1、自定义域可以被配置为全局缺省普通域或全局缺省管理域,但域下配置的授权信息较AAA服务器的授权信息优先级低,通常是两者配置的授权信息一致。4、radius协议Radius通过认证授权来提供接入服务、通过计费来收集、记录用户对网络资源的使用。定义UDP 1812、1813作为认证(授权)、计费端口Radius服务器维护三个数据库:Users:存储用户信息(用户名、口令、使用的协议、IP地址等)Clients:存储radius客户端信息(接入设备的共享密钥、IP地址)Dictionary:存储radius协议中的属性和属性值含义Radius客户端与radius服务器之间通过共享密钥来对传输数据加密,
2、但共享密钥不通过网络来传输。5、hwtacacs协议Hwtacacs是在tacacs(rfc1492)基础上进行了功能增强的安全协议,与radius协议类似,主要用于点对点PPP和VPDN(virtual private dial-up network,虚拟私有拨号网络)接入用户及终端用户的认证、授权、计费。与radius相比,具有更加可靠的传输和加密特性,更加适合于安全控制。Hwtacacs协议与其他厂商支持的tacacs+协议的认证流程和实现方式是一致的,能够完全兼容tacacs+协议6、华为设备对AAA特性的支持支持本地、radius、 hwtacacs三种任意组合本地认证授权:优点是速
3、度快,可降低运营成本;缺点是存储信息量受设备硬件条件限制RADIUS认证、计费:优点防止非法用户对网络的攻击相对较高;缺点是不支持单独授权功能,必须与认证功能一起,使用了认证功能就使用了授权功能Hwtacacs认证、授权、计费:认证、授权、计费室单独进行的,可以单独配置使用,在大型网络中可以部署多台hwtacacs服务器;还支持在一个方案中使用多协议模式,如本地认证常用于radius认证和hwtacacs认证的备用认证方案,本地授权作为hwtacacs授权的备用授权方案等二、本地方式认证和授权配置配置流程为:配置AAA方案配置本地用户配置业务方案配置域的AAA方案一、配置AAA方案配置AAA方
4、案就是配置AAA中的认证、授权、计费,用于“域的aaa方案”中绑定这些方案使用(所配置的各种方案只有在域中绑定后才能得到应用)认证方案:1、进入AAA视图Huaweiaaa2、设置一个AAA认证方案名Huawei-aaaauthentication-scheme test13、设置认证模式为本地认证(缺省为本地认证)Huawei-aaa-authen-test1authentication-mode ? hwtacacs HWTACACS local Local none None radius RADIUS4、配置当前认证模板对用户提升级别进行认证时采用的认证模式(可选,默认为本地认证)Hu
5、awei-aaa-authen-test1authentication-super ? hwtacacs HWTACACS none None super Super(本地认证模式)5、配置用户名和域名解析的方向(可选,缺省从左向右) Huawei-aaadomainname-parse-direction ? left-to-right Configure the left to right direction of domainname parsing right-to-left Configure the right to left direction of domainname par
6、sing授权方案: 1、创建一个授权方案 Huawei-aaaauthorization-scheme tets12、配置本地授权模式Huawei-aaa-author-tets1authorization-mode ? hwtacacs Use HWTACACS authorization method if-authenticated Use authorization method which lets user(s) authorized if user(s) not authenticated by none authentication method local Use local
7、 authorization method none Use none authorization method3、设置授权服务器下发的用户授权信息的生效模式(可选,缺省为overlay模式) Huawei-aaaauthorization-modify ? Modify 修改模式,新下发的授权信息覆盖上一次下发的所有属性类别的授权信息 Overlay 覆盖模式,新下发的授权信息覆盖前次下发的所有用户授权信息# 模拟器未能模拟二、配置本地用户采用本地方式进行认证授权时,需要在本地设备配置用户的认证和授权信息,如用于认证的用户名、密码、用于授权的优先级、用户组、允许接入的服务器类型、可建立连接数
8、、访问目录等1、设置本地用户名和密码Huawei-aaalocal-user test password simple 1472582、设置本地用户的级别Huawei-aaalocal-user test privilege level 153、设备本地用户加入用户组(可选,先配置好用户组Huawei-aaalocal-user test user-group teset #模拟器无法模拟4、设置本地用户断开超时时间Huawei-aaalocal-user test idle-timeout 6005、设备本地用户用于何种类型的服务Huawei-aaalocal-user test servi
9、ce-type ? 8021x user bind Bind authentication user ftp FTP user http Http user ppp PPP user ssh SSH user telnet Telnet user terminal Terminal user web Web authentication user x25-pad X25-pad user 6、本地用户作为FTP使用时设置访问目录 Huawei-aaalocal-user test ftp-directory ? STRING flash: flash:/ 7、设置本地用户状态 Huawei-a
10、aalocal-user test state ? active Permit the user(s) to deal with the authen request block Forbid the user(s) to deal with the authen request (拒绝该用户认证请求) 8、设备本地用户访问时最大连接数(缺省不限制)Huawei-aaalocal-user test access-limit 10 9、设置本地账号锁定功能(连续登陆失败达到次数后锁定和解锁、重试等参数)Huawei-aaalocal-aaa-user wrong-password retry-
11、interval 5(重试时间间隔) retry-time 3 (连续认证失败的最大次数block-time 10(账号被锁定时间)10、修改账号密码local-user change-password三、配置业务方案(可选)“业务方案”也是一种授权方案,它是专门针对一些IP业务(如管理员权限、DHCP服务、DNS服务、策略路由)所进行的授权,也称为“业务授权方案”。通常只需要使用admin-user privilege level 命令配置管理员用户的用户级别,其它命令只有在业务方案被其他特性(如IPSEC)调用时才需要配置。具体配置:1、创建一个业务方案Huawei-aaaservice-
12、scheme test2、配置本地用户可作为管理员登陆设备并设置级别Huawei-aaa-service-testadmin-user privilege level 153、设置业务方案下使用的DHCP服务器组(仅7700及以上支持)Huawei-aaa-service-testdhcp-server grpup test4、设置可用的DHCP IP地址池或移动已配置的地址的位置(仅7700及以上支持)Huawei-aaa-service-testip-pool testpool move-to testpool25、设置业务方案下的主用或备用DNS服务器地址 secondary Set s
13、econdary DNS servers IP address 6、设置业务方案下用户的策略路由功能(仅7700及以上支持)(下一跳IP地址) 5(源路由vlan ID)四、配置域的AAA方案认证、授权方案、业务方案只有绑定域的AAA方案中才能得到应用1、设置一个域的AAA方案名(缺省存在default和default_admin两个域)Huawei-aaadomain testdomain2、绑定认证方案Huawei-aaa-domain-testdomainauthentication-scheme test3、绑定授权方案Huawei-aaa-domain-testdomainauthorization-scheme test4、绑定业务方案Huawei-aaa-domain-testdomainservice-scheme tese5、设置域的AAA方案状态H
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1