HCL 这个模拟器圈内凡是要碰 H3C 设备的应该都不陌生。很多初学者在电脑里装好 HCL 之后照着视频一顿操作路由器、交换机也能拖出来了但做到交换机 Telnet 远程登录实验时经常会卡住——不是设备起不来就是配完之后怎么都连不上。这篇我就用 H3C 模拟器 HCL 把交换机的 Telnet 服务配置从头到尾过一遍从环境安装、设备启动排障、接口 IP 配置到最终的登录验证尽量把每一步的命令和背后原理都说透。准备入门 H3C、或者只学过华为交换机的朋友拿来对照着敲一遍比看零碎的视频舒服很多。1. 为什么要在 HCL 里把 Telnet 配置完整走一遍1.1 Telnet 服务配置到底在配什么先明确一个概念Telnet 是网络设备上最基础的远程管理方式它的工作流程可以分为三层。第一层是网络层你得让交换机有一个可被访问的 IP 地址也就是配置 VLAN 接口地址或者三层口地址否则客户端根本找不到它。第二层是服务本身设备必须开启 Telnet 服务端在 H3C 设备上就是一条telnet server enable命令很多新手就是漏了这条导致后面 ping 也通、接口也正常但一 Telnet 就报错。第三层是线路和认证Telnet 连接到达交换机之后交换机需要通过 VTY虚拟终端线路给这个远程会话分配一个虚拟终端同时还要校验你是谁、能不能登录、登录之后有多少权限。这三层缺一不可。很多人配 Telnet 只盯着 VTY 和密码忘了配接口地址结果客户端根本找不到设备也有的人配了地址、开了服务却不认识 VTY 是什么导致命令写在别的视图里怎么折腾都不对。所以这篇文章我会按网络层到服务层的顺序来讲确保每一层都落地。1.2 HCL 适合谁来练习和真机有什么差异HCLH3C Cloud Lab是 H3C 官方的网络仿真平台它最大的价值就是让你在没有硬件设备的情况下用电脑模拟出运行 Comware 体系的交换机、路由器、防火墙。对于准备 H3CNE、H3CSE 认证的人或者工作中需要面对 H3C 设备但平时接触不到真机的人来说HCL 是最低成本的学习环境。模拟器和真机相比命令几乎完全一致特别是基础配置部分比如接口地址、VLAN、VTY、Telnet这些在模拟器里练熟了到真机上完全可以照用。但模拟器也有自己的脾气设备启动慢、依赖 VirtualBox、对 Windows 的虚拟化环境比较敏感。这些我都会放在后面专门讲因为如果环境装不好后面所有实验都白搭。2. 环境准备HCL 安装与设备启动失败排查2.1 装好 HCL 之后的组件依赖关系HCL 的安装本身不复杂大多数人遇到的坑在于它依赖的 VirtualBox。在 Windows 环境下HCL 通过 VirtualBox 来虚拟化网络设备所以你必须保证两个条件VirtualBox 版本和当前的 HCL 版本相匹配。HCL 官方或者安装说明里一般会标注建议使用的 VirtualBox 版本如果你装了太新或者太旧的版本设备可能无法正常启动。CPU 虚拟化必须在 BIOS 里打开。现代电脑默认一般开了但有些品牌机的 BIOS 把 Intel VT-x 或者 AMD-V 关掉了HCL 启动设备时会直接报错。我的建议是装 HCL 之前先把 VirtualBox 按建议版本装好然后以管理员身份运行 HCL。不要为了省事把 HCL 装在中文路径或者带空格的路径下虽然很多版本已经支持但纯英文路径出问题的概率最低。装好之后先随便建一个拓扑拖一台设备出来启动一下确认模拟器本身能跑再开始配置实验。这一步相当于测试地基别急着直接做 Telnet。2.2 设备启动失败、无法读取设备信息的常见原因与处理HCL 使用中反馈最多的就是设备启动不了、启动失败、或者弹出类似无法读取设备信息的提示。这类问题往往不是配置命令的问题而是虚拟化环境的问题。我按优先级整理一下排查顺序有没有以管理员身份运行 HCL。这是最容易被忽略的点。右键 HCL 图标选择以管理员身份运行很多离奇的启动失败都会消失。VirtualBox 版本是否匹配。如果 HCL 安装之后提示找不到 VirtualBox 或者不兼容先把当前 VirtualBox 卸载干净再装 HCL 要求对应的大版本比如 6.0.x 系列装完先别急着打开 VirtualBox 主界面直接开 HCL 试试。Hyper-V 是否与 VirtualBox 冲突。Windows 自带的 Hyper-V 和 Windows 虚拟机监控程序可能会占用虚拟化资源导致 HCL 里的 VirtualBox 无法正常启动设备。如果电脑上有装 Docker Desktop、WSL2 或者开启过 Windows 沙盒都有可能触发这个问题。可以进入Windows 功能面板检查 Hyper-V 状态如果不常用可以临时关闭 Hyper-V 重启后再试。BIOS 里的虚拟化开关。进入 BIOS 找到Intel Virtualization Technology或SVM Mode选项确认处于 Enabled 状态。删除旧配置缓存。如果之前装过旧版本 HCL升级之后启动新设备时可能读取到旧版缓存而报无法读取设备信息。可以到 HCL 的安装目录下找到设备相关的配置目录备份后删除重新打开软件。我在实际使用中遇到过一种情况VirtualBox 版本没问题BIOS 也都正常但设备还是启动失败。后来发现是笔记本上开了全局代理类的软件和 VirtualBox 的虚拟网卡服务有冲突退出之后设备就正常了。所以你如果按常规排查还不行可以想想机器上有没有类似网络增强类的软件先退掉再说。3. 搭建实验拓扑交换机的接口 IP 与链路状态3.1 从设备库拖出交换机并完成连线HCL 安装好之后打开软件新建一个拓扑。左侧设备库里有路由器、交换机、防火墙等设备这次实验我们以交换机 S5820V2 系列为例。把它拖到中间的拓扑画布上然后再从设备库里拖一台路由器出来比如 MSR36-20作为 Telnet 的客户端。为什么要两台设备因为 Telnet 是一个远程登录行为你总得有一个另外的设备去访问交换机。用 Windows 命令行直接访问 HCL 里的设备在桥接配置上比较麻烦拓扑里两台设备互连是最稳妥的验证方式。拖出设备之后把交换机的 GigabitEthernet1/0/1 接口和路由器的 GigabitEthernet0/0 接口用线连起来。在 HCL 的画布里先选中一个接口再选中另一个接口软件会自动生成一条链路。连线完成后把两台设备都点启动。设备启动需要时间尤其是第一次启动可能要等 30 秒以上不要急着双击命令行窗口等设备旁边的状态图标变成运行中再去操作。期望的界面是这样的两台设备在画布上呈运行状态连线变成绿色。如果链路是红色或者灰色说明物理链路没有起来后面交换机 VLAN 接口想 up 都 up 不了。3.2 给交换机配置管理地址VLAN 接口 IP交换机启动之后双击交换机会弹出命令行窗口。默认情况下在按回车之前设备可能没有任何响应这是正常的敲一下回车唤醒它看到H3C提示符就说明进入用户视图了。首先给交换机改一个主机名方便和路由器区分H3C system-view [H3C] sysname Switch接下来配置管理 IP。在交换机上三层口通常是 VLAN 接口。所有接口默认都属于 VLAN 1所以我们可以直接给 Vlan-interface 1 配地址[Switch] interface Vlan-interface 1 [Switch-Vlan-interface1] ip address 192.168.1.1 24 [Switch-Vlan-interface1] quit配置完后先 ping 一下路由器侧地址。路由器的接口地址我马上就会配但为了说明顺序我先在这里把交换机 IP 配好等路由器配完再回来验证连通性。需要注意的是192.168.1.1 24这种写法在 H3C 的 Comware 7 里是可以直接用的相当于192.168.1.1 255.255.255.0日常操作这么写更简洁。检查接口状态可以用[Switch] display interface Vlan-interface 1输出里重点看Current state是UP还是DOWN。如果链路已连接、对端设备已启动VLAN 接口应该是 UP如果一直是 DOWN先回去检查物理链路和设备启动状态。这一步好多人会忽略总觉得配置没问题就应该通实际上模拟器里链路没起VLAN 接口就是 up 不了ping 自然也不会通。4. 在交换机上正式开启 Telnet 服务4.1 先理解 VTY 是什么Telnet 能不能登录成功关键在 VTY 配置。VTY 是虚拟终端线路你可以把它理解成交换机为远程登录用户准备的虚拟座位。用户从网络那一头发起 Telnet 连接交换机在 VTY 线路上给这个会话分配一个虚拟终端双方开始交互。没有 VTY 配置或者 VTY 限制过多用户就算连上了也会被立刻断开。在 H3C 设备上VTY 线路默认开启的数量可能不同但常见的写法是line vty 0 4也就是 0 到 4 一共 5 条线路可以同时支持 5 个远程登录会话。单机实验完全够用。理解了这个你就知道为什么 Telnet 配置里必然会有line vty 0 4这一行。4.2 使用 password 方式认证最简配置第一种认证方式是password认证就是远程用户只需要输入一个密码就能登录不需要用户名。这个配置最少适合纯粹练手。在交换机上依次执行[Switch] telnet server enable [Switch] line vty 0 4 [Switch-line-vty0-4] authentication-mode password [Switch-line-vty0-4] set authentication password simple admin123 [Switch-line-vty0-4] user-role network-admin [Switch-line-vty0-4] protocol inbound telnet [Switch-line-vty0-4] quit这里有三个点需要解释一下telnet server enable是全局开启 Telnet 服务的开关。有些 HCL 版本默认可能没有开启这个服务所以这条命令现在写出来后面就不会遇到连接被拒绝的问题。authentication-mode password表示线路只校验密码。user-role network-admin表示登录后的用户角色是网络管理员拥有最高权限能进system-view改配置。如果你不写这个登录后可能只有操作员权限很多命令敲不了。protocol inbound telnet的意思是这条 VTY 线路只允许 Telnet 协议进入。以后如果要在同一组线路上开通 SSH可以改成protocol inbound all或者再加配置这里先不展开。最后记得保存配置不然模拟器关闭后所有配置都会丢失[Switch] save forceH3C 的save force表示不交互确认直接保存到启动配置文件中。在模拟器里操作这已经成了条件反射配完必存。4.3 使用 scheme 方式认证用户名加密码password认证虽然简单但有个问题它分不清是谁登录的所有通过同一个密码登录的人得到的权限都一样。实际生产环境里更常用的是scheme认证也就是到本地用户数据库里校验用户名和密码并且可以给不同用户分配不同权限。配置命令如下[Switch] line vty 0 4 [Switch-line-vty0-4] authentication-mode scheme [Switch-line-vty0-4] quit [Switch] local-user admin class manage [Switch-luser-manage-admin] password simple admin123 [Switch-luser-manage-admin] service-type telnet [Switch-luser-manage-admin] authorization-attribute user-role network-admin [Switch-luser-manage-admin] quit这里出现的local-user admin class manage是 H3C Comware 7 的典型写法class manage表示这是一个管理类用户。service-type telnet限定了这个用户只能通过 Telnet 进来。authorization-attribute user-role network-admin则是在用户级别上指定权限和前面 VTY 线路下的user-role配合使用。在这种模式下Telnet 登录时会先提示输入用户名再提示输入密码和 Linux 服务器登录的体验差不多。这个方式建议你配置完之后也练一遍生产环境里遇到 H3C 和华为设备的概率都很大逻辑相通会了这个就理解了远程管理认证的完整结构。4.4 登录验证前的自检查看服务和配置配置完不要急着去另一台设备上敲 Telnet先回到交换机上做两个检查。第一确认 Telnet 服务已经全局开启[Switch] display telnet server status如果返回Telnet server: Enabled说明服务端没问题。如果显示 Disabled回到系统视图重新执行telnet server enable。第二确认 VTY 配置实际生效[Switch] display current-configuration | include line vty telnet或者直接display this在对应视图下查看。重点检查认证方式和user-role是否都写对了。4.5 给路由器配好对端 IP交换机这边准备完毕接下来处理 Telnet 客户端这台设备也就是之前拖出来的那台路由器。双击路由器命令行窗口进入系统视图H3C system-view [H3C] sysname Client-Router [Client-Router] interface GigabitEthernet0/0 [Client-Router-GigabitEthernet0/0] ip address 192.168.1.2 24 [Client-Router-GigabitEthernet0/0] quit然后在路由器上 ping 一下交换机[Client-Router] ping 192.168.1.1如果 ping 的结果是!连续出现说明链路层和网络层都是通的。如果显示Request time out回到上面第 3 章的检查方法看交换机的 VLAN 接口是不是 UP、链路是不是绿色、IP 有没有写错。这里有一个模拟器的经典坑设备启动后拓扑里的连线虽然是绿色但接口协议栈可能还没完全就绪第一次 ping 往往会丢几个包。这不是配置错误等几秒再 ping 一般就好了。5. 用路由器 Telnet 登录交换机完整验证5.1 第一条 Telnet 命令确认互通之后在路由器上执行 Telnet 命令[Client-Router] telnet 192.168.1.1如果使用的是 password 认证会直接看到Password:提示输入admin123。注意输入的密码不会回显不要以为自己没敲进去输完直接回车。登录成功后提示符会变成Switch也就是进入了交换机的用户视图。到这里Telnet 连接已经建立成功了。5.2 登录后验证权限和配置为了确认自己不是被半吊子地连上去登录后要验证两点。第一能不能进入系统视图。输入Switch system-view [Switch]如果提示符变成[Switch]说明你有 network-admin 权限后面改配置没问题。第二看看当前配置里 VTY 和用户的部分。在系统视图下执行[Switch] display current-configuration | include line vty [Switch] display current-configuration | include local-user如果能看到line vty 0 4、authentication-mode password或authentication-mode scheme说明远程管理配置已经在运行。如果你前面配置的是 scheme 认证Telnet 登录时会有两步提示Username: admin Password:用户名输入admin密码输入admin123效果一样。5.3 如果还想用 Windows 命令行直接连用路由器做客户端已经足够证明实验成功。如果你还想尝试用 Windows 自带的命令行 Telnet 连接模拟器里的交换机需要在 HCL 中额外配置宿主设备把交换机的接口桥接映射到 Windows 的虚拟网卡上还要处理 Windows 防火墙对 23 端口的拦截。这个比拓扑里两台设备互连要繁琐而且不同 HCL 版本的桥接方式不一样新手容易绕晕。我的建议是第一遍实验别在这个方向上浪费时间先用拓扑内设备验证逻辑等 Telnet 的原理完全通了再考虑和宿主机的连通性实验。6. Telnet 连接失败的排查链路完整走一遍6.1 从 ping 不通到登录失败的分段定位很多人在这一步出问题我把我遇到过的真实故障按链路顺序整理成一张表你照着从第一行开始查基本能定位到 90% 的问题现象可能原因定位命令/操作ping 不通交换机VLAN 接口没 UP、IP 配置错误、链路未连接display interface Vlan-interface 1检查拓扑连线ping 通但 Telnet 连接被拒绝telnet server enable没有执行display telnet server status提示 Connected 后马上断开VTY 协议限制或认证配置异常检查line vty 0 4下的protocol inbound和authentication-mode提示 Authentication failed密码或用户名错误检查 VTY 密码或本地用户配置登录成功但不能进 system-view用户角色权限不够配置user-role network-admin后重新登录这张表的核心逻辑是先网络层再服务层最后是认证和权限层。很多人一看到连不上就直接去改密码结果发现 ping 都不通白折腾半天。一定要按顺序排查。6.2 模拟器特有的疑难杂症除了上面这些配置问题HCL 本身还有几个特色问题不影响真机但在模拟器里经常让人怀疑人生。第一个是设备启动后命令行窗口点了没反应。这通常不是配置问题而是设备还没完全启动。HCL 的设备启动是逐步加载内核和系统文件的图形界面显示运行中不代表命令行已经完全就绪。你多做一步等拓扑里的设备图标稳定变成运行状态再等 10 到 20 秒再双击进入命令行。第二个是配置完保存了但关掉拓扑重新打开设备配置又变回默认。这种情况一般是你没有点拓扑的保存按钮或者保存的是另一个拓扑文件。在 HCL 里设备配置文件是跟着拓扑文件走的你单独save force只保存了设备内部配置如果整个拓扑文件没保存下次打开还是旧拓扑。建议在实验结束后同时保存拓扑文件和设备配置。第三个是 HCL 里两台设备之间的 ping 延迟特别大甚至第一次 ping 会超时。模拟器的虚拟网络性能远不如真机尤其是设备同时跑图形界面和虚拟化的时候。遇到超时不要慌多 ping 几次只要后续有稳定的!返回链路就是正常的。6.3 一个容易被忽略的权限细节Telnet 登录成功并不等于你能做任何事。在 Comware 7 体系里用户最终权限由用户角色决定。network-admin是管理角色拥有全部读改写权限如果配的是network-operator就只能看配置、不能修改很多命令连敲都敲不出来。所以如果你发现自己 Telnet 登录后执行system-view保错或没有这个命令大概率是 VTY 线路或本地用户的user-role没给够。这一点在排查顺序里很容易漏因为它不影响登录本身只影响登录后的操作。7. 生产环境别照搬 Telnet安全加固思路模拟器里练手用password simple没有任何问题因为实验环境不存在被偷听的风险。但在真实生产设备上Telnet 是明文协议用户名和密码在网络中直接裸奔抓包工具一拍就能看到。所以现在企业网络里的远程管理基本都转向 SSH对应 H3C 设备上的stelnet。不过你不需要觉得 Telnet 白学了。恰恰相反Telnet 配置里的 VTY、认证模式、用户角色这些概念和 SSH 完全一致。在生产设备上开 SSH你依然要配置line vty 0 4依然要配置authentication-mode scheme依然要创建本地用户并指定角色。差别只是在服务层多一条ssh server enableH3C 里是stelnet server enable然后把 VTY 的protocol inbound改成all或者ssh而已。我给初学者的建议是在 HCL 里把 password 认证和 scheme 认证各配一遍并刻意练习查看当前配置、定位问题的能力。这两套认证方式覆盖了基础设备远程管理的所有核心逻辑以后到了真机上不管遇到 H3C、华为还是其他使用 Comware 体系的设备你都知道自己该往哪里看。最后再分享一个我的个人习惯每次在 HCL 里做完一个实验不要急着关模拟器。我会把拓扑保存一份再把核心命令整理成一个文本笔记放在同目录下。这样过一个月想回来复习双击拓扑文件设备起来之后照着笔记核对配置十分钟就能把整个实验重新跑通。这种留档的习惯比反复看视频有效得多。
HCL模拟器配置H3C交换机Telnet远程登录完整指南
HCL 这个模拟器圈内凡是要碰 H3C 设备的应该都不陌生。很多初学者在电脑里装好 HCL 之后照着视频一顿操作路由器、交换机也能拖出来了但做到交换机 Telnet 远程登录实验时经常会卡住——不是设备起不来就是配完之后怎么都连不上。这篇我就用 H3C 模拟器 HCL 把交换机的 Telnet 服务配置从头到尾过一遍从环境安装、设备启动排障、接口 IP 配置到最终的登录验证尽量把每一步的命令和背后原理都说透。准备入门 H3C、或者只学过华为交换机的朋友拿来对照着敲一遍比看零碎的视频舒服很多。1. 为什么要在 HCL 里把 Telnet 配置完整走一遍1.1 Telnet 服务配置到底在配什么先明确一个概念Telnet 是网络设备上最基础的远程管理方式它的工作流程可以分为三层。第一层是网络层你得让交换机有一个可被访问的 IP 地址也就是配置 VLAN 接口地址或者三层口地址否则客户端根本找不到它。第二层是服务本身设备必须开启 Telnet 服务端在 H3C 设备上就是一条telnet server enable命令很多新手就是漏了这条导致后面 ping 也通、接口也正常但一 Telnet 就报错。第三层是线路和认证Telnet 连接到达交换机之后交换机需要通过 VTY虚拟终端线路给这个远程会话分配一个虚拟终端同时还要校验你是谁、能不能登录、登录之后有多少权限。这三层缺一不可。很多人配 Telnet 只盯着 VTY 和密码忘了配接口地址结果客户端根本找不到设备也有的人配了地址、开了服务却不认识 VTY 是什么导致命令写在别的视图里怎么折腾都不对。所以这篇文章我会按网络层到服务层的顺序来讲确保每一层都落地。1.2 HCL 适合谁来练习和真机有什么差异HCLH3C Cloud Lab是 H3C 官方的网络仿真平台它最大的价值就是让你在没有硬件设备的情况下用电脑模拟出运行 Comware 体系的交换机、路由器、防火墙。对于准备 H3CNE、H3CSE 认证的人或者工作中需要面对 H3C 设备但平时接触不到真机的人来说HCL 是最低成本的学习环境。模拟器和真机相比命令几乎完全一致特别是基础配置部分比如接口地址、VLAN、VTY、Telnet这些在模拟器里练熟了到真机上完全可以照用。但模拟器也有自己的脾气设备启动慢、依赖 VirtualBox、对 Windows 的虚拟化环境比较敏感。这些我都会放在后面专门讲因为如果环境装不好后面所有实验都白搭。2. 环境准备HCL 安装与设备启动失败排查2.1 装好 HCL 之后的组件依赖关系HCL 的安装本身不复杂大多数人遇到的坑在于它依赖的 VirtualBox。在 Windows 环境下HCL 通过 VirtualBox 来虚拟化网络设备所以你必须保证两个条件VirtualBox 版本和当前的 HCL 版本相匹配。HCL 官方或者安装说明里一般会标注建议使用的 VirtualBox 版本如果你装了太新或者太旧的版本设备可能无法正常启动。CPU 虚拟化必须在 BIOS 里打开。现代电脑默认一般开了但有些品牌机的 BIOS 把 Intel VT-x 或者 AMD-V 关掉了HCL 启动设备时会直接报错。我的建议是装 HCL 之前先把 VirtualBox 按建议版本装好然后以管理员身份运行 HCL。不要为了省事把 HCL 装在中文路径或者带空格的路径下虽然很多版本已经支持但纯英文路径出问题的概率最低。装好之后先随便建一个拓扑拖一台设备出来启动一下确认模拟器本身能跑再开始配置实验。这一步相当于测试地基别急着直接做 Telnet。2.2 设备启动失败、无法读取设备信息的常见原因与处理HCL 使用中反馈最多的就是设备启动不了、启动失败、或者弹出类似无法读取设备信息的提示。这类问题往往不是配置命令的问题而是虚拟化环境的问题。我按优先级整理一下排查顺序有没有以管理员身份运行 HCL。这是最容易被忽略的点。右键 HCL 图标选择以管理员身份运行很多离奇的启动失败都会消失。VirtualBox 版本是否匹配。如果 HCL 安装之后提示找不到 VirtualBox 或者不兼容先把当前 VirtualBox 卸载干净再装 HCL 要求对应的大版本比如 6.0.x 系列装完先别急着打开 VirtualBox 主界面直接开 HCL 试试。Hyper-V 是否与 VirtualBox 冲突。Windows 自带的 Hyper-V 和 Windows 虚拟机监控程序可能会占用虚拟化资源导致 HCL 里的 VirtualBox 无法正常启动设备。如果电脑上有装 Docker Desktop、WSL2 或者开启过 Windows 沙盒都有可能触发这个问题。可以进入Windows 功能面板检查 Hyper-V 状态如果不常用可以临时关闭 Hyper-V 重启后再试。BIOS 里的虚拟化开关。进入 BIOS 找到Intel Virtualization Technology或SVM Mode选项确认处于 Enabled 状态。删除旧配置缓存。如果之前装过旧版本 HCL升级之后启动新设备时可能读取到旧版缓存而报无法读取设备信息。可以到 HCL 的安装目录下找到设备相关的配置目录备份后删除重新打开软件。我在实际使用中遇到过一种情况VirtualBox 版本没问题BIOS 也都正常但设备还是启动失败。后来发现是笔记本上开了全局代理类的软件和 VirtualBox 的虚拟网卡服务有冲突退出之后设备就正常了。所以你如果按常规排查还不行可以想想机器上有没有类似网络增强类的软件先退掉再说。3. 搭建实验拓扑交换机的接口 IP 与链路状态3.1 从设备库拖出交换机并完成连线HCL 安装好之后打开软件新建一个拓扑。左侧设备库里有路由器、交换机、防火墙等设备这次实验我们以交换机 S5820V2 系列为例。把它拖到中间的拓扑画布上然后再从设备库里拖一台路由器出来比如 MSR36-20作为 Telnet 的客户端。为什么要两台设备因为 Telnet 是一个远程登录行为你总得有一个另外的设备去访问交换机。用 Windows 命令行直接访问 HCL 里的设备在桥接配置上比较麻烦拓扑里两台设备互连是最稳妥的验证方式。拖出设备之后把交换机的 GigabitEthernet1/0/1 接口和路由器的 GigabitEthernet0/0 接口用线连起来。在 HCL 的画布里先选中一个接口再选中另一个接口软件会自动生成一条链路。连线完成后把两台设备都点启动。设备启动需要时间尤其是第一次启动可能要等 30 秒以上不要急着双击命令行窗口等设备旁边的状态图标变成运行中再去操作。期望的界面是这样的两台设备在画布上呈运行状态连线变成绿色。如果链路是红色或者灰色说明物理链路没有起来后面交换机 VLAN 接口想 up 都 up 不了。3.2 给交换机配置管理地址VLAN 接口 IP交换机启动之后双击交换机会弹出命令行窗口。默认情况下在按回车之前设备可能没有任何响应这是正常的敲一下回车唤醒它看到H3C提示符就说明进入用户视图了。首先给交换机改一个主机名方便和路由器区分H3C system-view [H3C] sysname Switch接下来配置管理 IP。在交换机上三层口通常是 VLAN 接口。所有接口默认都属于 VLAN 1所以我们可以直接给 Vlan-interface 1 配地址[Switch] interface Vlan-interface 1 [Switch-Vlan-interface1] ip address 192.168.1.1 24 [Switch-Vlan-interface1] quit配置完后先 ping 一下路由器侧地址。路由器的接口地址我马上就会配但为了说明顺序我先在这里把交换机 IP 配好等路由器配完再回来验证连通性。需要注意的是192.168.1.1 24这种写法在 H3C 的 Comware 7 里是可以直接用的相当于192.168.1.1 255.255.255.0日常操作这么写更简洁。检查接口状态可以用[Switch] display interface Vlan-interface 1输出里重点看Current state是UP还是DOWN。如果链路已连接、对端设备已启动VLAN 接口应该是 UP如果一直是 DOWN先回去检查物理链路和设备启动状态。这一步好多人会忽略总觉得配置没问题就应该通实际上模拟器里链路没起VLAN 接口就是 up 不了ping 自然也不会通。4. 在交换机上正式开启 Telnet 服务4.1 先理解 VTY 是什么Telnet 能不能登录成功关键在 VTY 配置。VTY 是虚拟终端线路你可以把它理解成交换机为远程登录用户准备的虚拟座位。用户从网络那一头发起 Telnet 连接交换机在 VTY 线路上给这个会话分配一个虚拟终端双方开始交互。没有 VTY 配置或者 VTY 限制过多用户就算连上了也会被立刻断开。在 H3C 设备上VTY 线路默认开启的数量可能不同但常见的写法是line vty 0 4也就是 0 到 4 一共 5 条线路可以同时支持 5 个远程登录会话。单机实验完全够用。理解了这个你就知道为什么 Telnet 配置里必然会有line vty 0 4这一行。4.2 使用 password 方式认证最简配置第一种认证方式是password认证就是远程用户只需要输入一个密码就能登录不需要用户名。这个配置最少适合纯粹练手。在交换机上依次执行[Switch] telnet server enable [Switch] line vty 0 4 [Switch-line-vty0-4] authentication-mode password [Switch-line-vty0-4] set authentication password simple admin123 [Switch-line-vty0-4] user-role network-admin [Switch-line-vty0-4] protocol inbound telnet [Switch-line-vty0-4] quit这里有三个点需要解释一下telnet server enable是全局开启 Telnet 服务的开关。有些 HCL 版本默认可能没有开启这个服务所以这条命令现在写出来后面就不会遇到连接被拒绝的问题。authentication-mode password表示线路只校验密码。user-role network-admin表示登录后的用户角色是网络管理员拥有最高权限能进system-view改配置。如果你不写这个登录后可能只有操作员权限很多命令敲不了。protocol inbound telnet的意思是这条 VTY 线路只允许 Telnet 协议进入。以后如果要在同一组线路上开通 SSH可以改成protocol inbound all或者再加配置这里先不展开。最后记得保存配置不然模拟器关闭后所有配置都会丢失[Switch] save forceH3C 的save force表示不交互确认直接保存到启动配置文件中。在模拟器里操作这已经成了条件反射配完必存。4.3 使用 scheme 方式认证用户名加密码password认证虽然简单但有个问题它分不清是谁登录的所有通过同一个密码登录的人得到的权限都一样。实际生产环境里更常用的是scheme认证也就是到本地用户数据库里校验用户名和密码并且可以给不同用户分配不同权限。配置命令如下[Switch] line vty 0 4 [Switch-line-vty0-4] authentication-mode scheme [Switch-line-vty0-4] quit [Switch] local-user admin class manage [Switch-luser-manage-admin] password simple admin123 [Switch-luser-manage-admin] service-type telnet [Switch-luser-manage-admin] authorization-attribute user-role network-admin [Switch-luser-manage-admin] quit这里出现的local-user admin class manage是 H3C Comware 7 的典型写法class manage表示这是一个管理类用户。service-type telnet限定了这个用户只能通过 Telnet 进来。authorization-attribute user-role network-admin则是在用户级别上指定权限和前面 VTY 线路下的user-role配合使用。在这种模式下Telnet 登录时会先提示输入用户名再提示输入密码和 Linux 服务器登录的体验差不多。这个方式建议你配置完之后也练一遍生产环境里遇到 H3C 和华为设备的概率都很大逻辑相通会了这个就理解了远程管理认证的完整结构。4.4 登录验证前的自检查看服务和配置配置完不要急着去另一台设备上敲 Telnet先回到交换机上做两个检查。第一确认 Telnet 服务已经全局开启[Switch] display telnet server status如果返回Telnet server: Enabled说明服务端没问题。如果显示 Disabled回到系统视图重新执行telnet server enable。第二确认 VTY 配置实际生效[Switch] display current-configuration | include line vty telnet或者直接display this在对应视图下查看。重点检查认证方式和user-role是否都写对了。4.5 给路由器配好对端 IP交换机这边准备完毕接下来处理 Telnet 客户端这台设备也就是之前拖出来的那台路由器。双击路由器命令行窗口进入系统视图H3C system-view [H3C] sysname Client-Router [Client-Router] interface GigabitEthernet0/0 [Client-Router-GigabitEthernet0/0] ip address 192.168.1.2 24 [Client-Router-GigabitEthernet0/0] quit然后在路由器上 ping 一下交换机[Client-Router] ping 192.168.1.1如果 ping 的结果是!连续出现说明链路层和网络层都是通的。如果显示Request time out回到上面第 3 章的检查方法看交换机的 VLAN 接口是不是 UP、链路是不是绿色、IP 有没有写错。这里有一个模拟器的经典坑设备启动后拓扑里的连线虽然是绿色但接口协议栈可能还没完全就绪第一次 ping 往往会丢几个包。这不是配置错误等几秒再 ping 一般就好了。5. 用路由器 Telnet 登录交换机完整验证5.1 第一条 Telnet 命令确认互通之后在路由器上执行 Telnet 命令[Client-Router] telnet 192.168.1.1如果使用的是 password 认证会直接看到Password:提示输入admin123。注意输入的密码不会回显不要以为自己没敲进去输完直接回车。登录成功后提示符会变成Switch也就是进入了交换机的用户视图。到这里Telnet 连接已经建立成功了。5.2 登录后验证权限和配置为了确认自己不是被半吊子地连上去登录后要验证两点。第一能不能进入系统视图。输入Switch system-view [Switch]如果提示符变成[Switch]说明你有 network-admin 权限后面改配置没问题。第二看看当前配置里 VTY 和用户的部分。在系统视图下执行[Switch] display current-configuration | include line vty [Switch] display current-configuration | include local-user如果能看到line vty 0 4、authentication-mode password或authentication-mode scheme说明远程管理配置已经在运行。如果你前面配置的是 scheme 认证Telnet 登录时会有两步提示Username: admin Password:用户名输入admin密码输入admin123效果一样。5.3 如果还想用 Windows 命令行直接连用路由器做客户端已经足够证明实验成功。如果你还想尝试用 Windows 自带的命令行 Telnet 连接模拟器里的交换机需要在 HCL 中额外配置宿主设备把交换机的接口桥接映射到 Windows 的虚拟网卡上还要处理 Windows 防火墙对 23 端口的拦截。这个比拓扑里两台设备互连要繁琐而且不同 HCL 版本的桥接方式不一样新手容易绕晕。我的建议是第一遍实验别在这个方向上浪费时间先用拓扑内设备验证逻辑等 Telnet 的原理完全通了再考虑和宿主机的连通性实验。6. Telnet 连接失败的排查链路完整走一遍6.1 从 ping 不通到登录失败的分段定位很多人在这一步出问题我把我遇到过的真实故障按链路顺序整理成一张表你照着从第一行开始查基本能定位到 90% 的问题现象可能原因定位命令/操作ping 不通交换机VLAN 接口没 UP、IP 配置错误、链路未连接display interface Vlan-interface 1检查拓扑连线ping 通但 Telnet 连接被拒绝telnet server enable没有执行display telnet server status提示 Connected 后马上断开VTY 协议限制或认证配置异常检查line vty 0 4下的protocol inbound和authentication-mode提示 Authentication failed密码或用户名错误检查 VTY 密码或本地用户配置登录成功但不能进 system-view用户角色权限不够配置user-role network-admin后重新登录这张表的核心逻辑是先网络层再服务层最后是认证和权限层。很多人一看到连不上就直接去改密码结果发现 ping 都不通白折腾半天。一定要按顺序排查。6.2 模拟器特有的疑难杂症除了上面这些配置问题HCL 本身还有几个特色问题不影响真机但在模拟器里经常让人怀疑人生。第一个是设备启动后命令行窗口点了没反应。这通常不是配置问题而是设备还没完全启动。HCL 的设备启动是逐步加载内核和系统文件的图形界面显示运行中不代表命令行已经完全就绪。你多做一步等拓扑里的设备图标稳定变成运行状态再等 10 到 20 秒再双击进入命令行。第二个是配置完保存了但关掉拓扑重新打开设备配置又变回默认。这种情况一般是你没有点拓扑的保存按钮或者保存的是另一个拓扑文件。在 HCL 里设备配置文件是跟着拓扑文件走的你单独save force只保存了设备内部配置如果整个拓扑文件没保存下次打开还是旧拓扑。建议在实验结束后同时保存拓扑文件和设备配置。第三个是 HCL 里两台设备之间的 ping 延迟特别大甚至第一次 ping 会超时。模拟器的虚拟网络性能远不如真机尤其是设备同时跑图形界面和虚拟化的时候。遇到超时不要慌多 ping 几次只要后续有稳定的!返回链路就是正常的。6.3 一个容易被忽略的权限细节Telnet 登录成功并不等于你能做任何事。在 Comware 7 体系里用户最终权限由用户角色决定。network-admin是管理角色拥有全部读改写权限如果配的是network-operator就只能看配置、不能修改很多命令连敲都敲不出来。所以如果你发现自己 Telnet 登录后执行system-view保错或没有这个命令大概率是 VTY 线路或本地用户的user-role没给够。这一点在排查顺序里很容易漏因为它不影响登录本身只影响登录后的操作。7. 生产环境别照搬 Telnet安全加固思路模拟器里练手用password simple没有任何问题因为实验环境不存在被偷听的风险。但在真实生产设备上Telnet 是明文协议用户名和密码在网络中直接裸奔抓包工具一拍就能看到。所以现在企业网络里的远程管理基本都转向 SSH对应 H3C 设备上的stelnet。不过你不需要觉得 Telnet 白学了。恰恰相反Telnet 配置里的 VTY、认证模式、用户角色这些概念和 SSH 完全一致。在生产设备上开 SSH你依然要配置line vty 0 4依然要配置authentication-mode scheme依然要创建本地用户并指定角色。差别只是在服务层多一条ssh server enableH3C 里是stelnet server enable然后把 VTY 的protocol inbound改成all或者ssh而已。我给初学者的建议是在 HCL 里把 password 认证和 scheme 认证各配一遍并刻意练习查看当前配置、定位问题的能力。这两套认证方式覆盖了基础设备远程管理的所有核心逻辑以后到了真机上不管遇到 H3C、华为还是其他使用 Comware 体系的设备你都知道自己该往哪里看。最后再分享一个我的个人习惯每次在 HCL 里做完一个实验不要急着关模拟器。我会把拓扑保存一份再把核心命令整理成一个文本笔记放在同目录下。这样过一个月想回来复习双击拓扑文件设备起来之后照着笔记核对配置十分钟就能把整个实验重新跑通。这种留档的习惯比反复看视频有效得多。
