问题 1 解答

1. 交换机default-domain login hwtacacs，登录认证走 HWTACACS 对接 IMC；
2. VTY SSH 启用 AAA + 开启命令授权 (command auth)，设备每条输入命令都会上报 IMC 鉴权；
3. IMC 创建设备用户 + 绑定命令集权限，最终达成：IMC 账号登录交换机、且命令被严格限制。

问题 2 解答

1. 设备区域管理添加区域 ✅（用于批量归类设备）
2. 设备类型可暂不配置 ✅（非强制项）
3. 设备管理添加设备：填写交换机 IP、HWTACACS 密钥 / 端口、归属对应区域 ✅
   • 注意：交换机与 IMC密钥、端口、IP 必须双向一致，端口默认标准 HWTACACS：认证 49、授权 49、计费 49
4. 授权命令集配置 ✅ 核心规则：
   • 缺省授权改为拒绝（关键，防止漏控命令）
   • 末尾配置 deny .* 拦截所有未放行命令
5. 接入授权策略：绑定区域 + 对应命令集 ✅（策略作为权限载体）
6. 设备用户配置 ✅
   • 新建账号密码，关联上一步授权策略
   • 授权主机 IP 列表填写交换机管理 IP：限制该账号仅能登录指定设备，安全加固项

补充 2 个必做遗漏点（否则功能异常）

1. 交换机侧配置 HWTACACS 服务器参数（指向 IMC IP、密钥、端口），和 IMC 设备配置完全一致；
2. IMC + 交换机时间同步（NTP 对齐），时间偏差大会导致认证 / 授权失败。

问题 3 解答

原理说明

逐条解析

1. 方案 A（标准合法写法）

• 逻辑拆解：
  1. 允许进入系统视图 system-view
  2. 允许进入任意接口 interface .*（通配符匹配所有接口名）
  3. 允许执行 shutdown / undo shutdown 两条接口视图命令
  4. 其余所有命令全部拒绝
• 执行链路：user-view → system-view → interface 任意接口 → 执行开关命令，每一步都单独放行，流程正常。

2. 方案 B（错误写法）
   把多级命令拼接成一整条 system-view ; interface .* ; shutdown，交换机实际是分步执行多条独立命令，IMC 无法匹配这条拼接规则，直接拒绝，所以提示无权限。

最终标准命令集配置（直接复用）