无法通过CLI治理设备
一、景象描述
设备有四种登录方式：SSH / TELNET / CONSOLE / WEB
出现如下故障：
1、CONSOLE口无法登录
2、TELNET无法登录
3、SSH无法登录
4、WEB无法登录
二、组网拓扑
三、可能原因
1、CRT软件设置参数问题，，， ，，，或者console线问题
2、control-plane不容登录设置，，， ，，，ACL过滤限度，，， ，，，VTY线程占满
四、处置步骤
景象1：CONSOLE无法登录
步骤1、查抄设备电源灯运行状态
1. 查抄PWR灯状态
电源正常：绿色常亮
电源关关或故障：不亮
备注：若是电源灯不亮，，， ，，，请查抄电源是否正常加电，，， ，，，判断设备是否存在硬件问题导致无法加电
2. 查抄SYS灯状态
上电初始化：绿色闪动
初始化实现：绿色常亮
告警：红色常亮
备注：能够关注console输出日志进行判断软件是否存在异常
步骤2、Console线参数设置
若是使用CRT软件，，， ，，，Console线登录必要选择正确的com口，，， ，，，以及波特率为9600，，， ，，，不能勾选流控位
端口能够通过电脑端的设备治理器查看
如下图所示
步骤3、代替console线/设备测试
1、代替console线进行测试，，， ，，，判断下console线是否存在问题
2、若是没有有余console线，，， ，，，代替其他支持console登录的方式测试
若是console口依然无法登录，，， ，，，窗口没有输入和输出，，， ，，，可能存在console存在硬件问题 。 。。。 ？？ ？？？？？Ｄ芄皇褂闷渌绞浇械锹疾馐 。 。。。 。
景象2：TELNET无法登录
步骤1、排查登录参数设置（地址、端口）
1、登录地址谬误
a. console线登录能够查看接口地址，，， ，，，具体号令为show ip interface brief
如上目前2口为内网口，，， ，，，7口为表网口地址，，， ，，，能够通过这两个接口登录设备，，， ，，，表网用户只能通过表网口地址登录设备
b、想要确认表网口地址，，， ，，，也能够通过内网口先登录设备后，，， ，，，而后再查看对应的表网口地址，，， ，，，
蹊径：网络—接口配置—对应表网口
补充：telnet的端口默以为23，，， ，，，telnet 端口是无法批改的
步骤2、排查设备上安全限度，，， ，，，不容登录，，， ，，，ACL过滤
1. 本地防攻击设置不容telnet登录操作，，， ，，，具体蹊径为安全—本地防攻击—不容内网/表网登录设备
对报号令为：
control-plane
security deny lan-telnet-ssh-----不容内网telnet和ssh登录设备
security deny wan-telnet-ssh-----不容表网telnet和ssh登录设
2. 在接口挪用或ip session filter挪用的ACL没有放通对应的端口或IP
a. 接口接见列表下的挪用，，， ，，，必要查抄ACL有没有放通对应的端口或IP
b. Ip session filter 流过滤操作，，， ，，，全局挪用，，， ，，，全局生效，，， ，，，必要查抄ACL有没有放通对应的端口或IP
c. Line vty下挪用的ACL没有放通对应的网段接见设备，，， ，，，导致无法telnet
所挪用的ACL161必要放通登录设备的端口或IP地址
具体蹊径：安全—ACL接见列表
配置完，，， ，，，号令行对应下发的号令如下：
步骤3、排查映射导致登录端口被占用
具体配置如下：内网服务器映射时映射到设备登录端口好比说23，，， ，，，或者是配置了整机映射映射到接口上，，， ，，，导致设备登录端口被占用，，， ，，，会导致设备无法登录，，， ，，，
a. 端口映射配置
对报号令如下：
ip nat inside source static tcp 192.168.1.10 23 172.18.161.111 23
b. 整机映射配置
对报号令如下：
ip nat inside source static 192.168.1.10 172.18.161.111 permit-inside
解决步骤：将表网映射端口23映射为1023等端口，，， ，，，预防端口占用问题 。 。。。 。
步骤4、排查多条表网线的情况下没有开启源进源出
多条表网线的情况下没有开启源进源出，，， ，，，导致表网接见到设备的数据流出现从接口7进来但是从接口6出去了 。 。。。 。所以在表网口必要开启源进源出
具体蹊径如下：网络—接口配置—对应接口下勾选源进源出
对应的号令如下：
步骤5、排查服务是否启用或者是否存在web包
1、登录服务没有开启
具体号令：查看telnet是否开启——show service
2、查看端口是否正常监听
（1）Show tcp connect ，，， ，，，LISTEN代表监听状态属于正常状态
步骤6、VTY线程被占满
能够通过show users查看vty占用的线程是否满了，，， ，，，默认是5个线程 。 。。。 ？？ ？？？？？Ｄ芄煌üclear line vty 对应数值进行线程断根，，， ，，，再尝试登录 。 。。。 。
景象3：SSH无法登录
步骤1、排查登录参数设置（地址、端口）
1、登录地址谬误
a. console线登录能够查看接口地址，，， ，，，具体号令为show ip interface brief
如上目前2口为内网口，，， ，，，7口为表网口地址，，， ，，，能够通过这两个接口登录设备，，， ，，，表网用户只能通过表网口地址登录设备
b、想要确认表网口地址，，， ，，，也能够通过内网口先登录设备后，，， ，，，而后再查看对应的表网口地址，，， ，，，蹊径：网络—接口配置—对应表网口
【补充】：SSH登录端口默以为22，，， ，，，SSH的端口是无法批改的
2、SSH服务必要开启
该职能当前只支持号令开启，，， ，，，不支持web开启
Ruijie(config)#enable service ssh-server //开启SSH服务
Ruijie(config)#crypto key generate dsa //加密方式有两种：DSA和RSA,能够轻易选择
Choose the size of the key modulus in the range of 360 to 2048 for your
Signature Keys. Choosing a key modulus greater than 512 may take a few minutes.
How many bits in the modulus [512]://直接敲回车
% Generating 512 bit DSA keys ...[ok]
步骤2、排查设备上安全限度，，， ，，，不容登录，，， ，，，ACL过滤
1、本地防攻击设置不容ssh登录等操作，，， ，，，具体蹊径为安全—本地防攻击—不容内网/表网登录设备
对报号令为：
control-plane
security deny lan-telnet-ssh-----不容内网telnet和ssh登录设备
security deny wan-telnet-ssh-----不容表网telnet和ssh登录设备
2、在接口挪用或ip session filter挪用的ACL没有放通对应的端口或IP
a. 接口接见列表下的挪用，，， ，，，必要查抄ACL有没有放通对应的端口或IP
2、 Ip session filter 流过滤操作，，， ，，，全局挪用，，， ，，，全局生效，，， ，，，必要查抄ACL有没有放通对应的端口或IP
3、 Line vty下挪用的ACL没有放通对应的网段接见设备，，， ，，，导致无法telnet
所挪用的ACL161必要放通登录设备的端口或IP地址
具体蹊径：安全—ACL接见列表
配置完，，， ，，，号令行对应下发的号令如下：
步骤3、排查映射导致登录端口被占用
具体配置：内网服务器映射时映射到设备登录端口好比说22，，， ，，，或者是配置了整机映射映射到接口上，，， ，，，导致设备登录端口被占用，，， ，，，会导致设备无法登录，，， ，，，
1、端口映射配置
对报号令如下：ip nat inside source static tcp 192.168.1.10 22 172.18.161.111 22
2. 整机映射配置
对报号令如下：ip nat inside source static 192.168.1.10 172.18.161.111 permit-inside
解决步骤：将表网映射端口22映射为1022端口，，， ，，，预防端口占用问题
步骤4、排查多条表网线的情况下没有开启源进源出
多条表网线的情况下没有开启源进源出，，， ，，，导致表网接见到设备的数据流出现从接口7进来但是从接口6出去了 。 。。。 。
所以在表网口必要开启源进源出，，， ，，，
具体蹊径：网络—接口配置—对应接口下勾选源进源出
对应的号令如下：
步骤5、排查服务是否启用或者是否存在web包
1、登录服务没有开启，，， ，，，
具体号令：查看telnet或SSH是否开启——show service
2、查看端口是否正常监听
show tcp connect ，，， ，，，LISTEN代表监听状态属于正常状态
步骤6、VTY线程被占满
能够通过show users查看vty占用的线程是否满了，，， ，，，默认是5个线程 。 。。。 ？？ ？？？？？Ｄ芄煌ü齝lear line vty 对应数值进行线程断根，，， ，，，再尝试登录 。 。。。 。
五、信息网络
把稳：以下号令合用于telnet、ssh无法登录，，， ，，，但配置口能够登录的情况，，， ，，，若配置口也无法登录，，， ，，，请实时联系400工程师处置 。 。。。 。
sh ver
sh run
sh service
sh users
sh int usage
sh tcp connect
sh memory
sh cpu | ex 0.00
sh log rev
show int usage
sh envir
sh ip fpm sta
debug su
execute diagnose-cmd fdisk
execute diagnose-cmd mount
exit
六、总结与建议
当电脑无法治理设备，，， ，，，建议优先查抄SESSION FILTER挪用的ACL是否进行了限度 。 。。。 。若是没有限度，，， ，，，能够通过show users和show ip fpm flow | in 测试电脑IP，，， ，，，来判断数据是否到达到EG 。 。。。 。
【补充】如未解决或必要相识更多详情，，， ，，，可点击售后闪电兔进行征询
颁布功夫：2024-06-07
点击量：307
文档评价
