telnet用户访问AC。

[Sysname] telnet server acl 2000

7.2  配置对Web用户的控制

通过引用ACL可以对访问设备的Web用户进行控制。只有ACL中permit的用户才能使用Web访问设备，其它用户不允许访问设备，以免非法用户使用Web访问设备。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。

7.2.1  配置准备

确定了对Web用户的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。

7.2.2  通过源IP对Web用户进行控制

在通过源IP对Web用户进行控制时需要注意，Web登录时用户输入的用户名和密码属于敏感信息，Web登录请求是采用HTTPS的方式发送到Web服务器的。所以，如果ip https acl命令中的ACL规则拒绝客户端通过HTTPS服务访问Web页面，那么该客户端也无法通过HTTP服务访问Web页面。

表7-3 通过源IP对Web用户进行控制

7.2.3  强制在线Web用户下线

网络管理员可以通过命令行强制在线Web用户下线。

表7-4 强制在线Web用户下线

7.2.4  配置举例

1. 组网需求

通过源IP对Web用户进行控制，仅允许来自10.110.100.52的Web用户访问AC。

2. 组网图

图7-2 对AC的HTTP用户进行ACL控制

3. 配置步骤

# 定义基本访问控制列表。

<Sysname> system-view

[Sysname] acl basic 2030 match-order config

[Sysname-acl-ipv4-basic-2030] rule 1 permit source 10.110.100.52 0

[Sysname-acl-ipv4-basic-2030] quit

# 引用访问控制列表，仅允许来自10.110.100.52的Web用户访问AC。

[Sysname] ip http acl 2030

7.3  配置对NMS的控制

7.3.1  配置准备

确定了对NMS的控制策略，包括对哪些源IP进行控制，控制的动作是允许访问还是拒绝访问，即配置好ACL。

7.3.2  配置对NMS的控制

表7-5 SNMPv1/SNMPv2c版本配置对NMS的控制

表7-6 SNMPv3版本配置对NMS的控制

7.3.3  配置举例

1. 组网需求

通过源IP对NMS进行控制，仅允许来自10.110.100.52和10.110.100.46的NMS访问AC。

2. 组网图

图7-3 使用ACL对NMS进行控制

3. 配置步骤

# 定义基本ACL。

<Sysname> system-view

[Sysname] acl basic 2000 match-order config

[Sysname-acl-ipv4-basic-2000] rule 1 permit source 10.110.100.52 0

[Sysname-acl-ipv4-basic-2000] rule 2 permit source 10.110.100.46 0

[Sysname-acl-ipv4-basic-2000] quit

# 引用ACL，仅允许来自10.110.100.52和10.110.100.46的NMS访问AC。

[Sysname] snmp-agent community read aaa acl 2000

[Sysname] snmp-agent group v2c groupa acl 2000

[Sysname] snmp-agent usm-user v2c usera groupa acl 2000

7.4  配置命令行授权功能

7.4.1  配置步骤

缺省情况下，用户登录设备后可以使用的命令行由用户拥有的用户角色决定。当用户线采用AAA认证方式并配置命令行授权功能后，用户可使用的命令行将受到用户角色和AAA授权的双重限制。用户每执行一条命令都会进行授权检查，只有授权成功的命令才被允许执行。

要使配置的命令行授权功能生效，还需要在ISP域视图下配置命令行授权方法。命令行授权方法可以和login用户的授权方法相同，也可以不同。相关详细介绍请参见“安全配置指导”中的“AAA”。

表7-7 配置命令行授权功能

7.4.2  配置举例

1. 组网需求

为了保证AC的安全，需要对登录用户执行命令的权限进行限制：用户Host A登录AC后，输入的命令必须先获得HWTACACS服务器的授权，才能执行。否则，不能执行该命令。如果HWTACACS服务器故障导致授权失败，则采用本地授权。

2. 组网图

图7-4 命令行授权配置组网图

3. 配置步骤

# 在AC上配置IP地址，以保证AC和Host A、AC和HWTACACS server之间互相路由可达。（配置步骤略）

# 开启AC的Telnet服务器功能，以便用户访问。

<Sysname> system-view

[Sysname] telnet server enable

# 配置用户登录AC时，需要输入用户名和密码进行AAA认证，可以使用的命令由认证结果决定。

[Sysname] line vty 0 4

[Sysname-line-vty0-4] authentication-mode scheme

# 使能命令行授权功能，限制用户只能使用授权成功的命令。

[Sysname-line-vty0-4] command authorization

[Sysname-line-vty0-4] quit

# 配置HWTACACS方案：授权服务器的IP地址，TCP端口号为192.168.2.20:49（该端口号必须和HWTACACS服务器上的设置一致），报文的加密密码是expert，登录时不需要输入域名，使用缺省域。

[Sysname] hwtacacs scheme tac

[Sysname-hwtacacs-tac] primary authentication 192.168.2.20 49

[Sysname-hwtacacs-tac] primary authorization 192.168.2.20 49

[Sysname-hwtacacs-tac] key authentication simple expert

[Sysname-hwtacacs-tac] key authorization simple expert

[Sysname-hwtacacs-tac] user-name-format without-domain

[Sysname-hwtacacs-tac] quit

# 配置缺省域的命令行授权AAA方案，使用HWTACACS方案。

[Sysname] domain system

[Sysname-isp-system] authentication login hwtacacs-scheme tac local

[Sysname-isp-system] authorization command hwtacacs-scheme tac local

[Sysname-isp-system] quit

# 配置本地认证所需参数：创建本地用户monitor，密码为明文的123，可使用的服务类型为telnet，用户角色为level-1。

[Sysname] local-user monitor

[Sysname-luser-manage-monitor] password simple 123

[Sysname-luser-manage-monitor] service-type telnet

[Sysname-luser-manage-monitor] authorization-attribute user-role level-1

7.5  配置命令行计费功能

7.5.1  配置步骤

当用户线采用AAA认证方式并配置命令行计费功能后，系统会将用户执行过的命令记录到HWTACACS服务器上，以便集中监视用户对设备的操作。命令行计费功能生效后，如果没有配命令行授权功能，则用户执行的每一条合法命令都会发送到HWTACACS服务器上做记录；如果配置了命令行授权功能，则用户执行的并且授权成功的命令都会发送到HWTACACS服务器上做记录。

要使配置的命令行计费功能生效，还需要在ISP域视图下配置命令行计费方法。命令行计费方法、命令行授权方法、login用户的授权方法可以相同，也可以不同。相关详细介绍请参见“安全配置指导”中的“AAA”。

表7-8 配置命令行计费功能

7.5.2  配置举例

1. 组网需求

为便于集中控制、监控用户对AC的操作，需要将登录用户执行的命令发送到HWTACACS服务器进行记录。

2. 组网图

图7-5 命令行计费配置组网图

3. 配置步骤

# 开启AC的Telnet服务器功能，以便用户访问。

<Sysname> system-view

[Sysname] telnet server enable

# 配置使用Console口登录AC的用户执行的命令需要发送到HWTACACS服务器进行记录。

[Sysname] line console 0

[Sysname-line-console0] command accounting

[Sysname-line-console0] quit

# 配置使用Telnet或者SSH登录的用户执行的命令需要发送到HWTACACS服务器进行记录。

[Sysname] line vty 0 4

[Sysname-line-vty0-4] command accounting

[Sysname-line-vty0-4] quit

# 配置HWTACACS方案：计费服务器的IP地址：TCP端口号为192.168.2.20:49，报文的加密密码是expert，登录时不需要输入域名，使用缺省域。

[Sysname] hwtacacs scheme tac

[Sysname-hwtacacs-tac] primary accounting 192.168.2.20 49

[Sysname-hwtacacs-tac] key accounting simple expert

[Sysname-hwtacacs-tac] user-name-format without-domain

[Sysname-hwtacacs-tac] quit

# 配置缺省域的命令行计费AAA方案，使用HWTACACS方案。

[Sysname] domain system

[Sysname-isp-system] accounting command hwtacacs-scheme tac

[Sysname-isp-system] quit

acl number 3210

 rule 0 deny ip xxxx 端口 xxxx

2、将ACL下发到端口：

int range gi 1/0/1 gi 1/0/24

packet-filter 3210 inbound

packet-filter 3210 outbound

quit

写一条acl只允许自己电脑的地址作为源地址目的地址为any,拒绝其他源地址访问目的地址，匹配到telnet

您好，参考

7.1.3  配置举例

1. 组网需求

通过源IP对Telnet进行控制，仅允许来自10.110.100.52和10.110.100.46的Telnet用户访问AC。

2. 组网图

图7-1 使用ACL对Telnet用户进行控制

3. 配置步骤

# 定义ACL。

<Sysname> system-view

[Sysname] acl basic 2000 match-order config

[Sysname-acl-ipv4-basic-2000] rule 1 permit source 10.110.100.52 0

[Sysname-acl-ipv4-basic-2000] rule 2 permit source 10.110.100.46 0

[Sysname-acl-ipv4-basic-2000] quit

# 引用ACL，允许源地址为10.110.100.52和10.110.100.46的Telnet用户访问AC。

[Sysname] telnet server acl 2000

7.2  配置对Web用户的控制

通过引用ACL可以对访问设备的Web用户进行控制。只有ACL中permit的用户才能使用Web访问设备，其它用户不允许访问设备，以免非法用户使用Web访问设备。关于ACL的定义请参见“ACL和QoS配置指导”中的“ACL”。