wx5560H

自定义权限，参考

如图1-1所示，Telnet用户主机与AC相连，需要实现AC对Telnet用户进行本地认证并授权用户角色。Telnet用户的登录用户名为user1@bbb，认证通过后被授权的用户角色为role1。

role1具有如下用户权限：

·     允许用户执行所有特性中读类型的命令；

·     允许用户执行创建VLAN以及进入VLAN视图后的相关命令，并只具有操作VLAN 10～VLAN 20的权限。

2. 组网图

图1-1 Telnet用户本地认证/授权配置组网图

‌

3. 配置步骤

# 配置VLAN接口2的IP地址，Telnet用户将通过该地址连接AC。

<AC> system-view

[AC] interface vlan-interface 2

[AC-Vlan-interface2] ip address 192.168.1.70 255.255.255.0

[AC-Vlan-interface2] quit

# 开启AC的Telnet服务器功能。

[AC] telnet server enable

# 配置Telnet用户登录采用AAA认证方式。

[AC] line vty 0 31

[AC-line-vty0-31] authentication-mode scheme

[AC-line-vty0-31] quit

# 配置ISP域bbb的AAA方法为本地认证和本地授权。

[AC] domain bbb

[AC-isp-bbb] authentication login local

[AC-isp-bbb] authorization login local

[AC-isp-bbb] quit

# 创建用户角色role1。

[AC] role name role1

# 配置用户角色规则1，允许用户执行所有特性中读类型的命令。

[AC-role-role1] rule 1 permit read feature

# 配置用户角色规则2，允许用户执行创建VLAN以及进入VLAN视图后的相关命令。

[AC-role-role1] rule 2 permit command system-view ; vlan *

# 进入VLAN策略视图，允许用户具有操作VLAN 10～VLAN 20的权限。

[AC-role-role1] vlan policy deny

[AC-role-role1-vlanpolicy] permit vlan 10 to 20

[AC-role-role1-vlanpolicy] quit

[AC-role-role1] quit

# 创建设备管理类本地用户user1。

[AC] local-user user1 class manage

# 配置用户的密码是明文的aabbcc。

[AC-luser-manage-user1] password simple aabbcc

# 指定用户的服务类型是Telnet。

[AC-luser-manage-user1] service-type telnet

# 指定用户user1的授权角色为role1。

[AC-luser-manage-user1] authorization-attribute user-role role1

# 为保证用户仅使用授权的用户角色role1，删除用户user1具有的缺省用户角色network-operator。

[AC-luser-manage-user1] undo authorization-attribute user-role network-operator

[AC-luser-manage-user1] quit