前言

读者对象

本文档适用于负责配置和管理CE系列交换机的网络工程师。您应该熟悉以太网基础知识，且具有丰富的网络部署与管理经验。

符号约定

在本文中可能出现下列标志，它们所代表的含义如下。

命令行格式约定

在本文中可能出现下列命令行格式，它们所代表的含义如下。

接口编号约定

本手册中出现的接口编号仅作示例，并不代表设备上实际具有此编号的接口，实际使用中请以设备上存在的接口编号为准。

参考标准和协议

请登录华为网站，搜索“标准协议顺从表”，获取《数据中心交换机标准协议顺从表》。

安全约定

• 密码配置约定
  • 配置密码时请尽量选择密文模式(cipher)。为充分保证设备安全，请用户不要关闭密码复杂度检查功能，并定期修改密码。
  • 配置明文模式的密码时，请不要以“%^%#......%^%#”作为起始和结束符。因为用这些字符为起始和结束符的是合法密文（本设备可以解密的密文），配置文件会显示与用户配置相同的显示密码。当设备上使用命令set master-key设置了系统主密钥后，请不要以“%@%#”作为起始和结束符，因为此时用字符“%@%#”为起始和结束符的是合法密文。
  • 配置密文密码时，不同特性的密文密码不能互相使用。例如AAA特性生成的密文密码不能用于配置其他特性的密文密码。

  • 设备从高版本以当前版本的配置重启降级到低版本时，AAA、VTY、串口和SNMP等的用户密码可能会失效，导致用户通过密码登录设备失败、网管脱管等现象。

    为了解决这个问题，可以采取以下措施：

    1. 如果串口没有设置密码，可以通过串口登录，重新配置AAA和VTY、SNMP等的用户密码。出于安全考虑，建议用户配置串口密码。
    2. 如果串口也设置了密码，降级后，串口密码会失效导致串口连不上。如果降级到V200R005C10之后版本，请联系华为技术支持人员；如果降级到V200R005C10及之前版本，可以通过以下步骤解决：
       1. 串口接入；
       2. 下电重启设备，在启动过程中，根据串口打印屏幕提示输入Ctrl+B进入BIOS界面；
       3. 选择7.Modify console password，清除并修改串口密码；
       4. 重启设备，通过串口登录设备，重新配置AAA和VTY、SNMP等的用户密码。
• 加密算法约定

  目前设备采用的加密算法包括DES、3DES、AES、DSA、RSA、DH、ECDH、HMAC、SHA1、SHA2、PBKDF2、scrypt、MD5，具体采用哪种加密算法请根据场景而定。请优先采用我们的建议，否则会造成无法满足您安全防御的要求。

  • 对称加密算法建议使用AES（256位及以上密钥）。
  • 非对称加密算法建议使用RSA（2048位及以上密钥），使用非对称算法时，加密和签名要使用不同的密钥对。
  • 数字签名建议使用RSA（2048位及以上密钥）或者DSA（2048位及以上密钥）。
  • 密钥协商建议使用DH（2048位及以上密钥）或者ECDH（256位及以上密钥）。
  • 哈希算法建议使用SHA2（256及以上密钥）。
  • HMAC（基于哈希算法的消息验证码）算法建议使用HMAC-SHA2。
  • DES、3DES、RSA和AES加密算法是可逆的。对于协议对接类的应用场景，存储在本地的密码必须使用可逆加密算法。
  • SHA1、SHA2和MD5加密算法是不可逆的。对于本地管理员类型的密码，建议采用SHA2不可逆加密算法。
  • 为了防止对于密码的暴力破解，对用户密码在增加盐值的基础上进行迭代计算，迭代算法使用PBKDF2或者scrypt秘钥导出算法。
  • ECB模式抵抗明文防重放攻击能力较弱，密码加密不建议选择ECB模式。
  • SSH2.0版本中，使用CBC模式的对称加密算法可能受到明文恢复攻击而泄露加密传输的内容，因此，在SSH2.0中不建议使用CBC模式对数据加密。
• 个人数据约定

  您购买的产品、服务或特性在业务运营或故障定位的过程中将可能获取或使用用户的某些个人数据（如终端用户的MAC地址或IP地址），因此您有义务根据所适用国家的法律制定必要的用户隐私政策并采取足够的措施以确保用户的个人数据受到充分的保护。

• 本文档中出现的“镜像端口、端口镜像、流镜像、镜像”等相关词汇仅限于为了描述该产品进行检测通信传输中的故障和错误的目的而使用，不涉及采集、处理任何个人数据或任何用户通信内容。

特别声明

• 本手册仅作为使用指导，其内容（如CLI命令格式、命令输出）依据实验室设备信息编写。手册提供的内容具有一般性的指导意义，并不确保涵盖所有型号产品的所有使用场景。因版本升级、设备型号不同、配置文件不同等原因，可能造成手册中提供的内容与用户使用的设备界面不一致。请以用户设备界面的信息为准，本手册不再针对前述情况造成的差异一一说明。
• 本手册中提供的最大值是设备在实验室特定场景（例如，被测试设备上只有某种类型的单板，或者只配置了某一种协议）达到的最大值。在现实网络中，由于设备硬件配置不同、承载的业务不同等原因会使设备测试出的最大值与手册中提供的数据不一致。
• 出于特性介绍及配置示例的需要，产品资料中会使用公网IP地址，如无特殊说明出现的公网IP地址均为示意，不指代任何实际意义。

产品软件和周边产品配套关系

产品软件和周边产品配套关系请参见CE交换机软件版本配套关系说明。请选择正确的配套版本，否则可能会导致功能不可用。