RADIUS方式认证、授权和计费配置
使用RADIUS协议对接入用户进行认证、授权和计费的配置方法，因为RADIUS中的认证和授权是同步进行的，只要使能了其认证功能，也就同时使能了其授权功能。
一、配置AAA方案
在RADIUS方式中要配置采用RADIUS认证、授权和计费方式。配置认证模式为RADIUS认证时还可以配置本地认证或不认证为备份认证。配置备份认证（授权）可以避免单一认证（授权）模式无响应（不包括认证没有通过的情况）而造成的认证失败。同理，配置计费模式为RADIUS计费时还可以配置不计费模式为备份计费。
二、配置RADIUS服务器模板
配置RADIUS服务器模板关键是用来配置与RADIUS服务器进行通信的相关参数，如RADIUS服务器的IP地址和端口号，与RADIUS服务器通信时所使用的共享秘钥等。像RADIUS用户名格式、流量计算单位、RADIUS请求报文的超时重传次数等参数都有缺省配置，用户可以根据实际需要进行修改。RADIUS服务器模板也是要在对应的域的AAA方案中绑定才能得到应用。
RADIUS服务器模板下的配置如RADIUS用户名格式、RADIUS共享秘钥等要与RADIUS服务器的对应配置一致。
三、RADIUS认证、授权和计费配置示例
如上拓扑，用户同处于huawei域，通过SwitchA访问网络。SwitchB作为目的网络（DestinationNetwork）的接入服务器（NAS）。现要在SwitchB上采用以下RADIUS方式的AAA方案控制用户访问目的网络。
（1）为了提高认证的可靠性，SwitchB对接入用户先用RADIUS服务器进行认证，如果认证没有响应，在使用本地认证。
（2）RADIUS服务器129.7.66.66/24作为主用认证服务器和计费服务器，RADIUS服务器129.7.66.67/24作为备用认证服务器和计费服务器，认证端口号缺省为1812，计费端口号缺省为1813。
1、基本配置思路
根据RADIUS配置流程，结合本例具体要求得出以下基本配置思路（均在SwitchB上配置，没有特别的业务方案要求，所以可以无需配置业务方案，直接采用缺省配置即可）：
（1）配置AAA方案，包括RADIUS认证方案和计费方案。
（2）配置RADIUS服务器模板。
（3）在huawei域下绑定上面的RADIUS认证、计费方案和RADIUS服务器模板。
2、具体配置步骤
（1）配置RADIUS认证方案和计费方案。以本地认证作为备份认证方式。
[Huawei]AAA
[Huawei-aaa]authentication-scheme auth #--配置认证方案名为auth
[Huawei-aaa-authen-auth]authentication-mode radius local #--配置认证模式为先进行RADIUS认证，RADIUS认证服务器无响应后再进行本地认证。
[Huawei-aaa-authen-auth]quit
[Huawei-aaa]accounting-scheme abc #--配置计费方案abc
[Huawei-aaa-accounting-abc]accounting-mode radius #--配置计费模式为RADIUS计费模式
[Huawei-aaa-accounting-abc]accounting start-fail online #--配置当开始计费失败时，允许用户上线
[Huawei-aaa-accounting-abc]quit
（2）配置RADIUS服务器模板。
<Huawei>system-view
[Huawei]radius-server template shiva #--配置RADIUS服务器模板shiva
[Huawei-radius-shiva]radius-server authentication 129.7.66.66 1812 #--配置RADIUS主用认证服务器的IP地址和端口
[Huawei-radius-shiva]radius-server accounting 129.7.66.66 1813 #--配置RADIUS主用计费服务器的IP地址和端口
[Huawei-radius-shiva]radius-server authentication 129.7.66.67 1812 secondary #--配置RADIUS备用认证服务器的IP地址和端口
[Huawei-radius-shiva]radius-serveraccounting 129.7.66.67 1813 secondary #--配置RADIUS备用计费服务器的IP地址和端口
[Huawei-radius-shiva]radius-server shared-key cipher hello #--配置RADIUS服务器的共享秘钥
[Huawei-radius-shiva]radius-serve retransmit 2 #--配置设备向RADIUS服务器发送请求报文的超时重传次数为2
[Huawei-radius-shiva]quit
（3）配置huawei域，并在域下绑定以上配置的认证方案、计费方案和RADIUS服务器模板。
[Huawei-aaa]domain hauwei
[Huawei-aaa-doamain-hauwei]authentication-scheme auth
[Huawei-aaa-doamain-hauwei]accounting-scheme abc
[Huawei-aaa-doamain-hauwei]radius-server shiva
配置好后在SwitchB上执行displayradius-server configuration template命令查看该RADIUS服务器模板的配置。
模拟器测试：
如上拓扑网络，LSWB作为目的网络Server1所在网络的接入服务器NAS，采用RADIUS认证授权模式，控制用户访问目的网络。
1、基础配置，配置端口、VLAN、IP和OSPF，使网络连通
关于云的设置，这里想用云连接到主机，在主机中架设RADIUS服务器做实验。
云绑定虚拟网卡VMnet8，一开始测试时就是使用VMnet8的默认配置，即使用DHCP分配的IP地址，这时的IPv4网关是空的。下面是修改后的。
对于VM虚拟机，实际上是模拟了交换机、DHCP服务器，NAT路由器的部件，宿主主机上模拟出的VMnet8网卡，是连接在虚拟的交换机上，同时这个网段中同时配置了默认的网关192.168.138.2，也就是说，虽然我们在默认配置中看VMnet8的配置是没有网关配置，但是默认已经有网关了，如果我们在手工配置其IP和网关，会提示在同网段中有多个网关。
一开始配置测试环境时，因为使用默认的VMnet8配置，一直无法PING通主机，就是因为主机VMnet8的默认网关是虚拟交换机配置的，即不是我们拓扑中LSWB的192.168.138.3，所以不通。
2、配置RADIUS认证方案和计费方案，以本地认证作为备份认证方式。
3、配置RADIUS服务器模板
4、配置huawei域，并在域下绑定以上配置的认证方案、计费方案和RADIUS服务器模板。
——在这里，SwitchB作为网络接入服务器NAS，使能了AAA功能的设备就成为NAS，在设备上使能了AAA功能后，当用户要通过AAA客户端访问某个网络前，需要先从AAA服务器中获得访问该网络的权限。
这里无法做完整的测试实验，因为用户端需要支持相应的用户端软件，如支持802.1x协议的软件，支持EAPOL（Extensible Authentication Protocol over LAN，局域网上的可扩展认证协议），来支持用户端向NAS发送认证报文。
HWTACACS方式认证、授权和计费配置
HWTACACS协议与RADIUS协议类似，主要通过C/S模式与HWTACACS服务器通信来实现对接入用户进行认证、授权和计费。与RADIUS相比，HWTACACS具有更加可靠的传输和加密特性，更加适合于安全控制。
一、配置AAA方案
采用HWTACACS方式时，需要配置HWTACACS认证、授权和计费模式，同样还可以配置本地认证、授权或不认证、不授权为备份认证或授权模式。配置备份认证可以避免单一认证或授权模式无响应而造成的认证或授权失败。
二、配置HWTACACS服务器模板
与RADIUS服务器模板配置一样，配置HWTACACS服务器模板中的关键步骤也就是指定服务器的IP地址和端口号、HWTACACS共享秘钥。其他的步骤如配置HWTACACS用户名格式、流量单位等都有缺省配置，用户可根据实际需要进行修改。
HWTACACS服务器模板下配置的HWTACACS用户名格式、HWTACACS共享秘钥等要与HWTACACS服务器上的对应配置一致。
三、HWTACACS方式认证、授权和计费配置示例
按照上面RADIUS使用的拓扑进行配置，改为HWTACACS认证授权计费：
四、AAA认证、授权和计费配置管理
（1）display aaa configuration：查看AAA的摘要配置信息。
（2）display local-user：查看本地用户摘要。
（3）display domain [name domain-name]：查看所有或指定域的配置信息。
（4）display authentication-scheme [authentication-scheme-name]：查看所有或指定认证方案的配置信息。
（5）display authorization-scheme [authorization-scheme-name]：查看所有或指定授权方案的配置信息。
（6）display accounting-scheme [accounting-scheme-name]：查看计费方案的配置信息。
（7）display service-scheme [name name ]：查看业务方案的配置信息。
（8）display access-user [domain domain-name | interface interface-type interface-number[vlan vlan-id [qinq qinq-vlan-id]] | ip-address ip-address [vpn-instancevpn-instance-name] | mac-address mac-address |slot slot-id | open | user-iduser-number]：查看符合对应条件的所有在线用户的摘要信息。
（9）display radius-server configuration [template template-name] :查看RADIUS服务器模板的配置信息。
（10）display radius-attribute [template template-name] disable：查看设备所有或指定模板中禁用的RADIUS属性。
（11）display radius-attribute [template template-name] translate：查看设备所有或指定模板中RADIUS属性转换的配置信息。
（12）display radius-server accounting-stop-packet {all | i pip-address}：查看所有或指定IP地址的RADIUS服务器的计费停止报文信息。
（13）display hwtacacs-server template [template-name]：查看设备所有或指定模板中HWTACACS服务器模板的配置信息。
（14）display hwtacacs-server accounting-stop-packet {all | number | ip ip-address}：查看设备所有或指定IP地址的HWTACACS服务器的计费停止报文信息。
（15）reset aaa{offline-record | abnormal-offline-record | online-fail-record}：清除用户下线、异常下线、上线失败的记录信息。
（16）reset hwtacacs-server statistics {all | accounting | Authentication | authorization}：清除HWTACACS的统计信息。
（17）reset hwtacacs-server accounting-stop-packet {all | i pip-address}：清除设备所有或指定IP地址的HWTACACS 服务器的计费停止保暖文统计信息。
（18）reset radius-server accounting-stop-packet {all | i pip-address}：清除设备所有或者指定IP地址的RADIUS服务器的计费停止报文统计信息。
扫一扫
1549
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
