- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-AAA配置
本章节下载： 02-AAA配置 (397.65 KB)
AAA（Authentication、Authorization、Accounting，认证、授权、计费）是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。
· 认证：确认访问网络的远程用户的身份，判断访问者是否为合法的网络用户。
· 授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如，管理员授权办公用户才能对服务器中的文件进行访问和打印操作，而其它临时访客不具备此权限。
· 计费：记录用户使用网络服务过程中的所有操作，包括使用的服务类型、起始时间、数据流量等，用于收集和记录用户对网络资源的使用情况，并可以实现针对时间、流量的计费需求，也对网络起到监视作用。
AAA采用客户端/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，负责验证用户身份与管理用户接入，服务器上则集中管理用户信息。AAA的基本组网结构如图1-1。
图1-1 AAA基本组网结构示意图
当用户想要通过NAS获得访问其它网络的权利或取得某些网络资源的权利时，首先需要通过AAA认证，而NAS就起到了验证用户的作用。NAS负责把用户的认证、授权、计费信息透传给服务器。服务器根据自身的配置对用户的身份进行判断并返回相应的认证、授权、计费结果。NAS根据服务器返回的结果，决定是否允许用户访问外部网络、获取网络资源。
AAA可以通过多种协议来实现，这些协议规定了NAS与服务器之间如何传递用户信息。目前设备支持HWTACACS（HW Terminal Access Controller Access Control System，HW终端访问控制器控制系统协议）协议。
当然，用户也可以只使用AAA提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源时进行身份认证，则网络管理员只需要配置认证服务器。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。
目前，设备支持动态口令认证机制。
HWTACACS（HW Terminal Access Controller Access Control System，HW终端访问控制器控制系统协议）是在TACACS（RFC 1492）基础上进行了功能增强的安全协议。该协议采用客户端/服务器模式实现NAS与HWTACACS服务器之间的通信。
HWTACACS协议主要用于PPP（Point-to-Point Protocol，点对点协议）和VPDN（Virtual Private Dial-up Network，虚拟专用拨号网络）接入用户及终端用户的认证、授权和计费。其典型应用是对需要登录到NAS设备上进行操作的终端用户进行认证、授权以及对终端用户执行的操作进行记录。设备作为HWTACACS的客户端，将用户名和密码发给HWTACACS服务器进行验证，用户验证通过并得到授权之后可以登录到设备上进行操作，HWTACACS服务器上会记录用户对设备执行过的命令。
下面以Telnet用户为例，说明使用HWTACACS对用户进行认证、授权和计费的过程。基本消息交互流程图如图1-2所示。
图1-2 Telnet用户认证、授权和计费流程图
基本消息交互流程如下：
(1) Telnet用户请求登录设备。
(2) HWTACACS客户端收到请求之后，向HWTACACS服务器发送认证开始报文。
(3) HWTACACS服务器发送认证回应报文，请求用户名。
(4) HWTACACS客户端收到回应报文后，向用户询问用户名。
(5) 用户输入用户名。
(6) HWTACACS客户端收到用户名后，向HWTACACS服务器发送认证持续报文，其中包括了用户名。
(7) HWTACACS服务器发送认证回应报文，请求登录密码。
(8) HWTACACS客户端收到回应报文，向用户询问登录密码。
(9) 用户输入密码。
(10) HWTACACS客户端收到登录密码后，向HWTACACS服务器发送认证持续报文，其中包括了登录密码。
(11) 如果认证成功，HWTACACS服务器发送认证回应报文，指示用户通过认证。
(12) HWTACACS客户端向HWTACACS服务器发送授权请求报文。
(13) 如果授权成功，HWTACACS服务器发送授权回应报文，指示用户通过授权。
(14) HWTACACS客户端收到授权成功报文，向用户输出设备的配置界面，允许用户登录。
(15) HWTACACS客户端向HWTACACS服务器发送计费开始报文。
(16) HWTACACS服务器发送计费回应报文，指示计费开始报文已经收到。
(17) 用户请求断开连接。
(18) HWTACACS客户端向HWTACACS服务器发送计费结束报文。
(19) HWTACACS服务器发送计费结束报文，指示计费结束报文已经收到。
NAS对用户的管理是基于ISP（Internet Service Provider，互联网服务提供商）域的，每个用户都属于一个ISP域。一般情况下，用户所属的ISP域是由用户登录时提供的用户名决定的，如图1-3所示。
为便于对不同接入方式的用户进行区分管理，提供更为精细且有差异化的认证、授权、计费服务，AAA将用户划分为以下几个类型：
· login用户：登录设备用户，如SSH、Telnet、FTP、终端接入用户（即从Console口登录的用户）。
· HTTP/HTTPS用户：使用HTTP或HTTPS服务登录设备的用户。
在具体实现中，一个ISP域对应着设备上一套实现AAA的配置策略，它们是管理员针对该域用户制定的一套认证、授权、计费方法，可根据用户的接入特征以及不同的安全需求组合使用。
AAA支持以下认证方法：
· 不认证：对用户非常信任，不对其进行合法性检查，一般情况下不采用这种方法。
· 本地认证：认证过程在接入设备上完成，用户信息（包括用户名、密码和各种属性）配置在接入设备上。优点是速度快，可以降低运营成本；缺点是存储信息量受设备硬件条件限制。
· 远端认证：认证过程在接入设备和远端的服务器之间完成，接入设备和远端服务器之间通过HWTACACS通信。优点是用户信息集中在服务器上统一管理，可实现大容量、高可靠性、支持多设备的集中式统一认证。当远端服务器无效时，可配置备选认证方式完成认证。
AAA支持以下授权方法：
· 不授权：接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时，认证通过的login用户只有系统给予的缺省用户角色level-0，其中FTP/SFTP/SCP用户的工作目录是设备的根目录，但并无访问权限；认证通过的非login用户，可直接访问网络。关于用户角色level-0的详细介绍请参见“基础配置指导”中的“RBAC”。
· 本地授权：授权过程在接入设备上进行，根据接入设备上为本地用户配置的相关属性进行授权。
· 远端授权：授权过程在接入设备和远端服务器之间完成。HWTACACS的授权与认证相分离，在认证成功后，授权信息通过授权报文进行交互。当远端服务器无效时，可配置备选授权方式完成授权。
AAA支持以下计费方法：
· 不计费：不对用户计费。
· 本地计费：计费过程在接入设备上完成，实现了本地用户连接数的统计和限制，并没有实际的费用统计功能。
· 远端计费：计费过程在接入设备和远端的服务器之间完成。当远端服务器无效时，可配置备选计费方式完成计费。
对于login用户，AAA还可以对其提供以下服务，用于提高对设备操作的安全性：
· 命令行授权：用户执行的每一条命令都需要接受授权服务器的检查，只有授权成功的命令才被允许执行。关于命令行授权的详细介绍请参考“基础配置指导”中的“配置用户通过CLI登录设备”。
· 命令行计费：若未开启命令行授权功能，则计费服务器对用户执行过的所有有效命令进行记录；若开启了命令行授权功能，则计费服务器仅对授权通过的命令进行记录。关于命令行计费的详细介绍请参考“基础配置指导”中的“配置用户通过CLI登录设备”。
· 用户角色切换认证：在不退出当前登录、不断开当前连接的前提下，用户将当前的用户角色切换为其它用户角色时，只有通过服务器的认证，该切换操作才被允许。关于用户角色切换的详细介绍请参考“基础配置指导”中的“RBAC”。
通过AAA支持VPN多实例，可实现认证/授权/计费报文在VPN之间的交互。如图1-4所示，各私网客户端之间业务隔离，连接客户端的PE设备作为NAS，通过VPN网络把私网客户端的认证/授权/计费信息透传给网络另一端的私网服务器，实现了对私网客户端的集中认证，且各私网的认证报文互不影响。
图1-4 AAA支持VPN多实例典型组网图
与AAA、HWTACACS相关的协议规范有：
· RFC 1492：An Access Control Protocol, Sometimes Called TACACS
· RFC 1777：Lightweight Directory Access Protocol
· RFC 2251：Lightweight Directory Access Protocol (v3)
AAA配置任务如下：
(1) 配置AAA方案
若选择使用本地AAA方案，则需要配置本地用户；若选择使用远程AAA方案，则需要配置HWTACACS。
¡ 配置本地用户
(2) 创建ISP域并配置相关属性
a. 创建ISP域
b. 配置ISP域的属性
(3) 在ISP域中配置实现AAA的方法
请根据实际需求为用户所在的ISP域配置实现认证、授权、计费的方法，这些方法中将会引用已经配置的AAA方案。
(4) （可选）配置AAA高级功能
当选择使用本地认证、本地授权、本地计费方法对用户进行认证、授权或计费时，应在设备上创建本地用户并配置相关属性。
所谓本地用户，是指在本地设备上设置的一组用户属性的集合。该集合以用户名和用户类别为用户的唯一标识。本地用户是指设备管理用户，设备管理用户供设备管理员登录设备使用。
为使某个请求网络服务的用户可以通过本地认证，需要在设备上的本地用户数据库中添加相应的表项。具体步骤是，创建一个本地用户并进入本地用户视图，然后在本地用户视图下配置相应的用户属性，可配置的用户属性包括：
· 描述信息
· 服务类型
用户可使用的网络服务类型。该属性是本地认证的检测项，如果没有用户可以使用的服务类型，则该用户无法通过认证。
· 用户状态
用于指示是否允许该用户请求网络服务器，包括active和block两种状态。active表示允许该用户请求网络服务，block表示禁止该用户请求网络服务。
· 最大用户数
使用当前用户名接入设备的最大用户数目。若当前该用户名的接入用户数已达最大值，则使用该用户名的新用户将被禁止接入。
· 所属的用户组
每一个本地用户都属于一个本地用户组，并继承组中的所有属性（密码管理属性和用户授权属性）。关于本地用户组的介绍和配置请参见“1.3.4 配置用户组属性”。
· 绑定属性
用户认证时需要检测的属性，用于限制接入用户的范围。若用户的实际属性与设置的绑定属性不匹配，则不能通过认证，因此在配置绑定属性时要考虑该用户是否需要绑定某些属性。
· 用户授权属性
用户认证通过后，接入设备给用户下发授权属性。由于可配置的授权属性都有其明确的使用环境和用途，因此配置授权属性时要考虑该用户是否需要某些属性。
本地用户的授权属性在用户组和本地用户视图下都可以配置，且本地用户视图下的配置优先级高于用户组视图下的配置。用户组的配置对组内所有本地用户生效。
· 密码管理属性
用户密码的安全属性，可用于对本地用户的认证密码进行管理和控制。可设置的策略包括：密码老化时间、密码最小长度、密码组合策略、密码复杂度检查策略和用户登录尝试次数限制策略。
本地用户的密码管理属性在系统视图（具有全局性）、用户组视图和本地用户视图下都可以配置，其生效的优先级顺序由高到底依次为本地用户、用户组、全局。全局配置对所有本地用户生效，用户组的配置对组内所有本地用户生效。有关密码管理以及全局密码配置的详细介绍请参见“ACL和安全配置指导”中的“Password Control”。
本地用户配置任务如下：
(1) 配置本地用户属性
(2) （可选）配置用户组属性
配置绑定接口属性时要考虑绑定接口类型是否合理，如果绑定的接口与实际的接口类型不一致或用户未携带该绑定属性则会导致认证失败。
开启设备管理类全局密码管理功能（通过命令password-control enable）后，设备上将不显示配置的本地用户密码，也不会将该密码保存在当前配置中。如果关闭了设备管理类全局密码管理功能，已配置的密码将恢复在当前配置中。当前配置可通过display current-configuration命令查看。
授权属性和密码控制属性均可以在本地用户视图和用户组视图下配置，各视图下的配置优先级顺序从高到底依次为：本地用户视图-->用户组视图。
(1) 进入系统视图。
system-view
(2) 添加设备管理类本地用户，并进入设备管理类本地用户视图。
local-user user-name class manage
(3) 设置本地用户的密码。
password [ { hash | simple } string ]
可以不为本地用户设置密码。为提高用户账户的安全性，建议设置本地用户密码。
(4) 设置本地用户可以使用的服务类型。
service-type { ftp | { http | https | ssh | telnet | terminal } * }
缺省情况下，本地用户不能使用任何服务类型。
(5) （可选）设置本地用户的状态。
state { active | block }
缺省情况下，本地用户处于活动状态，即允许该用户请求网络服务。
(6) （可选）设置使用当前本地用户名接入设备的最大用户数。
access-limit max-user-number
缺省情况下，不限制使用当前本地用户名接入的用户数。
由于FTP/SFTP/SCP用户不支持计费，因此FTP/SFTP/SCP用户不受此属性限制。
(7) （可选）设置本地用户的授权属性。
authorization-attribute { idle-cut minutes | user-role role-name | work-directory directory-name } *
缺省情况下：
¡ 授权FTP/SFTP/SCP用户可以访问的目录为设备的根目录，但无访问权限。
¡ 由用户角色为network-admin或者level-15的用户创建的本地用户被授权用户角色network-operator。
(8) （可选）设置设备管理类本地用户的密码管理属性。请至少选择其中一项进行配置。
¡ 设置密码老化时间。
password-control aging aging-time
¡ 设置密码最小长度。
password-control length length
¡ 设置密码组合策略。
password-control composition type-number type-number [ type-length type-length ]
¡ 设置密码的复杂度检查策略。
password-control complexity { same-character | user-name } check
¡ 设置用户登录尝试次数以及登录尝试失败后的行为。
password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]
缺省情况下，采用本地用户所属用户组的密码管理策略。
为了简化本地用户的配置，增强本地用户的可管理性，引入了用户组的概念。用户组是一个本地用户属性的集合，某些需要集中管理的属性可在用户组中统一配置和管理，用户组内的所有本地用户都可以继承这些属性。
(1) 进入系统视图。
system-view
(2) 设置用户组的授权属性。
authorization-attribute { idle-cut minutes | work-directory directory-name } *
缺省情况下，未设置用户组的授权属性。
(3) （可选）设置用户组的密码管理属性。请至少选择其中一项进行配置。
¡ 设置密码老化时间。
password-control aging aging-time
¡ 设置密码最小长度。
password-control length length
¡ 设置密码组合策略。
password-control composition type-number type-number [ type-length type-length ]
¡ 设置密码的复杂度检查策略。
password-control complexity { same-character | user-name } check
¡ 设置用户登录尝试次数以及登录尝试失败后的行为。
password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]
缺省情况下，采用全局密码管理策略。全局密码管理策略的相关配置请参见“ACL和安全配置指导”中的“Password Control”。
完成上述配置后，在任意视图下执行display命令可以显示配置后本地用户及本地用户组的运行情况，通过查看显示信息验证配置的效果。
表1-1 本地用户及本地用户组显示和维护
|
操作 |
命令 |
|
显示本地用户的配置信息和在线用户数的统计信息 |
display local-user [ class manage | idle-cut { disable | enable } | service-type { ftp | http | https | ssh | telnet | terminal } | state { active | block } | user-name user-name class manage } ] |
HWTACACS配置任务如下：
(1) 创建HWTACACS方案
(2) 配置HWTACACS认证服务器
(3) 配置HWTACACS授权服务器
(4) 配置HWTACACS计费服务器
若配置HWTACACS服务器时未指定共享密钥，则可以通过本任务统一指定对所有认证/计费HWTACACS服务器生效的共享密钥。
若配置HWTACACS服务器时未指定所属的VPN，则可以通过本任务统一指定所有HWTACACS服务器所属的VPN。
(7) （可选）配置HWTACACS服务器的定时器
(8) （可选）配置HWTACACS报文交互参数
¡ 配置发送给HWTACACS服务器的用户名格式和数据统计单位
(9) （可选）配置HWTACACS计费报文缓存功能
系统最多支持配置16个HWTACACS方案。一个HWTACACS方案可以同时被多个ISP域引用。
(1) 进入系统视图。
system-view
(2) 创建HWTACACS方案，并进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
通过在HWTACACS方案中配置HWTACACS认证服务器，指定设备对用户进行HWTACACS认证时与哪个服务器进行通信。
一个HWTACACS方案中最多允许配置一个主认证服务器和16个从认证服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
建议在不需要备份的情况下，只配置主HWTACACS认证服务器即可。
在实际组网环境中，可以指定一台服务器既作为某个HWTACACS方案的主认证服务器，又作为另一个HWTACACS方案的从认证服务器。
在同一个方案中指定的主认证服务器和从认证服务器的VPN、主机名、IP地址、端口号不能完全相同，并且各从认证服务器的VPN、主机名、IP地址、端口号也不能完全相同。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 配置主HWTACACS认证服务器。
primary authentication { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
缺省情况下，未配置主HWTACACS认证服务器。
(4) （可选）配置从HWTACACS认证服务器。
secondary authentication { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
缺省情况下，未配置从HWTACACS认证服务器。
通过在HWTACACS方案中配置HWTACACS授权服务器，指定设备对用户进行HWTACACS授权时与哪个服务器进行通信。
一个HWTACACS方案中最多允许配置一个主授权服务器和16个从授权服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
建议在不需要备份的情况下，只配置主HWTACACS授权服务器即可。
在实际组网环境中，可以指定一台服务器既作为某个HWTACACS方案的主授权服务器，又作为另一个HWTACACS方案的从授权服务器。
在同一个方案中指定的主授权服务器和从授权服务器的VPN、主机名、IP地址、端口号不能完全相同，并且各从授权服务器的VPN、主机名、IP地址、端口号也不能完全相同。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 配置主HWTACACS授权服务器。
primary authorization { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
缺省情况下，未配置主HWTACACS授权服务器。
(4) （可选）配置从HWTACACS授权服务器。
secondary authorization { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
缺省情况下，未配置从HWTACACS授权服务器。
通过在HWTACACS方案中配置HWTACACS计费服务器，指定设备对用户进行HWTACACS计费时与哪个服务器进行通信。
一个HWTACACS方案中最多允许配置一个主计费服务器和16个从计费服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
建议在不需要备份的情况下，只配置主HWTACACS计费服务器即可。
在实际组网环境中，可以指定一台服务器既作为某个HWTACACS方案的主计费服务器，又作为另一个HWTACACS方案的从计费服务器。
在同一个方案中指定的主计费服务器和从计费服务器的VPN、主机名、IP地址、端口号不能完全相同，并且各从计费服务器的VPN、主机名、IP地址、端口号也不能完全相同。
目前HWTACACS不支持对FTP/SFTP/SCP用户进行计费。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 配置主HWTACACS计费服务器。
primary accounting { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
缺省情况下，未配置主HWTACACS计费服务器。
(4) （可选）配置从HWTACACS计费服务器。
secondary accounting { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection | vpn-instance vpn-instance-name ] *
缺省情况下，未配置从HWTACACS计费服务器。
HWTACACS客户端与HWTACACS服务器使用MD5算法并在共享密钥的参与下加密HWTACACS报文。只有在密钥一致的情况下，彼此才能接收对方发来的报文并作出响应。
由于设备优先采用配置HWTACACS认证/授权/计费服务器时指定的报文共享密钥，因此，本配置中指定的HWTACACS报文共享密钥仅在配置HWTACACS认证/授权/计费服务器时未指定相应密钥的情况下使用。
必须保证设备上设置的共享密钥与HWTACACS服务器上的完全一致。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 配置HWTACACS认证、授权、计费报文的共享密钥。
key { accounting | authentication | authorization } { cipher | simple } string
缺省情况下，未设置HWTACACS报文的共享密钥。
该配置用于指定HWTACACS方案所属的VPN，即为HWTACACS方案下的所有HWTACACS服务器统一指定所属的VPN。HWTACACS服务器所属的VPN也可以在配置HWTACACS服务器的时候单独指定，且被优先使用。未单独指定所属VPN的服务器，则属于所在HWTACACS方案所属的VPN。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 配置HWTACACS方案所属的VPN。
vpn-instance vpn-instance-name
缺省情况下，HWTACACS方案属于公网。
在与HWTACACS服务器交互的过程中，设备上可启动的定时器包括以下几种：
· 服务器响应超时定时器（response-timeout）：如果在HWTACACS请求报文传送出去一段时间后，设备还没有得到HWTACACS服务器的响应，则会将该服务器的状态置为block，并向下一个HWTACACS服务器发起请求，以保证用户尽可能得到HWTACACS服务，这段时间被称为HWTACACS服务器响应超时时长。
· 实时计费间隔定时器（realtime-accounting）：为了对用户实施实时计费，有必要定期向服务器发送用户的实时计费信息，通过设置实时计费的时间间隔，设备会每隔设定的时间向HWTACACS服务器发送一次在线用户的计费信息。
· 服务器恢复激活状态定时器（quiet）：当服务器不可达时，设备将该服务器的状态置为block，并开启超时定时器，在设定的一定时间间隔之后，再将该服务器的状态恢复为active。这段时间被称为服务器恢复激活状态时长。
HWTACACS方案中各服务器的状态（active、block）决定了设备向哪个服务器发送请求报文，以及设备在与当前服务器通信中断的情况下，如何转而与另外一个服务器进行交互。在实际组网环境中，可指定一个主HWTACACS服务器和多个从HWTACACS服务器，由从服务器作为主服务器的备份。通常情况下，设备上主从服务器的切换遵从以下原则：
· 当主服务器状态为active时，设备首先尝试与主服务器通信，若主服务器不可达，则按照从服务器的配置先后顺序依次查找状态为active的从服务器进行认证或者计费。
· 只要存在状态为active的服务器，设备就仅与状态为active的服务器通信，即使该服务器不可达，设备也不会尝试与状态为block的服务器通信。
· 当主/从服务器的状态均为block时，设备尝试与主服务器进行通信，若未配置主服务器，则设备尝试与首个配置的从服务器通信。
· 如果服务器不可达，则设备将该服务器的状态置为block，同时启动该服务器的quiet定时器。当服务器的quiet定时器超时，该服务器将恢复为active状态。
· 在一次认证或计费过程中，如果设备在尝试与从服务器通信时，之前已经查找过的服务器状态由block恢复为active，则设备并不会立即恢复与该服务器的通信，而是继续查找从服务器。如果所有已配置的服务器都不可达，则认为本次认证或计费失败。
· 如果在认证或计费过程中删除了当前正在使用的服务器，则设备在与该服务器通信超时后，将会立即从主服务器开始依次查找状态为active的服务器并与之进行通信。
· 一旦服务器状态满足自动切换的条件，则所有HWTACACS方案视图下该服务器的状态都会相应地变化。
实时计费间隔的取值对设备和HWTACACS服务器的性能有一定的相关性要求，取值越小，对设备和HWTACACS服务器的性能要求越高。建议当用户量比较大（大于等于1000）时，尽量把该间隔的值设置得大一些（大于15分钟）。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 设置HWTACACS定时器参数。请至少选择其中一项进行配置。
¡ 设置HWTACACS服务器响应超时时间。
timer response-timeout seconds
缺省情况下，服务器响应超时时间为5秒。
¡ 设置实时计费的时间间隔。
timer realtime-accounting minutes
缺省情况下，实时计费间隔为12分钟。
¡ 设置服务器恢复激活状态的时间。
timer quiet minutes
缺省情况下，服务器恢复激活状态前需要等待5分钟。
HWTACACS服务器上通过IP地址来标识接入设备，并根据收到的HWTACACS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证、授权或计费请求。若HWTACACS服务器收到的HWTACACS认证或计费报文的源地址在所管理的接入设备IP地址范围内，则会进行后续的认证或计费处理，否则直接丢弃该报文。
设备发送HWTACACS报文时，根据以下顺序查找使用的源IP地址：
(1) 当前所使用的HWTACACS方案中配置的发送HWTACACS报文使用的源IP地址。
(2) 根据当前使用的服务器所属的VPN查找系统视图下通过hwtacacs nas-ip命令配置的私网源地址，对于公网服务器则直接查找该命令配置的公网源地址。
(3) 通过路由查找到的发送HWTACACS报文的出接口地址。
发送给HWTACACS报文使用的源IP地址在系统视图和HWTACACS方案视图下均可以进行配置，系统视图下的配置将对所有HWTACACS方案生效，HWTACACS方案视图下的配置仅对本方案有效，并且具有高于前者的优先级。
为保证认证、授权和计费报文可被服务器正常接收并处理，接入设备上发送HWTACACS报文使用的源IP地址必须与HWTACACS服务器上指定的接入设备的IP地址保持一致。
源接口配置和源IP地址配置不能同时存在，后配置的生效。
(1) 进入系统视图。
system-view
(2) 设置设备发送HWTACACS报文使用的源IP地址。
hwtacacs nas-ip { interface interface-type interface-number | { ipv4-address | ipv6 ipv6-address } [ vpn-instance vpn-instance-name ] }
缺省情况下，未指定发送HWTACACS报文使用的源IP地址，设备将使用到达HWTACACS服务器的路由出接口的主IPv4地址或IPv6地址作为发送HWTACACS报文的源IP地址。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 设置设备发送HWTACACS报文使用的源IP地址。
nas-ip { ipv4-address | interface interface-type interface-number | ipv6 ipv6-address }
缺省情况下，未指定设备发送HWTACACS报文使用的源IP地址，使用系统视图下由命令hwtacacs nas-ip指定的源IP地址。
接入用户通常以“userid@isp-name”的格式命名，“@”后面的部分为ISP域名，设备通过该域名决定将用户归于哪个ISP域的。由于有些HWTACACS服务器不能接受携带有ISP域名的用户名，因此就需要设备首先将用户名中携带的ISP域名去除后再传送给该类HWTACACS服务器。通过设置发送给HWTACACS服务器的用户名格式，就可以选择发送HWTACACS服务器的用户名中是否要携带ISP域名。
设备通过发送计费报文，向HWTACACS服务器报告在线用户的数据流量统计值，该值的单位可配。
如果要在两个乃至两个以上的ISP域中引用相同的HWTACACS方案，建议设置该HWTACACS方案允许用户名中携带ISP域名，使得HWTACACS服务器端可以根据ISP域名来区分不同的用户。
为保证HWTACACS服务器计费的准确性，设备上设置的发送给HWTACACS服务器的数据流或者数据包的单位应与HWTACACS服务器上的流量统计单位保持一致。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 设置发送给HWTACACS服务器的用户名格式。
user-name-format { keep-original | with-domain | without-domain }
缺省情况下，发送给HWTACACS服务器的用户名携带ISP域名。
(4) 设置发送给HWTACACS服务器的数据流或者数据包的单位。
data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } } *
当用户请求断开连接或者设备强行切断用户连接的情况下，设备会向HWTACACS计费服务器发送停止计费请求报文，通过开启对无响应的HWTACACS停止计费请求报文的缓存功能，将其缓存在本机上，然后发送直到HWTACACS计费服务器产生响应，或者在发起停止计费请求报文的尝试次数达到指定的最大值后将其丢弃。
(1) 进入系统视图。
system-view
(2) 进入HWTACACS方案视图。
hwtacacs scheme hwtacacs-scheme-name
(3) 开启对无响应的HWTACACS停止计费请求报文的缓存功能。
stop-accounting-buffer enable
缺省情况下，设备缓存未得到响应的HWTACACS计费请求报文。
(4) （可选）设置发起HWTACACS停止计费请求的最大尝试次数。
retry stop-accounting retries
缺省情况下，发起HWTACACS停止计费请求的最大尝试次数为100。
完成上述配置后，在任意视图下执行display命令可以显示配置后HWTACACS的运行情况，通过查看显示信息验证配置的效果。
在用户视图下，执行reset命令可以清除相关统计信息。
表1-2 HWTACACS显示和维护
|
操作 |
命令 |
|
查看所有或指定HWTACACS方案的配置信息或统计信息 |
display hwtacacs scheme [ hwtacacs-scheme-name [ statistics ] ] |
|
显示缓存的HWTACACS停止计费请求报文的相关信息 |
display stop-accounting-buffer hwtacacs-scheme hwtacacs-scheme-name |
|
清除HWTACACS协议的统计信息 |
reset hwtacacs statistics { accounting | all | authentication | authorization } |
|
清除缓存的HWTACACS停止计费请求报文 |
reset stop-accounting-buffer hwtacacs-scheme hwtacacs-scheme-name |
在多ISP的应用环境中，不同ISP域的用户有可能接入同一台设备。而且各ISP用户的用户属性（例如用户名及密码构成、服务类型/权限等）有可能不相同，因此有必要通过设置ISP域把它们区分开，并为每个ISP域单独配置一套认证、授权、计费方法及ISP域的相关属性。
对于设备来说，每个接入用户都属于一个ISP域。系统中最多可以配置16个ISP域，包括一个系统缺省存在的名称为system的ISP域。如果某个用户在登录时没有提供ISP域名，系统将把它归于缺省的ISP域。系统缺省的ISP域可以手工修改为一个指定的ISP域；如果用户所属的ISP域下未应用任何认证、授权、计费方法，系统将使用缺省的认证、授权、计费方法，分别为本地认证、本地授权和本地计费。
用户认证时，设备将按照如下先后顺序为其选择认证域：接入模块指定的认证域-->用户名中指定的ISP域-->系统缺省的ISP域。其中，接入模块是否支持指定认证域由各接入模块决定。如果根据以上原则决定的认证域在设备上不存在，但设备上为未知域名的用户指定了ISP域，则最终使用该指定的ISP域认证，否则，用户将无法认证。
一个ISP域被配置为缺省的ISP域后，将不能够被删除，必须首先使用命令undo domain default enable将其修改为非缺省ISP域，然后才可以被删除。
系统缺省存在的system域只能被修改，不能被删除。
(1) 进入系统视图。
system-view
(2) 创建ISP域并进入其视图。
domain isp-name
缺省情况下，存在一个的ISP域，名称为system。
(1) 进入系统视图。
system-view
(2) 配置缺省的ISP域。
domain default enable isp-name
缺省情况下，系统缺省的ISP域为system。
通过域的状态（active、block）控制是否允许该域中的用户请求网络服务。
(1) 进入系统视图。
system-view
(2) 进入ISP域视图。
domain isp-name
(3) 设置ISP域的状态。
state { active | block }
缺省情况下，当前ISP域处于活动状态，即允许任何属于该域的用户请求网络服务。
ISP域下可配置如下授权属性：
· ACL：用户被授权访问匹配指定ACL的网络资源。
· CAR：用户流量将受到指定的监管动作控制。
· 可点播的最大节目数：用户可以同时点播的最大节目数。
· IPv4地址池：用户可以从指定的地址池中分配得到一个IPv4地址。
· IPv6地址池：用户可以从指定的地址池中分配得到一个IPv6地址。
· 重定向URL：用户认证成功后，首次访问网络时将被推送此URL提供的Web页面。
· 用户组：用户将继承该用户组中的所有属性。
用户认证成功之后，优先采用服务器下发的属性值，其次采用ISP域下配置的属性值。
(1) 进入系统视图。
system-view
(2) 进入ISP域视图。
domain isp-name
(3) 设置当前ISP域下的用户授权属性。
authorization-attribute user-group user-group-name
无授权属性。
配置ISP域的AAA认证方法时，需要注意的是，当使用HWTACACS方案进行用户角色切换认证时，系统使用用户输入的用户角色切换用户名进行角色切换认证。
配置前的准备工作：
· 确定要配置的接入方式或者服务类型。AAA可以对不同的接入方式和服务类型配置不同的认证方案。
· 确定是否为所有的接入方式或服务类型配置缺省的认证方法，缺省的认证方法对所有接入用户都起作用，但其优先级低于为具体接入方式或服务类型配置的认证方法。
(1) 进入系统视图。
system-view
(2) 进入ISP域视图。
domain isp-name
(3) （可选）为当前ISP域配置缺省的认证方法。
authentication default { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，当前ISP域的缺省认证方法为local。
(4) 为指定类型的用户或服务配置认证方法。
¡ 为login用户配置认证方法。
authentication login { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，login用户采用缺省的认证方法。
¡ 配置用户角色切换认证方法。
authentication super hwtacacs-scheme hwtacacs-scheme-name
缺省情况下，用户角色切换认证采用缺省的认证方法。
配置前的准备工作：
· 确定要配置的接入方式或者服务类型，AAA可以按照不同的接入方式和服务类型进行AAA授权的配置。
· 确定是否为所有的接入方式或服务类型配置缺省的授权方法，缺省的授权方法对所有接入用户都起作用，但其优先级低于为具体接入方式或服务类型配置的授权方法。
(1) 进入系统视图。
system-view
(2) 进入ISP域视图。
domain isp-name
(3) （可选）为当前ISP域配置缺省的授权方法。
authorization default { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，当前ISP域的缺省授权方法为local。
(4) 为指定类型的用户或服务配置授权方法。
¡ 配置命令行授权方法。
authorization command { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，命令行授权采用缺省的授权方法。
¡ 为login用户配置授权方法。
authorization login { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，login用户采用缺省的授权方法。
配置ISP域的AAA认证方法时，需要注意的是：
· 不支持对FTP类型login用户进行计费。
· 本地计费仅用于配合本地用户视图下的access-limit命令来实现对本地用户连接数的限制功能。
配置前的准备工作：
· 确定要配置的接入方式或者服务类型，AAA可以按照不同的接入方式和服务类型进行AAA计费的配置。
· 确定是否为所有的接入方式或服务类型配置缺省的计费方法，缺省的计费方法对所有接入用户都起作用，但其优先级低于为具体接入方式或服务类型配置的计费方法。
(1) 进入系统视图。
system-view
(2) 进入ISP域视图。
domain isp-name
(3) （可选）为当前ISP域配置缺省的计费方法。
accounting default { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，当前ISP域的缺省计费方法为local。
(4) 为指定类型的用户配置计费方法。
¡ 配置命令行计费方法。
accounting command hwtacacs-scheme hwtacacs-scheme-name
缺省情况下，命令行计费采用缺省的计费方法。
¡ 为login用户配置计费方法。
accounting login { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
缺省情况下，login用户采用缺省的计费方法。
完成上述配置后，在任意视图下执行display命令可以显示配置后AAA的运行情况，通过查看显示信息验证配置的效果。
表1-3 ISP域显示和维护
|
操作 |
命令 |
|
显示所有或指定ISP域的配置信息 |
display domain [ isp-name ] |
通过配置同时在线的最大用户连接数，可以限制采用指定登录方式（FTP、SSH、Telnet等）同时接入设备的在线用户数。
该配置对于通过任何一种认证方式（none、password或者scheme）接入设备的用户都生效。
(1) 进入系统视图。
system-view
(2) 配置同时在线的最大用户连接数。
aaa session-limit { ftp | http | https | ssh | telnet } max-sessions
缺省情况下，最大用户连接数为32。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
