kavres 的小站

Quidway_S3328TP-EI_SSH配置指南

Wed, 19 Aug 2026 00:00:00 GMT

Quidway S3328TP-EI SSH 配置指南#

命名规范：品牌_型号_SSH配置指南.md（本文件：Quidway_S3328TP-EI_SSH配置指南.md）。
本文定位：登录与安全基线专用文档。同设备的 SNMP / Syslog / 端口镜像等监控运维配置见《Quidway_S3328TP-EI_SNMP配置指南》。
⚠️ 命令强绑定版本：本文命令均按本机 VRP 5.30（V100R003C00SPC301）真机验证写法，不可跨设备套用（包括华为 V600、H3C 等其它版本/品牌）。

一、设备信息#

项目	值
型号	Quidway S3328TP-EI
软件版本	VRP (R) Software, Version 5.30 (S3328 V100R003C00SPC301)
BootROM	315 (2009-11-04)
管理 IP	192.168.1.101 (Vlanif1)
SSH 用户名	sshadmin
SSH 密码	Admin@2024!

二、配置过程（完整命令序列）#

2.1 生成本地 RSA 密钥对#

1
<Quidway> system-view
2
[Quidway] rsa local-key-pair create
3
The key name will be: Quidway_Host
4
The range of public key size is (512 ~ 2048).
5
Input the bits in the modulus[default = 512]:
6
Generating keys...

直接回车用默认 512 位即可。位数越大生成越慢，老设备建议 512~1024。

2.2 开启 STelnet 服务#

1
[Quidway] stelnet server enable
2
Info: Start STELNET server

2.3 配置 VTY 通道（AAA 认证 + 仅允许 SSH）#

1
[Quidway] user-interface vty 0 4
2
[Quidway-ui-vty0-4] authentication-mode aaa
3
[Quidway-ui-vty0-4] protocol inbound ssh
4
[Quidway-ui-vty0-4] quit

2.4 AAA 本地用户配置#

1
[Quidway] aaa
2
[Quidway-aaa] local-user sshadmin password cipher Admin@2024!
3
Info: A new user added
4
[Quidway-aaa] local-user sshadmin service-type ssh
5
[Quidway-aaa] local-user sshadmin level 3
6
[Quidway-aaa] quit

注意：VRP 5.30 里权限等级关键字是 level，不是 privilege-level。

2.5 配置 SSH 用户#

1
[Quidway] ssh user sshadmin
2
Info: A new ssh user added
3
[Quidway] ssh user sshadmin authentication-type password
4
[Quidway] ssh user sshadmin service-type stelnet

2.6 保存配置#

1
[Quidway] quit
2
<Quidway> save

三、完整一键脚本（可直接粘贴）#

1
system-view
2
rsa local-key-pair create
3

4
stelnet server enable
5

6
user-interface vty 0 4
7
 authentication-mode aaa
8
 protocol inbound ssh
9
 quit
10

11
aaa
12
 local-user sshadmin password cipher Admin@2024!
13
 local-user sshadmin service-type ssh
14
 local-user sshadmin level 3
15
 quit
16

17
ssh user sshadmin
18
ssh user sshadmin authentication-type password
19
ssh user sshadmin service-type stelnet
20

21
quit
22
save

展开收起

四、验证命令#

1
# 1. SSH 服务状态
2
<Quidway> display ssh server status
3
# 期望：STelnet server: Enable
4

5
# 2. SSH 用户信息
6
<Quidway> display ssh user sshadmin
7
# 期望：Authentication type: password
8
#       Service type: stelnet
9

10
# 3. 本地用户
11
<Quidway> display local-user username sshadmin
12
# 期望：State: active
13
#       Service-type-mask: S(Ssh)
14

15
# 4. VTY 配置
16
<Quidway> display user-interface vty 0 4
17
# 期望：Authentication mode: aaa
18
#       Protocol inbound: ssh

展开收起

五、客户端登录方式#

Linux / Mac / WSL#

Terminal window

1
# 标准连接
2
ssh sshadmin@192.168.1.101
3

4
# 老设备算法兼容（如协商失败时使用）
5
ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 \
6
    -oHostKeyAlgorithms=+ssh-rsa \
7
    -oCiphers=+aes128-cbc \
8
    sshadmin@192.168.1.101

Windows（PuTTY）#

Host Name: 192.168.1.101
Port: 22
Connection type: SSH
建议使用 PuTTY 0.70 及以下版本（对新算法兼容性更好）

用户名 / 密码#

项目	值
Username	`sshadmin`
Password	`Admin@2024!`

六、老设备特有的坑#

坑 1：连续输错密码 → IP 被封锁#

VRP 5.30 有防暴力破解机制，连续输错 6 次密码，客户端 IP 会被封锁。

查看被封锁的 IP：

1
<Quidway> display ssh server ip-block list

解封指定 IP：

1
<Quidway> activate ssh server ip-block ip-address 192.168.1.240

坑 2：SSH 客户端算法太新连不上#

老设备只支持旧算法（RSA、AES128-CBC、3DES、DH-group1）。新版 OpenSSH 默认禁用了这些算法。

解决方法： 用上面的 -oKexAlgorithms=+... 参数降级，或换老版本客户端（PuTTY 0.70-、SecureCRT 7.x、Xshell 5/6）。

坑 3：没有”首次强制改密码”功能#

VRP 5.30 没有 password-force-change disable 这条命令，也没有首次登录强制改密机制。设的密码 Admin@2024! 可以直接登录，无需修改。

坑 4：密码加密方式#

local-user password cipher 用的是华为私有可逆加密，配置文件中看到的是密文但可被设备还原。如果迁移到新版本（V600），密码不能直接复制，需要重新设置。

七、可选加固配置#

限制 VTY 只允许指定 IP 登录#

1
[Quidway] acl 2000
2
[Quidway-acl-basic-2000] rule permit source 192.168.1.240 0.0.0.0
3
[Quidway-acl-basic-2000] rule deny source any
4
[Quidway-acl-basic-2000] quit
5

6
[Quidway] user-interface vty 0 4
7
[Quidway-ui-vty0-4] acl 2000 inbound
8
[Quidway-ui-vty0-4] quit

设置空闲超时（10 分钟自动断开）#

1
[Quidway] user-interface vty 0 4
2
[Quidway-ui-vty0-4] idle-timeout 10 0
3
[Quidway-ui-vty0-4] quit

八、与 S5735 V2（V600）SSH 配置对比#

项目	S3328TP-EI (VRP 5.30)	S5735 V2 (V600)
密钥生成	`rsa local-key-pair create`	`rsa local-key-pair create`
开启服务	`stelnet server enable`	`stelnet server enable`
`ssh server-source`	❌ 不存在	✅ 必配
`password-force-change disable`	❌ 不存在（默认不强制）	✅ 需要
权限关键字	`level 3`	`privilege-level 3`
用户名长度限制	无	≥ 6 位
密码复杂度强制	无	大小写+数字+特殊字符
VTY 协议限制	`protocol inbound ssh`	`protocol inbound ssh`

九、排错速查#

现象	原因	解决
连接被拒绝	STelnet 未开启	`stelnet server enable`
算法协商失败	客户端太新	加 `-oKexAlgorithms=+...` 参数
登录提示密码错误	用户名/密码错或用户未绑定 SSH	检查 `display ssh user`
连接超时	网络不通或管理口 Down	检查 Vlanif1 IP 和物理链路
IP 被封锁	连续输错密码	`activate ssh server ip-block ip-address x.x.x.x`
登录后立刻断开	VTY 未配 `protocol inbound ssh`	检查 VTY 配置

文档信息#

文档生成时间：2026-08-17
适用设备：Quidway S3328TP-EI（VRP 5.30 V100R003C00SPC301）

H3C_S2126-EI_SNMP配置指南

Mon, 17 Aug 2026 00:00:00 GMT

H3C S2126-EI SNMP 配置指南#

命名规范：品牌_型号_SNMP配置指南.md（示例：H3C_S2126-EI_SNMP配置指南.md）。
本文定位：SNMP 及相关监控运维配置指南（时间 / VLAN 管理 IP / SNMP / Syslog / 端口镜像），单独成文以控制单篇长度。
命令强绑定品牌/版本：以下命令均在 H3C S2126-EI（Comware V3.10）真机验证，其他设备请以实际 ? 帮助信息为准，不可跨设备套用。
🔐 SSH 登录配置不在本文，详见同设备《H3C_S2126-EI_SSH配置指南》。
📌 本文档范围：覆盖时间（⚠️ 存疑）、VLAN 管理接口、SNMP、Syslog、端口镜像；端口镜像章节命令标注「存疑」，需真机验证后使用。时间章节命令同样基于 Comware V3.10 通用语法整理，尚未在本机真实验证，部署前请以 ? 确认。

一、设备信息#

项目	内容
设备型号	H3C S2126-EI
软件版本	Comware V3.10, Release 2211P06
硬件版本	REV.A
Bootrom	610
内存 / Flash	64MB SDRAM / 8MB
端口	24×FE + 2×GE（Subslot 0/1/2）
管理 IP	192.168.1.250（Vlan-interface 1）
网管 / Syslog 服务器	192.168.1.240
文档生成日期	2026-08-13

SSH 登录相关（用户名 / 密码 / SSH 状态）见《H3C_S2126-EI_SSH配置指南》。

二、时间配置（⚠️ 存疑，需真机验证）#

⚠️ 本节命令尚未在本机真实验证，基于 H3C Comware V3.10 通用语法整理，仅供参照。实际部署前请在真机用 ? 确认命令是否存在、参数格式是否一致，跑通后再 save。时间准确性直接影响 Syslog / Trap 时间戳，建议配置。

2.1 设置系统时间#

注意：时间相关命令在用户视图 <H3C> 下执行，不在系统视图。

Terminal window

1
# 在用户视图执行（不要进 system-view）
2
<H3C> clock datetime 21:00:00 2026/08/17

⚠️ 存疑点（需真机确认）：日期格式各版本可能不同，常见写法有 2026/08/17、2026-08-17、08/17/2026，以本机 clock datetime ? 帮助信息为准。将示例时间替换为你配置时的实际时间。

2.2 设置时区#

Terminal window

1
# 在用户视图执行
2
<H3C> clock timezone Beijing add 08:00:00

⚠️ 存疑点（需真机确认）：

时区名 Beijing 各版本可能不同，部分版本用 GMT+8 或 UTC+8，以 clock timezone ? 为准。

add 08:00:00 表示在 UTC 基础上加 8 小时（即东八区）。

⚠️ Comware V3.10 的时区/夏令时设置通常无法随 save 持久化，设备重启后可能丢失，需依赖 NTP 或每次手动设定。真机确认本机行为。

2.3 验证#

Terminal window

1
display clock

预期：显示正确的日期、时间与时区（如 Beijing Time）。若重启后时间归零，说明未持久化，需加装 NTP 或纳入开机脚本。

三、VLAN / 管理接口配置#

4.1 配置管理 VLAN 接口 IP#

Terminal window

1
system-view
2
interface Vlan-interface 1
3
 ip address 192.168.1.250 255.255.255.0
4
 quit

说明：本设备管理 IP 为 192.168.1.250（位于 Vlan-interface 1），与 SSH 文档、Trap/Syslog 源接口保持一致。若管理 VLAN 不是 VLAN 1，替换成实际的 VLAN 接口号。

4.2 验证#

Terminal window

1
display ip interface Vlan-interface 1

状态应为 up，IP 与设备信息表一致。若此前已配置管理 IP，可跳过本节。

四、SNMP 配置#

4.1 前置知识（关键概念与命令视图）#

关键概念

概念	说明
SNMP Agent	设备上的 SNMP 服务进程，负责响应网管请求
Community（团体名）	SNMPv1/v2c 的”密码”，分只读（RO）和读写（RW）
Trap	设备主动向网管推送的告警消息
Target Host	接收 Trap 的网管服务器地址
MIB	管理信息库，定义设备可被监控的参数树

⚠️ Comware V3.10 是老版本，很多命令的视图层级和新版（V7）不同：

snmp-agent 相关命令 → 系统视图 [H3C]

clock 相关命令 → 用户视图 <H3C>（不在系统视图！）

info-center 相关命令 → 系统视图 [H3C]

4.2 开启 SNMP Agent#

Terminal window

1
system-view
2
snmp-agent

这是最基础的一步，不开启 Agent，后面所有配置都不会生效。执行后无回显提示即为成功。

4.3 配置版本与团体名#

Terminal window

1
snmp-agent sys-info version v2c
2
snmp-agent community read public
3
snmp-agent community write private

说明：

v2c 当前最常用；若网管同时支持 v1/v2c，可写 snmp-agent sys-info version v1 v2c。

将 public / private 替换为你自己的团体名，建议用复杂字符串，如 MyNMS@2026!。

⚠️ 读写团体名权限很大，若网管只做监控，配只读即可。

4.4 启用 Trap（逐类开启）#

在 Comware V3.10 中，snmp-agent trap enable 必须指定类别，不能直接回车。

类别	说明	推荐
`system`	系统级告警（端口 UP/DOWN、风扇/电源故障）	✅ 必开
`standard`	RFC 标准通用告警	✅ 推荐
`configuration`	配置变更告警（有人改了配置）	✅ 推荐
`flash`	Flash 操作告警（备份/擦除配置）	按需

Terminal window

1
snmp-agent trap enable system
2
snmp-agent trap enable standard
3
snmp-agent trap enable configuration
4
snmp-agent trap enable flash

💡 最关键的是 system！不开启它，端口 DOWN、风扇故障等告警不会推送给网管。

4.5 配置 Trap 目标主机与源接口#

Terminal window

1
snmp-agent target-host trap address udp-domain 192.168.1.240 params securityname public v2c
2
snmp-agent trap source Vlan-interface 1

参数	含义	示例
`192.168.1.240`	网管服务器 IP 地址	替换成你的实际 IP
`public`	团体名（要和网管平台一致）	替换成你的团体名
`v2c`	SNMP 版本	和网管平台保持一致

指定 Trap 源接口后，Trap 将以管理 IP 192.168.1.250 为源，便于网管识别设备。若有多台网管服务器，重复执行 target-host 命令即可。

4.6 验证#

Terminal window

1
display snmp-agent
2
display snmp-agent community
3
display snmp-agent trap
4
display snmp-agent target-host

预期：Agent 为 Enabled、版本 v2c；各模块 Trap（system/standard/configuration/flash）为 Enabled；目标主机 IP / 端口（默认 162）/ 版本正确。

测试 Trap 是否可达：在网管服务器监听 UDP 162（如 Wireshark），手动触发端口状态变化：

Terminal window

1
system-view
2
interface Ethernet 1/0/1
3
shutdown
4
undo shutdown
5
quit

网管应在几秒内收到 linkDown / linkUp 的 Trap 报文。

五、Syslog 配置#

说明：Syslog（远程日志）与 SNMP Trap 是互补关系——Trap 是”告警主动推送”，Syslog 是”全量日志外发”。三条通道（Console 显示 / SNMP Trap / Syslog）彼此独立，互不影响。

5.1 关键概念#

概念	说明
Info-Center	H3C 的日志中心，统一管理日志 / 告警 / 调试信息的输出通道
Loghost（日志主机）	接收 Syslog 报文的远程服务器（如 Graylog / ELK / Splunk / Kiwi）
facility	Syslog 设施标识（local0~local7），用于在日志服务器侧区分不同设备
source 接口	发送 Syslog 报文所使用的源 IP，建议固定为管理 VLAN 接口

5.2 开启日志中心#

Terminal window

1
info-center enable

部分版本默认已开启，但显式执行一次最稳妥；可用 display info-center 确认首行状态为 Enabled。

5.3 指定日志主机#

Terminal window

1
info-center loghost 192.168.1.240

默认使用 UDP 514 端口。若日志服务器端口不同，可追加 port <端口号>；如需指定 facility，追加 facility local4（local0~local7 任选，需与服务器侧一致）。

5.4 指定日志源接口#

Terminal window

1
info-center loghost source Vlan-interface 1

固定用管理 VLAN 接口的 IP（192.168.1.250）作为 Syslog 源地址，便于日志服务器识别设备。若交换机有多个 IP，不配此项可能选到不可达地址，导致服务器收不到日志。

5.5 配置日志级别（可选）#

Terminal window

1
info-center source default channel loghost log level informational

允许 informational 及以上级别日志发往日志主机（覆盖告警、通知、普通事件）。
⚠️ 若你的版本对该命令报语法错误，可先只配 info-center loghost + source，默认即发送 warning 及以上日志；再用 info-center source ? 确认本机支持的写法。

5.6 验证#

Terminal window

1
display info-center
2
display info-center loghost

测试：在日志服务器侧监听 UDP 514，手动 shutdown / undo shutdown 某个端口，应在数秒内收到对应日志。

六、端口镜像配置（⚠️ 存疑，需真机验证）#

⚠️ 本节命令尚未在本机真实验证，基于 H3C Comware V3.10 通用语法整理，仅供参照。实际部署前请在真机用 ? 确认命令是否存在、端口命名是否正确，跑通后再 save。若命令报错，以本机 ? 帮助信息为准。

6.1 关键概念#

概念	说明
本地端口镜像	将指定源端口的进出流量复制到监控端口，供抓包机 / IDS 分析
mirroring-port（源端口）	被监听的端口（业务流量经过的口）
monitor-port（监控端口 / 目的端口）	接抓包机的端口，只收不发
mirroring-group	镜像组，本地镜像用 `local` 类型

典型场景：把上联口或某业务口的流量镜像到接了 Wireshark 电脑的口，排查异常流量、协议交互、环路等。

6.2 配置端口镜像（存疑）#

Terminal window展开收起

1
system-view
2
# 创建本地镜像组 1
3
mirroring-group 1 local
4

5
# 指定被镜像的源端口（both = 双向；可改为 inbound / outbound）
6
# ⚠️ 端口命名以本机为准：S2126-EI 为 24×FE + 2×GE，
7
#    FE 口形如 Ethernet 1/0/X，GE 口形如 GigabitEthernet 1/0/X（槽位号以 display interface brief 为准）
8
mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
9

10
# 指定监控端口（接抓包机）
11
mirroring-group 1 monitor-port GigabitEthernet 1/0/2
12

13
# 在监控端口上关闭 STP，避免其参与拓扑计算（推荐）
14
interface GigabitEthernet 1/0/2
15
 undo stp enable
16
 quit

展开收起

⚠️ 存疑点（需真机确认）：

mirroring-group 系列命令在 Comware V3.10 是否完整支持，需真机 ? 确认；个别老版本可能改用接口视图下的 mirroring-port / monitor-port 写法。

端口槽位号、类型（Ethernet / GigabitEthernet）必须按本机 display interface brief 实际值填写，不可照搬示例。

监控端口不要同时承载业务流量；监控口关闭 STP 后切勿再接环路。

6.3 验证#

Terminal window

1
display mirroring-group all

预期：Type 为 Local，Status 为 Active，Mirroring port / Monitor port 显示正确。若 Status 为 Incomplete，说明源口或监控口未配全。

6.4 保存配置#

本设备所有配置完成后统一执行一次 save 即可（见第七章一键脚本末尾），本节不单独保存。

七、完整一键配置脚本#

以下是从头到尾的完整配置，可直接复制粘贴（末尾统一保存一次）：

Terminal window展开收起

1
# === 系统时间（⚠️ 存疑，用户视图执行，需在 system-view 之前）===
2
clock datetime 21:00:00 2026/08/17
3
clock timezone Beijing add 08:00:00
4

5
system-view
6

7
# === VLAN 管理接口 IP（与 SSH 文档统一为 192.168.1.250）===
8
interface Vlan-interface 1
9
 ip address 192.168.1.250 255.255.255.0
10
 quit
11

12
# === SNMP 基础配置 ===
13
snmp-agent
14
snmp-agent sys-info version v2c
15
snmp-agent community read public
16
snmp-agent community write private
17

18
# === SNMP Trap 配置 ===
19
snmp-agent trap enable system
20
snmp-agent trap enable standard
21
snmp-agent trap enable configuration
22
snmp-agent trap enable flash
23
snmp-agent target-host trap address udp-domain 192.168.1.240 params securityname public v2c
24
snmp-agent trap source Vlan-interface 1
25

26
# === Syslog 日志服务器配置 ===
27
info-center enable
28
info-center loghost 192.168.1.240
29
info-center loghost source Vlan-interface 1
30
info-center source default channel loghost log level informational
31

32
# === 端口镜像（⚠️ 存疑，需真机验证后使用）===
33
mirroring-group 1 local
34
mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
35
mirroring-group 1 monitor-port GigabitEthernet 1/0/2
36
interface GigabitEthernet 1/0/2
37
 undo stp enable
38
 quit
39

40
return
41
save

展开收起

📌 使用前请修改以下参数：

21:00:00 2026/08/17 → 你配置时的实际时间（⚠️ 时间命令尚未真机验证，日期格式/时区名以本机 ? 为准）

192.168.1.250 → 你的交换机管理 IP（若已配置可跳过 VLAN 段）

public → 你的只读团体名

private → 你的读写团体名

192.168.1.240 → 你的网管 / Syslog 服务器 IP

Vlan-interface 1 → 你的管理 VLAN 接口

端口镜像段端口号（GigabitEthernet 1/0/1 / 1/0/2）需按本机 display interface brief 实际值替换，且该段命令尚未真机验证，务必先单独测试

八、功能验证清单#

配置完成后，逐项确认：

display clock → 日期/时间/时区正确（⚠️ 存疑命令，需真机验证）
display ip interface Vlan-interface 1 → 管理 IP 为 192.168.1.250 且状态 up
display snmp-agent → Agent 状态为 Enabled
display snmp-agent community → 团体名正确
display snmp-agent trap → 各模块 Enabled
display snmp-agent target-host → 网管 IP 正确（192.168.1.240<162>）
display info-center → 状态为 Enabled（Syslog 前置）
display info-center loghost → 日志服务器 IP 正确（192.168.1.240<514>）
display mirroring-group all → 镜像组状态为 Active，源 / 监控口正确（⚠️ 存疑命令，需真机验证）
网管平台能正常采集数据
网管平台能收到 Trap 告警
日志服务器能收到 Syslog 日志
Console 口不再刷屏（见第九章）
配置已 save 保存

九、Console 口日志与 SNMP Trap / Syslog 的关系#

9.1 三条完全独立的通道#

通道	控制命令	作用
Console 显示	`info-center console ...`	控制屏幕上的日志显示
SNMP Trap 上报	`snmp-agent trap ...`	控制发给网管的告警
Syslog 上报	`info-center loghost ...`	控制发给日志服务器的运行日志

关闭 Console 日志显示，完全不会影响 Trap 与 Syslog 上报！

9.2 推荐的 Console 静音配置#

Terminal window

1
system-view
2
# 方案 A：只屏蔽端口 UP/DOWN 刷屏（推荐）
3
info-center source L2INF channel console deny
4

5
# 方案 B：所有 Console 日志级别提到 Warning
6
info-center console level warning
7

8
return
9
save

效果：

✅ Console 口清净，不再刷端口日志
✅ SNMP Trap 照常发给网管主机
✅ Syslog 照常发给日志服务器
✅ 网管平台依然能收到 linkDown/linkUp 告警

十、常见问题排错#

问题 1：`snmp-agent trap enable` 后面只能接类别名，不能直接回车#

原因： Comware V3.10 不支持 snmp-agent trap enable 一键全开，必须逐个指定。

解决： 依次执行 system / standard / configuration / flash（见 4.4）。

问题 2：网管平台收不到 Trap#

排查清单：

检查项	命令	确认内容
网管 IP 是否正确	`display snmp-agent target-host`	IP 地址无误
团体名是否一致	`display snmp-agent community`	和网管平台配置一致
版本是否匹配	`display snmp-agent`	网管平台选的 v2c
网络是否可达	`ping 192.168.1.240`	交换机到网管服务器通
防火墙是否放行	—	UDP 162 端口未拦截
Trap 功能是否开启	`display snmp-agent trap`	各模块为 Enabled

问题 3：Trap 报文里的源 IP 不是管理地址#

原因： 未指定 Trap 源接口，设备用出接口 IP 作为源地址。

解决：

Terminal window

1
system-view
2
snmp-agent trap source Vlan-interface 1
3
return
4
save

问题 4：日志服务器收不到 Syslog#

排查清单：

检查项	命令	确认内容
信息中心是否开启	`display info-center`	首行状态为 `Enabled`
日志主机 IP 是否正确	`display info-center loghost`	IP 地址无误
源接口是否配置	`info-center loghost source Vlan-interface 1`	该接口已配 IP 且可达
网络是否可达	`ping 192.168.1.240`	交换机到日志服务器通
端口是否放行	—	UDP 514 端口未拦截
facility 是否匹配	`info-center loghost ... facility local4`	与日志服务器侧一致

问题 5：Console 口狂刷端口 UP/DOWN 日志#

原因： 某端口链路不稳定（如 Ethernet1/0/17），反复震荡。

临时解决（止住刷屏）：

Terminal window

1
system-view
2
info-center source L2INF channel console deny
3
return
4
save

根因排查：

检查该端口网线水晶头是否氧化/松动，换线测试
检查对端设备是否反复重启
尝试手动固定速率双工：

Terminal window

1
system-view
2
interface Ethernet 1/0/17
3
speed 100
4
duplex full
5
return
6
save

问题 6：系统时间/时区不对或重启后丢失（⚠️ 存疑章节相关）#

排查清单（针对第二章，需真机验证）：

检查项	命令	确认内容
当前时间	`display clock`	日期/时间正确
时区是否生效	`display clock`	显示 `Beijing Time` 等本地时区
命令是否支持	`clock datetime ?` / `clock timezone ?`	本机日期格式、`Beijing` 时区名可用
重启后是否丢失	重启后 `display clock`	V3.10 时区常无法 `save` 持久化

若时区重启后丢失，建议加装 NTP 时钟同步（需网内有 NTP 服务器），或在开机/上线脚本中固化时间设置命令。

问题 7：端口镜像不生效 / 命令报错（⚠️ 存疑章节相关）#

排查清单（针对第六章，需真机验证）：

检查项	命令	确认内容
镜像组是否创建	`display mirroring-group all`	存在 group 1 且 Type 为 Local
状态是否 Active	`display mirroring-group all`	Status 为 `Active`（若为 `Incomplete` 说明源/监控口未配全）
命令是否支持	`mirroring-group ?`	本机确实有 `local` / `mirroring-port` / `monitor-port` 关键字
端口命名是否正确	`display interface brief`	源/监控口的实际名称与配置一致
监控口是否接对	—	抓包机接在 monitor-port 所在物理口

若 mirroring-group 命令在本机报”未知命令”，说明该 build 可能用接口视图写法（进源口/监控口后配 mirroring-port / monitor-port），请以 ? 帮助信息为准重新组织。

十一、安全加固建议#

11.1 使用复杂团体名#

不要用 public、private 这种默认值，容易被扫描工具利用：

Terminal window

1
snmp-agent community read SnmP@R0_M0n1t0r_2026

11.2 限制 SNMP 访问源（ACL）#

只允许网管服务器访问 SNMP Agent：

Terminal window

1
system-view
2
acl number 2000
3
 rule permit source 192.168.1.240 0   # 只允许网管/Syslog 服务器
4
 rule deny source any                  # 拒绝其他所有
5
 quit
6

7
snmp-agent community read SnmP@R0_M0n1t0r_2026 acl 2000
8
return
9
save

11.3 如条件允许，升级到 SNMPv3#

SNMPv3 支持用户认证和报文加密，安全性远高于 v2c。S2126-EI 的 Comware V3.10 支持 v3，配置方式如下（简要）：

Terminal window

1
snmp-agent sys-info version v3
2
snmp-agent group v3 NMSGroup privacy
3
snmp-agent usm-user v3 nmsadmin NMSGroup cipher Auth@2026! privacy Priv@2026!
4
snmp-agent target-host trap address udp-domain 192.168.1.240 params securityname nmsadmin v3 privacy

十二、配置前后对比#

项目	配置前	配置后
系统时间	可能不准确/未设时区	⚠️ 已补充配置（命令存疑，待真机验证）
SNMP Agent	未开启	✅ 已开启（v2c）
网管监控	不可监控	✅ 可采集数据
Trap 上报	无	✅ system/standard/configuration/flash 全开
网管目标	无	✅ 192.168.1.240<162>
Syslog 外发	无	✅ 192.168.1.240<514>
端口镜像	无	⚠️ 已补充配置（命令存疑，待真机验证）
Console 刷屏	狂刷端口日志	✅ 已静音（L2INF 屏蔽）
监控连续性	断断续续	✅ 稳定上报

十三、注意事项#

统一保存：所有配置完成后执行一次 save 即可（见第七章一键脚本末尾），无需每章单独保存；排错/加固章节里的 save 为独立故障处理动作，可视情况执行。
命令品牌相关：SNMP 的 Trap 开启方式（一行全开 vs 逐类开）、Syslog 的日志中心命令（info-center 系）在不同品牌/版本差异大，本文命令仅适用于 Comware V3.10，不可跨设备套用。
管理 IP：设备管理 IP 192.168.1.250 与网管/Syslog 服务器 192.168.1.240 需同步修改 VLAN 段与一键脚本、Syslog 段。
SSH 不在本文：登录认证配置见同设备《H3C_S2126-EI_SSH配置指南》。
Console 静音独立：关闭 Console 显示不影响 Trap/Syslog，三条通道互不影响（见第九章）。
团体名安全：生产环境务必使用复杂团体名并配合 ACL（见第十一章），避免 public/private 默认值。
端口镜像存疑：第六章端口镜像命令基于 Comware V3.10 通用语法整理，未在本机真实验证；实际部署前请用 ? 确认命令与端口命名，在真机跑通后再 save（见问题 7 排查）。
时间配置存疑：第二章时间命令基于 Comware V3.10 通用语法整理，未在本机真实验证；日期格式（2026/08/17 等）、时区名（Beijing 等）及持久化行为请以本机 ? 与 display clock 为准（见问题 6 排查）。

📝 文档说明： 本文档基于 H3C S2126-EI（Comware V3.10, Release 2211P06）实测整理，不同版本命令可能略有差异，请以设备实际 ? 帮助信息为准。时间、端口镜像章节为补充内容，命令未经验证，标注「存疑」。

文档信息#

文档生成时间：2026-08-17
适用设备：H3C S2126-EI（Comware V3.10，Release 2211P06）
命令来源：真机 + AI 沟通验证（时间配置、端口镜像章节标注「存疑」需真机复核）

Quidway_S3328TP-EI_SNMP配置指南

Mon, 17 Aug 2026 00:00:00 GMT

Quidway S3328TP-EI 配置指南#

命名规范：品牌_型号_SNMP配置指南.md（本文件：Quidway_S3328TP-EI_SNMP配置指南.md）。
本文定位：SNMP 及相关监控运维配置文档（时间 / VLAN 管理 IP / SNMP / Syslog / 端口镜像）。SSH 登录配置不在本文，详见《Quidway_S3328TP-EI_SSH配置指南》。
⚠️ 命令强绑定版本：本文命令均按本机 VRP 5.30（V100R003C00SPC301）真机验证写法，不可跨设备套用。

一、设备信息#

项目	值
型号	Quidway S3328TP-EI
软件版本	VRP (R) Software, Version 5.30 (S3328 V100R003C00SPC301)
BootROM	315 (2009-11-04)
管理 IP	192.168.1.101 (Vlanif1)
网管/日志服务器	192.168.1.240
SSH 用户名	sshadmin
SSH 密码	Admin@2024!

二、时间配置#

⚠️ 说明：本版本（V100R003）系统视图下无 clock 命令，clock timezone 无法持久化生效。
务实方案：直接在用户视图下把时间设成北京时间即可。时区行保持 Default Zone Name add 00:00:00，不影响日志时间戳显示。

2.1 查看当前时间#

1
<Quidway> display clock

2.2 设置北京时间（用户视图下执行）#

1
<Quidway> clock datetime 17:10:00 2026-08-14

2.3 验证#

1
<Quidway> display clock
2
2026-08-14 17:10:05 Friday
3
Time Zone : Default Zone Name add 00:00:00

显示时间即为北京时间，日志/Syslog 时间戳正确。

三、VLAN 1 配置（管理接口）#

说明：VLAN 1 为默认管理 VLAN，本机管理 IP 192.168.1.101 配置在 Vlanif1 三层接口上。
Syslog 源接口（info-center loghost source Vlanif1）与 SSH 登录均依赖此 IP，需先确保接口可达。

3.1 配置 Vlanif1 管理 IP#

1
<Quidway> system-view
2
[Quidway] interface Vlanif 1
3
[Quidway-Vlanif1] ip address 192.168.1.101 255.255.255.0
4
[Quidway-Vlanif1] quit

若需修改管理地址，替换 192.168.1.101 与掩码即可；掩码 255.255.255.0 即 /24。

3.2 验证#

1
<Quidway> display ip interface brief
2
<Quidway> display ip interface Vlanif 1

应能看到 Vlanif1 的 IP 为 192.168.1.101/24，且物理/协议状态为 up。

四、SNMP 配置（v2c）#

4.1 启用 SNMP Agent#

1
<Quidway> system-view
2
[Quidway] snmp-agent

4.2 设置 SNMP 版本#

1
[Quidway] snmp-agent sys-info version v2c

4.3 配置只读团体字（无 ACL 限制）#

1
[Quidway] snmp-agent community read cipher public@123

如需恢复 ACL 限制，可执行：
snmp-agent community read cipher public@123 acl 2000

4.4 设置设备位置与联系人#

1
[Quidway] snmp-agent sys-info location DC3F-B04-Rack01
2
[Quidway] snmp-agent sys-info contact Admin-010-88888888

4.5 启用 Trap 并配置 Trap 目标#

1
[Quidway] snmp-agent trap enable
2
[Quidway] snmp-agent target-host trap address udp-domain 192.168.1.240 params securityname monitor v2c

4.6 验证#

1
<Quidway> display snmp-agent sys-info
2
<Quidway> display snmp-agent community read
3
<Quidway> display snmp-agent target-host

五、Syslog（Info-center）配置#

5.1 启用 Info-center#

1
<Quidway> system-view
2
[Quidway] info-center enable

5.2 配置日志主机#

1
[Quidway] info-center loghost 192.168.1.240 facility local6

5.3 指定日志源接口（可选，推荐）#

1
[Quidway] info-center loghost source Vlanif1

5.4 设置日志级别#

1
[Quidway] info-center loghost level informational

5.5 验证#

1
[Quidway] display info-center

应能看到：Log host: 192.168.1.240, facility local6

六、端口镜像（Port Mirroring）配置#

说明：本版本镜像命令使用 port-mirroring to observe-port X both 语法（带 to）。
观察口（Observe Port）= Ethernet0/0/10
镜像源口（Mirrored Ports）= Ethernet0/0/1 ~ 0/0/9（双向）

6.1 定义观察口#

1
<Quidway> system-view
2
[Quidway] observing-port 1 interface Ethernet 0/0/10

⚠️ 必须确保 Ethernet0/0/10 物理已接线（接抓包服务器）且端口为 up 状态。如被 shutdown：
[Quidway] interface Ethernet 0/0/10 → undo shutdown

6.2 绑定镜像源口（1-9 口双向镜像到观察口 1）#

1
[Quidway] interface Ethernet 0/0/1
2
[Quidway-Ethernet0/0/1] port-mirroring to observe-port 1 both
3
[Quidway-Ethernet0/0/1] quit
4

5
[Quidway] interface Ethernet 0/0/2
6
[Quidway-Ethernet0/0/2] port-mirroring to observe-port 1 both
7
[Quidway-Ethernet0/0/2] quit
8

9
[Quidway] interface Ethernet 0/0/3
10
[Quidway-Ethernet0/0/3] port-mirroring to observe-port 1 both
11
[Quidway-Ethernet0/0/3] quit
12

13
[Quidway] interface Ethernet 0/0/4
14
[Quidway-Ethernet0/0/4] port-mirroring to observe-port 1 both
15
[Quidway-Ethernet0/0/4] quit
16

17
[Quidway] interface Ethernet 0/0/5
18
[Quidway-Ethernet0/0/5] port-mirroring to observe-port 1 both
19
[Quidway-Ethernet0/0/5] quit
20

21
[Quidway] interface Ethernet 0/0/6
22
[Quidway-Ethernet0/0/6] port-mirroring to observe-port 1 both
23
[Quidway-Ethernet0/0/6] quit
24

25
[Quidway] interface Ethernet 0/0/7
26
[Quidway-Ethernet0/0/7] port-mirroring to observe-port 1 both
27
[Quidway-Ethernet0/0/7] quit
28

29
[Quidway] interface Ethernet 0/0/8
30
[Quidway-Ethernet0/0/8] port-mirroring to observe-port 1 both
31
[Quidway-Ethernet0/0/8] quit
32

33
[Quidway] interface Ethernet 0/0/9
34
[Quidway-Ethernet0/0/9] port-mirroring to observe-port 1 both
35
[Quidway-Ethernet0/0/9] quit

展开收起

6.3 验证#

1
<Quidway> display observing-port
2
<Quidway> display port-mirroring

6.4 保存配置#

说明：以上所有配置（时间 / VLAN 1 / SNMP / Syslog / 端口镜像）完成后，只需执行一次 save 即可，无需每个章节单独保存。

1
<Quidway> save

七、完整一键配置脚本（汇总）#

可直接复制粘贴到 Console 口执行（除镜像口需逐条进接口外）。

1
! ===== 时间 =====
2
clock datetime 17:10:00 2026-08-14
3

4
system-view
5

6
! ===== VLAN 1 管理接口 =====
7
interface Vlanif 1
8
 ip address 192.168.1.101 255.255.255.0
9
quit
10

11
! ===== SNMPv2c =====
12
snmp-agent
13
snmp-agent sys-info version v2c
14
snmp-agent community read cipher public@123
15
snmp-agent sys-info location DC3F-B04-Rack01
16
snmp-agent sys-info contact Admin-010-88888888
17
snmp-agent trap enable
18
snmp-agent target-host trap address udp-domain 192.168.1.240 params securityname monitor v2c
19

20
! ===== Syslog =====
21
info-center enable
22
info-center loghost 192.168.1.240 facility local6
23
info-center loghost source Vlanif1
24
info-center loghost level informational
25

26
! ===== 端口镜像（观察口） =====
27
observing-port 1 interface Ethernet 0/0/10
28

29
! ===== 端口镜像（源口 1-9，逐口绑定） =====
30
interface Ethernet 0/0/1
31
 port-mirroring to observe-port 1 both
32
quit
33
interface Ethernet 0/0/2
34
 port-mirroring to observe-port 1 both
35
quit
36
interface Ethernet 0/0/3
37
 port-mirroring to observe-port 1 both
38
quit
39
interface Ethernet 0/0/4
40
 port-mirroring to observe-port 1 both
41
quit
42
interface Ethernet 0/0/5
43
 port-mirroring to observe-port 1 both
44
quit
45
interface Ethernet 0/0/6
46
 port-mirroring to observe-port 1 both
47
quit
48
interface Ethernet 0/0/7
49
 port-mirroring to observe-port 1 both
50
quit
51
interface Ethernet 0/0/8
52
 port-mirroring to observe-port 1 both
53
quit
54
interface Ethernet 0/0/9
55
 port-mirroring to observe-port 1 both
56
quit
57

58
! ===== 保存（全部配置完成后统一保存） =====
59
quit
60
save

展开收起

八、功能验证清单#

功能	验证命令	期望结果
时间	`display clock`	显示北京时间 17<10> 左右
VLAN 1 管理 IP	`display ip interface Vlanif 1`	IP: 192.168.1.101/24，状态 up
SNMP 版本	`display snmp-agent sys-info`	Version: v2c
SNMP 团体字	`display snmp-agent community read`	显示 public@123，无 ACL
SNMP Trap 目标	`display snmp-agent target-host`	192.168.1.240, v2c
Syslog	`display info-center`	Log host: 192.168.1.240, local6
镜像观察口	`display observing-port`	Index 1, Eth0/0/10
镜像源口	`display port-mirroring`	Eth0/0/1~9 → Observe-port 1, Both

九、注意事项#

时区与保存：本版本时区无法持久化，手动设北京时间即可；所有配置（时间 / VLAN 1 / SNMP / Syslog / 端口镜像）完成后统一 save 一次（见六·6.4），无需每章单独保存。
SNMP 安全性：当前 community 无 ACL 限制，仅适合内网隔离环境。生产环境建议恢复 acl 2000 限制。
镜像观察口：Ethernet0/0/10 必须物理连接抓包服务器且端口 up，否则镜像流量丢弃。
NTP：本设备未配置 NTP，时间久了会漂移，建议定期手动校准或升级版本后配 NTP。
VLAN 1 管理 IP：本文档默认 192.168.1.101/24，需与实际网络一致；若修改，同步更新设备信息表与一键脚本中的地址。
登录密码复杂度：若修改设备登录密码（配置见 Quidway_S3328TP-EI_SSH配置指南.md），请保持大小写+数字+特殊字符的同等复杂度。

文档信息#

文档生成时间：2026-08-17
适用设备：Quidway S3328TP-EI（VRP 5.30 V100R003C00SPC301）

华为S5735交换机SSH配置指南

Wed, 12 Aug 2026 00:00:00 GMT

华为 S5735 交换机 SSH 配置指南#

本文档整理自华为 S5735 系列交换机（V600R023 / V600R024 版本）的 SSH 登录配置实践，包含完整配置步骤、关键注意事项（“坑”）以及账号锁定后的排查与解封方法。

一、配置背景与适用说明#

1.1 适用版本#

本文命令主要针对 V600R023 / V600R024 版本。
与老版本（如 V200）最大的区别：V600 出于安全考虑，SSH 服务默认不绑定任何接口，必须显式指定监听源接口（详见 3.1 坑 1）。

1.2 配置目标#

通过 sshadmin 用户、密码 Admin@2024 实现安全的 SSH（STelnet）远程登录。
关闭首次登录强制改密，避免自动化运维中断。

1.3 前置条件#

已通过 Console 口或本地登录进入交换机。
管理 VLAN 接口（示例为 Vlanif10）已配置 IP 地址，且客户端与交换机网络可达。

二、SSH 完整配置流程#

以下命令全部在用户视图下先执行 system-view 进入系统视图后逐条配置。

2.1 进入系统视图#

1
system-view

进入系统配置模式，后续命令均在该模式下执行。

2.2 生成本地 RSA 密钥对#

1
rsa local-key-pair create
2
# 提示输入 modulus 时直接回车，默认 3072 位

注释：RSA 密钥对是 SSH 加密通信的基础，必须作为第一步执行。若不生成密钥对，SSH 服务无法启动。modulus（密钥长度）默认 3072 位即可，直接回车采用默认值。

2.3 开启 STelnet 服务#

1
stelnet server enable

注释：启用 STelnet（SSH 的 Telnet 安全替代协议）服务端功能。

2.4 【V600 必配】指定 SSH 监听源接口#

1
# 精确绑定到管理接口（生产推荐）
2
ssh server-source -i Vlanif10
3

4
# 如果临时调通，也可先写 all-interface，生产建议精确到管理接口
5
# ssh server-source all-interface

注释（重点）：这是 V600 与老版本最大的差异。V600 默认不响应任何接口的 SSH 请求，漏配此条会导致客户端 Connection refused 或超时。生产环境建议精确到管理接口（如 Vlanif10），测试阶段可临时使用 all-interface。

2.5 配置 VTY 通道（仅允许 SSH + AAA）#

1
user-interface vty 0 4
2
 authentication-mode aaa
3
 protocol inbound ssh
4
 idle-timeout 10 0
5
 quit

注释：

authentication-mode aaa：VTY 线路使用 AAA 认证。

protocol inbound ssh：仅允许 SSH 协议接入，禁用不安全的 Telnet。

idle-timeout 10 0：空闲超时 10 分钟（10 分 0 秒）自动断开，提升安全性。

2.6 创建 AAA 本地用户（“户口本”）#

1
aaa
2
 local-user sshadmin password irreversible-cipher Admin@2024
3
 local-user sshadmin password-force-change disable
4
 local-user sshadmin service-type ssh
5
 local-user sshadmin privilege level 3
6
 quit

注释（逐条说明）：

local-user sshadmin password irreversible-cipher Admin@2024：创建本地用户 sshadmin，密码以不可逆密文存储（比 cipher 更安全，无法反推明文）。

password-force-change disable：关闭首次登录强制改密，避免脚本/工具登录被卡。

service-type ssh：该用户仅允许 SSH 服务。

privilege level 3：权限级别 3（管理级，可执行大部分配置命令）。

2.7 创建 SSH 用户（“通行证”）#

1
ssh user sshadmin
2
ssh user sshadmin authentication-type password
3
ssh user sshadmin service-type stelnet

注释（逐条说明）：

ssh user sshadmin：声明一个 SSH 用户实体。

authentication-type password：认证方式为密码认证。

service-type stelnet：该 SSH 用户允许使用的服务类型为 STelnet。

2.8 保存配置#

1
commit
2
save

注释：commit 提交配置（部分版本需要），save 将当前配置写入存储设备，否则重启后丢失。

三、三大常见配置坑#

3.1 坑 1：`ssh server-source` 不配 = 永远连不上#

这是 V600R023 / V600R024 与老版本最大的区别。新版本出于安全考虑，SSH 服务默认不绑定任何接口，必须显式指定：

1
# 精确绑定到管理接口（生产推荐）
2
ssh server-source -i Vlanif10
3

4
# 或临时全接口开放（测试用，不推荐生产）
5
ssh server-source all-interface

漏配危害：客户端通常报 Connection refused 或超时，抓包也看不到 22 端口响应。
结论：配置 SSH 时，这一条优先级最高，务必确认已配置。

3.2 坑 2：两个”用户”必须都存在#

华为 SSH 登录需要两个独立的用户实体，缺一不可，且用户名必须一致：

用户类型	命令	作用
AAA 本地用户	`local-user sshadmin`	”户口本”，管密码和权限
SSH 用户	`ssh user sshadmin`	”通行证”，管 SSH 认证方式和服务类型

注释：只建其中一个，登录都会失败。两者用户名必须完全对应（本例均为 sshadmin）。

3.3 坑 3：用户名 ≥ 6 位，密码必须复杂#

V600 强制要求：

用户名长度 ≥ 6 位：admin 直接不可用，故使用 sshadmin（8 位）。
密码复杂度：必须同时包含大写字母 + 小写字母 + 数字 + 特殊字符四种，例如 Admin@2024。
首次登录强制改密：可能触发强制改密码，可用 local-user sshadmin password-force-change disable 关闭（见 2.6）。

四、账号状态检查与 IP 解封#

4.1 检查账号状态#

1
display local-user username sshadmin

注释：查看指定用户的配置与状态（是否锁定、权限、服务类型等）。将 sshadmin 替换为实际用户名。

4.2 账号被锁的现象与报错#

客户端连接失败时可能出现以下报错：

1
Authentication fail
2
The IP has been blocked and you cannot log on it.
3
Received disconnect from 192.168.1.101 port 22:2:
4
The connection is closed by SSH Server
5
Authentication failed.

注释：多次密码错误会触发 SSH 服务端IP 封锁机制，对应 IP 被加入黑名单，导致该 IP 后续所有 SSH 连接被拒绝。

4.3 查看被封锁 IP 列表#

1
<HUAWEI> display ssh server ip-block list

注释：在用户视图下执行，列出当前所有因认证失败被封锁的源 IP。
自动锁定规则（官方默认值）：同一 IP 在 5 分钟内连续认证失败 6 次，该 IP 会被自动锁定 5 分钟。锁定期间该 IP 的所有 SSH 登录均被拒绝。如需在 5 分钟到期前提前解封，用 4.4 的 activate 命令。

4.4 解封指定 IP#

1
<HUAWEI> activate ssh server ip-block ip-address 192.168.1.240

注释：解除对指定 IP（示例 192.168.1.240）的封锁，使其恢复 SSH 登录能力。将地址替换为实际被封 IP。

4.5 关闭 / 重新开启 IP 锁定功能#

⚠️ 注意命令方向：华为官方语义中，ssh server ip-block disable 是”关闭/去使能”锁定功能，undo 才是”开启/使能”。默认该功能已开启。

1
# 关闭（去使能）IP 锁定功能：封锁机制停止，已封锁 IP 记录从列表中清空
2
# 注意：执行时系统会提示安全风险告警，生产环境不推荐
3
[HUAWEI] ssh server ip-block disable
4

5
# 重新开启（使能）IP 锁定功能（默认即开启，防爆破，生产建议保持）
6
[HUAWEI] undo ssh server ip-block disable

注释：

ssh server ip-block disable：关闭 IP 自动锁定功能（效果上等于解封所有已封锁 IP，因为封锁机制已停、列表被清空），但不推荐用于生产。

undo ssh server ip-block disable：重新开启 IP 自动锁定功能（默认状态）。

提示：不存在”一次性解封所有被锁 IP”的单条命令；逐 IP 解封请用 4.4 的 activate ssh server ip-block ip-address X。

五、完整配置示例（一键汇总）#

以下为按执行顺序排列的完整配置，可直接复制使用（注意替换 Vlanif10 与实际管理接口一致）。

1
system-view
2

3
# 1. 生成本地 RSA 密钥对
4
rsa local-key-pair create
5
# 提示输入 modulus 时直接回车，默认 3072 位
6

7
# 2. 开启 STelnet 服务
8
stelnet server enable
9

10
# 3. 指定 SSH 监听源接口（V600 必配）
11
ssh server-source -i Vlanif10
12

13
# 4. VTY 通道：只允许 SSH + AAA 认证
14
user-interface vty 0 4
15
 authentication-mode aaa
16
 protocol inbound ssh
17
 idle-timeout 10 0
18
 quit
19

20
# 5. AAA 本地用户
21
aaa
22
 local-user sshadmin password irreversible-cipher Admin@2024
23
 local-user sshadmin password-force-change disable
24
 local-user sshadmin service-type ssh
25
 local-user sshadmin privilege level 3
26
 quit
27

28
# 6. SSH 用户
29
ssh user sshadmin
30
ssh user sshadmin authentication-type password
31
ssh user sshadmin service-type stelnet
32

33
# 7. 保存
34
commit
35
save

展开收起

六、补充建议与验证#

6.1 验证 SSH 服务是否真正开启#

1
<HUAWEI> display ssh server status

注释：重点看 Stelnet server 字段是否为 Enable。若为 Disable，说明 stelnet server enable 未生效或未 commit；也可加 include-default 看源接口与端口：display current-configuration configuration ssh include-default。

6.2 VTY 绑定 ACL 限制登录源 IP（推荐生产开启）#

1
# 先建一个允许管理网段的 ACL（示例允许 192.168.1.0/24）
2
acl 2000
3
 rule 5 permit source 192.168.1.0 0.0.0.255
4
 quit
5

6
# 在 VTY 下引用，仅放行匹配 ACL 的源 IP
7
user-interface vty 0 4
8
 acl 2000 inbound
9
 quit

注释：配合 protocol inbound ssh 使用，可进一步把 SSH 暴露面收敛到指定管理网段，防爆破效果更佳。

6.3 其它可选调优参数#

1
# 修改 SSH 侦听端口（默认 22，改后所有已建连接先断开再用新端口）
2
ssh server port 2222
3

4
# 调整认证重试次数（默认 3 次；配合 IP 锁定防暴力破解）
5
ssh server authentication-retries 3
6

7
# 调整认证超时时间（默认 60 秒）
8
ssh server timeout 60

注释：以上均为可选项，默认配置已能满足大多数场景，按需调整即可。

附：快速排查清单

是否已 rsa local-key-pair create？

是否已 ssh server-source -i Vlanif10？（V600 最常见漏配）

AAA 用户与 SSH 用户是否都存在且同名？

用户名是否 ≥ 6 位、密码是否满足四要素复杂度？

客户端 IP 是否因多次失败被 ip-block 封锁？

是否已 save 保存配置？

Linux

Tue, 11 Aug 2026 00:00:00 GMT

TCP/IP协议概述

要学好Linux，对网络协议要有充分的了解和掌握，例如传输控制协议/因特网互联网协议(Transmision Control Protocol/Internet Protocol,TCP/IP)，TCP/IP名为网络通讯协议，是Internet最基本的协议、Internet国际互联网网络的基础，由网络层的IP协议和传输层的TCP协议组成。

TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的协议来完成自己的需求。

TCP负责发现传输的问题，一有问题就发出信号，要求重新传输，知道所有数据安全正确地传输到目的地，而IP是给因特网的每台联网设备规定一个地址。

基于TCP/IP的参考模型将协议分为四个层次，它们分别是网络接口层、网际互联层（IP层）、传输层（TCP层）和应用层。

OSI 7层	每层功能	TCP/IP协议簇
应用层	文件传输，电子邮件，文件服务，虚拟终端	TFTP、HTTP、SNMP、FTP、SMTP、DNS、Telnet
表示层	数据格式化，代码转换，数据加密	没有协议
会话层	解除或建立与别的接点的联系	没有协议
传输层	提供端对端的接口	TCP、UDP
网络层	为数据包选择路由	IP、ICMP、OSPF、BGP、IGMP、ARP、RARP
数据链路层	传输有地址的帧以及错误检测功能	SLIP、PPP、MTU
物理层	以二进制数据的形式在物理媒体上传输数据	ISO2110、IEEE802、IEEE802.2

IP地址及网络常识

互联网协议地址(Internet Protocol Address, IP)，IP地址是IP协议提供的一种统一的地址格式，它为互联网上的每一个网络和每一台主机分配一个逻辑地址，以此来屏蔽物理地址的差异。IP地址被用来给Internet上的每个通信设备的一个编号，每台联网的PC上都需要有IP地址，这样才能正常通信。

IP地址是一个32位的二进制数，通常被分割位4个“8位二进制数”（即4个字节）。IP地址通常用“点分十进制”表示成(a.b.c.d)的形式，其中，a,b,c,d都是0~255之间的十进制数。

常见的IP地址，分为IPv4与IPv6两大类。IP地址编址方案将IP地址空间划分为A、B、C、D、E五类，其中A、B、C是基本类，D、E、作为多播和保留使用。

IPv4有4段数字，每一段最大不超过255。由于互联网的蓬勃发展，IP地址的需求量愈来愈大，使得IP位址发放愈趋严格，各项资料显示全球IPv4位址在2011年已经全部发放完毕。

地址空间的不足必妨碍互联网的进一步发展。为了扩大地址空间，拟通过IPv6重新定义地址空间。IPv6采用128位地址长度。在IPv6的设计过程中，除了一劳永逸地解决了地址短缺问题外，IPv6的诞生可以给全球每一粒沙子配置一个IP地址，还考虑了在IPv4中解决不好的其它问题。

IP地址分类

1.A类IP地址

一个A类IP地址是指，在IP地址的四段号码中，第一段号码为网络号码，剩下的三段号码为本地计算机的号码。如果用二进制表示IP地址的话，A类IP地址就由1字节的网络地址和3字节的主机地址组成，网络地址的最高位必须是“0”。A类IP地址中，网络的标识长度为8位，主机标识长度为24位，A类网络地址数量较少，有126个网络，每个网络可以容纳主机数达1600万台。

A类IP地址地址范围1.0.0.0到127.255.255.255 (二进制表示为：00000001 00000000 00000000 00000000 - 01111110 11111111 11111111 11111111)，最后一个为广播地址，A类IP地址的子网掩码为255.0.0.0,每个网络支持的最大主机数为256的3次方-2=16777214台。

2.B类IP地址

一个B类IP地址是指在IP地址的四段号码中，前两段号码为网络号码。如果二进制表示IP地址的话，B类IP地址就由2字节的网络地址和2字节的主机地址组成，网络地址的最高位必须是“10”。

B类IP地址中网络的标识长度为16位，主机标识的长度为16位，B类网络地址适用于中等规模的网络，有16384个网络，每个网络能容纳的计算机数为6万多台。

B类IP地址范围128.0.0.0-191.255.255.255（二进制表示为：10000000 00000000 00000000 00000000 ------10111111 11111111 11111111 11111111）。

最后一个是广播地址，B类IP地址的子网掩码为255.255.0.0，每个网络支持的最大主机数为256的2次方-2=65534台

3.C类IP地址

一个C类IP地址是指在IP地址的四段号码中，前三段号码为网络号码，剩下的一段号码为本地计算机的号码。如果用二进制表示IP地址的话，C类IP地址就由3字节的网络地址和1字节的主机地址组成，网络地址的最高位必须是“110”。C类IP地址中网络的标识长度为24位，主机标识的长度为8位，C类网络地址数量较多，有209万余个网络。适用于小规模的局域网络，每个网络最多包含254台计算机

C类IP地址范围 192.0.0.0-223.255.255.255 （二进制表示为11000000 00000000 00000000 - 11011111 11111111 11111111 11111111）C类IP地址的子网掩码为255.255.255.0，每个网络支持的最大主机数为256-2=254台。

D类IP地址又被成为多播地址（Multicast Address），即组播地址。在以太网中，多播地址命名了一组应该在这个网络中应用接收到一个分组的站点。多播地址的最高位必须是”1110“，范围从224.0.0.0到239.255.255.255.

5.特殊地址

每一个字节都为0的地址（“0.0.0.0”）表示当前主机，IP地址中的每一个字节都为1的IP地址（“255.255.255.255”）是当前子网的广播地址，IP地址凡是以”11110”开头的E类IP地址都保留用于将来和实验使用。

IP地址中不能以十进制”127”开头，而已数字127.0.0.1到127.255.255.255段的IP地址称为环回地址，用于回路测试，如127.0.0.1可以代表本机IP地址，网络ID的第一个8位组也不能全置位“0”，全“0”表示本地网络。

子网掩码

子网掩码(Subnet Mask)又名网络掩码、地址掩码，它是一种用来指明一个IP地址的哪位标识的是主机所在的子网，以及哪些位标识的是主机位的掩码。

通常的讲，子网掩码不能单独存在，它必须结合IP地址一起使用。子网掩码只有一个作用，就是将某个IP地址划分成网络地址和主机地址两部分。

子网掩码是一个32位址，用于屏蔽IP地址的一部分以区别网络标识和主机标识，并说明该IP地址是在局域网上，还是在远程网上。

对于A类地址，默认的子网掩码是255.0.0.0，对于B类地址来说默认的子网掩码是255.255.0.0；对于C类地址来说默认的子网掩码是255.255.255.0。

互联网是由各种小型网络构成的，每个网络上都有许多主机，这样便构成了有层次的结构。IP地址在设计时就考虑到地址分配的层次特点，将每个IP地址都分割成网络号和主机号两部分，以便IP地址的寻址操作。

网关地址

网关(Gateway)是一个网络连接到另一个网络的”关口”，网关本质上是一个网络通向其他网络的IP地址。主要用于不通网络传输数据。

例如我们电脑设备上网，如果是接入到同一个交换机，在交换机内部传输数据是不需要经过网关的，但是如果两台设备不在一个交换机网络，则需要在本机配置网关，内网服务器的数据通过网关，网关把数据转发到其他的网络的网关，直至找到对方的主机网络，然后返回数据。

MAC地址

媒体访问控制(Media Access Control 或者 Medium Access Control，MAC)，也就是物理地址、硬件地址，用来定义网络设备的位置。

在OSI模型中，第三层网络层负责IP地址，第二层数据链路层则负责mac地址。因此一个主机会有一个MAC地址，而每个网络位置会有一个专属于它的IP地址。

IP地址工作在OSI参考模型的第三层网络层。两者之间分工明确，默契合作，完成通信过程。IP地址专注于网络层，将数据包从一个网络转发到另外一个网络；而MAC地址则专注与数据链路层，将一个数据帧从一个节点传送到相同链路的另一个节点。

IP地址和MAC地址一般是成对出现。如果一台计算机要和网络中另一台计算机通信，那么这两台设备必须配置IP地址和MAC地址，而MAC地址是网卡出厂时设定的，这样配置的IP地址和MAC地址形成了一种对应关系。

在数据通信时，IP地址负责表示计算机的网络层地址，网络层设备（如路由器）根据IP地址来进行操作；MAC地址负责表示计算机的数据链路层地址，数据链路层设备根据MAC地址来进行操作。IP和MAC地址这种映射关系是通过地址解析协议(Address Resolution Protocol，ARP)来实现的。

常用命令详解#

linux命令可以分为内置命令和外部命令，内置命令是直接内置在shell程序之中，随系统启动而自动加载到内存，不受磁盘的影响。外部命令由相应的系统软件提供，用户需要时才从硬盘中读取入内存中。

1
###查看内置命令：
2
[root@localhost ~]# enable
3

4
### 禁用某个内置命令：
5
[root@localhost ~]# enable -n cd
6

7
###启用内置命令（默认是启动的）：
8
[root@localhost ~]#enable cd

2.1 ls命令#

RPM软件包管理

Linux软件包管理大致可分为二进制包、源码包，使用的工具也各不相同。Linux常见软件包分为两种，分别是源代码包（Source Code）、二进制包（Binary Code），源代码包是没有经过编译的包，需要经过GCC、C++编译器环境编译才能运行，二进制包无需编译，可以直接安装使用。

通常而言，可以通过后缀简单区别源码包和二进制包，例如.tar.gz、zip、.rar结尾的包通常称之为源码包，以.rpm结尾的软件包称之为二进制包。真正区分是否为远吗还是二进制还得基于代码里面的文件来判断，例如包含.h、.c、.cpp、.cc等结尾的源码文件，称之源码包，而代码里面存在bin可执行文件，称之为二进制包。

Centos操作系统中有一款默认软件管理的工具，红帽包管理工具(Red Hat Package Manager,RPM)。

使用RPM工具可以对软件包实现快速安装、管理及维护。RPM管理工具适用的操作系统包括：Centos，Redhat，Fedora，SUSE等，RPM工具常用于管理.rpm后缀结尾的软件包。

RPM软件包命令规则详解如下：

RPM包命名格式为：

name-version.rpm

name-version-noarch.com

name-version-arch.rpm

如下软件包格式：

epel-rease-6-8.noarch.rpm

perl-Pod-Plainer-1.0.3-1.el6.noarch.rpm

yasm-1.2.0-4.el7.x86_64.rpm

RPM包格式解析如下：

name 软件名称，例如yasm、perl-pod-Plainer;

version 版本号，1.2.0通用格式：“主版本号.次版本号.修正号”；

4表示是发布版本号，该RPM包是第几次编译生成的；

arch 适用的硬件平台，RPM支持的平台有：i386、i586、i686、x86_64、sparc、alpha等。

.rpm 后缀宝表示编译好的二进制包，可用rpm命令直接安装；

.src.rpm 源代码包，源码编译生成的.rpm格式的RPM包方可适用；

el* 软件包发行版本，el6表示该软件包适用于Rehl 6.x/CentOS 6.x；

devel：开发包；

noarch 软件包可以在任何平台安装。

RPM选项 PACKGE_NAME

-a，—all 查询所有已安装软件包;

-q， —query 表示询问用户，输出信息；

-l ，—list 打印软件包的列表；

-f，—file FILE查询包含FILE的软件包；

-i，—info 显示软件包信息，包括名称，版本，描述；

-v，—verbose 打印输出详细信息；

-U， —upgrade 升级rpm软件包；

-h —hash 软件安装，可以打印安装进度条；

—last 列出软件包时，以安装时间排序，最新的在上面；

-e， —erase 卸载rpm软件包；

—force 表示强制，强制安装或者卸载；

—nodeps RPM包不依赖

-l，—list 列出软件包中的文件；

—provides 列出软件包提供的特性；

-R —requires 列出软件包依赖的其它软件包；

—scripts 列出软件包自定义的小程序。

RPM企业案例演示：
rpm -q httpd 检查httpd包是否安装；

rpm -ql httpd 查看软件安装的路径；

rpm -qi httpd 查看软件安装的版本信息；

rpm -e httpd 卸载httpd软件；

rpm -e —nodeps httpd 强制卸载httpd；

rpm -qalgrep httpd 检查httpd相关的软件包是否安装；

rpm -ivh httpd-2.4.10-el7.x86_64.rpm 安装httpd软件包；

rpm -Uvh httpd-2.4.10-el7.x86_64.rpm 升级httpd软件；

rpm -ivh —nodeps httpd-2.4.10-el7.x86_64.rpm 不依赖其他软件包；

Tar软件包管理

Linux操作系统除了使用RPM管理工具对软件包管理之外，还可以通过tar、zip、jar等工具进行源码包管理。

tar命令参数详解

-A，—catenate ,—concatenate 将存档与已有的存档合并

-c，—create 建立新的存档

-d，—diff，—compare 比较存档与当前文件的不同之处

—delete 从存档中删除

-r，—append 附加到存档结尾

-t，—list 列出存档中的文件的目录

-u，—update 仅将较新的文件附加到存档中

-x，—extract，—get 解压文件

-j，—bzip2，—bunzip2 有bz2属性的软件包；

-z，—gzip，—ungzip 有gz属性的软件包；

-b，—block-size N 指定块大小为Nx512字节（缺省时 N=20）;

-B，—read-full-blocks 读取时重组块；

-C，—directory DIR 指定新的目录

—checkpoint 读取存档时显示目录名；

-f，—file[HOSTNAME:]F 指定存档或设备，后接文件名称；

—force-local 强制使用本地存档，即使存在克隆；

-G，—incremental 建立老GNU格式的备份

-g，—listed-incremental 建立新GNU格式的备份

-h，—dereference 不转储动态链接，转储动态链接指向的文件；

-i，—ignore-zeros 忽略存档中的0字节块（通常意味着文件结束）

—ignore-failed-read 在不可读文件中作0标记后再退出

-k，—keep-old-files 保存现有文件；从存档中展开时不进行覆盖；

-K，—starting-file F 从存档文件F开始；

-l，—one-file-system 在本地文件系统中创建存档；

-L，—tape-length N 在写入 N*1024个字节后暂停，等待更换磁盘；

-m，—modification-time 当从一个档案中恢复文件时，不使用新的时间标签；

-M，—multi-volume 建立多卷存档，以便在几个磁盘中存放；

-O，—to-stdout 将文件展开到标准输出；

-P，—absolute-paths 不要从文件名中去除’/‘；

-v，—verbose 详细显示处理的文件；

—version 显示tar程序的版本号；

—exclude FILE不把指定文件包含在内；

-X，—exclude-from FILE 从指定文件中读入不想包含的文件的列表；

Tar企业案例演示

tar -cvf jfedu.tar.gz jfedu 打包jfedu文件或目录，打包后名称jfedu.tar.gz；

tar -tf jfedu.tar.gz 查看jfedu.tar.gz包中的内容；

tar -rf jfedu.tar.gz jfedu.txt 将jfedu.txt追加到jfedu.tar.gz中

tar -xvf jfedu.tar.gz 解压jfedu.tar.gz 程序包；

tar -czvf jfedu.tar.gz. 使用gzip格式打包并压缩jfedu目录；

tar -cjvf jfedu.tar.bz2 jfedu 使用bzip2格式打包并压缩jfedu目录

tar -czf jfedu.tar.gz.* -X list.txt 使用gzip格式打包并压当前目录所有文件,排除list.txt中记录的文件；

tar -czf jfedu.tar.gz * —exclude=zabbnix-3.2.4.tar.gz —exclude=nginx-1.12.0.tar.gz 使用gzip格式打包并压缩当前目录和文件，排除zabbnix-3.2.4.tar.gz和nginx-1.12.0.tar.gz

TAR实现Linux操作系统备份

Tar命令工具除了用于日常打包、解压源码包或者压缩包外，最大的亮点还可以用于Linux操作系统文件及目录的备份，使用tar -g可以基于GNU格式的增量备份，备份原理是基于检查目录或者文件的atime、mtime、ctime属性是否被修改。文件及目录时间属性详解如下：

文件被访问时间（Access time，atime）

文件内容被改变时间（Modified time，mtime）

文件写入、权限更改的时间（Change time，ctime）

总结，更改文件内容mtime和ctime都会改变，但ctime可以在mtime未发生变化时被更改，例如修改文件权限，文件mtime时间不变，而ctime时间改变。Tar增量备份案例演示步骤如下：

1） /root 目录创建jingfeng文件夹，同时在jingfeng文件夹中，新建jf.txt，jf2.txt。文件，

【本地图片未上传】image-20221128162541132

2）使用tar命令第一次完整备份jingfeng文件夹中的内容，-g指定快照snapshot文件，第一次没有该文件会自动创建

cd /root/jingfeng/

tar -g /data/backup/snapshot -czvf /data/backup/2019jingfeng.tar.gz

【本地图片未上传】image-20221128162558432

3)使用tar命令第一次完整备份jingfeng文件夹之后，会生成快照文件 /data/backup/snapshot ，后期增量备份会以snapshot文件为参考，在jingfeng文件夹中再创建jf3.txt jf4.txt，然后通过tar命令增量备份jingfeng目录所有内容

cd /root/jingfeng/

touch jf3.txt jf4.txt

tar -g /data/backup/snapshot -czvf /data/backup/2019jingfeng_add1.tar.gz *

【本地图片未上传】image-20221128162612447

增量备份时，需-g指定第一次完整备份的快照snapshot文件，同时增量打包的文件名不能跟第一次备份后的文件名重复，通过tar -tf可以查看打包后的文件内容

6.2.4 shell+tar实现增量备份

企业中日常备份的数据包括/boot、/etc、/root、/data目录等，备份的策略参考

每周1-6执行增量备份，每周日执行全备份。同时，在企业中备份操作系统均使用shell脚本完成，此处auto_backup_system.sh脚本供参考

1
#!/bin/bash
2
#Automatic Backup Linux System Files
3
#By Author www.jfedu.net
4
#Define Variables
5

6
SOURCE_DIR=(
7
      $*
8
)
9

10
TARGET_DIR=/data/backup/
11
YEAR='date +%Y'
12
MONTH'date +%m'
13
DAY='date +%d'
14
WEEK='data +%u'
15
FILES=system_bakcup.tgz
16
CODE=$?
17

18
if
19
  [-z $SOURCE_DIR]; then
20
  echo -e "Please Enter a File or Directory You Need to Backup:\n----------------\nExample %0 /boot/etc .... "
21
  exit
22
fi
23

24
#Determine Whether the Target Directory Exists
25

26
if
27
  [! -d $TARGET_DIR/$YEAR/$MONTH/$DAY];  then
28
  mkdir -p $TARGET_DIR/$YEAR/$MONTH/$DAY
29
  echo "This $TARGET_DIR Created Successfully !"
30

31
fi
32

33
#EXEC Full_Backup Function Command
34

35
Full_Backup()
36
{
37
if
38
  ["$WEEK" -eq "7"]; then
39
  rm -rf $TARGET_DIR/snapshot
40
  cd $TARGET_DIR/$YEAR/$MONTH/$DAY ; tar -g $TARGET_DIR/snapshot -czvf $FILES 'echo ${SOURCE_DIR[@]}'
41
  [ "$CODE"  == "0" ]&&echo -e "------------\nFull_Backup System Files Backup Successfully!"
42

43
fi
44

45
}
46

47
#Perform incremental BACKUP Function Command
48

49
Add_Backup()
50
{
51
 cd $TARGET_DIR/$YEAR/$MONTH/$DAY ;
52
 if
53
    [-f $TARGET_DIR/$YEAR/$MONTH/$DAY/$FILES]; then
54
    read -p "$FILES Already Exists, overwrite confirmation yes ro no ?:" SURE
55
    if[$SURE == "no" -o $SURE == "n"]; then
56
    sleep 1 ; exit 0
57
    fi
58

59
#Add_Backup Files System
60

61
     if
62
      [$WEEK -ne "7"]; then
63
      cd $TARGET_DIR/$YEAR/$MONTH/$DAY ; tar -g $TARGET_DIR/snapshot -czvf $$_$FILES 'echo ${SOURCE_DIR[@]'
64
      [ "$CODE" == "0" ]&&echo -e "--------------------\nAdd_Backup System Files Backup Successfully!"
65
      fi
66
    else
67
      if
68
      [$WEEK -ne "7"]; then
69
      cd $TARGET_DIR/$YEAR/$MONTH/$DAY ; tar -g $TARGET_DIR/snapshot -czvf $FILES 'echo ${SOURCE_DIR[@]}'
70
      [ "$CODE" == "0" ]&&echo -e "-------------------\nAdd_Backup System Files Backup Successfully!"
71
      fi
72

73
fi
74
}
75
Full_Backup; Add_Backup

展开收起

6.3 ZIP 软件包管理

ZIP也是计算机文件的压缩算法，原名Deflate（真空），发明者为菲利普·卡兹（Phil Katez）,他于1989年公布了该格式的资料。ZIP通常使用后缀名“.zip”。

主流的压缩格式包括tar、rar、zip、war、gzip、bz2、iso等。从性能上比较，TAR、WAR、RAR格式较ZIP格式压缩率较高，但压缩时间远远高于ZIP，ZIP命令行工具可以实现对zip属性的包进行管理，也可以将文件及文件包打包成zip格式。如下为ZIP工具打包常见参数详解：

1
-f  freshen :只更改文件；
2
-u  update :只更改新文件；
3
-d 从压缩文件删除文件；
4
-m  移动文件（删除源文件）；
5
-r  递归到目录；
6
-j junk（不记录）目录名
7
-l 将LF转换为CR LF（-11 CR LF至LF）；
8
-1 压缩更快1-9压缩更好；
9
-q 安静操作，不输出执行的过程；
10
-v verbose 操作/打印版本信息；
11
-c 添加一行注释；
12
-z 添加zipfile注释；
13
-o 读取名称使zip文件与最新条目一样旧；
14
-x 不包括以下名称；
15
-F 修复zipfile(-FF尝试更难)；
16
-D 不要添加目录条目；
17
-T 测试zip文件完整性；
18
-X exclude extra文件属性；
19
-e 加密- 不要压缩这些后缀；
20
-h2 显示更多的帮助；

展开收起

ZIP企业案例演示；

通过zip工具打包jingfeng

autorefresh

Sun, 09 Aug 2026 00:00:00 GMT

autorefresh#

这是一次上传自动刷新验证。

kavres 的小站

Quidway_S3328TP-EI_SSH配置指南

Quidway S3328TP-EI SSH 配置指南#

一、设备信息#

二、配置过程（完整命令序列）#

2.1 生成本地 RSA 密钥对#

2.2 开启 STelnet 服务#

2.3 配置 VTY 通道（AAA 认证 + 仅允许 SSH）#

2.4 AAA 本地用户配置#

2.5 配置 SSH 用户#

2.6 保存配置#

三、完整一键脚本（可直接粘贴）#

四、验证命令#

五、客户端登录方式#

Linux / Mac / WSL#

Windows（PuTTY）#

用户名 / 密码#

六、老设备特有的坑#

坑 1：连续输错密码 → IP 被封锁#

坑 2：SSH 客户端算法太新连不上#

坑 3：没有”首次强制改密码”功能#

坑 4：密码加密方式#

七、可选加固配置#

限制 VTY 只允许指定 IP 登录#

设置空闲超时（10 分钟自动断开）#

八、与 S5735 V2（V600）SSH 配置对比#

九、排错速查#

文档信息#

H3C_S2126-EI_SNMP配置指南

H3C S2126-EI SNMP 配置指南#

一、设备信息#

二、时间配置（⚠️ 存疑，需真机验证）#

2.1 设置系统时间#

2.2 设置时区#

2.3 验证#

三、VLAN / 管理接口配置#

4.1 配置管理 VLAN 接口 IP#

4.2 验证#

四、SNMP 配置#

4.1 前置知识（关键概念与命令视图）#

4.2 开启 SNMP Agent#

4.3 配置版本与团体名#

4.4 启用 Trap（逐类开启）#

4.5 配置 Trap 目标主机与源接口#

4.6 验证#

五、Syslog 配置#

5.1 关键概念#

5.2 开启日志中心#

5.3 指定日志主机#

5.4 指定日志源接口#

5.5 配置日志级别（可选）#

5.6 验证#

六、端口镜像配置（⚠️ 存疑，需真机验证）#

6.1 关键概念#

6.2 配置端口镜像（存疑）#

6.3 验证#

6.4 保存配置#

七、完整一键配置脚本#

八、功能验证清单#

九、Console 口日志与 SNMP Trap / Syslog 的关系#

9.1 三条完全独立的通道#

9.2 推荐的 Console 静音配置#

十、常见问题排错#

问题 1：snmp-agent trap enable 后面只能接类别名，不能直接回车#

问题 2：网管平台收不到 Trap#

问题 3：Trap 报文里的源 IP 不是管理地址#

问题 4：日志服务器收不到 Syslog#

问题 5：Console 口狂刷端口 UP/DOWN 日志#

问题 6：系统时间/时区不对或重启后丢失（⚠️ 存疑章节相关）#

问题 7：端口镜像不生效 / 命令报错（⚠️ 存疑章节相关）#

十一、安全加固建议#

11.1 使用复杂团体名#

11.2 限制 SNMP 访问源（ACL）#

11.3 如条件允许，升级到 SNMPv3#

十二、配置前后对比#

十三、注意事项#

文档信息#

Quidway_S3328TP-EI_SNMP配置指南

Quidway S3328TP-EI 配置指南#

一、设备信息#

问题 1：`snmp-agent trap enable` 后面只能接类别名，不能直接回车#

3.1 坑 1：`ssh server-source` 不配 = 永远连不上#

autorefresh