创建RADIUS服务器模板-平板测评-测机网

华为设备AAA认证配置详解：从基础到实践**

在网络管理中，身份认证、授权和计账（Authentication, Authorization, and Accounting，简称AAA）是保障网络安全、规范用户行为、进行精细化控制的关键机制，华为设备作为网络领域的重要参与者，提供了强大且灵活的AAA认证配置方案，本文将详细介绍华为设备上AAA认证的配置原理、步骤及相关注意事项,帮助读者理解和掌握这一重要技能。

AAA基础概述

AAA是一种网络安全管理框架,它将三种安全功能整合在一起：

认证 (Authentication)：验证用户身份的合法性，即“你是谁？”，常见的认证方式有密码认证、RADIUS认证、TACACS+认证、数字证书认证等。
授权 (Authorization)：在用户通过认证后，根据其身份和策略授予相应的网络访问权限和服务，即“你能做什么？”,授权用户只能访问特定资源或使用特定命令。
计账 (Accounting)：记录用户的活动日志，包括登录时间、操作命令、流量使用等，用于审计、计费或故障排查，即“你做了什么？”。

在华为设备中，AAA通常通过RADIUS（Remote Authentication Dial-In User Service）或TACACS+（Terminal Access Controller Access-Control System Plus）协议来实现与后端认证服务器的交互，RADIUS更侧重于网络接入的认证和计账，而TACACS+则更侧重于设备管理的命令级授权。

华为AAA认证配置步骤

华为设备（如交换机、路由器、防火墙等）的AAA配置通常遵循以下逻辑步骤：

配置AAA方案

首先需要定义一个AAA方案，明确认证、授权、计账分别采用哪种方式和服务器。

进入系统视图：
```
system-view
```
创建AAA方案（例如命名为aaa_scheme1）：
```
aaa scheme aaa_scheme1
```
配置认证方法：可以针对登录用户（如Telnet、SSH）、FTP用户、PPP用户等不同类型用户配置认证方法。
- 登录认证（以local和radius为例）：
```
authentication login default radius local
```
  表示先尝试RADIUS服务器认证，失败后使用本地认证（local user database）。
- 授权方法（以radius为例）：
```
authorization command default radius
```
  表示对用户输入的命令进行授权时,使用RADIUS服务器。
- 计账方法（以radius为例）：
```
accounting default start-stop radius
```
  表示对用户会话进行start和stop模式的计账,记录到RADIUS服务器。

配置AAA服务器模板

AAA方案中指定的RADIUS或TACACS+服务器需要单独配置服务器模板，包括服务器IP地址、端口、共享密钥等信息。

创建RADIUS服务器模板（例如命名为radius_server1）：
```
radius-server template radius_server1
```
配置服务器IP地址和认证/计账端口（默认认证端口1812，计账端口1813）：
```
radius-server authentication 192.168.1.100 1812
radius-server accounting 192.168.1.100 1813
```
配置共享密钥（必须与RADIUS服务器配置一致）：
```
radius-server shared-key cipher Huawei123
```
（可选）配置其他参数，如超时时间、重试次数等：
```
radius-server timeout 5
radius-server retry 3
```

应用AAA方案

将配置好的AAA方案应用到具体的接口、用户接口或域上。

应用到接口（例如以太网接口GE0/0/1）：
```
interface GigabitEthernet0/0/1
 dot1x
 aaa authentication access-bound default aaa_scheme1
```
这表示对该接口接入的用户使用aaa_scheme1方案进行认证。

应用到VTY用户界面（用于Telnet/SSH登录）：

user-interface vty 0 4
 authentication-mode aaa
 aaa authentication login default aaa_scheme1

应用到Console用户界面（用于Console线登录）：

user-interface console 0
 authentication-mode aaa
 aaa authentication login default aaa_scheme1

应用到AAA域（更灵活的方式）：

aaa domain example.com
 authentication login default radius local
 authorization default radius
 accounting default start-stop radius
 radius-server template radius_server1

然后在用户接入时指定域,或通过配置默认域。

（可选）配置本地用户

如果AAA方案中使用了local认证方式,则需要配置本地用户数据库。

local-user admin password cipher Admin@123
local-user admin privilege level 15
local-user admin service-type telnet ssh

这创建了一个本地用户admin，密码为Admin@123，权限级别为15（最高）,允许通过Telnet和SSH登录。

配置示例

以下是一个简单的华为设备通过RADIUS服务器进行用户登录认证的配置示例：

 radius-server authentication 192.168.1.100 1812
 radius-server shared-key cipher admin123
# 创建AAA方案
aaa scheme aaa_login
 authentication login default radius_admin local
 authorization command default radius_admin
 accounting default start-stop radius_admin
# 应用到VTY用户界面
user-interface vty 0 4
 authentication-mode aaa
 aaa authentication login default aaa_login

常见问题与注意事项

共享密钥匹配：确保华为设备与RADIUS/TACACS+服务器配置的共享密钥完全一致,否则认证会失败。
服务器可达性：确保华为设备与认证服务器之间的网络可达，包括IP地址、路由和防火墙策略。
认证方式顺序：配置认证方法时，多个方法用空格分隔，设备会按从左到右的顺序尝试,直到成功或所有方法都失败。
权限级别：本地用户的privilege level决定了其能执行的命令级别，如果使用RADIUS授权,服务器可以返回更精细的权限属性。
日志与调试：配置完成后，可以通过display aaa系列命令查看AAA配置和运行状态，如果认证失败，可以使用debugging aaa命令进行调试（注意：调试命令可能影响设备性能，谨慎使用）。
协议选择：RADIUS和TACACS+各有优缺点，RADIUS使用UDP，简单高效，但加密相对较弱；TACACS+使用TCP，加密更安全，且将授权和计账与认证分离，灵活性更高,根据实际需求选择。

华为设备的AAA认证配置是实现网络安全访问控制的核心环节，通过合理配置认证、授权和计账策略，并结合RADIUS或TACACS+服务器，可以有效地管理用户访问、提升网络安全性并进行行为审计，本文从基础概念到具体配置步骤和注意事项进行了阐述，希望能为读者在实际工作中配置华为设备AAA认证提供有益的参考，随着网络技术的发展，AAA配置也在不断演进,建议读者结合最新的华为官方文档进行深入学习。

创建RADIUS服务器模板

相关文章