华为交换机Console口配置与安全认证模拟

一、实验任务概述

本次实验使用 Console 串口线直连 PC 与华为交换机，完成设备初始化本地登录操作。 核心学习目标：

1. 掌握 Console 口物理接线方式；
2. 学会串口终端软件（SecureCRT/PuTTY）参数配置；
3. 完成交换机初始化登录，查看基础 VLAN 配置；
4. 修改交换机主机名、掌握配置保存方法；
5. 分别配置 Console 口单密码认证、AAA 用户名密码双重认证两种登录模式；
6. 理解 Console 本地管理的底层原理，对比两种认证方式安全性，梳理 Console 口安全加固方案。

二、实验拓扑与硬件连接

1. 物理连接逻辑

        PC 端串口（无原生串口电脑需搭配转接模块），使用专用 Console 控制线，直连交换机机身 Console 控制台接口，属于点对点物理串口直连，不依赖网线、网络 IP。

任务拓扑：

2. 设备连接对照表

设备	接口	连接说明
PC1	RS232	通过 Console 线连接至交换机 Console 口
交换机	Console	设备本地管理专用控制台接口

三、终端仿真软件串口标准参数（华为设备通用）

        打开 SecureCRT、PuTTY 等串口工具新建会话，串口参数必须严格匹配，否则无法打印设备输出：

终端软件设置：

1. 波特率：9600
2. 数据位：8
3. 停止位：1
4. 校验位：无
5. 流控：（无）

四、分步实操完整流程

步骤 1：接线并打开串口，首次登录交换机

1.按拓扑完成 Console 线物理插接；

2.终端软件填入上述串口参数，打开串口会话；

3.回车唤醒交换机，进入设备初始用户视图。

步骤 2：查看设备默认 VLAN 配置登录后执行查询命令查看出厂基础 VLAN 信息：

执行结果说明：

        默认所有以太网端口都属于 VLAN 1（设备出厂默认管理 VLAN）；

        标识说明：U = 端口 UP 在线、D = 端口 Down 离线、UT = 端口为 Untagged 接入模式。

步骤 3：修改交换机设备名称并保存配置

1. 进入系统视图（全局配置模式）：

system-view

2. 修改设备名称为 "Switch-Console"，保存配置并重新登录验证修改结果。

步骤 4：配置 Console 口单密码登录认证

适合临时测试环境，仅依靠单一密码登录，无用户名校验。

1.全局视图进入 Console 0 专属用户界面视图（交换机仅 1 个 Console 口，编号固定 0）：

#登录认证模式为纯密码认证

#设置登录密码（两种存储模式）

simple：明文存储，仅实验室测试使用，安全性极低

cipher：加密存储，(需包含大小写、数字、特殊符号，符合复杂度要求)密码以密文形式保存在配置文件中

2.退出串口重新登录，仅输入密码即可进入设备。

步骤 5：配置 Console 口 AAA 用户名 + 密码双重认证

        AAA 认证包含认证、授权、计费三层安全机制，需要用户名 + 密码双重校验，支持精细化权限管控，企业机房标准配置。

完整配置命令流程

1.进入 Console 口用户界面，切换认证模式为 AAA：

system-view
user-interface console 0
authentication-mode aaa

2.进入 AAA 配置视图，创建本地管理用户：

aaa
#进入 AAA 视图
local-user consoleadmin password cipher Huawei@2023
# 创建用户名consoleadmin，加密存储密码Huawei@2023
local-user consoleadmin service-type terminal
# 限制用户仅能通过Console终端登录，禁止Telnet/SSH远程接入
local-user consoleadmin privilege level 3
# 设置用户权限等级3（管理级，可查看+修改设备配置）

权限等级补充说明：华为设备权限 0~15 级

• 0 级：访问级，仅能执行查看命令，无法修改配置；
• 3 级：标准管理级，日常运维完整操作权限；
• 15 级：最高权限，可删除系统文件、恢复出厂、格式化设备。

验证 AAA 配置是否生效执行命令查看所有用户界面（Console/VTY）完整配置：

验证 Console 口的认证方式是否已设置为 AAA，并记录配置结果。

display current-configuration configuration user-interface

# 关键输出片段（需重点确认）

# user-interface console 0

#  authentication-mode aaa  # 认证方式已设为AAA（目标配置）

#  user privilege level 3   # 登录后默认权限级别3（与用户配置一致）

# 若输出包含“authentication-mode aaa”，则证明AAA认证配置成功TY

退出当前登录，重新通过 Console 口登录设备，验证新创建的用户能否正常登录。

从用户视图退出到登录提示

# 登录提示：Username: （等待输入用户名）

Username: consoleadmin  # 输入在AAA创建的用户名（consoleadmin），回车

Password: Huawei@2023   # 输入密码（输入时不显示字符，正常现象），回车

# 登录成功后，提示符为用户视图：<Switch-Console>

# 执行命令验证用户存在：

# display local-user 查看所有本地用户信息，确认账号、权限无误

# 输出包含“consoleadmin”，且权限级别为3，证明登录成功

五、理论问答解析问题

问题1：Console 口登录不需要配置 IP、网段，为什么能直接管理交换机？

Console 是本地串口物理管理通道，和设备数据转发网络完全隔离，核心三点原因：

连接方式为物理直连：Console 口通过专用 Console 线直接连接 PC 与交换机，属于 “点对点” 的物理链路，不依赖以太网、IP 等网络协议，无需配置交换机的 IP 地址、子网掩码、网关等网络参数，也无需 PC 与交换机处于同一网段。

通信基于串口协议：Console 口本质是 “串口”（UART 接口），其通信遵循串口协议（如 RS-232），仅需在 PC 端配置正确的 “串口端口” 和 “波特率”（与交换机 Console 口默认参数匹配），即可建立通信，无需任何网络层配置。

管理权限独立于网络：Console 口是交换机的 “本地控制台”，其管理权限不依赖于交换机的网络功能（如 VLAN、IP 路由），即使交换机未配置任何网络参数、或网络端口故障，仍可通过 Console 口登录并管理设备，这也是 Console 口在设备初始化、故障排查中不可替代的原因。

问题 2：AAA 认证相比单纯单密码认证，安全优势有哪些？物理机房不安全时，Console 口还能做哪些加固？

（一）AAA 认证安全优势对比

对比维度	单密码认证	AAA 本地用户名密码认证
登录校验逻辑	仅验证单一密码，无身份区分	用户名 + 密码双重校验，可创建多独立运维账号
权限管控	所有登录人员权限完全一致，无法分级限制	可给不同用户分配 0~15 级独立权限，区分查看 / 配置 / 最高管理权限
密码存储安全	多为明文 / 简易加密，泄露风险高	强制密文 cipher 存储，支持大小写、数字、特殊符号强密码策略
操作追溯审计	无登录日志，无法追查操作人	支持计费 Accounting 日志，记录登录时间、执行命令，出现故障可溯源
拓展能力	仅本地单密码，无法对接统一认证	可对接 Radius/TACACS + 服务器，多台交换机统一账号管理，适合大型园区网络

（二）物理环境不可控时，Console 口额外安全加固手段

        若交换机部署在无人值守机房、或物理访问难以管控的环境（如第三方机房），仅靠 AAA 认证仍有风险（如他人通过 Console 线强制登录），需结合以下物理和配置层面的增强措施：

措施 1：设置 Console 口登录超时时间

user-interface console 0
idle-timeout 5 0
# 5分钟0秒无操作自动退出登录

避免用户忘记退出时被他人冒用。

措施 2：启用 Console 口物理锁定功能

user-interface console 0
authentication max-fail 3
authentication lock-time 5
# 连续3次密码错误，锁定Console口5分钟

限制连续输错密码次数，锁定串口防止爆破

措施 3：配置 Console 口命令级别的访问控制

（1）会话手动锁定功能

运维临时离开可执行lock命令锁定当前会话，输入账号密码才能解锁，不用退出登录。

（2）精细化命令授权管控 通过 AAA 规则限制账号可执行命令，普通运维仅允许查看，禁止删除、保存、恢复出厂等高危操作：

        在 AAA 视图下，除了设置用户权限级别，还可通过 “命令授权” 进一步限制操作：例如，创建 “命令权限列表”，仅允许特定用户执行关键命令（如save、sysname），禁止普通用户修改核心配置。

aaa
rule 1 permit command "display *"
local-user consoleadmin authorization-rule 1
# 仅允许该用户执行所有display查询命令

措施 5：物理层面的防护

将交换机放入带锁机柜，仅授权人员持有钥匙；

使用 “Console 口防尘塞”，防止他人未经允许插入 Console 线；

对 Console 线进行标记和管控，避免无关人员获取专用 Console 线。

措施 6：定期备份配置并启用配置恢复保护

        定期通过 Console 口或 FTP 备份交换机配置，若发现 Console 口被非法修改，可通过备份配置恢复；

        启用 “配置文件保护” 功能（如set configuration password cipher 保护密码），防止他人通过 Console 口随意删除或修改备份配置。

六、实验总结

1. Console 串口是交换机本地初始化、故障急救的核心管理通道，完全独立于业务网络；
2. 单密码认证仅适合临时实验室测试，企业正式环境必须使用 AAA 用户名密码认证提升安全；
3. AAA 认证可实现身份区分、权限分级、操作审计，是设备本地登录标准安全方案；
4. 物理环境存在访问风险时，需要结合超时、登录锁定、命令权限、机柜物理锁多重手段防护 Console 口。

---

免责声明：以上所有内容仅限用于学习和研究目的，不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。