限制账号可用的服务类型
账号维度做最小化：把管理用户限定为只能使用 SSH（必要时加 Console），把 HTTP、Telnet 这类旁路入口关掉。华为与 H3C 通过账号属性控制可用服务类型，思科没有一一对应的用户属性，控制点在 VTY 线路的 transport input 以及全局的 HTTP 服务开关上，两台设备用不同模型管同一件事。
基本信息
| 适用平台 | 华为 VRP（service-type）、H3C Comware（service-type）、思科 IOS（transport input） |
|---|---|
| 华为写法 | AAA 本地用户视图下 local-user 用户名 service-type ssh terminal |
| H3C 写法 | 本地用户视图下 service-type ssh，可叠加 terminal |
| 思科写法 | 线路视图下 transport input ssh 或 none，配合关闭 HTTP 服务 |
| 生效时机 | 对新建会话生效，已建立的会话不会被立即中断 |
控制点对照
| 控制目标 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 限定账号服务 | local-user 下 service-type | local-user 下 service-type | 无对应用户属性 |
| 远程登录协议 | user-interface vty 下 protocol inbound | user-interface vty 下 protocol inbound | line vty 下 transport input |
| 图形界面 | 全局 http server 开关 | 全局 ip http enable | 全局 ip http server |
| Console 是否纳入 | service-type 可加 terminal | service-type 可加 terminal | 由线路本身控制，不受用户属性约束 |
典型使用场景
- 安全整改要求管理账号只能通过加密通道登录
- 清理历史遗留账号：把早期开通 Telnet、HTTP 权限的账号收回
- 分级授权：只做监控的账号仅保留读取相关服务，不给配置权限
- 审计检查时确认账号服务类型与实际使用场景一致
- 新设备开局时按规范一次性把服务类型限制配置到位
华为 VRP
华为 VRP
aaa
local-user netadmin password irreversible-cipher NewPass@2026
local-user netadmin service-type ssh terminal # 只保留 SSH 与 Console
local-user netadmin privilege level 15
display local-user
undo http server enable # 关闭图形界面入口H3C Comware 与思科 IOS
H3C Comware 与思科 IOS
local-user netadmin class manage # H3C
service-type ssh terminal
authorization-attribute user-role network-admin
quit
line vty 0 4 # 思科
transport input ssh # 仅允许 SSH
transport input none # 或彻底关闭远程登录
no ip http server # 关闭图形界面两套模型容易混：华为与 H3C 是账号属性（service-type），思科是线路属性（transport input）加全局服务开关。审计时只查用户表会漏掉思科设备上仍然开着 Telnet 的 VTY 线路。
收紧服务类型后现有会话不会立即断开，新登录才生效，验证时要新开一个测试会话。华为只保留 SSH 时若 SSH 服务或密钥尚未配好，等于把远程通道全部关死，务必在 Console 会话里操作。