H3C配置AAA文档

1、文档来源为 :从网络收集整理 .word 版本可编辑 .欢迎下载支持 AAA 认证配置方法： Telnet 用户通过 HWTACACS 服务器认证、 授权、计 费的应用配置 1. 组网需求 通过配置 Switch 实现 HWTACACS 服务器对登录 Switch 的用户进行认证、授权、计费。 一台 HWTACACS 服务器（担当认证、 授权、 计费服务 器的职责）与 Switch 相连，服务器 IP 地址为 Switch 与认证、 授权、计费 HWTACACS 服务器交互报 文时的共享密钥均为 expert ，发送给 HWTACACS 服务器的用户名中不带域名。 在 HWTACACS 服务器

2、上设置与 Switch 交互报文时的 共享密钥为 expert 。 2. 组网图 图 1-7 Telnet 用户远端 HWTACACS 认证、授权和计费配置组 网图 Telnet user Switch HWTACACS server 3. 配置步骤 # 配置各接口的 IP 地址（略）。 # 开启 Switch 的 Telnet 服务器功能。 system-view Switch telnet server enable # 配置 Telnet 用户登录采用 AAA 认证方式。 Switch user-interface vty 0 4 Switch-ui-vty0-4 authenticat

3、ion-mode scheme Switch-ui-vty0-4 quit # 配置 HWTACACS 方案。 1-32 Switch hwtacacs scheme hwtac Switch-hwtacacs-hwtac primary authentication 49 49 expert Switch-hwtacacs-hwtacprimary authorization Switch-hwtacacs-hwtac primary accounting 49 Switch-hwtacacs-hwtackey authentication Switch-hwtacacs-hwtac key

4、 authorization expert Switch-hwtacacs-hwtac key accounting expert Switch-hwtacacs-hwtac user-name-format without-domain Switch-hwtacacs-hwtac quit # 配置 ISP 域的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication login hwtacacs-scheme hwtac Switch-isp-bbb authorization login hwtacacs-scheme hwtac

5、Switch-isp-bbb accounting login hwtacacs-scheme hwtac Switch-isp-bbb quit # 或者不区分用户类型，配置缺省的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication default hwtacacs-scheme hwtac Switch-isp-bbb authorization default hwtacacs-scheme hwtac Switch-isp-bbb accounting default hwtacacs-scheme hwtac 使用 Teln

6、et 登录时输入用户名为 userid bbb ，以使用域 bbb 进行认证。 Telnet 用户通过 local 认证、 HWTACACS 授权、 RADIUS 计费的应用配置 1. 组网需求 通过配置Switch实现local认证，HWTACACS 授权和 RADIUS 计费。 Telnet 用户的用户名和密码 为 hello 。 一台 HWTACACS 服务器（担当授权服务器的职责）与 Switch 相连，服务器 IP 地址为 Switch 与授权 HWTACACS 服务器交互报文时的共享密 钥均为 expert ，发送给 HWTACACS 服务器的用户名中不带域名。 一台 RADIUS

7、 服务器（担当计费服务器的职责）与 Switch 相连，服务器 IP 地址为 Switch 与计费 RADIUS 服务器交互报文时的共享密钥为 expert 。 其它接入如果需要此类 AAA 应用，和 Telnet 接入在域的 AAA 配置上类似，只有接入的区分。 1-33 2. 组网图 图 1-8 Tel net 用户 local 认证、H WTACACS 授权和 RADIUS 计 费配置组网图 3. 配置步骤 # 配置各接口的 IP 地址（略）。 # 开启 Switch 的 Telnet 服务器功能。 system-view Switch telnet server enable # 配置

8、 Telnet 用户登录采用 AAA 认证方式。 Switch user-interface vty 0 4 Switch-ui-vty0-4 authentication-mode scheme Switch-ui-vty0-4 quit # 配置 HWTACACS 方案。 Switch hwtacacs scheme hwtac Switch-hwtacacs-hwtac primary authorization 49 Switch-hwtacacs-hwtac key authorization expert Switch-hwtacacs-hwtac user-name-format

9、 without-domain Switch-hwtacacs-hwtac quit # 配置 RADIUS 方案。 Switch radius scheme rd Switch-radius-rd primary accounting 1813 Switch-radius-rd key accounting expert Switch-radius-rd server-type extended Switch-radius-rd user-name-format without-domain Switch-radius-rd quit # 创建本地用户 hello 。 Switch loca

10、l-user hello Switch-luser-hello service-type telnet Switch-luser-hello password simple hello Switch-luser-hello quit # 配置 ISP 域的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication login local 1-34 Switch-isp-bbb authorization login hwtacacs-scheme hwtac Switch-isp-bbb accounting login radius-sc

11、heme rd Switch-isp-bbb quit # 或者不区分用户类型，配置缺省的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication default local Switch-isp-bbb authorization default hwtacacs-scheme hwtac Switch-isp-bbb accounting default radius-scheme imc 使用 Telnet 登录时输入用户名为 hellobbb ，以使用域 bbb 进行认证。 SSH 用户通过 RADIUS 服务器认证、授权、计费的

12、 应用配置 1. 组网需求 如 图1-9所示，配置 Switch 实现 RADIUS 服务器对登录 Switch的SSH用户进行认证、授权和计费。 由一台 iMC 服务器担当认证 /授权、计费 RADIUS 服务 器的职责，服务器 IP 地址为 Switch 与认证 /授权、计费 RADIUS 服务器交互报文时 的共享密钥均为 expert ，向 RADIUS 服务器发送的用户名带域名。服务器根据用户名携带的域 名来区分提供给用户的服务。 2. 组网图 图1-9 SSH 用户 RADIUS 认证、授权和计费配置组网图 SSH user Switch RADIUS server Vlan-int

13、2 3. 配置步骤 （1）配置 RADIUS server （iMC） 下面以 iMC 为例（使用 iMC 版本为： iMC PLAT 3.20-R2602 、iMC UAM 3.60-E6102 ），说明 RADIUS server 的基本配置。 # 增加接入设备。 登录进入 iMC 管理平台，选择“业务”页签，单击导航 树中的 接入业务 /接入设备配置 菜单项，进 入接入设备配置页面，在该页面中单击“增加”按钮，进 入增加接入设备页面。 设置与 Switch 交互报文时的认证、计费共享密钥为 expert ； 设置认证及计费的端口号分别为 1812 和1813 ； 1-35 选择业务类型为

14、设备管理业务； 选择接入设备类型为 H3C ； 选择或手工增加接入设备，添加 IP 地址为 的接入设 备。 图 1-10 增加接入设备 # 增加设备管理用户。 选择“用户” 页签，单击导航树中的 接入用户视图 /设备管 理用户 菜单项，进入设备管理用户列表 页面，在该页面中单击 按钮，进入增加设备管理页 面。 添加用户名 hellobbb 和密码； 选择服务类型为 SSH ； 增加所管理设备的 IP 地址， IP 地址范围为“ 1-36 图1-11 增加设备管理用户 (2) 配置 Switch #配置VLAN接口 2的IP地址，SSH客户端将通过该地 址连接 SSH 服务器。 system-v

15、iew Switch interface vlan-interface 2 Switch-Vlan-interface2 ip address Switch-Vlan-interface2 quit # 配置 VLAN 接口 3 的 IP 地址， Switch 将通过该地址与 服务器通信。 Switch interface vlan-interface 3 Switch-Vlan-interface3 ip address Switch-Vlan-interface3 quit # 生成 RSA 及 DSA 密钥对，并启动 SSH 服务器。 Switch public-key local cr

16、eate rsa Switch public-key local create dsa Switch ssh server enable # 配置 SSH 用户登录采用 AAA 认证方式。 Switch user-interface vty 0 4 Switch-ui-vty0-4 authentication-mode scheme 1-37 # 配置用户远程登录 Switch 的协议为 SSH 。 Switch-ui-vty0-4 protocol inbound ssh Switch-ui-vty0-4 quit # 配置 RADIUS 方案。 Switch radius scheme

17、rad Switch-radius-rad primary authentication 1812 Switch-radius-rad primary accounting 1813 Switch-radius-rad key authentication expert Switch-radius-rad key accounting expert Switch-radius-rad user-name-format with-domain Switch-radius-rad quit # 配置 ISP 域的 AAA 方案。 Switch domain bbb Switch-isp-bbb authentication login radius-scheme rad Switch-isp-bbb authorization login radius-scheme rad Swit