河南中医药大学：《网络运维管理》实验指导【2019级信管】网络运维管理-实验05-远程管理网络设备.pdf_大学文库

《网络运维管理》/实验五:远程管理网络设备《网络运维管理》——实验指导书实验五:远程管理网络设备实验简介前期我们在对网络设备进行配置时,是直接进入设备的命令行界面进行操作的。但是,在实际的园区网管理工作中,对于部署在园区内部各个地方的网络设备,管理员通常是通过远程登录的方式,实现对网络中设备(例如交换机、路由器等)的远程维护及管理,从而极大地方便了用户的操作。本实验讲解如何远程登录网络设备并进行远程管理实验目的 1、掌握通过 Telnet远程登录网络设备的方法; 2、掌握通过SSH远程登录网络设备的方法; 三、实验理论 1.用户界面 11简介华为网络设备支持的用户界面有 Console用户界面和VTY用户界面。每个用户界面有对应的用户界面视图。用户界面(User- interface)视图是系统提供的一种命令行视图,用来配置和管理所有工作在异步交互方式下的物理接口和逻辑接口,从而达到统一管理各种用户界面的目的 12目前系统支持的用户界面 (1) Console(CON)界面 Console用户界面,用来管理和监控通过 Console口登录的用户。控制口( Console Port)是一种通信串行端口,由设备的主控板提供。一块主控板提供一个 Console口,端口类型为EATA-232DCE。用户终端(即管理机)的串行端口可以与设备 Console 口直接连接,实现对设备的本地访问 (2)VTY界面 VTY( Virtual Type Terminal)用户界面,用来管理和监控通过 Telnet或SSH方式登录的用户。虚拟类型终端(Ⅵ /irtualτypeτ erminal)是一种虚拟线路端口。用户通过终端与设备建立 Telnet 或SSH连接后,即建立了一条VTY,即用户可以通过VTY方式登录设备进行本地或远程访问。最多支持15个用户同时通过VTY方式访问设备。 13用户界面的编号当用户登录设备时,系统会根据此用户的登录方式,自动分配一个当前空闲且编号最小的相应类型的用户界面给这个用户。用户界面的编号有两种方式:相对编号方式和绝对编号方式。 (1)相对编号方式相对编号方式的形式是:用户界面类型+编号河南中医药大学信息技术学院网络与信息系统科研工作室第1页

《网络运维管理》 / 实验五：远程管理网络设备河南中医药大学信息技术学院 | 网络与信息系统科研工作室第1页《网络运维管理》—— 实验指导书实验五：远程管理网络设备一、实验简介前期我们在对网络设备进行配置时，是直接进入设备的命令行界面进行操作的。但是，在实际的园区网管理工作中，对于部署在园区内部各个地方的网络设备，管理员通常是通过远程登录的方式，实现对网络中设备（例如交换机、路由器等）的远程维护及管理，从而极大地方便了用户的操作。本实验讲解如何远程登录网络设备并进行远程管理。二、实验目的 1、掌握通过 Telnet 远程登录网络设备的方法； 2、掌握通过 SSH 远程登录网络设备的方法；三、实验理论 1. 用户界面 1.1 简介华为网络设备支持的用户界面有 Console 用户界面和 VTY 用户界面。每个用户界面有对应的用户界面视图。用户界面（User-interface）视图是系统提供的一种命令行视图，用来配置和管理所有工作在异步交互方式下的物理接口和逻辑接口，从而达到统一管理各种用户界面的目的。 1.2 目前系统支持的用户界面（1）Console（CON）界面 Console 用户界面，用来管理和监控通过 Console 口登录的用户。控制口（Console Port）是一种通信串行端口，由设备的主控板提供。一块主控板提供一个 Console 口，端口类型为 EIA/TIA-232 DCE。用户终端（即管理机）的串行端口可以与设备 Console 口直接连接，实现对设备的本地访问。（2）VTY 界面 VTY（Virtual Type Terminal）用户界面，用来管理和监控通过 Telnet 或 SSH 方式登录的用户。虚拟类型终端（Virtual Type Terminal）是一种虚拟线路端口。用户通过终端与设备建立 Telnet 或 SSH 连接后，即建立了一条 VTY，即用户可以通过 VTY 方式登录设备进行本地或远程访问。最多支持 15 个用户同时通过 VTY 方式访问设备。 1.3 用户界面的编号当用户登录设备时，系统会根据此用户的登录方式，自动分配一个当前空闲且编号最小的相应类型的用户界面给这个用户。用户界面的编号有两种方式：相对编号方式和绝对编号方式。（1）相对编号方式相对编号方式的形式是：用户界面类型＋编号

《网络运维管理》/实验五:远程管理网络设备此种编号方式只能唯一指定某种类型的用户界面中的一个或一组,而不能跨类型操作。相对编号方式遵守的规则如下控制口的编号:CON0。虚拟线路的编号:第一个为VTY0,第二个为VTY1,依此类推 (2)绝对编号方式绝对编号可以唯一的指定一个用户界面或一组用户界面绝对编号的起始编号是0,并按照CON、VTY的顺序依次分配。每个主控板上cON口只有一个,但VTY类型的用户界面有20个(其中0~14用户提供给普通 Telnet/ssh用户的用户接口,16~20是预留给网管用户的接口),可以在系统视图下使用 user-interface maximum-vty命令设置最大用户界面个数,其缺省值为5 14用户界面的用户验证配置用户界面的用户验证方式后,用户登录设备时,网络设备对用户的身份进行验证对用户的验证有两种方式: password验证和AAA验证。这两种验证方式分别描述如下 (1) Password验证:只需要口令,不需要用户名。 (2)AAA验证:需要用户提供用户名和口令,对 Telnet用户一般采用AAA验证 15用户界面的用户优先级系统支持对登录用户进行分级管理。与命令的优先级一样,用户的优先级分为16个级别级别标识为0~15,标识越高则优先级越高。用户所能访问命令的级别由用户的级别决定如果对用户采用 password验证,登录到设备的用户所能访问的命令级别由登录时的用户界面级别决定;如果对用户采用AAA验证,登录到设备的用户所能访问的命令级别由AAA配置信息中本地用户的优先级级别决定 2.用户登录可以把园区网中的网络设备看作是服务器,用户可通过 Console口、 Telnet、 STelnet或者Web方式登录该设备,从而实现对设备的配置与管理 21用户登录的不同方式用户对设备的管理方式有命令行方式和Web网管方式。 ·命令行方式:通过 Console口、 Telnet或 STelnet方式登录设备后,使用设备提供的命令行对设备进行管理和配置。此种方式需要配置相应登录方式的用户界面。 ·Web网管方式:通过HTTP或Https方式登录设备,设备内置一个Web服务器,用户从终端通过Web浏览器登录到设备,使用设备提供的图形界面,从而非常直观地管理和维护设备。此种方式必须确保设备上已经加载了Web网页文件 Web网管方式虽然是通过图形界面直观地管理设备,便于用户操作,但提供的是对设备日常维护及管理的基本功能,如果需要对设备进行较复杂或精细的管理,仍然需要使用命令行方式 22 Console囗概述网络设备的主控板提供一个 Console口(接口类型为EATA232DCE)。通过将用户终端(即管理机)的串行接口与设备 Console口直接连接,登录设备,实现对设备的本地配置。河南中医药大学信息技术学院网络与信息系统科研工作室

《网络运维管理》 / 实验五：远程管理网络设备河南中医药大学信息技术学院 | 网络与信息系统科研工作室第2页此种编号方式只能唯一指定某种类型的用户界面中的一个或一组，而不能跨类型操作。相对编号方式遵守的规则如下：控制口的编号：CON 0。虚拟线路的编号：第一个为 VTY 0，第二个为 VTY 1，依此类推。（2）绝对编号方式绝对编号可以唯一的指定一个用户界面或一组用户界面。绝对编号的起始编号是 0，并按照 CON、VTY 的顺序依次分配。每个主控板上 CON 口只有一个，但 VTY 类型的用户界面有 20 个（其中 0～14 用户提供给普通 Telnet/SSH 用户的用户接口，16～20 是预留给网管用户的接口），可以在系统视图下使用 user-interface maximum-vty 命令设置最大用户界面个数，其缺省值为 5。 1.4 用户界面的用户验证配置用户界面的用户验证方式后，用户登录设备时，网络设备对用户的身份进行验证。对用户的验证有两种方式：password 验证和 AAA 验证。这两种验证方式分别描述如下：（1）Password 验证：只需要口令，不需要用户名。（2）AAA 验证：需要用户提供用户名和口令，对 Telnet 用户一般采用 AAA 验证。 1.5 用户界面的用户优先级系统支持对登录用户进行分级管理。与命令的优先级一样，用户的优先级分为 16 个级别，级别标识为 0～15，标识越高则优先级越高。用户所能访问命令的级别由用户的级别决定。如果对用户采用 password 验证，登录到设备的用户所能访问的命令级别由登录时的用户界面级别决定；如果对用户采用 AAA 验证，登录到设备的用户所能访问的命令级别由 AAA 配置信息中本地用户的优先级级别决定。 2. 用户登录可以把园区网中的网络设备看作是服务器，用户可通过 Console 口、Telnet、STelnet 或者 Web 方式登录该设备，从而实现对设备的配置与管理。 2.1 用户登录的不同方式用户对设备的管理方式有命令行方式和 Web 网管方式。  命令行方式：通过 Console 口、Telnet 或 STelnet 方式登录设备后，使用设备提供的命令行对设备进行管理和配置。此种方式需要配置相应登录方式的用户界面。  Web 网管方式：通过 HTTP 或 HTTPS 方式登录设备，设备内置一个 Web 服务器，用户从终端通过 Web 浏览器登录到设备，使用设备提供的图形界面，从而非常直观地管理和维护设备。此种方式必须确保设备上已经加载了 Web 网页文件。 Web 网管方式虽然是通过图形界面直观地管理设备，便于用户操作，但提供的是对设备日常维护及管理的基本功能，如果需要对设备进行较复杂或精细的管理，仍然需要使用命令行方式。 2.2 Console 口概述网络设备的主控板提供一个 Console 口（接口类型为 EIA/TIA-232 DCE）。通过将用户终端（即管理机）的串行接口与设备 Console 口直接连接，登录设备，实现对设备的本地配置

《网络运维管理》/实验五:远程管理网络设备 23 Telnet概述 Telnet协议在 TCP/IP协议族中属于应用层协议,通过网络提供远程登录和虚拟终端功能。以服务器喀户端( Server/ Client)模式工作, Telnet客户端向 Telnet服务器发起请求, Telnet服务器提供 Telnet服务。网络设备支持 Telnet客户端和 Telnet服务器功能,既可以作为 Telnet服务器, 也提供 Telnet客户端服务。 24 STelnet概述 Telnet传输过程采用TCP协议进行明文传输,缺少安全的认证方式,容易招致DoS( Denial of service)、主机地址欺骗和路由欺騙等恶意攻击,存在很大的安全隐患相对于 Telnet, STelnet基于SsH2协议,客户端和服务器端之间经过协商,建立安全连接, 客户端可以像操作 Telnet一样登录服务器端。SSH通过以下措施实现在不安全网络上提供安全的远程登录: 支持RSA( Revest-Shamir-Adleman Algorithn)认证方式。客户端需要创建一对密钥(公用密钥和私用密钥),并把公用密钥发送到需要登录的服务器上。服务器使用预先配置的该客户端的公用密钥,与报文中携带的客户端公用密钥进行比较。如果两个公用密钥不一致,服务器断开与客户端的连接。如果两个公用密钥一致,客户端继续使用自己本地密钥对的私用密钥部分,对特定报文进行摘要运算,将所得的结果(即数字签名)发送给服务器,向服务器证明自己的身份。服务器使用预先配置的该客户端的公用密钥,对客户端发送过来的数字签名进行验证支持用加密算法DEs( Data Encryption Standard)、3DES、AES128( Advanced Encryption Standard128)对用户名密码以及传输数据进行加密网络设备支持SSH服务器功能,可以接收多个SsH客户端的连接。同时,设备还支持SSH 客户端功能,可以与支持SSH服务器功能的设备建立SSH连接,从而实现从本地设备通过SSH 登录到远程设备。设备作为SSH服务器端时,支持SSH2和SSH1两个版本。设备作为SSH客户端时,只支持SSH2版本 SSH支持本地连接和广域网连接。 25命令行界面下不同登录方式的对比表5-0-1列出了在命令行界面下, Console口、 Telnet和 STelnet三种登录方式的对比表50-1命令行界面下不同登录方式的对比登录方式优点缺点应用场景说明使用专门的不能远程登录当对设备进行第一次通过 Console口进行本地登录是登 Console通信维护设备配置时,可以通过录设备最基本的方式,也是其他登录线缆连接,保 Console口登录设备方式的基础证可以对设备进行配置。缺省情况下,用户可以直接通过 Conso|e口有效控制当用户无法进行远程 Console口本地登录设备,不需要登录设备时,可通过|P地址 Console口进行本地河南中医药大学信息技术学院网络与信息系统科研工作室第3页

《网络运维管理》 / 实验五：远程管理网络设备河南中医药大学信息技术学院 | 网络与信息系统科研工作室第3页 2.3 Telnet 概述 Telnet 协议在 TCP/IP 协议族中属于应用层协议，通过网络提供远程登录和虚拟终端功能。以服务器/客户端（Server/Client）模式工作，Telnet 客户端向 Telnet 服务器发起请求，Telnet 服务器提供 Telnet 服务。网络设备支持 Telnet 客户端和 Telnet 服务器功能，既可以作为 Telnet 服务器，也提供 Telnet 客户端服务。 2.4 STelnet 概述 Telnet 传输过程采用 TCP 协议进行明文传输，缺少安全的认证方式，容易招致 DoS（Denial of Service）、主机 IP 地址欺骗和路由欺骗等恶意攻击，存在很大的安全隐患。相对于 Telnet，STelnet 基于 SSH2 协议，客户端和服务器端之间经过协商，建立安全连接，客户端可以像操作 Telnet 一样登录服务器端。SSH 通过以下措施实现在不安全网络上提供安全的远程登录：支持 RSA（Revest-Shamir-Adleman Algorithm）认证方式。客户端需要创建一对密钥（公用密钥和私用密钥），并把公用密钥发送到需要登录的服务器上。服务器使用预先配置的该客户端的公用密钥，与报文中携带的客户端公用密钥进行比较。如果两个公用密钥不一致，服务器断开与客户端的连接。如果两个公用密钥一致，客户端继续使用自己本地密钥对的私用密钥部分，对特定报文进行摘要运算，将所得的结果（即数字签名）发送给服务器，向服务器证明自己的身份。服务器使用预先配置的该客户端的公用密钥，对客户端发送过来的数字签名进行验证。支持用加密算法 DES（Data Encryption Standard）、3DES、AES128（Advanced Encryption Standard 128）对用户名密码以及传输数据进行加密。网络设备支持 SSH 服务器功能，可以接收多个 SSH 客户端的连接。同时，设备还支持 SSH 客户端功能，可以与支持 SSH 服务器功能的设备建立 SSH 连接，从而实现从本地设备通过 SSH 登录到远程设备。设备作为 SSH 服务器端时，支持 SSH2 和 SSH1 两个版本。设备作为 SSH 客户端时，只支持 SSH2 版本。 SSH 支持本地连接和广域网连接。 2.5 命令行界面下不同登录方式的对比表 5-0-1 列出了在命令行界面下，Console 口、Telnet 和 STelnet 三种登录方式的对比。表 5-0-1 命令行界面下不同登录方式的对比登录方式优点缺点应用场景说明 Console 口登录使用专门的 Console 通信线缆连接，保证可以对设备有效控制。不能远程登录维护设备。当对设备进行第一次配置时，可以通过 Console 口登录设备进行配置。当用户无法进行远程登录设备时，可通过 Console 口进行本地登录。通过 Console 口进行本地登录是登录设备最基本的方式，也是其他登录方式的基础。缺省情况下，用户可以直接通过 Console 口本地登录设备，不需要 IP 地址

《网络运维管理》/实验五:远程管理网络设备便于对设备进传输过程采用可将用户终端(即管缺省情况下,用户不能通过 Telnet 行远程管理和TcP协议进行理机)连接到网络方式直接登录设备,若需要通过维护,不需要明文传输,存上,使用 Telnet方 Telnet方式登录,可先通过 Console 每一台设备在安全隐患。式登录设备,进行本口本地登录设备,并完成以下配置: 都连接一个管地或远程的配置。应·确保终端和登录的设备之间路由可 Telnet登录理终端,方便用在对安全性要求不达(缺省情况下,设备上没有配置了用户的 J操高的网络。 P地址)。 ·配置 Telnet服务器功能及参数配置 Telnet用户登录的用户界面。 STelnet协议实配置较复杂。如果网络对于安全性缺省情况下,用户不能通过 STelnet 现在不安全网要求较高,可以通过方式直接登录设备。若需要通过络上提供安全 STelnet方式登录设| STelnet方式登录设备,可以先通过的远程登录, 备。 STelnet基于 Console口本地登录或 Telnet远程保证了数据的 SSH(Secure 登录设备,并完成以下配置: STelnet s登完整性和可靠 shel)协议,提供·确保终端和登录的设备之间路由可性,保证了数安全的信息保障和强达(缺省情况下,设备上没有配置据的安全传大认证功能,保护设1P地址) 备不受P欺骗等攻·配置 STelnet服务器功能及参 ·配置SSH用户登录的用户界面 ·配置SSH用户 26Wb网管概述为了方便用户对设备的维护和使用,网络设备通常支持Web网管功能。设备内置一个Web 服务器,与设备相连的终端(即管理机)可以通过Web浏览器访问设备。管理机可以通过HTTP或Https从终端登录至设备,实现通过图形化界面对设备进行管理和维护。配置Https和HTTP方式,需要在作为服务器的设备上部署SSL策略,并加载数字证书,数字证书主要用来实现客户端对服务器端身份的验证。用户可以直接使用设备提供的SSL证书和默认的SSL策略如果需要通过HTTP或Https方式登录设备,需要完成以下配置: (1)确保网络设备已加载了Web网页文件 (2)配置使能Http/httPs服务(缺省情况下,HTTP及Https服务功能未使能)。 (3)配置HTTP用户(华为设备提供默认的HTTP用户,用户名:admin,密码: admin@huawei.com 注意:由于eNsP是仿真平台,因此eNSP中提供的部分网络设备不支持Web登录方式。四、实验过程河南中医药大学信息技术学院网络与信息系统科研工作室第4页

《网络运维管理》 / 实验五：远程管理网络设备河南中医药大学信息技术学院 | 网络与信息系统科研工作室第4页 Telnet 登录便于对设备进行远程管理和维护，不需要为每一台设备都连接一个管理终端，方便了用户的操作。传输过程采用 TCP 协议进行明文传输，存在安全隐患。可将用户终端（即管理机）连接到网络上，使用 Telnet 方式登录设备，进行本地或远程的配置。应用在对安全性要求不高的网络。缺省情况下，用户不能通过 Telnet 方式直接登录设备，若需要通过 Telnet 方式登录，可先通过 Console 口本地登录设备，并完成以下配置：  确保终端和登录的设备之间路由可达（缺省情况下，设备上没有配置 IP 地址）。  配置 Telnet 服务器功能及参数。  配置 Telnet 用户登录的用户界面。 STelnet 登录 STelnet 协议实现在不安全网络上提供安全的远程登录，保证了数据的完整性和可靠性，保证了数据的安全传输。配置较复杂。如果网络对于安全性要求较高，可以通过 STelnet 方式登录设备。STelnet 基于 SSH（Secure Shell）协议，提供安全的信息保障和强大认证功能，保护设备不受 IP 欺骗等攻击。缺省情况下，用户不能通过 STelnet 方式直接登录设备。若需要通过 STelnet 方式登录设备，可以先通过 Console 口本地登录或 Telnet 远程登录设备，并完成以下配置：  确保终端和登录的设备之间路由可达（缺省情况下，设备上没有配置 IP 地址）。  配置 STelnet 服务器功能及参数。  配置 SSH 用户登录的用户界面。  配置 SSH 用户。 2.6 Web 网管概述为了方便用户对设备的维护和使用，网络设备通常支持 Web 网管功能。设备内置一个 Web 服务器，与设备相连的终端（即管理机）可以通过 Web 浏览器访问设备。管理机可以通过 HTTP 或 HTTPS 从终端登录至设备，实现通过图形化界面对设备进行管理和维护。配置 HTTPS 和 HTTP 方式，需要在作为服务器的设备上部署 SSL 策略，并加载数字证书，数字证书主要用来实现客户端对服务器端身份的验证。用户可以直接使用设备提供的 SSL 证书和默认的 SSL 策略。如果需要通过 HTTP 或 HTTPS 方式登录设备，需要完成以下配置：（1）确保网络设备已加载了 Web 网页文件。（2）配置使能 HTTP/HTTPS 服务（缺省情况下，HTTP 及 HTTPS 服务功能未使能）。（3）配置 HTTP 用户（华为设备提供默认的 HTTP 用户，用户名：admin，密码： admin@huawei.com）。注意：由于 eNSP 是仿真平台，因此 eNSP 中提供的部分网络设备不支持 Web 登录方式。四、实验过程

《网络运维管理》 / 实验五：远程管理网络设备河南中医药大学信息技术学院 | 网络与信息系统科研工作室第5页任务一：通过 Telnet 和 SSH 方式登录交换机【任务介绍】对交换机进行配置，使得用户终端可以通过 Telnet 方式或 SSH 方式登录交换机。步骤 1：网络规划（1）拓扑规划表 5-1-1 网络拓扑说明序号设备名称设备类型规格型号 1 SW-1 交换机 S3700 2 Host-M 用户终端（管理机）本地实体机将 eNSP 中的云设备与本地计算机（实体机）上的虚拟网卡绑定以后，可以实现本地主机与 eNSP 中模拟的网络设备（例如交换机、路由器）之间的通信。所以此处使用本地实体机作为管理机。点击【保存】按钮，保存刚刚建立好的网络拓扑。（2）交换机接口与 VLAN 表 5-1-2 交换机接口及 VLAN 规划表序号交换机接口 VLAN ID PVID 备注 1 SW-1 Ethernet 0/0/1 1000 1000 配置成管理 VLAN 说明：当用户远程管理交换机时，需要在交换机上设置 VLANIF 接口并配置 IP 地址作为设备管理 IP。通过管理 IP 可以 Telnet 到交换机上进行管理操作。但是，若交换机上其他接口相连的用户也加入 VLANIF 接口所对应的 VLAN，并配置相应的 IP 地址，则也可以访问该交换机，从而增加了交换机的不安全因素。这种情况下可以将 VLANIF 接口对应的 VLAN 设置为管理 VLAN（使用 management-vlan 命令）。管理 VLAN 只允许 Trunk 和 Hybrid 类型接口加入，不允许 Access 类型和 Dot1q-tunnel 类型接口加入。由于 Access 类型和 Dot1q-tunnel 类型通常用于连接用户，限制这两种类型接口加入管（3）IP 地址表 5-1-3 IP 地址规划表序号设备接口名称 IP 地址 /子网掩码备注 1 Host-M（虚拟网卡） 10.0.255.253 /24 本地主机新增的虚拟网卡 2 SW-1 VLANIF1000 10.0.255.254 /24 SW-1 的虚拟接口说明：图 5-1-1 任务一的拓扑