5700-HI交换机telnet127.0.0.1
- 1关注
- 0收藏，98浏览
问题描述：
日志查看认证成功，
*Nov 2 00:11:00:870 2013 LOCALSER/7/EVENT: Received authentication request message.
*Nov 2 00:11:00:871 2013 LOCALSER/7/EVENT: Authentication succeeded.
*Nov 2 00:11:00:874 2013 LOCALSER/7/EVENT: Received authorization request message.
*Nov 2 00:11:00:874 2013 LOCALSER/7/EVENT: Authorization succeeded.
登录失败：
Login failed.
%Nov 2 00:11:10:789 2013 LOGIN/5/LOGIN_FAILED: xxx failed to log in from 127.0.0.1.
The connection was closed by the remote host!
检查下配置和服务器日志情况吧
目前信息没啥用
自己登录自己
local-user xxx class manage password hash $h$6$ZILGTa6+faKAwWZ8$ZkJU+AB24fUv3SLGEkndNlAeFryDr27wdp5mCvxkurV0M/l+QaPF9gXbF1K87fTuIdpHWAqe82g== service-type telnet terminal authorization-attribute user-role level-15 authorization-attribute user-role network-admin password-control length 4 password-control composition type-number 1 type-length 1 undo password-control complexity user-name check
排查步骤：
1. 检查授权模板配置
如果使用本地用户或RADIUS授权，确认下发的权限级别和服务类型：
bash
display local-user
display radius scheme
重点看授权级别是否为0或未配置，Telnet需要level 1-15的权限。
2. 检查VTY配置
bash
display user-interface vty
确认VTY下是否配置了protocol inbound限制，以及authentication-mode是否正确。
3. 检查是否有ACL限制
bash
display acl all
查看是否有ACL应用在VTY下，阻止了登录。
4. 检查用户最大登录数
bash
display users
确认是否达到VTY最大会话数限制。
5. 抓取详细日志
bash
terminal monitor
terminal debugging
debugging telnet
重新登录，查看具体失败原因。
常见原因：授权级别为0或未配置，导致登录后立即被断开。检查授权模板中authorization-attribute level是否设置。
local-user xxx class manage password hash $h$6$ZILGTa6+faKAwWZ8$ZkJU+AB24fUv3SLGEkndNlAeFryDr27wdp5mCvxkurV0M/l+QaPF9gXbF1K87fTuIdpHWAqe82g== service-type telnet terminal authorization-attribute user-role level-15 authorization-attribute user-role network-admin password-control length 4 password-control composition type-number 1 type-length 1 undo password-control complexity user-name check
用户名密码、本地 AAA 认证授权全部通过，但是最后会话建立阶段登录失败；源地址是 127.0.0.1，是设备本机内部 telnet 自己H3C。
注意：
Authentication succeeded≠登录成功；只是 AAA 模块校验账号密码，后面还有服务类型、角色、VTY 线路、ISP 域、会话限制等二次校验。
根因优先级（Comware V7 平台）
1、本地用户 service‑type 缺少 telnet（最高概率）
虽然账号密码正确，但是 local‑user 下面service‑type没有包含telnet。
display local‑user name xxx
查看输出：Service type。
- 如果只有
http https ssh，没有 telnet，就会出现：AAA 认证授权日志打印成功，但最终登录直接拒绝、连接关闭。
修复配置：
system‑view
local‑user xxx class manage
service‑type telnet ssh http https
quit
2、用户角色 / 授权 level 为 0，无 VTY CLI 执行权限
授权成功，但用户角色为guest，或者authorization‑attribute level 0，不允许 CLI 终端交互登录。
display local‑user name xxx
确认：
- user‑role 至少为
network‑operator，建议network‑admin； - authorization‑attribute level ≥1。
local‑user xxx class manage
authorization‑attribute user‑role network‑admin
quit
3、VTY 线路配置问题（line vty /line class vty）
1）认证模式不是scheme；
2）protocol inbound没有允许 telnet；
3）VTY 下绑定了 inbound ACL，把 127.0.0.1 拒绝。
display user‑interface vty 0 15
display user‑interface class vty
核对：
user‑interface vty 0 15
authentication‑mode scheme
protocol inbound telnet ssh
undo acl inbound
quit
4、AAA 会话数限制，telnet 会话达到上限
display aaa configuration
检查 aaa session‑limit telnet，本机 telnet 127.0.0.1 同样计入 telnet 会话计数；达到上限直接关闭连接，AAA 认证日志依然打印成功。
aaa session‑limit telnet 32
5、ISP system 域配置异常
本机登录默认走system ISP 域；如果 system 域 login 认证 / 授权被篡改。
display domain name system
确保 login authentication、login authorization 使用 local。
6、特殊：127.0.0.1 本机 telnet 注意点
本机telnet 127.0.0.1是设备内部进程交互，同样完整走 VTY、AAA 全部流程，不是跳过配置；
对比测试：用真实物理 IP telnet 本机，看是否复现。
- 真实 IP 可以正常登录，仅 127.0.0.1 失败：检查是否存在 ACL 过滤 lo 回环报文；
- 真实 IP 同样失败：就是上面用户 /line/aaa 配置问题。
排错命令清单（Console 执行）
#1 查看本地用户属性
display local‑user name 你的用户名
#2 查看vty配置
display user‑interface vty 0 15
display user‑interface class vty
#3 查看system域
display domain name system
#4 aaa会话限制
display aaa configuration
#5 查看登录失败记录
display aaa online‑fail‑record
display aaa online‑fail‑record可以看到真正的失败原因字段，这是最重要的定位手段，哪怕 localser 日志打印认证授权成功，这里会记录最后一步拒绝理由H3C。
快速修复参考模板
system‑view
local‑user xxx class manage
password irreversible‑cipher xxxx
service‑type telnet ssh http https
authorization‑attribute user‑role network‑admin
quit
user‑interface vty 0 15
authentication‑mode scheme
protocol inbound telnet ssh
undo acl inbound
quit
aaa session‑limit telnet 32
补充说明现象逻辑
LOCALSER 打印认证、授权成功，代表账号密码核对 OK；但 Comware V7 在AAA 返回成功之后，还会校验 service‑type、角色、会话上限、VTY ACL，任意一项不满足，直接输出
LOGIN_FAILED并关闭 TCP 连接，不会再打印认证失败日志，这个是现场非常容易混淆的点H3C。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
local-user xxx class manage password hash $h$6$ZILGTa6+faKAwWZ8$ZkJU+AB24fUv3SLGEkndNlAeFryDr27wdp5mCvxkurV0M/l+QaPF9gXbF1K87fTuIdpHWAqe82g== service-type telnet terminal authorization-attribute user-role level-15 authorization-attribute user-role network-admin password-control length 4 password-control composition type-number 1 type-length 1 undo password-control complexity user-name check