怎么配置super password

可以参考如下配置案例

https://www.h3c.com/cn/d_201811/1124502_30005_0.htm

1.10.3  Telnet用户的HWTACACS用户角色切换认证配置

1. 组网需求

如图1-3所示，Telnet用户主机与Switch直接相连，Switch与一台HWTACACS服务器相连，需要配置Switch实现对登录Switch的Telnet用户进行用户角色切换认证。具体要求如下：

Telnet用户登录Switch时进行本地认证，登录后被授予用户角色level-0，当进行level-0～level3之间的任意用户角色切换或切换到network-admin用户角色时，首先使用HWTACACS认证，若AAA配置无效或者HWTACACS服务器没有响应则转为local认证。

2. 组网图

图1-3 Telnet用户远端HWTACACS用户角色切换认证配置组网图

3. 配置思路

在交换机上的配置思路如下：

(1)     配置Telnet用户登录采用AAA认证方式（scheme），并且使用AAA中的本地认证。

·     创建ISP域bbb，配置Telnet用户登录时采用的login认证和授权方法为local。

·     创建本地用户，配置Telnet用户登录密码及登录后的用户角色。

(2)     Telnet用户进行用户角色切换时，首先使用HWTACACS认证，若AAA配置无效或者HWTACACS服务器没有响应则转为本地认证。

·     配置用户角色切换认证方式为scheme local。

·     配置HWTACACS方案hwtac，指定HWTACACS服务器IP地址及与其进行交互的相关参数（HWTACACS协议报文交互时使用的共享密钥，Switch发送给HWTACACS服务器的用户名不带域名）。在ISP域bbb下配置用户角色切换认证方法为hwtac。

·     配置采用本地认证方式时的用户角色切换密码。

在HWTACACS server上需要添加用于用户角色切换认证的用户名和密码。

4. 配置步骤

(1)     配置Switch

# 配置VLAN接口2的IP地址，Telnet客户端将通过该地址连接Switch。

<Switch> system-view

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.1.70 255.255.255.0

[Switch-Vlan-interface2] quit

# 配置VLAN接口3的IP地址，Switch将通过该地址与服务器通信。

[Switch] interface vlan-interface 3

[Switch-Vlan-interface3] ip address 10.1.1.2 255.255.255.0

[Switch-Vlan-interface3] quit

# 开启Switch的Telnet服务器功能。

[Switch] telnet server enable

# 配置Telnet用户登录采用AAA认证方式。

[Switch] line vty 0 63

[Switch-line-vty0-63] authentication-mode scheme

[Switch-line-vty0-63] quit

# 配置进行用户角色切换时的认证方式为scheme local。（首先使用HWTACACS认证，若AAA配置无效或者HWTACACS服务器没有响应则转为本地认证）

[Switch] super authentication-mode scheme local

# 创建HWTACACS方案hwtac。

[Switch] hwtacacs scheme hwtac

# 配置主认证服务器的IP地址为10.1.1.1，认证端口号为49。

[Switch-hwtacacs-hwtac] primary authentication 10.1.1.1 49

# 配置与认证服务器交互报文时的共享密钥为expert。

[Switch-hwtacacs-hwtac] key authentication simple expert

# 配置向HWTACACS服务器发送的用户名不携带域名。

[Switch-hwtacacs-hwtac] user-name-format without-domain

[Switch-hwtacacs-hwtac] quit

# 创建ISP域bbb。

[Switch] domain bbb

# 配置Telnet用户登录认证方法为本地认证。

[Switch-isp-bbb] authentication login local

# 配置Telnet用户登录授权方法为本地授权。

[Switch-isp-bbb] authorization login local

# 配置用户角色切换认证方法为hwtac。

[Switch-isp-bbb] authentication super hwtacacs-scheme hwtac

[Switch-isp-bbb] quit

# 创建并配置设备管理类本地Telnet用户test。

[Switch] local-user test class manage

[Switch-luser-manage-test] service-type telnet

[Switch-luser-manage-test] password simple aabbcc

# 指定Telnet用户登录系统后被授予的用户角色为level-0。

[Switch-luser-manage-test] authorization-attribute user-role level-0

# 为保证Telnet用户仅使用授权的用户角色level-0，删除用户test具有的缺省用户角色network-operator。

[Switch-luser-manage-test] undo authorization-attribute user-role network-operator

[Switch-luser-manage-test] quit

# 配置用户角色换认证方式为本地认证时，切换到用户角色level-3时使用的密码为654321。

[Switch] super password role level-3 simple 654321

# 配置切换到用户角色network-admin时使用的密码为654321。

[Switch] super password role network-admin simple 654321

[Switch] quit