投稿
  1. 首页
  2. 服务器知识

华为交换机aaa配置命令是什么

小夏•2023-4-24•服务器知识•阅读34

华为交换机aaa配置命令是什么,第1张

交换机具有性能价格比高、高度灵活、相对简单、易于实现等特点。所以，以太网技术已成为当今最重要的一种局域网组网技术，网络交换机也就成为了最普及的交换机。下面是我给大家整理的一些有关华为交换机aaa配置命令，希望对大家有帮助!

华为交换机aaa配置命令

[Huawei]aaa

[Huawei-aaa]authentication-scheme ren_zheng 配置AAA认证方案名为ren_zheng

[Huawei-aaa-authen-aaa]authentication-mode radius local 配置AAA认证模式为先Radius，如无响应则本地认证

[Huawei-aaa-authen-aaa]quit

[Huawei-aaa]accounting-scheme ji_fei 配置AAA计费方案名为ji_fei

[Huawei-aaa-accounting-ji_fei]accounting-mode radius 配置AAA计费模式为Radius服务器计费

[Huawei-aaa-accounting-ji_fei]accounting start-fail offline 配置当开始计费失败时，将用户离线

[Huawei-aaa-accounting-ji_fei]quit

二、配置Radius模板

[Huawei]radius-server template huawei_use 配置Raduis模板名为huawei_use

[Huawei-radius-huawei_use]radius-server authentication 192.168.1.254 1812 主radius认证服务地址和端口

[Huawei-radius-huawei_use]radius-server authentication 192.168.1.253 1812 secondary 备用认证服务器

[Huawei-radius-huawei_use]radius-server accounting 192.168.1.253 1812 主radius计费服务地址和端口

[Huawei-radius-huawei_use]radius-server accounting 192.168.1.253 1813 secondary 备用计费服务器

[Huawei-radius-huawei_use]radius-server shared-key cipher hello 配置设备与Radius通信的共享秘钥为hello

[Huawei-radius-huawei_use]radius-server retransmit 2 timeout 5 配置设备向Radius服务器发送请求报文的超时重传次数为2s，间隔为5s

[Huawei-radius-huawei_use]quit

三、在AAA用户域绑定要使用的AAA认证和Radius模板

[Huawei]aaa

[Huawei-aaa]domain huawei 配置AAA域，名称huawei

[Huawei-aaa-domain-huawei]authentication-scheme ren_zheng 在域中绑定AAA认证方案

[Huawei-aaa-domain-huawei]accounting-scheme ji_fei 在域中绑定AAA计费方案

[Huawei-aaa-domain-huawei]radius-server huawei_use 在域中绑定Radius模板

[Huawei-aaa-domain-huawei]quit

检查命令：

[Huawei]display radius-server configuration template huawei_use

------------------------------------------------------------------------------

Server-template-name : huawei_use

Protocol-version : standard

Traffic-unit : B

Shared-secret-key : aaYOZ$V^P35NZPO3JBXBHA!!

Timeout-interval(in second) : 5

Primary-authentication-server : 192.168.1.254 :1812 :-LoopBack:NULL Source-IP:0.0.0.0

Primary-accounting-server : 192.168.1.254 :1813 :-LoopBack:NULL Source-IP:0.0.0.0

Secondary-authentication-server : 192.168.1.253 :1812 :-LoopBack:NULL Source-IP:0.0.0.0

Secondary-accounting-server : 192.168.1.253 :1813 :-LoopBack:NULL Source-IP:0.0.0.0

Retransmission : 2

Domain-included : YES

NAS-IP-Address : 0.0.0.0

Calling-station-id MAC-format : xxxx-xxxx-xxxx

------------------------------------------------------------------------------

[Huawei]

[Huawei]display domain name huawei

Domain-name : huawei

Domain-state : Active

Authentication-scheme-name : ren_zheng

Accounting-scheme-name : ji_fei

Authorization-scheme-name : -

Service-scheme-name : -

RADIUS-server-template : huawei_use

HWTACACS-server-template : -

[Huawei]

session 2 AAA+HWTACACS进行认证、授权、计费(默认所有使用TCP端口49)

拓扑不变

HWTACACS(Huawei Terminal Access Controller Access Control System)协议是华为对TACACS进行了扩展的协议

HWTACACS是在TACACS(RFC1492)基础上进行了功能增强的一种安全协议。该协议与RADIUS协议类似，主要是通过“客户端—服务器”模式与HWTACACS服务器通信来实现多种用户的AAA功能。

HWTACACS与RADIUS的不同在于：

l RADIUS基于UDP协议，而HWTACACS基于TCP协议。

l RADIUS的认证和授权绑定在一起，而HWTACACS的认证和授权是独立的。

l RADIUS只对用户的密码进行加密，HWTACACS可以对整个报文进行加密。

[Huawei]aaa

[Huawei-aaa]authentication-scheme ren_zheng 配置AAA认证方案名为ren_zheng

[Huawei-aaa-authen-aaa]authentication-mode hwtacacs local 配置AAA认证模式为先hwtacacs，如无响应则本地认证

[Huawei-aaa-authen-aaa]authentication-super hwtacacs super 接入用户进行提权时，先进行hwtacacs认证，如无响应再本地认证

[Huawei-aaa-authen-aaa]quit

[Huawei]aaa

[Huawei-aaa]authorization-scheme shou_quan 配置AAA授权方案名为ren_zheng

[Huawei-aaa-author-aaa]authorization-mode hwtacacs local 配置AAA授权模式为先hwtacacs，如无响应则本地授权

[Huawei-aaa-author-aaa]quit

[Huawei-aaa]accounting-scheme ji_fei 配置AAA计费方案名为ji_fei

[Huawei-aaa-accounting-ji_fei]accounting-mode hwtacacs 配置AAA计费模式为hwtacacs服务器计费

[Huawei-aaa-accounting-ji_fei]accounting start-fail offline 配置当开始计费失败时，将用户离线

[Huawei-aaa-accounting-ji_fei]accounting relaltime 3 配置对用户进行实时计费，计费间隔为3min

[Huawei-aaa-accounting-ji_fei]quit

二、配置hwtacacs模板

[Huawei]hwtacacs-server template huawei_use 配置hwtacacs模板名为huawei_use

[Huawei-hwtacacs-huawei_use]hwtacacs-server authentication 192.168.1.254 49 主hwtacacs认证服务地址和端口

[Huawei-hwtacacs-huawei_use]hwtacacs-server authentication 192.168.1.253 49 secondary 备用认证服务器

[Huawei-hwtacacs-huawei_use]hwtacacs-server authorization 192.168.1.253 49 主hwtacacs授权服务地址和端口

[Huawei-hwtacacs-huawei_use]hwtacacs-server authorization 192.168.1.253 49 secondary 备用授权服务器

[Huawei-hwtacacs-huawei_use]hwtacacs-server accounting 192.168.1.253 49 主hwtacacs计费服务地址和端口

[Huawei-hwtacacs-huawei_use]hwtacacs-server accounting 192.168.1.253 49 secondary 备用计费服务器

[Huawei-hwtacacs-huawei_use]hwtacacs-server shared-key cipher hello 配置设备与hwtacacs通信的共享秘钥为hello

[Huawei-hwtacacs-huawei_use]quit

三、在AAA用户域绑定要使用的AAA认证和hwtacacs模板

[Huawei]aaa

[Huawei-aaa]domain huawei 配置AAA域，名称huawei

[Huawei-aaa-domain-huawei]authentication-scheme ren_zheng 在域中绑定AAA认证方案

[Huawei-aaa-domain-huawei]authorization-scheme shou_quan 在域中绑定AAA认证方案

[Huawei-aaa-domain-huawei]accounting-scheme ji_fei 在域中绑定AAA计费方案

[Huawei-aaa-domain-huawei]hwtacacs-server huawei_use 在域中绑定hwtacacs模板

[Huawei-aaa-domain-huawei]quit

检查命令：

[Huawei]display hwtacacs-server template huawei_use

---------------------------------------------------------------------------

HWTACACS-server template name : huawei_use

Primary-authentication-server : 192.168.1.254:49:-

Primary-authorization-server : 192.168.1.254:49-

Primary-accounting-server : 192.168.1.254:49:-

Secondary-authentication-server : 192.168.1.253:49:-

Secondary-authorization-server : 192.168.1.253:49:-

Secondary-accounting-server : 192.168.1.253:49:-

Current-authentication-server : 192.168.1.254:49:-

Current-authorization-server : 192.168.1.254:49:-

Current-accounting-server : 192.168.1.254:49:-

Source-IP-address : 0.0.0.0

Shared-key : hello

Quiet-interval(min) : 5

Response-timeout-Interval(sec) : 5

Domain-included : Yes

Traffic-unit : B

---------------------------------------------------------------------------

Total 1,1 printed

[Huawei]

[Huawei]display domain name huawei

Domain-name : huawei

Domain-state : Active

Authentication-scheme-name : ren_zheng

Accounting-scheme-name : ji_fei

Authorization-scheme-name : shou_quan

Service-scheme-name : -

RADIUS-server-template : -

HWTACACS-server-template : huawei_use

[Huawei]

配置案例； 使用管理员权限实现H3C交换机接入的TACACS认证

一、登陆系统；默认用户名为acsadmin密码为default

二、服务器端：

1、创建用户（登陆网络设备的用户）

填写用户信息，带*为必填

2、设置用户登录级别

定义用户名

设置默认权限和最高权限（如果需要设置其他权限可以自己定义）

3、设置命令授权级别

4、创建设备认证策略

三、设备端配置

H3C 交换机

hwtacacs scheme 定义TACACS名称

 primary authentication“认证服务器地址”

 primary authorization“认证服务器地址”

 primary accounting“认证服务器地址”

 key authentication“认证密钥”

 key authorization“认证密钥”

 key accounting“认证密钥”

 user-name-format without-domain

#

domain TACACS名称

 authentication login hwtacacs-schemefywasu_tacacs local

 authentication super hwtacacs-schemefywasu_tacacs  local

 authorization command hwtacacs-schemefywasu_tacacs  local

 accounting command hwtacacs-schemefywasu_tacacs  local

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

domain system

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

domain defaultenable fywasu_tacacs   指定定义的TACACS域为默认认证域

user-interface vty 015

 authentication-mode scheme

 user privilege level 3

1.对于交换机，最好console不要配置认证，万一出现问题（如人为设置错误等），你console无法进去，最好配置个本地用户。

2.配置tacacs就可以了。没必要配置radius(radius还不能对命令进行鉴权)，tacacs，完全可以对用户、等级（exec）、命令（command）进行授权。

给个配置给你参考（华为），我这配置，对于console口是没有去aaa服务器的。

domain mydepart

scheme hwtacacs-scheme mydepart local

vlan-assignment-mode integer

access-limit disable

state active

idle-cut disable

self-service-url disable

hwtacacs scheme mydepart

primary authentication 192.168.1.2

secondary authentication 192.168.1.3

primary authorization 192.168.1.2

secondary authorization 192.168.1.3

primary accounting 192.168.1.2

secondary accounting 192.168.1.3

key authentication mykey

key authorization mykey

key accounting mykey

user-name-format without-domain

local-user myuser

#

super password level 3 cipher sdfsdfgsdfs

#

hwtacacs nas-ip 192.168.1.1

user-interface vty 0 4

acl 2000 inbound

authentication-mode scheme command-authorization

user privilege level 3

idle-timeout 5 0

protocol inbound telnet

user-interface con 0

authentication-mode password

set authentication password cipher sdfsdfsdfwer

idle-timeout 5 0

欢迎分享，转载请注明来源：夏雨云

原文地址:https://www.xiayuyun.com/zonghe/294138.html

赞 (0)
打赏 微信扫一扫微信扫一扫 支付宝扫一扫支付宝扫一扫
小夏小夏管理员组
00
上一篇 2023-04-24
下一篇2023-04-24

发表评论

登录后才能评论

评论列表（0条）

    保存