华为AAA认证典型配置举例

搜诶符合你

2.5 AAA典型配置举例
2.5.1 Telnet/SSH用户通过RADIUS服务器认证的应用配置
　　& 说明：
　　SSH用户和Telnet用户通过RADIUS服务器进行认证的配置方法类似，下面的描述以Telnet用户的远端认证为例。
1. 组网需求
　　在图2-1所示的环境中，需要通过配置交换机实现RADIUS服务器对登录交换机的Telnet用户进行认证。
　　l 一台RADIUS认证服务器与交换机相连，服务器IP地址为10.110.91.164。
　　l 设置交换机与认证RADIUS服务器交互报文时的共享密钥为aabbcc。
　　l RADIUS服务器使用CAMS服务器。使用CAMS服务器，RADIUS服务器类型应选择extended类型。
　　l 在RADIUS服务器上设置与交换机交互报文时的共享密钥为aabbcc，设置认证的端口号，添加Telnet用户名及登录密码。
　　如果RADIUS方案中设置交换机不从用户名中去除用户域名而是一起传给RADIUS服务器，RADIUS服务器上添加的Telnet用户名设置为“userid@isp-name”形式。
2. 组网图

　　图2-1 配置Telnet用户的远端RADIUS认证
3. 配置步骤
　　# 进入系统视图。
　　<Sysname> system-view
　　# 配置Telnet用户采用AAA认证方式。
　　[Sysname] user-interface vty 0 4
　　[Sysname-ui-vty0-4] authentication-mode scheme
　　# 配置domain。
　　[Sysname] domain cams
　　[Sysname-isp-cams] access-limit enable 10
　　[Sysname-isp-cams] quit
　　# 配置RADIUS方案。
　　[Sysname] radius scheme cams
　　[Sysname-radius-cams] accounting optional
　　[Sysname-radius-cams] primary authentication 10.110.91.164 1812
　　[Sysname-radius-cams] key authentication aabbcc
　　[Sysname-radius-cams] server-type huawei
　　[Sysname-radius-cams] user-name-format with-domain
　　[Sysname-radius-cams] quit
　　# 配置domain和RADIUS的关联。
　　[Sysname] domain cams
　　[Sysname-isp-cams] scheme radius-scheme cams
　　Telnet用户登录时输入用户名userid @cams，以使用cams域进行认证。
2.5.2 FTP/Telnet用户本地认证配置
　　& 说明：
　　FTP用户与Telnet用户通过本地认证的配置方法类似，下面描述仅以Telnet用户为例。
1. 组网需求
　　如下图所示的环境中，现需要通过配置交换机实现对登录交换机的Telnet用户进行本地认证。
2. 组网图

　　图2-2 配置Telnet用户的本地认证
3. 配置步骤
　　(1) 方法一：使用本地认证方案。
　　# 进入系统视图。
　　<Sysname> system-view
　　# 配置Telnet用户采用AAA认证方式。
　　[Sysname] user-interface vty 0 4
　　[Sysname-ui-vty0-4] authentication-mode scheme
　　[Sysname-ui-vty0-4] quit
　　# 创建本地用户telnet。
　　[Sysname] local-user telnet
　　[Sysname-luser-telnet] service-type telnet
　　[Sysname-luser-telnet] password simple aabbcc
　　[Sysname-luser-telnet] quit
　　# 配置缺省system域采用的认证方式。
　　[Sysname] domain system
　　[Sysname-isp-system] scheme local
　　使用Telnet登录时输入用户名为telnet@system，以使用system域进行认证。
　　(2) 方法二：使用本地RADIUS服务器
　　这种方法与2.5.1 节中的远端RADIUS认证方法类似，不同之处在于：
　　l 需要将2.5.1 节中“配置RADIUS方案”中的服务器IP地址修改为127.0.0.1，认证服务的UDP端口号修改为1645。
　　l 配置开启本地RADIUS服务器，设置网络接入服务器IP地址为127.0.0.1，共享密钥为aabbcc。
　　l 配置本地用户。
2.5.3 配置Telnet用户通过TACACS服务器进行认证和授权
1. 组网需求
　　通过配置交换机实现TACACS服务器对登录交换机的Telnet用户进行认证、授权。
　　一台TACACS服务器（其担当认证、授权、计费服务器的职责）与交换机相连，服务器IP地址为10.110.91.164，设置交换机与认证、授权、计费TACACS服务器交互报文时的共享密钥均为“expert”，设置交换机除去用户名中的域名后再将之传给TACACS服务器。
　　在TACACS服务器上设置与交换机交互报文时的共享密钥为aabbcc。
2. 组网图

　　图2-3 配置Telnet用户的远端TACACS认证和授权
3. 配置步骤
　　# 添加Telnet用户。
　　此处略。
　　# 配置HWTACACS方案。
　　<Sysname> system-view
　　[Sysname] hwtacacs scheme hwtac
　　[Sysname-hwtacacs-hwtac] primary authentication 10.110.91.164 49
　　[Sysname-hwtacacs-hwtac] primary authorization 10.110.91.164 49
　　[Sysname-hwtacacs-hwtac] key authentication aabbcc
　　[Sysname-hwtacacs-hwtac] key authorization aabbcc
　　[Sysname-hwtacacs-hwtac] user-name-format without-domain
　　[Sysname-hwtacacs-hwtac] quit
　　# 配置domain引用名为hwtac的HWTACACS方案。
　　[Sysname] domain hwtacacs
　　[Sysname-isp-hwtacacs] scheme hwtacacs-scheme hwtac
2.6 AAA常见配置错误举例
2.6.1 RADIUS常见配置错误举例
　　RADIUS协议在TCP/IP协议族中处于应用层，它主要规定交换机与ISP的RADIUS服务器间如何交互用户信息，因此它失效的可能性比较大。
　　(1) 错误之一：用户认证/授权总是失败
　　错误排除：
　　l 用户名不是“userid@isp-name”或“userid.isp-name”的形式，或设备没有指定缺省的ISP域——请使用正确形式的用户名或在设备中设定缺省的ISP域。
　　l RADIUS服务器的数据库中没有配置该用户——检查RADIUS服务器的数据库以保证该用户的配置信息确实存在。
　　l 用户侧输入的密码不正确——请保证接入用户输入正确的密码。
　　l RADIUS服务器和设备的报文共享密钥不同——请仔细比较两端的共享密钥，确保它们相同。
　　l 设备与RADIUS服务器之间存在通信故障（可以通过在设备上ping RADIUS服务器来检查）——请保证设备与RADIUS服务器之间能够正常通信。
　　(2) 错误之二：RADIUS报文无法传送到RADIUS服务器
　　错误排除：
　　l 设备与RADIUS服务器之间的通信线路不通（物理层/链路层）——请保证线路通畅。
　　l 设备上没有设置相应的RADIUS服务器IP地址——请保证正确设置RADIUS服务器的IP地址。
　　l 认证/授权和计费服务的UDP端口设置得不正确——请保证与RADIUS服务器提供的端口号一致。
　　(3) 错误之三：用户认证通过并获得授权，但是不能向RADIUS服务器传送计费话单。
　　错误排除：
　　l 计费端口号设置得不正确——请正确设置RADIUS计费端口号。
　　l 计费服务器和认证/授权服务器不是同一台机器，设备却要求认证/授权和计费在同一个服务器（IP地址相同）——请保证设备的认证/授权和计费服务器的设置与实际情况相同。
2.6.2 HWTACACS常见配置错误举例
　　HWTACACS的常见配置错误举例与RADIUS基本相似，可以参考上面内容。