VTY 认证方式决定谁能远程登录
VTY 是设备的虚拟终端线路，Telnet 与 SSH 会话都落在 VTY 上。认证方式这一行配置，决定了登录时设备拿什么校验身份：查本地用户名库、交给 AAA 里的方案、还是只比一个线路共享口令。三家的关键词不同但语义对应——华为 authentication-mode aaa，H3C authentication-mode scheme，思科 login local 或 login authentication default。认证方式之外，VTY 上还有三件常配的事：允许的接入协议、空闲超时、来源地址限制。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 配置位置 | user-interface vty 0 4（华为/H3C）、line vty 0 4（思科） |
| 常用参数 | 华为 aaa/password/none；H3C scheme/password/none；思科 login local、login authentication <列表> |
| 权限要求 | system-view / 全局配置模式 |
| 并发会话数 | 由 vty 0 4 这类范围决定，只写 0 4 就是 5 个并发用户 |
典型使用场景
- 从简易口令切换到用户名体系，满足账号可审计、可单点停用
- 多个登录入口分权：Console 用本地口令，VTY 走 AAA 服务器
- 迁移到 RADIUS/TACACS+ 前的准备步骤：先把 VTY 认证指向 AAA 方案
- 临时应急：外部服务器不可达时切回本地认证恢复登录
- 新建设备开局：与 AAA 方案、本地用户一并配好，避免事后返工
- 安全收敛：只允许 SSH 接入，并按管理网段限定来源地址
华为 VRP
华为 VRP
[Huawei] user-interface vty 0 4
[Huawei-ui-vty0-4] authentication-mode aaa # 指向 AAA 的用户名体系
[Huawei-ui-vty0-4] protocol inbound ssh # 只允许 SSH 接入
[Huawei-ui-vty0-4] idle-timeout 10 # 空闲 10 分钟断开
[Huawei-ui-vty0-4] acl 2000 inbound # 只允许管理网段来源
! 备选：authentication-mode password + set authentication password cipher xxx思科 IOS
思科 IOS
SW-CORE-01(config)# username admin privilege 15 secret YourPass@123
SW-CORE-01(config)# line vty 0 4
SW-CORE-01(config-line)# login local # 使用本地用户名库
SW-CORE-01(config-line)# transport input ssh # 只允许 SSH
SW-CORE-01(config-line)# exec-timeout 10 0 # 空闲 10 分钟断开
SW-CORE-01(config-line)# access-class 10 in # 只允许管理网段来源
! 使用 AAA 列表时改为：login authentication defaultH3C Comware
H3C Comware
[H3C] user-interface vty 0 4
[H3C-ui-vty0-4] authentication-mode scheme # 引用 ISP 域/方案
[H3C-ui-vty0-4] protocol inbound ssh
[H3C-ui-vty0-4] acl 2000 inbound
! 备选：authentication-mode password + set authentication password hash xxx三厂关键词对照
| 语义 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 用户名库认证 | authentication-mode aaa | login local 或 login authentication 列表 | authentication-mode scheme |
| 线路共享口令 | authentication-mode password | login（配合 password 行） | authentication-mode password |
| 免认证 | authentication-mode none | no login | authentication-mode none |
| 指定接入协议 | protocol inbound ssh | transport input ssh | protocol inbound ssh |
| 来源地址限制 | acl 2000 inbound | access-class 10 in | acl 2000 inbound |
把 VTY 认证从 password 改成 aaa/scheme 之前，先确认对应的本地用户或 AAA 方案已经建好并测试通过，并保留 Console 会话；改错的一瞬间所有远程入口都会失效。
认证只解决「能不能登录」，登录后能做什么取决于账号级别或角色：华为看 local-user 的 privilege level，H3C 看 user-role，思科看 privilege。级别给低了会出现「登录成功却改不了配置」的现象。