XX银行H3C交换机安全基线配置
XX银行H3C交换机安全基线配置(20200912190106)
XX 银行H3C 交换机系列安全配置基线(V1.0)1 适用声明 (2)2 访问控制 (3)2.1 远程连接源地址限制 (21)3 安全审计 (3)3.1 开启设备的日志功能 (6)4 入侵防范 (7)4.1 配置防ARP欺骗攻击 (7)4.2 配置常见的漏洞攻击和病毒过滤功能 (4)4.3 配置ACL规则 (3)5 网络设备防护 (8)5.1 限制管理员远程直接登录 (8)5.2 连接空闲时间设定 (9)5.3 远程登陆加密传输 (10)5.4 配置CONSOLE 口密码保护功能和连接超时 (11)5.5 按照用户分配账号 (12)5.6 删除设备中无用的闲置账号 (13)5.7 修改设备上存在的弱口令 (13)5.8 配置和认证系统联动功能 (14)配置和认证系统联动功能 (14)5.9 配置NTP服务 (15)5.10 修改SNMP的COMMUNITY 默认通行字 (16)5.11 使用SNMPV2或以上版本 (17)5.12 设置SNMP的访问安全限制 (18)5.13 系统应关闭未使用的SNMP协议及未使用RW权限 (19)5.14 关闭不必要的服务 (19)5.15 配置防源地址欺骗攻击 (20)5.16 禁止设备未使用或者空闲的端口 (21)1适用声明2访问控制2.1 配置ACL规则[H3C-behavior-tb1] de ny6. 定义流策略，将流分类与流行为关联。
[H3C] traffic policy tp1[H3C-trafficpolicy-tp1] classifier tc1 behavior tb17. 应用流策略到接口。
[H3C] in terface gigabitethernet 0/0/1[H3C-GigabitEthernet0/0/1] traffic-policy tp1 in bou nd 备注2.2 配置常见的漏洞攻击和病毒过滤功能3安全审计3.1 开启设备的日志功能备注4入侵防范5网络设备防护1. 进入用户视图配置/检查项远程登陆加密传输适用等保级别等保一至四级<H3C>2. 用户视图切换到系统视图<H3C> system-view检查步骤En ter system view, return user view with Ctrl+Z.[H3C]3. 查看相关SSH配置[H3C]dis cur | in ssh如果通过远程对交换机进行管理维护，特别是通过互联网以及不安全的公共网络，设备应配置使用SSH加密协议。
HC交换机安全配置基线
H C交换机安全配置基
线
文件管理序列号：[K8UY-K9IO69-O6M243-OL889-F88688]
H3C交换机安全配置基线
备注：
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本
控制表格。
目录
第1章概述
1.1目的
本文档旨在指导系统管理人员进行H3C交换机的安全配置。
1.2适用范围
本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。
1.3适用版本
H3C交换机。
1.4实施
1.5例外条款
第2章帐号管理、认证授权安全要求
2.1帐号
2.1.1配置默认级别*
2.2口令
2.2.1密码认证登录
2.2.2设置访问级密码
2.2.3加密口令
第3章日志安全要求
3.1日志安全
3.1.1配置远程日志服务器
第4章IP协议安全要求4.1IP协议
4.1.1使用SSH加密管理
4.1.2系统远程管理服务只允许特定地址访问
第5章SNMP安全要求
5.1SNMP安全
5.1.1修改SNMP默认通行字
5.1.2使用SNMPV2或以上版本
5.1.3SNMP访问控制
第6章其他安全要求6.1其他安全配置
6.1.1关闭未使用的端口
6.1.2帐号登录超时
6.1.3关闭不需要的服务*
第7章评审与修订。
XX银行H3C交换机安全基线配置
X X银行H3C交换机系列安全配置基线(V1.0)目录1适用声明 (2)2访问控制 (3)2.1远程连接源地址限制 (21)3安全审计 (3)3.1开启设备的日志功能 (6)4入侵防范 (7)4.1配置防ARP欺骗攻击 (7)4.2配置常见的漏洞攻击和病毒过滤功能 (4)4.3配置ACL规则 (3)5网络设备防护 (8)5.1限制管理员远程直接登录 (8)5.2连接空闲时间设定 (9)5.3远程登陆加密传输 (10)5.4配置CONSOLE口密码保护功能和连接超时 (11)5.5按照用户分配账号 (12)5.6删除设备中无用的闲置账号 (13)5.7修改设备上存在的弱口令 (13)5.8配置和认证系统联动功能 (14)配置和认证系统联动功能 (14)5.9配置NTP服务 (15)5.10修改SNMP的COMMUNITY默认通行字 (16)5.11使用SNMPV2或以上版本 (17)5.12设置SNMP的访问安全限制 (18)5.13系统应关闭未使用的SNMP协议及未使用RW权限 (19)5.14关闭不必要的服务 (19)5.15配置防源地址欺骗攻击 (20)5.16禁止设备未使用或者空闲的端口 (21)1 适用声明2 访问控制2.1配置ACL规则3 安全审计3.1开启设备的日志功能4 入侵防范5 网络设备防护5.2连接空闲时间设定5.3远程登陆加密传输5.4配置console口密码保护功能和连接超时5.6删除设备中无用的闲置账号5.7修改设备上存在的弱口令5.8配置和认证系统联动功能5.9配置NTP服务5.10修改SNMP的community默认通行字5.11使用SNMPV2或以上版本5.12设置SNMP的访问安全限制5.13系统应关闭未使用的SNMP协议及未使用RW权限5.14关闭不必要的服务5.17远程连接源地址限制。
H3C交换机端口安全模式配置
H3C交换机端口安全模式配置H3C交换机端口安全模式配置用户网络访问控制是我们在进行网络管理和网络设备配置时经常要用到一项网络技术应用。
其实在用户的网络访问控制方面，最直接、最简单的方法就是配置基于端口的安全模式，不仅Cisco交换机如此，H3C交换机也有类似的功能，而且看起来功能更加强大。
下面跟yjbys 店铺一起来学习一下H3C以太网交换机端口安全模式配置方法！在H3C以太网交换机上可配置的端口安全模式总体来说是可分为两大类：控制MAC地址学习类和认证类。
控制MAC地址学习类无需对接入用户进行认证，但是可以允许或者禁止自动学习指定用户MAC 地址，也就是允许或者禁止把对应MAC地址添加到本地交换机的MAC地址表中，通过这种方法就可以实现用户网络访问的控制。
认证类则是利用MAC地址认证或IEEE 802.1X认证机制，或者同时结合这两种认证来实现对接入用户的网络访问控制。
配置了安全模式的H3C以太网交换机端口，在收到用户发送数据报文后，首先在本地MAC地址表中查找对应用户的MAC地址。
如果该报文的源MAC地址已经在本地交换机中的MAC地址表中则直接转发该报文，否则根据端口所在安全模式进行相应的处理，并在发现非法报文后触发端口执行相应的安全防护特性。
在H3C以太网交换机中可配置的端口安全模式及各自的工作原理如下。
1. autoLearn模式与secure模式在autoLearn(自动学习)端口安全模式下，可通过手工配置，或动态学习MAC地址，此时得到的MAC地址称为Secure MAC(安全MAC地址)。
在这种模式下，只有源MAC为Secure MAC的报文才能通过该端口;但在端口下的Secure MAC地址表项数超过端口允许学习的最大安全MAC地址数后，该端口也不会再添加新的Secure MAC，并且端口会自动转变为Secure模式。
如果直接将端口安全模式设置为Secure模式，则将立即禁止端口学习新的MAC地址，只有源MAC地址是原来已在交换机上静态配置，或者已动态学习到的MAC地址的报文才能通过该端口转发。
H3C交换机安全配置基线
H3C交换机安全配置基线（Version 1.0）2012年12月目录1 引言 (1)2 适用范围 (1)3 缩略语 (1)4 安全基线要求项命名规则 (2)5 文档使用说明 (2)6 注意事项 (3)7 安全配置要求 (3)7.1 账号管理 (3)7.1.1 运维账号共享管理 (3)7.1.2 删除与工作无关账号 (3)7.2 口令管理 (4)7.2.1 静态口令加密 (4)7.2.2 静态口令运维管理 (4)7.3 认证管理 (5)7.3.1 RADIUS认证（可选） (5)7.4 日志审计 (6)7.4.1 RADIUS记账（可选） (6)7.4.2 启用信息中心 (6)7.4.3 远程日志功能 (7)7.4.4 日志记录时间准确性 (7)7.5 协议安全 (7)7.5.1 BPDU防护 (8)7.5.2 根防护 (8)7.5.3 VRRP认证 (8)7.6 网络管理 (9)7.6.1 SNMP协议版本 (9)7.6.2 修改SNMP默认密码 (9)7.6.3 SNMP通信安全（可选） (10)7.7 设备管理 (10)7.7.1 交换机带内管理方式 (10)7.7.2 交换机带内管理通信 (11)7.7.3 交换机带内管理超时 (11)7.7.4 交换机带内管理验证 (12)7.7.5 交换机带内管理用户级别 (12)7.7.6 交换机带外管理超时 (13)7.7.7 交换机带外管理验证 (13)7.8 端口安全 (13)7.8.1 使能端口安全 (13)7.8.2 端口MAC地址数 (14)7.8.3 交换机VLAN划分 (14)7.9 其它 (15)7.9.1 交换机登录BANNER管理 (15)7.9.2 交换机空闲端口管理 (15)7.9.3 禁用版权信息显示 (16)附录A 安全基线配置项应用统计表 (17)附录B 安全基线配置项应用问题记录表 (19)附录C 中国石油NTP服务器列表 (20)1 引言本文档规定了中国石油使用的H3C系列交换机应当遵循的交换机安全性设置标准，是中国石油安全基线文档之一。
h3c交换机配置步骤教程
h3c交换机配置步骤教程其实不同厂家型号的交换机设置都是差不多的，只是不同厂家的交换机设置的命令是不同的!但只要我们知道一种交换机的设置并找一下相关的资料，就很容易设置好不同的交换机!今天小编就来给你介绍一下h3c交换机配置步骤教程，希望你能够使用上!h3c交换机配置步骤教程比方说，你们公司新增加了办公室，网络端口不够用了，你们IT主管让你加一个交换机到机房并设置好。
首先的条件是你公司的网络有vlan的划分(在核心交换机上)，比如说vlan 2 ,vlan 3,vlan4等!那么我们怎么来设置好一个交换机呢?大家可能会想到很多，觉得交换机很难设置，其实只要我们在设置之前想好要做哪些事情，它还是很容易的!我们一般要设置的有: 交换机的名称、管理ip地址(这个也可以不设置的)、登陆的用户和密码以及划分合适的vlan 等。
至于其它的很多功能设置我们一般是不需要改，如果要真的改，那就拿出说明书吧!好了，先给大家看看H3C交换机的登陆界面。
大家看到的上面这个界面就是登陆后出现的，看没看到这个提示，表于你已经进入了交换机的用户操作界面，交换机的名称是H3C ,这是它给我们的信息。
下面我们看一下在这个用户操作介面下都可以执行哪些命令,输入一个问号得到帮助(很多东西我们都不需要记住的，只要输入”?”问号帮助命令，它就会提示你怎么操做了!),如下图所示。
在用户操作模式下显示的这些命令都是很简单的，也没有什么特别的说明，因为如果要改变交换机的设置,需要进入交换机的系统模式，输入system-view 就可以进入系统修改模式了，如下图所示!看一下系统模式下的命令都有哪些:还真是很多呀!看到这么多命令各位的脑袋是不是又大起来了，没关系的，别紧张，想一想我们们应该完成的任务吧，其实用不到那么多命令的!用sysname 命令设置交换机的名称，如下图：接下来设置管理vlan和管理ip , 管理vlan和管理ip大家可能不明白是什么意思! 每个交换机默认都是有一个vlan 1存在的，在H3C交换机里，这个vlan 1默认就是管理vlan, 管理ip就是用来远程管理这个交换机的ip地址,管理ip要设置在管理vlan上，如果我们公司核心交换机上没有设置vlan 1 ，也就是说vlan 1是没有ip地址定义的，那么我们就要设置其它的vlan为管理vlan，这样才能设置ip 地址，才能远程管理交换机!一个交换机里只能有一个管理vlan存在，所以我们要先删除原来的管理vlan , 设置新的管理vlan , 命令如下:删除原来的管理vlan , 用undo 命令(undo 是取消设置的命令)。
H3C交换机设备安全基线
H3C设备安全配置基线目录第1章概述 (5)1.1目的 (5)1.2适用范围 (5)1.3适用版本 (5)第2章帐号管理、认证授权安全要求 (6)2.1帐号管理 (6)2.1.1用户帐号分配* (6)2.1.2删除无关的帐号* (7)2.2口令 (8)2.2.1静态口令以密文形式存放 (8)2.2.2帐号、口令和授权 (10)2.2.3密码复杂度 (11)2.3授权 (11)2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 (11)第3章日志安全要求 (13)3.1日志安全 (13)3.1.1启用信息中心 (13)3.1.2开启NTP服务保证记录的时间的准确性 (14)3.1.3远程日志功能* (15)第4章IP协议安全要求 (17)4.1IP协议 (17)4.1.1VRRP认证 (17)4.1.2系统远程服务只允许特定地址访问 (17)4.2功能配置 (18)4.2.1SNMP的Community默认通行字口令强度 (18)4.2.2只与特定主机进行SNMP协议交互 (20)4.2.3配置SNMPV2或以上版本 (21)4.2.4关闭未使用的SNMP协议及未使用write权限 (21)第5章IP协议安全要求 (23)5.1其他安全配置 (23)5.1.1关闭未使用的接口 (23)5.1.2修改设备缺省BANNER语 (24)5.1.3配置定时账户自动登出 (24)5.1.4配置console口密码保护功能 (25)5.1.5端口与实际应用相符 (26)第1章概述1.1目的规范配置H3C路由器、交换机设备，保证设备基本安全。
1.2适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。
1.3适用版本comwareV7版本交换机、路由器。
第2章帐号管理、认证授权安全要求2.1帐号管理2.1.1用户帐号分配*1、安全基线名称：用户帐号分配安全2、安全基线编号：SBL-H3C-02-01-013、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。
[ZA]H3C交换机设备安全基线029
![[ZA]H3C交换机设备安全基线029](https://img.taocdn.com/s3/m/7facf0df960590c69ec376e6.png)
H3C设备安全配置基线目录第1章概述41.1追求41.2适用范围41.3适用版本4第2章帐号管理、认证授权安全要求62.1帐号管理62.1.1用户帐号分配*62.1.2删除无关的帐号*72.2口令82.2.1静态口令以密文形式存放82.2.2帐号、口令和授权92.2.3密码复杂度102.3授权112.3.1用IP协议进行远程维护的设备使用SSH等加密协议11第3章日志安全要求123.1日志安全123.1.1启用信息中心123.1.2开启NTP服务保证记录的进度的准确性133.1.3远程日志功能*14第4章IP协议安全要求154.1IP协议154.1.1VRRP认证154.1.2系统远程服务只允许特定地址访问154.2功能配置164.2.1SNMP的Community默认通行字口令强度164.2.2只与特定主机进行SNMP协议交互174.2.3配置SNMPV2或以上版本184.2.4关闭未使用的SNMP协议及未使用write权限19第5章IP协议安全要求205.1其他安全配置205.1.1关闭未使用的接口205.1.2修改设备缺省BANNER语21 5.1.3配置定时账户自动登出215.1.4配置console口密码保护功能22 5.1.5端口与实际应用相符23第1章概述1.1追求规范配置H3C路由器、交换机设备，保证设备基本安全。
1.2适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。
1.3适用版本comwareV7版本交换机、路由器。
第2章帐号管理、认证授权安全要求2.1帐号管理2.1.1用户帐号分配*1、安全基线名称：用户帐号分配安全2、安全基线编号：SBL-H3C-02-01-013、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。
4、参考配置制作：[H3C]local-user admin[H3C-luser-manage-admin]password hash admin@mmu2[H3C-luser-manage-admin] authorization-attribute user-role level-15[H3C]local-user user[H3C-luser-network-user] password hash user@nhesa[H3C-luser-network-user] authorization-attribute user-role network-operator5、安全判定条件：（1）配置文件中，存在不同的账号分配（2）网络管理员确认用户与账号分配关系明确6、检测制作：使用命令dis cur命令查看：…#local-user admin class managepassword hash $h$6$mmu2MlqLkGMnNyKy$9R2lM4uRDsxuoWQ==service-type sshauthorization-attribute user-role level-15#local-user user class networkpassword hash $h$6$mmu2MlqLkGMnNyservice-type sshauthorization-attribute user-role network-operator#对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
X X银行H3C交换机系列安全配置基线目录1适用声明 (2)2访问控制 (3)2.1配置ACL规则 (3)2.2配置常见的漏洞攻击和病毒过滤功能 (4)3安全审计 (6)3.1开启设备的日志功能 (6)4入侵防范 (7)4.1配置防ARP欺骗攻击 (7)5网络设备防护 (8)5.1限制管理员远程直接登录 (8)5.2连接空闲时间设定 (9)5.3远程登陆加密传输 (10)5.4配置CONSOLE口密码保护功能和连接超时 (11)5.5按照用户分配账号 (12)5.6删除设备中无用的闲置账号 (13)5.7修改设备上存在的弱口令 (13)5.8配置和认证系统联动功能 (14)配置和认证系统联动功能 (14)5.9配置NTP服务 (15)5.10修改SNMP的COMMUNITY默认通行字 (16)5.11使用SNMPV2或以上版本 (17)5.12设置SNMP的访问安全限制 (18)5.13系统应关闭未使用的SNMP协议及未使用RW权限 (19)5.14关闭不必要的服务 (19)5.15配置防源地址欺骗攻击 (20)5.16禁止设备未使用或者空闲的端口 (21)5.17远程连接源地址限制 (21)1 适用声明适用人员IT部的网络维护人员、安全评估人员、安全审计人员适用版本H3C同系列的网络交换机适用等保一级项适用等保二级项适用等保三级项适用等保四级项参考依据《H3C交换机配置手册》《GB/T 20270-2006 信息安全技术网络基础安全技术要求》《GB/T 20011-2005 信息安全技术路由器安全评估准则》《JR/T 0068-2012 网上银行系统信息安全通用规范》《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》《GB/T 25070-2010 信息安全技术信息系统等级保护安全设计技术要求》《JR/T 0071-2012金融行业信息系统信息安全等级保护实施指引》2 访问控制2.1配置ACL规则配置/检查项配置ACL规则适用等保级别等保一至四级检查步骤1.进入用户视图<H3C>2.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z. [H3C]3.查看ACL匹配路由是否按照业务需求设置[H3C]dis cur | in acl[H3C]dis this acl配置步骤设备应根据业务需要，配置基于源IP地址、通信协议TCP或UDP、目的IP 地址、源端口、目的端口的流量过滤，过滤所有和业务不相关的流量。
1.进入用户视图<H3C>2.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z.[H3C]3.配置ACL列表[H3C]acl number 2000[H3C-acl-basic-2000]rule tcp source 1.1.1.1 destination4.配置流分类，定义基于ACL的匹配规则。
[H3C]traffic classifier tc1[H3C-classifier-tc1] if-match acl 20005.配置流行为[H3C] traffic behavior tb1[H3C-behavior-tb1] deny6.定义流策略，将流分类与流行为关联。
[H3C] traffic policy tp1[H3C-trafficpolicy-tp1] classifier tc1 behavior tb17.应用流策略到接口。
[H3C] interface gigabitethernet 0/0/1[H3C-GigabitEthernet0/0/1] traffic-policy tp1 inbound 备注2.2配置常见的漏洞攻击和病毒过滤功能配置/检查项配置常见的漏洞攻击和病毒过滤功能适用等保级别检查步骤1.进入用户视图<H3C>2.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z. [H3C]3.查看ACL中是否匹配漏洞攻击和病毒攻击[H3C]dis current-configuration | in acl配置步骤设备应配置ACL，通过ACL列表来过滤一些常见的漏洞攻击和病毒攻击。
4.进入用户视图<H3C>5.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z.[H3C]6.配置ACL列表[H3C]acl number 2000[H3C-acl-basic-2000]rule tcp source 1.1.1.1 destination source-port eq ftp-data7.配置流分类，定义基于ACL的匹配规则。
[H3C]traffic classifier tc1[H3C-classifier-tc1] if-match acl 20008.配置流行为[H3C] traffic behavior tb1[H3C-behavior-tb1] deny9.定义流策略，将流分类与流行为关联。
[H3C] traffic policy tp1[H3C-trafficpolicy-tp1] classifier tc1 behavior tb110.应用流策略到接口。
[H3C] interface gigabitethernet 0/0/1[H3C-GigabitEthernet0/0/1] traffic-policy tp1 inbound 备注3 安全审计3.1开启设备的日志功能配置/检查项配置设备的日志功能适用等保级别等保二至四级检查步骤1.进入用户视图<H3C>2.用户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z. [H3C]3.查看日志功能是否按照需求配置[H3C]dis cur | in info-center配置步骤要求相关安全审计信息应收集设备登录信息日志和设备事件信息日志，同时提供SYSLOG服务器的设置方式，所有的日志信息可以均可以远程存储到日志服务器。
并且必须保证日志服务器的安全性。
1.进入用户视图<H3C>2.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z.[H3C]3.开启日志功能[H3C]4.配置日志信息输出到控制台，用户可以在控制台上查看到日志信息，了解到设备的运行情况[H3C] console channel 05.配置日志信息输出到日志缓冲区[H3C] logbuffer channel 46.配置日志信息输出到日志服务器[H3C] info-center loghost备注4 入侵防范4.1配置防ARP欺骗攻击配置/检查项配置防ARP欺骗攻击适用等保级别检查步骤1.进入用户视图<H3C>2.用户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z. [H3C]3.查看ARP地址欺骗[H3C]dis current-configuration | in anti-attack配置步骤配置设备的防ARP欺骗攻击功能，可以有效的减少ARP攻击对网络造成的影响。
1.进入用户视图<H3C>2.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z.[H3C]3.配置防止ARP地址欺骗[H3C] arp anti-attack entry-check fixed-mac enable 适用于静态配置IP地址，但网络存在冗余链路的情况。
当链路切换时，ARP表项中的接口信息可以快速改变[H3C] arp anti-attack entry-check fixed-all enable适用于静态配置IP 地址，网络没有冗余链路，同一IP地址用户不会从不同接口接入S5300的情况[H3C] arp anti-attack entry-check send-mac enable适用于动态分配IP地址，有冗余链路的网络4.配置防止ARP网关冲突[H3C]备注5 网络设备防护5.1限制管理员远程直接登录配置/检查项限制具备管理员权限的用户远程直接登录适用等保级别检查步骤1.进入用户视图<H3C>2.用户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z. [H3C]3.查看是否存在高级别权限密码[H3C]dis cur | in acl4.查看是否对于user用户密码进行配置[H3C]dis cur | in local-user配置步骤远程管理员应先以普通权限用户登录后，再切换到管理员权限执行相应操作。
1.进入用户视图<H3C>2.由户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z.[H3C]3.设置用户由低级别权限切换到高级别权限的密码[H3C] super password level 3 cipher anbang@1234.进入aaa视图[H3C]aaa5.配置具备远程登陆用户user1的权限信息。
配置用户user1权限等级为Level 1,具有telnet服务。
[H3C-aaa] local-user user1 password cipher anbang@1234[H3C-aaa] local-user user1 service-type telnet[H3C-aaa] local-user user1 level 16.配置远程登陆用户的认证方式为aaa认证[H3C] user-interface vty0 4[H3C-ui-vty0-4]authentication-mode aaa备注5.2连接空闲时间设定配置/检查项设置用户登录设备的空闲时间适用等保级别等保一至四级检查步骤1.进入用户视图<H3C>2.用户视图切换到系统视图<H3C> system-viewEnter system view, return user view with Ctrl+Z. [H3C]3.查看AAA下是否有相关的用户口令配置[H3C]dis cur | in aaa配置步骤用户登录交换机后，如果在设定的时间内没有任何操作，则断开连接，用户如果需要继续操作，则需要重新输入口令。