Telnet访问控制典型配置举例

1 简介

本文介绍使用访问控制列表和IP Source Guard功能控制远程Telnet无线控制器的典型配置案例。

2 配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解Telnet、ACL和IP Source Guard特性。

3 配置举例

3.1 组网需求

如图1所示，两台主机到AC路由可达。通过在AC上配置ACL功能以实现：仅允许Host A通过Telnet登录AC，不允许Host B通过Telnet登录AC。

图1 基于AC的Telnet访问控制组网图

3.2 配置思路

· 为了实现仅允许Host A可以通过Telnet方式登录AC，需要通过ACL来匹配Host A的IP地址，并在AC的VTY用户线视图下使用该ACL对Telnet客户端进行。

· 为了防止其它主机使用Host A的IP地址Telnet登录AC，需要在Switch上配置全局静态绑定表项，将Host A的IP地址和MAC地址进行绑定。

3.3 配置步骤

3.3.1 AC的配置

(1) 配置ACL

# 创建一个编号为2000的基本ACL，并进入其视图。

system-view

[AC] acl number 2000

# 创建规则仅允许来自100.1.1.2/16主机的报文通过。

[AC-acl-basic-2000] rule 0 permit source 100.1.1.2 0

[AC-acl-basic-2000] quit

(2) 将ACL应用到VTY用户界面

# 进入VTY 0～4用户界面视图。

[AC] user-interface vty 0 4

[AC-ui-vty0-4] acl 2000 inbound

[AC-ui-vty0-4] quit

# 启动Telnet服务。

[AC] telnet server enable

3.3.2 Switch的配置

# 配置全局IPv4静态绑定表项，绑定0001-0203-0405。

IP地址100.1.1.2和MAC地址

[Switch] ip source binding ip-address 100.1.1.2 mac-address 0001-0203-0405

3.4 验证配置

# 使用display ip source binding命令显示IPv4绑定表项信息。

[Switch] display ip source binding

Total entries found: 1

MAC Address IP Address VLAN Interface Type

0001-0203-0405 100.1.1.2 N/A N/A Static

# Host A通过Telnet远程登录到AC，在AC的视图下观察到访问成功。

#Nov 20 11:15:17:407 2013 AC SHELL/4/LOGIN: Trap 1.3.6.1.4.1.25506.2.2.1.1.3.0.1: login from VTY

%Nov 20 11:15:17:428 2013 AC SHELL/5/SHELL_LOGIN: VTY logged in from 100.1.1.2.

# Host B通过Telnet远程登录AC，在Telnet远程登录视图下，观察到Host B登录AC失败。

# 使用display acl命令显示全部ACL的配置和运行情况。

display acl 2000

Basic ACL 2000, named -none-, 1 rule,

ACL's step is 5

rule 0 permit source 100.1.1.2 0

# 使用display users all命令显示当前正在使用的用户界面的相关信息。

display users all

The user application information of all user interfaces:

Idx UI Delay Type Userlevel

+ 0 CON 0 00:00:00 3

7 AUX 0

+ 8 VTY 0 00:00:05 TEL 3

9 VTY 1

10 VTY 2

11 VTY 3

12 VTY 4

Following are more details.

VTY 0 :

Location: 100.1.1.2

+ : User-interface is active.

F : User-interface is active and work in async mode.

3.5 配置文件

· AC：

#

telnet server enable

#

acl number 2000

rule 0 permit source 100.1.1.2 0

#

user-interface vty 0 4

acl 2000 inbound

authentication-mode none

#

· Switch：

#

ip source binding ip-address 100.1.1.2 mac-address 0001-0203-0405