H3C S3600交换机AAA认证配置

1.对于交换机，最好console不要配置认证，万一出现问题（如人为设置错误等），你console无法进去，最好配置个本地用户。

2.配置tacacs就可以了。没必要配置radius(radius还不能对命令进行鉴权)，tacacs，完全可以对用户、等级（exec）、命令（command）进行授权。

给个配置给你参考（华为），我这配置，对于console口是没有去aaa服务器的。

domain mydepart

scheme hwtacacs-scheme mydepart local

vlan-assignment-mode integer

access-limit disable

state active

idle-cut disable

self-service-url disable

hwtacacs scheme mydepart

primary authentication 192.168.1.2

secondary authentication 192.168.1.3

primary authorization 192.168.1.2

secondary authorization 192.168.1.3

primary accounting 192.168.1.2

secondary accounting 192.168.1.3

key authentication mykey

key authorization mykey

key accounting mykey

user-name-format without-domain

local-user myuser

#

super password level 3 cipher sdfsdfgsdfs

#

hwtacacs nas-ip 192.168.1.1

user-interface vty 0 4

acl 2000 inbound

authentication-mode scheme command-authorization

user privilege level 3

idle-timeout 5 0

protocol inbound telnet

user-interface con 0

authentication-mode password

set authentication password cipher sdfsdfsdfwer

idle-timeout 5 0

AAA 通常采用“客户端—服务器”结构。这种结构既具有良好的可扩展性，又便于集中管理用户信息。认证：

     不认证：对用户非常信任，不对其进行合法检查，一般情况下不采用这种方式。 

     本地认证：将用户信息配置在网络接入服务器上。本地认证的优点是速度快，可以为运营降 低成本，缺点是存储信息量受设备硬件条件限制。 

     远端认证：将用户信息配置在认证服务器上。支持通过 RADIUS（Remote Authentication Dial In User Service）协议或 HWTACACS（HuaWei Terminal Access Controller Access Control System）协议进行远端认证。 

授权：

　 AAA 支持以下授权方式： 

    不授权：不对用户进行授权处理。 

    本地授权：根据网络接入服务器为本地用户账号配置的相关属性进行授权。 

     HWTACACS 授权：由 HWTACACS 服务器对用户进行授权。 

 if-authenticated 授权：如果用户通过了认证，而且使用的认证模式是本地或远端认证，则用户 授权通过。 

     RADIUS 认证成功后授权：RADIUS 协议的认证和授权是绑定在一起的，不能单独使用 RADIUS 进行授权。

计费：

     AAA 支持以下计费方式： 

     不计费：不对用户计费。 

     远端计费：支持通过 RADIUS 服务器或 HWTACACS 服务器进行远端计费。

二、RADIUS协议

远程认证拨号用户服务 RADIUS（Remote Authentication Dial-In User Service）是一种分布式的、客 户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全 性、又允许远程用户访问的各种网络环境中。该协议定义了基于 UDP 的 RADIUS 帧格式及其消息 传输机制，并规定 UDP 端口 1812、1813 分别作为认证、计费端口。

RADIUS 最初仅是针对拨号用户的 AAA 协议，后来随着用户接入方式的多样化发展，RADIUS 也 适应多种用户接入方式，如以太网接入、ADSL 接入。它通过认证授权来提供接入服务，通过计费 来收集、记录用户对网络资源的使用。

RADIUS服务器

RA

---