H3C S7500E系列以太网交换机 操作手册 AAA-RADIUS-HWTACACS
目 录
目 录
第1章 AAA RADIUS HWTACACS配置 .................................................................................. 1-1
1.1 AAA/RADIUS/HWTACACS简介 ....................................................................................... 1-1
1.1.1 AAA简介 ................................................................................................................. 1-1 1.1.2 RADIUS协议简介 ................................................................................................... 1-2 1.1.3 HWTACACS协议简介 ............................................................................................ 1-8 1.1.4 协议规范 ................................................................................................................ 1-10 1.2 AAA RADIUS HWTACACS配置任务简介 ....................................................................... 1-10 1.3 配置AAA .......................................................................................................................... 1-12
1.3.1 配置准备 ................................................................................................................ 1-12 1.3.2 创建ISP域 ............................................................................................................ 1-12 1.3.3 配置ISP域的属性 ................................................................................................. 1-13 1.3.4 配置ISP域的AAA认证方案 ................................................................................. 1-13 1.3.5 配置ISP域的AAA授权方案 ................................................................................. 1-15 1.3.6 配置ISP域的AAA计费方案 ................................................................................. 1-16 1.3.7 配置本地用户的属性 .............................................................................................. 1-18 1.3.8 配置强制切断用户连接 .......................................................................................... 1-20 1.4 配置RADIUS ................................................................................................................... 1-20
1.4.1 创建RADIUS方案 ................................................................................................. 1-21 1.4.2 配置RADIUS认证/授权服务器 ............................................................................. 1-21 1.4.3 配置RADIUS计费服务器及相关参数 .................................................................... 1-22 1.4.4 配置RADIUS报文的共享密钥 .............................................................................. 1-23 1.4.5 配置RADIUS报文的超时重传次数最大值 ............................................................ 1-23 1.4.6 配置支持的RADIUS服务器的类型 ....................................................................... 1-24 1.4.7 配置RADIUS服务器的状态 .................................................................................. 1-25 1.4.8 配置发送给RADIUS服务器的数据相关属性 ......................................................... 1-26 1.4.9 配置RADIUS服务器的定时器 .............................................................................. 1-27 1.4.10 配置RADIUS服务器的安全策略服务器 .............................................................. 1-28 1.4.11 使能RADIUS客户端的监听端口 ......................................................................... 1-28 1.5 配置HWTACACS ............................................................................................................ 1-29
1.5.1 创建HWTACACS方案.......................................................................................... 1-29 1.5.2 配置HWTACACS认证服务器 ............................................................................... 1-29 1.5.3 配置HWTACACS授权服务器 ............................................................................... 1-30 1.5.4 配置HWTACACS计费服务器 ............................................................................... 1-30 1.5.5 配置HWTACACS报文的共享密钥 ....................................................................... 1-31 1.5.6 配置发送给HWTACACS服务器的数据相关属性 .................................................. 1-32 1.5.7 配置HWTACACS服务器的定时器 ....................................................................... 1-33
i
H3C S7500E系列以太网交换机 操作手册 AAA-RADIUS-HWTACACS
目 录
1.6 AAA RADIUS HWTACACS显示和维护........................................................................... 1-33 1.7 AAA RADIUS HWTACACS典型配置举例 ....................................................................... 1-35
1.7.1 Telnet用户通过HWTACACS服务器认证、授权、计费的应用配置 ..................... 1-35 1.7.2 Telnet用户通过local认证、HWTACACS授权、RADIUS计费的应用配置 ......... 1-36 1.8 AAA RADIUS HWTACACS常见配置错误举例 ................................................................ 1-38
1.8.1 RADIUS认证/授权失败 ......................................................................................... 1-38 1.8.2 RADIUS报文传送失败 .......................................................................................... 1-38 1.8.3 RADIUS计费功能异常 .......................................................................................... 1-39 1.8.4 HWTACACS常见配置错误举例 ............................................................................ 1-39
ii
H3C S7500E系列以太网交换机 操作手册 AAA-RADIUS-HWTACACS
第1章 AAA RADIUS HWTACACS配置
第1章 AAA RADIUS HWTACACS配置
1.1 AAA/RADIUS/HWTACACS简介
1.1.1 AAA简介
AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。
AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如图1-1。
InternetUserNASRADIUS serverHWTACACS server
图1-1 AAA基本组网结构示意图
当用户想要通过某网络与NAS建立连接，从而获得访问其它网络的权利或取得某些网络资源的权利时，NAS起到了验证用户或对应连接的作用。NAS负责把用户的认证、授权、计费信息透传给服务器（RADIUS服务器或HWTACACS服务器），RADIUS协议或HWTACACS协议规定了NAS与服务器之间如何传递用户信息。
图1-1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功能分别由使用哪种协议类型的服务器来承担。例如，可以选择RADIUS服务器实现为认证、授权，HWTACACS服务器来实现计费。 这三种安全服务功能的具体作用如下：
? ?
认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户； 授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作；
1-1
H3C S7500E系列以太网交换机 操作手册 AAA-RADIUS-HWTACACS
?
第1章 AAA RADIUS HWTACACS配置
计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。
当然，用户可以只使用AAA提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。 如上所述，AAA是一种管理框架，它提供了授权部分实体去访问特定资源，同时可以记录这些实体操作行为的一种安全机制，因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。
AAA可以通过多种协议来实现，目前设备支持基于RADIUS协议或HWTACACS协议来实现AAA，在实际应用中，最常使用RADIUS协议。
1.1.2 RADIUS协议简介
RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于UDP的RADIUS帧格式及其消息传输机制，并规定UDP端口1812、1813分别作为认证、计费端口。
RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。 1. 客户端/服务器模式
?
客户端：RADIUS客户端一般位于NAS设备上，可以遍布整个网络，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。
?
服务器：RADIUS服务器运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。
RADIUS服务器通常要维护三个数据库，如图1-2所示，：
RADIUS serversUsersClientsDictionary
图1-2 RADIUS服务器的组成
1-2
H3C S7500E系列以太网交换机 操作手册 AAA-RADIUS-HWTACACS
?
第1章 AAA RADIUS HWTACACS配置
“Users”：用于存储用户信息（如用户名、口令以及使用的协议、IP地址等配置信息）。
?
“Clients”：用于存储RADIUS客户端的信息（如接入设备的共享密钥、IP地址等）。
?
“Dictionary”：用于存储RADIUS协议中的属性和属性值含义的信息。
2. 安全和认证机制
RADIUS客户端和RADIUS服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密。 RADIUS服务器支持多种方法来认证用户，如基于PPP的PAP、CHAP认证。另外，RADIUS服务器还可以为其它类型的认证服务器提供代理客户端的功能，向其提出认证请求。
3. RADIUS的基本消息交互流程
用户、RADIUS客户端和RADIUS服务器之间的交互流程如图1-3所示。
HostRADIUS clientRADIUS server(1) 用户输入用户名/密码(2) 认证请求包(3) 认证接受/拒绝包(4) 计费开始请求包(5) 计费开始请求响应包(6) 用户访问资源(7) 计费结束请求包(8) 计费结束请求响应包(9) 通知访问结束
图1-3 RADIUS的基本消息交互流程
消息交互流程如下：
(1) 用户发起连接请求，向RADIUS客户端发送用户名和密码。
1-3