AAA原理与配置 |
您所在的位置:网站首页 › aaa配置实验总结 › AAA原理与配置 |
AAA是Authentication(认证),Authorization(授权),和Accounting(计费)的简称,提供了认证、授权、计费三种功能。AAA可以通过多种协议来实现。 目前华为设置支持基于RADIUS(Remote Authentication Dial-In User Service)协议或HWTACACS(Huawei Terminal Access Controller Access Control System)协议来实现AAA。 ![]() AAA是一种提供认证、授权和计费的安全技术。该技术可以用于验证用户账户是否合法,授权用户可以访问的服务,并记录用户使用网络资源的情况。 例:企业总部需要对服务器的资源访问进行控制,只有通过认证的用户才能访问特定的资源,并对用户使用资源的情况进行记录。如图所示进行AAA部署,NAS为网络接入服务器,负责集中收集和管理用户的访问请求。 ARG3系列路由器只支持配置认证和授权。 认证:认证方式:![]() 如果一个认证方案采用多种认证方式,这些认证方式按配置顺序生效。比如,先配置了远端认证,随后配置了本地认证,那么在远端认证服务器无响应时,会转入本地认证方式。如果只在本地设备上配置了登录账户,没有在远端服务器上配置,AR2200认为账户没有通过远端认证,不再进行本地认证。 授权:![]() ![]() ![]() 设备基于域来对用户进行管理,每个域都可以配置不同的认证、授权和计费方案,用于该域下的用户进行认证、授权和计费。每个用户都属于某一个域。用户属于哪个域是由用户名中域名分割符@后的字符串决定。例如,如果用户名是user@huawei,则用户属于huawei域。如果用户名后不带有@,则用户属于系统缺省域default。 ARG3系列路由器设备支持两种缺省域:default域为普通用户的缺省域。default_admin域为管理用户的缺省域。用户可以修改但不能删除这两个缺省域。默认情况下,设备最多支持32个域,包括两个缺省域。AAA配置:代码语言:javascript复制[RTA]aaa [RTA-aaa]authentication-scheme auth1 //配置域的认证方案。 [RTA-aaa-authen-auth1]authentication-mode local //配置认证方式{hwtacacs|radius|local} [RTA-aaa-authen-auth1]q [RTA-aaa]authorization-scheme auth2 //配置域的授权方案,缺省情况下,域下没有绑定授权方案 [RTA-aaa-author-auth2]authorization-mode local //配置认证方式{hwtacacs|radius|local} [RTA-aaa-authen-auth2]q [RTA-aaa]domain huawei //创建域,并进入AAA域视图 [RTA-aaa-domain-huawei]authentication-scheme auth1 [RTA-aaa-domain-huawei]authorization-scheme auth2代码语言:javascript复制[RTA-aaa]local-user huawei@huawei password cipher huawei123 //创建本地用户,并配置本地用户密码,前为用户名,后为域名 [RTA-aaa]local-user huawei@huawei service-type telnet //支持Telnet和Stelnet登录均有风险,建议使用Stelnet v2登录设备 [RTA-aaa]local-user huawei@huawei privilege level 0 //指定本地用户的优先级 [RTA]user-interface vty 0 4 [RTA-ui-vty0-4]authentication-mode aaa代码语言:javascript复制[RTA-ui-vty0-4]dis domain name huawei //查看域的配置信息 Domain-name : huawei Domain-state : Active Authentication-scheme-name : auth1 Accounting-scheme-name : default Authorization-scheme-name : auth2 Service-scheme-name : - RADIUS-server-template : - HWTACACS-server-template : - User-groupDomain-state为Active表示激活状态。Authentication-scheme-name表示域使用的认证方案为auth1。缺省情况下,域使用系统自带的default认证方案。Authorization-scheme-name表示域使用的授权方案为auth2。 总结:ARG3系列路由器上支持配置哪些AAA方案?ARG3系列路由器上支持配置方案和授权方案,计费方案需要配置在HWTACACS或RADIUS服务器上。 如果在ARG3系列路由器上创建用户时,没有关联自定义的域,则该用户属于哪个域?如果创建用户时未指定用户所属域,用户会自动关联缺省域default。 |
今日新闻 |
推荐新闻 |
CopyRight 2018-2019 办公设备维修网 版权所有 豫ICP备15022753号-3 |