华为交换机AAA配置与管理.docx
《华为交换机AAA配置与管理.docx》由会员分享，可在线阅读，更多相关《华为交换机AAA配置与管理.docx（10页珍藏版）》请在冰豆网上搜索。
华为交换机AAA配置与管理
AAA配置与管理
一、基础
1、AAA是指：
authentication（认证）、authorization（授权）、accounting（计费）的简称，是网络安全的一种管理机制；Authentication是本地认证/授权，authorization和accounting是由远处radius（远程拨号认证系统）服务或hwtacacs（华为终端访问控制系统）服务器完成认证/授权；AAA是基于用户进行认证、授权、计费的，而NAC方案是基于接入设备接口进行认证的。
在实际应用中，可以使用AAA的一种或两种服务。
2、AAA基本架构：
C/S结构，AAA客户端（也叫NAS-网络接入服务器）是使能了aaa功能的网络设备（可以是一台或多台、不一定是接入设备）
3、AAA基于域的用户管理：
通过域来进行AAA用户管理，每个域下可以应用不同的认证、授权、计费以及radius或hwtacacs服务器模板，相当于对用户进行分类管理
缺省情况下，设备存在配置名为default（全局缺省普通域）和default_admin（全局缺省管理域），均不能删除，只能修改，都属于本地认证；default为接入用户的缺省域，default_admin为管理员账号域（如http、ssh、telnet、terminal、ftp用户）的缺省域。
用户所属域是由域分隔符后的字符串来决定的，域分隔符可以是@、|、%等符号，域，如果用户名不带@，就属于系统缺省default域。
自定义域可以被配置为全局缺省普通域或全局缺省管理域，但域下配置的授权信息较AAA服务器的授权信息优先级低，通常是两者配置的授权信息一致。
4、radius协议
Radius通过认证授权来提供接入服务、通过计费来收集、记录用户对网络资源的使用。
定义UDP1812、1813作为认证（授权）、计费端口
Radius服务器维护三个数据库：
Users:
存储用户信息（用户名、口令、使用的协议、IP地址等）
Clients:
存储radius客户端信息（接入设备的共享密钥、IP地址）
Dictionary：
存储radius协议中的属性和属性值含义
Radius客户端与radius服务器之间通过共享密钥来对传输数据加密，但共享密钥不通过网络来传输。
5、hwtacacs协议
Hwtacacs是在tacacs（rfc1492）基础上进行了功能增强的安全协议，与radius协议类似，主要用于点对点PPP和VPDN（virtualprivatedial-upnetwork，虚拟私有拨号网络）接入用户及终端用户的认证、授权、计费。
与radius相比，具有更加可靠的传输和加密特性，更加适合于安全控制。
Hwtacacs协议与其他厂商支持的tacacs+协议的认证流程和实现方式是一致的，能够完全兼容tacacs+协议
6、华为设备对AAA特性的支持
支持本地、radius、hwtacacs三种任意组合
本地认证授权：
优点是速度快，可降低运营成本；缺点是存储信息量受设备硬件条件限制
RADIUS认证、计费：
优点防止非法用户对网络的攻击相对较高；缺点是不支持单独授权功能，必须与认证功能一起，使用了认证功能就使用了授权功能
Hwtacacs认证、授权、计费：
认证、授权、计费室单独进行的，可以单独配置使用，在大型网络中可以部署多台hwtacacs服务器；还支持在一个方案中使用多协议模式，如本地认证常用于radius认证和hwtacacs认证的备用认证方案，本地授权作为hwtacacs授权的备用授权方案等
二、本地方式认证和授权配置
配置流程为：
配置AAA方案——配置本地用户——配置业务方案——配置域的AAA方案
一、配置AAA方案
配置AAA方案就是配置AAA中的认证、授权、计费，用于“域的aaa方案”中绑定这些方案使用（所配置的各种方案只有在域中绑定后才能得到应用）
认证方案：
1、进入AAA视图
[Huawei]aaa
2、设置一个AAA认证方案名
[Huawei-aaa]authentication-schemetest1
3、设置认证模式为本地认证（缺省为本地认证）
[Huawei-aaa-authen-test1]authentication-mode?
hwtacacsHWTACACS
localLocal
noneNone
radiusRADIUS
4、配置当前认证模板对用户提升级别进行认证时采用的认证模式（可选，默认为本地认证）
[Huawei-aaa-authen-test1]authentication-super?
hwtacacsHWTACACS
noneNone
radiusRADIUS
superSuper（本地认证模式）
5、配置用户名和域名解析的方向（可选，缺省从左向右）
[Huawei-aaa]domainname-parse-direction?
left-to-rightConfigurethelefttorightdirectionofdomainnameparsing
right-to-leftConfiguretherighttoleftdirectionofdomainnameparsing
授权方案：
1、创建一个授权方案
[Huawei-aaa]authorization-schemetets1
2、配置本地授权模式
[Huawei-aaa-author-tets1]authorization-mode?
hwtacacsUseHWTACACSauthorizationmethod
if-authenticatedUseauthorizationmethodwhichletsuser（s）authorizedif
user（s）notauthenticatedbynoneauthenticationmethod
localUselocalauthorizationmethod
noneUsenoneauthorizationmethod
3、设置授权服务器下发的用户授权信息的生效模式（可选，缺省为overlay模式）
[Huawei-aaa]authorization-modify？
Modify修改模式，新下发的授权信息覆盖上一次下发的所有属性类别的授权信息
Overlay覆盖模式，新下发的授权信息覆盖前次下发的所有用户授权信息
#模拟器未能模拟
二、配置本地用户
采用本地方式进行认证授权时，需要在本地设备配置用户的认证和授权信息，如用于认证的用户名、密码、用于授权的优先级、用户组、允许接入的服务器类型、可建立连接数、访问目录等
1、设置本地用户名和密码
[Huawei-aaa]local-usertestpasswordsimple147258
2、设置本地用户的级别
[Huawei-aaa]local-usertestprivilegelevel15
3、设备本地用户加入用户组（可选，先配置好用户组
[Huawei-aaa]local-usertestuser-groupteset#模拟器无法模拟
4、设置本地用户断开超时时间
[Huawei-aaa]local-usertestidle-timeout600
5、设备本地用户用于何种类型的服务
[Huawei-aaa]local-usertestservice-type?
8021xuser
bindBindauthenticationuser
ftpFTPuser
httpHttpuser
pppPPPuser
sshSSHuser
telnetTelnetuser
terminalTerminaluser
webWebauthenticationuser
x25-padX25-paduser
6、本地用户作为FTP使用时设置访问目录
[Huawei-aaa]local-usertestftp-directory？
STRING<1-58>
flash:
flash:
/
7、设置本地用户状态
[Huawei-aaa]local-userteststate?
activePermittheuser（s）todealwiththeauthenrequest
blockForbidtheuser（s）todealwiththeauthenrequest（拒绝该用户认证请求）
8、设备本地用户访问时最大连接数（缺省不限制）
[Huawei-aaa]local-usertestaccess-limit10
9、设置本地账号锁定功能（连续登陆失败达到次数后锁定和解锁、重试等参数）
[Huawei-aaa]local-aaa-userwrong-passwordretry-interval5（重试时间间隔）retry-time3（连续认证失败的最大次数block-time10（账号被锁定时间）
10、修改账号密码
local-userchange-password
三、配置业务方案（可选）
“业务方案”也是一种授权方案，它是专门针对一些IP业务（如管理员权限、DHCP服务、DNS服务、策略路由）所进行的授权，也称为“业务授权方案”。
通常只需要使用admin-userprivilegelevel命令配置管理员用户的用户级别，其它命令只有在业务方案被其他特性（如IPSEC）调用时才需要配置。
具体配置：
1、创建一个业务方案
[Huawei-aaa]service-schemetest
2、配置本地用户可作为管理员登陆设备并设置级别
[Huawei-aaa-service-test]admin-userprivilegelevel15
3、设置业务方案下使用的DHCP服务器组（仅7700及以上支持）
[Huawei-aaa-service-test]dhcp-servergrpuptest
4、设置可用的DHCPIP地址池或移动已配置的地址的位置（仅7700及以上支持）
[Huawei-aaa-service-test]ip-pooltestpoolmove-totestpool2
5、设置业务方案下的主用或备用DNS服务器地址
secondarySetsecondaryDNSserver'sIPaddress
6、设置业务方案下用户的策略路由功能（仅7700及以上支持）
（下一跳IP地址）5（源路由vlanID）
四、配置域的AAA方案
认证、授权方案、业务方案只有绑定域的AAA方案中才能得到应用
1、设置一个域的AAA方案名（缺省存在default和default_admin两个域）
[Huawei-aaa]domaintestdomain
2、绑定认证方案
[Huawei-aaa-domain-testdomain]authentication-schemetest
3、绑定授权方案
[Huawei-aaa-domain-testdomain]authorization-schemetest
4、绑定业务方案
[Huawei-aaa-domain-testdomain]service-schemetese
5、设置域的AAA方案状态
[H
升级会员 