- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
21-H3C MSR係列路由器 AAA典型配置舉例
本章節下載： 21-H3C MSR係列路由器 AAA典型配置舉例 (335.28 KB)
H3C MSR係列路由器
AAA配置舉例
Copyright © 2024bobty下载软件 版權所有，保留一切權利。
非經本公司書麵許可，任何單位和個人不得擅自摘抄、複製本文檔內容的部分或全部，並不得以任何形式傳播。
除bobty下载软件 的商標外，本手冊中出現的其它公司的商標、產品標識及商品名稱，由各自權利人擁有。
本文檔中的信息可能變動，恕不另行通知。
目 錄
本文檔介紹了Telnet、SSH用戶通過AAA服務器進行登錄認證和授權的配置舉例。
本文檔適用於使用Comware V7軟件版本的MSR係列路由器，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。
本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。
本文假設您已了解AAA特性。
如圖1所示，要求在Device上配置實現：
· HWTACACS服務器對登錄Device的Telnet用戶進行認證和授權，登錄用戶名為user@bbb，密碼為aabbcc；
· 用戶通過認證後可執行係統所有功能和資源的相關display命令。
圖1 Telnet用戶的遠端HWTACACS認證和授權配置組網圖
· 為了使HWTACACS服務器能夠識別合法的用戶，在HWTACACS服務器上添加合法的Telnet用戶名和密碼。
· 由於本例中用戶登錄Device要通過AAA處理，因此Telnet用戶登錄的用戶界麵認證方式配置為scheme。
· 為了實現通過HWTACACS來進行認證和授權，需要在Device上配置HWTACACS方案並指定相應的認證和授權服務器，並將其應用於Telnet用戶所屬的ISP域。
· 為了在Device和HWTACACS服務器之間安全地傳輸用戶密碼，並且能在Device上驗證服務器響應報文未被篡改，在Device和HWTACACS服務器上都要設置交互報文時所使用的共享密鑰。
本配置舉例是在MSR3610-X1路由器Release 6749版本上進行配置和驗證的。
本文以HWTACACS服務器ACS 4.0為例，說明該例中HWTACACS的基本配置。
# 登錄進入HWTACACS管理平台,點擊左側導航欄“User-Setup”增加設備管理用戶。
· 在界麵上輸入用戶名“user@bbb”；
· 點擊按鈕“Add/Edit”進入用戶編輯頁麵。
圖2 用戶創建界麵
# 在用戶編輯頁麵上配置設備管理用戶。
· 配置用戶密碼“aabbcc”；
· 為用戶選擇組“Group 1”；
· 單擊“Submit”完成操作。
圖3 用戶密碼配置界麵
# 點擊左側導航欄“Network Configuration”，在“AAA Client Hostname”處任意命名（本例為“Device”）後開始配置網絡。
· “AAA Client IP Address”一欄填寫Device與HWTACACS服務器相連的接口的IP地址“10.1.1.2”。
· “Key”一欄填寫HWTACACS服務器和設備通信時的共享密鑰“imc”，必須和Device上HWTACACS方案裏配置的認證和授權共享密鑰相同。
· 在“Authenticate Using”的下拉框裏選擇“TACACS+ (Cisco IOS)”。
· 單擊“Submit+Apply”按鈕完成配置。
圖4 網絡配置界麵
# 單擊左側導航欄“Group Setup”，選取“Group 1”（與配置設備管理用戶時為用戶選擇的組一致），單擊“Edit Settings”進入編輯區。
· 在多選框中選擇“Shell”（用戶可以執行命令）；
· 在多選框中選擇“Custom attributes”，並在文本框中輸入：roles=\”network-operator\”（用戶可執行係統所有功能和資源的相關display命令）；
· 單擊“Submit”後完成操作。
圖6 組配置界麵
# 配置接口GigabitEthernet1/0/2的IP地址。
[Device] interface gigabitethernet 1/0/2
[Device-GigabitEthernet1/0/2] ip address 192.168.57.12 255.255.255.0
[Device-GigabitEthernet1/0/2] quit
# 配置接口GigabitEthernet1/0/1的IP地址。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 10.1.1.2 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
# 開啟Device的Telnet服務器功能。
[Device] telnet server enable
# 配置Telnet用戶登錄的用戶界麵采用scheme方式。
[Device] line vty 0 63
[Device-line-vty0-63] authentication-mode scheme
[Device-line-vty0-63] quit
# 配置HWTACACS方案hwtac。
[Device] hwtacacs scheme hwtac
# 配置主認證、授權和計費服務器的IP地址為10.1.1.1，認證、授權和計費的端口號為49（HWTACACS服務器的認證、授權和計費端口為TCP端口49）。
[Device-hwtacacs-hwtac] primary authentication 10.1.1.1 49
[Device-hwtacacs-hwtac] primary authorization 10.1.1.1 49
[Device-hwtacacs-hwtac] primary accounting 10.1.1.1 49
# 配置與認證、授權和計費服務器交互報文時的共享密鑰均為明文imc。
[Device-hwtacacs-hwtac] key authentication simple imc
[Device-hwtacacs-hwtac] key authorization simple imc
[Device-hwtacacs-hwtac] key accounting simple imc
[Device-hwtacacs-hwtac] quit
# 配置ISP域的AAA方案，為login用戶配置AAA認證方法為HWTACACS認證、授權和計費。
[Device] domain bbb
[Device-isp-bbb] authentication login hwtacacs-scheme hwtac
[Device-isp-bbb] authorization login hwtacacs-scheme hwtac
[Device-isp-bbb] accounting login hwtacacs-scheme hwtac
[Device-isp-bbb] quit
Telnet用戶可以使用用戶名user@bbb和密碼aabbcc通過認證，並且獲得用戶角色network-operator（用戶通過認證後可執行係統所有功能和資源的相關display命令）。
#
telnet server enable
#
interface gigabitethernet1/0/2
port link-mode route
ip address 192.168.57.12 255.255.255.0
#
interface gigabitethernet1/0/1
port link-mode route
ip address 10.1.1.2 255.255.255.0
#
line vty 0 63
authentication-mode scheme
user-role network-operator
#
hwtacacs scheme hwtac
primary authentication 10.1.1.1
primary authorization 10.1.1.1
primary accounting 10.1.1.1
key authentication cipher $c$3$6ps2/dT38b2K2MDCMCDGYxrvyJNR+/jiKw==
key authorization cipher $c$3$xEldxJraE8Yof3rHHlVIgyCIb/uLlrZbgg==
key accounting cipher $c$3$kySCJbNA8DSs+l3HCqxunl8SE4me3vue5g==
#
domain bbb
authentication login hwtacacs-scheme hwtac
authorization login hwtacacs-scheme hwtac
accounting login hwtacacs-scheme hwtac
#
如圖7所示，要求在Device上配置實現：
· RADIUS服務器對登錄Device的SSH用戶進行認證和授權，登錄用戶名為hello@bbb，密碼為aabbcc；
· Device向RADIUS服務器發送的用戶名帶域名，服務器根據用戶名攜帶的域名來區分提供給用戶的服務。
· 用戶通過認證後可執行係統所有功能和資源的相關display命令。
圖7 SSH用戶的遠端RADIUS認證和授權配置組網圖
· 為了使RADIUS服務器能夠識別合法的用戶，在RADIUS服務器上添加合法的用戶名和密碼。
· 因為SSH用戶登錄Device要通過AAA處理，因此SSH用戶登錄的用戶界麵認證方式配置為scheme。
· 為了實現通過RADIUS來進行認證和授權，需要在Device上配置RADIUS方案並指定相應的認證和授權服務器，並將其應用於SSH用戶所屬的ISP域。
· 為了在Device和RADIUS服務器之間安全地傳輸用戶密碼，並且能在Device上驗證RADIUS服務器響應報文未被篡改，在Device和RADIUS服務器上都要設置交互報文時所使用的共享密鑰。
本配置舉例是在MSR3610-X1路由器Release 6749版本上進行配置和驗證的。
本文以iMC為例（使用iMC版本為：iMC PLAT 7.0(E0102)、iMC EIA 7.0(E0201)），說明該例中RADIUS服務器的基本配置。
# 登錄進入iMC管理平台，選擇“用戶”頁簽，單擊導航樹中的[接入策略管理/接入設備管理/接入設備配置]菜單項，進入接入設備配置頁麵，在該頁麵中單擊“增加”按鈕，進入增加接入設備頁麵。
· 設置與Device交互報文時使用的認證和授權共享密鑰為“expert”；
· 設置認證及計費的端口號分別為“1812”（RADIUS服務器的認證端口為UDP端口1812）和“1813”（RADIUS服務器的計費端口為UDP端口1813）；
· 選擇業務類型為“設備管理業務”；
· 選擇接入設備類型為“H3C(General)”；
· 選擇或手工增加接入設備，添加IP地址為10.1.1.2的接入設備；
· 其它參數采用缺省值，並單擊<確定>按鈕完成操作。
圖8 增加接入設備
# 選擇“用戶”頁簽，單擊導航樹中的[接入用戶管理/設備管理用戶]菜單項，進入設備管理用戶列表頁麵，在該頁麵中單擊<增加>按鈕，進入增加設備管理用戶頁麵。
· 輸入用戶名“hello@bbb”和密碼。
· 選擇服務類型為“SSH”。
· 輸入用戶角色名“network-operator”
· 添加所管理設備的IP地址，IP地址範圍為“10.1.1.1～10.1.1.255”。
· 單擊<確定>按鈕完成操作。
添加的所管理設備的IP地址範圍要包含添加的接入設備的IP地址。
圖9 增加設備管理用戶
# 配置接口GigabitEthernet1/0/2的IP地址。
<Device> system-view
[Device] interface gigabitethernet 1/0/2
[Device-GigabitEthernet1/0/2] ip address 192.168.1.70 255.255.255.0
[Device-GigabitEthernet1/0/2] quit
# 配置接口GigabitEthernet1/0/1的IP地址。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 10.1.1.2 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
# 生成RSA及DSA密鑰對。
[Device] public-key local create rsa
The range of public key size is (512 ~ 2048).
If the key modulus is greater than 512, it will take a few minutes.
Press CTRL+C to abort.
Input the modulus length [default = 1024]:
Generating Keys...
........................++++++
...................++++++
..++++++++
............++++++++
Create the key pair successfully.
[Device] public-key local create dsa
The range of public key size is (512 ~ 2048).
If the key modulus is greater than 512, it will take a few minutes.
Press CTRL+C to abort.
Input the modulus length [default = 1024]:
Generating Keys...
.++++++++++++++++++++++++++++++++++++++++++++++++++*
........+......+.....+......................................+
...+.................+..........+...+.
Create the key pair successfully.
# 使能SSH服務器功能。
[Device] ssh server enable
# 配置SSH用戶登錄采用AAA認證方式。
[Device] line vty 0 63
[Device-line-vty0-63] authentication-mode scheme
[Device-line-vty0-63] quit
# 創建RADIUS方案rad。
[Device] radius scheme rad
# 配置主認證服務器的IP地址為10.1.1.1，認證端口號為1812。
[Device-radius-rad] primary authentication 10.1.1.1 1812
# 配置主計費服務器的IP地址為10.1.1.1，計費端口號為1813。
[Device-radius-rad] primary accounting 10.1.1.1 1813
# 配置與認證和計費服務器交互報文時的共享密鑰為明文expert。
[Device-radius-rad] key authentication simple expert
[Device-radius-rad] key accounting simple expert
# 配置向RADIUS服務器發送的用戶名要攜帶域名。
[Device-radius-rad] user-name-format with-domain
[Device-radius-rad] quit
# 創建ISP域bbb，為login用戶配置AAA認證方法為RADIUS認證、授權和計費。
[Device] domain bbb
[Device-isp-bbb] authentication login radius-scheme rad
[Device-isp-bbb] authorization login radius-scheme rad
[Device-isp-bbb] accounting login radius-scheme rad
[Device-isp-bbb] quit
用戶向Device發起SSH連接，在SSH客戶端按照提示輸入用戶名hello@bbb和密碼aabbcc通過認證，並且獲得用戶角色network-operator（用戶通過認證後可執行係統所有功能和資源的相關display命令）。
#
interface gigabitethernet1/0/2
port link-mode route
ip address 192.168.1.70 255.255.255.0
#
interface gigabitethernet1/0/1
port link-mode route
ip address 10.1.1.2 255.255.255.0
#
line vty 0 63
authentication-mode scheme
user-role network-operator
#
ssh server enable
#
radius scheme rad
primary authentication 10.1.1.1
primary accounting 10.1.1.1
key authentication cipher $c$3$63G7LzIQElGq4aFGTiYQafU+loQxS/cbLg==
key accounting cipher $c$3$tUIVlyGISJ5X/yiTFWrmh8nyjBIF+1LFzQ==
#
domain bbb
authentication login radius-scheme rad
authorization login radius-scheme rad
accounting login radius-scheme rad
#
· 《H3C MSR 係列路由器 配置指導(V7)》中的“安全配置指導”
· 《H3C MSR 係列路由器 命令參考(V7)》中的“安全命令參考”
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
