三厂语法差异最大的一环
本地账号是三厂开局脚本里差异最大的一段：华为走 aaa 视图下的 local-user，思科在全局配置下用 username 加 secret，H3C Comware 7 拆成 class manage 与 authorization-attribute user-role 两个概念。命令完全不能通用，照抄别人的配置往往第一条就报语法错误。本地账号的定位是设备侧最后一道自救凭据：当 AAA 服务器不可达时，只有本地账号还能登录。
基本信息
| 适用设备 | 全部路由器、交换机、防火墙 |
|---|---|
| 权限要求 | 系统视图或全局配置模式 |
| 命令族 | local-user、username 加 secret、local-user 加 class manage |
| 口令加密 | 华为可逆与不可逆加密两种、思科 secret 走哈希、H3C 可明文或密文 |
| 配套配置 | VTY 认证方式指向 AAA 或本地，并显式指定服务类型 |
典型使用场景
- 新设备开通时创建管理员账号，作为 AAA 不可用时的兜底凭据
- 设备需要与 AAA 服务器联动，但仍保留本地应急账号
- 按角色划分只读与管理员账号，配合权限级别做最小授权
- 出现离职人员账号遗留时，逐台清理并统一命名规范
- 审计前统一口令策略，替换掉长期未改的弱口令账号
华为 VRP
华为 VRP
system-view
[Huawei] aaa
[Huawei-aaa] local-user netadmin password irreversible-cipher Admin@2026 # 不可逆加密存储
[Huawei-aaa] local-user netadmin privilege level 15 # 15 为最高用户级别
[Huawei-aaa] local-user netadmin service-type ssh terminal # 限制可用接入方式
[Huawei-aaa] quit
display local-user # 核对账号与权限思科 IOS
思科 IOS
SW-CORE-01(config)# username netadmin privilege 15 secret Admin@2026
! secret 走哈希存储，password 会在配置里明文可见
SW-CORE-01(config)# line vty 0 4
SW-CORE-01(config-line)# login local # 用本地账号库做认证
SW-CORE-01(config-line)# transport input ssh
SW-CORE-01# show running-config | include usernameH3C Comware
H3C Comware
system-view
[H3C] local-user netadmin class manage
[H3C-luser-manage-netadmin] password simple Admin@2026
[H3C-luser-manage-netadmin] service-type ssh
[H3C-luser-manage-netadmin] authorization-attribute user-role network-admin
[H3C-luser-manage-netadmin] quit
display local-user # 核对角色授权是否生效三厂语法差异对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 入口视图 | aaa 视图 | 全局配置模式 | local-user 加 class manage |
| 口令命令 | password irreversible-cipher | secret 或 password | password simple 或 cipher |
| 权限设置 | privilege level 0 到 15 | privilege 0 到 15 | authorization-attribute user-role |
| 服务类型 | service-type 指定 ssh 或 terminal | 由 line vty 与认证方式共同决定 | service-type 指定 ssh 或 terminal |
| 版本差异 | V200R008 起推荐不可逆加密 | secret 优于 password | Comware 5 用 level，Comware 7 用 class 加 role |
账号管理工程要点
- 账号分级：只读账号用于巡检查看，管理员账号用于变更，避免所有人共用一个最高权限账号
- 口令不复用其他系统的口令，设备口令一旦泄露，攻击者可直接改配置或清空配置
- 本地账号的定位是与 AAA 服务器互不替代：服务器可用时走统一认证，不可达时才用本地账号登录
- 人员离职或外包退场后立即逐台清理账号，并用查看命令清点账号清单核对
- 多个厂商设备的口令复杂度与轮换周期统一口径，否则同一批设备策略不一致，审计时解释不清
- 账号创建后立刻验证一次登录，避免建号时权限或服务类型配错，等到深夜割接才发现登不进去
口令复杂度策略会反过来卡住建号：口令不满足大小写加数字加符号的要求时命令直接报错。先用满足策略的口令把账号建起来，再统一调整策略，比先改策略再建号少走弯路。
H3C 只建账号不配角色授权，结果是能登录却执行不了任何命令，现象是登录后提示符下所有命令都不可用。华为对应的是 privilege level，思科对应的是 privilege 与 line vty 的认证方式，三厂都要成对配置。
本地账号是应急通道，也要按账号管理规范处理：口令进密码管理系统，不用个人便签保存；人员变动时逐台清理；各厂都有登录失败次数限制与锁定相关命令，具体参数按版本手册确认。