目  录

1 AAA配置

1.1 AAA简介

1.2 RADIUS协议简介

1.2.1 客户端/服务器模式

1.2.2 安全和认证机制

1.2.3 RADIUS的基本消息交互流程

1.2.4 RADIUS报文结构

1.2.5 RADIUS扩展属性

1.3 协议规范

1.4 AAA配置任务简介

1.5 配置AAA

1.5.1 配置准备

1.5.2 创建ISP域

1.5.3 配置ISP域的属性

1.5.4 配置ISP域的AAA认证方案

1.5.5 配置ISP域的AAA授权方案

1.5.6 配置ISP域的AAA计费方案

1.5.7 配置本地用户的属性

1.5.8 配置用户组的属性

1.5.9 配置强制切断用户连接

1.5.10 配置NAS-ID与VLAN的绑定

1.5.11 AAA显示和维护

1.6 配置RADIUS

1.6.1 创建RADIUS方案

1.6.2 配置RADIUS认证/授权服务器

1.6.3 配置RADIUS计费服务器及相关参数

1.6.4 配置RADIUS报文的共享密钥

1.6.5 配置RADIUS报文的超时重传次数最大值

1.6.6 配置支持的RADIUS服务器的类型

1.6.7 配置RADIUS服务器的状态

1.6.8 配置发送给RADIUS服务器的数据相关属性

1.6.9 配置RADIUS的Trap功能

1.6.10 配置发送RADIUS报文使用的源地址

1.6.11 配置RADIUS服务器的定时器

1.6.12 配置RADIUS的accouting-on功能

1.6.13 使能RADIUS客户端的监听端口

1.6.14 RADIUS显示和维护

1.7 AAA典型配置举例

1.7.1 Telnet用户通过local认证、授权和RADIUS计费的应用配置

1.7.2 SSH/Telnet用户的RADIUS认证和授权配置

1.7.3 802.1X用户的RADIUS认证、授权和计费配置

1.8 AAA常见配置错误举例

1.8.1 RADIUS认证/授权失败

1.8.2 RADIUS报文传送失败

1.8.3 RADIUS计费功能异常

 

1 AAA配置

1.1  AAA简介

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如图1-1。

图1-1 AAA基本组网结构示意图

 

当用户想要通过某网络与NAS建立连接，从而获得访问其它网络的权利或取得某些网络资源的权利时，NAS起到了验证用户或对应连接的作用。NAS负责把用户的认证、授权、计费信息透传给服务器（RADIUS服务器），RADIUS协议规定了NAS与服务器之间如何传递用户信息。

图1-1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功能分别由使用哪种协议类型的服务器来承担。

这三种安全服务功能的具体作用如下：

l              认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户；

l              授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作；

l              计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。

当然，用户可以只使用AAA提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。

如上所述，AAA是一种管理框架，它提供了授权部分实体去访问特定资源，同时可以记录这些实体操作行为的一种安全机制，因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。

AAA可以通过多种协议来实现，目前设备仅支持基于RADIUS协议来实现AAA。

1.2  RADIUS协议简介

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于UDP的RADIUS帧格式及其消息传输机制，并规定UDP端口1812、1813分别作为认证、计费端口。

RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

1.2.1  客户端/服务器模式

l              客户端：RADIUS客户端一般位于NAS设备上，可以遍布整个网络，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。

l              服务器：RADIUS服务器运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。

RADIUS服务器通常要维护三个数据库，如图1-2所示：

图1-2 RADIUS服务器的组成

 

l              “Users”：用于存储用户信息（如用户名、口令以及使用的协议、IP地址等配置信息）。

l              “Clients”：用于存储RADIUS客户端的信息（如接入设备的共享密钥、IP地址等）。

l              “Dictionary”：用于存储RADIUS协议中的属性和属性值含义的信息。

1.2.2  安全和认证机制

RADIUS客户端和RADIUS服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密。

RADIUS服务器支持多种方法来认证用户。另外，RADIUS服务器还可以为其它类型的认证服务器提供代理客户端的功能，向其提出认证请求。

1.2.3  RADIUS的基本消息交互流程

用户、RADIUS客户端和RADIUS服务器之间的交互流程如图1-3所示。

图1-3 RADIUS的基本消息交互流程

 

消息交互流程如下：

(1)        用户发起连接请求，向RADIUS客户端发送用户名和密码。

(2)        RADIUS客户端根据获取的用户名和密码，向RADIUS服务器发送认证请求包（Access-Request），其中的密码在共享密钥的参与下由MD5算法进行加密处理。

(3)        RADIUS服务器对用户名和密码进行认证。如果认证成功，RADIUS服务器向RADIUS客户端发送认证接受包（Access-Accept）；如果认证失败，则返回认证拒绝包（Access-Reject）。由于RADIUS协议合并了认证和授权的过程，因此认证接受包中也包含了用户的授权信息。

(4)        RADIUS客户端根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则RADIUS客户端向RADIUS服务器发送计费开始请求包（Accounting-Request）。

(5)        RADIUS服务器返回计费开始响应包（Accounting-Response），并开始计费。

(6)        用户开始访问网络资源；

(7)        用户请求断开连接，RADIUS客户端向RADIUS服务器发送计费停止请求包（Accounting-Request）。

(8)        RADIUS服务器返回计费结束响应包（Accounting-Response），并停止计费。

(9)        用户结束访问网络资源。

1.2.4  RADIUS报文结构

RADIUS采用UDP报文来传输消息，通过定时器管理机制、重传机制、备用服务器机制，确保RADIUS服务器和客户端之间交互消息的正确收发。RADIUS报文结构如图1-4所示。

图1-4 RADIUS报文结构

 

各字段的解释如下：

(1)        Code域

长度为1个字节，用于说明RADIUS报文的类型，如表1-1所示。

表1-1 Code域的主要取值说明

Code	报文类型	报文说明
1	Access-Request认证请求包	方向Client->Server，Client将用户信息传输到Server，由Server判断是否接入该用户。该报文中必须包含User-Name属性，可选包含NAS-IP-Address、User-Password、NAS-Port等属性
2	Access-Accept认证接受包	方向Server->Client，如果Access-Request报文中的所有Attribute值都可以接受（即认证通过），则传输该类型报文
3	Access-Reject认证拒绝包	方向Server->Client，如果Access-Request报文中存在任何无法被接受的Attribute值（即认证失败），则传输该类型报文
4	Accounting-Request计费请求包	方向Client->Server，Client将用户信息传输到Server，请求Server开始/停止计费，由该报文中的Acct-Status-Type属性区分计费开始请求和计费结束请求
5	Accounting-Response计费响应包	方向Server->Client，Server通知Client已经收到Accounting-Request报文，并且已经正确记录计费信息

 

(2)        Identifier域

长度为1个字节，用于匹配请求包和响应包，以及检测在一段时间内重发的请求包。类型一致的请求包和响应包的Identifier值相同。

(3)        Length域

长度为2个字节，表示RADIUS数据包（包括Code、Identifier、Length、Authenticator和Attribute）的长度，范围从20～4096。超过Length域的字节将作为填充字符被忽略。如果接收到的包的实际长度小于Length域的值时，则包会被丢弃。

(4)        Authenticator域

长度为16个字节，用于验证RADIUS服务器的应答，另外还用于用户密码的加密。Authenticator包括两种类型：Request Authenticator和Response Authenticator。

(5)        Attribute域

不定长度，用于携带专门的认证、授权和计费信息，提供请求和响应报文的配置细节。Attribute可包括多个属性，每一个属性都采用（Type、Length、Value）三元组的结构来表示。

l              类型（Type），1个字节，取值为1～255，用于表示属性的类型，表1-2列出了RADIUS认证、授权、计费常用的属性。

l              长度（Length），表示该属性（包括类型、长度和属性）的长度，单位为字节。

l              属性值（Value），表示该属性的信息，其格式和内容由类型和长度决定，最大长度为253字节。

表1-2 RADIUS属性

属性编号	属性名称	属性编号	属性名称
1	User-Name	45	Acct-Authentic
2	User-Password	46	Acct-Session-Time
3	CHAP-Password	47	Acct-Input-Packets
4	NAS-IP-Address	48	Acct-Output-Packets
5	NAS-Port	49	Acct-Terminate-Cause
6	Service-Type	50	Acct-Multi-Session-Id
7	Framed-Protocol	51	Acct-Link-Count
8	Framed-IP-Address	52	Acct-Input-Gigawords
9	Framed-IP-Netmask	53	Acct-Output-Gigawords
10	Framed-Routing	54	(unassigned)
11	Filter-ID	55	Event-Timestamp
12	Framed-MTU	56-59	(unassigned)
13	Framed-Compression	60	CHAP-Challenge
14	Login-IP-Host	61	NAS-Port-Type
15	Login-Service	62	Port-Limit
16	Login-TCP-Port	63	Login-LAT-Port
17	(unassigned)	64	Tunnel-Type
18	Reply_Message	65	Tunnel-Medium-Type
19	Callback-Number	66	Tunnel-Client-Endpoint
20	Callback-ID	67	Tunnel-Server-Endpoint
21	(unassigned)	68	Acct-Tunnel-Connection
22	Framed-Route	69	Tunnel-Password
23	Framed-IPX-Network	70	ARAP-Password
24	State	71	ARAP-Features
25	Class	72	ARAP-Zone-Access
26	Vendor-Specific	73	ARAP-Security
27	Session-Timeout	74	ARAP-Security-Data
28	Idle-Timeout	75	Password-Retry
29	Termination-Action	76	Prompt
30	Called-Station-Id	77	Connect-Info
31	Calling-Station-Id	78	Configuration-Token
32	NAS-Identifier	79	EAP-Message
33	Proxy-State	80	Message-Authenticator
34	Login-LAT-Service	81	Tunnel-Private-Group-id
35	Login-LAT-Node	82	Tunnel-Assignment-id
36	Login-LAT-Group	83	Tunnel-Preference
37	Framed-AppleTalk-Link	84	ARAP-Challenge-Response
38	Framed-AppleTalk-Network	85	Acct-Interim-Interval
39	Framed-AppleTalk-Zone	86	Acct-Tunnel-Packets-Lost
40	Acct-Status-Type	87	NAS-Port-Id
41	Acct-Delay-Time	88	Framed-Pool
42	Acct-Input-Octets	89	(unassigned)
43	Acct-Output-Octets	90	Tunnel-Client-Auth-id
44	Acct-Session-Id	91	Tunnel-Server-Auth-id

 

 

1.2.5  RADIUS扩展属性

RADIUS协议具有良好的可扩展性，协议（RFC 2865）中定义的26号属性（Vendor-Specific）用于设备厂商对RADIUS进行扩展，以实现标准RADIUS没有定义的功能。

设备厂商可以封装多个自定义的“（Type、Length、Value）”子属性来扩展RADIUS。如图1-5所示，26号属性报文内封装的子属性包括以下四个部分：

l              Vendor-ID域占4字节，表示厂商代号，最高字节为0，其余3字节的编码见RFC 1700。H3C公司的Vendor-ID是2011。

l              Vendor-Type，表示扩展属性的子属性类型。

l              Vendor-Length，表示该子属性长度。

l              Vendor-Data，表示该子属性的内容。

图1-5 包括扩展属性的RADIUS报文片断

 

1.3  协议规范

与AAA、RADIUS相关的协议规范有：

l              RFC 2865：Remote Authentication Dial In User Service (RADIUS)

l              RFC 2866：RADIUS Accounting

l              RFC 2867：RADIUS Accounting Modifications for Tunnel Protocol Support

l              RFC 2868：RADIUS Attributes for Tunnel Protocol Support

l              RFC 2869：RADIUS Extensions

1.4  AAA配置任务简介

AAA的基本配置思路如下：

(1)        配置AAA方案。根据需要配置本地或远程认证方案。

l              本地认证：需要配置本地用户，即local user的相关属性，包括手动添加认证的用户名和密码等；

l              远程认证：需要配置RADIUS方案，并在服务器上配置相应的用户属性。

(2)        配置实现AAA的方法。在用户所属的ISP域中引用已配置的AAA方案。

l              认证方法：可选择不认证（none）、本地认证（local）或远程认证（scheme）；

l              授权方法：可选择不授权（none）、本地授权（local）或远程授权（scheme）；

l              计费方法：可选择不计费（none）、本地计费（local）或远程计费（scheme）。

 

表1-3 AAA配置任务简介

配置任务	说明	详细配置
创建ISP域	必选	1.5.2
配置ISP域的属性	可选	1.5.3
配置ISP域的AAA认证方案	必选	1.5.4
配置ISP域的AAA授权方案	可选	1.5.5
配置ISP域的AAA计费方案	可选	1.5.6
配置本地用户的属性	可选	1.5.7
配置用户组的属性	可选	1.5.8
配置强制切断用户连接	可选	1.5.9
配置NAS-ID与VLAN的绑定	可选	1.5.10
AAA显示和维护	可选	1.5.11

 

表1-4 RADIUS配置任务简介

配置任务	说明	详细配置
创建RADIUS方案	必选	1.6.1
配置RADIUS认证/授权服务器	必选	1.6.2
配置RADIUS计费服务器及相关参数	可选	1.6.3
配置RADIUS报文的共享密钥	必选	1.6.4
配置RADIUS报文的超时重传次数的最大值	可选	1.6.5
配置支持的RADIUS服务器的类型	可选	1.6.6
配置RADIUS服务器的状态	可选	1.6.7
配置发送给RADIUS服务器的数据相关属性	可选	1.6.8
配置RADIUS的Trap功能	可选	1.6.9
配置发送RADIUS报文使用的源地址	可选	1.6.10
配置RADIUS服务器的定时器	可选	1.6.11
配置RADIUS的accounting-on功能	可选	1.6.12
使能RADIUS客户端的监听端口	可选	1.6.13
RADIUS显示和维护	可选	1.6.14

 

1.5  配置AAA

AAA功能可以在为合法用户提供网络接入服务的同时，对网络设备进行保护，防止非授权访问和抵赖行为。同时，通过配置ISP域可以对接入用户进行AAA等管理。

AAA将用户类型分为：lan-access用户（如802.1X认证用户）、login用户（如SSH、Telnet、FTP、终端接入用户）、和命令行用户（命令行授权用户）。

对于除命令行用户之外的各类型用户请求，按照实际需求，可以单独配置认证/授权/计费的策略。命令行用户可以单独配置授权策略，用来支持对设备的配置命令进行授权使用。

1.5.1  配置准备

进行远端认证、授权或计费时，需要已经创建RADIUS方案（radius-scheme）：通过引用已配置的RADIUS方案来实现认证、授权、计费。有关RADIUS方案的配置请参见“1.6  配置RADIUS”。

1.5.2  创建ISP域

一个ISP（Internet Service Provider，Internet服务提供者）域是由属于同一个ISP的用户构成的群体。

在“userid@isp-name”形式的用户名中，“userid”为用于身份认证的用户名， “isp-name”为域名。

在多ISP的应用环境中，不同ISP域的用户有可能接入同一台设备。而且各ISP用户的用户属性（例如用户名及密码构成、服务类型/权限等）有可能不相同，因此有必要通过设置ISP域把它们区分开，并为每个ISP域单独配置包括AAA策略（一组不同的认证/授权/计费方案）在内的属性集。

对于设备来说，每个接入用户都属于一个ISP域。系统中最多可以配置16个ISP域。如果某个用户在登录时没有提供ISP域名，系统将把它归于缺省的ISP域。

表1-5 创建ISP域

操作	命令	说明
进入系统视图	system-view	-
创建ISP域并进入其视图	domain isp-name	必选
返回系统视图	quit	-
手工配置缺省的ISP域	domain default enable isp-name	可选 缺省情况下，系统缺省的ISP域为system

 

 

1.5.3  配置ISP域的属性

表1-6 配置ISP域的属性

操作	命令	说明
进入系统视图	system-view	-
进入ISP域视图	domain isp-name	-
设置ISP域的状态	state { active | block }	可选 缺省情况下，当一个ISP域被创建以后，其状态为active，即允许任何属于该域的用户请求网络服务
设置当前ISP域可容纳接入用户数的限制	access-limit enable max-user-number	可选 缺省情况下，不对当前ISP域可容纳的接入用户数作限制
设置用户闲置切断功能	idle-cut enable minute [ flow ]	可选 缺省情况下，用户闲置切断功能处于关闭状态 此命令目前只对lan-access服务类型的用户有效
设置自助服务器定位功能	self-service-url enable url-string	可选 缺省情况下，自助服务器定位功能处于关闭状态

 

 

1.5.4  配置ISP域的AAA认证方案

在AAA中，认证、授权和计费是三个独立的业务流程。认证的职责是完成各接入或服务请求的用户名／密码／用户信息的交互认证过程，它不会下发授权信息给请求用户，也不会触动计费的流程。

AAA支持以下认证方法：

l              不认证：对用户非常信任，不对其进行合法性检查，一般情况下不采用这种方法。

l              本地认证：认证过程在接入设备上完成，用户信息（包括用户名、密码和各种属性）配置在接入设备上。优点是速度快，可以降低运营成本；缺点是存储信息量受设备硬件条件限制。

l              远端认证：认证过程在接入设备和远端的服务器之间完成，接入设备和远端服务器之间通过RADIUS协议通信。对于RADIUS协议，可以采用标准或扩展的RADIUS协议，与iMC等系统配合完成认证。优点是用户信息集中在服务器上统一管理，可实现大容量、高可靠性、支持多设备的集中式统一认证。当远端服务器无效时，可配置本地认证作为备选认证方式完成认证。

在AAA中，可以只使用认证，而不使用授权或计费。如果用户没有进行任何配置，则ISP域的缺省认证方案为local。

配置认证有三个步骤：

(1)        如果用户使用RADIUS认证，则需要先配置要引用的RADIUS方案；如果使用local或none认证，则不需要配置方案。

(2)        确定要配置的接入方式或者服务类型。AAA可以对不同的接入方式和服务类型配置不同的认证方案，并且从配置上限制了用户接入时使用的认证协议。

(3)        确定是否为所有的接入方式或服务类型配置认证方案。

表1-7 配置ISP域的AAA认证方案

操作	命令	说明
进入系统视图	system-view	-
进入ISP域视图	domain isp-name	-
为所有类型的用户配置缺省的认证方案	authentication default { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，所有类型的用户采用local认证方案
为lan-access用户配置认证方案	authentication lan-access { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，lan-access用户采用缺省的认证方案
为login用户配置认证方案	authentication login { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，login用户采用缺省的认证方案

 

 

1.5.5  配置ISP域的AAA授权方案

在AAA中，授权是一个和认证、计费同级别的独立流程，其职责是发送授权请求给所配置的授权服务器，授权通过后向用户下发授权信息。在ISP域的AAA配置中，授权方案为可选配置。

AAA支持以下授权方法：

l              直接授权：对用户非常信任，直接授权用户的权限为接入设备允许用户所使用默认权限。

l              本地授权：授权过程在接入设备上进行，根据接入设备上为本地用户配置的相关属性进行授权。

l              远端授权：授权过程在接入设备和远端服务器之间完成。RADIUS协议的认证和授权是绑定在一起的，不能单独使用RADIUS进行授权。RADIUS认证成功后，才能进行授权，RADIUS授权信息携带在认证回应报文中下发给用户。

如果用户没有进行任何配置，则ISP域的缺省授权方案为local。如果用户配置的授权方案为none，则意味着用户是不需要授权的，此时，认证通过的用户只有系统所给予的默认权限。EXEC用户（控制台用户，可以通过Console/aux或者Telnet连接设备，每个连接称为一个EXEC用户，如Telnet用户、SSH用户）的默认级别为最低权限的访问级。FTP用户被默认授权使用设备的根目录。

配置授权有三个步骤：

(1)        如果用户要使用RADIUS授权，只有将认证和授权的RADIUS方案配置相同，授权才起作用。

(2)        确定要配置的接入方式或者服务类型，AAA可以按照不同的接入方式和服务类型进行AAA授权的配置，并且从配置上正确限制了接入所能使用的授权协议。

(3)        确定是否为所有的接入方式或服务类型配置授权方案。

表1-8 配置ISP域的AAA授权方案

操作	命令	说明
进入系统视图	system-view	-
进入ISP域视图	domain isp-name	-
为所有类型的用户配置缺省的授权方案	authorization default { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，所有类型的用户采用local授权方案
配置命令行授权方案	authorization command { none ] | local | none }	可选 缺省情况下，命令行用户采用缺省的授权方案
为lan-access用户配置授权方案	authorization lan-access { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，lan-access用户采用缺省的授权方案
为login用户配置授权方案	authorization login { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，login用户采用缺省的授权方案

 

 

1.5.6  配置ISP域的AAA计费方案

在AAA中，计费是一个和认证、授权同级别的独立流程，其职责为发送计费开始／更新／结束请求给所配置的计费服务器。计费不是必须使用的。在ISP域的AAA配置中，允许不配置计费方案。如果不配置计费方案，则ISP域的缺省计费方案为local。

AAA支持以下计费方式：

l              不计费：不对用户计费。

l              本地计费：计费过程在接入设备上完成，实现了本地用户连接数的统计和限制，并没有实际的费用统计功能。

l              远端计费：计费过程在接入设备和远端的服务器之间完成。当远端服务器无效时，可配置本地计费作为备选计费方式完成计费。

配置计费有三个步骤：

(1)        如果用户要使用RADIUS计费，则需要先配置要引用的RADIUS方案方案；如果要使用local或none计费，则不需要配置方案。

(2)        确定要配置的接入方式或者服务类型，AAA可以支持为按照不同的接入方式和服务类型进行AAA计费的配置，并且从配置上正确限制了接入所能使用的计费协议。

(3)        确定是否为所有的接入方式或服务类型配置计费方案。

表1-9 配置ISP域的AAA计费方案

操作	命令	说明
进入系统视图	system-view	-
进入ISP域视图	domain isp-name	-
打开计费可选开关	accounting optional	可选 缺省情况下，ISP域的计费开关处于关闭状态
为所有类型的用户配置缺省的计费方案	accounting default { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，所有类型的用户采用local计费方案
为lan-access用户配置计费方案	accounting lan-access { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，lan-access用户采用缺省的计费方案
为login用户配置计费方案	accounting login { local | none | radius-scheme radius-scheme-name [ local ] }	可选 缺省情况下，login用户采用缺省的计费方案

 

 

1.5.7  配置本地用户的属性

当AAA方案选择了本地认证方案（local）时，应在设备上创建本地用户并配置相关属性。

所谓本地用户，是指在本地设备上设置的一组用户属性的集合。该集合以用户名为用户的唯一标识。为使某个请求网络服务的用户可以通过本地认证，需要在设备上的本地用户数据库中添加相应的表项。

每一个本地用户都属于一个本地用户组，并继承组中的所有属性（用户授权属性）。关于本地用户组的介绍和配置请参见1.5.8  配置用户组的属性。

本地用户的授权属性在用户组和本地用户视图下都可以配置，且本地用户视图下的配置优先级高于用户组视图下的配置。用户组的配置对组内所有本地用户生效。

表1-10 配置本地用户的属性

操作	命令	说明
进入系统视图	system-view	-
设置本地用户密码的显示方式	local-user password-display-mode { auto | cipher-force }	可选 缺省情况下，所有接入用户的密码显示方式为auto，表示按照用户设置密码时指定的密码显示方式显示
添加本地用户，并进入本地用户视图	local-user user-name	必选 缺省情况下，系统中没有任何本地用户
设置本地用户的密码	password { cipher | simple } password	可选
设置本地用户的状态	state { active | block }	可选 缺省情况下，当一个本地用户被创建以后，其状态为active，允许该用户请求网络服务
设置本地用户名可容纳的最大接入用户数	access-limit max-user-number	可选 缺省情况下，不限制当前本地用户名可容纳的接入用户数 FTP用户不受此属性限制
设置本地用户可以使用的服务类型	service-type { ftp | lan-access | { ssh | telnet | terminal } * }	可选 缺省情况下，系统不对本地用户授权任何服务
设置本地用户的绑定属性	bind-attribute { call-number call-number [ : subcall-number ] | ip ip-address | location port slot-number subslot-number port-number | mac mac-address | vlan vlan-id } *	可选 缺省情况下，未设置本地用户的任何绑定属性
设置本地用户的授权属性	authorization-attribute { acl acl-number | callback-number callback-number | idle-cut minute | level level | user-profile profile-name | vlan vlan-id | work-directory directory-name } *	可选 缺省情况下，未设置本地用户的任何授权属性
设置本地用户的有效期	expiration-date time	可选 缺省情况下，未设置本地用户的有效期 有用户临时需要接入网络时，可以建立来宾帐户来管理用户的临时访问，并通过该命令对用户帐户的有效期进行控制
设置本地用户所属的用户组	group group-name	可选 缺省情况下，本地用户属于系统默认用户组system

 

 

1.5.8  配置用户组的属性

为了简化本地用户的配置，增强本地用户的可管理性，引入了用户组的概念。用户组是一个本地用户属性的集合，某些需要集中管理的属性可在用户组中统一配置和管理，用户组内的所有本地用户都可以继承这些属性。目前，用户组中可以管理的内容为授权属性。

每个新增的本地用户都默认属于一个系统自动创建的用户组system，且继承该组的所有属性。本地用户所属的用户组可以通过使用本地用户视图下的group命令来修改。

表1-11 配置用户组的属性

操作	命令	说明
进入系统视图	system-view	-
创建用户组，并进入用户组视图	user-group group-name	必选
设置用户组的授权属性	authorization-attribute { acl acl-number | callback-number callback-number | idle-cut minute | level level | user-profile profile-name | vlan vlan-id | work-directory directory-name } *	可选 缺省情况下，未设置用户组的授权属性

 

1.5.9  配置强制切断用户连接

表1-12 配置强制切断用户连接

操作	命令	说明
进入系统视图	system-view	-
强制切断指定AAA用户的连接	cut connection { all | domain isp-name | ucibindex ucib-index | user-name user-name }	必选 此命令目前只对lan-access服务类型的用户有效

 

1.5.10  配置NAS-ID与VLAN的绑定

在某些应用环境中，NAS-ID需要和VLAN进行绑定，依靠VLAN来确定用户的接入位置。

表1-13 配置NAS-ID与VLAN的绑定

操作	命令	说明
进入系统视图	system-view	-
创建NAS-ID Profile，并进入NAS-ID-Profile视图	aaa nas-id profile profile-name	必选
设置NAS-ID 与VLAN的绑定关系	nas-id nas-identifier bind vlan vlan-id	必选 缺省情况下，未设置任何绑定关系

 

1.5.11  AAA显示和维护

完成上述配置后，在任意视图下执行display命令可以显示配置后AAA的运行情况，通过查看显示信息验证配置的效果。

表1-14 AAA显示和维护

操作	命令
显示所有或指定ISP域的配置信息	display domain [ isp-name ]
显示AAA用户连接的相关信息	display connection [ domain isp-name | ucibindex ucib-index | user-name user-name ]
显示本地用户相关信息	display local-user [ idle-cut { disable | enable } | service-type { ftp | lan-access | ssh | telnet | terminal } | state { active | block } | user-name user-name | vlan vlan-id ]
显示本地用户组的相关信息	display user-group [ group-name ]

 

1.6  配置RADIUS

RADIUS配置是以RADIUS方案为单位进行的。当创建一个新的RADIUS方案之后，需要对属于此方案的RADIUS服务器的IP地址和UDP端口号进行设置，这些服务器包括认证/授权和计费服务器，而每种服务器又有主服务器和从服务器的区别。每个RADIUS方案的属性包括：主服务器的IP地址、从服务器的IP地址、共享密钥以及RADIUS服务器类型等。

RADIUS配置仅仅定义了设备和RADIUS服务器之间进行信息交互所必须的一些参数。为了使这些参数能够生效，还必须在某个ISP域视图下指定该域引用的RADIUS方案。具体配置细节，请参见“1.5  配置AAA”。

 

1.6.1  创建RADIUS方案

在进行RADIUS的其它配置之前，必须先创建RADIUS方案并进入其视图。

表1-15 创建RADIUS方案

操作	命令	说明
进入系统视图	system-view	-
创建RADIUS方案并进入其视图	radius scheme radius-scheme-name	必选 缺省情况下，未定义RADIUS方案

 

 

1.6.2  配置RADIUS认证/授权服务器

表1-16 配置RADIUS认证/授权服务器

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
配置主RADIUS认证/授权服务器	primary authentication ip-address  [ port-number ]	二者必选其一 缺省情况下，未配置主认证/授权服务器和从认证/授权服务器 两者同时配置的情况下，当主服务器不可达时，设备将使用从服务器进行认证
配置从RADIUS认证/授权服务器	secondary authentication ip-address [ port-number ]

 

 

1.6.3  配置RADIUS计费服务器及相关参数

表1-17 配置RADIUS计费服务器及相关参数

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
配置主RADIUS计费服务器	primary accounting ip-address [ port-number ]	二者必选其一 缺省情况下，未配置主/从计费服务器 两者同时配置的情况下，当主服务器不可达时，设备将使用从服务器进行计费
配置从RADIUS计费服务器	secondary accounting ip-address [ port-number ]
使能停止计费报文缓存功能	stop-accounting-buffer enable	可选 缺省情况下，使能停止计费报文缓存功能
设置当出现没有得到响应的停止计费请求时，将该报文存入设备缓存后，允许停止计费请求无响应的最大次数	retry stop-accounting retry-times	可选 缺省情况下，允许停止计费请求无响应的最大次数为500
设置允许实时计费请求无响应的最大次数	retry realtime-accounting retry-times	可选 缺省情况下，最多允许5次实时计费请求无响应

 

 

1.6.4  配置RADIUS报文的共享密钥

RADIUS客户端与RADIUS服务器使用MD5算法来加密RADIUS报文，双方通过设置共享密钥来验证报文的合法性。只有在密钥一致的情况下，彼此才能接收对方发来的报文并作出响应。

表1-18 配置RADIUS报文的共享密钥

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
配置RADIUS认证/授权或计费报文的共享密钥	key { accounting | authentication } string	必选 缺省情况下，无密钥

 

 

1.6.5  配置RADIUS报文的超时重传次数最大值

由于RADIUS协议采用UDP报文来承载数据，因此其通信过程是不可靠的。如果RADIUS服务器在应答超时定时器规定的时长内没有响应设备，则设备有必要向RADIUS服务器重传RADIUS请求报文。如果累计的传送次数超过最大传送重传次数而RADIUS服务器仍旧没有响应，则设备将认为本次认证失败。

表1-19 配置RADIUS报文的超时重传次数最大值

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
设置RADIUS报文超时重传次数的最大值	retry retry-times	可选 缺省情况下，RADIUS报文超时重传次数的最大值为3次

 

 

1.6.6  配置支持的RADIUS服务器的类型

表1-20 配置支持的RADIUS服务器的类型

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
设置支持何种类型的RADIUS服务器	server-type { extended | standard }	可选 缺省情况下，设备支持的RADIUS服务器类型为standard

 

 

1.6.7  配置RADIUS服务器的状态

对于某个RADIUS方案中的主、从服务器（无论是认证/授权服务器还是计费服务器），当主服务器与设备的通信中断时，设备会主动地转而与从服务器交互报文。在主备服务器均可达的条件下，设备遵从主服务器优先的原则发送请求报文。

当主服务器不可达时，状态变为block，设备与已配置了IP地址的从服务器交互。

l              若从服务器可达，设备将开启超时定时器，在timer quiet设定的时间达到后主服务器状态立即恢复为active，从服务器状态不变；

l              若从服务器不可达，设备立即将主服务器状态恢复为active。

之后，如果主服务器恢复正常，设备会立即恢复与其通信，而中断与从服务器通信。而计费开始后，客户端与从计费服务器之间的通信不会因为主计费服务器的恢复而切换。

表1-21 配置RADIUS服务器的状态

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
设置主RADIUS认证/授权服务器的状态	state primary authentication { active | block }	可选 缺省情况下，RADIUS方案中配置了IP地址的各RADIUS服务器的状态均为active
设置主RADIUS计费服务器的状态	state primary accounting { active | block }
设置从RADIUS认证/授权服务器的状态	state secondary authentication { active | block }
设置从RADIUS计费服务器的状态	state secondary accounting { active | block }

 

 

1.6.8  配置发送给RADIUS服务器的数据相关属性

表1-22 配置发送给RADIUS服务器的数据相关属性

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
设置发送给RADIUS服务器的用户名格式	user-name-format { keep-original | with-domain | without-domain }	可选 缺省情况下，设备发送给RADIUS服务器的用户名携带有ISP域名
设置发送给RADIUS服务器的数据流的单位	data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } } *	可选 缺省情况下，数据的单位为byte，数据包的单位为one-packet

 

 

1.6.9  配置RADIUS的Trap功能

通过配置RADIUS的Trap功能，在NAS向RADIUS服务器发送计费或认证请求没有响应时输出trap信息，具体情况为：当NAS向服务器重发的计费或认证请求报文累计次数达到最大传送次数的1/2时，系统会发送一次trap报文；当NAS向服务器发送的计费或认证请求报文累计次数达到最大传送次数时，系统会再发送一次trap报文。

表1-23 配置RADIUS的Trap功能

操作	命令	说明
进入系统视图	system-view	-
使能RADIUS的Trap功能	radius trap { accounting-server-down | authentication-server-down }	必选 缺省情况下，RADIUS的Trap功能处于关闭状态

 

1.6.10  配置发送RADIUS报文使用的源地址

通过指定发送RADIUS报文使用的源地址，使得发送报文的物理接口故障时，从服务器返回的报文可以到达接入设备指定的目的地址。

表1-24 配置发送RADIUS报文使用的源地址

操作	命令	说明
进入系统视图	system-view	-
设置设备发送RADIUS报文使用的源地址	radius nas-ip ip-address	两者必选其一 缺省情况下，未指定源地址，即以发送报文的接口地址作为源地址
	radius scheme radius-scheme-name nas- ip ip-address

 

 

1.6.11  配置RADIUS服务器的定时器

在与RADIUS服务器交互的过程中，设备上可启动的定时器主要有以下几种：

l              服务器响应超时定时器（response-timeout）：如果在RADIUS请求报文（认证/授权请求或计费请求）传送出去一段时间后，设备还没有得到RADIUS服务器的响应，则有必要重传RADIUS请求报文，以保证用户确实能够得到RADIUS服务，这段时间被称为RADIUS服务器响应超时时长。

l              主服务器恢复激活状态定时器（timer quiet）：当主服务器不可达时，状态变为block，设备会与已配置了IP地址的从服务器交互。若从服务器可达，设备与从服务器通信，并开启超时定时器，在设定的一定时间间隔之后，将主服务器的状态恢复为active，并尝试与主服务器交互，同时保持从服务器的状态不变。若主服务器功能恢复正常，设备会立即恢复与其通信，而中断与从服务器通信。这段时间被称为RADIUS主服务器恢复激活状态时长。

l              实时计费间隔定时器（realtime-accounting）：为了对用户实施实时计费，有必要设置实时计费的时间间隔。在设置了该属性以后，每隔设定的时间，交换机会向RADIUS服务器发送一次在线用户的计费信息。

表1-25 设置RADIUS服务器的定时器

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
设置RADIUS服务器应答超时时间	timer response-timeout seconds	可选 缺省情况下，RADIUS服务器应答超时定时器为3秒
设置主服务器恢复激活状态的时间	timer quiet minutes	可选 缺省情况下，主服务器恢复激活状态前需要等待5分钟
设置实时计费间隔	timer realtime-accounting minutes	可选 缺省情况下，实时计费间隔为12分钟 为了对用户实施实时计费，有必要设置实时计费的时间间隔。在设置了该属性以后，每隔设定的时间，设备会向RADIUS服务器发送一次在线用户的计费信息

 

 

1.6.12  配置RADIUS的accouting-on功能

accounting-on功能用于设备重启后，通知RADIUS服务器该设备已经重启，要求RADIUS服务器强制该设备的用户下线，用来解决设备重启后，重启前原在线用户无法再次登录的问题。

由于设备重启动并且配置恢复完成后会立即执行accounting-on功能，如果多个方案（目前设备上支持最多16个）中配置的RADIUS服务器多数不响应，或设置的accounting-on报文重发次数太大、重发时间间隔太长，则设备需要等待较长的时间来处理accounting-on回应报文和重发accounting-on报文，直到所配置的方案全被置为accounting-on已响应后才会处理用户AAA业务。这样会对用户的接入时间有所影响。

表1-26 配置RADIUS的accouting-on功能

操作	命令	说明
进入系统视图	system-view	-
进入RADIUS方案视图	radius scheme radius-scheme-name	-
使能accouting-on功能	accouting-on enable	必选 缺省情况下，accouting-on功能处于关闭状态
设置accouting-on报文重发次数	accouting-on enable send send-times	可选 缺省情况下，accouting-on报文重发次数为5次
设置accouting-on报文重发时间间隔	accouting-on enable interval seconds	可选 缺省情况下，accouting-on报文重发时间间隔为3秒

 

 

1.6.13  使能RADIUS客户端的监听端口

通过以下配置可以打开RADIUS客户端的RADIUS报文监听端口，使能后的端口可以接收和发送RADIUS报文。

表1-27 使能RADIUS客户端的监听端口

操作	命令	说明
进入系统视图	system-view	-
使能RADIUS客户端的监听端口	radius client enable	可选 缺省情况下，监听端口处于使能状态

 

1.6.14  RADIUS显示和维护

完成上述配置后，在任意视图下执行display命令可以显示配置后RADIUS的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除相关统计信息。

表1-28 RADIUS显示和维护

操作	命令
显示所有或指定RADIUS方案的配置信息	display radius scheme [ radius-scheme-name ]
显示RADIUS报文的统计信息	display radius statistics
显示缓存的没有得到响应的停止计费请求报文	display stop-accounting-buffer { radius-scheme radius-server-name | session-id session-id | time-range start-time stop-time | user-name user-name }
清除RADIUS协议的统计信息	reset radius statistics
清除缓存中的没有得到响应的停止计费请求报文	reset stop-accounting-buffer { radius-scheme radius-server-name | session-id session-id | time-range start-time stop-time | user-name user-name }

 

1.7  AAA典型配置举例

1.7.1  Telnet用户通过local认证、授权和RADIUS计费的应用配置

1. 组网需求

通过配置Switch实现local认证、授权，RADIUS计费。Telnet用户的用户名和密码为hello。一台RADIUS服务器（担当计费服务器的职责）与Switch相连，服务器IP地址为10.1.1.1。Switch与计费RADIUS服务器交互报文时的共享密钥为expert。

 

2. 组网图

图1-6 Telnet用户local认证、授权和RADIUS计费配置组网图

 

3. 配置步骤

# 配置各接口的IP地址（略）。

# 开启Switch的Telnet服务器功能。

<Switch> system-view

[Switch] telnet server enable

# 配置Telnet用户登录采用AAA认证方式。

[Switch] user-interface vty 0 4

[Switch-ui-vty0-4] authentication-mode scheme

[Switch-ui-vty0-4] quit

# 配置RADIUS方案。

[Switch] radius scheme rd

[Switch-radius-rd] primary accounting 10.1.1.1 1813

[Switch-radius-rd] key accounting expert

[Switch-radius-rd] server-type extended

[Switch-radius-rd] user-name-format without-domain

[Switch-radius-rd] quit

# 创建本地用户hello。

[Switch] local-user hello

[Switch-luser-hello] service-type telnet

[Switch-luser-hello] password simple hello

[Switch-luser-hello] authorization-attribute level 3

[Switch-luser-hello] quit

# 配置ISP域的AAA方案。

[Switch] domain bbb

[Switch-isp-bbb] authentication login local

[Switch-isp-bbb] authorization login local

[Switch-isp-bbb] accounting login radius-scheme rd

[Switch-isp-bbb] quit

[Switch] domain default enable bbb

# 或者不区分用户类型，配置缺省的AAA方案。

[Switch] domain bbb

[Switch-isp-bbb] authentication default local

[Switch-isp-bbb] authorization default local

[Switch-isp-bbb] accounting default radius-scheme rd

使用Telnet登录时输入用户名为hello@bbb，以使用域bbb进行认证。

1.7.2  SSH/Telnet用户的RADIUS认证和授权配置

 

1. 组网需求

如图1-7所示，配置Switch实现RADIUS服务器对登录Switch的SSH用户进行认证、授权。

l              由一台iMC服务器担当认证/授权RADIUS服务器的职责，服务器IP地址为10.1.1.1/24。

l              Switch与RADIUS服务器交互报文时使用的共享密钥为expert，向RADIUS服务器发送的用户名带域名。服务器根据用户名携带的域名来区分提供给用户的服务。

l              SSH用户登录Switch时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后的用户级别为3。

2. 组网图

图1-7 SSH用户RADIUS认证、授权和计费配置组网图

 

3. 配置步骤

(1)        配置RADIUS server （iMC）

 

# 增加接入设备。

登录进入iMC管理平台，选择“业务”页签，单击导航树中的[接入业务/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。

l              设置与Switch交互报文时的认证、计费共享密钥为expert；

l              设置认证及计费的端口号分别为1812和1813；

l              选择业务类型为设备管理业务；

l              选择接入设备类型为H3C；

l              选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备。

l              单击<确定>按钮完成操作。

 

图1-8 增加接入设备

 

# 增加设备管理用户。

选择“用户”页签，单击导航树中的[接入用户视图/设备管理用户]菜单项，进入设备管理用户列表页面，在该页面中单击<增加>按钮，进入增加设备管理页面。

l              添加用户名hello@bbb和密码；

l              选择服务类型为SSH；

l              设置EXEC权限级别为“3”，该值为SSH用户登录系统后的用户级别（缺省为0）；

l              增加所管理设备的IP地址，IP地址范围为“10.1.1.0～10.1.1.255”；

l              单击<确定>按钮完成操作。

图1-9 增加设备管理用户

 

(2)        配置Switch

# 配置VLAN接口2的IP地址，SSH客户端将通过该地址连接SSH服务器。

<Switch> system-view

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.1.70 255.255.255.0

[Switch-Vlan-interface2] quit

# 配置VLAN接口3的IP地址，Switch将通过该地址与服务器通信。

[Switch] interface vlan-interface 3

[Switch-Vlan-interface3] ip address 10.1.1.2 255.255.255.0

[Switch-Vlan-interface3] quit

# 生成RSA及DSA密钥对，并启动SSH服务器。

[Switch] public-key local create rsa

[Switch] public-key local create dsa

[Switch] ssh server enable

# 配置SSH用户登录采用AAA认证方式。

[Switch] user-interface vty 0 4

[Switch-ui-vty0-4] authentication-mode scheme

# 配置用户远程登录Switch的协议为SSH。

[Switch-ui-vty0-4] protocol inbound ssh

[Switch-ui-vty0-4] quit

# 创建RADIUS方案rad。

[Switch] radius scheme rad

# 配置主认证服务器的IP地址为10.1.1.1，认证端口号为1812。

[Switch-radius-rad] primary authentication 10.1.1.1 1812

# 配置与认证服务器交互报文时的共享密钥为expert。

[Switch-radius-rad] key authentication expert

# 配置向RADIUS服务器发送的用户名携带域名。

[Switch-radius-rad] user-name-format with-domain

# 配置RADIUS服务器的服务类型。使用iMC服务器时，RADIUS服务器类型应选择extended。

[Switch-radius-rad] server-type extended

[Switch-radius-rad] quit

# 配置ISP域的AAA方案。

[Switch] domain bbb

[Switch-isp-bbb] authentication login radius-scheme rad

[Switch-isp-bbb] authorization login radius-scheme rad

[Switch-isp-bbb] quit

4. 验证配置结果

用户向Switch发起SSH连接，在SSH客户端按照提示输入用户名hello@bbb及正确的密码后，可成功进入Switch的用户界面，并可以使用级别为0、1、2、3的命令。

# 可以通过如下命令查看到AAA用户的连接信息。

[Switch] display connection

Index=1   ,Username=hello@bbb

IP=192.168.1.58

 

Total 1 connection(s) matched.

1.7.3  802.1X用户的RADIUS认证、授权和计费配置

1. 组网需求

在图1-10所示的组网环境中，需要实现使用RADIUS服务器对通过Switch接入的802.1X用户进行认证、授权和计费。

l              在接入端口GigabitEthernet1/0/1上对接入用户进行802.1X认证，并采用基于MAC地址的接入控制方式，即该端口下的所有用户都需要单独认证；

l              Switch与RADIUS服务器交互报文时使用的共享密钥为expert，认证/授权、计费的端口号分别为1812和1813，向RADIUS服务器发送的用户名携带域名；

l              用户认证时使用的用户名为dot1x@bbb。

l              用户认证成功后，认证服务器授权下发VLAN 4，将用户所在端口加入该VLAN，允许用户访问该VLAN中的网络资源。

l              对802.1X用户进行包月方式计费，费用为120元/月，以月为周期对用户上网服务的使用量按时长进行统计，允许每月最大上网使用量为120个小时。

2. 组网图

图1-10 802.1X用户RADIUS认证、授权和计费配置组网图

 

3. 配置步骤

 

(1)        配置RADIUS server

# 增加接入设备。

登录进入iMC管理平台，选择“业务”页签，单击导航树中的[接入业务/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。

l              设置与Switch交互报文时的认证、计费共享密钥为“expert”；

l              设置认证及计费的端口号分别为“1812”和“1813”；

l              选择业务类型为“LAN接入业务”；

l              选择接入设备类型为“H3C”；

l              选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备；

l              其它参数采用缺省值，并单击<确定>按钮完成操作。

 

图1-11 增加接入设备

 

# 增加计费策略。

选择“业务”页签，单击导航树中的[计费业务/计费策略管理]菜单项，进入计费策略管理页面，在该页面中单击<增加>按钮，进入计费策略配置页面。

l              输入计费策略名称“UserAcct”；

l              选择计费策略模板为“包月类型”；

l              设置包月基本信息：计费方式为“按时长”、计费周期为“月”、周期内固定费用为“120元”；

l              设置包月使用量限制：允许每月最大上网使用量为120个小时。

l              其它参数采用缺省值，并单击<确定>按钮完成操作。

图1-12 增加计费策略

 

# 增加服务配置。

选择“业务”页签，单击导航树中的[接入业务/服务配置管理]菜单项，进入服务器配置管理页面，在该页面中单击<增加>按钮，进入增加服务配置页面。

l              输入服务名为“Dot1x auth”、服务后缀为“bbb”，此服务后缀为802.1X用户使用的认证域。指定服务后缀的情况下，RADIUS方案中必须指定向服务器发送的用户名中携带域名；

l              选择计费策略为“UserAcct”；

l              配置授权下发的VLAN ID为“4”；

l              本配置页面中还有其它服务配置选项，请根据实际情况选择配置；

l              单击<确定>按钮完成操作。

图1-13 增加服务配置

 

# 增加接入用户。

选择“用户”页签，单击导航树中的[接入用户视图/所有接入用户]菜单项，进入接入用户列表页面，在该页面中单击<增加>按钮，进入增加接入用户页面。

l              选择或者手工增加用户姓名为“test”；

l              输入帐号名“dot1x”和密码；

l              选择该用户所关联的接入服务为“Dot1x auth”；

l              本配置页面中还有其它服务配置选项，请根据实际情况选择配置；

l              单击<确定>按钮完成操作。

图1-14 增加接入用户

 

(2)        配置Switch

l              配置RADIUS方案

# 创建名字为rad的RADIUS方案并进入该方案视图。

<Switch> system-view

[Switch] radius scheme rad

# 配置RADIUS方案的服务器类型。使用iMC服务器时，RADIUS服务器类型应选择extended。

[Switch-radius-rad] server-type extended

# 配置RADIUS方案的主认证和主计费服务器及其通信密钥。

[Switch-radius-rad] primary authentication 10.1.1.1

[Switch-radius-rad] primary accounting 10.1.1.1

[Switch-radius-rad] key authentication expert

[Switch-radius-rad] key accounting expert

# 配置发送给RADIUS服务器的用户名携带ISP域名。

[Switch-radius-rad] user-name-format with-domain

[Switch-radius-rad] quit

l              配置认证域

# 创建并进入名字为bbb的ISP域。

[Switch] domain bbb

# 配置ISP域的RADIUS方案rad。

[Switch-isp-bbb] authentication lan-access radius-scheme rad

[Switch-isp-bbb] authorization lan-access radius-scheme rad

[Switch-isp-bbb] accounting lan-access radius-scheme rad

[Switch-isp-bbb] quit

# 配置系统缺省的ISP域bbb，所有接入用户共用此缺省域的认证和计费方式。若用户登录时输入的用户名未携带ISP域名，则使用缺省域下的认证方案。

[Switch] domain default enable bbb

l              配置802.1X认证

# 开启全局802.1X认证。

[Switch] dot1x

# 开启端口GigabitEthernet1/0/1的802.1X认证。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] dot1x

[Switch-GigabitEthernet1/0/1] quit

# 设置接入控制方式（该命令可以不配置，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[Switch] dot1x port-method macbased interface gigabitethernet 1/0/1

4. 验证配置结果

 

对于使用iNode 802.1X客户端的用户，在客户端的用户属性中输入正确的用户名“dot1x@bbb”和密码后，通过主动发起连接可成功通过认证；对于使用Windows XP 802.1X客户端的用户，在系统自动弹出的认证对话框中输入正确的用户名“dot1x@bbb”和密码后，可成功通过认证。认证通过后，服务器向该用户所在端口授权下发了VLAN 4。

# 可以通过如下命令查看到AAA用户的连接信息。

[Switch] display connection

Slot:  1

Index=22  , Username=dot1x@bbb

 IP=192.168.1.58

 MAC=0015-e9a6-7cfe

 Total 1 connection(s) matched on slot 1.

 Total 1 connection(s) matched.

# 可以通过如下命令查看该连接的详细信息，其中授权VLAN为VLAN 4。

[Switch] display connection ucibindex 22

Slot:  1

Index=22  , Username=dot1x@bbb

MAC=0015-e9a6-7cfe

IP=192.168.1.58

Access=8021X   ,AuthMethod=CHAP

Port Type=Ethernet,Port Name=GigabitEthernet1/0/1

Initial VLAN=2, Authorization VLAN=4

ACL Group=Disable

User Profile=N/A

CAR=Disable

Priority=Disable

Start=2009-04-26 19:41:12 ,Current=2009-04-26 19:41:25 ,Online=00h00m14s

 Total 1 connection matched. 

1.8  AAA常见配置错误举例

1.8.1  RADIUS认证/授权失败

1. 故障现象

用户认证/授权总是失败。

2. 故障分析

(1)        设备与RADIUS服务器之间存在通信故障。

(2)        用户名不是“userid@isp-name”的形式，或设备没有指定缺省的ISP域。

(3)        RADIUS服务器的数据库中没有配置该用户。

(4)        用户侧输入的密码不正确。

(5)        RADIUS服务器和设备的报文共享密钥不同。

3. 处理过程

(1)        使用ping命令检查设备与RADIUS服务器是否可达。

(2)        使用正确形式的用户名或在设备中设定缺省的ISP域。

(3)        检查RADIUS服务器的数据库以保证该用户的配置信息确实存在。

(4)        确保接入用户输入正确的密码。

(5)        检查两端的共享密钥，并确保两端一致。

1.8.2  RADIUS报文传送失败

1. 故障现象

RADIUS报文无法传送到RADIUS服务器。

2. 故障分析

(1)        设备与RADIUS服务器之间的通信线路不通（物理层/链路层）。

(2)        设备上没有设置相应的RADIUS服务器IP地址。

(3)        认证/授权和计费服务的UDP端口设置不正确。

(4)        RADIUS服务器的认证/授权和计费端口被其它应用程序占用。

3. 处理过程

(1)        确保线路通畅。

(2)        确保正确设置RADIUS服务器的IP地址。

(3)        确保与RADIUS服务器提供的端口号一致。

(4)        确保RADIUS服务器上的认证/授权和计费端口可用。

1.8.3  RADIUS计费功能异常

1. 故障现象

用户认证通过并获得授权，但是计费功能出现异常。

2. 故障分析

(1)        计费端口号设置不正确。

(2)        计费服务器和认证/授权服务器不是同一台机器，设备却要求认证/授权和计费功能属于同一个服务器（IP地址相同）。

3. 处理过程

(1)        正确设置RADIUS计费端口号。

(2)        确保设备的认证/授权和计费服务器的设置与实际情况相同。