华为交换机远程登录配置：Telnet与SSH详解及VTY、AAA实践-北京尧图网络

接手一台华为交换机最常被问到的问题不是VLAN怎么划、静态路由怎么写而是“怎么让我能远程登上去配置”。尤其刚入职的网工常常面对一台已经上架的S5720手里只有一条Console线老板甩一句“把远程登录开了”就没了下文。这篇就专门把华为交换机telnet和ssh登录配置这件事讲透从命令到原理从模拟器到真机把该避的坑一起说清楚。内容基于华为S5720、S5735这些最常见的三层交换机来写同时也适用S5700、S6700等运行VRP V200R系列的设备。适合刚接触华为设备的网络小白也适合要批量交付交换机、需要一套稳妥配置模板的工程实施人员。1. 登录配置前先想清楚telnet和ssh到底怎么选很多教程上来就甩命令反而把最重要的一件事跳过了你这个场景到底该用telnet还是ssh这一步选错了后面全是隐患。先看协议本身的差别。telnet走TCP 23端口数据全明文传输包括用户名和密码。什么意思就是你敲的每一个字符在链路里就像贴在大街上一样中间只要有抓包工具分分钟把你的账号密码看光。ssh走TCP 22端口全程加密传输账号密码、配置命令全都是密文。光凭这一点生产环境基本就一票否决telnet了。但telnet也没有完全失去存在价值。实验室环境、ensp模拟器、内网临时调试、老旧的维持性设备这些场景下telnet反而更省事。因为telnet服务默认占用资源小配置简单排错容易而ssh的首次密钥协商、算法匹配在模拟器和老设备上偶尔会出幺蛾子。另外有些很老的华为交换机或者运行特定VRP版本的设备ssh配置起来比telnet多不少前置条件临时应急的时候telnet确实更快。我自己在项目里的取舍标准是这样场景推荐方式原因生产环境、公网可达ssh密文传输防窃听、防会话劫持内网管理、临时排障ssh优先telnet兜底内网风险低但习惯要养好模拟器/实验环境两者都行无真实风险练手为主老设备兼容排障telnet先通排除设备侧ssh算法问题再补一个容易被新手忽略的概念VTY。华为交换机上的远程登录不管telnet还是ssh最终都是落在VTY用户界面上。VTY你可以粗暴理解成“远程接待窗口”默认有5个编号0到4最多支持5个远程会话同时在线。配置远程登录时你要进VTY视图告诉设备这个窗口用哪种协议、接什么认证方式。所以“配telnet/ssh登录”这件事拆开其实是三步开服务telnet server enable或ssh server enable、配窗口user-interface vty 0 4、建账号local-user。这个思路先立住后面看命令就不会乱。2. 开工前的几步准备管理地址和VTY的基本认知先别急着敲命令登录配置有一个前置条件交换机必须有一个管理IP而且这个IP和你的电脑能通。不然你后面配置得再漂亮远程也连不进来。管理IP通常配在VLANIF接口上。设备刚开箱默认所有端口都在VLAN 1里VLANIF 1就是默认管理口。工程上一般不建议把管理地址放在VLAN 1里因为VLAN 1没法删除、没法改名而且很多广播报文都在这个VLAN里转安全性和稳定性都不占优。正规做法是单独划一个管理VLAN比如VLAN 10然后把VLANIF 10配上IP。system-view sysname SW-CORE-01 vlan 10 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit这里顺便给刚入门的朋友解释一下两个视图SW-CORE-01是用户视图只能干display、ping这类“看”和“测”的活[SW-CORE-01]是系统视图所有配置改动的起点上面命令里的system-view就是干这个用的。你还会见到[SW-CORE-01-GigabitEthernet0/0/1]这种带接口名的视图那就是已经进到接口里面了。视图之间的关系是层层递进配完记得quit返回上一层。管理地址配好之后拿电脑接在交换机任意一个口上默认VLAN 1能通VLANIF 10的前提是端口允许这个VLAN通过如果你配了管理VLAN记得把电脑所在端口划进管理VLAN或配置为trunk放行用ping验证一下双向连通性。先从电脑ping交换机再从交换机ping电脑ping 192.168.10.100不通就先查物理层和VLAN放行这是后面所有排错的第一道关卡。很多ssh连不上的案例查到最后发现根本不是ssh配置问题而是管理地址压根就不通。准备工作的最后一项是确认设备的VRP版本。不同版本的命令有差异特别是ssh服务开启的命令老版本用stelnet server enable新版本也兼容。登录设备后执行display version看一眼版本信息。我这篇的命令示例基于V200R009到V200R019之间常见的版本真机操作时如果碰到命令敲不进去大概率是版本语法差异用?在线帮助查一下即可。3. telnet登录从零到通完整命令与选择理由telnet配置是所有远程登录方案的基础就算你最终目的是ssh也建议先在模拟器里把telnet走一遍理解VTY和认证的整套逻辑。完整的telnet配置分四步我一条条说。3.1 开启telnet服务system-view telnet server enable部分VRP版本默认telnet服务就是开的这条命令不敲也不影响。但为了保险起见建议写上。华为设备很多功能默认是关的显式开启能避免后续排查时吃“服务没开”的暗亏。3.2 配置VTY窗口user-interface vty 0 4 authentication-mode aaavty 0 4的意思是同时配置第0到第4号窗口也就是5个远程会话。authentication-mode aaa指定认证走AAA框架也就是用户名加密码的方式。这里还有另外一个选项authentication-mode password只需要一个统一密码不要用户名。为什么我推荐AAA而不是password因为password方式所有登录的人共用一个密码出问题没法追溯是谁操作的AAA可以给每个人建独立账号配合后面的级别划分能把权限控制到人。公司环境至少有两个人要登交换机就一定要用AAA。3.3 创建本地用户local-user admin password cipher Admin123 local-user admin service-type telnet local-user admin privilege level 15 quit第一行创建用户admin并设置密码。cipher表示密码以密文形式保存在配置里不要用simplesimple是明文存储display current-configuration的时候密码直接暴露这在生产环境是不可接受的。第二行指定这个用户的服务类型是telnet。这一步很容易漏漏了之后的表现就是用户名密码对了也会被拒绝因为在AAA认证通过后设备检查用户的服务类型发现不支持telnet直接断开。第三行是授权级别。华为设备里用户级别0到150级只能看少量信息1级可以看更多但不能改配置3级能进系统视图做大部分配置但有些管理命令受限15级是最高权限。日常维护账号给3级就够管理员的账号才给15级。很多教程图省事全给15这在真实项目里不建议但作为入门示例先给15能跑通后面再按角色收紧。3.4 验证登录在电脑命令行直接敲telnet 192.168.10.254输入用户名和密码能看到SW-CORE-01提示符就说明成功了。如果电脑没有telnet客户端去“启用或关闭Windows功能”里把Telnet客户端勾上。putty、Xshell这些终端工具也都自带telnet协议随便选一个顺手的就是。我个人习惯用Xshell主要因为会话管理方便多台交换机切换不用反复敲IP。这里还有一个细节telnet默认登录后进入的级别由认证时指定的用户级别决定和你命令行里有没有敲super密码无关。所以用level 15的用户登录进去直接就是系统视图省一步。用level 3的用户登录只能先进用户视图需要提权时敲super再输入提权密码。4. SSH登录比telnet多出来的密钥和认证步骤ssh的配置框架和telnet很像也是开服务、配VTY、建账号但中间多了一道密钥生成的步骤。这道步骤的目的是为加密协商提供本机身份凭据没有密钥ssh服务连启动的基础都没有。4.1 开启SSH服务并生成密钥system-view stelnet server enable rsa local-key-pair createstelnet server enable在老版本里是开启ssh服务的命令新版本也兼容。也有版本用ssh server enable两个都是同一个意思具体以你设备上?提示为准。执行rsa local-key-pair create后会有一串交互提问核心是让你输入密钥长度默认是2048直接回车或者明确输入2048都行。Host name和IP这些提示项直接回车跳过即可。生成过程在真机上可能稍微等一下这是正常的密钥生成需要熵源别以为卡死了。这里要记住一个排错常识如果以后设备换了主机名原来生成的RSA密钥可能和主机名绑定失效ssh客户端会报host key不匹配。需要重新执行rsa local-key-pair create之前先undo rsa local-key-pair把旧密钥删掉再重新生成。4.2 配置VTY窗口走SSHuser-interface vty 0 4 authentication-mode aaa protocol inbound sshprotocol inbound ssh是这一节的关键它把VTY窗口的入站协议限制为ssh。这里有三档可选all表示telnet和ssh都能登telnet只允许telnetssh只允许ssh。生产环境建议只放ssh因为任何多余的入口都是风险面。但如果还在调试期可以先配allssh通了再收窄成ssh。4.3 创建SSH用户local-user sshadmin password cipher Admin123 local-user sshadmin service-type ssh local-user sshadmin privilege level 15 quit ssh user sshadmin authentication-type password ssh user sshadmin service-type stelnet对比telnet的配置多出来的最后两条是ssh框架自己的用户表。ssh user把本地用户纳入ssh服务的管理范围authentication-type password指定认证方式为密码service-type stelnet允许该用户通过ssh终端登录。注意service-type这里写的是stelnet不是ssh这是华为SSH终端登录专用术语实际指的就是SSH终端访问服务。华为的ssh用户认证方式有三种password密码认证、rsa密钥认证、all两种都允许。日常管理用password就够了。如果你要用密钥登录需要在交换机上导入客户端的公钥然后把authentication-type改成rsa或all。这个后面展开可以单独写一篇这里不啰嗦。4.4 客户端连接测试电脑上用ssh命令ssh sshadmin192.168.10.254首次连接会提示确认服务器指纹输入yes继续然后输入密码即可进入。Windows 10以上自带OpenSSH客户端Xshell、putty、Bitvise这些工具也都支持。我自己常用Xshell但真机批量巡检的时候反而直接用命令行ssh比较多省得开一堆会话窗口。ssh连接不上时最经典的一个报错是Algorithm negotiation failed意思是我们电脑上的OpenSSH客户端和交换机支持的加密算法对不上。这在老版本交换机上特别常见因为新版OpenSSH出于安全考虑默认关掉了一批旧的密钥交换算法和加密算法。解决方向有两个升级交换机版本或者在客户端ssh命令里指定兼容算法。真机生产环境强烈建议前者客户端将就成了习惯之后迟早出问题。模拟器里折腾可以临时用后者但别把临时方案带到生产。5. 实战串一遍5个部门划5个子网交换机远程管理一起配好纯讲命令太干我把一个实际项目里特别典型的场景拿出来串一遍。一家公司有5个部门各自需要独立子网A部门100台主机B部门50台C部门20台另外两个部门各20台左右。核心是一台华为三层交换机需要同时完成VLAN划分、各子网网关、部门间互访以及远程管理登录。5.1 子网按需划分别都塞进/24很多人的第一反应是每部门一个192.168.x.0/24一个C类地址段256个地址100台用浪费一半20台的部门更是浪费200多个。虽然私网地址看着多但5个部门下来加上以后扩展整个私网段会被快速消耗。正规做法是按需分配。A部门100台主机可用地址至少需要101个向后取2的整数幂是128去掉网络地址和广播地址实际可用126个。2的7次方等于128所以主机位要7位掩码是25位也就是255.255.255.128对应/25。B部门50台2的6次方是64去掉2个地址剩余62个可用掩码26位/26。C部门和另外两个部门各20台2的5次方是32可用30个掩码27位/27。IP段规划可以做成这样部门VLAN网段掩码可用主机数网关管理网络VLAN 10192.168.10.0/24255.255.255.0254192.168.10.254A部门VLAN 20192.168.20.0/25255.255.255.128126192.168.20.254B部门VLAN 30192.168.30.0/26255.255.255.19262192.168.30.254C部门VLAN 40192.168.40.0/27255.255.255.22430192.168.40.254D部门VLAN 50192.168.50.0/27255.255.255.22430192.168.50.254E部门VLAN 60192.168.60.0/27255.255.255.22430192.168.60.254网关地址统一用网段的最后一个可用地址192.168.x.254这是工程习惯好记也统一。这么规划的好处是5个部门加管理网络全部地址加起来不超过一个/24的零头预留了充足的地址给以后新增部门或扩展设备。5.2 交换机上的VLAN和三层网关配置system-view sysname SW-CORE-01 vlan batch 10 20 30 40 50 60 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.128 quit interface Vlanif30 ip address 192.168.30.254 255.255.255.192 quit interface Vlanif40 ip address 192.168.40.254 255.255.255.224 quit interface Vlanif50 ip address 192.168.50.254 255.255.255.224 quit interface Vlanif60 ip address 192.168.60.254 255.255.255.224 quitVLANIF接口就是三层交换机的网关接口每个VLAN对应一个三层接口承担该VLAN内终端的网关功能。终端配置好IP和网关就能通过这个接口和别的VLAN通信因为三层交换机本身就能路由转发。接着把接入端口划进对应VLAN。接入终端用access口interface GigabitEthernet0/0/1 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 30 quit如果交换机下面还有二级交换机级联口要配trunk放行多个VLANinterface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 60 quitaccess口和trunk口的区别不展开太多记住一句接终端的口用access接交换机的口用trunk。有的场景还需要交换机给终端下发IP可以用接口地址池模式配置DHCPdhcp enable interface Vlanif20 dhcp select interface dhcp server dns-list 223.5.5.5 114.114.114.114 quitdhcp select interface表示以VLANIF20的接口地址所在网段作为地址池自动给这个VLAN里的终端分配地址。按需在每个VLANIF下重复这一段就行。5.3 给这台核心交换机配上SSH远程管理VLAN和接口都完事了剩下就是本文最核心的远程登录。管理地址是192.168.10.254/24我们通过管理网段去管理它配置如下stelnet server enable rsa local-key-pair create user-interface vty 0 4 authentication-mode aaa protocol inbound ssh local-user netadmin password cipher Net2024 local-user netadmin service-type ssh local-user netadmin privilege level 15 quit ssh user netadmin authentication-type password ssh user netadmin service-type stelnet return save注意最后一定要save不然重启后一切配置全部消失。华为设备不会自动保存配置这是和家用路由器最大的区别。执行save后系统询问文件名和是否确认直接回车或输入y即可。养成配置完成就save的习惯是网工的基本素养。这样一个完整场景就串起来了部门终端接到对应端口拿到IP网关在三层交换机上部门间默认互通管理员从办公室电脑ssh到192.168.10.254就能管理整台设备。6. 登录不上的问题按这条链路排查最省时间远程登录配好了连不上这种现象太常见了。新手一上来就怀疑命令没配对反复改配置结果改半天没用。我建议按下面的链路一层层排从物理层到协议层思路清晰不混乱。6.1 第一层网络通不通先ping管理IP。ping不通的话别去折腾ssh配置了问题在网络本身。检查电脑IP是否和管理网段在同一个广播域或者路由可达交换机VLANIF接口是否配了IPdisplay ip interface brief看接口状态是不是up端口是否放行了对应VLAN尤其跨交换机场景trunk放行一定别漏有没有中间防火墙挡了23/22端口这一层过了再进入下一层。6.2 第二层服务本身开没开ping通了但连不上登不进交换机用display telnet server status或display ssh server status看看对应服务是不是enabled。有些设备默认服务没开或者之前被别的工程师undo掉了这一步检查一分钟搞定。6.3 第三层VTY配置对不对display this在user-interface视图下查看VTY配置。重点看三个东西authentication-mode是不是aaa如果之前被别人改成password那用用户名密码登就会被拒绝protocol inbound是不是限制了协议登录超时和会话数限制telnet的时候最常遇到的报错是密码验证通过但立刻退出十有八九是local-user没配service-type telnet或者service-type ssh不对。把服务类型补上问题直接消失。6.4 第四层用户名和授权如果VTY配置没问题检查用户侧display local-user看看用户存在不存在用户的服务类型对不对密码策略有没有限制比如密码过期、最小长度限制ssh场景还有一个独立于本地用户的概念ssh user。你在local-user里建了用户还不够必须执行ssh user XXX把用户纳入ssh框架。这一步漏了ssh登录时同样报认证失败但telnet却正常很多人在这里绕了很久。6.5 第五层协议协商和客户端兼容ssh连不上的另一类经典报错是算法协商失败。前面说过这是新旧版本算法不匹配造成的。模拟器里最常见因为ensp内置的ssh版本比较老。遇到这类问题可以先确认客户端和设备的ssh版本客户端用OpenSSH的话可以通过ssh -o KexAlgorithmsdiffie-hellman-group14-sha1临时把旧算法加回来做验证。确认是算法问题后能升级设备版本就升级别在配置里强行开启旧算法安全风险不值得。还有一种情况是VSCode里配了远程ssh扩展连不上。VSCode的Remote-SSH本质是调用本机的OpenSSH去连接所以排错逻辑和命令行ssh一样先在终端里手动ssh一次看报什么错把报错解决掉VSCode自然就通了。它的ssh config文件路径在C:\Users\用户名\.ssh\config检查Host、HostName、User、Port这些字段对不对。6.6 密码忘了怎么办远程登录配好了但密码忘了这也是一类真实存在的“登录不上”。华为交换机的密码恢复思路不是远程能搞定的必须console线现场操作。通用流程重启设备在启动阶段按CtrlB进入BootROM菜单选择清除console密码不同版本菜单项名称不一样常见是“Clear password”或“Ignore startup configuration”这类选项重启后不再要求密码登录进去重新配置。这个方法网上教程很多但注意一点进入BootROM菜单需要输入BootROM密码默认密码在V200R005之后是Adminhuawei更早的版本可能是huawei。这个操作涉及设备安全只建议管理员本人在现场操作时用别在公开网络里随便登录别人的设备尝试。6.7 快速自查表遇到登录问题直接对照这张表现象可能原因检查命令/操作ping不通管理IPVLANIF没配或端口没放行display ip interface brieftelnet端口不通telnet服务没开display telnet server status密码正确但登不进service-type没配或配错display local-userssh认证失败ssh user表里没这个用户display ssh user-information算法协商失败客户端与设备算法不匹配ssh -o KexAlgorithmsdiffie-hellman-group14-sha1能登但无法配置用户级别权限不够display local-user 查看用户级别7. 我踩过这些坑之后整理的远程登录配置检查清单最后这部分是实打实的经验教训。这套方案我在不同项目里交付过很多次踩过的坑比教程里写的多得多挑几个最典型的讲。先说账号管理。公司里几个网工同时管设备千万别共用一个账号。华为交换机支持多个本地用户每个人都用自己的账号登出问题能定位到人。权限也不要一刀切全给15级日常维护账号给3级就够了只有需要改全局配置的人才给15级。级别不够时临时提权比一直挂在最高权限更安全。密码复杂度设置里有个容易被忽略的点华为设备默认会检测密码复杂度纯数字或者和用户名相同的密码直接报错。之前有人配了个Admin123觉得够复杂了结果不满足要求命令报错后他还没看提示反复看配置觉得很正常浪费了不少时间。遇到密码报错优先检查是不是包含用户名片段是的话换一个完全无关的密码。再说安全限制。ssh登录配好之后建议顺手加一道限制只允许管理网段的IP访问。用ACL配合VTY实现acl number 2001 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 deny quit user-interface vty 0 4 acl 2001 inbound quit这样配置后只有192.168.10.0/24这个管理网段能发起远程会话其他网段一律拒绝。别小看这一步很多交换机被扫描爆破成功就是因为远程登录入口对所有来源开放。VTY下的ACL只对入站管理协议生效不影响业务流量转发。还有一个细节是空闲超时。默认VTY会话没有强制的空闲断开时间一个会话挂着不动占着VTY通道不说还有安全隐患。在VTY视图下配个超时user-interface vty 0 4 idle-timeout 10 quit意思是10分钟没有任何操作就自动断开开小差回来发现断线重登一下就好安全性提升不少。时间长短自己定我习惯10分钟长会话任务多的同仁可以放宽到20分钟看场景。配置批量交付的时候我一般先在一台设备上完整走一遍命令验证ssh能连通、save没问题再整理成脚本批量刷。批量脚本里最容易翻车的是密码里的特殊字符比如Net2024这种在部分脚本解释器里可能被当成变量处理。稳妥的办法是脚本里先用简单的强密码建账号并验证能登录然后通过local-user XXXX password cipher再改成目标密码分两步走或者在脚本里对特殊字符做转义处理。这个坑遇到一次就知道疼了尤其几十台设备一次性下发改配置改到怀疑人生。最后再分享一个让我印象深刻的真机故障。有次交付一台S5735ssh配置和客户端工具测试都没问题但客户用他们自己的堡垒机连不上。检查半天发现堡垒机默认使用的客户端版本太老只支持ssh-rsa签名算法而交换机新版本默认关闭了ssh-rsa。这种场景不像OpenSSH客户端那么容易临时指定算法最后是让客户升级了堡垒机上的SSH组件才解决。所以我的经验是交付前先问清楚客户用什么终端连设备如果有堡垒机这类中间跳板一定要提前做兼容验证而不是等上线了再扯皮。这虽然不是交换机的配置问题但确实是远程登录交付里最容易被忽略的一环。配置远程登录这件事技术门槛不高但细节很多。把VTY、AAA、本地用户、ssh用户这几层关系理清楚再养成save的好习惯基本就不会有坑了。真遇到连不上的情况按链路一层层排查别上来就怀疑配置大多数问题都是小细节找到了就一分钟解决。

华为交换机远程登录配置：Telnet与SSH详解及VTY、AAA实践

相关推荐

PTA堆排序实战：HeapAdjust函数与SqList封装详解

YOLOv13+SAHI实战：无人机航拍小目标检测五步流程与VisDrone调参技巧

pypdf 页面裁剪与变换完全指南：旋转、缩放、合并与 N-up 排版

更多资讯

STM32串口控制步进电机速度与角度：脉冲换算与协议解析实战

React Native运行环境区分：模拟器与真机调试全指南

STM32与ESP8266的AT指令通信：从UART接线到断线重连的完整指南

iOS Universal Links校验不通过？从AASA配置到排查的完整指南

SpiderMonkey 的 iongraph：用 GraphViz 可视化 IonMonkey 优化图的完整指南

IEC 101规约C语言实现：帧结构解析与南瑞RTU调试实战

今日更新

基于MATLAB的CRI显色指数计算：从SPD光谱到Ra的完整流程

JSP+Servlet+MySQL博客系统源码部署与优化全攻略

蜂窝调度算法 MATLAB 实现：比例公平、轮询与最大 C/I 对比

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？