15-AAA-RADIUS-HWTACACS操作
本章节下载 (555.86 KB)
1.6 AAA及RADIUS/HWTACACS协议的显示和维护
1.7 AAA-RADIUS-HWTACACS协议典型配置举例
1.7.1 Telnet/SSH用户通过RADIUS服务器认证、授权、计费的应用配置
1.7.2 FTP/Telnet用户本地认证、授权、计费配置
1.7.3 Telnet用户通过HWTACACS服务器认证、授权、计费的应用配置
1.7.4 Telnet用户通过local认证,HWTACACS授权,RADIUS计费的应用配置
1.8 AAA及RADIUS/HWTACACS常见配置错误举例
AAA是Authentication,Authorization and Accounting(认证、授权和计费)的简称,它提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架,实际上是网络安全的一种管理机制。
这里的网络安全主要是指访问控制,包括:
l 哪些用户可以访问网络服务器。
l 具有访问权的用户可以得到哪些服务。
l 如何对正在使用网络资源的用户进行计费。
针对以上问题,AAA必须提供下列服务:
AAA支持以下认证方式:
l 不认证(none):对用户非常信任,不对其进行合法检查,一般情况下不采用这种方式。
l 本地认证(local):将用户信息(包括本地用户的用户名、密码和各种属性)配置在设备上。本地认证的优点是速度快,可以降低运营成本;缺点是存储信息量受设备硬件条件限制。
l 远端认证:支持通过RADIUS协议或HWTACACS协议进行远端认证,由设备(如交换机)作为Client端,与RADIUS服务器或HWTACACS服务器通信。对于RADIUS协议,可以采用标准或扩展的RADIUS协议,与iTELLIN/CAMS等系统配合完成认证。
AAA支持以下授权方式:
l 直接授权(none):对用户非常信任,直接授权通过,此时用户的权限为系统的默认权限。
l 本地授权(local):根据设备上为本地用户帐号配置的相关属性进行授权。
l HWTACACS授权:由HWTACACS服务器对用户进行授权。
l RADIUS授权:RADIUS授权是特殊的流程。只有在认证和授权的RADIUS Scheme相同的条件下,RADIUS授权才起作用,同时将RADIUS认证回应报文中携带的授权信息下发。
AAA支持以下计费方式:
l 不计费(none):不对用户计费。
l 远端计费:支持通过RADIUS服务器或HWTACACS服务器进行远端计费。
AAA一般采用客户机/服务器结构:客户端运行于被管理的资源侧,服务器上集中存放用户信息。因此,AAA框架具有良好的可扩展性,并且容易实现用户信息的集中管理。AAA可以通过多种协议来实现,目前设备中的AAA是基于RADIUS协议或HWTACACS协议来实现的。
一个ISP(Internet Service Provider,Internet服务提供者)域是由属于同一个ISP的用户构成的用户群。
在“userid@isp-name”形式的用户名中,“@”后的“isp-name”即为ISP域的域名。接入设备将“userid”作为用于身份认证的用户名,将“isp-name”作为域名。
在多ISP的应用环境中,同一个设备接入的有可能是不同ISP的用户。
各ISP用户的用户属性(例如用户名及密码构成、服务类型/权限等)有可能各不相同,有必要通过设置ISP域的方法把它们区分开,并为每个ISP域单独配置包括AAA策略(例如使用的RADIUS方案)在内的属性集。
如前所述,AAA是一种管理框架,因此,它可以用多种协议来实现。在实际应用中,最常使用RADIUS协议来实现AAA。
RADIUS是Remote Authentication Dial-In User Service(远程认证拨号用户服务)的简称。它是一种分布式的、客户机/服务器结构的信息交互协议,能保护网络不受未授权访问的干扰,常被应用在既要求较高安全性、又要求允许远程用户访问的各种网络环境中(例如,它常被用来管理使用调制解调器的大量分散的拨号用户)。
RADIUS服务包括三个组成部分:
l 协议:RFC 2865、2866基于UDP/IP层定义了RADIUS的帧格式及消息传输机制,并定义了1812作为认证端口,1813作为计费端口。
l 服务器:RADIUS服务器运行在中心计算机或工作站上,包含了相关的用户认证和网络服务访问信息。
l 客户端:位于网络接入服务器设备侧,可以遍布整个网络。
RADIUS基于客户机/服务器模型。设备(如交换机)作为RADIUS客户端,负责传输用户信息到指定的RADIUS服务器,然后根据从服务器返回的信息进行相应处理(如接入/挂断用户)。RADIUS服务器负责接收用户连接请求,认证用户,然后给设备返回所有需要的信息。
RADIUS服务器通常要维护三个数据库,如图1-1所示。
l 第一个数据库“Users”用于存储用户信息(如用户名、口令以及使用的协议、IP地址等配置)。
l 第二个数据库“Clients”用于存储RADIUS客户端的信息(如共享密钥)。
l 第三个数据库“Dictionary” 用于存储解释RADIUS协议中的属性和属性值的含义的信息。
另外,RADIUS服务器还能够作为其他AAA服务器的客户端进行代理认证或计费。
RADIUS服务器对用户的认证过程通常需要利用设备的代理认证功能,RADIUS客户端和RADIUS服务器之间通过共享密钥认证相互间交互的消息,增强了安全性。RADIUS协议合并了认证和授权过程,在响应报文中携带了授权信息。操作流程图和步骤如图1-2所示。
交互步骤如下:
(1) 用户输入用户名和口令;
(2) RADIUS客户端根据获取的用户名和口令,向RADIUS服务器发送认证请求包(Access-Request);
(3) RADIUS服务器将该用户信息与Users数据库信息进行对比分析,如果认证成功,则将用户的权限信息以认证响应包(Access-Accept)发送给RADIUS客户端;如果认证失败,则返回Access-Reject响应包;
(4) RADIUS客户端根据接收到的认证结果接入/拒绝用户。如果可以接入用户,则RADIUS客户端向RADIUS服务器发送计费开始请求包(Accounting-Request),Status-Type取值为start;
(5) RADIUS服务器返回计费开始响应包(Accounting-Response);
(6) 用户开始访问资源;
(7) RADIUS客户端向RADIUS服务器发送计费停止请求包(Accounting-Request),Status-Type取值为stop;
(8) RADIUS服务器返回计费结束响应包(Accounting-Response);
(9) 用户访问资源结束。
RADIUS采用UDP传输消息,通过定时器管理机制、重传机制、备用服务器机制,确保RADIUS服务器和客户端之间交互消息正确收发。RADIUS报文结构如图1-3所示。
(1) Code域(1字节)决定RADIUS报文的类型,如表1-1所示。
Code |
报文类型 |
报文说明 |
1 |
Access-Request认证请求包 |
方向Client->Server,Client将用户信息传输到Server以判断是否接入该用户。该报文中必须包含User-Name属性,可选包含NAS-IP-Address、User-Password、NAS-Port等属性。 |
2 |
Access-Accept认证接受包 |
方向Server->Client,如果Access-Request报文中所有Attribute值都可以接受(即认证通过),则传输该类型报文。 |
3 |
Access-Reject认证拒绝包 |
方向Server->Client,如果Access-Request报文中存在任何Attribute值无法被接受(即认证失败),则传输该类型报文。 |
4 |
Accounting-Request计费请求包 |
方向Client->Server,Client将用户信息传输到Server,请求Server开始计费,由该报文中的Acct-Status-Type属性区分计费开始请求和计费结束请求。 |
5 |
Accounting-Response计费响应包 |
方向Server->Client,Server通知Client侧已经收到Accounting-Request报文并且已经正确记录计费信息。 |
(2) Identifier域(1字节)用于匹配请求包和响应包,随着Attribute域改变,接收到有效响应包而不断变化,而在重传时保持不变。
(3) Length域(2字节)指明整个包的长度,内容包括Code,Identifier,Length,Authenticator和Attributes。超过长度域的字节被视为填充,在接收时应被忽略;如果包的实际长度比Length域所指示的值小时,则应被丢弃。
(4) Authenticator域(16字节)用于验证RADIUS服务器传输回来的请求,并且还用于密码隐藏算法中,分为Request Authenticator和Response Authenticator。
(5) Attribute域携带专门的认证、授权和计费信息,提供请求和响应报文的配置细节,该域采用(Type、Length、Value)三元组的形式提供。
l 类型(Type)域1个字节,取值为1~255,用于指明属性的类型,表1-2列出了RADIUS授权、认证常用的属性。
l 长度(Length)域1个字节,指明此属性的长度,单位为字节,包括类型字段、长度字段和属性字段。
l 属性值(Value)域包括该属性的信息,其格式和内容由类型域和长度域决定,最大长度为253字节。
Type |
属性类型 |
Type |
属性类型 |
1 |
User-Name |
23 |
Framed-IPX-Network |
2 |
User-Password |
24 |
State |
3 |
CHAP-Password |
25 |
Class |
4 |
NAS-IP-Address |
26 |
Vendor-Specific |
5 |
NAS-Port |
27 |
Session-Timeout |
6 |
Service-Type |
28 |
Idle-Timeout |
7 |
Framed-Protocol |
29 |
Termination-Action |
8 |
Framed-IP-Address |
30 |
Called-Station-Id |
9 |
Framed-IP-Netmask |
31 |
Calling-Station-Id |
10 |
Framed-Routing |
32 |
NAS-Identifier |
11 |
Filter-ID |
33 |
Proxy-State |
12 |
Framed-MTU |
34 |
Login-LAT-Service |
13 |
Framed-Compression |
35 |
Login-LAT-Node |
14 |
Login-IP-Host |
36 |
Login-LAT-Group |
15 |
Login-Service |
37 |
Framed-AppleTalk-Link |
16 |
Login-TCP-Port |
38 |
Framed-AppleTalk-Network |
17 |
(unassigned) |
39 |
Framed-AppleTalk-Zone |
18 |
Reply_Message |
40-59 |
(reserved for accounting) |
19 |
Callback-Number |
60 |
CHAP-Challenge |
20 |
Callback-ID |
61 |
NAS-Port-Type |
21 |
(unassigned) |
62 |
Port-Limit |
22 |
Framed-Route |
63 |
Login-LAT-Port |
RADIUS协议具有良好的可扩展性,协议中定义的26号属性(Vendor-Specific)用于设备厂商对RADIUS进行扩展,以实现标准RADIUS没有定义的功能。
如图1-4所示,Vendor-ID域占4字节,表示厂商代号,最高字节为0,其余3字节的编码见RFC 1700。厂商可以封装多个自己定义的“(Type、Length、Value)”子属性,从而在应用中得以扩展。
HWTACACS(HUAWEI Terminal Access Controller Access Control System)是在TACACS(RFC 1492)基础上进行了功能增强的安全协议。该协议与RADIUS协议类似,主要是通过Server-Client模式与HWTACACS服务器通信来实现多种用户的AAA功能,对于本系列交换机来说,支持对于 telnet,ftp,Aux,SSH等管理用户进行认证、授权、计费。
与RADIUS相比,HWTACACS具有更加可靠的传输和加密特性,更加适合于安全控制。HWTACACS协议与RADIUS协议的主要区别如表1-3所示。
HWTACACS协议 |
RADIUS协议 |
使用TCP,网络传输更可靠 |
使用UDP |
除了HWTACACS报文头,对报文主体全部进行加密 |
只是对验证报文中的密码字段进行加密 |
认证和授权分离,例如,可以用一个HWTACACS服务器进行认证,另外一个HWTACACS服务器进行授权 |
认证和授权一起处理 |
更适于进行安全控制 |
更适于进行计费 |
支持对设备的配置命令进行授权使用 |
不支持 |
HWTACACS的典型应用是拨号用户或终端用户需要登录到设备上进行操作。交换机作为HWTACACS的客户端,将用户名和密码发给HWTACACS服务器进行验证,验证通过并得到授权之后可以登录到交换机上进行操作。如图1-5所示。
以Telnet用户为例,说明使用HWTACACS对用户进行认证、授权和计费。基本消息交互流程图如图1-6所示。
在整个过程中的基本消息交互流程如下:
(1) 用户请求登录交换机,HWTACACS客户端收到请求之后,向HWTACACS服务器发送认证开始报文;
(2) HWTACACS服务器发送认证回应报文,请求用户名;HWTACACS客户端收到回应报文后,向用户询问用户名;
(3) HWTACACS客户端收到用户名后,向HWTACACS服务器发送认证持续报文,其中包括了用户名;
(4) HWTACACS服务器发送认证回应报文,请求登录密码;HWTACACS客户端收到回应报文,向用户询问登录密码;
(5) HWTACACS客户端收到登录密码后,向HWTACACS服务器发送认证持续报文,其中包括了登录密码;
(6) HWTACACS服务器发送认证回应报文,指示用户通过认证;
(7) HWTACACS客户端向HWTACACS服务器发送授权请求报文;
(8) HWTACACS服务器发送授权回应报文,指示用户通过授权;
(9) HWTACACS客户端收到授权回应成功报文,向用户输出交换机的配置界面;
(10) HWTACACS客户端向HWTACACS服务器发送计费开始报文;
(11) HWTACACS服务器发送计费回应报文,指示计费开始报文已经收到;
(12) 用户退出,HWTACACS客户端向HWTACACS服务器发送计费结束报文;
(13) HWTACACS服务器发送计费结束报文,指示计费结束报文已经收到。
表1-4 配置任务简介
配置任务 |
说明 |
详细配置 |
|
配置AAA |
创建ISP域 |
必选 |
|
配置ISP域的属性 |
可选 |
||
配置ISP域的AAA认证方案 |
必选 如果采用本地认证,请参见“配置本地用户的属性”;如果采用RADIUS认证,请参见“配置RADIUS协议”;如果采用HWTACACS认证,请参见“配置HWTACACS协议” |
||
配置ISP域的AAA授权方案 |
可选 |
||
配置ISP域的AAA计费方案 |
可选 |
||
配置本地用户的属性 |
可选 |
||
配置强制切断用户连接 |
可选 |
||
配置RADIUS协议 |
创建RADIUS方案 |
必选 |
|
配置RADIUS认证/授权服务器 |
必选 |
||
配置RADIUS计费服务器 |
可选 |
||
配置RADIUS报文的共享密钥 |
必选 |
||
配置RADIUS请求报文的最大传送次数 |
可选 |
||
配置支持的RADIUS服务器的类型 |
可选 |
||
配置RADIUS服务器的状态 |
可选 |
||
配置发送给RADIUS服务器的数据相关属性 |
可选 |
||
配置本地RADIUS认证服务器 |
可选 |
||
配置RADIUS服务器的定时器 |
可选 |
||
配置HWTACACS协议 |
创建HWTACACS方案 |
必选 |
|
配置HWTACACS认证服务器 |
必选 |
||
配置HWTACACS授权服务器 |
必选 |
||
配置HWTACACS计费服务器 |
可选 |
||
配置HWTACACS报文的共享密钥 |
可选 |
||
配置发送给HWTACACS服务器的数据相关属性 |
可选 |
||
配置HWTACACS服务器的定时器 |
可选 |
AAA功能可以在为合法用户提供网络接入服务的同时,对网络设备进行保护,防止非授权访问和抵赖行为。同时,通过配置ISP域可以对接入用户进行AAA等管理。
采用远端认证、授权或计费方案时,需要已经创建RADIUS或HWTACACS服务器方案。
l RADIUS方案(radius-scheme):可以通过引用配置好的RADIUS方案来实现认证、授权、计费。有关RADIUS方案的配置请参见“1.4 配置RADIUS协议”。
l HWTACACS方案(hwtacacs-scheme):可以通过引用配置好的HWTACACS方案来实现认证、授权、计费。有关HWTACACS方案的配置请参见“1.5 配置HWTACACS协议”。
对于设备来说,每个接入用户都属于一个ISP域。系统中最多可以配置16个ISP域。如果某个用户在登录时没有上报ISP域名,则系统将把它归于缺省的ISP域。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建一个ISP域 |
domain isp-name |
必选 |
返回系统视图 |
quit |
- |
手工配置缺省的ISP域 |
domain default { disable | enable isp-name } |
可选 缺省情况下,系统缺省的ISP域为system |
注意:
配置为缺省的ISP域不能够被删除,除非先恢复要删除的ISP域为非缺省ISP域。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建一个ISP域或者进入已创建ISP域的视图 |
domain isp-name |
必选 |
设置ISP域的状态 |
state { active | block } |
可选 缺省情况下,当一个ISP域被创建以后,其状态为active,允许任何属于该域的用户请求网络服务 |
指定可容纳接入用户数的最大值 |
access-limit { disable | enable max-user-number } |
可选 缺省情况下,当一个ISP域被创建以后,不对其可容纳的接入用户数量限制 |
设置用户闲置切断功能 |
idle-cut { disable | enable minute } |
可选 缺省情况下,关闭用户闲置切断功能 |
开启自助服务器定位功能 |
self-service-url { disable | enable url-string } |
可选 缺省情况下,设备关闭自助服务器定位功能 |
注意:
自助服务器定位功能需要与支持自助服务的RADIUS服务器配合使用,如CAMS。安装自助服务软件的服务器即自助服务器。通过使用自助服务,用户可以对自己的帐号或卡号进行管理和控制。
在AAA中,认证、授权和计费是三个独立的业务流程。认证的职责是完成各接入或服务请求的用户名/密码/用户信息的交互认证过程,它不会下发授权信息给请求用户,也不会触动计费的流程。在AAA中,可以只使用认证,而不使用授权或计费。如果用户没有进行任何配置,则系统缺省ISP域的认证方案为local。配置认证有三个步骤:
(1) 如果用户要使用RADIUS或HWTACACS认证,则需要先配置要引用的RADIUS方案或HWTACACS方案;如果要使用local或none认证,则不需要配置方案。
(2) 确定要配置的接入方式或者服务类型。AAA可以对不同的接入方式和服务类型进行认证方案的配置,并且从配置上正确限制了接入所能使用的认证协议。
(3) 确定是否为所有的接入方式或服务类型配置默认的认证方案。
表1-7 配置ISP域的AAA认证方案
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建一个ISP域或者进入已创建ISP域的视图 |
domain isp-name |
必选 |
为所有类型的用户配置认证方案 |
authentication default { radius-scheme radius-scheme-name [ local ] | hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none } |
可选 缺省情况下,采用local认证方案 |
为login用户配置认证方案 |
authentication login { radius-scheme radius-scheme-name [ local ] | hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none } |
可选 |
为lan-access用户配置认证方案 |
authentication lan-access { radius-scheme radius-scheme-name [ local ] | local | none } |
可选 |
注意:
l AAA将用户类型分为:login、lan-access、command authorization。对于每一种类型的用户请求,按照它的实际需求,可以单独配置认证/授权/计费的策略。
l authentication default命令配置的认证方案不区分用户类型,即对所有类型的用户都起作用。配置的优先级低于具体接入方式的配置。
l 当RADIUS被配置选择为认证方案时,AAA只接受RADIUS 服务器的认证结果,RADIUS授权的信息虽然在认证成功回应的报文中携带,但在认证回应的处理流程中不会被处理。
l 如果配置了radius-scheme radius-scheme-name local或hwtacacs-scheme hwtacacs-scheme-name local,则local为RADIUS 服务器或HWTACACS服务器没有正常响应后的备选认证方案。即当RADIUS 服务器或HWTACACS服务器有效时,不使用本地认证;当RADIUS 服务器或HWTACACS服务器无效时,使用本地认证。
l 如果local或者none作为第一认证方案,那么只能采用本地认证或者不进行认证,不能再同时采用RADIUS或HWTACACS方案。
在AAA中,授权是一个和认证、计费同级别的独立流程,其职责是发送授权请求给所配置的授权服务器,授权通过后向用户下发授权信息。授权不是必须使用的。在域的AAA配置中,授权方案为可选配置。
如果用户没有进行任何配置,则系统默认域的授权方案为local。如果用户配置的授权方案为none,则意味着用户是不需要授权的,此时,认证通过的用户只有系统所给予的默认权限。EXEC用户(如Telnet用户、SSH用户)的默认级别为最低权限的参观级。FTP用户的默认授权使用根目录。配置授权有三个步骤:
l 如果用户要使用HWTACACS授权,则需要先配置要引用的HWTACACS 方案;如果是RADIUS授权,只有将认证和授权的RADIUS方案配置相同,授权才起作用。
l 确定要配置的接入方式或者服务类型,AAA可以按照不同的接入方式和服务类型进行AAA授权的配置,并且从配置上正确限制了接入所能使用的授权协议。
l 确定是否为所有的接入方式或服务类型配置默认的授权方案。
表1-8 配置ISP域的AAA授权方案
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建一个ISP域或者进入已创建ISP域的视图 |
domain isp-name |
必选 |
为所有类型的用户配置默认授权方案 |
authorization default { radius-scheme radius-scheme-name [ local ] | hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none } |
可选 |
为login用户配置授权方案 |
authorization login { radius-scheme radius-scheme-name [ local ] | hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none } |
可选 |
为lan-access用户配置授权方案 |
authorization lan-access { radius-scheme radius-scheme-name [ local ] | local | none } |
可选 |
为命令行用户配置授权方案 |
authorization command hwtacacs-scheme hwtacacs-scheme-name |
可选 |
注意:
l authorization default命令配置的授权方案不区分用户类型,即对所有类型的用户都起作用。配置的优先级低于具体接入方式的配置。
l RADIUS授权是特殊的流程,只是在认证和授权的RADIUS scheme相同的条件下,RADIUS授权起作用。对于所有RADIUS授权失败的情况,授权失败返回给NAS(Network Access Server,网络接入服务器)的原因为服务器没有响应。
l 如果配置了radius-scheme radius-scheme-name local或hwtacacs-scheme hwtacacs-scheme-name local,则local为RADIUS服务器或HWTACACS服务器没有正常响应后的备选授权方案。即当RADIUS 服务器或HWTACACS服务器有效时,不使用本地授权;当RADIUS服务器或HWTACACS服务器无效时,使用本地授权。
l 如果local或者none作为第一授权方案,那么只能采用本地授权或者不进行授权,不能再同时采用RADIUS或HWTACACS方案。
l 由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的,所以如果指定认证和授权方案都是RADIUS方案,必须要保证和RADIUS认证服务器是同一服务器,否则系统会给出错误提示。
在AAA中,计费是一个和认证、授权同级别的独立流程,其职责为发送计费开始/更新/结束请求给所配置的计费服务器。计费不是必须使用的。在域的AAA配置中,允许不配置计费方案。如果不配置计费方案,则域的接入用户没有计费流程。配置计费有三个步骤:
l 如果用户要使用RADIUS或HWTACACS计费,则需要先配置要引用的RADIUS方案或HWTACACS方案;如果要使用local或none计费,则不需要配置方案。
l 确定要配置的接入方式或者服务类型,AAA可以支持为按照不同的接入方式和服务类型进行AAA计费的配置,并且从配置上正确限制了接入所能使用的计费协议。
l 确定是否为所有的接入方式或服务类型配置默认的计费方案。
表1-9 配置ISP域的AAA计费方案
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建一个ISP域或者进入已创建ISP域的视图 |
domain isp-name |
必选 |
打开计费可选开关 |
accounting optional |
可选 缺省情况下,当一个ISP域被创建以后,计费可选开关关闭 |
为所有类型的用户配置计费方案 |
accounting default { radius-scheme radius-scheme-name [ local ] | hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none } |
可选 缺省情况下,采用local计费方案 |
为login用户配置计费方案 |
accounting login { radius-scheme radius-scheme-name [ local ] | hwtacacs-scheme hwtacacs-scheme-name [ local ] | local | none } |
可选 |
为lan-access用户配置计费方案 |
accounting lan-access { radius-scheme radius-scheme-name [ local ] | local | none } |
可选 |
注意:
l 在对用户实施计费时,如果发现没有可用的计费服务器或与计费服务器通信失败,只要配置了accounting optional,即使无法实施计费,也不会挂断用户。
l accounting default命令配置的计费方案不区分用户类型,即对所有类型的用户都起作用。配置的优先级低于具体接入的配置。
l 本地计费只是为了支持本地用户的连接数管理,没有实际的统计功能。本地的接入数管理只对本地计费有效,对本地认证和授权没有作用。
l 如果配置了radius-scheme radius-scheme-name local或hwtacacs-scheme hwtacacs-scheme-name local,则local为RADIUS服务器或HWTACACS服务器没有正常响应后的备选计费方案。即当RADIUS服务器或HWTACACS服务器有效时,不使用本地计费;当RADIUS服务器或HWTACACS服务器无效时,使用本地计费。
l 如果local或者none作为第一计费方案,那么只能采用本地计费或者不进行计费,不能再同时采用RADIUS或HWTACACS方案。
l login接入中FTP不支持计费流程。
当AAA方案选择了本地认证方案(local)时,应在设备上创建本地用户并配置相关属性。
所谓本地用户,是指在交换机上设置的一组用户的集合。该集合以用户名为用户的唯一标识。为使某个请求网络服务的用户可以通过本地认证,需要在设备上的本地用户数据库中添加相应的表项。
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
设置本地用户密码的显示方式 |
local-user password-display-mode { cipher-force | auto } |
可选 缺省情况下,所有接入用户的密码显示方式为auto,表示按照用户配置的密码显示方式显示 |
|
添加本地用户,并进入本地用户视图 |
local-user user-name |
必选 缺省情况下,系统中没有任何本地用户 |
|
设置指定用户的密码 |
password { simple | cipher } password |
可选 |
|
设置指定用户的状态 |
state { active | block } |
可选 缺省情况下,当一个本地用户被创建以后,其状态为active,允许该用户请求网络服务 |
|
设置用户可以使用的服务类型 |
设置服务类型 |
service-type { lan-access | { telnet | ssh | terminal } * [ level level ] } |
必选 缺省情况下,系统不对用户授权任何服务 |
设置用户可以使用的服务类型为FTP,并指定FTP用户可以访问的目录 |
service-type ftp [ ftp-directory directory] |
可选 缺省情况下,系统不支持FTP匿名用户访问,不对用户授权任何服务;若授权FTP服务,缺省授权使用根目录 |
|
设置用户的优先级 |
level level |
可选 缺省情况下,用户的优先级为0 |
|
服务类型为lan-access用户的属性设置 |
attribute { ip ip-address | mac mac-address | idle-cut minute | access-limit max-user-number | vlan vlan-id | location { nas-ip ip-address port slot-number subslot-number port-number | port slot-number subslot-number port-number } } * |
可选 当指定用户绑定的是远程端口,则该用户必须指定nas-ip参数,缺省为127.0.0.1,表示为本机;若用户绑定的是本地端口,则不需要指定nas-ip参数 |
注意:
l 当采用local-user password-display-mode cipher-force命令后,即使用户通过password命令指定密码显示方式为明文显示(即simple方式)后,密码也会显示为密文。
l 本地用户的service-type是本地认证的检测项。如果没有用户可以使用的服务类型,则该用户无法正常认证通过。在授权的过程中,如果没有配置用户可以使用的服务类型,则默认不授权任何服务。
l 如果配置的认证方式需要用户名和口令(包括本地认证、RADIUS认证及HWTACACS认证),则用户登录系统后所能访问的命令级别由用户的优先级确定。对于SSH用户,使用RSA公钥认证时,其所能使用的命令以用户界面上设置的级别为准。
l 使用service-type命令与level命令均可指定用户优先级,最后设置的级别有效。
l 本地用户的attribute ip命令只适用于支持IP地址上传功能的认证,如802.1x认证;对于不支持IP地址上传功能的认证,如果配置了该命令,会导致本地认证失败,如MAC地址认证。
l 本地用户的attribute port命令绑定的端口只针对端口号,不区分端口类型。
l 用户视图下配置的闲置切断功能,即idle-cut的配置,只对lan-access用户有效。
表1-11 配置强制切断用户连接
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
强制切断用户连接 |
cut connection { all | access-type { dot1x | mac-authentication } | domain domain-name | interface interface-type interface-number | ip ip-address | mac mac-address | vlan vlan-id | ucibindex ucib-index | user-name user-name } |
必选 此命令只对service-type为lan-access的用户有效 |
RADIUS协议配置是以RADIUS方案为单位进行的。当创建一个新的RADIUS方案之后,需要对属于此方案的RADIUS服务器的IP地址和UDP端口号进行设置,这些服务器包括认证/授权和计费服务器,而每种服务器又有主服务器和从服务器的区别。每个RADIUS方案的属性包括:主服务器的IP地址、从服务器的IP地址、共享密钥以及RADIUS服务器类型等。
RADIUS协议配置仅仅定义了设备和RADIUS服务器之间进行信息交互所必须的一些参数。为了使这些参数能够生效,还必须在某个ISP域视图下指定该域引用的RADIUS方案。具体配置细节,请参见“1.3 配置AAA”。
在进行其它RADIUS协议配置之前,必须先创建RADIUS方案并进入其视图。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
打开RADIUS客户端端口 |
radius client enable |
可选 缺省情况下,RADIUS客户端端口开启 |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为system的RADIUS方案 |
& 说明:
一个RADIUS方案可以同时被多个ISP域引用。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
设置主RADIUS认证/授权服务器的IP地址和端口号 |
primary authentication ip-address [ port-number ] |
必选 缺省情况下,主认证/授权服务器的IP地址为0.0.0.0,UDP端口号为1812 |
设置从RADIUS认证/授权服务器的IP地址和端口号 |
secondary authentication ip-address [ port-number ] |
可选 缺省情况下,从认证/授权服务器的IP地址均为0.0.0.0,UDP端口号为1812 |
注意:
l RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的,故不能单独指定授权服务器。
l 在实际组网环境中,可以指定两台RADIUS服务器分别作为主、从认证/授权服务器;也可以指定一台服务器既作为主认证/授权服务器,又作为从认证/授权服务器。
l 主认证/授权服务器和从认证/授权服务器的IP地址不能相同,否则将提示配置不成功。
l 系统缺省创建的system方案使用的主认证服务器的IP为127.0.0.1,端口号为1645。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
设置主RADIUS计费服务器的IP地址和端口号 |
primary accounting ip-address [ port-number ] |
必选 缺省情况下,主计费服务器的IP地址均为0.0.0.0,UDP端口号为1813 |
设置从RADIUS计费服务器的IP地址和端口号 |
secondary accounting ip-address [ port-number ] |
可选 缺省情况下,从计费服务器的IP地址均为0.0.0.0, UDP端口号为1813 |
使能停止计费报文缓存功能 |
stop-accounting-buffer enable |
可选 缺省情况下,使能停止计费报文缓存功能 |
使能停止计费报文重传功能,并配置停止计费报文可以传送的最大次数 |
retry stop-accounting retry-times |
可选 缺省情况下,停止计费请求报文的最大发送次数为500 |
设置允许实时计费请求失败的最大次数 |
retry realtime-accounting retry-times |
可选 缺省情况下,最多允许5次实时计费请求失败 |
注意:
l 在实际组网环境中,可以指定两台RADIUS服务器分别作为主、从计费服务器;也可以指定一台服务器既作为主计费服务器,又作为从计费服务器。此外,由于RADIUS协议采用不同的UDP端口来收发认证/授权和计费报文,因此必须将认证/授权端口号和计费端口号设置得不同。
l 如果RADIUS计费服务器对设备发出的停止计费请求报文没有响应,且设备使能了停止计费报文缓存功能,设备应将其缓存在本机上,然后重新发送直到RADIUS计费服务器产生响应,或者在重新发送的次数达到指定的次数限制后将其丢弃。
l 设备提供对连续实时计费请求失败次数限制的设置——在设备向RADIUS服务器发出的实时计费请求没有得到响应的次数超过所设定的限度时,设备将切断用户连接。
l 主计费服务器和从计费服务器的IP地址不能相同,否则将提示配置不成功。
l 系统缺省创建的system方案使用的主计费服务器的IP为127.0.0.1,端口号为1646。
l 目前RADIUS及HWTACACS协议均不支持对FTP用户进行计费。
RADIUS客户端与RADIUS服务器使用MD5算法来加密RADIUS报文,双方通过设置共享密钥来验证报文的合法性。只有在密钥一致的情况下,彼此才能接收对方发来的报文并作出响应。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为system的RADIUS方案 |
配置RADIUS认证/授权或计费报文的共享密钥 |
key { accounting | authentication } string |
必选 缺省情况下,无密钥 |
注意:
必须保证设备上设置的共享密钥与RADIUS服务器上的完全一致。
由于RADIUS协议采用UDP报文来承载数据,因此其通信过程是不可靠的。如果RADIUS服务器在应答超时定时器规定的时长内没有响应设备,则设备有必要向RADIUS服务器重传RADIUS请求报文。如果累计的传送次数超过最大传送次数而RADIUS服务器仍旧没有响应,则设备将认为本次认证失败。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
设置RADIUS请求报文的最大传送次数 |
retry retry-times |
可选 缺省情况下,RADIUS请求报文的最大传送次数为3次 |
注意:
命令retry中的参数retry-times与命令timer response-timeout中的参数seconds的乘积不能大于75。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
设置支持何种类型的RADIUS服务器 |
server-type { extended | standard } |
可选 缺省情况下,设备系统支持的RADIUS服务器类型为standard。系统缺省创建的system方案的RADIUS服务器类型是extended |
注意:
l 当设备系统支持的RADIUS服务器类型的配置被更改时,会将原有的发送到RADIUS服务器的数据流的单位恢复为缺省情况。
l 使用第三方RADIUS服务器时,RADIUS服务器类型可以选择standard类型或extended类型;使用CAMS服务器时,RADIUS服务器类型应选择extended类型。
对于某个RADIUS方案中的主、从服务器(无论是认证/授权服务器还是计费服务器),当主服务器与设备的通信中断时,设备会主动地转而与从服务器交互报文。
当主服务器变为block的状态超过timer quiet设定的时间后,当有RADIUS请求时,设备会尝试与主服务器通信,如果主服务器恢复正常,设备会立即恢复与其通信,而不继续与从服务器通信。同时,主服务器的状态恢复为active,从服务器的状态不变。而计费开始后,客户端与从计费服务器之间的通信不会因为主计费服务器的恢复而切换。
当主服务器与从服务器的状态都为active或都为block时,设备将只把报文发送到主服务器。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
设置主RADIUS认证/授权服务器的状态 |
state primary authentication { block | active } |
可选 缺省情况下,RADIUS方案中配置了IP地址的各RADIUS服务器的状态均为active |
设置主RADIUS计费服务器的状态 |
state primary accounting { block | active } |
|
设置从RADIUS认证/授权服务器的状态 |
state secondary authentication { block | active } |
|
设置从RADIUS计费服务器的状态 |
state secondary accounting { block | active } |
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能RADIUS trap功能 |
radius trap { accounting-server-down | authentication-server-down } |
可选 缺省情况下,RADIUS trap功能关闭 |
|
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
|
设置发送给RADIUS服务器的用户名格式 |
user-name-format { with-domain | without-domain } |
可选 缺省情况下,设备发送给RADIUS服务器的用户名携带有ISP域名 |
|
设置发送给RADIUS服务器的数据流的单位 |
data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } }* |
可选 缺省情况下,RADIUS方案默认的发送数据单位为byte,数据包的单位为one-packet |
|
设置设备发送RADIUS报文使用的源地址 |
RADIUS方案视图 |
nas-ip ip-address |
可选 缺省情况下,不指定源地址,即以发送报文的接口地址作为源地址 |
系统视图 |
quit |
||
radius nas-ip ip-address |
注意:
l 由于有些较早期的RADIUS服务器不能接受携带有ISP域名的用户名,因此必需将用户名的域名去除后再传送给RADIUS服务器。可以通过命令user-name-format来指定发送给RADIUS服务器的用户名是否携带有ISP域名。
l 如果指定某个RADIUS方案不允许用户名中携带有ISP域名,那么请不要在两个乃至两个以上的ISP域中同时设置使用该RADIUS方案,否则,会出现虽然实际用户不同(在不同的ISP域中)、但RADIUS服务器认为用户相同(因为传送到它的用户名相同)的错误。
l 系统缺省创建的system方案的用户名不带域名。
l RADIUS方案视图下的命令nas-ip只对本RADIUS方案有效,系统视图下的命令radius nas-ip对所有RADIUS方案有效。RADIUS方案视图下的设置具有更高的优先级。
表1-20 配置本地RADIUS认证服务器
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
打开本地RADIUS服务器端口 |
local-server enable |
可选 缺省情况下,本地RADIUS服务器端口开启 |
配置本地RADIUS服务器 |
local-server nas-ip ip-address key password |
必选 缺省情况下,系统创建了一个本地RADIUS服务器,其NAS-IP为127.0.0.1,共享密钥为空字符串 |
注意:
l 采用本地RADIUS认证服务器功能时,其认证/授权服务的UDP端口号必须为1645,计费服务的UDP端口号为1646;当交换机为本机提供RADIUS认证服务时,配置的nas-ip地址为 127.0.0.1;当交换机为其他网络接入服务器提供RADIUS认证服务时,配置的nas-ip地址为其他网络接入服务器的IP地址。
l 用此命令配置的共享密钥必须和在RADIUS方案视图下用命令key { accounting | authentication }配置的认证/授权或计费报文的共享密钥一致。
l 设备最多支持16个本地RADIUS认证服务器。
如果在RADIUS请求报文(认证/授权请求或计费请求)传送出去一段时间后,设备还没有得到RADIUS服务器的响应,则有必要重传RADIUS请求报文,以保证用户确实能够得到RADIUS服务,这段时间被称为RADIUS服务器响应超时时长,设备系统中用于控制这个时长的定时器就被称为RADIUS服务器响应超时定时器。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建RADIUS方案并进入其视图 |
radius scheme radius-scheme-name |
必选 缺省情况下,系统中已创建了一个名为“system”的RADIUS方案 |
设置RADIUS服务器应答超时时间 |
timer response-timeout seconds |
可选 缺省情况下,RADIUS服务器应答超时定时器为3秒 |
设置主服务器恢复激活状态的时间 |
timer quiet minutes |
可选 缺省情况下,主服务器恢复激活状态前需要等待5分钟 |
设置实时计费间隔 |
timer realtime-accounting minutes |
可选 缺省情况下,实时计费间隔为12分钟。 为了对用户实施实时计费,有必要设置实时计费的时间间隔。在设置了该属性以后,每隔设定的时间,设备会向RADIUS服务器发送一次在线用户的计费信息 |
注意:
命令timer response-timeout中的参数seconds与命令retry中的参数retry-times的乘积不能大于75。
HWTACACS协议的配置是以HWTACACS方案为单位进行的。在进行其它HWTACACS协议配置之前,必须先创建HWTACACS方案并进入其视图。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
注意:
系统最多支持配置16个HWTACACS方案。只有当方案没有用户使用时,才能删除该方案。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
设置TACACS主认证服务器的IP地址和端口号 |
primary authentication ip-address [ port ] |
必选 缺省情况下,主认证服务器的IP地址为0.0.0.0,端口号为49 |
设置TACACS从认证服务器的IP地址和端口号 |
secondary authentication ip-address [ port ] |
必选 缺省情况下,从认证服务器的IP地址为0.0.0.0,端口号为49 |
注意:
l 主认证服务器和从认证服务器的IP地址不能相同,否则将提示配置不成功。
l 只有当没有活跃的用于发送认证报文的TCP连接使用该认证服务器时,才允许删除该服务器。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
设置TACACS主授权服务器的IP地址和端口号 |
primary authorization ip-address [ port ] |
必选 缺省情况下,主授权服务器的IP地址为0.0.0.0,端口号为49 |
设置TACACS从授权服务器的IP地址和端口号 |
secondary authorization ip-address [ port ] |
必选 缺省情况下,从授权服务器的IP地址为0.0.0.0,端口号为49 |
注意:
l 主授权服务器和从授权服务器的IP地址不能相同,否则将提示配置不成功。
l 只有当没有活跃的用于发送授权报文的TCP连接使用该授权服务器时,才允许删除该服务器。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
设置TACACS主计费服务器的IP地址和端口号 |
primary accounting ip-address [ port ] |
必选 缺省情况下,主计费服务器的IP地址为0.0.0.0,端口号为49 |
设置TACACS从计费服务器的IP地址和端口号 |
secondary accounting ip-address [ port ] |
必选 缺省情况下,从计费服务器的IP地址为0.0.0.0,端口号为49 |
使能停止计费报文缓存功能 |
stop-accounting-buffer enable |
可选 缺省情况下,使能停止计费报文缓存功能 |
使能停止计费报文重传,并配置传送的最大次数 |
retry stop-accounting retry-times |
可选 缺省情况下,使能停止计费报文重传功能,且允许停止计费报文传送100次 |
注意:
l 主计费服务器和从计费服务器的IP地址不能相同,否则将提示配置不成功。
l 只有当没有活跃、用于发送计费报文的TCP连接使用该计费服务器时,才允许删除该服务器。
l 目前RADIUS及HWTACACS协议均不支持对FTP用户进行计费。
使用HWTACACS服务器作为AAA服务器时,可设置密钥以提高设备与HWTACACS服务器通信的安全性。
HWTACACS客户端(即设备系统)与HWTACACS服务器使用MD5算法来加密交互的HWTACACS报文,双方通过设置共享密钥来验证报文的合法性。只有在密钥一致的情况下,双方才能彼此接收对方发来的报文并作出响应。因此,必须保证设备上设置的共享密钥与HWTACACS服务器上的完全一样。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
设置HWTACACS计费、授权及认证报文的共享密钥 |
key { accounting | authorization | authentication } string |
必选 缺省情况下,无密钥 |
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
|
设置发送给HWTACACS服务器的用户名格式 |
user-name-format { with-domain | without-domain } |
可选 缺省情况下,发往HWTACACS服务器的用户名带域名 |
|
设置发送给HWTACACS服务器的数据流的单位 |
data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } }* |
可选 缺省情况下,HWTACACS服务器的发送数据单位为byte,数据包的单位为one-packet |
|
配置设备发送HWTACACS报文使用的源地址 |
HWTACACS视图 |
nas-ip ip-address |
可选 缺省情况下,不指定源地址,即以发送报文的接口地址作为源地址 |
系统视图 |
quit |
||
hwtacacs nas-ip ip-address |
注意:
l 用户名通常采用“userid@isp-name”格式,“@”后面的部分为域名。如果HWTACACS服务器不接受带域名的用户名时,可以配置将用户名的域名去除后再传送给HWTACACS服务器。
l HWTACACS方案视图下的命令nas-ip只对本HWTACACS方案有效,系统视图下的命令hwtacacs nas-ip对所有HWTACACS方案有效。HWTACACS方案视图下的设置具有更高的优先级。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
创建HWTACACS方案,并进入HWTACACS视图 |
hwtacacs scheme hwtacacs-scheme-name |
必选 缺省情况下,没有定义HWTACACS方案 |
设置HWTACACS服务器应答超时时间 |
timer response-timeout seconds |
可选 缺省情况下,应答超时时间为5秒 |
设置主服务器恢复激活状态的时间 |
timer quiet minutes |
可选 缺省情况下,主服务器恢复激活状态前需要等待5分钟 |
设置实时计费的时间间隔 |
timer realtime-accounting minutes |
可选 缺省情况下,实时计费间隔为12分钟 |
注意:
l 为了对用户实施实时计费,有必要设置实时计费的时间间隔。在设置了该属性以后,每隔设定的时间,设备会向HWTACACS服务器发送一次在线用户的计费信息。按照协议,如果服务器对实时计费报文没有正常响应,设备也不会强制切断在线用户。
l 实时计费间隔时间取值必须为3的整数倍。
l 实时计费间隔的取值对设备和HWTACACS服务器的性能有一定的相关性要求—取值越小,对设备和HWTACACS服务器的性能要求越高。
完成上述配置后,在任意视图下执行display命令可以显示配置后AAA、RADIUS/HWTACACS的运行情况,通过查看显示信息验证配置的效果。
在用户视图下,执行reset命令可以清除相关统计信息。
操作 |
命令 |
显示所有或指定ISP域的配置信息 |
display domain [ isp-name ] |
显示用户连接的相关信息 |
display connection [ access-type { dot1x | mac-authentication } | domain domain-name | interface interface-type interface-number | ip ip-address | mac mac-address | vlan vlan-id | ucibindex ucib-index | user-name user-name ] |
显示本地用户的相关信息 |
display local-user [ domain isp-name | idle-cut { disable | enable } | vlan vlan-id | service-type { lan-access | telnet | ssh | terminal | ftp } | state { active | block } | user-name user-name ] |
表1-30 RADIUS协议显示和维护
操作 |
命令 |
显示本地RADIUS认证服务器的统计信息 |
display local-server statistics |
显示所有或指定RADIUS方案的配置信息 |
display radius [ radius-scheme-name ] |
显示RADIUS报文的统计信息 |
display radius statistics |
显示缓存的没有得到响应的停止计费请求报文 |
display stop-accounting-buffer { radius-scheme radius-scheme-name | session-id session-id | time-range start-time stop-time | user-name user-name } |
清除RADIUS协议的统计信息 |
reset radius statistics |
删除那些缓存的、没有得到响应的停止计费请求报文 |
reset stop-accounting-buffer { radius-scheme radius-scheme-name | session-id session-id | time-range start-time stop-time | user-name user-name } |
清除本地服务器的统计信息 |
reset local-server statistics |
操作 |
命令 |
查看所有或指定HWTACACS方案的配置信息或统计信息 |
display hwtacacs [ hwtacacs-scheme-name [ statistics ] ] |
显示缓存的没有得到响应的停止计费请求报文 |
display stop-accounting-buffer { hwtacacs-scheme hwtacacs-scheme-name | session-id session-id | time-range start-time stop-time | user-name user-name } |
清除TACACS协议的统计信息 |
reset hwtacacs statistics { accounting | authentication | authorization | all } |
删除那些在路由器上缓存的、没有得到响应的停止计费请求报文 |
reset stop-accounting-buffer { hwtacacs-scheme hwtacacs-scheme-name | session-id session-id | time-range start-time stop-time | user-name user-name } |
& 说明:
l SSH用户和Telnet用户通过RADIUS服务器进行认证、授权、计费的配置方法类似,下面的描述以Telnet用户的远端认证为例。
l 目前不支持对FTP用户进行计费。
l 如图1-7所示的环境中,现需要通过配置交换机实现RADIUS服务器对登录交换机的Telnet用户进行认证、授权和计费。
l 一台RADIUS服务器(使用CAMS担当认证RADIUS服务器和计费RADIUS服务器的职责)与交换机相连,服务器IP地址为10.110.91.146。
l 设置交换机与认证RADIUS服务器交互报文时的共享密钥为expert、与计费RADIUS服务器交互报文时的共享密钥为expert。
l RADIUS方案中的server-type选择extended类型。
l 在RADIUS服务器上设置与交换机交互报文时的共享密钥为expert;设置验证及计费的端口号;添加Telnet用户名及登录密码。
l RADIUS方案中设置交换机不从用户名中去除用户域名而是一起传给RADIUS服务器。RADIUS服务器上添加的Telnet用户名应为“userid@isp-name”形式。
图1-7 配置Telnet用户的远端RADIUS认证、授权和计费
# 开启设备的Telnet服务器功能。
<Sysname> system-view
[Sysname] telnet server enable
# 配置Telnet用户登录采用AAA认证方式。
[Sysname] user-interface vty 0 4
[Sysname-ui-vty0-4] authentication-mode scheme
[Sysname-ui-vty0-4] quit
# 配置ISP域。
[Sysname] domain cams
[Sysname-isp-cams] access-limit enable 10
# 配置用户计费可选。RADIUS服务器使用CAMS服务器时,必须进行该配置,因为CAMS服务器并不对计费报文作回应。
[Sysname-isp-cams] accounting optional
[Sysname-isp-cams] quit
# 配置RADIUS方案。
[Sysname] radius scheme cams
[Sysname-radius-cams] primary authentication 10.110.91.146 1812
[Sysname-radius-cams] primary accounting 10.110.91.146 1813
[Sysname-radius-cams] key authentication expert
[Sysname-radius-cams] key accounting expert
[Sysname-radius-cams] server-type extended
[Sysname-radius-cams] user-name-format with-domain
[Sysname-radius-cams] quit
# 配置domain的AAA方案。在该应用配置中,因为接入用户对认证、授权和计费三个过程都需要,所以需要在域中对认证、授权和计费方案全部配置。如果接入用户只需要认证,则只需要配置认证方案;如果接入用户需要认证和授权,则只需要配置认证和授权方案。
[Sysname] domain cams
[Sysname-isp-cams] authentication login radius-scheme cams
[Sysname-isp-cams] authorization login radius-scheme cams
[Sysname-isp-cams] accounting login radius-scheme cams
[Sysname-isp-cams] quit
# 或者不区分用户类型,配置default的AAA方案。
[Sysname] domain cams
[Sysname-isp-cams] authentication default radius-scheme cams
[Sysname-isp-cams] authorization default radius-scheme cams
[Sysname-isp-cams] accounting default radius-scheme cams
& 说明:
FTP用户除了没有计费过程外,与Telnet用户通过本地认证、授权的配置方法类似,下面描述仅以Telnet用户为例。
如下图所示的环境中,现需要通过配置交换机实现对登录交换机的Telnet用户进行本地认证。
(1) 方法一:使用本地认证、授权和计费。
# 配置Telnet用户登录采用AAA认证方式。
<Sysname> system-view
[Sysname] user-interface vty 0 4
[Sysname-ui-vty0-4] authentication-mode scheme
[Sysname-ui-vty0-4] quit
# 创建本地用户telnet。
[Sysname] local-user telnet
[Sysname-luser-telnet] service-type telnet
[Sysname-luser-telnet] password simple expert
[Sysname-luser-telnet] attribute idle-cut 5 access-limit 5
[Sysname-luser-telnet] quit
# 启动telnet服务。
[Sysname] telnet server enable
# 配置domain的AAA方案
[Sysname] domain system
[Sysname-isp-system] authentication login local
[Sysname-isp-system] authorization login local
[Sysname-isp-system] accounting login local
# 或者不区分用户类型,配置default的AAA方案
[Sysname-isp-system] authentication default local
[Sysname-isp-system] authorization default local
[Sysname-isp-system] accounting default local
使用Telnet登陆时输入用户名为userid @system,以使用system域进行认证。
(2) 方法二:使用本地RADIUS服务器
这种方法与1.7.1 小节中的远端RADIUS认证方法类似,只需要将1.7.1 小节中“配置RADIUS方案”中的服务器IP地址修改为127.0.0.1,认证密钥修改为expert,认证服务的UDP端口号修改为1645,并配置本地用户即可。
l 通过配置交换机实现HWTACACS服务器对登录交换机的用户进行认证、授权、计费。
l 一台HWTACACS服务器(担当认证、授权、计费服务器的职责)与交换机相连,服务器IP地址为10.110.91.164。
l 设置交换机与认证、授权、计费HWTACACS服务器交互报文时的共享密钥均为expert。交换机发送给HWTACACS服务器的用户名中不带域名。
l 设置交换机除去用户名中的域名后再将之传给HWTACACS服务器。
l 在HWTACACS服务器上设置与交换机交互报文时的共享密钥为expert。
图1-9 配置Telnet用户的远端TACACS认证、授权和计费
# 开启设备的Telnet服务器功能。
<Sysname> system-view
[Sysname] telnet server enable
# 配置Telnet用户登录采用AAA认证方式。
[Sysname] user-interface vty 0 4
[Sysname-ui-vty0-4] authentication-mode scheme
[Sysname-ui-vty0-4] quit
# 配置HWTACACS方案。
[Sysname] hwtacacs scheme hwtac
[Sysname-hwtacacs-hwtac] primary authentication 10.110.91.164 49
[Sysname-hwtacacs-hwtac] primary authorization 10.110.91.164 49
[Sysname-hwtacacs-hwtac] primary accounting 10.110.91.164 49
[Sysname-hwtacacs-hwtac] key authentication expert
[Sysname-hwtacacs-hwtac] key authorization expert
[Sysname-hwtacacs-hwtac] key accounting expert
[Sysname-hwtacacs-hwtac] user-name-format without-domain
[Sysname-hwtacacs-hwtac] quit
[Sysname] domain hwtacacs
[Sysname-isp-hwtacacs] authentication login hwtacacs-scheme hwtac
[Sysname-isp-hwtacacs] authorization login hwtacacs-scheme hwtac
[Sysname-isp-hwtacacs] accounting login hwtacacs-scheme hwtac
# 或者不区分用户类型,配置default的AAA方案。
[Sysname] domain hwtacacs
[Sysname-isp-hwtacacs] authentication default hwtacacs-scheme hwtac
[Sysname-isp-hwtacacs] authorization default hwtacacs-scheme hwtac
[Sysname-isp-hwtacacs] accounting default hwtacacs-scheme hwtac
l 通过配置交换机实现local认证,HWTACACS授权,RADIUS计费。Telnet用户的用户名和密码为telnet。
l 一台HWTACACS服务器(担当授权服务器的职责)与交换机相连,服务器IP地址为10.110.91.164。设置交换机与授权HWTACACS服务器交互报文时的共享密钥均为expert,交换机发送给HWTACACS服务器的用户名中不带域名。
l 一台RADIUS服务器(担当计费服务器的职责)与交换机相连,服务器IP地址为10.110.91.165。设置交换机与计费RADIUS服务器交互报文时的共享密钥为expert。
& 说明:
其他接入如果需要此类AAA应用,和Telnet在域的AAA配置上类似,只有接入的区分。
图1-10 配置Telnet用户的local认证,HWTACACS授权和RADIUS计费
# 开启设备的Telnet服务器功能。
<Sysname> system-view
[Sysname] telnet server enable
# 配置Telnet用户登录采用AAA认证方式。
[Sysname] user-interface vty 0 4
[Sysname-ui-vty0-4] authentication-mode scheme
[Sysname-ui-vty0-4] quit
# 配置HWTACACS方案。
[Sysname] hwtacacs scheme hwtac
[Sysname-hwtacacs-hwtac] primary authorization 10.110.91.164 49
[Sysname-hwtacacs-hwtac] key authorization expert
[Sysname-hwtacacs-hwtac] user-name-format without-domain
[Sysname-hwtacacs-hwtac] quit
# 配置RADIUS方案。
[Sysname] radius scheme cams
[Sysname-radius-cams] primary accounting 10.110.91.165 1813
[Sysname-radius-cams] key accounting expert
[Sysname-radius-cams] server-type extended
[Sysname-radius-cams] user-name-format with-domain
[Sysname-radius-cams] quit
# 创建本地用户telnet。
[Sysname] local-user telnet
[Sysname-luser-telnet] service-type telnet
[Sysname-luser-telnet] password simple telnet
# 启动telnet服务。
[Sysname]telnet server enable
# 配置domain的AAA方案。
[Sysname] domain test
[Sysname-isp-test] authentication login local
[Sysname-isp-test] authorization login hwtacacs-scheme hwtac
[Sysname-isp-test] accounting login radius-scheme cams
# 或者不区分用户类型,配置default的AAA方案
[Sysname] domain test
[Sysname-isp-test] authentication default local
[Sysname-isp-test] authorization default hwtacacs-scheme hwtac
[Sysname-isp-test] accounting default radius-scheme cams
错误排除:
(1) 用户名不是“userid@isp-name”的形式,或设备没有指定正确的缺省ISP域——请使用正确形式的用户名或在设备中设定正确的缺省ISP域。
(2) RADIUS服务器的数据库中没有配置该用户——检查RADIUS服务器的数据库以保证该用户的配置信息确实存在。
(3) 用户侧输入的密码不正确——请确保接入用户输入正确的密码。
(4) RADIUS服务器和设备的报文共享密钥不同——请仔细比较两端的共享密钥,确保它们相同。
(5) 设备与RADIUS服务器之间存在通信故障(可以通过在设备上ping RADIUS服务器来检查)——请确保设备与RADIUS服务器之间能够正常通信。
错误排除:
(1) 设备与RADIUS服务器之间的通信线路不通(物理层/链路层)—请确保线路通畅。
(2) 设备上没有设置相应的RADIUS服务器IP地址—请确保正确设置RADIUS服务器的IP地址。
(3) 认证/授权和计费服务的UDP端口设置得不正确—请确保与RADIUS服务器提供的端口号一致。
错误排除:
(1) 计费端口号设置得不正确—请正确设置RADIUS计费端口号。
(2) 计费服务器和认证/授权服务器不是同一台机器,设备却要求认证/授权和计费在同一个服务器(IP地址相同)—请确保设备的认证/授权和计费服务器的设置与实际情况相同。
HWTACACS的常见配置错误举例与RADIUS基本相似,可以参考上面内容。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!