- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-AAA命令
本章节下载： 01-AAA命令 (481.51 KB)
1.1.1 aaa abnormal-offline-record enable
1.1.2 aaa normal-offline-record enable
1.1.3 aaa offline-record enable
1.1.4 aaa online-fail-record enable
1.1.19 authorization-attribute (ISP domain view)
1.1.20 display aaa abnormal-offline-record
1.1.21 display aaa normal-offline-record
1.1.22 display aaa offline-record
1.1.23 display aaa online-fail-record
1.1.28 load-sharing user-group
1.1.30 reset aaa abnormal-offline-record
1.1.31 reset aaa normal-offline-record
1.1.32 reset aaa offline-record
1.1.33 reset aaa online-fail-record
1.1.34 state (ISP domain view)
1.1.35 state block time-range name
1.2.2 authorization-attribute (Local user view/user group view)
1.2.8 service-type (Local user view)
1.3.3 display radius statistics
1.3.4 key (RADIUS scheme view)
1.3.5 primary accounting (RADIUS scheme view)
1.3.6 primary authentication (RADIUS scheme view)
1.3.7 radius authentication-request first
1.3.9 radius-server test-profile
1.3.10 reset radius statistics
1.3.11 reset stop-accounting-buffer (for RADIUS)
1.3.12 secondary accounting (RADIUS scheme view)
1.3.13 secondary authentication (RADIUS scheme view)
1.3.14 snmp-agent trap enable radius
1.3.17 user-name-format (RADIUS scheme view)
1.3.18 vpn-instance (RADIUS scheme view)
1.4.4 key (HWTACACS scheme view)
1.4.5 nas-ip (HWTACACS scheme view)
1.4.6 primary accounting (HWTACACS scheme view)
1.4.7 primary authentication (HWTACACS scheme view)
1.4.9 reset hwtacacs statistics
1.4.10 secondary accounting (HWTACACS scheme view)
1.4.11 secondary authentication (HWTACACS scheme view)
1.4.12 secondary authorization
1.4.13 user-name-format (HWTACACS scheme view)
aaa abnormal-offline-record enable命令用来开启用户异常下线记录功能。
undo aaa abnormal-offline-record enable命令用来关闭用户异常下线记录功能。
【命令】
aaa abnormal-offline-record enable
undo aaa abnormal-offline-record enable
【缺省情况】
用户异常下线记录功能处于开启状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启本功能后，系统会将所有异常下线的用户信息（用户基本信息、下线原因等）记录到系统内存中，方便管理员进行管理和故障定位，具体内容可通过display aaa abnormal-offline-record命令进行查看。当管理员需要分析用户下线原因时，建议开启本功能。
设备最多支持存储32768条用户异常下线记录，超过该数目后，新的记录会覆盖旧的记录。
关闭本功能后，系统停止记录用户异常下线信息，可提高当前可用内存容量，但管理员将看不到用户异常下线信息，存在一定风险。
【举例】
# 开启用户异常下线记录功能。
<Sysname> system-view
[Sysname] aaa abnormal-offline-record enable
【相关命令】
· aaa offline-record enable
· display aaa abnormal-offline-record
aaa normal-offline-record enable命令用来开启用户正常下线记录功能。
undo aaa normal-offline-record enable命令用来关闭用户正常下线记录功能。
【命令】
aaa normal-offline-record enable
undo aaa normal-offline-record enable
【缺省情况】
用户正常下线记录功能处于开启状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启本功能后，设备会将所有用户正常下线信息（用户基本信息、下线原因等）记录到系统内存中，具体内容可通过display aaa normal-offline-record命令进行查看。当管理员需要分析用户下线原因时，建议开启本功能。
设备最多支持存储32768条用户正常下线记录，超过该数目后，新的记录会覆盖旧的记录。
关闭本功能后，系统停止记录用户正常下线信息，可提高当前可用内存容量，但管理员将看不到用户正常下线信息。
【举例】
# 开启用户正常下线记录功能。
<Sysname> system-view
[Sysname] aaa normal-offline-record enable
【相关命令】
· aaa offline-record enable
· display aaa normal-offline-record
aaa offline-record enable命令用来开启用户下线记录功能。
undo aaa offline-record enable命令用来关闭用户下线记录功能。
【命令】
aaa offline-record enable
undo aaa offline-record enable
【缺省情况】
用户下线记录功能处于开启状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启本功能后，设备会将所有用户正常下线和用户异常下线的信息（用户基本信息、下线原因等）记录到系统内存中，具体内容可通过display aaa offline-record命令进行查看。当需要协助分析、定位用户下线原因以及解决用户下线故障时，建议开启本功能。
设备最多支持存储65536条用户下线记录，超过该数目后，新的记录会覆盖旧的记录。
只有本功能处于开启状态，用户正常下线记录功能和用户异常下线记录功能才能生效。
关闭本功能后，用户下线信息不会被记录到系统内存中，可提高系统当前可用内存容量，但管理员将看不到用户下线信息。
【举例】
# 开启用户下线记录功能。
<Sysname> system-view
[Sysname] aaa offline-record enable
【相关命令】
· aaa abnormal-offline-record enable
· aaa normal-offline-record enable
· display aaa offline-record
aaa online-fail-record enable命令用来开启用户上线失败记录功能。
undo aaa online-fail-record enable命令用来关闭用户上线失败记录功能。
【命令】
aaa online-fail-record enable
undo aaa online-fail-record enable
【缺省情况】
用户上线失败记录功能处于开启状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启本功能后，设备会将所有用户上线失败信息（用户基本信息、上线失败原因等）记录到系统内存中，具体内容可通过display aaa online-fail-record命令进行查看。当管理员需要获取用户上线失败记录，以对恶意用户进行初步排查时，建议开启本功能。
设备最多支持存储32768条用户上线失败记录，超过该数目后，新的记录会覆盖旧的记录。
关闭本功能后，系统停止记录用户上线失败信息，可提高当前可用内存容量，但管理员将看不到用户上线失败信息，存在一定风险。
【举例】
# 开启用户上线失败记录功能
<Sysname> system-view
[Sysname] aaa online-fail-record enable
【相关命令】
· display aaa online-fail-record
aaa session-limit命令用来配置同时在线的最大用户连接数，即采用指定登录方式登录设备并同时在线的用户数。
undo aaa session-limit命令用来将指定登录方式的同时在线的最大用户连接数恢复为缺省情况。
【命令】
aaa session-limit { ftp | ssh | telnet } max-sessions
undo aaa session-limit { ftp | ssh | telnet }
【缺省情况】
同时在线的各类型最大用户连接数均为32。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ftp：表示FTP用户。
ssh：表示SSH用户。
telnet：表示Telnet用户。
max-sessions：允许同时在线的最大用户连接数，取值范围为1～32。
【使用指导】
配置本命令后，当指定类型的接入用户的用户数超过当前配置的最大连接数后，新的接入请求将被拒绝。
【举例】
# 设置同时在线的最大FTP用户连接数为4。
<Sysname> system-view
[Sysname] aaa session-limit ftp 4
accounting command命令用来配置命令行计费方法。
undo accounting command命令用来恢复缺省情况。
【命令】
accounting command hwtacacs-scheme hwtacacs-scheme-name
undo accounting command
【缺省情况】
命令行计费采用当前ISP域的缺省计费方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
命令行计费过程是指，用户执行过的合法命令会被发送给计费服务器进行记录。若未开启命令行授权功能，则计费服务器对用户执行过的所有合法命令进行记录；若开启了命令行授权功能，则计费服务器仅对授权通过的命令进行记录。
目前，仅支持使用远程HWTACACS服务器完成命令行计费功能。
【举例】
# 在ISP域test下，配置使用HWTACACS计费方案hwtac进行命令行计费。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting command hwtacacs-scheme hwtac
【相关命令】
· accounting default
· command accounting（基础命令参考/登录设备）
· hwtacacs scheme
accounting default命令用来为当前ISP域配置缺省的计费方法。
undo accounting default命令用来恢复缺省情况。
【命令】
accounting default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ radius-scheme radius-scheme-name | hwtacacs-scheme hwtacacs-scheme-name ] * [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo accounting default
【缺省情况】
当前ISP域的缺省计费方法为local。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地计费。
none：不计费。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
当前ISP域的缺省计费方法对于该域中未指定具体计费方法的所有接入用户都起作用，但是如果某类型的用户不支持指定的计费方法，则该计费方法对于这类用户不能生效。
本地计费只是为了支持本地用户的连接数管理，没有实际的计费相关的统计功能。
可以指定多个备选的计费方法，在当前的计费方法无效时按照配置顺序尝试使用备选的方法完成计费。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS计费，若RADIUS计费无效则进行本地计费，若本地计费也无效则不进行计费。
当采用本地认证方案为主认证方案，且配置了备选认证方案时，仅当AAA处理过程异常、用户与设备断开连接或者没有本地用户配置的情况下，用户本地认证失败后才会尝试使用备选方案进行认证，其它情况下不会转换认证方案，直接认为认证失败。
【举例】
# 在ISP域test下，配置缺省计费方法为使用RADIUS方案rd进行计费，并且使用local作为备选计费方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting default radius-scheme rd local
【相关命令】
· hwtacacs scheme
· local-user
· radius scheme
accounting dual-stack命令用来配置双协议栈用户的计费方式。
undo accounting dual-stack命令用来恢复缺省情况。
【命令】
accounting dual-stack { merge | separate }
undo accounting dual-stack
【缺省情况】
双协议栈用户的计费方式为统一计费。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
merge：统一计费方式，表示将双协议栈用户的IPv4流量和IPv6流量统一汇总后上送给计费服务器。
separate：分别计费方式，表示将双协议栈用户的IPv4流量和IPv6流量分别上送给计费服务器。
【使用指导】
双协议栈用户的主机上同时支持IPv4和IPv6两种协议，可能产生两种协议类型的流量。分别计费模式通常应用于IPv4流量费率和IPv6流量费率不一样的情况；统一计费模式通常应用于不需要区分IPv4流量和IPv6流量的情况。
【举例】
# 在ISP域test下，配置双栈用户的计费方式为统一计费。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting dual-stack merge
accounting login命令用来为login用户配置计费方法。
undo accounting login命令用来恢复缺省情况。
【命令】
accounting login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ radius-scheme radius-scheme-name | hwtacacs-scheme hwtacacs-scheme-name ] * [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo accounting login
【缺省情况】
login用户采用当前ISP域的缺省计费方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地计费。
none：不计费。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
不支持对FTP、SFTP以及SCP类型的login用户进行计费。
可以指定多个备选的计费方法。在当前的计费方法无效时按照配置顺序尝试使用备选的方法完成计费。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS计费，若RADIUS计费无效则进行本地计费，若本地计费也无效则不进行计费。
当采用本地认证方案为主认证方案，且配置了备选认证方案时，仅当AAA处理过程异常、用户与设备断开连接或者没有本地用户配置的情况下，用户本地认证失败后才会尝试使用备选方案进行认证，其它情况下不会转换认证方案，直接认为认证失败。
【举例】
# 在ISP域test下，为login用户配置计费方法为local。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting login local
# 在ISP域test下，配置login用户使用RADIUS方案rd进行计费，并且使用local作为备选计费方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting login radius-scheme rd local
【相关命令】
· accounting default
· hwtacacs scheme
· local-user
· radius scheme
accounting quota-out命令用来配置用户计费流量配额耗尽策略。
undo accounting quota-out命令用来恢复缺省情况。
【命令】
accounting quota-out { offline | online | redirect-url url-string [ stop-accounting ] }
undo accounting quota-out
【缺省情况】
用户的计费流量配额耗尽后将被强制下线。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
offline：当用户的整体流量配额耗尽后，强制用户下线。
online：当用户的整体流量配额耗尽后，允许用户保持在线状态。
redirect-url url-string：当用户的整体流量配额耗尽后，向用户推送重定向Web页面。其中，url-string表示重定向URL，为1～255个字符的字符串，区分大小写。
stop-accounting：表示向计费服务器发送停止计费报文。若不指定该参数，则表示不发送停止计费报文。
redirect-url url-string：当用户的整体流量配额耗尽后，向用户推送重定向Web页面。其中，url-string表示重定向URL，为1～255个字符的字符串，区分大小写。
stop-accounting：表示向计费服务器发送停止计费报文。若不指定该参数，则表示不发送停止计费报文。
【举例】
# 在ISP域test下，配置用户计费流量配额耗尽策略为：当流量配额耗尽后用户仍能保持在线状态。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting quota-out online
accounting start-fail命令用来配置用户计费开始失败策略，即设备向计费服务器发送计费开始请求失败后，是否允许用户接入网络。
undo accounting start-fail命令用来恢复缺省情况。
【命令】
accounting start-fail { offline | online }
undo accounting start-fail
【缺省情况】
如果用户计费开始失败，允许用户保持在线状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
offline：强制用户下线。
online：允许用户保持在线状态。
【举例】
# 在ISP域test下，配置计费开始失败策略为：用户计费开始失败时允许用户保持在线状态。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting start-fail online
accounting update-fail命令用来配置用户计费更新失败策略，即设备向计费服务器发送用户的计费更新报文失败时，是否允许用户接入网络。
undo accounting update-fail命令用来恢复缺省情况。
【命令】
accounting update-fail { [ max-times max-times ] offline | online }
undo accounting update-fail
【缺省情况】
如果用户计费更新失败，允许用户保持在线状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
max-times max-times：允许用户连续计费更新失败的次数，取值范围1～255，缺省值为1。
offline：如果用户连续计费更新失败的次数达到了指定的次数，则强制用户下线。
online：如果用户计费更新失败，允许用户保持在线状态。
【举例】
# 在ISP域test下，配置计费更新失败策略为：用户计费更新失败时允许用户保持在线状态。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] accounting update-fail online
authentication default命令用来为当前ISP域配置缺省的认证方法。
undo authentication default命令用来为恢复缺省情况。
【命令】
authentication default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ radius-scheme radius-scheme-name | hwtacacs-scheme hwtacacs-scheme-name ] * [ none ] | local [ ldap-scheme ldap-scheme-name ] [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authentication default
【缺省情况】
当前ISP域的缺省认证方法为local。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
ldap-scheme ldap-scheme-name：指定LDAP方案。其中ldap-scheme-name表示LDAP方案名，为1～32个字符的字符串，不区分大小写。
local：本地认证。
none：不进行认证。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
当前ISP域的缺省的认证方法对于该域中未指定具体认证方法的所有接入用户都起作用，但是如果某类型的用户不支持指定的认证方法，则该认证方法对于这类用户不能生效。
可以指定多个备选的认证方法，在当前的认证方法无效时按照配置顺序尝试使用备选的方法完成认证。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS认证，若RADIUS认证无效则进行本地认证，若本地认证也无效则不进行认证。
当采用本地认证方案为主认证方案，且配置了备选认证方案时，仅当AAA处理过程异常、用户与设备断开连接或者没有本地用户配置的情况下，用户本地认证失败后才会尝试使用备选方案进行认证，其它情况下不会转换认证方案，直接认为认证失败。
【举例】
# 在ISP域test下，配置缺省认证方法为使用RADIUS方案rd进行认证，并且使用local作为备选认证方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authentication default radius-scheme rd local
【相关命令】
· hwtacacs scheme
· ldap scheme
· local-user
· radius scheme
authentication login命令用来为login用户配置认证方法。
undo authentication login命令用来恢复缺省情况。
【命令】
authentication login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ radius-scheme radius-scheme-name | hwtacacs-scheme hwtacacs-scheme-name ] * [ none ] | local [ ldap-scheme ldap-scheme-name ] [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authentication login
【缺省情况】
login用户采用当前ISP域的缺省认证方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
ldap-scheme ldap-scheme-name：指定LDAP方案。其中ldap-scheme-name表示LDAP方案名，为1～32个字符的字符串，不区分大小写。
local：本地认证。
none：不进行认证。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
可以指定多个备选的认证方法，在当前的认证方法无效时按照配置顺序尝试使用备选的方法完成认证。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS认证，若RADIUS认证无效则进行本地认证，若本地认证也无效则不进行认证。
当采用本地认证方案为主认证方案，且配置了备选认证方案时，仅当AAA处理过程异常、用户与设备断开连接或者没有本地用户配置的情况下，用户本地认证失败后才会尝试使用备选方案进行认证，其它情况下不会转换认证方案，直接认为认证失败。
【举例】
# 在ISP域test下，为login用户配置认证方法为local。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authentication login local
# 在ISP域test下，配置login用户使用RADIUS方案rd进行认证，并且使用local作为备选认证方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authentication login radius-scheme rd local
【相关命令】
· authentication default
· hwtacacs scheme
· ldap scheme
· local-user
· radius scheme
authentication super命令用来配置用户角色切换认证方法。
undo authentication super命令用来恢复缺省情况。
【命令】
authentication super { hwtacacs-scheme hwtacacs-scheme-name | radius-scheme radius-scheme-name } *
undo authentication super
【缺省情况】
用户角色切换认证采用当前ISP域的缺省认证方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
切换用户角色是指在不退出当前登录、不断开当前连接的前提下修改用户的用户角色，改变用户所拥有的命令行权限。为了保证切换操作的安全性，需要在用户执行用户角色切换时进行身份认证。设备支持本地和远程两种认证方式，关于用户角色切换的详细介绍请参见“基础配置分册”中的“RBAC”。
可以指定一个备选的认证方法，在当前的认证方法无效时尝试使用备选的方法完成认证。
【举例】
# 在ISP域test下，配置使用HWTACACS方案tac进行用户角色切换认证。
<Sysname> system-view
[Sysname] super authentication-mode scheme
[Sysname] domain name test
[Sysname-isp-test] authentication super hwtacacs-scheme tac
【相关命令】
· authentication default
· hwtacacs scheme
· radius scheme
authorization command命令用来配置命令行授权方法。
undo authorization command命令用来恢复缺省情况。
【命令】
authorization command { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
undo authorization command
【缺省情况】
命令行授权采用当前ISP域的缺省授权方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地授权。
none：不授权。用户执行角色所允许的命令时，无须接受授权服务器的检查。
【使用指导】
命令行授权是指，用户执行的每一条命令都需要接受授权服务器的检查，只有授权成功的命令才被允许执行。用户登录后可以执行的命令受登录授权的用户角色和命令行授权的用户角色的双重限制，即，仅登录授权的用户角色和命令行授权的用户角色均允许执行的命令行，才能被执行。需要注意的是，命令行授权功能只利用角色中的权限规则对命令行执行权限检查，不进行其它方面的权限检查，例如资源控制策略等。
对用户采用本地命令行授权时，设备将根据用户登录设备时输入的用户名对应的本地用户配置来对用户输入的命令进行检查，只有本地用户中配置的授权用户角色所允许的命令才被允许执行。
可以指定多个备选的命令行授权方法，在当前的授权方法无效时按照配置顺序尝试使用备选的方法完成命令授权。例如，hwtacacs-scheme hwtacacs-scheme-name local none表示，先进行HWTACACS授权，若HWTACACS授权无效则进行本地授权，若本地授权也无效则不进行授权。
【举例】
# 在ISP域test下，配置命令行授权方法为local。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authorization command local
# 在ISP域test下，配置使用HWTACACS方案hwtac进行命令行授权，并且使用local作为备选授权方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authorization command hwtacacs-scheme hwtac local
【相关命令】
· command authorization（基础命令参考/登录设备）
· hwtacacs scheme
· local-user
authorization default命令用来为当前ISP域配置缺省的授权方法。
undo authorization default命令用来恢复缺省情况。
【命令】
authorization default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ radius-scheme radius-scheme-name | hwtacacs-scheme hwtacacs-scheme-name ] * [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authorization default
【缺省情况】
当前ISP域的缺省授权方法为local。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地授权。
none：不授权。接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时，认证通过的Login用户（通过Console口或者Telnet、FTP/SFTP/SCP访问设备的用户）只有系统给予的缺省用户角色level-0，其中FTP/SFTP/SCP用户的工作目录是设备的根目录，但并无访问权限；认证通过的非Login用户可直接访问网络。关于用户角色level-0的详细介绍请参见“基础配置指导”中的“RBAC”。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
当前ISP域的缺省的授权方法对于该域中未指定具体授权方法的所有接入用户都起作用，但是如果某类型的用户不支持指定的授权方法，则该授权方法对于这类用户不能生效。
在一个ISP域中，只有配置的认证和授权方法中引用了相同的RADIUS方案时，RADIUS授权过程才能生效。
可以指定多个备选的授权方法，在当前的授权方法无效时按照配置顺序尝试使用备选的方法完成授权。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS授权，若RADIUS授权无效则进行本地授权，若本地授权也无效则不进行授权。
当采用本地认证方案为主认证方案，且配置了备选认证方案时，仅当AAA处理过程异常、用户与设备断开连接或者没有本地用户配置的情况下，用户本地认证失败后才会尝试使用备选方案进行认证，其它情况下不会转换认证方案，直接认为认证失败。
【举例】
# 在ISP域test下，配置缺省授权方法为使用RADIUS方案rd进行授权，并且使用local作为备选授权方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authorization default radius-scheme rd local
【相关命令】
· hwtacacs scheme
· local-user
· radius scheme
authorization login命令用来为login用户配置授权方法。
undo authorization login命令用来恢复缺省情况。
【命令】
authorization login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ radius-scheme radius-scheme-name | hwtacacs-scheme hwtacacs-scheme-name ] * [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authorization login
【缺省情况】
login用户采用当前ISP域的缺省授权方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地授权。
none：不授权。接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时，认证通过的Login用户（通过Console口或者Telnet、FTP/SFTP/SCP访问设备的用户）只有系统给予的缺省用户角色level-0，其中FTP/SFTP/SCP用户的工作目录是设备的根目录，但并无访问权限。关于用户角色level-0的详细介绍请参见“基础配置指导”中的“RBAC”。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
在一个ISP域中，只有配置的认证和授权方法中引用了相同的RADIUS方案时，RADIUS授权过程才能生效。
可以指定多个备选的授权方法，在当前的授权方法无效时按照配置顺序尝试使用备选的方法完成授权。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS授权，若RADIUS授权无效则进行本地授权，若本地授权也无效则不进行授权。
当采用本地认证方案为主认证方案，且配置了备选认证方案时，仅当AAA处理过程异常、用户与设备断开连接或者没有本地用户配置的情况下，用户本地认证失败后才会尝试使用备选方案进行认证，其它情况下不会转换认证方案，直接认为认证失败。
【举例】
# 在ISP域test下，为login用户配置授权方法为local。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authorization login local
# 在ISP域test下，配置login用户使用RADIUS方案rd进行授权，并且使用local作为备选授权方法。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authorization login radius-scheme rd local
【相关命令】
· authorization default
· hwtacacs scheme
· local-user
· radius scheme
authorization-attribute命令用来设置当前ISP域下的用户授权属性。
undo authorization-attribute命令用来删除指定的授权属性，恢复用户具有的缺省访问权限。
【命令】
authorization-attribute user-group user-group-name
undo authorization-attribute user-group
【缺省情况】
当前ISP域下无授权属性。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
user-group-name：表示用户组名，为1～32个字符的字符串，不区分大小写。用户认证成功后，将继承该用户组中的所有属性。
【举例】
# 指定ISP域test下的用户所属用户组为group1。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] authorization-attribute user-group group1
【相关命令】
· display domain
display aaa abnormal-offline-record命令用来显示用户异常下线记录。
【命令】
display aaa abnormal-offline-record { access-type login | chassis chassis-number slot slot-number | domain domain-name | interface interface-type interface-number | { ip ipv4-address | ipv6 ipv6-address } | mac-address mac-address | svlan svlan-id [ cvlan cvlan-id ] | username user-name [ fuzzy-match ] } * [ brief | count count ]
display aaa abnormal-offline-record offline-reason { idle-cut | quota-out | realtime-acct-fail | session-timeout | user-detect-fail } [ brief ]
display aaa abnormal-offline-record time begin-time end-time [ date begin-date end-date ] [ brief ]
display aaa abnormal-offline-record
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
access-type：显示指定用户接入类型的异常下线记录。
login：登录设备的用户，如SSH、Telnet、FTP用户。
domain domain-name：显示通过指定ISP域上线的用户的异常下线记录。domain-name表示ISP域名，为1～255个字符的字符串，不区分大小写。
interface interface-type interface-number：显示通过指定接口上线的用户的异常下线信息。interface-type interface-number表示用户接入接口的类型和接口编号。
ip ipv4-address：显示指定IPv4地址的用户异常下线记录。
ipv6 ipv6-address：显示指定IPv6地址的用户异常下线记录。
mac-address mac-address：显示指定MAC地址的异常下线失败记录。mac-address为用户的MAC地址，格式为H-H-H。
chassis chassis-number slot slot-number：显示指定成员设备的指定单板上的用户异常下线记录，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。
svlan svlan-id：显示通过指定服务提供商VLAN上线的用户的异常下线记录。svlan-id表示VLAN ID，取值范围为1～4094。
cvlan cvlan-id：显示通过指定用户VLAN上线的用户的异常下线记录。cvlan-id表示VLAN ID，取值范围为1～4094。
username user-name：显示指定用户名的异常下线记录。user-name表示用户名，为1～253个字符的字符串，区分大小写。
fuzzy-match：表示松散匹配用户名，即只要user-name字符串能连续匹配用户记录中的部分或者完整用户名，则匹配成功。若不指定该参数，则表示精确匹配用户名，即user-name字符串必须完全匹配上完整的用户名，才表示匹配成功。
offline-reason：显示指定下线原因的用户异常下线记录。
· idle-cut：闲置超时后切断。
· quota-out：流量配额耗尽。
· realtime-acct-fail：实时计费失败。
· session-timeout：用户会话超时。
· user-detect-fail：用户探测失败。
time：显示指定时间范围内下线用户的异常下线记录。
begin-time：起始时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
end-time：结束时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
date：显示指定日期范围的异常下线记录。若不指定该参数，则表示仅查看当天的记录。
begin-date：起始日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
end-date：结束日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
brief：显示用户异常下线记录的简要信息。若不指定该参数，则表示显示用户异常下线记录的详细信息。
count count：显示指定数量的异常下线记录。count为记录的条目，取值范围为1～32768。指定该参数后，系统将从最新的一条记录开始显示指定条目且符合其它查询条件的记录。
【使用指导】
可通过指定多种组合条件按需查询用户的异常下线记录。
无论当前系统中的用户异常下线记录功能是否处于开启状态，只要系统中存在用户异常下线记录，就能通过本命令进行查看。
若不指定任何参数，则显示当前系统中的所有用户异常下线记录的详细信息。
如果服务器传递给设备的用户名中会携带不可见字符，则使用指定用户名方式查看该类用户信息时，必须指定fuzzy-match关键字，否则无法查看到该用户信息。
【举例】
# 显示所有用户异常下线记录的详细信息。
<Sysname> display aaa abnormal-offline-record
Total count: 1
Username: jay
Domain: dm1
MAC address: -
Access type: SSH
Access interface：GigabitEthernet1/2/0/1
SVLAN/CVLAN：-/-
IP address: 19.19.0.2
IPv6 address: -
Online request time: 2017-01-02 15:20:33
Offline time: 2017-2-28 15:20:56
Offline reason: User disconnected from the server.
# 显示login用户异常下线记录的简要信息。
<Sysname> display aaa abnormal-offline-record access-type login brief
UserName: jay
MAC address: -
IP address: 11.2.2.41
IPv6 address: -
Offline reason: User disconnected from the server.
表1-1 display aaa abnormal-offline-record命令显示信息描述表
|
字段 |
描述 |
|
Total count |
用户异常下线记录总计数 |
|
Username |
用户名（若不存在，则显示为空） |
|
Domain |
ISP域名（若不存在，则显示为空） |
|
MAC address |
用户的MAC地址（若不存在，则显示“-”） |
|
Access type |
用户的接入类型： · Telnet：Telnet用户 · FTP：FTP用户 · SSH：SSH用户 · NETCONF over SOAP：NETCONF over SOAP用户 · NETCONF over RESTful：NETCONF over RESTful用户 |
|
Access interface |
用户接入的接口名（若不存在，则显示“-”） |
|
SVLAN/CVLAN |
服务提供商VLAN/用户VLAN（若不存在，则显示“-”） |
|
IP address |
用户的IPv4地址（若不存在，则显示“-”） |
|
IPv6 address |
用户的IPv6地址（若不存在，则显示“-”） |
|
Online request time |
用户发起上线请求的时间 |
|
Offline time |
用户下线的时间 |
|
Offline reason |
用户的下线原因 |
【相关命令】
· reset aaa abnormal-offline-record
display aaa normal-offline-record命令用来显示用户正常下线记录。
【命令】
display aaa normal-offline-record { access-type login | chassis chassis-number slot slot-number | domain domain-name | interface interface-type interface-number | { ip ipv4-address | ipv6 ipv6-address } | mac-address mac-address | s-vlan svlan-id [ c-vlan cvlan-id ] | username user-name [ fuzzy-match ] } * [ brief | count count ]
display aaa normal-offline-record time begin-time end-time [ date begin-date end-date ] [ brief ]
display aaa normal-offline-record
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
access-type：显示指定用户接入类型的正常下线记录。
login：登录设备的用户，如SSH、Telnet、FTP用户。
domain domain-name：显示通过指定ISP域上线的用户的正常下线记录。domain-name表示ISP域名，为1～255个字符的字符串，不区分大小写。
interface interface-type interface-number：显示通过指定接口上线的用户的正常下线信息。interface-type interface-number表示用户接入接口的类型和接口编号。
ip ipv4-address：显示指定IPv4地址的用户正常下线记录。
ipv6 ipv6-address：显示指定IPv6地址的用户正常下线记录。
mac-address mac-address：显示指定MAC地址的正常下线记录。mac-address为用户的MAC地址，格式为H-H-H。
chassis chassis-number slot slot-number：显示指定成员设备的指定单板上的用户正常下线记录，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。
svlan svlan-id：显示通过指定服务提供商VLAN上线的用户的正常下线记录。svlan-id表示VLAN ID，取值范围为1～4094。
cvlan cvlan-id：显示通过指定用户VLAN上线的用户的正常下线记录。cvlan-id表示VLAN ID，取值范围为1～4094。
username user-name：显示指定用户名的正常下线记录。user-name表示用户名，为1～253个字符的字符串，区分大小写。
fuzzy-match：表示松散匹配用户名，即只要user-name字符串能连续匹配用户记录中的部分或者完整用户名，则匹配成功。若不指定该参数，则表示精确匹配用户名，即user-name字符串必须完全匹配上完整的用户名，才表示匹配成功。
time：显示指定时间范围内上线用户的正常下线记录。
begin-time：起始时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
end-time：结束时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
date：显示指定日期范围的正常下线记录。若不指定该参数，则表示仅查看当天的记录。
begin-date：起始日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
end-date：结束日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
brief：显示用户正常下线记录的简要信息。若不指定该参数，则表示显示用户正常下线记录的详细信息。
count count：显示指定数量的正常下线失败记录。count为记录的条目，取值范围为1～32768。指定该参数后，系统将从最新的一条记录开始显示指定条目且符合其它查询条件记录。
【使用指导】
可通过指定多种组合条件按需查询用户的正常下线记录。
无论当前系统中的用户正常下线记录功能是否处于开启状态，只要系统中存在用户正常下线记录，就能通过本命令进行查看。
若不指定任何参数，则显示当前系统中的所有用户正常下线记录的详细信息。
如果服务器传递给设备的用户名中会携带不可见字符，则使用指定用户名方式查看该类用户信息时，必须指定fuzzy-match关键字，否则无法查看到该用户信息。
【举例】
# 显示所有用户正常下线记录的详细信息。
<Sysname> display aaa normal-offline-record
Total count: 1
Username: jay
Domain: dm1
MAC address: -
Access type: Telnet
Access interface：GigabitEthernet1/2/0/1
SVLAN/CVLAN：-/-
IP address: 19.19.0.2
IPv6 address: -
Online request time: 2017-01-02 15:20:33
Offline time: 2017-2-28 15:20:56
Offline reason: User request.
# 显示login用户正常下线记录的简要信息。
<Sysname> display aaa offline-record access-type login brief
Username: jay
MAC address: -
IP address: 11.2.2.41
IPv6 address: -
Offline reason: User request.
表1-2 display aaa normal-offline-record命令显示信息描述表
|
字段 |
描述 |
|
Total count |
用户正常下线记录总计数 |
|
Username |
用户名（若不存在，则显示为空） |
|
Domain |
ISP域名（若不存在，则显示为空） |
|
MAC address |
用户的MAC地址（若不存在，则显示“-”） |
|
Access type |
用户的接入类型： · Telnet：Telnet用户 · FTP：FTP用户 · SSH：SSH用户 · NETCONF over SOAP：NETCONF over SOAP用户 · NETCONF over RESTful：NETCONF over RESTful用户 |
|
Access interface |
用户接入的接口名（若不存在，则显示“-”） |
|
SVLAN/CVLAN |
服务提供商VLAN/用户VLAN（若不存在，则显示“-”） |
|
IP address |
用户的IPv4地址（若不存在，则显示“-”） |
|
IPv6 address |
用户的IPv6地址（若不存在，则显示“-”） |
|
Online request time |
用户发起上线请求的时间 |
|
Offline time |
用户下线的时间 |
|
Offline reason |
用户的下线原因 |
【相关命令】
· reset aaa normal-offline-record
display aaa offline-record命令用来显示用户下线记录。
【命令】
display aaa offline-record { access-type login | chassis chassis-number slot slot-number | domain domain-name | interface interface-type interface-number | { ip ipv4-address | ipv6 ipv6-address } | mac-address mac-address | s-vlan svlan-id [ c-vlan cvlan-id ] | username user-name [ fuzzy-match ] } * [ brief | count count ]
display aaa offline-record time begin-time end-time [ date begin-date end-date ] [ brief ]
display aaa offline-record
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
access-type：显示指定用户接入类型的下线记录。
login：登录设备的用户，如SSH、Telnet、FTP用户。
domain domain-name：显示通过指定ISP域上线的用户的下线记录。domain-name表示ISP域名，为1～255个字符的字符串，不区分大小写。
interface interface-type interface-number：显示通过指定接口上线的用户的下线信息。interface-type interface-number表示用户接入接口的类型和接口编号。
ip ipv4-address：显示指定IPv4地址的用户下线记录。
ipv6 ipv6-address：显示指定IPv6地址的用户下线记录。
mac-address mac-address：显示指定MAC地址的下线记录。mac-address为用户的MAC地址，格式为H-H-H。
chassis chassis-number slot slot-number：显示指定成员设备的指定单板上的用户下线记录，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。
s-vlan svlan-id：显示通过指定服务提供商VLAN上线的用户的下线记录。svlan-id表示VLAN ID，取值范围为1～4094。
c-vlan cvlan-id：显示通过指定用户VLAN上线的用户的下线记录。cvlan-id表示VLAN ID，取值范围为1～4094。
username user-name：显示指定用户名的下线记录。user-name表示用户名，为1～253个字符的字符串，区分大小写。
fuzzy-match：表示松散匹配用户名，即只要user-name字符串能连续匹配用户记录中的部分或者完整用户名，则匹配成功。若不指定该参数，则表示精确匹配用户名，即user-name字符串必须完全匹配上完整的用户名，才表示匹配成功。
time：显示指定时间范围内下线用户的下线记录。
begin-time：起始时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
end-time：结束时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
date：显示指定日期范围的下线记录。若不指定该参数，则表示仅查看当天的记录。
begin-date：起始日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
end-date：结束日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
brief：显示用户下线记录的简要信息。若不指定该参数，则表示显示用户下线记录的详细信息。
count count：显示指定数量的下线记录。count为记录的条目，取值范围为1～65536。指定该参数后，系统将从最新的一条记录开始显示指定条目且符合其它查询条件记录。
【使用指导】
可通过指定多种组合条件按需查询用户的下线记录。
无论当前系统中的用户下线记录功能是否处于开启状态，只要系统中存在用户下线记录，就能通过本命令进行查看。
若不指定任何参数，则显示当前系统中的所有用户下线记录的详细信息。
如果服务器传递给设备的用户名中会携带不可见字符，因此使用指定用户名方式查看该类用户信息时，必须指定fuzzy-match关键字，否则无法查看到该用户信息。
【举例】
# 显示所有用户下线记录的详细信息。
<Sysname> display aaa offline-record
Total count: 1
Username: jay
Domain: dm1
MAC address: -
Access type: Telnet
Access interface：GigabitEthernet1/2/0/1
SVLAN/CVLAN：-/-
IP address: 19.19.0.2
IPv6 address: -
Online request time: 2017-01-02 15:20:33
Offline time: 2017-2-28 15:20:56
Offline reason: User request
# 显示login用户下线记录的简要信息。
<Sysname> display aaa offline-record access-type login brief
Username: jay
MAC address: -
IP address: 20.20.20.1
IPv6 address: -
Offline reason: User request.
Username: test
MAC address: -
IP address: 20.20.20.3
IPv6 address: -
Offline reason: User request.
表1-3 display aaa offline-record命令显示信息描述表
|
字段 |
描述 |
|
Total count |
用户下线记录总计数 |
|
Username |
用户名（若不存在，则显示为空） |
|
Domain |
ISP域名（若不存在，则显示为空） |
|
MAC address |
用户的MAC地址（若不存在，则显示“-”） |
|
Access type |
用户的接入类型： · Telnet：Telnet用户 · FTP：FTP用户 · SSH：SSH用户 · NETCONF over SOAP：NETCONF over SOAP用户 · NETCONF over RESTful：NETCONF over RESTful用户 |
|
Access interface |
用户接入的接口名（若不存在，则显示“-”） |
|
SVLAN/CVLAN |
服务提供商VLAN/用户VLAN（若不存在，则显示“-”） |
|
IP address |
用户的IPv4地址（若不存在，则显示“-”） |
|
IPv6 address |
用户的IPv6地址（若不存在，则显示“-”） |
|
Online request time |
用户发起上线请求的时间 |
|
Offline time |
用户下线的时间 |
|
Offline reason |
用户的下线原因 |
【相关命令】
· reset aaa offline-record
display aaa online-fail-record命令用来显示用户上线失败记录。
【命令】
display aaa online-fail-record { access-type login | chassis chassis-number slot slot-number | domain domain-name | interface interface-type interface-number | { ip ipv4-address | ipv6 ipv6-address } | mac-address mac-address | s-vlan svlan-id [ c-vlan cvlan-id ] | username user-name [ fuzzy-match ] } * [ brief | count count ]
display aaa online-fail-record time begin-time end-time [ date begin-date end-date ] [ brief ]
display aaa online-fail-record
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
access-type：显示指定用户接入类型的上线失败记录。
login：登录设备的用户，如SSH、Telnet、FTP用户。
domain domain-name：显示通过指定ISP域上线的用户的上线失败记录。domain-name表示ISP域名，为1～255个字符的字符串，不区分大小写。
interface interface-type interface-number：显示通过指定接口上线的用户的上线失败信息。interface-type interface-number表示用户接入接口的类型和接口编号。
ip ipv4-address：显示指定IPv4地址的用户上线失败记录。
ipv6 ipv6-address：显示指定IPv6地址的用户上线失败记录。
mac-address mac-address：显示指定MAC地址的上线失败记录。mac-address为用户的MAC地址，格式为H-H-H。
chassis chassis-number slot slot-number：显示指定成员设备的指定单板上的用户上线失败记录，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。
s-vlan svlan-id：显示通过指定服务提供商VLAN上线的用户的上线失败记录。svlan-id表示VLAN ID，取值范围为1～4094。
c-vlan cvlan-id：显示通过指定用户VLAN上线的用户的上线失败记录。cvlan-id表示VLAN ID，取值范围为1～4094。
username user-name：显示指定用户名的上线失败记录。user-name表示用户名，为1～253个字符的字符串，区分大小写。
fuzzy-match：表示松散匹配用户名，即只要user-name字符串能连续匹配用户记录中的部分或者完整用户名，则匹配成功。若不指定该参数，则表示精确匹配用户名，即user-name字符串必须完全匹配上完整的用户名，才表示匹配成功。
time：显示指定时间范围内上线用户的上线失败记录。
begin-time：起始时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
end-time：结束时间，格式为HH:MM:SS（小时:分钟:秒），HH取值范围为0～23，MM和SS取值范围为0～59。
date：显示指定日期范围的上线失败记录。若不指定该参数，则表示仅查看当天的记录。
begin-date：起始日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
end-date：结束日期，格式为YYYY/MM/DD（月/日/年）。MM的取值范围为1～12，DD的取值范围与月份有关，YYYY的取值范围为2000～2035。
brief：显示用户上线失败记录的简要信息。若不指定该参数，则表示显示用户上线失败记录的详细信息。
count count：显示指定数量的上线失败记录。count为记录的条目，取值范围为1～32768。指定该参数后，系统将从最新的一条记录开始显示指定条目且符合其它查询条件记录。
【使用指导】
可通过指定多种组合条件按需查询用户的上线失败记录。
无论当前系统中的用户上线失败记录功能是否处于开启状态，只要系统中存在用户上线失败记录，就能通过本命令进行查看。
若不指定任何参数，则显示当前系统中的所有用户上线失败记录的详细信息。
如果服务器传递给设备的用户名中会携带不可见字符，因此使用指定用户名方式查看该类用户信息时，必须指定fuzzy-match关键字，否则无法查看到该用户信息。
【举例】
# 显示2条用户名为aaa的login用户上线失败记录的详细信息。
<Sysname> display aaa online-fail-record username aaa access-type login count 2
Username: aaa
Domain: test
MAC address: -
Access type: Telnet
Access interface: GigabitEthernet1/2/0/1
SVLAN/CVLAN: 100/-
IP address: 19.19.0.1
IPv6 address: -
Online request time: 2017-01-02 15:20:37
Online failure reason: Authentication failed.
Username: aaa
Domain: test
MAC address: -
Access type: Telnet
Access interface: GigabitEthernet1/2/0/1
SVLAN/CVLAN: -/-
IP address: 19.19.0.2
IPv6 address: -
Online request time: 2017-01-02 15:20:33
Online failure reason: Authentication failed.
# 显示2017/3/1的13:20:50 到2017/3/2的10:20:30这段时间内的上线失败用户记录的简要信息。
<Sysname> display aaa online-fail-record time 13:20:50 10:20:30 data 2017/3/1 2017/3/2 brief
Username: aaa
MAC address: -
IP address: 19.19.0.2
IPv6 address: -
Online failure reason: Authentication failed.
# 显示2017/3/1的13:20:50至2017/3/2的17:20:30期间的用户上线失败记录。
<Sysname> display aaa online-fail-record time 13:20:50 17:20:30 data 2017/3/1 2017/3/2
Username: aaa
Domain: test
MAC address: -
Access type: Telnet
Access interface: GigabitEthernet1/2/0/1
SVLAN/CVLAN: -/-
IP address: 19.19.0.1
IPv6 address: -
Online request time: 2017-03-02 16:20:33
Online failure reason: Authentication failed
Username: aaa
Domain: test
MAC address: -
Access type: Telnet
Access interface: GigabitEthernet1/2/0/1
SVLAN/CVLAN: -/-
IP address: 19.19.0.2
IPv6 address: -
Online request time: 2017-03-01 15:20:51
Online failure reason: Authentication failed.
表1-4 display aaa online-fail-record命令显示信息描述表
|
字段 |
描述 |
|
Total count |
用户上线失败记录总数 |
|
Username |
用户名（若不存在，则显示为空） |
|
Domain |
用户上线使用的ISP域名（若不存在，则显示为空） |
|
MAC address |
用户的MAC地址（若不存在，则显示“-”） |
|
Access type |
用户的接入类型： · Telnet：Telnet用户 · FTP：FTP用户 · SSH：SSH用户 · NETCONF over SOAP：NETCONF over SOAP用户 · NETCONF over RESTful：NETCONF over RESTful用户 |
|
Access interface |
用户接入的接口名（若不存在，则显示“-”） |
|
SVLAN/CVLAN |
服务提供商VLAN/用户VLAN（若不存在，则显示“-”） |
|
IP address |
用户的IPv4地址（若不存在，则显示“-”） |
|
IPv6 address |
用户的IPv6地址（若不存在，则显示“-”） |
|
Online request time |
用户发起上线请求的时间 |
|
Online failure reason |
用户的上线失败原因 |
【相关命令】
· reset aaa online-fail-record
display domain命令用来显示所有或指定ISP域的配置信息。
【命令】
display domain [ isp-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
isp-name：ISP域名，为1～255个字符的字符串，不区分大小写。如果不指定该参数，则表示所有ISP域。
【使用指导】
若要查看ISP域中的负载分担用户组及组内用户数目信息，执行本命令时必须指定该域的名称。
【举例】
# 显示系统中所有ISP域的配置信息。
<Sysname> display domain
Total 2 domains
Domain: system
Current state: Active
State configuration: Active
Default authentication scheme: Local
Default authorization scheme: Local
Default accounting scheme: Local
Accounting start failure action: Online
Accounting update failure action: Online
Accounting quota out policy: Offline
Service type: HSI
Session time: Exclude idle time
Dual-stack accounting method: Merge
NAS-ID: N/A
Domain: dm
Current state: Active
State configuration: Blocked during specific time ranges
Time ranges:
t1
t2
Online-user logoff: Enabled
Login authentication scheme: RADIUS=rad
Login authorization scheme: HWTACACS=hw
Super authentication scheme: RADIUS=rad
Command authorization scheme: HWTACACS=hw
Default authentication scheme: ldap=rad, Local, None
Default authorization scheme: Local
Default accounting scheme: None
Accounting start failure action: Online
Accounting update failure action: Online
Accounting quota out policy: Redirect
Redirect URL : http://3.3.3.3/web
Stop accounting: Yes
Service type: HSI
Session time: Include idle time
Dual-stack accounting method: Merge
NAS-ID: test
Authorization attributes :
User group: ugg
Default domain name: system
# 显示ISP域test的配置信息及负载分担用户组的信息。
<Sysname> display domain bbb
Domain: test
Current state: Active
State configuration: Active
Default authentication scheme: Local
Default authorization scheme: Local
Default accounting scheme: Local
Accounting start failure action: Online
Accounting update failure action: Online
Accounting quota out policy: Offline
Service type: HSI
Session time: Exclude idle time
Dual-stack accounting method: Merge
NAS-ID: N/A
Load-sharing user groups:
g1: 323 user(s)
g2: 324 user(s)
表1-5 display domain命令显示信息描述表
|
字段 |
描述 |
|
|
|
Total 2 domains |
总计2个ISP域 |
|
|
|
Domain |
ISP域名 |
|
|
|
Current state |
ISP域的当前状态，包括以下取值： · Blocked：阻塞状态 · Active：活动状态 |
|
|
|
State configuration |
ISP域的状态配置，包括以下取值： · Active：活动状态 · Blocked during specific time ranges：在指定时间段处于阻塞状态 · Blocked：阻塞状态 |
||
|
Time ranges |
ISP域处于阻塞状态的时间段名称 |
||
|
Online-user logoff |
ISP域处于阻塞状态后强制在线用户下线功能的状态，包括以下取值： · Enabled：处于开启状态 · Disabled：处于关闭状态 |
||
|
Default authentication scheme |
缺省的认证方案 |
|
|
|
Default authorization scheme |
缺省的授权方案 |
|
|
|
Default accounting scheme |
缺省的计费方案 |
|
|
|
Login authentication scheme |
Login用户认证方案 |
|
|
|
Login authorization scheme |
Login用户授权方案 |
|
|
|
Login accounting scheme |
Login用户计费方案 |
|
|
|
Super authentication scheme |
用户角色切换认证方案 |
|
|
|
Command authorization scheme |
命令行授权方案 |
|
|
|
Command accounting scheme |
命令行计费方案 |
|
|
|
RADIUS |
RADIUS方案 |
|
|
|
HWTACACS |
HWTACACS方案 |
|
|
|
LDAP |
LDAP方案 |
|
|
|
Local |
本地方案 |
|
|
|
None |
不认证、不授权和不计费 |
|
|
|
Accounting start failure action |
用户计费开始失败的动作，包括以下取值： · Online：如果用户计费开始失败，则保持用户在线 · Offline：如果用户计费开始失败，则强制用户下线 |
|
|
|
Accounting update failure max-times |
允许用户连续计费更新失败的次数 |
|
|
|
Accounting update failure action |
用户计费更新失败的动作，包括以下取值： · Online：如果用户计费更新失败，则保持用户在线 · Offline：如果用户计费更新失败，则强制用户下线 |
|
|
|
Accounting quota out policy |
用户计费流量配额耗尽策略，包括以下取值： · Online：如果用户计费流量配额耗尽，则保持用户在线 · Offline：如果用户计费流量配额耗尽，则强制用户下线 · Redirect：发送重定向URL |
|
|
|
Redriect URL |
强制重定向的URL |
||
|
Stop accounting |
向计费服务器发送停止计费报文 |
||
|
Service type |
ISP域的业务类型，取值为HSI，STB和VoIP |
|
|
|
Session time |
当用户异常下线时，设备上传到服务器的用户在线时间情况： · Include idle time：保留用户闲置切断时间 · Exclude idle time：扣除用户闲置切断时间 |
|
|
|
Dual-stack accounting method |
双协议栈用户的计费方式，包括以下取值： · Merge：统一计费，即将双协议栈用户的IPv4流量和IPv6流量统一汇总后上送给计费服务器 · Separate：分别计费，即将双协议栈用户的IPv4流量和IPv6流量分别上送给计费服务器 |
|
|
|
NAS-ID |
设备的NAS-ID 若未配置，则显示为N/A |
|
|
|
Authorization attributes |
ISP的用户授权属性 |
|
|
|
User group |
授权User group的名称 |
|
|
|
Load-sharing user groups |
负载分担用户组及组内用户数目 |
||
|
Default domain name |
缺省ISP域名 |
|
|
domain命令用来创建ISP域，并进入ISP域视图。如果指定的ISP域已经存在，则直接进入ISP域视图。
undo domain命令用来删除指定的ISP域。
【命令】
domain name isp-name
undo domain name isp-name
【缺省情况】
存在一个ISP域，名称为system。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
name isp-name：ISP域名，为1～255个字符的字符串，不区分大小写，不能包括“/”、“\”、“|”、“””、“:”、“*”、“?”、“<”、“>”以及“@”字符。
【使用指导】
所有的ISP域在创建后即处于active状态。
不能删除系统中预定义的ISP域system，只能修改该域的配置。
不能删除作为系统缺省ISP域的ISP域。如需删除一个系统缺省ISP域，请先使用undo domain default enable命令将其恢复为非缺省的ISP域。
建议设备上配置的ISP域名尽量短，避免用户输入的包含域名的用户名长度超过客户端可支持的最大用户名长度。
【举例】
# 创建一个名称为test的ISP域，并进入其视图。
<Sysname> system-view
[Sysname] domain name test
【相关命令】
· display domain
· domain default enable
· domain if-unknown
· state (ISP domain view)
domain default enable命令用来配置系统缺省的ISP域，所有在登录时没有提供ISP域名的用户都属于这个域。
undo domain default enable命令用来恢复缺省情况。
【命令】
domain default enable isp-name
undo domain default enable
【缺省情况】
存在一个系统缺省的ISP域，名称为system。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
isp-name：ISP域名，为1～255个字符的字符串，不区分大小写，且必须已经存在。
【使用指导】
系统中只能存在一个缺省的ISP域。
配置为缺省的ISP域不能被删除。如需删除一个系统缺省ISP域，请先使用undo domain default enable命令将其恢复为非缺省的ISP域。
【举例】
# 创建一个新的ISP域test，并设置为系统缺省的ISP域。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] quit
[Sysname] domain default enable test
【相关命令】
· display domain
· domain
domain if-unknown命令用来为未知域名的用户指定ISP域。
undo domain if-unknown命令用来恢复缺省情况。
【命令】
domain if-unknown isp-name
undo domain if-unknown
【缺省情况】
没有为未知域名的用户指定ISP域。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
isp-name：ISP域名。为1～255个字符的字符串，不区分大小写，不能包括“/”、“\”、“|”、“””、“:”、“*”、“?”、“<”、“>”以及“@”字符。
【使用指导】
设备将按照如下先后顺序选择认证域：接入模块指定的认证域-->用户名中指定的ISP域-->系统缺省的ISP域。其中，仅部分接入模块支持指定认证域。
如果根据以上原则决定的认证域在设备上不存在，但设备上为未知域名的用户指定了ISP域，则最终使用该指定的ISP域认证，否则，用户将无法认证。
【举例】
# 为未知域名的用户指定ISP域为test。
<Sysname> system-view
[Sysname] domain if-unknown test
【相关命令】
· display domain
load-sharing user-group命令用来配置负载分担用户组，且开启用户组负载分担功能。
undo load-sharing user-group命令用来删除配置的负载分担用户组。
【命令】
load-sharing user-group group-name
undo load-sharing user-group [ group-name ]
【缺省情况】
未配置负载分担用户组，用户组负载分担功能处于关闭状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
group-name：指定用户组名，为1～32个字符的字符串，不区分大小写。指定的用户组必须已经存在，否则负载分担用户组的配置不生效。undo命令中若不指定该参数，则表示删除所有配置的负载分担用户组。
【使用指导】
在一个ISP域视图下，将任意一个用户组配置为负载分担用户组后，该域的用户组负载分担功能将处于开启状态。一个ISP域中，可以配置多个负载分担用户组，采用该域认证上线的用户，将会加入到当前用户数最少的负载分担用户组中。如果当前用户数最少的负载分担用户组存在多个，则将用户加入其中最先配置的用户负载分担组中。
负载分担用户组用于配合业务模块实现分担用户业务流量的目的。
一个ISP域视图下最多配置32个负载分担用户组。
用户最终加入的用户组与实际配置相关，各类型用户组的生效先后顺序依次为：服务器下发的授权用户组、ISP域中配置的负载分担用户组、ISP中配置的授权用户组。
【举例】
# 在ISP域视图test下，配置用户组g1和g2为负载分担用户组。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] load-sharing user-group g1
[Sysname-isp-test] load-sharing user-group g2
【相关命令】
· user-group
· display domain
nas-id命令用来在ISP域视图下配置NAS-ID。
undo nas-id命令用来删除ISP域视图下配置的NAS-ID。
【命令】
nas-id nas-identifier
undo nas-id
【缺省情况】
未配置ISP域下的NAS-ID。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
nas-identifier：NAS-ID名称，为1～253个字符的字符串，不区分大小写。
【使用指导】
用户进行RADIUS认证时，系统会获取设备的NAS-ID来设置RADIUS报文中的NAS-Identifier属性，该属性用于向RADIUS服务器标识用户的接入位置。
设备支持多种途径配置NAS-ID，按照获取优先级从高到低的顺序依次包括： NAS-ID Profile中与用户接入VLAN绑定的NAS-ID、ISP域视图下的NAS-ID。若以上配置都不存在，则使用设备的名称作为NAS-ID。
【举例】
# 在ISP域test下配置NAS-ID为test。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] nas-id test
reset aaa abnormal-offline-record命令用来清除当前所有用户异常下线记录。
【命令】
reset aaa abnormal-offline-record
【视图】
用户视图
【缺省用户角色】
network-admin
【使用指导】
除非设备或主控板重启，否则已保存的用户异常下线记录将会一直保存在内存中，而记录的信息过多时不便于查看，且占用内存过多，为方便管理员仅获取后续某个时间段内的用户异常下线记录，可执行本命令清除系统当前所有的用户异常下线记录。
执行完该命令后，已被清除的记录不能恢复，因此需要谨慎使用。
【举例】
# 清除当前所有用户异常下线记录。
<Sysname> reset aaa abnormal-offline-record
【相关命令】
· display aaa abnormal-offline-record
reset aaa normal-offline-record命令用来清除当前所有用户正常下线记录。
【命令】
reset aaa normal-offline-record
【视图】
用户视图
【缺省用户角色】
network-admin
【使用指导】
除非设备或主控板重启，否则已保存的用户正常下线记录将会一直保存在内存中，而记录的信息过多时不便于查看，且占用内存过多，为方便管理员仅获取后续某个时间段内的用户正常下线记录，可以执行本命令清除系统当前所有的用户正常下线记录。
执行完该命令后，已被清除的记录不能恢复，因此需要谨慎使用。
【举例】
# 清除当前所有用户正常下线记录。
<Sysname> reset aaa normal-offline-record
【相关命令】
· display aaa normal-offline-record
reset aaa offline-record命令用来清除当前所有用户下线记录。
【命令】
reset aaa offline-record
【视图】
用户视图
【缺省用户角色】
network-admin
【使用指导】
除非设备或主控板重启，否则已保存的用户下线失败记录将会一直保存在内存中，而记录的信息过多时不便于查看，且占用内存过多，为方便管理员仅获取后续某个时间段内的用户下线记录，可以执行本命令清除系统当前所有的用户下线记录。
执行完该命令后，已被清除的记录不能恢复，因此需要谨慎使用。
【举例】
# 清除当前所有用户下线记录。
<Sysname> reset aaa offline-record
【相关命令】
· display aaa offline-record
reset aaa online-fail-record命令用来清除当前所有用户上线失败记录。
【命令】
reset aaa online-fail-record
【视图】
用户视图
【缺省用户角色】
network-admin
【使用指导】
除非设备或主控板重启，否则已保存的用户上线失败记录将会一直保存在内存中，而记录的信息过多时不便于查看，且占用内存过多，为了方便管理员仅获取后续某个时间段内的用户上线失败记录，可以执行本命令清除系统当前所有的用户上线失败记录。
执行完该命令后，已被清除的记录不能恢复，因此需要谨慎使用。
【举例】
# 清除当前所有用户上线失败记录。
<Sysname> reset aaa online-fail-record
【相关命令】
· display aaa online-fail-record
state命令用来设置当前ISP域的状态。
undo state命令用来恢复缺省情况。
【命令】
state { active | block [ time-range ] }
undo state
【缺省情况】
当前ISP域处于活动状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
active：指定当前ISP域处于活动状态，即系统允许该域下的用户请求网络服务。
block：指定当前ISP域处于阻塞状态，即系统不允许该域下的用户请求网络服务。该参数对除采用公钥认证的SSH用户之外的所有接入类型的用户都生效。
time-range：指定ISP域基于时间段阻塞。若不指定该参数，则表示ISP域一直处于阻塞状态。
【使用指导】
若通过time-range关键字指定ISP域基于时间段阻塞，则该ISP域只在通过state block time-range name命令指定的时间段内处于阻塞状态。
【举例】
# 设置当前ISP域test处于阻塞状态。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] state block
【相关命令】
· display domain
· state block time-range name
state block time-range name命令用来配置ISP域处于阻塞状态的时间段。
undo state block time-range name命令用来删除配置的ISP域处于阻塞状态的时间段。
【命令】
state block time-range name time-range-name
undo state block time-range { all | name time-range-name }
【缺省情况】
未配置ISP域处于阻塞的时间段。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
time-range-name：时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，时间段的名称不允许使用英文单词all。
all：表示所有时间段。
【使用指导】
本命令配置的时间段，在ISP域基于时间段阻塞的情况下才能生效。可通过state block time-range命令配置ISP域基于时间段阻塞。
可通过多次执行本命令，指定ISP域处于阻塞状态的多个时间段。
【举例】
# 配置ISP域test处于阻塞状态的时间段为t1和t2。
<Sysname> system-view
[Sysname] domain name test
[Sysname-isp-test] state block time-range name t1
[Sysname-isp-test] state block time-range name t2
【相关命令】
· state
· time-range（QoS和ACL命令参考/时间段）
access-limit命令用来设置使用当前本地用户名接入设备的最大用户数。
undo access-limit命令用来恢复缺省情况。
【命令】
access-limit max-user-number
undo access-limit
【缺省情况】
不限制使用当前本地用户名接入的用户数。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
max-user-number：表示使用当前本地用户名接入设备的最大用户数，取值范围为1～1024。
【使用指导】
本地用户视图下的access-limit命令只在该用户采用了本地计费方法的情况下生效。
由于FTP/SFTP/SCP用户不支持计费，因此FTP/SFTP/SCP用户不受此属性限制。
【举例】
# 允许同时以本地用户名abc在线的用户数为5。
<Sysname> system-view
[Sysname] local-user abc
[Sysname-luser-manage-abc] access-limit 5
【相关命令】
· display local-user
authorization-attribute命令用来设置本地用户或用户组的授权属性，该属性在本地用户认证通过之后，由设备下发给用户。
undo authorization-attribute命令用来删除指定的授权属性，恢复用户具有的缺省访问权限。
【命令】
authorization-attribute { user-role role-name | work-directory directory-name } *
undo authorization-attribute { user-role role-name | work-directory } *
【缺省情况】
授权FTP/SFTP/SCP用户可以访问的目录为设备的根目录，但无访问权限。
【视图】
本地用户视图
用户组视图
【缺省用户角色】
network-admin
【参数】
user-role role-name：指定本地用户的授权用户角色。其中，role-name表示用户角色名称，为1～63个字符的字符串，区分大小写。可以为每个用户最多指定64个用户角色。本地用户角色的相关命令请参见“基础命令参考”中的“RBAC”。该授权属性只能在本地用户视图下配置，不能在本地用户组视图下配置。
work-directory directory-name：授权FTP/SFTP/SCP用户可以访问的目录。其中，directory-name表示FTP/SFTP/SCP用户可以访问的目录，为1～255个字符的字符串，不区分大小写，且该目录必须已经存在。缺省情况下，FTP/SFTP/SCP用户可访问设备的根目录，可通过本参数来修改用户可以访问的目录。
【使用指导】
可配置的授权属性都有其明确的使用环境和用途，请针对用户的服务类型配置对应的授权属性：
· 对于telnet、terminal用户，仅授权属性user-role、work-directory有效。
· 对于ssh、ftp用户，仅授权属性user-role、work-directory有效。
用户组的授权属性对于组内的所有本地用户生效，因此具有相同属性的用户可通过加入相同的用户组来统一配置和管理。
本地用户视图下未配置的授权属性继承所属用户组的授权属性配置，但是如果本地用户视图与所属的用户组视图下都配置了某授权属性，则本地用户视图下的授权属性生效。
为了避免设备上进行主备倒换后FTP/SFTP/SCP用户无法正常登录，建议用户在指定工作目录时不要携带槽位信息。
为确保本地用户仅使用本命令指定的授权用户角色，请先使用undo authorization-attribute user-role命令删除该用户已有的缺省用户角色。
被授权安全日志管理员的本地用户登录设备后，仅可执行安全日志文件管理相关的命令以及安全日志文件操作相关的命令，具体命令可通过display role name security-audit命令查看。安全日志文件管理相关命令的介绍，请参见“网络管理与监控”中的“信息中心”。文件系统管理相关命令的介绍，请参见“基础配置命令参考”中的“文件系统管理”。
为本地用户授权安全日志管理员角色时，需要注意的是：
· 安全日志管理员角色和其它用户角色互斥：
¡ 为一个用户授权安全日志管理员角色时，系统会通过提示信息请求确认是否删除当前用户的所有其它他用户角色；
¡ 如果已经授权当前用户安全日志管理员角色，再授权其它的用户角色时，系统会通过提示信息请求确认是否删除当前用户的安全日志管理员角色。
· 系统中的最后一个安全日志管理员角色的本地用户不可被删除。
【举例】
# 配置设备管理类本地用户xyz的授权用户角色为security-audit（安全日志管理员）。
<Sysname> system-view
[Sysname] local-user xyz class manage
[Sysname-luser-manage-xyz]authorization-attribute user-role security-audit
This operation will delete all other roles of the user. Are you sure? [Y/N]:y
【相关命令】
· display local-user
· display user-group
display local-user命令用来显示本地用户的配置信息和在线用户数的统计信息。
【命令】
display local-user [ class manage | service-type { ftp | ssh | telnet | terminal } | state { active | block } | user-name user-name class manage ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
class：显示指定用户类别的本地用户信息。
· manage：设备管理类用户。
service-type：显示指定用户类型的本地用户信息。
· ssh：SSH用户。
· telnet：Telnet用户。
· terminal：从Console口登录的终端用户。
state { active | block }：显示处于指定状态的本地用户信息。其中，active表示用户处于活动状态，即系统允许该用户请求网络服务；block表示用户处于阻塞状态，即系统不允许用户请求网络服务。
user-name user-name：显示指定用户名的本地用户信息。user-name表示本地用户名，为1～80个字符的字符串，可以为“纯用户名@域名”或者纯用户名。其中，纯用户名区分大小写，不能包含符号“\”、“|”、“/”、“:”、“*”、“?”、“<”、“>”和“@”，并且不能为“a”、“al”或“all”；域名不区分大小写，不能包含符号“@”。
【使用指导】
如果不指定任何参数，则显示所有本地用户信息。
【举例】
# 显示所有本地用户的相关信息。
<Sysname> display local-user
Device management user root:
State: Active
Service type: SSH/Telnet/Terminal
Access limit: Enabled Max access number: 3
Current access number: 1
User group: system
Authorization attributes:
Work directory: flash:
User role list: network-admin
Password control configurations:
Password aging: 3 days
Total 1 local users matched.
表1-6 display local-user命令显示信息描述表
|
字段 |
描述 |
|
State |
本地用户状态 · Active：活动状态 · Block：阻塞状态 |
|
Service type |
本地用户使用的服务类型 |
|
Access limit |
是否对使用该用户名的接入用户数进行限制 |
|
Max access number |
最大接入用户数 |
|
Current access number |
使用该用户名的当前接入用户数 |
|
User group |
本地用户所属的用户组 |
|
Authorization attributes |
本地用户的授权属性 |
|
Work directory |
FTP/SFTP/SCP用户可以访问的目录 |
|
User role list |
本地用户的授权用户角色列表 |
|
Password aging |
密码老化时间 |
|
Password length |
密码最小长度 |
|
Password composition |
密码组合策略（密码元素的组合类型、至少要包含每种元素的个数） |
|
Password complexity |
密码复杂度检查策略（是否包含用户名或者颠倒的用户名；是否包含三个或以上相同字符） |
|
Maximum login attempts |
用户最大登录尝试次数 |
|
Action for exceeding login attempts |
登录尝试次数达到设定次数后的用户帐户锁定行为 |
|
Total 1 local users matched. |
总计有1个本地用户匹配 |
display user-group命令用来显示用户组的配置信息。
【命令】
display user-group { all | name group-name }
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
all：显示所有用户组的配置信息。
name group-name：显示指定用户组的配置。group-name表示用户组名称，为1～32个字符的字符串，不区分大小写。
【举例】
# 显示所有用户组的相关配置。
<Sysname> display user-group all
Total 2 user groups matched.
User group: system
Authorization attributes:
Work directory: flash:
User group: jj
Authorization attributes:
Work directory: flash:/
Password control configurations:
Password aging: 2 days
表1-7 display user-group命令显示信息描述表
|
字段 |
描述 |
|
Total 2 user groups matched. |
总计有2个用户组匹配 |
|
Authorization attributes |
授权属性信息 |
|
Work directory |
FTP/SFTP/SCP用户可以访问的目录 |
|
Password control configurations |
用户组的密码控制属性 |
|
Password aging |
密码老化时间 |
|
Password length |
密码最小长度 |
|
Password composition |
密码组合策略（密码元素的组合类型、至少要包含每种元素的个数） |
|
Password complexity |
密码复杂度检查策略（是否包含用户名或者颠倒的用户名；是否包含三个或以上相同字符） |
|
Maximum login attempts |
用户最大登录尝试次数 |
|
Action for exceeding login attempts |
登录尝试次数达到设定次数后的用户帐户锁定行为 |
group命令用来设置本地用户所属的用户组。
undo group命令用来恢复缺省配置。
【命令】
group group-name
undo group
【缺省情况】
本地用户属于用户组system。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
group-name：用户组名称，为1～32个字符的字符串，不区分大小写。
【举例】
# 设置设备管理类本地用户111所属的用户组为abc。
<Sysname> system-view
[Sysname] local-user 111 class manage
[Sysname-luser-manage-111] group abc
【相关命令】
· display local-user
local-user命令用来添加本地用户，并进入本地用户视图。如果指定的本地用户已经存在，则直接进入本地用户视图。
undo local-user命令用来删除指定的本地用户。
【命令】
local-user user-name [ class manage ]
undo local-user { user-name class manage | all [ service-type { ftp | ssh | telnet | terminal } | class manage ] }
【缺省情况】
不存在本地用户。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
user-name：表示本地用户名，为1～80个字符的字符串，可以为“纯用户名@域名”或者纯用户名。其中，纯用户名区分大小写，不能包含符号“\”、“|”、“/”、“:”、“*”、“?”、“<”、“>”和“@”，并且不能为“a”、“al”或“all”；域名不区分大小写，不能包含符号“@”。
class：指定本地用户的类别。若不指定本参数，则表示设备管理类用户。
manage：设备管理类用户，用于登录设备，对设备进行配置和监控。此类用户可以提供ftp、telnet、ssh、terminal服务。
all：所有的用户。
service-type：指定用户的类型。
· ftp：表示FTP类型用户。
· ssh：表示SSH用户。
· telnet：表示Telnet用户。
· terminal：表示从Console口登录的终端用户。
【举例】
# 添加名称为user1的设备管理类本地用户。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1]
【相关命令】
· display local-user
· service-type
password命令用来设置本地用户的密码。
undo password命令用来恢复缺省情况。
【命令】
password [ { hash | simple } string ]
undo password
【缺省情况】
不存在本地用户密码，即本地用户认证时无需输入密码，只要用户名有效且其它属性验证通过即可认证成功。
【视图】
设备管理类本地用户视图
【缺省用户角色】
network-admin
【参数】
hash：表示以哈希方式设置密码。
simple：表示以明文方式设置密码，该密码将以密文形式存储。
string：密码字符串，区分大小写。明文密码为1～63个字符的字符串；哈希密码为1～110个字符的字符串。
【使用指导】
如果不指定任何参数，则表示以交互式设置明文形式的密码。
可以不为本地用户设置密码。若不为本地用户设置密码，则该用户认证时无需输入密码，只要用户名有效且其它属性验证通过即可认证成功。为提高用户帐户的安全性，建议设置本地用户密码。
【举例】
# 设置设备管理类本地用户user1的密码为明文123456TESTplat&!。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1] password simple 123456TESTplat&!
# 以交互式方式设置设备管理类本地用户test的密码。
<Sysname> system-view
[Sysname] local-user test class manage
[Sysname-luser-manage-test] password
Password:
confirm :
【相关命令】
· display local-user
service-type命令用来设置用户可以使用的服务类型。
undo service-type命令用来删除用户可以使用的服务类型。
【命令】
service-type { ftp | { ssh | telnet | terminal } * }
undo service-type { ftp | { ssh | telnet | terminal } * }
【缺省情况】
系统不对用户授权任何服务，即用户不能使用任何服务。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
ftp：指定用户可以使用FTP服务。若授权FTP服务，缺省授权FTP用户可访问设备的根目录，授权目录可以通过authorization-attribute work-directory命令来修改。
ssh：指定用户可以使用SSH服务。
telnet：指定用户可以使用Telnet服务。
terminal：指定用户可以使用terminal服务（即从Console口登录）。
【使用指导】
可以通过多次执行本命令，设置用户可以使用多种服务类型。
【举例】
# 指定设备管理类用户可以使用Telnet服务和FTP服务。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1] service-type telnet
[Sysname-luser-manage-user1] service-type ftp
【相关命令】
· display local-user
state命令用来设置当前本地用户的状态。
undo state命令用来恢复缺省情况。
【命令】
state { active | block }
undo state
【缺省情况】
本地用户处于活动状态。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
active：指定当前本地用户处于活动状态，即系统允许当前本地用户请求网络服务。
block：指定当前本地用户处于“阻塞”状态，即系统不允许当前本地用户请求网络服务。
【举例】
# 设置设备管理类本地用户user1处于“阻塞”状态。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1] state block
【相关命令】
· display local-user
user-group命令用来创建用户组，并进入用户组视图。如果指定的用户组已经存在，则直接进入用户组视图。
undo user-group命令用来删除指定的用户组。
【命令】
user-group group-name
undo user-group group-name
【缺省情况】
存在一个用户组，名称为system。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
group-name：用户组名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
用户组是一个本地用户的集合，某些需要集中管理的属性可在用户组中统一配置和管理。
不允许删除一个包含本地用户的用户组。
不能删除系统中存在的默认用户组system，但可以修改该用户组的配置。
【举例】
# 创建名称为abc的用户组并进入其视图。
<Sysname> system-view
[Sysname] user-group abc
[Sysname-ugroup-abc]
【相关命令】
· display user-group
aaa device-id命令用来配置设备ID。
undo aaa debice-id命令用来恢复缺省情况。
【命令】
aaa device-id device-id
undo aaa device-id
【缺省情况】
设备ID为0。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
device-id：设备ID，取值范围为1～255。
【使用指导】
RADIUS计费过程使用Acct-Session-Id属性作为用户的计费ID。设备使用系统时间、随机数以及设备ID为每个在线用户生成一个唯一的Acct-Session-Id值。在多机备份环境中，多台设备使用相同的RADIUS计费服务器时，为了避免不同设备为用户生成的计费ID出现小概率重复，影响计费的准确性，建议使用本命令为不同设备配置不同的设备ID。
修改后的设备ID仅对新上线用户生效。
【举例】
# 配置设备ID为1。
<Sysname> system-view
[Sysname] aaa device-id 1
display radius scheme命令用来显示RADIUS方案的配置信息。
【命令】
display radius scheme [ radius-scheme-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
radius-scheme-name：RADIUS方案名，为1～32个字符的字符串，不区分大小写。如果不指定该参数，则表示所有RADIUS方案。
【举例】
# 显示所有RADIUS方案的配置信息。
<Sysname> display radius scheme
Total 1 RADIUS schemes
------------------------------------------------------------------
RADIUS scheme name: radius1
Index : 0
Primary authentication server:
IP : 2.2.2.2 Port: 1812
VPN : vpn1
State: Active
Test profile: 132
Probe username: test
Probe interval: 60 minutes
Weight: 40
Primary accounting server:
IP : 1.1.1.1 Port: 1813
VPN : Not configured
State: Active
Weight: 40
Second authentication server:
IP: 3.3.3.3 Port: 1812
VPN : Not configured
State: Block
Test profile: Not configured
Weight: 40
Second accounting server:
IP : 3.3.3.3 Port: 1813
VPN : Not configured
State: Block (Mandatory)
Weight: 0
VPN : Not configured
User Name Format : with-domain
------------------------------------------------------------------
表1-8 display radius scheme命令显示信息描述表
|
字段 |
描述 |
|
Total 1 RADIUS schemes. |
共计1个RADIUS方案 |
|
RADIUS scheme name |
RADIUS方案的名称 |
|
Index |
RADIUS方案的索引号 |
|
Primary authentication server |
主RADIUS认证服务器 |
|
Primary accounting server |
主RADIUS计费服务器 |
|
Second authentication server |
从RADIUS认证服务器 |
|
Second accounting server |
从RADIUS计费服务器 |
|
IP |
RADIUS认证/计费服务器IP地址 未配置时，显示为Not configured |
|
Port |
RADIUS认证/计费服务器接入端口号 未配置时，显示缺省值 |
|
State |
RADIUS认证/计费服务器目前状态 · Active：激活状态 · Block：自动转换的静默状态 · Block(Mandatory)：手工配置的静默状态 |
|
VPN |
RADIUS认证/计费服务器所在的VPN 未配置时，显示为Not configured |
|
Test profile |
探测服务器状态使用的模板名称 |
|
Probe username |
探测服务器状态使用的用户名 |
|
Probe interval |
探测服务器状态的周期（单位为分钟） |
|
Weight |
RADIUS服务器权重值 |
|
VPN |
RADIUS方案所属的VPN名称 未配置时，显示为Not configured |
|
User Name Format |
发送给RADIUS服务器的用户名格式 · with-domain：携带域名 · without-domain：不携带域名 · keep-original：与用户输入保持一致 |
|
Data flow unit |
数据流的单位 |
|
Packet unit |
数据包的单位 |
display radius statistics命令用来显示RADIUS报文的统计信息。
【命令】
display radius statistics
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示RADIUS报文的统计信息。
<Sysname> display radius statistics
Auth. Acct. SessCtrl.
Request Packet: 0 0 0
Retry Packet: 0 0 -
Timeout Packet: 0 0 -
Access Challenge: 0 - -
Account Start: - 0 -
Account Update: - 0 -
Account Stop: - 0 -
Terminate Request: - - 0
Set Policy: - - 0
Packet With Response: 0 0 0
Packet Without Response: 0 0 -
Access Rejects: 0 - -
Dropped Packet: 0 0 0
Check Failures: 0 0 0
表1-9 display radius statistics命令显示信息描述表
|
字段 |
描述 |
|
Auth. |
认证报文 |
|
Acct. |
计费报文 |
|
Request Packet |
发送的请求报文总数 |
|
Retry Packet |
重传的请求报文总数 |
|
Timeout Packet |
超时的请求报文总数 |
|
Access Challenge |
Access challenge报文数 |
|
Account Start |
计费开始报文的数目 |
|
Account Update |
计费更新报文的数目 |
|
Account Stop |
计费结束报文的数目 |
|
Terminate Request |
服务器强制下线报文的数目 |
|
Set Policy |
更新用户授权信息报文的数目 |
|
Packet With Response |
有回应信息的报文数 |
|
Packet Without Response |
无回应信息的报文数 |
|
Access Rejects |
认证拒绝报文的数目 |
|
Dropped Packet |
丢弃的报文数 |
|
Check Failures |
报文校验错误的报文数目 |
【相关命令】
· reset radius statistics
key命令用来配置RADIUS报文的共享密钥。
undo key命令用来删除RADIUS报文的共享密钥。
【命令】
key { accounting | authentication } { cipher | simple } string
undo key { accounting | authentication }
【缺省情况】
未配置RADIUS报文的共享密钥。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：指定RADIUS计费报文的共享密钥。
authentication：指定RADIUS认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
【使用指导】
设备优先采用配置RADIUS认证/计费服务器时指定的报文共享密钥，本配置中指定的报文共享密钥仅在配置RADIUS认证/计费服务器时未指定相应密钥的情况下使用。
必须保证设备上设置的共享密钥与RADIUS服务器上的完全一致。
【举例】
# 在RADIUS方案radius1中，配置计费报文的共享密钥为明文ok。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] key accounting simple ok
【相关命令】
· display radius scheme
primary accounting命令用来配置主RADIUS计费服务器。
undo primary accounting命令用来恢复缺省情况。
【命令】
primary accounting { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | vpn-instance vpn-instance-name | weight weight-value ] *
undo primary accounting
【缺省情况】
未配置主RADIUS计费服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：主RADIUS计费服务器的IPv4地址。
ipv6 ipv6-address：主RADIUS计费服务器的IPv6地址。
port-number：主RADIUS计费服务器的UDP端口号，取值范围为1～65535，缺省值为1813。
key：与主RADIUS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
vpn-instance vpn-instance-name：主RADIUS计费服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示主RADIUS计费服务器位于公网中。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的计费请求报文越多。
【使用指导】
配置的主计费服务器的UDP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主计费服务器和从计费服务器的IP地址、端口号和VPN参数不能完全相同。
设备与主计费服务器通信时优先使用本命令设置的共享密钥，如果此处未设置，则使用key accounting命令设置的共享密钥。
若服务器位于MPLS VPN私网中，为保证RADIUS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN实例比RADIUS方案所属的VPN实例具有更高的优先级。
当RADIUS服务器负载分担功能处于关闭状态时，如果在计费开始请求报文发送过程中修改或删除了正在使用的主计费服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；当RADIUS服务器负载分担功能处于开启状态时，设备将仅与发起计费开始请求的服务器通信。
如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地，这将造成对用户计费的不准确。
【举例】
# 在RADIUS方案radius1中，配置主计费服务器的IP地址为10.110.1.2，使用UDP端口1813提供RADIUS计费服务，计费报文的共享密钥为明文123456TESTacct&!。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] primary accounting 10.110.1.2 1813 key simple 123456TESTacct&!
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· secondary accounting (RADIUS scheme view)
· vpn-instance (RADIUS scheme view)
primary authentication命令用来配置主RADIUS认证服务器。
undo primary authentication命令用来恢复缺省情况。
【命令】
primary authentication { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | test-profile profile-name | vpn-instance vpn-instance-name | weight weight-value ] *
undo primary authentication
【缺省情况】
未配置RADIUS主认证服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：主RADIUS认证服务器的IPv4地址。
ipv6 ipv6-address：主RADIUS认证服务器的IPv6地址。
port-number：主RADIUS认证服务器的UDP端口号，取值范围为1～65535，缺省值为1812。此端口号必须与服务器提供认证服务的端口号保持一致。
key：与主RADIUS认证服务器交互的认证报文的共享密钥。此共享密钥必须与服务器上配置的共享密钥保持一致。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
test-profile profile-name：RADIUS服务器探测模板名称，为1～31个字符的字符串，区分大小写。
vpn-instance vpn-instance-name：主RADIUS认证服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示主RADIUS认证服务器位于公网中。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的认证请求报文越多。
【使用指导】
配置的主认证服务器的UDP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主认证服务器和从认证服务器的IP地址、端口号和VPN参数不能完全相同。
设备与主认证服务器通信时优先使用本命令设置的共享密钥，如果本命令中未设置，则使用key authenticaiton命令设置的共享密钥。
RADIUS认证服务器引用了存在的服务器探测模板后，将会触发对该服务器的探测功能。
若服务器位于MPLS VPN私网中，为保证RADIUS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比RADIUS方案所属的VPN优先级高。
当RADIUS服务器负载分担功能处于关闭状态时，如果在认证过程中修改或删除了正在使用的主认证服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；当RADIUS服务器负载分担功能处于开启状态时，如果在认证过程中修改或删除了正在使用的认证服务器配置，则设备在与当前服务器通信超时后，将会根据各服务器的权重以及服务器承载的用户负荷重新选择状态为active的服务器进行通信。
【举例】
# 在RADIUS方案radius1中，配置主认证服务器的IP地址为10.110.1.1，使用UDP端口1812提供RADIUS认证/授权服务，认证报文的共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] primary authentication 10.110.1.1 1812 key simple 123456TESTauth&!
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· radius-server test-profile
· secondary authentication (RADIUS scheme view)
· vpn-instance (RADIUS scheme view)
radius authentication-request first命令用来开启RADIUS认证请求优先处理功能。
undo radius authentication-request first命令用来关闭RADIUS认证请求优先处理功能。
【命令】
radius authentication-request first
undo radius authentication-request first
【缺省情况】
RADIUS认证请求优先处理功能处于关闭状态，设备依次处理接入模块发起的所有RADIUS请求。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
接入模块发起的RADIUS请求包括RADIUS认证请求、RADIUS计费开始请求、RADIUS计费更新请求和RADIUS计费结束请求。缺省情况下，设备依次处理各接入模块发起的所有类型的RADIUS请求。此时，如果有大量用户下线后立即再次上线的情况发生，则会由于设备首先处理较早的停止计费请求，而导致处理后续的认证请求时，接入模块的认证请求已经超时。认证请求超时后，用户认证失败。为了解决这个问题，建议在有大量用户频繁上下线的组网环境中开启本功能，使得设备优先处理RADIUS认证请求，从而保证用户可以正常上线。
需要注意的是，当RADIUS服务器上以用户名标识用户，并且不允许相同用户名的用户重复认证的情况下，不建议开启此功能，否则可能会导致用户下线后再次认证失败。
当设备上有用户在线时，不建议修改此配置。
【举例】
# 开启RADIUS认证请求优先处理功能。
<Sysname> system-view
[Sysname] radius authentication-request first
radius scheme命令用来创建RADIUS方案，并进入RADIUS方案视图。如果指定的RADIUS方案已经存在，则直接进入RADIUS方案视图。
undo radius scheme命令用来删除指定的RADIUS方案。
【命令】
radius scheme radius-scheme-name
undo radius scheme radius-scheme-name
【缺省情况】
不存在RADIUS方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
radius-scheme-name：RADIUS方案的名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
一个RADIUS方案可以同时被多个ISP域引用。
系统最多支持配置16个RADIUS方案。
【举例】
# 创建名为radius1的RADIUS方案并进入其视图。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1]
【相关命令】
· display radius scheme
radius-server test-profile命令用来配置RADIUS服务器探测模板。
undo radius-server test-profile命令用来删除指定的RADIUS服务器探测模板。
【命令】
radius-server test-profile profile-name username name [ interval interval ]
undo radius-server test-profile profile-name
【缺省情况】
不存在RADIUS服务器探测模板。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
profile-name：探测模板名称，为1～31个字符的字符串，区分大小写。
username name：探测报文中的用户名，为1～253个字符的字符串，区分大小写。
interval interval：发送探测报文的周期，取值范围为1～3600，单位为分钟，缺省值为60。
【使用指导】
系统支持配置多个RADIUS服务器探测模板。
RADIUS方案视图下的RADIUS服务器配置成功引用了某探测模板后，若被引用的探测模板不存在，则暂不启动探测功能。之后，当该探测模板被成功配置时，针对该服务器的探测过程将会立即开始。
删除一个RADIUS服务器探测模板时，引用该探测模板的所有RADIUS方案中的RADIUS服务器的探测功能也会被关闭。
【举例】
# 配置RADIUS服务器探测模板abc，探测报文中携带的用户名为admin，探测报文的发送间隔为10分钟。
<Sysname> system-view
[Sysname] radius-server test-profile abc username admin interval 10
【相关命令】
· primary authentication (RADIUS scheme view)
· secondary authentication (RADIUS scheme view)
reset radius statistics命令用来清除RADIUS协议的统计信息。
【命令】
reset radius statistics
【视图】
用户视图
【缺省用户角色】
network-admin
【举例】
# 清除RADIUS协议的统计信息。
<Sysname> reset radius statistics
【相关命令】
· display radius statistics
reset stop-accounting-buffer命令用来清除缓存的RADIUS停止计费请求报文。
【命令】
reset stop-accounting-buffer { radius-scheme radius-scheme-name | session-id session-id | time-range start-time end-time | user-name user-name }
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
radius-scheme radius-scheme-name：表示指定RADIUS方案的停止计费响应报文。其中，radius-scheme-name为RAIUDS方案名，为1～32个字符的字符串，不区分大小写。
session-id session-id：表示指定会话的停止计费响应报文。其中，session-id表示会话ID，为1～64个字符的字符串，不包含字母。会话ID用于唯一标识当前的在线用户。
time-range start-time end-time：表示指定时间段内发送且被缓存的停止计费请求报文。其中，start-time为请求时间段的起始时间；end-time为请求时间段的结束时间，格式为hh:mm:ss-mm/dd/yyyy（时:分:秒-月/日/年）或hh:mm:ss-yyyy/mm/dd（时:分:秒-年/月/日）。
user-name user-name：表示指定用户名的停止计费响应报文。其中，user-name表示用户名，为1～255个字符的字符串，区分大小写。输入的用户名是否携带ISP域名，必须与RADIUS方案中配置的发送给RADIUS服务器的用户名格式保持一致。
【举例】
# 清除缓存的用户user0001@test的RADIUS停止计费请求报文。
<Sysname> reset stop-accounting-buffer user-name user0001@test
# 清除从2015年8月31日0点0分0秒到2015年8月31日23点59分59秒期间内缓存的停止计费请求报文。
<Sysname> reset stop-accounting-buffer time-range 00:00:00-08/31/2015 23:59:59-08/31/2015
【相关命令】
· display stop-accounting-buffer (for RADIUS)
· stop-accounting-buffer enable (RADIUS scheme view)
【相关命令】
· display radius scheme
secondary accounting命令用来配置从RADIUS计费服务器。
undo secondary accounting命令用来删除指定的从RADIUS计费服务器。
【命令】
secondary accounting { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | vpn-instance vpn-instance-name | weight weight-value ] *
undo secondary accounting [ { ipv4-address | ipv6 ipv6-address } [ port-number | vpn-instance vpn-instance-name ] * ]
【缺省情况】
未配置从RADIUS计费服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：从RADIUS计费服务器的IPv4地址。
ipv6 ipv6-address：从RADIUS计费服务器的IPv6地址。
port-number：从RADIUS计费服务器的UDP端口号，取值范围为1～65535，缺省值为1813。
key：与从RADIUS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
vpn-instance vpn-instance-name：从RADIUS计费服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示从RADIUS计费服务器位于公网中。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的计费请求报文越多。
【使用指导】
配置的从计费服务器的UDP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
每个RADIUS方案中最多支持配置16个从RADIUS计费服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
在同一个方案中指定的主计费服务器和从计费服务器的IP地址、端口号和VPN参数不能完全相同，并且各从计费服务器的IP地址、端口号和VPN参数也不能完全相同。
设备与从计费服务器通信时优先使用本命令设置的共享密钥，如果此处未设置，则使用命令key accounting命令设置的共享密钥。
若服务器位于MPLS VPN私网中，为保证RADIUS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比RADIUS方案所属的VPN优先级高。
当RADIUS服务器负载分担功能处于关闭状态时，如果在计费开始请求报文发送过程中删除了正在使用的从服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；在RADIUS服务器负载分担功能处于开启状态时，设备将仅与发起计费开始请求的服务器通信。
如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地。
【举例】
# 在RADIUS方案radius1中，配置从计费服务器的IP地址为10.110.1.1，使用UDP端口1813提供RADIUS计费服务。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] secondary accounting 10.110.1.1 1813
# 在RADIUS方案radius2中，配置两个从计费服务器，IP地址分别为10.110.1.1、10.110.1.2，且均使用UDP端口1813提供RADIUS计费服务。
<Sysname> system-view
[Sysname] radius scheme radius2
[Sysname-radius-radius2] secondary accounting 10.110.1.1 1813
[Sysname-radius-radius2] secondary accounting 10.110.1.2 1813
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· primary accounting
· vpn-instance (RADIUS scheme view)
secondary authentication命令用来配置从RADIUS认证服务器。
undo secondary authentication命令用来删除指定的从RADIUS认证服务器。
【命令】
secondary authentication { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | test-profile profile-name | vpn-instance vpn-instance-name | weight weight-value ] *
undo secondary authentication [ { ipv4-address | ipv6 ipv6-address } [ port-number | vpn-instance vpn-instance-name ] * ]
【缺省情况】
未配置从RADIUS认证服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：从RADIUS认证服务器的IPv4地址。
ipv6 ipv6-address：从RADIUS认证服务器的IPv6地址。
port-number：从RADIUS认证服务器的UDP端口号，取值范围为1～65535，缺省值为1812。
key：与从RADIUS认证服务器交互的认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
test-profile profile-name：RADIUS服务器探测模板名称，为1～31个字符的字符串，区分大小写。
vpn-instance vpn-instance-name：从RADIUS认证服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示从RADIUS认证服务器位于公网中。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的认证请求报文越多。
【使用指导】
配置的从认证服务器的UDP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
每个RADIUS方案中最多支持配置16个从RADIUS认证服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
RADIUS认证服务器引用了存在的服务器探测模板后，将会触发对该服务器的探测功能。
在同一个方案中指定的主认证服务器和从认证服务器的IP地址、端口号和VPN参数不能完全相同，并且各从认证服务器的IP地址、端口号和VPN参数也不能完全相同。
设备与从认证服务器通信时优先使用本命令设置的共享密钥，如果此处未设置，则使用命令key authentication命令设置的共享密钥。
若服务器位于MPLS VPN私网中，为保证RADIUS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比RADIUS方案所属的VPN优先级高。
当RADIUS服务器负载分担功能处于关闭状态时，如果在认证过程中删除了正在使用的从服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；在RADIUS服务器负载分担功能处于开启状态时，如果在认证过程中修改或删除了正在使用的认证服务器配置，则设备在与当前服务器通信超时后，将会根据各服务器的权重以及服务器承载的用户负荷重新选择状态为active的服务器进行通信。
【举例】
# 在RADIUS方案radius1中，配置从认证服务器的IP地址为10.110.1.2，使用UDP端口1812提供RADIUS认证/授权服务。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] secondary authentication 10.110.1.2 1812
# 在RADIUS方案radius2中，配置两个从认证服务器，IP地址分别为10.110.1.1、10.110.1.2，且均使用UDP端口1812提供RADIUS认证/授权服务。
<Sysname> system-view
[Sysname] radius scheme radius2
[Sysname-radius-radius2] secondary authentication 10.110.1.1 1812
[Sysname-radius-radius2] secondary authentication 10.110.1.2 1812
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· primary authentication (RADIUS scheme view)
· radius-server test-profile
· vpn-instance (RADIUS scheme view)
snmp-agent trap enable radius命令用来开启RADIUS告警功能。
undo snmp-agent trap enable radius命令用来关闭指定的RADIUS告警功能。
【命令】
snmp-agent trap enable radius [ accounting-server-down | accounting-server-up | authentication-error-threshold | authentication-server-down | authentication-server-up ] *
undo snmp-agent trap enable radius [ accounting-server-down | accounting-server-up | authentication-error-threshold | authentication-server-down | authentication-server-up ] *
【缺省情况】
所有类型的RADIUS告警功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
accounting-server-down：表示RADIUS计费服务器可达状态变为down时发送告警信息。
accounting-server-up：表示RADIUS计费服务器可达状态变为up时发送告警信息。
authentication-error-threshold：表示认证失败次数超过阈值时发送告警信息。该阈值为认证失败次数占认证请求总数的百分比数值，目前仅能通过MIB方式配置，取值范围为1～100，缺省为30。
authentication-server-down：表示RADIUS认证服务器可达状态变为down时发送告警信息。
authentication-server-up：表示RADIUS认证服务器可达状态变为up时发送告警信息。
【使用指导】
不指定任何参数时，表示开启或关闭所有类型的RADIUS告警功能。
开启RADIUS服务器告警功能后，系统将会生成以下几种告警信息：
· RADIUS服务器不可达的告警：当NAS向RADIUS服务器发送计费或认证请求没有收到响应时，会重传请求，当重传次数达到最大传送次数时仍然没有收到响应时，则发送该告警信息。
· RADIUS服务器可达的告警：当timer quiet定时器设定的时间到达后，NAS将服务器的状态置为激活状态并发送该告警信息。
· 认证失败次数超过阈值的告警：当NAS发现认证失败次数与认证请求总数的百分比超过阈值时，会发送该告警信息。
【举例】
# 开启RADIUS计费服务器可达状态变为down时的告警功能。
<Sysname> system-view
[Sysname] snmp-agent trap enable radius accounting-server-down
state primary命令用来设置主RADIUS服务器的状态。
【命令】
state primary { accounting | authentication } { active | block }
【缺省情况】
主RADIUS服务器状态为active。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：主RADIUS计费服务器。
authentication：主RADIUS认证服务器。
active：正常工作状态。
block：通信中断状态。
【使用指导】
当RADIUS服务器负载分担功能处于关闭状态时，每次用户发起认证或计费，如果主服务器状态为active，则设备都会首先尝试与主服务器进行通信，如果主服务器不可达，则将主服务器的状态置为block，同时启动主服务器的timer quiet定时器，然后设备会严格按照从服务器的配置先后顺序依次查找状态为active的从服务器。在timer quiet定时器设定的时间到达之后，主服务器状态将由block恢复为active。若该定时器超时之前，通过本命令将主服务器的状态手工设置为block，则定时器超时之后主服务器状态不会自动恢复为active，除非通过本命令手工将其设置为active。
当RADIUS服务器负载分担功能处于开启状态时，设备仅根据当前各服务器承载的用户负荷调度状态为active的服务器发送认证或计费请求。
如果主服务器与所有从服务器状态都是block，则采用主服务器进行认证或计费。
认证服务器的状态会影响设备对该服务器可达性探测功能的开启。当指定的服务器状态为active，且该服务器通过radius-server test-profile命令成功引用了一个已存在的服务器探测模板时，则设备会开启对该服务器的可达性探测功能。当手工将该服务器状态置为block时，会关闭对该服务器的可达性探测功能。
【举例】
# 在RADIUS方案radius1中，设置主认证服务器的状态为block。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] state primary authentication block
【相关命令】
· display radius scheme
· radius-server test-profile
· state secondary
state secondary命令用来设置从RADIUS服务器的状态。
【命令】
state secondary { accounting | authentication } [ { ipv4-address | ipv6 ipv6-address } [ port-number | vpn-instance vpn-instance-name ] * ] { active | block }
【缺省情况】
从RADIUS服务器状态为active。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：从RADIUS计费服务器。
authentication：从RADIUS认证服务器。
ipv4-address：从RADIUS服务器的IPv4地址。
ipv6 ipv6-address：从RADIUS服务器的IPv6地址。
port-number：从RADIUS服务器的UDP端口号，取值范围为1～65535，从RADIUS计费服务器的缺省UDP端口号为1813，从RADIUS认证服务器的缺省UDP端口号为1812。
vpn-instance vpn-instance-name：从RADIUS服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN实例名称，为1～31个字符的字符串，区分大小写。
active：正常工作状态。
block：通信中断状态。
【使用指导】
如果不指定从服务器IP地址，那么本命令将会修改所有已配置的从认证服务器或从计费服务器的状态。
当RADIUS服务器负载分担功能处于关闭状态时，如果设备查找到的状态为active的从服务器不可达，则设备会将该从服务器的状态置为block，同时启动该服务器的timer quiet定时器，并继续查找下一个状态为active的从服务器。在timer quiet定时器设定的时间到达之后，从服务器状态将由block恢复为active。若该定时器超时之前，通过本命令将从服务器的状态手工设置为block，则定时器超时之后从服务器状态不会自动恢复为active，除非通过本命令手工将其设置为active。如果所有已配置的从服务器都不可达，则本次认证或计费失败。
当RADIUS服务器负载分担功能处于开启状态时，设备仅根据当前各服务器承载的用户负荷调度状态为active的服务器发送认证或计费请求。
认证服务器的状态会影响设备对该服务器可达性探测功能的开启。当指定的服务器状态为active，且该服务器通过radius-server test-profile命令成功引用了一个已存在的服务器探测模板时，则设备会开启对该服务器的可达性探测功能。当手工将该服务器状态置为block时，会关闭对该服务器的可达性探测功能。
【举例】
# 在RADIUS方案radius1中，设置从认证服务器的状态设置为block。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] state secondary authentication block
【相关命令】
· display radius scheme
· radius-server test-profile
· state primary
user-name-format命令用来设置发送给RADIUS服务器的用户名格式。
undo user-name-format命令用来恢复缺省情况。
【命令】
user-name-format { keep-original | with-domain | without-domain }
undo user-name-format
【缺省情况】
发送给RADIUS服务器的用户名携带ISP域名。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
keep-original：发送给RADIUS服务器的用户名与用户的输入保持一致。
with-domain：发送给RADIUS服务器的用户名携带ISP域名。
without-domain：发送给RADIUS服务器的用户名不携带ISP域名。
【使用指导】
接入用户通常以“userid@isp-name”的格式命名，“@”后面的部分为ISP域名，设备就是通过该域名来决定将用户归于哪个ISP域的。但是，有些较早期的RADIUS服务器不能接受携带有ISP域名的用户名，在这种情况下，有必要将用户名中携带的域名去除后再传送给RADIUS服务器。因此，设备提供此命令以指定发送给RADIUS服务器的用户名是否携带有ISP域名。
如果指定某个RADIUS方案不允许用户名中携带有ISP域名，那么请不要在两个或两个以上的ISP域中同时设置使用该RADIUS方案。否则，会出现虽然实际用户不同（在不同的ISP域中），但RADIUS服务器认为用户相同（因为传送到它的用户名相同）的错误。
若接入用户为需要漫游的无线用户，建议接入设备上将发送给RADIUS服务器的用户名格式配置为keep-original类型，否则可能导致这类用户认证失败。
【举例】
# 在RADIUS方案radius1中，设置发送给RADIUS服务器的用户名不得携带域名。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] user-name-format without-domain
【相关命令】
· display radius scheme
vpn-instance命令用来配置RADIUS方案所属的VPN。
undo vpn-instance命令用来恢复缺省情况。
【命令】
vpn-instance vpn-instance-name
undo vpn-instance
【缺省情况】
RADIUS方案属于公网。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
vpn-instance-name：MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。
【使用指导】
本命令配置的VPN对于该方案下的所有RADIUS认证/计费服务器生效，但设备优先使用配置RADIUS认证/计费服务器时为各服务器单独指定的VPN。
【举例】
# 配置RADIUS方案radius1所属的VPN为test。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] vpn-instance test
【相关命令】
· display radius scheme
display hwtacacs scheme命令用来查看HWTACACS方案的配置信息或HWTACACS服务相关的统计信息。
【命令】
display hwtacacs scheme [ hwtacacs-scheme-name [ statistics ] ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
hwtacacs-scheme-name：HWTACACS方案的名称，为1～32个字符的字符串，不区分大小写。如果不指定该参数，则显示所有HWTACACS方案的配置信息。
statistics：显示HWTACACS服务相关的统计信息。不指定该参数，则显示HWTACACS方案的配置信息。
【举例】
# 查看所有HWTACACS方案的配置情况。
<Sysname> display hwtacacs scheme
Total 1 HWTACACS schemes
------------------------------------------------------------------
HWTACACS Scheme Name : hwtac
Index : 0
Primary Auth Server:
IP : 2.2.2.2 Port: 49 State: Active
VPN Instance: 2
Single-connection: Enabled
Primary Author Server:
IP : 2.2.2.2 Port: 49 State: Active
VPN Instance: 2
Single-connection: Disabled
Primary Acct Server:
IP : Not Configured Port: 49 State: Block
VPN Instance: Not configured
Single-connection: Disabled
VPN Instance : 2
NAS IP Address : 2.2.2.3
Server Quiet Period(minutes) : 5
Realtime Accounting Interval(minutes) : 12
Stop-accounting packets buffering : Enabled
Retransmission times : 100
Response Timeout Interval(seconds) : 5
Username Format : with-domain
Data flow unit : Byte
Packet unit : one
------------------------------------------------------------------
表1-10 display hwtacacs scheme命令显示信息描述表
|
字段 |
描述 |
|
Total 1 TACACS schemes |
共计1个HWTACACS方案 |
|
HWTACACS Scheme Name |
HWTACACS方案的名称 |
|
Index |
HWTACACS方案的索引号 |
|
Primary Auth Server |
主HWTACACS认证服务器 |
|
Primary Author Server |
主HWTACACS授权服务器 |
|
Primary Acct Server |
主HWTACACS计费服务器 |
|
Secondary Auth Server |
从HWTACACS认证服务器 |
|
Secondary Author Server |
从HWTACACS授权服务器 |
|
Secondary Acct Server |
从HWTACACS计费服务器 |
|
IP |
HWTACACS服务器的IP地址 未配置时，显示为Not configured |
|
Port |
HWTACACS服务器的端口号 未配置时，显示缺省值 |
|
State |
HWTACACS服务器目前状态 · Active：激活状态 · Block：静默状态 |
|
VPN Instance |
HWTACACS服务器所在的VPN 未配置时，显示为Not configured |
|
Single-connection |
单连接状态 · Enabled：使用一条TCP连接与服务器通信 · Disabled：每次新建TCP连接与服务器通信 |
|
VPN Instance |
HWTACACS方案所属的VPN名称 未配置时，显示为Not configured |
|
NAS IP Address |
发送HWTACACS报文的源IP地址 |
|
Server Quiet Period(minutes) |
主HWTACACS服务器恢复激活状态的时间（分钟） |
|
Realtime Accounting Interval(minutes) |
实时HWTACACS计费更新报文的发送间隔（分钟） |
|
Stop-accounting packets buffering |
HWTACACS停止计费请求报文缓存功能的开启情况 |
|
Retransmission times |
发起HWTACACS停止计费请求的最大尝试次数 |
|
Response Timeout Interval(seconds) |
HWTACACS服务器超时时间（秒） |
|
Username Format |
用户名格式 · with-domain：携带域名 · without-domain：不携带域名 · keep-original：与用户输入保持一致 |
|
Data flow unit |
数据流的单位 |
|
Packet unit |
数据包的单位 |
【相关命令】
· reset hwtacacs statistics
hwtacacs nas-ip命令用来设置设备发送HWTACACS报文使用的源地址。
undo hwtacacs nas-ip命令用来删除指定的发送HWTACACS报文使用的源地址。
【命令】
hwtacacs nas-ip { ipv4-address | ipv6 ipv6-address } [ vpn-instance vpn-instance-name ]
undo hwtacacs nas-ip { ipv4-address | ipv6 ipv6-address } [ vpn-instance vpn-instance-name ]
【缺省情况】
未设置发送HWTACACS报文使用的源地址，设备将以发送报文的接口的主IP地址作为源地址。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：指定的源IPv4地址，应该为本机的地址，不能为全0地址、全1地址、D类地址、E类地址和环回地址。
ipv6 ipv6-address：指定的源IPv6地址，应该为本机的地址，必须是单播地址，不能为环回地址与本地链路地址。
vpn-instance vpn-instance-name：指定私网源IP地址所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。若不指定该参数，则表示配置的是公网源地址。
【使用指导】
HWTACACS服务器上通过IP地址来标识接入设备，并根据收到的HWTACACS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证或计费请求。因此，为保证HWTACACS报文可被服务器正常接收并处理，接入设备上发送HWTACACS报文使用的源地址必须与HWTACACS服务器上指定的接入设备的IP地址保持一致。
为避免物理接口故障时从服务器返回的报文不可达，推荐使用Loopback接口地址为发送HWTACACS报文使用的源IP地址。
HWTACACS方案视图和系统视图下均可以配置发送HWTACACS报文使用的源IP地址，具体生效情况如下：
· HWTACACS方案视图下配置的源IP地址（通过nas-ip命令）只对本方案有效。
· 系统视图下的配置的源IP地址（通过hwtacacs nas-ip命令）对所有HWTACACS方案有效。
· HWTACACS方案视图下的设置具有更高的优先级。
设备支持MPLS L3VPN组网时，系统视图下最多允许指定16个源地址。其中，最多包括一个IPv4公网源地址和一个IPv6公网源地址，其余为私网源地址。对于同一个VPN，系统视图下最多允许指定一个IPv4私网源地址和一个IPv6私网源地址。
设备不支持MPLS L3VPN组网时，系统视图下最多允许指定一个IPv4源地址和一个IPv6源地址。
【举例】
# 设置设备发送HWTACACS报文使用的源地址为129.10.10.1。
<Sysname> system-view
[Sysname] hwtacacs nas-ip 129.10.10.1
【相关命令】
· nas-ip (HWTACACS scheme view)
hwtacacs scheme命令用来创建HWTACACS方案，并进入HWTACACS方案视图。如果指定的HWTACACS方案已经存在，则直接进入HWTACACS方案视图。
undo hwtacacs scheme命令用来删除指定的HWTACACS方案。
【命令】
hwtacacs scheme hwtacacs-scheme-name
undo hwtacacs scheme hwtacacs-scheme-name
【缺省情况】
不存在HWTACACS方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme-name：HWTACACS方案名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
一个HWTACACS方案可以同时被多个ISP域引用。
最多可以配置16个HWTACACS方案。
【举例】
# 创建名称为hwt1的HWTACACS方案并进入相应的HWTACACS视图。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1]
【相关命令】
· display hwtacacs scheme
key命令用来配置HWTACACS认证、授权、计费报文的共享密钥。
undo key命令用来删除指定的HWTACACS报文的共享密钥。
【命令】
key { accounting | authentication | authorization } { cipher | simple } string
undo key { accounting | authentication | authorization }
【缺省情况】
未配置HWTACACS报文的共享密钥。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：指定HWTACACS计费报文的共享密钥。
authentication：指定HWTACACS认证报文的共享密钥。
authorization：指定HWTACACS授权报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
【使用指导】
必须保证设备上设置的共享密钥与HWTACACS服务器上的完全一致。
【举例】
# 在HWTACACS方案hwt1中，配置HWTACACS认证报文共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] key authentication simple 123456TESTauth&!
# 配置HWTACACS授权报文共享密钥为明文123456TESTautr&!。
[Sysname-hwtacacs-hwt1] key authorization simple 123456TESTautr&!
# 配置HWTACACS计费报文共享密钥为明文123456TESTacct&!。
[Sysname-hwtacacs-hwt1] key accounting simple 123456TESTacct&!
【相关命令】
· display hwtacacs scheme
nas-ip命令用来设置设备发送HWTACACS报文使用的源IP地址。
undo nas-ip命令用来删除指定类型的发送HWTACACS报文使用的源IP地址。
【命令】
nas-ip { ipv4-address | ipv6 ipv6-address }
undo nas-ip [ ipv6 ]
【缺省情况】
使用系统视图下由命令hwtacacs nas-ip指定的源地址，若系统视图下未指定源地址，则使用发送HWTACACS报文的接口的主IP地址。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：指定的源IPv4地址，应该为本机的地址，不能为全0地址、全1地址、D类地址、E类地址和环回地址。
ipv6 ipv6-address：指定的源IPv6地址，应该为本机的地址，必须是单播地址，不能为环回地址与本地链路地址。
【使用指导】
HWTACACS服务器上通过IP地址来标识接入设备，并根据收到的HWTACACS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证、授权、计费请求。因此，为保证HWTACACS报文可被服务器正常接收并处理，接入设备上发送HWTACACS报文使用的源地址必须与HWTACACS服务器上指定的接入设备的IP地址保持一致。
为避免物理接口故障时从服务器返回的报文不可达，推荐使用Loopback接口地址为发送HWTACACS报文使用的源IP地址。
HWTACACS方案视图和系统视图下均可以配置发送HWTACACS报文使用的源IP地址，具体生效情况如下：
· HWTACACS方案视图下配置的源IP地址（通过nas-ip命令）只对本方案有效。
· 系统视图下的配置的源IP地址（通过hwtacacs nas-ip命令）对所有HWTACACS方案有效。
· HWTACACS方案视图下的设置具有更高的优先级。
一个HWTACACS方案视图下，最多允许指定一个IPv4源地址和一个IPv6源地址。
如果undo nas-ip命令中不指定ipv6关键字，则表示删除发送HWTACACS报文使用的源IPv4地址。
【举例】
# 在HWTACACS方案hwt1中，设置设备发送HWTACACS报文使用的源IP地址为10.1.1.1。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] nas-ip 10.1.1.1
【相关命令】
· hwtacacs nas-ip
primary accounting命令用来配置主HWTACACS计费服务器。
undo primary accounting命令用来恢复缺省情况。
【命令】
primary accounting { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
undo primary accounting
【缺省情况】
未配置HWTACACS主计费服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：主HWTACACS计费服务器的IPv4地址。
ipv6 ipv6-address：主HWTACACS计费服务器的IPv6地址。
port-number：主HWTACACS计费服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与主HWTACACS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与主HWTACACS计费服务器交互的计费报文使用同一个TCP连接。如果未指定本参数，则表示每次计费都会使用一个新的TCP连接。
vpn-instance vpn-instance-name：主HWTACACS计费服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示主HWTACACS计费服务器位于公网中。
【使用指导】
配置的主计费服务器的TCP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主计费服务器和从计费服务器的IP地址、端口号和VPN参数不能完全相同。
若服务器位于MPLS VPN私网中，为保证HWTACACS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比HWTACACS方案所属的VPN优先级高。
只有在设备与计费服务器没有报文交互时，才允许删除该服务器。计费服务器删除后，只对之后的计费过程有影响。
配置single-connection参数后可节省TCP连接资源，但有些HWTACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
【举例】
# 在HWTACACS方案hwt1中，配置主HWTACACS计费服务器的IP地址为10.163.155.12，使用TCP端口49与HWTACACS计费服务器通信，计费报文的共享密钥为明文123456TESTacct&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hw1
[Sysname-hwtacacs-hw1] primary accounting 10.163.155.12 49 key simple 123456TESTacct&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· secondary accounting
· vpn-instance (HWTACACS scheme view)
primary authentication命令用来配置主HWTACACS认证服务器。
undo primary authentication命令用来恢复缺省情况。
【命令】
primary authentication { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
undo primary authentication
【缺省情况】
未配置主HWTACACS认证服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：主HWTACACS认证服务器的IPv4地址。
ipv6 ipv6-address：主HWTACACS认证服务器的IPv6地址。
port-number：主HWTACACS认证服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与主HWTACACS认证服务器交互的认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与主HWTACACS认证服务器交互的计费报文使用同一个TCP连接。如果未指定本参数，则表示向主HWTACACS计费服务器发送计费报文都会使用一个新的TCP连接。
vpn-instance vpn-instance-name：主HWTACACS认证服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示主HWTACACS认证服务器位于公网中。
【使用指导】
配置的主认证服务器的TCP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主认证服务器和从认证服务器的IP地址、端口号和VPN参数不能完全相同。
若服务器位于MPLS VPN私网中，为保证HWTACACS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比HWTACACS方案所属的VPN优先级高。
只有在设备与认证服务器没有报文交互时，才允许删除该服务器。认证服务器删除后，只对之后的认证过程有影响。
配置single-connection参数后可节省TCP连接资源，但有些HWTACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
【举例】
# 在HWTACACS方案hwt1中，配置主HWTACACS认证服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS认证服务器通信，认证报文的共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] primary authentication 10.163.155.13 49 key simple 123456TESTauth&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· secondary authentication
· vpn-instance (HWTACACS scheme view)
primary authorization命令用来配置主HWTACACS授权服务器。
undo primary authorization命令用来恢复缺省情况。
【命令】
primary authorization { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
undo primary authorization
【缺省情况】
未配置主HWTACACS授权服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：主HWTACACS授权服务器的IPv4地址。
ipv6 ipv6-address：主HWTACACS授权服务器的IPv6地址。
port-number：主HWTACACS授权服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与主HWTACACS授权服务器交互的授权报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与主HWTACACS授权服务器交互的授权报文使用同一个TCP连接。如果未指定本参数，则表示每次授权都会使用一个新的TCP连接。
vpn-instance vpn-instance-name：主HWTACACS授权服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示主HWTACACS授权服务器位于公网中。
【使用指导】
配置的主授权服务器的TCP端口号以及授权报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主授权服务器和从授权服务器的IP地址、端口号和VPN参数不能完全相同。
若服务器位于MPLS VPN私网中，为保证HWTACACS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比HWTACACS方案所属的VPN优先级高。
只有在设备与授权服务器没有报文交互时，才允许删除该服务器。授权服务器删除后，只对之后的授权过程有影响。
配置single-connection参数后可节省TCP连接资源，但有些HWTACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
【举例】
# 在HWTACACS方案hwt1中，配置主HWTACACS授权服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS授权服务器通信，授权报文的共享密钥为明文123456TESTautr&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] primary authorization 10.163.155.13 49 key simple 123456TESTautr&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· secondary authorization
· vpn-instance (HWTACACS scheme view)
reset hwtacacs statistics命令用来清除HWTACACS协议的统计信息。
【命令】
reset hwtacacs statistics { accounting | all | authentication | authorization }
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
accounting：清除HWTACACS协议关于计费的统计信息。
all：清除HWTACACS的所有统计信息。
authentication：清除HWTACACS协议关于认证的统计信息。
authorization：清除HWTACACS协议关于授权的统计信息。
【举例】
# 清除HWTACACS协议的所有统计信息。
<Sysname> reset hwtacacs statistics all
【相关命令】
· display hwtacacs scheme
secondary accounting命令用来配置从HWTACACS计费服务器。
undo secondary accounting命令用来删除指定的从HWTACACS计费服务器。
【命令】
secondary accounting { ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
undo secondary accounting [ { ipv4-address | ipv6 ipv6-address } [ port-number | vpn-instance vpn-instance-name ] * ]
【缺省情况】
未配置从HWTACACS计费服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：从HWTACACS计费服务器的IPv4地址。
ipv6 ipv6-address：从HWTACACS计费服务器的IPv6地址。
port-number：从HWTACACS计费服务器的端口号，取值范围为1～65535，缺省值为49。
key：与从HWTACACS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与从HWTACACS计费服务器交互的计费报文使用同一个TCP连接。如果未指定本参数，则表示每次计费都会使用一个新的TCP连接。
vpn-instance vpn-instance-name：从HWTACACS计费服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示从HWTACACS计费服务器位于公网中。
【使用指导】
配置的从计费服务器的TCP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
每个HWTACACS方案中最多支持配置16个从HWTACACS计费服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
如果不指定任何参数，则undo命令将删除所有从计费服务器。
在同一个方案中指定的主计费服务器和从计费服务器的IP地址、端口号和VPN参数不能完全相同，并且各从计费服务器的IP地址、端口号和VPN参数也不能完全相同。
配置single-connection参数后可节省TCP连接资源，但有些TACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
若服务器位于MPLS VPN私网中，为保证HWTACACS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比HWTACACS方案所属的VPN优先级高。
只有在设备与计费服务器没有报文交互时，才允许删除该服务器。计费服务器删除后，只对之后的计费过程有影响。
【举例】
# 在HWTACACS方案hwt1中，配置从HWTACACS计费服务器的IP地址为10.163.155.12，使用TCP端口49与HWTACACS计费服务器通信，计费报文的共享密钥为明文123456TESTacct&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] secondary accounting 10.163.155.12 49 key simple 123456TESTacct&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· primary accounting (HWTACACS scheme view)
· vpn-instance (HWTACACS scheme view)
secondary authentication命令用来配置从HWTACACS认证服务器。
undo secondary authentication命令用来删除指定的从HWTACACS认证服务器。
【命令】
secondary authentication { ipv4-address | ipv6 ipv6-address } [ port-number I key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
undo secondary authentication [ { ipv4-address | ipv6 ipv6-address } [ port-number | vpn-instance vpn-instance-name ] * ]
【缺省情况】
未配置从HWTACACS认证服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：从HWTACACS认证服务器的IPv4地址。
ipv6 ipv6-address：从HWTACACS认证服务器的IPv6地址。
port-number：从HWTACACS认证服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与从HWTACACS认证服务器交互的认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与从HWTACACS认证服务器交互的认证报文使用同一个TCP连接。如果未指定本参数，则表示每次认证都会使用一个新的TCP连接。
vpn-instance vpn-instance-name：从HWTACACS认证服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示从HWTACACS服务器位于公网中。
【使用指导】
配置的从认证服务器的TCP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
每个HWTACACS方案中最多支持配置16个从HWTACACS认证服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
如果不指定任何参数，则undo命令命令将删除所有从认证服务器。
在同一个方案中指定的主认证服务器和从认证服务器的IP地址、端口号和VPN参数不能完全相同，并且各从认证服务器的IP地址、端口号和VPN参数也不能完全相同。
配置single-connection参数后可节省TCP连接资源，但有些TACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
若服务器位于MPLS VPN私网中，为保证HWTACACS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比HWTACACS方案所属的VPN优先级高。
只有在设备与认证服务器没有报文交互时，才允许删除该服务器。认证服务器删除后，只对之后的认证过程有影响。
【举例】
# 在HWTACACS方案hwt1中，配置从HWTACACS认证服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS认证服务器通信，认证报文的共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] secondary authentication 10.163.155.13 49 key simple 123456TESTauth&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· primary authentication (HWTACACS scheme view)
· vpn-instance (HWTACACS scheme view)
secondary authorization命令用来配置从HWTACACS授权服务器。
undo secondary authorization命令用来删除指定的从HWTACACS授权服务器。
【命令】
secondary authorization { ipv4-address | ipv6 ipv6-address } [ port-number I key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
undo secondary authorization [ { ipv4-address | ipv6 ipv6-address } [ port-number | vpn-instance vpn-instance-name ] * ]
【缺省情况】
未配置从HWTACACS授权服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
ipv4-address：从HWTACACS授权服务器的IPv4地址。
ipv6 ipv6-address：从HWTACACS授权服务器的IPv6地址。
port-number：从HWTACACS授权服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与从HWTACACS授权服务器交互的授权报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与从HWTACACS授权服务器交互的授权报文使用同一个TCP连接。如果未指定本参数，则表示每次授权都会使用一个新的TCP连接。
vpn-instance vpn-instance-name：从HWTACACS授权服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示从HWTACACS授权服务器位于公网中。
【使用指导】
配置的从授权服务器的TCP端口号以及授权报文的共享密钥必须与服务器的配置保持一致。
每个HWTACACS方案中最多支持配置16个从HWTACACS授权服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
如果不指定任何参数，则undo命令将删除所有从授权服务器。
在同一个方案中指定的主授权服务器和从授权服务器的IP地址、端口号和VPN参数不能完全相同，并且各从授权服务器的IP地址、端口号和VPN参数也不能完全相同。
配置single-connection参数后可节省TCP连接资源，但有些TACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
若服务器位于MPLS VPN私网中，为保证HWTACACS报文被发送到指定的私网服务器，必须指定服务器所属的VPN实例。本命令指定的服务器所属的VPN比HWTACACS方案所属的VPN优先级高。
只有在设备与授权服务器没有报文交互时，才允许删除该服务器。授权服务器删除后，只对之后的授权过程有影响。
【举例】
# 在HWTACACS方案hwt1中，配置从HWTACACS授权服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS授权服务器通信，授权报文的共享密钥为明文123456TESTautr&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] secondary authorization 10.163.155.13 49 key simple 123456TESTautr&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· primary authorization (HWTACACS scheme view)
· vpn-instance (HWTACACS scheme view)
user-name-format命令用来设置发送给HWTACACS服务器的用户名格式。
undo user-name-format命令用来恢复缺省情况。
【命令】
user-name-format { keep-original | with-domain | without-domain }
undo user-name-format
【缺省情况】
发送给HWTACACS服务器的用户名携带ISP域名。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
keep-original：发送给HWTACACS服务器的用户名与用户输入的保持一致。
with-domain：发送给HWTACACS服务器的用户名携带ISP域名。
without-domain：发送给HWTACACS服务器的用户名不携带ISP域名。
【使用指导】
接入用户通常以“userid@isp-name”的格式命名，“@”后面的部分为ISP域名，设备就是通过该域名来决定将用户归于哪个ISP域的。但是，有些HWTACACS服务器不能接受携带有ISP域名的用户名，在这种情况下，有必要将用户名中携带的域名去除后再传送给HWTACACS服务器。因此，设备提供此命令以指定发送给HWTACACS服务器的用户名是否携带有ISP域名。
如果指定某个HWTACACS方案不允许用户名中携带有ISP域名，那么请不要在两个乃至两个以上的ISP域中同时设置使用该HWTACACS方案。否则，会出现虽然实际用户不同（在不同的ISP域中），但HWTACACS服务器认为用户相同（因为传送到它的用户名相同）的错误。
若接入用户为需要漫游的无线用户，接入设备上将发送给HWTACACS服务器的用户名格式配置为keep-original类型，否则可能导致这类用户认证失败。
【举例】
# 在HWTACACS方案hwt1中，设置发送给HWTACACS服务器的用户名不携带ISP域名。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] user-name-format without-domain
【相关命令】
· display hwtacacs scheme
vpn-instance命令用来配置HWTACACS方案所属的VPN。
undo vpn-instance命令用来恢复缺省情况。
【命令】
vpn-instance vpn-instance-name
undo vpn-instance
【缺省情况】
HWTACACS方案属于公网。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
vpn-instance-name：MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。
【使用指导】
本命令配置的VPN对于该方案下的所有HWTACACS认证/授权/计费服务器生效，但设备优先使用配置认证/授权/计费服务器时指定的各服务器所属的VPN。
【举例】
# 配置HWTACACS方案hw1所属的VPN为test。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] vpn-instance test
【相关命令】
· display hwtacacs scheme
attribute-map命令用来在LDAP方案中引用LDAP属性映射表。
undo attribute-map命令用来恢复缺省情况。
【命令】
attribute-map map-name
undo attribute-map
【缺省情况】
未引用任何LDAP属性映射表。
【视图】
LDAP方案视图
【缺省用户角色】
network-admin
【参数】
map-name：LDAP属性映射表的名称，为1～31个字符的字符串，不区分大小写。
【使用指导】
在使用LDAP授权方案的情况下，可以通过在LDAP方案中引用LDAP属性映射表，将LDAP授权服务器下发给用户的LDAP属性映射为AAA模块可以解析的某类属性。
一个LDAP方案视图中只能引用一个LDAP属性映射表，后配置的生效。
如果在LDAP授权过程中修改了引用的LDAP属性映射表，或者修改了引用的LDAP属性映射表的内容，则该修改对当前的授权过程不会生效，只对修改后新的LDAP授权过程生效。
【举例】
# 在LDAP方案ldap1中，引用名称为map1的LDAP属性映射表。
<Sysname> system-view
[Sysname] ldap scheme test
[Sysname-ldap-test] attribute-map map1
【相关命令】
· display ldap-scheme
· ldap attribute-map
authentication-server命令用来指定LDAP认证服务器。
undo authentication-server命令用来恢复缺省情况。
【命令】
authentication-server server-name
undo authentication-server
【缺省情况】
未指定LDAP认证服务器。
【视图】
LDAP方案视图
【缺省用户角色】
network-admin
【参数】
server-name：LDAP服务器的名称，为1～64个字符的字符串，不区分大小写。该服务器必须已经存在。
【使用指导】
一个LDAP方案视图下仅能指定一个LDAP认证服务器，多次执行本命令，最后一次执行的命令生效。
【举例】
# 在LDAP方案ldap1中，指定LDAP认证服务器为ccc。
<Sysname> system-view
[Sysname] ldap scheme ldap1
[Sysname-ldap-ldap1] authentication-server ccc
【相关命令】
· display ldap scheme
· ldap server
authorization-server命令用来指定LDAP授权服务器。
undo authorization-server命令用来恢复缺省情况。
【命令】
authorization-server server-name
undo authorization-server
【缺省情况】
未指定LDAP授权服务器。
【视图】
LDAP方案视图
【缺省用户角色】
network-admin
【参数】
server-name：LDAP服务器的名称，为1～64个字符的字符串，不区分大小写，且必须已经存在。
【使用指导】
一个LDAP方案视图下仅能指定一个LDAP授权服务器，多次执行本命令，最后一次执行的命令生效。
【举例】
# 在LDAP方案ldap1中，指定LDAP授权服务器为ccc。
<Sysname> system-view
[Sysname] ldap scheme ldap1
[Sysname-ldap-ldap1] authorization-server ccc
【相关命令】
· display ldap scheme
· ldap server
display ldap scheme命令用来查看LDAP方案的配置信息。
【命令】
display ldap scheme [ ldap-scheme-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
ldap-scheme-name：LDAP方案的名称，为1～32个字符的字符串，不区分大小写。如果不指定该参数，则显示所有LDAP方案的配置信息。
【举例】
# 查看所有LDAP方案的配置信息。
<Sysname> display ldap scheme
Total 1 LDAP schemes
------------------------------------------------------------------
LDAP scheme name : aaa
Authentication server : aaa
IP : 1.1.1.1
Port : 111
VPN instance : Not configured
LDAP protocol version : LDAPv3
Server timeout interval : 10 seconds
Login account DN : Not configured
Base DN : Not configured
Search scope : all-level
User searching parameters:
User object class : Not configured
Username attribute : cn
Username format : with-domain
Authorization server : aaa
IP : 1.1.1.1
Port : 111
VPN instance : Not configured
LDAP protocol version : LDAPv3
Server timeout interval : 10 seconds
Login account DN : Not configured
Base DN : Not configured
Search scope : all-level
User searching parameters:
User object class : Not configured
Username attribute : cn
Username format : with-domain
Attribute map : map1
------------------------------------------------------------------
表1-11 display ldap scheme命令显示信息描述表
|
字段 |
描述 |
|
Total 1 LDAP schemes |
总共有1个LDAP方案 |
|
LDAP Scheme Name |
LDAP方案名称 |
|
Authentication Server |
LDAP认证服务器名称 未配置时，显示为Not configured |
|
Authorization server |
LDAP授权服务器名称 未配置时，显示为Not configured |
|
IP |
LDAP认证服务器的IP地址 未配置认证服务器IP时，IP地址显示为Not configured |
|
Port |
LDAP认证服务器的端口号 未配置认证服务器IP时，端口号显示为缺省值 |
|
VPN Instance |
VPN实例名称 未配置时，显示为Not configured |
|
LDAP Protocol Version |
LDAP协议的版本号（LDAPv2、LDAPv3） |
|
Server Timeout Interval |
LDAP服务器连接超时时间（单位为秒） |
|
Login Account DN |
管理员用户的DN |
|
Base DN |
用户DN查询的起始DN |
|
Search Scope |
用户DN查询的范围（all-level：所有子目录查询，single-level：下级目录查询） |
|
User Searching Parameters |
用户查询参数 |
|
User Object Class |
查询用户DN时使用的用户对象类型 未配置时，显示为Not configured |
|
Username Attribute |
用户登录帐号的属性类型 |
|
Username Format |
发送给服务器的用户名格式 |
|
Attribute map |
引用的LDAP属性映射表名称 未配置时，显示为Not configured |
ip命令用来配置LDAP服务器的IP地址。
undo ip命令用来恢复缺省情况。
【命令】
ip ip-address [ port port-number ] [ vpn-instance vpn-instance-name ]
undo ip
【缺省情况】
未配置LDAP服务器的IP地址。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
ip-address：LDAP服务器的IP地址。
port port-number：LDAP服务器所使用的TCP端口号，取值范围为1～65535，缺省值为389。
vpn-instance vpn-instance-name：LDAP服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN实例的名称，为1～31个字符的字符串，区分大小写。不指定该参数时，表示LDAP服务器属于公网。
【使用指导】
需保证设备上的LDAP服务端口与LDAP服务器上使用的端口设置一致。
更改后的服务器IP地址和端口号，只对更改之后进行的LDAP认证生效。
【举例】
# 配置LDAP服务器ccc的IP地址为192.168.0.10、端口号为4300。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] ip 192.168.0.10 port 4300
【相关命令】
· ldap server
ipv6命令用来配置LDAP服务器的IPv6地址。
undo ipv6命令用来恢复缺省情况。
【命令】
ipv6 ipv6-address [ port port-number ] [ vpn-instance vpn-instance-name ]
undo ipv6
【缺省情况】
未配置LDAP服务器的IP地址。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
ipv6-address：LDAP服务器的IPv6地址。
port port-number：LDAP服务器所使用的TCP端口号，取值范围为1～65535，缺省值为389。
vpn-instance vpn-instance-name：LDAP服务器所属的VPN实例。vpn-instance-name表示MPLS L3VPN实例的名称，为1～31个字符的字符串，区分大小写。不指定该参数时，表示LDAP服务器属于公网。
【使用指导】
需保证设备上的LDAP服务端口与LDAP服务器上使用的端口设置一致。
更改后的服务器IP地址和端口号，只对更改之后的LDAP认证生效。
【举例】
# 配置LDAP服务器ccc的IPv6地址为1:2::3:4、端口号为4300。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] ipv6 1:2::3:4 port 4300
【相关命令】
· ldap server
ldap attribute-map命令用来创建LDAP属性映射表，并进入LDAP属性映射表视图。如果指定的LDAP属性映射表已经存在，则直接进入LDAP属性映射表视图。
undo ldap attribute-map命令用来删除指定的LDAP属性映射表。
【命令】
ldap attribute-map map-name
undo ldap attribute-map map-name
【缺省情况】
不存在LDAP属性映射表。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
map-name：LDAP属性映射表的名称，为1～31个字符的字符串，不区分大小写。
【使用指导】
一个LDAP的属性映射表中可以添加多个LDAP属性映射表项，每个表项表示一个LDAP 属性和一个AAA属性的映射关系。
可以通过多次执行本命令配置多个LDAP的属性映射表。
【举例】
# 创建名称为map1的LDAP属性映射表，并进入该属性映射表视图。
<Sysname> system-view
[Sysname] ldap attribute-map map1
[Sysname-ldap-map-map1]
【相关命令】
· attribute-map
· ldap scheme
· map
ldap scheme命令用来创建LDAP方案，并进入LDAP方案视图。如果指定的LDAP方案已经存在，则直接进入LDAP方案视图。
undo ldap scheme命令用来删除指定的LDAP方案。
【命令】
ldap scheme ldap-scheme-name
undo ldap scheme ldap-scheme-name
【缺省情况】
不存在LDAP方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ldap-scheme-name：LDAP方案的名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
一个LDAP方案可以同时被多个ISP域引用。
系统最多支持配置16个LDAP方案。
【举例】
# 创建名称为ldap1的LDAP方案并进入其视图。
<Sysname> system-view
[Sysname] ldap scheme ldap1
[Sysname-ldap-ldap1]
【相关命令】
· display ldap scheme
ldap server用来创建LDAP服务器，并进入LDAP服务器视图。如果指定的LDAP服务器已经存在，则直接进入LDAP服务器视图。
undo ldap server命令用来删除指定的LDAP服务器。
【命令】
ldap server server-name
undo ldap server server-name
【缺省情况】
不存在LDAP服务器。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
server-name：LDAP服务器的名称，为1～64个字符的字符串，不区分大小写。
【举例】
# 创建LDAP服务器ccc并进入其视图。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc]
【相关命令】
· display ldap scheme
login-dn命令用来配置具有管理员权限的用户DN。
undo login-dn命令用来恢复缺省情况。
【命令】
login-dn dn-string
undo login-dn
【缺省情况】
未配置具有管理员权限的用户DN。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
dn-string：具有管理员权限的用户DN，是绑定服务器时使用的用户标识名，为1～255个字符的字符串，不区分大小写。
【使用指导】
设备上的管理员DN必须与服务器上管理员的DN一致。
更改后的管理员DN，只对更改之后的LDAP认证生效。
【举例】
# 在LDAP服务器视图ccc下，配置管理员权限的用户DN为uid=test, ou=people, o=example, c=city。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] login-dn uid=test,ou=people,o=example,c=city
【相关命令】
· display ldap scheme
login-password命令用来配置LDAP认证中，绑定服务器时所使用的具有管理员权限的用户密码。
undo login-password命令用来恢复缺省情况。
【命令】
login-password { cipher | simple } string
undo login-password
【缺省情况】
未配置具有管理权限的用户密码。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
cipher：表示以密文方式设置密码。
simple：表示以明文方式设置密码，该密码将以密文形式存储。
string：密码字符串，区分大小写。明文密码为1～128个字符的字符串，密文密码为1～201个字符的字符串。
【使用指导】
该命令只有在配置了login-dn的情况下生效。当未配置login-dn时，该命令不生效。
【举例】
# 在LDAP服务器视图ccc下，配置具有管理员权限的用户密码为明文abcdefg。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] login-password simple abcdefg
【相关命令】
· display ldap scheme
· login-dn
map命令用来配置LDAP属性映射表项。
undo map命令用来删除指定的LDAP属性映射表项。
【命令】
map ldap-attribute ldap-attribute-name [ prefix prefix-value delimiter delimiter-value ] aaa-attribute user-group
undo map [ ldap-attribute ldap-attribute-name ]
【缺省情况】
未指定LDAP属性映射关系。
【视图】
LDAP属性映射表视图
【缺省用户角色】
network-admin
【参数】
ldap-attribute ldap-attribute-name：表示要映射的LDAP属性。其中，ldap-attribute-name表示LDAP属性名称，为1～63个字符的字符串，不区分大小写。
prefix prefix-value delimiter delimiter-value：表示按照一定的格式提取LDAP属性字符串中的内容映射为AAA属性。其中，prefix-value表示LDAP属性字符串中的某内容前缀（例如cn=），为1～7个字符的字符串，不区分大小写；delimiter-value表示LDAP属性字符串中的内容分隔符（例如逗号）。若不指定该可选参数，则表示要将一个完整的LDAP属性字符串映射为指定的AAA属性。
aaa-attribute：表示要映射为的AAA属性。
user-group：表示User group类型的AAA属性。
【使用指导】
如果某LDAP服务器下发给用户的属性不能被AAA模块解析，则该属性将被忽略。因此，需要通过本命令指定要获取哪些LDAP属性，以及LDAP服务器下发的这些属性将被AAA模块解析为什么类型的AAA属性，具体映射为哪种类型的AAA属性由实际应用需求决定。
一个LDAP服务器属性只能映射为一个AAA属性，但不同的LDAP服务器属性可映射为同一个AAA属性。
如果undo map命令中不指定ldap-attribute参数，则表示删除所有的LDAP属性映射表项。
【举例】
# 在LDAP属性映射表视图map1下，配置将LDAP服务器属性memberof按照前缀为cn=、分隔符为逗号（,）的格式提取出的内容映射成AAA属性User group。
<Sysname> system-view
[Sysname] ldap attribute-map map1
[Sysname-ldap-map-map1] map ldap-attribute memberof prefix cn= delimiter ; aaa-attribute user-group
【相关命令】
· ldap attribute-map
· user-group
protocol-version命令用来配置LDAP认证中所支持的LDAP协议的版本号。
undo protocol-version命令用来恢复缺省情况。
【命令】
protocol-version { v2 | v3 }
undo protocol-version
【缺省情况】
LDAP版本号为LDAPv3。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
v2：表示LDAP协议版本号为LDAPv2。
v3：表示LDAP协议版本号为LDAPv3。
【使用指导】
为保证LDAP认证成功，请保证设备上的LDAP版本号与LDAP服务器上使用的版本号一致。
更改后的服务器版本号，只对更改之后的LDAP认证生效。
Microsoft的LDAP服务器只支持LDAPv3，配置LDAP版本为v2时无效。
【举例】
# 在LDAP服务器视图ccc下，配置LDAP协议版本号为LDAPv2。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] protocol-version v2
【相关命令】
· display ldap scheme
search-base-dn命令用来配置用户查询的起始DN。
undo search-base-dn命令用来恢复缺省情况。
【命令】
search-base-dn base-dn
undo search-base-dn
【缺省情况】
未指定用户查询的起始DN。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
base-dn：查询待认证用户的起始DN值，为1～255个字符的字符串，不区分大小写。
【举例】
# 在LDAP服务器视图ccc下，配置用户查询的起始DN为dc=ldap,dc=com。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] search-base-dn dc=ldap,dc=com
【相关命令】
· display ldap scheme
· ldap server
search-scope命令用来配置用户查询的范围。
undo search-scope命令用来恢复缺省情况。
【命令】
search-scope { all-level | single-level }
undo search-scope
【缺省情况】
用户查询的范围为all-level。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
all-level：表示在起始DN的所有子目录下进行查询。
single-level：表示只在起始DN的下一级子目录下进行查询。
【举例】
# 在LDAP服务器视图ccc下，配置在起始DN的所有子目录下查询LDAP认证用户。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] search-scope all-level
【相关命令】
· display ldap scheme
· ldap server
server-timeout命令用来配置LDAP服务器连接超时时间，即认证、授权时等待LDAP服务器回应的最大时间。
undo server-timeout命令用来恢复缺省情况。
【命令】
server-timeout time-interval
undo server-timeout
【缺省情况】
LDAP服务器连接超时时间为10秒。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
time-interval：LDAP服务器连接超时时间，取值范围为5～20，单位为秒。
【使用指导】
更改后的连接超时时间，只对更改之后的LDAP认证生效。
【举例】
# 在LDAP服务器视图ccc下，配置LDAP服务器连接超时时间为15秒。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] server-timeout 15
【相关命令】
· display ldap scheme
user-parameters命令用来配置LDAP用户查询的属性参数，包括用户名属性、用户名格式和自定义用户对象类型。
undo user-parameters命令用来将指定的LDAP用户查询的属性参数恢复为缺省值。
【命令】
user-parameters { user-name-attribute { name-attribute | cn | uid } | user-name-format { with-domain | without-domain } | user-object-class object-class-name }
undo user-parameters { user-name-attribute | user-name-format | user-object-class }
【缺省情况】
user-name-attribute为cn；user-name-format为without-domain；未指定自定义user-object-class，根据使用的LDAP服务器的类型使用各服务器缺省的用户对象类型。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
user-name-attribute { name-attribute | cn | uid }：表示用户名的属性类型。其中，name-attribute表示属性类型值，为1～64个字符的字符串，不区分大小写；cn表示用户登录帐号的属性为cn（Common Name）；uid表示用户登录帐号的属性为uid（User ID）。
user-name-format { with-domain | without-domain }：表示发送给服务器的用户名格式。其中，with-domain表示发送给服务器的用户名带ISP域名；without-domain表示发送给服务器的用户名不带ISP域名。
user-object-class object-class-name：表示查询用户DN时使用的用户对象类型。其中，object-class-name表示对象类型值，为1～64个字符的字符串，不区分大小写。
【使用指导】
如果LDAP服务器上的用户名不包含域名，必须配置user-name-format为without-domain，将用户名的域名去除后再传送给LDAP服务器；如果包含域名则需配置user-name-format为with-domain。
【举例】
# 在LDAP服务器视图ccc下，配置用户对象类型为person。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] user-parameters user-object-class person
【相关命令】
· display ldap scheme
· login-dn
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
