H3C配置AAA文檔

1、文檔來(lái)源為 :從網(wǎng)絡(luò)收集整理 .word 版本可編輯 .歡迎下載支持 AAA 認(rèn)證配置方法： Telnet 用戶通過(guò) HWTACACS 服務(wù)器認(rèn)證、 授權(quán)、計(jì) 費(fèi)的應(yīng)用配置 1. 組網(wǎng)需求 通過(guò)配置 Switch 實(shí)現(xiàn) HWTACACS 服務(wù)器對(duì)登錄 Switch 的用戶進(jìn)行認(rèn)證、授權(quán)、計(jì)費(fèi)。 一臺(tái) HWTACACS 服務(wù)器（擔(dān)當(dāng)認(rèn)證、 授權(quán)、 計(jì)費(fèi)服務(wù) 器的職責(zé)）與 Switch 相連，服務(wù)器 IP 地址為 Switch 與認(rèn)證、 授權(quán)、計(jì)費(fèi) HWTACACS 服務(wù)器交互報(bào) 文時(shí)的共享密鑰均為 expert ，發(fā)送給 HWTACACS 服務(wù)器的用戶名中不帶域名。 在 HWTACACS 服務(wù)器

2、上設(shè)置與 Switch 交互報(bào)文時(shí)的 共享密鑰為 expert 。 2. 組網(wǎng)圖 圖 1-7 Telnet 用戶遠(yuǎn)端 HWTACACS 認(rèn)證、授權(quán)和計(jì)費(fèi)配置組 網(wǎng)圖 Telnet user Switch HWTACACS server 3. 配置步驟 # 配置各接口的 IP 地址（略）。 # 開(kāi)啟 Switch 的 Telnet 服務(wù)器功能。 system-view Switch telnet server enable # 配置 Telnet 用戶登錄采用 AAA 認(rèn)證方式。 Switch user-interface vty 0 4 Switch-ui-vty0-4 authenticat

3、ion-mode scheme Switch-ui-vty0-4 quit # 配置 HWTACACS 方案。 1-32 Switch hwtacacs scheme hwtac Switch-hwtacacs-hwtac primary authentication 49 49 expert Switch-hwtacacs-hwtacprimary authorization Switch-hwtacacs-hwtac primary accounting 49 Switch-hwtacacs-hwtackey authentication Switch-hwtacacs-hwtac key

4、 authorization expert Switch-hwtacacs-hwtac key accounting expert Switch-hwtacacs-hwtac user-name-format without-domain Switch-hwtacacs-hwtac quit # 配置 ISP 域的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication login hwtacacs-scheme hwtac Switch-isp-bbb authorization login hwtacacs-scheme hwtac

5、Switch-isp-bbb accounting login hwtacacs-scheme hwtac Switch-isp-bbb quit # 或者不區(qū)分用戶類(lèi)型，配置缺省的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication default hwtacacs-scheme hwtac Switch-isp-bbb authorization default hwtacacs-scheme hwtac Switch-isp-bbb accounting default hwtacacs-scheme hwtac 使用 Teln

6、et 登錄時(shí)輸入用戶名為 userid bbb ，以使用域 bbb 進(jìn)行認(rèn)證。 Telnet 用戶通過(guò) local 認(rèn)證、 HWTACACS 授權(quán)、 RADIUS 計(jì)費(fèi)的應(yīng)用配置 1. 組網(wǎng)需求 通過(guò)配置Switch實(shí)現(xiàn)local認(rèn)證，HWTACACS 授權(quán)和 RADIUS 計(jì)費(fèi)。 Telnet 用戶的用戶名和密碼 為 hello 。 一臺(tái) HWTACACS 服務(wù)器（擔(dān)當(dāng)授權(quán)服務(wù)器的職責(zé)）與 Switch 相連，服務(wù)器 IP 地址為 Switch 與授權(quán) HWTACACS 服務(wù)器交互報(bào)文時(shí)的共享密 鑰均為 expert ，發(fā)送給 HWTACACS 服務(wù)器的用戶名中不帶域名。 一臺(tái) RADIUS

7、 服務(wù)器（擔(dān)當(dāng)計(jì)費(fèi)服務(wù)器的職責(zé)）與 Switch 相連，服務(wù)器 IP 地址為 Switch 與計(jì)費(fèi) RADIUS 服務(wù)器交互報(bào)文時(shí)的共享密鑰為 expert 。 其它接入如果需要此類(lèi) AAA 應(yīng)用，和 Telnet 接入在域的 AAA 配置上類(lèi)似，只有接入的區(qū)分。 1-33 2. 組網(wǎng)圖 圖 1-8 Tel net 用戶 local 認(rèn)證、H WTACACS 授權(quán)和 RADIUS 計(jì) 費(fèi)配置組網(wǎng)圖 3. 配置步驟 # 配置各接口的 IP 地址（略）。 # 開(kāi)啟 Switch 的 Telnet 服務(wù)器功能。 system-view Switch telnet server enable # 配置

8、 Telnet 用戶登錄采用 AAA 認(rèn)證方式。 Switch user-interface vty 0 4 Switch-ui-vty0-4 authentication-mode scheme Switch-ui-vty0-4 quit # 配置 HWTACACS 方案。 Switch hwtacacs scheme hwtac Switch-hwtacacs-hwtac primary authorization 49 Switch-hwtacacs-hwtac key authorization expert Switch-hwtacacs-hwtac user-name-format

9、 without-domain Switch-hwtacacs-hwtac quit # 配置 RADIUS 方案。 Switch radius scheme rd Switch-radius-rd primary accounting 1813 Switch-radius-rd key accounting expert Switch-radius-rd server-type extended Switch-radius-rd user-name-format without-domain Switch-radius-rd quit # 創(chuàng)建本地用戶 hello 。 Switch loca

10、l-user hello Switch-luser-hello service-type telnet Switch-luser-hello password simple hello Switch-luser-hello quit # 配置 ISP 域的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication login local 1-34 Switch-isp-bbb authorization login hwtacacs-scheme hwtac Switch-isp-bbb accounting login radius-sc

11、heme rd Switch-isp-bbb quit # 或者不區(qū)分用戶類(lèi)型，配置缺省的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication default local Switch-isp-bbb authorization default hwtacacs-scheme hwtac Switch-isp-bbb accounting default radius-scheme imc 使用 Telnet 登錄時(shí)輸入用戶名為 hellobbb ，以使用域 bbb 進(jìn)行認(rèn)證。 SSH 用戶通過(guò) RADIUS 服務(wù)器認(rèn)證、授權(quán)、計(jì)費(fèi)的

12、 應(yīng)用配置 1. 組網(wǎng)需求 如 圖1-9所示，配置 Switch 實(shí)現(xiàn) RADIUS 服務(wù)器對(duì)登錄 Switch的SSH用戶進(jìn)行認(rèn)證、授權(quán)和計(jì)費(fèi)。 由一臺(tái) iMC 服務(wù)器擔(dān)當(dāng)認(rèn)證 /授權(quán)、計(jì)費(fèi) RADIUS 服務(wù) 器的職責(zé)，服務(wù)器 IP 地址為 Switch 與認(rèn)證 /授權(quán)、計(jì)費(fèi) RADIUS 服務(wù)器交互報(bào)文時(shí) 的共享密鑰均為 expert ，向 RADIUS 服務(wù)器發(fā)送的用戶名帶域名。服務(wù)器根據(jù)用戶名攜帶的域 名來(lái)區(qū)分提供給用戶的服務(wù)。 2. 組網(wǎng)圖 圖1-9 SSH 用戶 RADIUS 認(rèn)證、授權(quán)和計(jì)費(fèi)配置組網(wǎng)圖 SSH user Switch RADIUS server Vlan-int

13、2 3. 配置步驟 （1）配置 RADIUS server （iMC） 下面以 iMC 為例（使用 iMC 版本為： iMC PLAT 3.20-R2602 、iMC UAM 3.60-E6102 ），說(shuō)明 RADIUS server 的基本配置。 # 增加接入設(shè)備。 登錄進(jìn)入 iMC 管理平臺(tái)，選擇“業(yè)務(wù)”頁(yè)簽，單擊導(dǎo)航 樹(shù)中的 接入業(yè)務(wù) /接入設(shè)備配置 菜單項(xiàng)，進(jìn) 入接入設(shè)備配置頁(yè)面，在該頁(yè)面中單擊“增加”按鈕，進(jìn) 入增加接入設(shè)備頁(yè)面。 設(shè)置與 Switch 交互報(bào)文時(shí)的認(rèn)證、計(jì)費(fèi)共享密鑰為 expert ； 設(shè)置認(rèn)證及計(jì)費(fèi)的端口號(hào)分別為 1812 和1813 ； 1-35 選擇業(yè)務(wù)類(lèi)型為

14、設(shè)備管理業(yè)務(wù)； 選擇接入設(shè)備類(lèi)型為 H3C ； 選擇或手工增加接入設(shè)備，添加 IP 地址為 的接入設(shè) 備。 圖 1-10 增加接入設(shè)備 # 增加設(shè)備管理用戶。 選擇“用戶” 頁(yè)簽，單擊導(dǎo)航樹(shù)中的 接入用戶視圖 /設(shè)備管 理用戶 菜單項(xiàng)，進(jìn)入設(shè)備管理用戶列表 頁(yè)面，在該頁(yè)面中單擊 按鈕，進(jìn)入增加設(shè)備管理頁(yè) 面。 添加用戶名 hellobbb 和密碼； 選擇服務(wù)類(lèi)型為 SSH ； 增加所管理設(shè)備的 IP 地址， IP 地址范圍為“ 1-36 圖1-11 增加設(shè)備管理用戶 (2) 配置 Switch #配置VLAN接口 2的IP地址，SSH客戶端將通過(guò)該地 址連接 SSH 服務(wù)器。 system-v

15、iew Switch interface vlan-interface 2 Switch-Vlan-interface2 ip address Switch-Vlan-interface2 quit # 配置 VLAN 接口 3 的 IP 地址， Switch 將通過(guò)該地址與 服務(wù)器通信。 Switch interface vlan-interface 3 Switch-Vlan-interface3 ip address Switch-Vlan-interface3 quit # 生成 RSA 及 DSA 密鑰對(duì)，并啟動(dòng) SSH 服務(wù)器。 Switch public-key local cr

16、eate rsa Switch public-key local create dsa Switch ssh server enable # 配置 SSH 用戶登錄采用 AAA 認(rèn)證方式。 Switch user-interface vty 0 4 Switch-ui-vty0-4 authentication-mode scheme 1-37 # 配置用戶遠(yuǎn)程登錄 Switch 的協(xié)議為 SSH 。 Switch-ui-vty0-4 protocol inbound ssh Switch-ui-vty0-4 quit # 配置 RADIUS 方案。 Switch radius scheme

17、rad Switch-radius-rad primary authentication 1812 Switch-radius-rad primary accounting 1813 Switch-radius-rad key authentication expert Switch-radius-rad key accounting expert Switch-radius-rad user-name-format with-domain Switch-radius-rad quit # 配置 ISP 域的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication login radius-scheme rad Switch-isp-bbb authorization login radius-scheme rad Swit