管理面最后一道门
本地用户是管理面的最后一道门：华为用 local-user、思科用 username、H3C 用 local-user class manage。三家的权限模型与密码存储方式差异较大，迁移时照抄权限数字最容易出错。
基本信息
| 适用平台 | 三厂设备 |
|---|---|
| 华为命令 | local-user 名称，配 privilege level 0-15 与 service-type |
| 思科命令 | username 名称 privilege 15 secret 密码 |
| H3C 命令 | local-user 名称 class manage 下配 user-role |
| 权限模型 | 华为与思科为 0 到 15 数字级别，H3C 为用户角色 |
| 认证接入 | 华为 authentication-mode aaa / 思科 login local / H3C authentication-mode scheme |
典型使用场景
- 建立管理员账号并限定可用的服务类型
- 权限收敛，日常账号按最小权限配置
- 迁移到别家设备时重写整套账号体系
- 审计账号数量与权限级别
- 排查登录失败与权限不足
华为 VRP
华为 VRP
aaa
local-user admin password irreversible-cipher 密码 # 密文存储
local-user admin privilege level 15
local-user admin service-type ssh # 限定服务类型
display local-user # 盘点账号与权限思科 IOS 与 H3C
思科 IOS 与 H3C
username admin privilege 15 secret 密码
line vty 0 4
login local
aaa new-model
aaa authentication login default local
show running-config | include username
# H3C Comware
local-user admin class manage
password simple 密码
authorization-attribute user-role network-admin
service-type ssh
display local-user三厂写法对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 创建用户 | local-user 名称 | username 名称 | local-user 名称 class manage |
| 权限模型 | privilege level 0-15 | privilege 0-15 | 用户角色，如 network-admin |
| 密码存储 | irreversible-cipher 密文 | secret 哈希 | password simple 为明文方式 |
| 查看 | display local-user | show running-config | display local-user |
权限模型不是数字对数字：华为与思科用 0 到 15 的级别，H3C 是角色制。迁移时照抄 level 15 会配错，需要按角色重新映射，并核对实际登录后的可用命令范围。
密码尽量使用密文或哈希存储方式。H3C 的 simple 写法会以明文形式保存并在显示配置时可见，配置一旦外泄，管理口令随之泄露，应改用平台支持的加密存储方式。
账号收敛比口令复杂度更容易被忽略：常见问题是历史遗留账号长期保留、服务类型过宽（同时放开多种登录方式）。建议定期盘点账号清单，与人员台账核对后清理。
登录失败时按三个方向拆：账号是否存在、服务类型是否包含当前登录方式、认证模式是否指向本地或 AAA 服务器。三者缺一都会表现为口令正确却登不进去，而设备给出的提示往往很笼统，逐项核对比反复改口令有效。本地账号与服务器地址同时存在时，还要确认认证顺序，避免请求被送到不可达的服务器而超时。