1. 概述
在华为 VRP5 系统中，AAA（Authentication, Authorization, Accounting） 是实现用户身份认证、权限授权和操作审计的核心安全框架。通过 AAA，管理员可集中管理本地或远程（如 RADIUS/TACACS+）用户账户，控制登录方式、命令级别及操作日志。
本节将重点讲解 本地 AAA 配置，包括用户创建、服务类型绑定、权限分配及安全策略设置。
2. AAA 架构与组件说明
注意：VRP5 对 Accounting 支持较弱，主要依赖日志系统（
info-center）实现操作审计。
3. 本地用户账户配置
3.1 进入 AAA 视图
<Huawei> system-view
[Huawei] aaa3.2 创建本地用户
用户必须指定：
用户名
密码（明文
simple或密文cipher）服务类型（如 telnet、ssh、terminal）
权限级别（0~3）
示例：创建 SSH 管理员用户
[Huawei-aaa] local-user netadmin password cipher SecurePass@2026
[Huawei-aaa] local-user netadmin service-type ssh
[Huawei-aaa] local-user netadmin level 3安全建议：始终使用
cipher加密存储密码；避免使用simple。
4. 用户属性与服务类型详解
4.1 支持的服务类型（service-type）
用户必须至少绑定一种服务类型，否则无法登录。
4.2 权限级别（level）
5. AAA 配置方法与功能对照表
注意：修改用户密码或服务类型后，新配置仅对新登录会话生效，不影响当前会话。
6. 完整配置示例（含错误处理注释）
<Huawei> system-view
[Huawei] sysname CoreSwitch
/* 步骤1：生成 RSA 密钥（SSH 必需） */
[CoreSwitch] rsa local-key-pair create
Info: The key name will be: CoreSwitch_Host.
Info: The key modulus can be any one of the following: 1024, 2048.
Info: Choosing default modulus: 2048.
Info: Generating keys...
Info: Succeeded in creating the local key pair.
/* 步骤2：启用 SSH 服务 */
[CoreSwitch] stelnet server enable
/* 步骤3：配置管理 VLAN 接口 IP */
[CoreSwitch] vlan batch 100
[CoreSwitch] interface Vlanif 100
[CoreSwitch-Vlanif100] ip address 10.1.100.1 255.255.255.0
[CoreSwitch-Vlanif100] quit
/* 步骤4：进入 AAA 视图，创建用户 */
[CoreSwitch] aaa
[CoreSwitch-aaa] local-user admin password cipher My$ecureP@ss2026
/* 注意：密码需符合复杂度（建议含大小写、数字、特殊字符） */
[CoreSwitch-aaa] local-user admin service-type ssh
/* 关键：若此处未配置 ssh，则 SSH 登录会被拒绝 */
[CoreSwitch-aaa] local-user admin level 3
/* 赋予最高权限，用于管理 */
/* 步骤5：配置 VTY 接口使用 AAA 认证 */
[CoreSwitch-aaa] quit
[CoreSwitch] user-interface vty 0 4
[CoreSwitch-ui-vty0-4] authentication-mode aaa
/* 必须设置为 aaa，否则不使用本地用户数据库 */
[CoreSwitch-ui-vty0-4] protocol inbound ssh
/* 仅允许 SSH，禁用 Telnet 提升安全性 */
[CoreSwitch-ui-vty0-4] idle-timeout 10
/* 设置空闲超时为 10 分钟，防止会话长期占用 */
[CoreSwitch-ui-vty0-4] quit
/* 步骤6：保存配置（关键！否则重启后配置丢失） */
[CoreSwitch] quit
<CoreSwitch> save
The current configuration will be written to the device.
Are you sure? [Y/N]: Y
Info: Please input the file name (*.cfg, *.zip)[vrpcfg.zip]:
Now saving the current configuration to the device.
Saved the current configuration successfully.错误排查提示：
若 SSH 登录提示 “Access denied”，请检查：
用户是否配置了
service-type sshVTY 是否设置
authentication-mode aaa是否执行了
stelnet server enable若用户无法进入系统视图，请确认
level是否 ≥2。
7. 高级安全建议
最小权限原则：为不同角色创建不同用户，如：
monitor（level 1，仅查看）configer（level 2，可配置但不能保存）admin（level 3，全权管理）
定期更换密码：VRP5 不支持密码过期策略，需人工维护。
限制登录源：结合 ACL 控制 VTY 访问源 IP：
[CoreSwitch] acl 2001 [CoreSwitch-acl-basic-2001] rule permit source 10.1.10.0 0.0.0.255 [CoreSwitch-acl-basic-2001] quit [CoreSwitch] user-interface vty 0 4 [CoreSwitch-ui-vty0-4] acl 2001 inbound禁用默认账户：部分设备出厂存在默认账户（如
huawei），应删除或禁用。
8. 总结
AAA 是 VRP5 设备安全管理体系的基石。通过合理配置本地用户账户、服务类型与权限级别，并结合 SSH 加密通道与 ACL 访问控制，可构建安全、可控的远程管理环境。后续章节将介绍日志审计、命令行权限细化（命令级别调整）及 RADIUS 远程认证集成等内容。