華為設(shè)備安全配置手冊(cè)

1、華為設(shè)備安全配置手冊(cè)1. 終端訪問(wèn)安全控制1.1.終端安全認(rèn)證【命令】login(async|con|hwtty|pad|telnetundologin(async|con|hwtty|pad|telnet【視圖】系統(tǒng)視圖【參數(shù)】無(wú)【描述】login命令用來(lái)打開(kāi)終端用戶的認(rèn)證開(kāi)關(guān)。undologin命令用來(lái)關(guān)閉對(duì)終端用戶的認(rèn)證功能。缺省情況下，關(guān)閉對(duì)終端用戶的認(rèn)證功能?？梢苑謩e設(shè)置五種終端用戶的認(rèn)證功能，以防止未授權(quán)用戶的非法侵入。 異步口終端用戶（async）:在遠(yuǎn)程配置的方式下，三次認(rèn)證失敗將斷開(kāi)。 Console口終端用戶（con）:控制Console口和AUX口的登錄校驗(yàn)，認(rèn)證失敗將繼

2、續(xù)要求認(rèn)證。 啞終端接入用戶（hwtty）:三次認(rèn)證失敗將關(guān)閉啞終端連接。 遠(yuǎn)程X.25PAD呼叫用戶（pad）:三次認(rèn)證失敗將關(guān)閉X.25PAD連接。 Telnet終端用戶（telnet）:三次認(rèn)證失敗將關(guān)閉該Telnet連接?！九e例】#打開(kāi)Telnet終端用戶認(rèn)證開(kāi)關(guān)。Quidwaylogintelnet1.2.終端服1.3.務(wù)屬性配置【命令】idle-timeoutundoidle-timeout【視圖】系統(tǒng)視圖【參數(shù)】無(wú)【描述】idle-timeout命令用來(lái)啟動(dòng)與終端用戶"定時(shí)斷開(kāi)連接"功能，undoidle-timeout命令用來(lái)禁止該功能。缺省情況下，系統(tǒng)啟動(dòng)

3、與終端用戶的“定時(shí)斷開(kāi)連接”功能。對(duì)于連接到Console口的終端用戶，定時(shí)斷開(kāi)連接的時(shí)間為3分鐘；對(duì)于啞終端用戶，定時(shí)斷開(kāi)連接的時(shí)間為10分鐘；對(duì)于通過(guò)Modem撥號(hào)方式使用啞終端的用戶，定時(shí)斷開(kāi)連接的時(shí)間為6分鐘。用戶可以通過(guò)undoidle-timeout命令關(guān)閉該功能，使終端用戶永遠(yuǎn)不斷開(kāi)連接?！九e例】#禁止與終端用戶的“定時(shí)斷開(kāi)連接”功能。Quidwayundoidle-timeout2. 防火墻功能配置2.1. 允許/禁止防火墻在報(bào)文過(guò)濾時(shí)，應(yīng)先打開(kāi)防火墻功能，這樣才能使其它配置生效。請(qǐng)?jiān)谙到y(tǒng)視圖下進(jìn)行下列配置。允許/禁止防火墻操作命令啟動(dòng)防火墻firewallenable禁止防火

4、墻firewalldisable缺省情況下，防火墻處于“啟動(dòng)”狀態(tài)。2.2.配置標(biāo)2.3.準(zhǔn)訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表序號(hào)可取值199之間的整數(shù)。首先應(yīng)使用acl命令進(jìn)入到ACL配置視圖并配置訪問(wèn)控制列表的匹配順序，然后再使用rule命令配置具體的訪問(wèn)規(guī)則。若不配置匹配順序的話，按照auto方式進(jìn)行。請(qǐng)?jiān)谙到y(tǒng)視圖（acl命令）和ACL視圖（rule命令）下進(jìn)行下列配置。配置標(biāo)準(zhǔn)訪問(wèn)控制列表1操作命令進(jìn)入ACL視圖并配置訪問(wèn)控制列表的匹配順序aclacl-numbermatch-orderconfig|auto配置標(biāo)準(zhǔn)訪問(wèn)列表規(guī)則rulenormal|specialpermit|denysou

5、rcesource-addrsource-wildcard|any刪除特定的訪問(wèn)列表規(guī)則undorulerule-id|normal|special刪除訪問(wèn)列表undoaclacl-number|allnormal指該規(guī)則是在普通時(shí)間段內(nèi)起起用；special該規(guī)則是在特殊時(shí)間段內(nèi)起作用，使用special時(shí)用戶需另外設(shè)定特殊時(shí)間段。具有同一序號(hào)的多條規(guī)則按照“深度優(yōu)先原則”進(jìn)行匹配O缺省情況下，為normal時(shí)間段。2.4.配置擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表可取值100199之間的整數(shù)。首先應(yīng)使用ac命令進(jìn)入到ACL配置視圖并配置訪問(wèn)控制列表的匹配順序，然后再使用rule命令配置具體的訪問(wèn)

6、規(guī)則。若不配置匹配順序的話，按照auto方式進(jìn)行。請(qǐng)?jiān)谙到y(tǒng)視圖（acl命令）和ACL視圖（rule命令）下進(jìn)行下列配置。配置擴(kuò)展訪問(wèn)控制列表操作命令進(jìn)入ACL視圖并配置訪問(wèn)控制列表的匹配順序aclacl-numbermatch-orderconfig|auto配置TCP/UDP協(xié)議的擴(kuò)展訪問(wèn)列表規(guī)則rulenormal|specialpermit|denytcp|udpsourcesource-addrsource-wildcard|anysourceportoperatorport1port2destinationdest-addrdest-wildcard|anydestination-p

7、ortoperatorport1port2logging配置ICMP協(xié)議的擴(kuò)展訪問(wèn)列表規(guī)則rulenormal|specialpermit|denyICMPsourcesource-addrsource-wildcard|anydestinationdest-addrdest-wildcard|anyicmp-typeicmp-typeicmp-codelogging配置其它協(xié)議擴(kuò)展訪問(wèn)列表規(guī)則rulenormal|specialpermit|denypro-numbersourcesource-addrsource-wildcard|anydestinationdest-addrdest-w

8、ildcard|anylogging刪除特定的訪問(wèn)列表規(guī)則undorulerule-id|normal|special刪除訪問(wèn)列表undoaclacl-number|allnormal指該規(guī)則是在普通時(shí)間段內(nèi)起起用；special該規(guī)則是在特殊時(shí)間段內(nèi)起作用，使用special時(shí)用戶需另外設(shè)定特殊時(shí)間段。具有同一序號(hào)的多條規(guī)則按照“深度優(yōu)先原則”進(jìn)行匹配缺省情況下，為normal時(shí)間段。2.5.設(shè)置防火墻的缺省過(guò)濾方式防火墻的缺省過(guò)濾方式是指：當(dāng)訪問(wèn)規(guī)則中沒(méi)有找到一個(gè)合適的匹配規(guī)則來(lái)判定用戶數(shù)據(jù)包是否可以通過(guò)的時(shí)候，將根據(jù)用戶設(shè)置的防火墻的缺省過(guò)濾方式來(lái)決定究竟允許還是禁止報(bào)文通過(guò)。請(qǐng)?jiān)谙到y(tǒng)視

9、圖下進(jìn)行下列配置。設(shè)置防火墻缺省過(guò)濾方式操作命令設(shè)置防火墻的缺省過(guò)濾方式為允許報(bào)文通過(guò)firewalldefaultpermit設(shè)置防火墻的缺省過(guò)濾方式為禁止報(bào)文通過(guò)firewalldefaultdeny缺省情況下，防火墻的缺省過(guò)濾方式為允許報(bào)文通過(guò)。2.6.設(shè)置特殊時(shí)間段2.6.1.允許/禁止按時(shí)間段過(guò)濾所謂按時(shí)間段過(guò)濾是指：在不同的時(shí)間段內(nèi)，采用不同的訪問(wèn)規(guī)則對(duì)ip數(shù)據(jù)包進(jìn)行過(guò)濾，這個(gè)特性又稱為在特別時(shí)間段內(nèi)應(yīng)用特別的規(guī)則（SpecialRulesForSpecialTime）。根據(jù)實(shí)際使用情況，將時(shí)間段分為下列兩類： 特殊時(shí)間段：在設(shè)定時(shí)間段內(nèi)的時(shí)間（由special關(guān)鍵字指定） 普通時(shí)

10、間段：未在設(shè)定時(shí)間段內(nèi)的時(shí)間（由normal關(guān)鍵字指定）同樣地，訪問(wèn)規(guī)則按時(shí)間也分為這樣兩類： 基于普通時(shí)間段的訪問(wèn)規(guī)則（NormalPacket-filteringAccessRules） 基于特殊時(shí)間段的訪問(wèn)規(guī)則（TimerangePacket-filteringAccessRules）可為這兩類時(shí)間段分別定義不同的訪問(wèn)控制列表及訪問(wèn)規(guī)則，它們互不影響。在實(shí)際使用時(shí)，可把它們看成是兩套獨(dú)立的規(guī)則，系統(tǒng)在查看當(dāng)前所處的時(shí)間段（普通時(shí)間段還是特殊時(shí)間段）后決定究竟采用哪套訪問(wèn)規(guī)則。比如，當(dāng)前系統(tǒng)時(shí)間是在特殊時(shí)間段（由rulespecial定義）之內(nèi)，則采用特殊時(shí)間段內(nèi)的訪問(wèn)規(guī)則進(jìn)行過(guò)濾；當(dāng)時(shí)間

11、切換到普通時(shí)間段（由rulenormal定義）后，則采用普通時(shí)間段規(guī)則進(jìn)行過(guò)濾。請(qǐng)?jiān)谙到y(tǒng)視圖下進(jìn)行下列配置。缺省情況下，禁止按特殊時(shí)間段過(guò)濾。只有在打開(kāi)允許按時(shí)間段過(guò)濾的開(kāi)關(guān)后，用戶設(shè)定的特殊時(shí)間段內(nèi)的訪問(wèn)規(guī)則才能生效；當(dāng)該開(kāi)關(guān)被禁止后，將采用普通時(shí)間段定義的訪問(wèn)規(guī)則。2.6.2.設(shè)定特殊時(shí)間段當(dāng)用戶選擇了允許按時(shí)間段過(guò)濾報(bào)文的功能后，在用戶定義的時(shí)間段內(nèi)，防火墻將采用用戶在定義的特殊時(shí)間段內(nèi)的訪問(wèn)規(guī)則進(jìn)行過(guò)濾。本次定義特殊時(shí)間段將在大約一分鐘左右才能生效,上次定義的特殊時(shí)間段也將自動(dòng)作廢。請(qǐng)?jiān)谙到y(tǒng)視圖下進(jìn)行下列配置。設(shè)定特殊時(shí)間段操作命令設(shè)定特殊時(shí)間段settrbegin-timeend-t

12、ime.取消特殊時(shí)間段undosettr缺省情況下，系統(tǒng)使用普通時(shí)間段下定義的訪問(wèn)規(guī)則進(jìn)行報(bào)文過(guò)濾。使用setti命令能最多同時(shí)定義6個(gè)時(shí)間段。時(shí)間段具體格式為小時(shí)：分鐘（即hh:mm）,hh的范圍為023,mm的范圍為059。用displayclock命令可查看系統(tǒng)當(dāng)前的時(shí)鐘狀況。2.7.配置在接口上應(yīng)用訪問(wèn)控制列表的規(guī)則若要實(shí)現(xiàn)接口對(duì)報(bào)文的過(guò)濾功能，就必須先將相應(yīng)訪問(wèn)控制列表規(guī)則應(yīng)用到接口上。用戶可在一個(gè)接口上對(duì)接收和發(fā)送兩個(gè)方向的報(bào)文分別定義不同的訪問(wèn)控制規(guī)則。請(qǐng)?jiān)诮涌谝晥D下進(jìn)行下列配置。配置接口上應(yīng)用訪問(wèn)控制列表的規(guī)則命令配置在接口的入口或出口方向上應(yīng)用訪問(wèn)控制列表規(guī)則操作firewa

13、llpacket-filteracl-numberinbound|outbound取消在接口的入口或出口方向上應(yīng)用訪問(wèn)控制列表規(guī)則undofirewallpacket-filteracl-numberinbound|outbound缺省情況下，接口上未定義過(guò)濾報(bào)文的規(guī)則。在一個(gè)接口的一個(gè)方向上（inbound或outbound方向），最多可以應(yīng)用20條訪問(wèn)規(guī)則。即在firewallpacket-filterinbound方向上可應(yīng)用20條規(guī)則；在firewallpacket-filteroutbound方向上也可應(yīng)用20條規(guī)則。若兩條互相沖突的規(guī)則序號(hào)不同，優(yōu)先匹配acl-number較大的規(guī)

14、則。2.8.指2.9.定日志主機(jī)防火墻支持日志功能，當(dāng)某條訪問(wèn)規(guī)則被匹配后，若用戶指定了對(duì)該規(guī)則產(chǎn)生日志，可向日志主機(jī)發(fā)送日志，由日志主機(jī)做記錄并保存。請(qǐng)?jiān)谙到y(tǒng)視圖下進(jìn)行下列配置。指定日志主機(jī)匚操作命令指定日志主機(jī)iphostunix-hostnameip-address取消日志主機(jī)undoiphost有關(guān)對(duì)配置“日志主機(jī)參數(shù)”更詳細(xì)的描述，請(qǐng)用戶參見(jiàn)本手冊(cè)“系統(tǒng)管理”中“日志功能”一章中的內(nèi)容。2.10.防火墻的顯示和調(diào)試在所有視圖下使用debugging、reset、display命令。防火墻的顯示和調(diào)試命令操作顯示包過(guò)濾規(guī)則及在接口上的應(yīng)用顯示防火墻狀態(tài)顯示當(dāng)前時(shí)間段的范圍顯示當(dāng)前時(shí)間是

15、否在特殊時(shí)間段之內(nèi)通除訪問(wèn)規(guī)則計(jì)數(shù)器打開(kāi)防火墻包過(guò)濾調(diào)試信息開(kāi)關(guān)displayaclall|acl-number|interfacetypenumberdisplayfirewalldisplaytimerangedisplayisintrresetaclcountersacl-numberdebuggingfilterall|icmp|tcp|udp3. 系統(tǒng)管理配置3.1. configfile【命令】configfileflash|nvram【視圖】系統(tǒng)視圖【參數(shù)】flash:選擇當(dāng)前配置文件的存儲(chǔ)介質(zhì)為Flash。nvram:選擇當(dāng)前配置文件的存儲(chǔ)介質(zhì)為NVRAM?！久枋觥縞onfig

16、file命令用來(lái)選擇當(dāng)前配置文件存儲(chǔ)介質(zhì)。缺省情況下，在Flash和NVRAM兩種存儲(chǔ)介質(zhì)并存時(shí)，使用NVRAM存儲(chǔ)配置文件。Quidway系列路由器使用的Flash和NVRAM兩種存儲(chǔ)介質(zhì)均可用來(lái)保存配置文件，一般情況下，配置文件是保留在NVRAM中的?？捎胏onfigfile命令選擇其中之一作為當(dāng)前有效的存儲(chǔ)介質(zhì)，如在執(zhí)行configfileflash后，再執(zhí)行save#令，此時(shí)會(huì)將配置文件保存到Flash而不是NVRAM中。在保存或擦除配置文件之前，可使用displayconfigfile命令來(lái)查看當(dāng)前配置文件所用的存儲(chǔ)介質(zhì)類型。相關(guān)配置可參考命令delete,downloadconfi

17、g,displaycurrent-configuration,displaysaved-configuration,displayconfigfile?！九e例】#選擇配置文件的存儲(chǔ)介質(zhì)為flashoQuidwayconfigfileflash3.2. update【命令】updateslotslot-numberftpserverhost-name|ip-addressfilenamefile-nameportport-number|useruser-name|passwordpassword【視圖】系統(tǒng)視圖slot-number:升級(jí)單板所在的槽位號(hào)。host-name：升級(jí)文件所在FTP文

18、件服務(wù)器的主機(jī)名。在升級(jí)操作之前若未配置主機(jī)名稱，則先要在系統(tǒng)視圖下，用sysnam臨令配置路由器名稱作為FTP主機(jī)名。ip-address:升級(jí)文件所在主機(jī)的IP地址。file-name:單板程序的升級(jí)文件的文件名。port-number:指定的FTP文件服務(wù)器的服務(wù)端口號(hào)。user-name：在FTP服務(wù)器上注冊(cè)的合法登錄用戶名。password:在FTP服務(wù)器上注冊(cè)的合法登錄用戶口令?！久枋觥縰pdate命令用來(lái)在線升級(jí)單板軟件。本命令可對(duì)某些單板實(shí)現(xiàn)在線升級(jí)。在線升級(jí)對(duì)單板版本有一定限制。支持對(duì)2SA/4SA、E1VI、6AM/12AM以及加密卡進(jìn)行在線升級(jí)。在線升級(jí)文件的文件名為“*

19、.drv”。根據(jù)升級(jí)的不同情況，系統(tǒng)將出現(xiàn)下列不同的顯示信息：在線升級(jí)成功，控制臺(tái)打印提示信息：Endofprogrammingsuccessfull!Total131072byteswritten。在線升級(jí)失敗，控制臺(tái)定期打印提示信息：Pleaseentertheupdaterequestcommandforslotslotnumber!執(zhí)行displayversion#令后所在槽位打印信息：（單板名）Driverneedtobeupdated在線升級(jí)使用了其它單板的升級(jí)程序，單板不進(jìn)行升級(jí)操作，控制臺(tái)打印提示信息：%Error:FileIDerror!若在線升級(jí)文件已損壞，單板不進(jìn)行升級(jí)操

20、作，控制臺(tái)打印提示信息：%Error:FileCRCerror!若輸入的在線升級(jí)命令正在被另外一個(gè)用戶對(duì)同一塊單板執(zhí)行，該用戶的升級(jí)命令就不能執(zhí)行，控制臺(tái)打印提示信息：Theindicatedboardisatupdatingstatus.【舉例】#對(duì)槽位3的RTB14SA單板進(jìn)行在線升級(jí)。FTP文件服務(wù)器主機(jī)名為huawei、IP地址為53,單板在線升級(jí)文件名為ram4sa.drv,FTP主機(jī)的用戶名為huawei，用戶口令為123456。Quidwaysysnamehuaweihuaweiupdateslot3ftpserverswitchfilenameram4sa.drv

21、usernamehuaweipassword1234563.3.TFTP操作命令3.3.1.copy【命令】copyip-addrfile-namesystem|config【視圖】系統(tǒng)視圖ip-addr:TFTP服務(wù)器的IP地址。file-name:文件名，長(zhǎng)度不超過(guò)47個(gè)字符。system：文件類型，標(biāo)明上傳的文件為系統(tǒng)文件config：文件類型，標(biāo)明上傳的文件為配置文件【描述】copy命令用來(lái)將本路由器上名為file-name的配置文件或者系統(tǒng)文件上傳到TFTP服務(wù)器中。相關(guān)配置可參考命令get?！九e例】#把本路由器的配置文件上傳到IP地址為的TFTP服務(wù)器中，并且設(shè)

22、置文件名為config.txt。Quidwaycopyconfig.txtconfigstartuploadingconfigfile.2465bytescopiedin0.749seconds.enduploadingconfigfile.顯示信息中，如果成功，顯示上載的字節(jié)數(shù)以及所用的時(shí)間；如果失敗。顯示失敗的錯(cuò)誤碼errno。errno序號(hào)的含義如下：errno序號(hào)的含義錯(cuò)誤碼描述0x00成功。0x01|內(nèi)存不夠。0x02|建立請(qǐng)求報(bào)文失敗。|0x03建立socket失敗。|0x04綁定socket失敗。0x05無(wú)效的傳輸方式。0x06部分文件被傳輸。0x07無(wú)法將數(shù)

23、據(jù)發(fā)送到服務(wù)器。0x0b建立socket失敗。0x0c讀文件失敗。|0x0d1解析主機(jī)名失敗。10x0e1打開(kāi)本地文件失敗。_10x0f無(wú)效參數(shù)值。0x101收到錯(cuò)誤報(bào)文。H0x11同步失敗。0x12寫(xiě)配置文件失敗。0x13讀配置文件失敗。0x141多個(gè)用戶同時(shí)寫(xiě)配置文件。_|0x151內(nèi)存分配失敗。10x161文件超大。10x181寫(xiě)文件失敗。10x191寫(xiě)系統(tǒng)文件錯(cuò)誤10x1a1讀系統(tǒng)文件錯(cuò)誤10x1b讀系統(tǒng)文件成功，但是選擇不寫(xiě)文件3.3.2. get【命令】getip-addrfile-name(system|config【視圖】系統(tǒng)視圖ip-addr:TFTP服務(wù)器的IP地址，形式為

24、點(diǎn)分十進(jìn)制格式X.X.X.X。file-name:文件名，長(zhǎng)度不超過(guò)47個(gè)字符。system：文件類型，標(biāo)明上傳的文件為系統(tǒng)文件config：文件類型，標(biāo)明上傳的文件為配置文件【描述】ge命令用來(lái)把TFTP服務(wù)器上的名為filename的配置文件或者系統(tǒng)文件下載到本路由器的Flash或NVRAM中。系統(tǒng)文件存放在路由器的FlashMemory中。配置文件存放在路由器的FlashMemory或NVRAM中，具體情況視路由器硬件和配置而定。如果路由器硬件配置中包括NVRAM,就可以通過(guò)命令configfilenvram來(lái)配置使配置文件保存在NVRAM中。相關(guān)配置可參考命令copy?！九e例】#把IP

25、地址為的TFTP服務(wù)器上的配置文件下載到本路由器的Flash或NVRAM中。Quidwaygetsys.cfgconfigstartdownloadingconfigfile.errno=0x0enddownloading.顯示信息中的errno為命令執(zhí)行結(jié)果，如為0x0表示成功，否則表示失敗。本命令執(zhí)行結(jié)果返回序號(hào)的含義與copy命令相同。請(qǐng)參見(jiàn)表1-1。4. 網(wǎng)絡(luò)管理配置4.1.snmp-agent【命令】snmp-agentundosnmp-agent【視圖】系統(tǒng)視圖【描述】snmp-agen碎令用來(lái)使能SNMP服務(wù)，undosnmp-agent命

26、令用來(lái)關(guān)閉SNMP服務(wù)。缺省情況下，關(guān)閉SNMP服務(wù)。使用snmp-agent任何一條SNMP的配置命令進(jìn)行配置，都會(huì)啟動(dòng)SNMP服務(wù)。使用undosnmp-agent#令關(guān)閉SNMP服務(wù)時(shí)，所有的SNMP配置信息都不起作用，但在沒(méi)有重新啟動(dòng)路由器之前，這些信息還未刪除，如果再次使能SNMP服務(wù)，這些配置信息還能起作用（可用displaycurrentconfiguration命令查看）。但是如果關(guān)閉SNMP服務(wù)后重新啟動(dòng)路由器，則這些配置信息都會(huì)丟失。啟動(dòng)SNMP服務(wù)時(shí)，如果配置允許發(fā)送warmstartTrap報(bào)文，系統(tǒng)就會(huì)發(fā)送warmstartTrap報(bào)文?！九e例】#關(guān)閉SNMP服務(wù)。Quidwayundosn