華為設(shè)備安全配置手冊

1、華為設(shè)備安全配置手冊1. 終端訪問安全控制1.1.終端安全認證【命令】login(async|con|hwtty|pad|telnetundologin(async|con|hwtty|pad|telnet【視圖】系統(tǒng)視圖【參數(shù)】無【描述】login命令用來打開終端用戶的認證開關(guān)。undologin命令用來關(guān)閉對終端用戶的認證功能。缺省情況下，關(guān)閉對終端用戶的認證功能。可以分別設(shè)置五種終端用戶的認證功能，以防止未授權(quán)用戶的非法侵入。 異步口終端用戶（async）:在遠程配置的方式下，三次認證失敗將斷開。 Console口終端用戶（con）:控制Console口和AUX口的登錄校驗，認證失敗將繼

2、續(xù)要求認證。 啞終端接入用戶（hwtty）:三次認證失敗將關(guān)閉啞終端連接。 遠程X.25PAD呼叫用戶（pad）:三次認證失敗將關(guān)閉X.25PAD連接。 Telnet終端用戶（telnet）:三次認證失敗將關(guān)閉該Telnet連接?！九e例】#打開Telnet終端用戶認證開關(guān)。Quidwaylogintelnet1.2.終端服1.3.務(wù)屬性配置【命令】idle-timeoutundoidle-timeout【視圖】系統(tǒng)視圖【參數(shù)】無【描述】idle-timeout命令用來啟動與終端用戶"定時斷開連接"功能，undoidle-timeout命令用來禁止該功能。缺省情況下，系統(tǒng)啟動

3、與終端用戶的“定時斷開連接”功能。對于連接到Console口的終端用戶，定時斷開連接的時間為3分鐘；對于啞終端用戶，定時斷開連接的時間為10分鐘；對于通過Modem撥號方式使用啞終端的用戶，定時斷開連接的時間為6分鐘。用戶可以通過undoidle-timeout命令關(guān)閉該功能，使終端用戶永遠不斷開連接?！九e例】#禁止與終端用戶的“定時斷開連接”功能。Quidwayundoidle-timeout2. 防火墻功能配置2.1. 允許/禁止防火墻在報文過濾時，應(yīng)先打開防火墻功能，這樣才能使其它配置生效。請在系統(tǒng)視圖下進行下列配置。允許/禁止防火墻操作命令啟動防火墻firewallenable禁止防火

4、墻firewalldisable缺省情況下，防火墻處于“啟動”狀態(tài)。2.2.配置標2.3.準訪問控制列表標準訪問控制列表序號可取值199之間的整數(shù)。首先應(yīng)使用acl命令進入到ACL配置視圖并配置訪問控制列表的匹配順序，然后再使用rule命令配置具體的訪問規(guī)則。若不配置匹配順序的話，按照auto方式進行。請在系統(tǒng)視圖（acl命令）和ACL視圖（rule命令）下進行下列配置。配置標準訪問控制列表1操作命令進入ACL視圖并配置訪問控制列表的匹配順序aclacl-numbermatch-orderconfig|auto配置標準訪問列表規(guī)則rulenormal|specialpermit|denysou

5、rcesource-addrsource-wildcard|any刪除特定的訪問列表規(guī)則undorulerule-id|normal|special刪除訪問列表undoaclacl-number|allnormal指該規(guī)則是在普通時間段內(nèi)起起用；special該規(guī)則是在特殊時間段內(nèi)起作用，使用special時用戶需另外設(shè)定特殊時間段。具有同一序號的多條規(guī)則按照“深度優(yōu)先原則”進行匹配O缺省情況下，為normal時間段。2.4.配置擴展訪問控制列表擴展訪問控制列表可取值100199之間的整數(shù)。首先應(yīng)使用ac命令進入到ACL配置視圖并配置訪問控制列表的匹配順序，然后再使用rule命令配置具體的訪問

6、規(guī)則。若不配置匹配順序的話，按照auto方式進行。請在系統(tǒng)視圖（acl命令）和ACL視圖（rule命令）下進行下列配置。配置擴展訪問控制列表操作命令進入ACL視圖并配置訪問控制列表的匹配順序aclacl-numbermatch-orderconfig|auto配置TCP/UDP協(xié)議的擴展訪問列表規(guī)則rulenormal|specialpermit|denytcp|udpsourcesource-addrsource-wildcard|anysourceportoperatorport1port2destinationdest-addrdest-wildcard|anydestination-p

7、ortoperatorport1port2logging配置ICMP協(xié)議的擴展訪問列表規(guī)則rulenormal|specialpermit|denyICMPsourcesource-addrsource-wildcard|anydestinationdest-addrdest-wildcard|anyicmp-typeicmp-typeicmp-codelogging配置其它協(xié)議擴展訪問列表規(guī)則rulenormal|specialpermit|denypro-numbersourcesource-addrsource-wildcard|anydestinationdest-addrdest-w

8、ildcard|anylogging刪除特定的訪問列表規(guī)則undorulerule-id|normal|special刪除訪問列表undoaclacl-number|allnormal指該規(guī)則是在普通時間段內(nèi)起起用；special該規(guī)則是在特殊時間段內(nèi)起作用，使用special時用戶需另外設(shè)定特殊時間段。具有同一序號的多條規(guī)則按照“深度優(yōu)先原則”進行匹配缺省情況下，為normal時間段。2.5.設(shè)置防火墻的缺省過濾方式防火墻的缺省過濾方式是指：當訪問規(guī)則中沒有找到一個合適的匹配規(guī)則來判定用戶數(shù)據(jù)包是否可以通過的時候，將根據(jù)用戶設(shè)置的防火墻的缺省過濾方式來決定究竟允許還是禁止報文通過。請在系統(tǒng)視

9、圖下進行下列配置。設(shè)置防火墻缺省過濾方式操作命令設(shè)置防火墻的缺省過濾方式為允許報文通過firewalldefaultpermit設(shè)置防火墻的缺省過濾方式為禁止報文通過firewalldefaultdeny缺省情況下，防火墻的缺省過濾方式為允許報文通過。2.6.設(shè)置特殊時間段2.6.1.允許/禁止按時間段過濾所謂按時間段過濾是指：在不同的時間段內(nèi)，采用不同的訪問規(guī)則對ip數(shù)據(jù)包進行過濾，這個特性又稱為在特別時間段內(nèi)應(yīng)用特別的規(guī)則（SpecialRulesForSpecialTime）。根據(jù)實際使用情況，將時間段分為下列兩類： 特殊時間段：在設(shè)定時間段內(nèi)的時間（由special關(guān)鍵字指定） 普通時

10、間段：未在設(shè)定時間段內(nèi)的時間（由normal關(guān)鍵字指定）同樣地，訪問規(guī)則按時間也分為這樣兩類： 基于普通時間段的訪問規(guī)則（NormalPacket-filteringAccessRules） 基于特殊時間段的訪問規(guī)則（TimerangePacket-filteringAccessRules）可為這兩類時間段分別定義不同的訪問控制列表及訪問規(guī)則，它們互不影響。在實際使用時，可把它們看成是兩套獨立的規(guī)則，系統(tǒng)在查看當前所處的時間段（普通時間段還是特殊時間段）后決定究竟采用哪套訪問規(guī)則。比如，當前系統(tǒng)時間是在特殊時間段（由rulespecial定義）之內(nèi)，則采用特殊時間段內(nèi)的訪問規(guī)則進行過濾；當時間

11、切換到普通時間段（由rulenormal定義）后，則采用普通時間段規(guī)則進行過濾。請在系統(tǒng)視圖下進行下列配置。缺省情況下，禁止按特殊時間段過濾。只有在打開允許按時間段過濾的開關(guān)后，用戶設(shè)定的特殊時間段內(nèi)的訪問規(guī)則才能生效；當該開關(guān)被禁止后，將采用普通時間段定義的訪問規(guī)則。2.6.2.設(shè)定特殊時間段當用戶選擇了允許按時間段過濾報文的功能后，在用戶定義的時間段內(nèi)，防火墻將采用用戶在定義的特殊時間段內(nèi)的訪問規(guī)則進行過濾。本次定義特殊時間段將在大約一分鐘左右才能生效,上次定義的特殊時間段也將自動作廢。請在系統(tǒng)視圖下進行下列配置。設(shè)定特殊時間段操作命令設(shè)定特殊時間段settrbegin-timeend-t

12、ime.取消特殊時間段undosettr缺省情況下，系統(tǒng)使用普通時間段下定義的訪問規(guī)則進行報文過濾。使用setti命令能最多同時定義6個時間段。時間段具體格式為小時：分鐘（即hh:mm）,hh的范圍為023,mm的范圍為059。用displayclock命令可查看系統(tǒng)當前的時鐘狀況。2.7.配置在接口上應(yīng)用訪問控制列表的規(guī)則若要實現(xiàn)接口對報文的過濾功能，就必須先將相應(yīng)訪問控制列表規(guī)則應(yīng)用到接口上。用戶可在一個接口上對接收和發(fā)送兩個方向的報文分別定義不同的訪問控制規(guī)則。請在接口視圖下進行下列配置。配置接口上應(yīng)用訪問控制列表的規(guī)則命令配置在接口的入口或出口方向上應(yīng)用訪問控制列表規(guī)則操作firewa

13、llpacket-filteracl-numberinbound|outbound取消在接口的入口或出口方向上應(yīng)用訪問控制列表規(guī)則undofirewallpacket-filteracl-numberinbound|outbound缺省情況下，接口上未定義過濾報文的規(guī)則。在一個接口的一個方向上（inbound或outbound方向），最多可以應(yīng)用20條訪問規(guī)則。即在firewallpacket-filterinbound方向上可應(yīng)用20條規(guī)則；在firewallpacket-filteroutbound方向上也可應(yīng)用20條規(guī)則。若兩條互相沖突的規(guī)則序號不同，優(yōu)先匹配acl-number較大的規(guī)

14、則。2.8.指2.9.定日志主機防火墻支持日志功能，當某條訪問規(guī)則被匹配后，若用戶指定了對該規(guī)則產(chǎn)生日志，可向日志主機發(fā)送日志，由日志主機做記錄并保存。請在系統(tǒng)視圖下進行下列配置。指定日志主機匚操作命令指定日志主機iphostunix-hostnameip-address取消日志主機undoiphost有關(guān)對配置“日志主機參數(shù)”更詳細的描述，請用戶參見本手冊“系統(tǒng)管理”中“日志功能”一章中的內(nèi)容。2.10.防火墻的顯示和調(diào)試在所有視圖下使用debugging、reset、display命令。防火墻的顯示和調(diào)試命令操作顯示包過濾規(guī)則及在接口上的應(yīng)用顯示防火墻狀態(tài)顯示當前時間段的范圍顯示當前時間是

15、否在特殊時間段之內(nèi)通除訪問規(guī)則計數(shù)器打開防火墻包過濾調(diào)試信息開關(guān)displayaclall|acl-number|interfacetypenumberdisplayfirewalldisplaytimerangedisplayisintrresetaclcountersacl-numberdebuggingfilterall|icmp|tcp|udp3. 系統(tǒng)管理配置3.1. configfile【命令】configfileflash|nvram【視圖】系統(tǒng)視圖【參數(shù)】flash:選擇當前配置文件的存儲介質(zhì)為Flash。nvram:選擇當前配置文件的存儲介質(zhì)為NVRAM。【描述】config

16、file命令用來選擇當前配置文件存儲介質(zhì)。缺省情況下，在Flash和NVRAM兩種存儲介質(zhì)并存時，使用NVRAM存儲配置文件。Quidway系列路由器使用的Flash和NVRAM兩種存儲介質(zhì)均可用來保存配置文件，一般情況下，配置文件是保留在NVRAM中的?？捎胏onfigfile命令選擇其中之一作為當前有效的存儲介質(zhì)，如在執(zhí)行configfileflash后，再執(zhí)行save#令，此時會將配置文件保存到Flash而不是NVRAM中。在保存或擦除配置文件之前，可使用displayconfigfile命令來查看當前配置文件所用的存儲介質(zhì)類型。相關(guān)配置可參考命令delete,downloadconfi

17、g,displaycurrent-configuration,displaysaved-configuration,displayconfigfile?！九e例】#選擇配置文件的存儲介質(zhì)為flashoQuidwayconfigfileflash3.2. update【命令】updateslotslot-numberftpserverhost-name|ip-addressfilenamefile-nameportport-number|useruser-name|passwordpassword【視圖】系統(tǒng)視圖slot-number:升級單板所在的槽位號。host-name：升級文件所在FTP文

18、件服務(wù)器的主機名。在升級操作之前若未配置主機名稱，則先要在系統(tǒng)視圖下，用sysnam臨令配置路由器名稱作為FTP主機名。ip-address:升級文件所在主機的IP地址。file-name:單板程序的升級文件的文件名。port-number:指定的FTP文件服務(wù)器的服務(wù)端口號。user-name：在FTP服務(wù)器上注冊的合法登錄用戶名。password:在FTP服務(wù)器上注冊的合法登錄用戶口令?！久枋觥縰pdate命令用來在線升級單板軟件。本命令可對某些單板實現(xiàn)在線升級。在線升級對單板版本有一定限制。支持對2SA/4SA、E1VI、6AM/12AM以及加密卡進行在線升級。在線升級文件的文件名為“*

19、.drv”。根據(jù)升級的不同情況，系統(tǒng)將出現(xiàn)下列不同的顯示信息：在線升級成功，控制臺打印提示信息：Endofprogrammingsuccessfull!Total131072byteswritten。在線升級失敗，控制臺定期打印提示信息：Pleaseentertheupdaterequestcommandforslotslotnumber!執(zhí)行displayversion#令后所在槽位打印信息：（單板名）Driverneedtobeupdated在線升級使用了其它單板的升級程序，單板不進行升級操作，控制臺打印提示信息：%Error:FileIDerror!若在線升級文件已損壞，單板不進行升級操

20、作，控制臺打印提示信息：%Error:FileCRCerror!若輸入的在線升級命令正在被另外一個用戶對同一塊單板執(zhí)行，該用戶的升級命令就不能執(zhí)行，控制臺打印提示信息：Theindicatedboardisatupdatingstatus.【舉例】#對槽位3的RTB14SA單板進行在線升級。FTP文件服務(wù)器主機名為huawei、IP地址為53,單板在線升級文件名為ram4sa.drv,FTP主機的用戶名為huawei，用戶口令為123456。Quidwaysysnamehuaweihuaweiupdateslot3ftpserverswitchfilenameram4sa.drv

21、usernamehuaweipassword1234563.3.TFTP操作命令3.3.1.copy【命令】copyip-addrfile-namesystem|config【視圖】系統(tǒng)視圖ip-addr:TFTP服務(wù)器的IP地址。file-name:文件名，長度不超過47個字符。system：文件類型，標明上傳的文件為系統(tǒng)文件config：文件類型，標明上傳的文件為配置文件【描述】copy命令用來將本路由器上名為file-name的配置文件或者系統(tǒng)文件上傳到TFTP服務(wù)器中。相關(guān)配置可參考命令get?！九e例】#把本路由器的配置文件上傳到IP地址為的TFTP服務(wù)器中，并且設(shè)

22、置文件名為config.txt。Quidwaycopyconfig.txtconfigstartuploadingconfigfile.2465bytescopiedin0.749seconds.enduploadingconfigfile.顯示信息中，如果成功，顯示上載的字節(jié)數(shù)以及所用的時間；如果失敗。顯示失敗的錯誤碼errno。errno序號的含義如下：errno序號的含義錯誤碼描述0x00成功。0x01|內(nèi)存不夠。0x02|建立請求報文失敗。|0x03建立socket失敗。|0x04綁定socket失敗。0x05無效的傳輸方式。0x06部分文件被傳輸。0x07無法將數(shù)

23、據(jù)發(fā)送到服務(wù)器。0x0b建立socket失敗。0x0c讀文件失敗。|0x0d1解析主機名失敗。10x0e1打開本地文件失敗。_10x0f無效參數(shù)值。0x101收到錯誤報文。H0x11同步失敗。0x12寫配置文件失敗。0x13讀配置文件失敗。0x141多個用戶同時寫配置文件。_|0x151內(nèi)存分配失敗。10x161文件超大。10x181寫文件失敗。10x191寫系統(tǒng)文件錯誤10x1a1讀系統(tǒng)文件錯誤10x1b讀系統(tǒng)文件成功，但是選擇不寫文件3.3.2. get【命令】getip-addrfile-name(system|config【視圖】系統(tǒng)視圖ip-addr:TFTP服務(wù)器的IP地址，形式為

24、點分十進制格式X.X.X.X。file-name:文件名，長度不超過47個字符。system：文件類型，標明上傳的文件為系統(tǒng)文件config：文件類型，標明上傳的文件為配置文件【描述】ge命令用來把TFTP服務(wù)器上的名為filename的配置文件或者系統(tǒng)文件下載到本路由器的Flash或NVRAM中。系統(tǒng)文件存放在路由器的FlashMemory中。配置文件存放在路由器的FlashMemory或NVRAM中，具體情況視路由器硬件和配置而定。如果路由器硬件配置中包括NVRAM,就可以通過命令configfilenvram來配置使配置文件保存在NVRAM中。相關(guān)配置可參考命令copy。【舉例】#把IP

25、地址為的TFTP服務(wù)器上的配置文件下載到本路由器的Flash或NVRAM中。Quidwaygetsys.cfgconfigstartdownloadingconfigfile.errno=0x0enddownloading.顯示信息中的errno為命令執(zhí)行結(jié)果，如為0x0表示成功，否則表示失敗。本命令執(zhí)行結(jié)果返回序號的含義與copy命令相同。請參見表1-1。4. 網(wǎng)絡(luò)管理配置4.1.snmp-agent【命令】snmp-agentundosnmp-agent【視圖】系統(tǒng)視圖【描述】snmp-agen碎令用來使能SNMP服務(wù)，undosnmp-agent命

26、令用來關(guān)閉SNMP服務(wù)。缺省情況下，關(guān)閉SNMP服務(wù)。使用snmp-agent任何一條SNMP的配置命令進行配置，都會啟動SNMP服務(wù)。使用undosnmp-agent#令關(guān)閉SNMP服務(wù)時，所有的SNMP配置信息都不起作用，但在沒有重新啟動路由器之前，這些信息還未刪除，如果再次使能SNMP服務(wù)，這些配置信息還能起作用（可用displaycurrentconfiguration命令查看）。但是如果關(guān)閉SNMP服務(wù)后重新啟動路由器，則這些配置信息都會丟失。啟動SNMP服務(wù)時，如果配置允許發(fā)送warmstartTrap報文，系統(tǒng)就會發(fā)送warmstartTrap報文?！九e例】#關(guān)閉SNMP服務(wù)。Quidwayundosn