引言：交换机、防火墙、路由器的远程管理telnet、ssh是不错的管理方式，但其账号的安全就成为了一种必须考虑的问题，下面我们就来通过aaa服务器来统一管理账号，并可以实现对网络设备的管理

实验拓扑：

实验要求：

   借助aaa服务器实现对交换机、防火墙、路由器telnet、ssh用户的远端认证

实验配置：

1、cisco-acs4.0安装

cisco-4.0依赖java环境，要先安装jdk，

选择ACCEPT，

选择四个复选框，查看是否满足要求：

a.终端用户能够连接上AAAclient（设备）

b.AAA客户端能够ping 通该ACS软件所在服务器

c.所有的AAA客户端运行的系统版本要在11.1 （包括11.1）以上

d.ACS所在服务器上的浏览器版本要求IE v6.0 sp1或者网警浏览器v7.02以上

设置安装路径

高级选项的选择，可根据需要选择；

安装完成后，发现打开桌面上的ACS admin页面是空白的，应修改Internet选项下的安全级别，

调为中低就可以，

安全级别调低后，就可以正常访问了

默认情况下，acs并没有华为设备的服务器类型，只能选用Radius（IETF）,自适应类型，故下面可以自己添加huawei设备的服务器类型，

[User Defined Vendor]

Name=Huawei

IETF Code=2011

VSA 29=hw_Exec_Privilege

[hw_Exec_Privilege]

Type=INTEGER

Profile=IN OUT

Enums=hw_Exec_Privilege-Values

[hw_Exec_Privilege-Values]

0=Access

1=Monitor

2=Manager

3=Administrator

[Encryption-Type]

1=1

2=2

3=3

[Ftp_Directory]

Type=STRING

Profile=OUT

将上面文字另存为h3c.ini 可以放在根目录下，方面添加

打开命令行，切换到ACS的安装目录下

增加华为私有属性：>CSUtil -addUDV 0 c:\h3c.ini （其中0 表示在0 位置，上图中共有0-9个位置）

列举现在的私有属性，出现Huawei私有属性

添加过服务器类型后，就来分别添加aaa客户端，与修改aaa服务器

整体效果图：

勾选华为的私有属性

组用户属性设置

设置radius服务器类型为huawei时，修改权限为管理权限，默认为access，访问权限

添加用户，

案例一、路由器

[Router]radius server 192.168.101.160   #radius服务器的ip地址

[Router]radius shared-key 123456       #验证的密钥对，应与ACS中设置的相同

[Router]aaa authentication-scheme login default radius   #登录的用户默认到radius服务器上进行验证

[Router]aaa accounting-scheme optional   #设置审计可选

案例二、交换机

[Quidway]radius scheme  abc       #方案名称abc

[Quidway-radius-abc]primary authentication 192.168.101.160   #服务器ip

[Quidway-radius-abc]server huawei              #服务器类型

[Quidway-radius-abc]key authentication 123456    #密钥对

[Quidway-radius-abc]user-name without-domain  #用户发送账号信息时不带域名

[Quidway-radius-abc]accounting  optional       #审计可选

[Quidway]domain system                    #使用默认域

[Quidway-isp-system]radius-scheme  abc      #指明方案

[Quidway-isp-system]access-limit enable 10     #允许最大的连接数量10

[Quidway]user-interface vty 0 4                #进入虚拟终端配置

[Quidway-ui-vty0-4]authentication-mode scheme  #验证方式为账号 

[Quidway-ui-vty0-4]protocol inbound  all   #允许进入的协议为all（ssh + telnet）

[Quidway]rsa local-key-pair create          #创建密钥对

[Quidway]ssh user user1 authentication-type all   [S2403H-EI]

[Quidway]ssh authentication-type default all   [S2403H-HI] 

[Quidway]super password  simple 123   设置切换到管理员的密码，否则ssh用户登录后将无权限来管理交换机 

当ssh登录，要将server-type 改为standard默认，也就是标准的，并且登录后其权限值也较低，

案例三、防火墙

[H3C]firewall zone trust 

[H3C-zone-trust]add inter eth0/0    #加到信任域

[H3C]radius scheme  abc          #方案名称abc

[H3C-radius-abc]primary  authentication  192.168.101.160

[H3C-radius-abc]server-type standard

[H3C-radius-abc]key authentication 123456

[H3C-radius-abc]accounting optional 

[H3C-radius-abc]user without-domain

[H3C]domain system

[H3C-isp-system]radius-scheme abc

[H3C-isp-system]access-limit enab 10

[H3C-isp-system]accounting optional

[H3C]rsa local-key-pair create          #创建密钥对

[H3C]ssh authentication-type default all    #ssh的验证方式默认为所有方式 
将进入0级别 
可以先配置super 密码，切换到管理员级别 
[H3C]super password level 3 simple 123 设置切换到管理员级别的密码

也可以自己创建域，然后将其设为默认域，

例：[H3C]domain default enable example

结束了，以后就不用再担心设备的账号难管理了