目  录

1 AAA

1.1 概述

1.1.1 AAA简介

1.1.2 ISP域简介

1.2 配置AAA

1.2.1 配置准备

1.2.2 配置概述

1.2.3 配置ISP域

1.2.4 配置ISP域的AAA认证方法

1.2.5 配置ISP域的AAA授权方法

1.2.6 配置ISP域的AAA计费方法

1.3 AAA典型配置举例

1.3.1 AAA典型配置举例

2 RADIUS

2.1 概述

2.1.1 RADIUS简介

2.1.2 客户端/服务器模式

2.1.3 安全和认证机制

2.1.4 RADIUS的基本消息交互流程

2.1.5 RADIUS报文结构

2.1.6 RADIUS扩展属性

2.1.7 协议规范

2.2 配置RADIUS

2.2.1 配置概述

2.2.2 配置RADIUS服务器

2.2.3 配置RADIUS参数

2.3 RADIUS典型配置举例

2.3.1 RADIUS典型配置举例

2.4 注意事项

3 用户

3.1 概述

3.2 配置用户

3.2.1 配置本地用户

3.2.2 配置用户组

3.2.3 配置来宾用户

1 AAA

1.1  概述

1.1.1  AAA简介

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如图1-1。

图1-1 AAA基本组网结构示意图

当用户想要通过某网络与NAS建立连接，从而获得访问其它网络的权利或取得某些网络资源的权利时，NAS起到了验证用户或对应连接的作用。NAS负责把用户的认证、授权、计费信息透传给服务器（如RADIUS服务器），RADIUS协议规定了NAS与服务器之间如何传递用户信息。

图1-1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功能分别由哪台服务器来承担。例如，可以选择RADIUS server 1实现认证和授权，RADIUS server 2实现计费。

这三种安全服务功能的具体作用如下：

l              认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户；

l              授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作；

l              计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。

当然，用户可以只使用AAA提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。

如上所述，AAA是一种管理框架，它提供了授权部分实体去访问特定资源，同时可以记录这些实体操作行为的一种安全机制，因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。

AAA可以通过多种协议来实现，目前设备支持基于RADIUS协议来实现AAA，在实际应用中，RADIUS协议也是最常使用的。RADIUS的详细介绍请参见“认证”模块中的“RADIUS”。

1.1.2  ISP域简介

一个ISP（Internet Service Provider，Internet服务提供者）域是由属于同一个ISP的用户构成的群体。

在“userid@isp-name”形式的用户名中，“userid”为用于身份认证的用户名，“isp-name”为域名。

在多ISP的应用环境中，不同ISP域的用户有可能接入同一台设备。而且各ISP用户的用户属性（例如用户名及密码构成、服务类型/权限等）有可能不相同，因此有必要通过设置ISP域把它们区分开，并为每个ISP域单独配置包括AAA策略（一组不同的认证/授权/计费方案）在内的属性集。

对于设备来说，每个接入用户都属于一个ISP域。如果某个用户在登录时没有提供ISP域名，系统将把它归于缺省的ISP域。

1.2  配置AAA

1.2.1  配置准备

l              进行本地认证时，需要配置本地用户，具体配置请参见“认证”模块中的“用户”。

l              进行远端认证、授权或计费时，需要已经创建RADIUS方案，通过引用已配置的RADIUS方案来实现认证、授权、计费。有关RADIUS方案的配置请参见“认证”模块中的“RADIUS”。

1.2.2  配置概述

AAA配置的推荐步骤如表1-1所示。

表1-1 AAA配置步骤

1.2.3  配置ISP域

在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面，如图1-2所示。

图1-2 域设置

ISP域的详细配置如表1-2所示。

表1-2 ISP域的详细配置

可点击返回“表1-1 AAA配置步骤”。

1.2.4  配置ISP域的AAA认证方法

在导航栏中选择“认证 > AAA”，单击“认证”页签，进入如图1-3所示的页面。

图1-3 认证

ISP域AAA认证方法的详细配置如表1-3所示。

表1-3 ISP域AAA认证方法的详细配置

可点击返回“表1-1 AAA配置步骤”。

1.2.5  配置ISP域的AAA授权方法

在导航栏中选择“认证 > AAA”，单击“授权”页签，进入如图1-4所示的页面。

图1-4 授权

ISP域AAA授权方法的详细配置如表1-4所示。

表1-4 ISP域AAA授权方法的详细配置

可点击返回“表1-1 AAA配置步骤”。

1.2.6  配置ISP域的AAA计费方法

在导航栏中选择“认证 > AAA”，单击“计费”页签，进入如图1-5所示的页面。

图1-5 计费

ISP域AAA计费方法的详细配置如表1-5所示。

表1-5 ISP域AAA计费方法的详细配置

可点击返回“表1-1 AAA配置步骤”。

1.3  AAA典型配置举例

1.3.1  AAA典型配置举例

1. 组网需求

如图1-6所示，配置AP，实现对登录AP的Telnet用户进行本地认证、授权和计费。

图1-6 AAA配置组网图

2. 配置步骤

# 配置各接口的IP地址。（略）

# 配置本地用户。

l              在导航栏中选择“认证 > 用户”，默认进入“本地用户”页签的页面，单击<新建>按钮，如图1-7所示。在创建本地用户的页面中进行如下配置，如图1-8所示。

图1-7 本地用户

图1-8 创建本地用户

l              输入用户名为“telnet”。

l              输入密码为“abcd”。

l              输入确认密码为“abcd”。

l              选择服务类型为“Telnet”。

l              单击<确定>按钮完成操作。

# 配置ISP域test。

l              在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面，进行如下配置，如图1-9所示。

图1-9 配置ISP域test

l              输入域名为“test”。

l              单击<应用>按钮完成操作。

# 配置ISP域的AAA方案为本地认证。

l              在导航栏中选择“认证 > AAA”，单击“认证”页签，进行如下配置，如图1-10所示。

图1-10 配置ISP域的AAA方案为本地认证

l              选择域名为“test”。

l              选中“Login认证”前的复选框，选择认证方法为“Local”。

l              单击<应用>按钮，弹出配置进度对话框，如图1-11所示。

图1-11 配置进度对话框

l              看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

# 配置ISP域的AAA方案为本地授权。

l              在导航栏中选择“认证 > AAA”，单击“授权”页签，进行如下配置，如图1-12所示。

图1-12 配置ISP域的AAA方案为本地授权

l              选择域名为“test”。

l              选中“Login授权”前的复选框，选择授权方法为“Local”。

l              单击<应用>按钮，弹出配置进度对话框。

l              看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

# 配置ISP域的AAA方案为本地计费。

l              在导航栏中选择“认证 > AAA”，单击“计费”页签，进行如下配置，如图1-13所示。

图1-13 配置ISP域的AAA方案为本地计费

l              选择域名为“test”。

l              选中“Login计费”前的复选框，选择计费方法为“Local”。

l              单击<应用>按钮，弹出配置进度对话框。

l              看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

使用Telnet登陆时输入用户名为telnet@test，以使用test域进行认证。

2 RADIUS

2.1  概述

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种用于实现AAA（Authentication, Authorization and Accounting，认证、授权和计费）的协议。AAA的详细介绍请参见“认证”模块中的“AAA”。

2.1.1  RADIUS简介

RADIUS是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于UDP的RADIUS帧格式及其消息传输机制，并规定UDP端口1812、1813分别作为认证、计费端口。

RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

2.1.2  客户端/服务器模式

l              客户端：RADIUS客户端一般位于NAS设备上，可以遍布整个网络，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。

l              服务器：RADIUS服务器运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。

RADIUS服务器通常要维护三个数据库，如图2-1所示。

图2-1 RADIUS服务器的组成

l              “Users”：用于存储用户信息（如用户名、口令以及使用的协议、IP地址等配置信息）。

l              “Clients”：用于存储RADIUS客户端的信息（如接入设备的共享密钥、IP地址等）。

l              “Dictionary”：用于存储RADIUS协议中的属性和属性值含义的信息。

2.1.3  安全和认证机制

RADIUS客户端和RADIUS服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密。

RADIUS服务器支持多种方法来认证用户，如基于PPP的PAP、CHAP认证。另外，RADIUS服务器还可以为其它类型的认证服务器提供代理客户端的功能，向其提出认证请求。

2.1.4  RADIUS的基本消息交互流程

用户、RADIUS客户端和RADIUS服务器之间的交互流程如图2-2所示。

图2-2 RADIUS的基本消息交互流程

消息交互流程如下：

(1)        用户发起连接请求，向RADIUS客户端发送用户名和密码。

(2)        RADIUS客户端根据获取的用户名和密码，向RADIUS服务器发送认证请求包（Access-Request），其中的密码在共享密钥的参与下由MD5算法进行加密处理。

(3)        RADIUS服务器对用户名和密码进行认证。如果认证成功，RADIUS服务器向RADIUS客户端发送认证接受包（Access-Accept）；如果认证失败，则返回认证拒绝包（Access-Reject）。由于RADIUS协议合并了认证和授权的过程，因此认证接受包中也包含了用户的授权信息。

(4)        RADIUS客户端根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则RADIUS客户端向RADIUS服务器发送计费开始请求包（Accounting-Request）。

(5)        RADIUS服务器返回计费开始响应包（Accounting-Response），并开始计费。

(6)        用户开始访问网络资源；

(7)        用户请求断开连接，RADIUS客户端向RADIUS服务器发送计费停止请求包（Accounting-Request）。

(8)        RADIUS服务器返回计费结束响应包（Accounting-Response），并停止计费。

(9)        用户结束访问网络资源。

2.1.5  RADIUS报文结构

RADIUS采用UDP报文来传输消息，通过定时器管理机制、重传机制、备用服务器机制，确保RADIUS服务器和客户端之间交互消息的正确收发。RADIUS报文结构如图2-3所示。

图2-3 RADIUS报文结构

各字段的解释如下：

(1)        Code域

长度为1个字节，用于说明RADIUS报文的类型，如表2-1所示。

表2-1 Code域的主要取值说明

(2)        Identifier域

长度为1个字节，用于匹配请求包和响应包，以及检测在一段时间内重发的请求包。类型一致的请求包和响应包的Identifier值相同。

(3)        Length域

长度为2个字节，表示RADIUS数据包（包括Code、Identifier、Length、Authenticator和Attribute）的长度，范围从20～4096。超过Length域的字节将作为填充字符被忽略。如果接收到的包的实际长度小于Length域的值时，则包会被丢弃。

(4)        Authenticator域

长度为16个字节，用于验证RADIUS服务器的应答，另外还用于用户密码的加密。Authenticator包括两种类型：Request Authenticator和Response Authenticator。

(5)        Attribute域

不定长度，用于携带专门的认证、授权和计费信息，提供请求和响应报文的配置细节。Attribute可包括多个属性，每一个属性都采用（Type、Length、Value）三元组的结构来表示。

l              类型（Type），1个字节，取值为1～255，用于表示属性的类型，表2-2列出了RADIUS认证、授权、计费常用的属性。

l              长度（Length），表示该属性（包括类型、长度和属性）的长度，单位为字节。

l              属性值（Value），表示该属性的信息，其格式和内容由类型和长度决定，最大长度为253字节。

表2-2 RADIUS属性

2.1.6  RADIUS扩展属性

RADIUS协议具有良好的可扩展性，协议（RFC 2865）中定义的26号属性（Vendor-Specific）用于设备厂商对RADIUS进行扩展，以实现标准RADIUS没有定义的功能。

设备厂商可以封装多个自定义的“（Type、Length、Value）”子属性来扩展RADIUS。如图2-4所示，26号属性报文内封装的子属性包括以下四个部分：

l              Vendor-ID域占4字节，表示厂商代号，最高字节为0，其余3字节的编码见RFC 1700。H3C公司的Vendor-ID是2011。

l              Vendor-Type，表示扩展属性的子属性类型。

l              Vendor-Length，表示该子属性长度。

l              Vendor-Data，表示该子属性的内容。

图2-4 包括扩展属性的RADIUS报文片断

2.1.7  协议规范

与RADIUS相关的协议规范有：

l              RFC 2865：Remote Authentication Dial In User Service (RADIUS)

l              RFC 2866：RADIUS Accounting

l              RFC 2867：RADIUS Accounting Modifications for Tunnel Protocol Support

l              RFC 2868：RADIUS Attributes for Tunnel Protocol Support

l              RFC 2869：RADIUS Extensions

2.2  配置RADIUS

2.2.1  配置概述

RADIUS配置的推荐步骤如表2-3所示。

表2-3 RADIUS配置步骤

2.2.2  配置RADIUS服务器

在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面，如图2-5所示。

图2-5 RADIUS服务器配置

RADIUS服务器的详细配置如表2-4所示。

表2-4 RADIUS服务器的详细配置

可点击返回“表2-3 RADIUS配置步骤”。

2.2.3  配置RADIUS参数

在导航栏中选择“认证 > RADIUS”，单击“RADIUS参数设置”页签，进入如图2-6所示的页面。

图2-6 RADIUS参数设置

RADIUS参数的详细设置如表2-5所示。

表2-5 设置RADIUS参数详细信息

表2-6 实时计费间隔与用户量之间的推荐比例关系

可点击返回“表2-3 RADIUS配置步骤”。

2.3  RADIUS典型配置举例

2.3.1  RADIUS典型配置举例

1. 组网需求

如图2-7所示，配置AP，实现RADIUS服务器对登录设备的Telnet用户分配IP地址，并进行认证、计费（Telnet用户在线时长统计）。

l              一台RADIUS服务器（使用CAMS/iMC服务器，担当认证、授权、计费服务器的职责）。在RADIUS服务器上已经添加了Telnet用户的用户名和密码，通过Swtich与AP相连，同时设置了与AP交互报文时的共享密钥为“expert”，服务器IP地址为10.110.91.146。

l              AP与认证、授权、计费RADIUS服务器交互报文时的共享密钥均为expert，发送给RADIUS服务器的用户名中不带域名。

图2-7 RADIUS服务器配置组网图

2. 配置步骤

(1)        配置各接口IP地址（略）

(2)        配置RADIUS方案system

# 配置RADIUS认证服务器。

l              在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面，进行如下配置，如图2-8所示。

图2-8 配置RADIUS认证服务器

l              选择服务类型为“认证服务器”。

l              输入主服务器IP地址为“10.110.91.146”。

l              输入主UDP端口为“1812”。

l              选择主服务器状态为“active”。

l              单击<确定>按钮完成操作。

# 配置RADIUS计费服务器。

图2-9 配置RADIUS计费服务器

l              如图2-9所示，选择服务类型为“计费服务器”。

l              输入主服务器IP地址为“10.110.91.146”。

l              输入主UDP端口为“1813”。

l              选择主服务器状态为“active”。

l              单击<确定>按钮完成操作

# 配置设备与RADIUS服务器交互的方案。

l              单击“RADIUS参数设置”页签，进行如下配置，如图2-10所示。

图2-10 配置设备与RADIUS服务器交互的方案

l              选择服务器类型为“extended”。

l              选中“认证服务器共享密钥”前的复选框，输入认证密钥为“expert”。

l              输入确认认证密钥为“expert”。

l              选中“计费服务器共享密钥”前的复选框，输入计费密钥为“expert”。

l              输入确认计费密钥为“expert”。

l              选择用户名格式为“without-domain”。

l              单击<确定>按钮完成操作。

(3)        配置AAA

# 创建ISP域。

l              在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面，进行如下配置，如图2-11所示。

图2-11 创建ISP域

l              输入域名为“test”。

l              选择缺省域为“Enable”。

l              单击<应用>按钮完成操作。

# 配置ISP域的AAA认证方案。

l              单击“认证”页签，进行如下配置，如图2-12所示。

图2-12 配置ISP域的AAA认证方案

l              选择域名为“test”。

l              选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

l              选择认证方案名称为“system”。

l              单击<应用>按钮，弹出配置进度对话框，如图2-13所示。

图2-13 配置进度对话框

l              看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

# 配置ISP域的AAA授权方案。

l              单击“授权”页签，进行如下配置，如图2-14所示。

图2-14 配置ISP域的AAA授权方案

l              选择域名为“test”。

l              选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

l              选择授权方案名称为“system”。

l              单击<应用>按钮，弹出配置进度对话框。

l              看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

# 配置ISP域的AAA计费方案，并配置用户计费可选。

l              单击“计费”页签，进行如下配置，如图2-15所示。

图2-15 配置ISP域的AAA计费方案

l              选择域名为“test”。

l              选中“计费可选开关”前的复选框，选择“Enable”。

l              选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

l              选择计费方案名称为“system”。

l              单击<应用>按钮，弹出配置进度对话框。

l              看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

2.4  注意事项

配置RADIUS客户端时需要注意如下事项：

(1)        RADIUS的大部分属性在改变配置时都不检查当前是否有用户在使用此方案。

(2)        在计费成功后，计费更新以及计费停止报文都会发往计费成功时使用的服务器上，即使此服务器不可用，也不会发生主备切换。只有在最开始的认证、授权、计费过程中才会发生切换，成功后将不再切换。

(3)        只有当没有活跃、用于发送计费报文的TCP连接使用认证/授权/计费服务器时，才允许删除该服务器。

(4)        RADIUS协议不支持对FTP用户进行计费。

(5)        使用CAMS/iMC服务器做RADIUS服务器时，必须在ISP域中配置用户计费可选，因为CAMS/iMC服务器不对计费报文作回应。

3 用户

3.1  概述

用户模块提供了本地用户、用户组、来宾用户的配置功能。

1. 本地用户

本地用户是本地设备上设置的一组用户属性的集合。该集合以用户名为用户的唯一标识，可配置多种属性，比如用户密码、服务类型、授权属性等。为使某个请求网络服务的用户可以通过本地认证，需要在设备上的本地用户数据库中添加相应的表项。本地认证的详细介绍请参见“认证”模块中的“AAA”。

2. 用户组

用户组是一个本地用户属性的集合，某些需要集中管理的授权属性可在用户组中统一配置和管理，用户组内的所有本地用户都可以继承这些属性。

每个新增的本地用户都默认属于一个系统自动创建的用户组system，且继承该组的所有属性，但本地用户的属性比用户组的属性优先级高。

3. 来宾用户

来宾用户是一种有特殊应用环境的本地用户。在有用户临时需要接入网络的情况下，设备管理员可以为用户建立临时使用的来宾用户帐户，并置对来宾用户帐户进行有效期的控制。

3.2  配置用户

3.2.1  配置本地用户

在导航栏中选择“认证 > 用户”，默认进入“本地用户”页签的页面，页面显示的是所有本地用户和来宾用户，如图3-1所示。单击<新建>按钮，进入新建本地用户的配置页面，如图3-2所示。

图3-1 本地用户

图3-2 创建本地用户

本地用户的详细配置如表3-1所示。

表3-1 本地用户的详细配置

3.2.2  配置用户组

在导航栏中选择“认证 > 用户”，单击“用户组”页签，进入用户组的显示页面，如图3-3所示。单击<新建>按钮，进入新建用户组的配置页面，如图3-4所示。

图3-3 用户组

图3-4 新建用户组

用户组的详细配置如表3-2所示。

表3-2 用户组的详细配置

3.2.3  配置来宾用户

在导航栏中选择“认证 > 用户”，单击“来宾用户”页签，进入来宾用户的显示页面，如图3-5所示。单击<新建>按钮，进入新建来宾用户的配置页面，如图3-6所示。

图3-5 来宾用户

图3-6 新建来宾用户

来宾用户的详细配置如表3-3所示。

表3-3 来宾用户的详细配置