求h3c路由器的radius配置案例
- 0关注
- 0收藏，2052浏览
问题描述：
我想去某个区域的端口上加上身份认证，使用web portal，中国移动通信标准的配置方式
组网及组网描述：
- 2022-09-29提问
- 举报
-
(0)
参考这个里面的web认证配置
https://www.h3c.com/cn/d_201912/1253386_30005_0.htm
下面的配置是修改类型的，默认imc
配置步骤
(1) 进入系统视图。
system-view
(2) 创建Portal认证服务器，并进入Portal认证服务器视图。
portal server server-name
设备支持配置多个Portal认证服务器。
(3) 指定Portal认证服务器的IP地址。
（IPv4网络）
ip ipv4-address [ vpn-instance ipv4-vpn-instance-name ] [ key { cipher | simple } string ]
（IPv6网络）
ipv6 ipv6-address [ vpn-instance ipv6-vpn-instance-name ] [ key { cipher | simple } string ]
(4) （可选）配置接入设备主动向Portal认证服务器发送Portal报文时使用的UDP端口号。
port port-number
缺省情况下，接入设备主动向Portal认证服务器发送Portal报文时使用的UDP端口号为50100。
接入设备主动向Portal认证服务器发送Portal报文时使用的UDP端口号必须与远程Portal认证服务器实际使用的监听端口号保持一致。
(5) 配置Portal认证服务器的类型。
server-type { cmcc | imc }
缺省情况下，Portal认证服务器类型为iMC服务器。
配置的Portal认证服务器类型必须与认证所使用的服务器类型保持一致。
(6) （可选）配置设备定期向Portal认证服务器发送注册报文。
server-register [ interval interval-value ]
缺省情况下，设备不会向Portal认证服务器发送注册报文。
- 2022-09-29回答
- 评论(0)
- 举报
-
(0)
您好，请知：
以下是配置举例，请参考：
1.18 AAA典型配置举例
1.18.1 SSH用户的RADIUS认证和授权配置
1. 组网需求
需要实现使用RADIUS服务器对登录Router的SSH用户进行认证和授权。
· 由一台iMC服务器（IP地址为10.1.1.1/24）担当认证/授权RADIUS服务器的职责；
· Router与RADIUS服务器交互报文时使用的共享密钥为expert，认证/授权、计费的端口号分别为1812和1813；
· Router向RADIUS服务器发送的用户名携带域名；
· SSH用户登录Router时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后具有用户角色network-admin。
2. 组网图
图1-13 SSH用户RADIUS认证/授权配置组网图
3. 配置RADIUS服务器
下面以iMC为例（使用iMC版本为：iMC PLAT 7.3 (E0605)、iMC UAM 7.3 (E0512)），说明RADIUS服务器的基本配置。
(1) 增加接入设备
登录进入iMC管理平台，选择“用户”页签，单击导航树中的“接入策略管理> 接入设备管理 > 接入设备配置”菜单项，进入接入设备配置页面。在该页面中单击<增加>按钮，进入增加接入设备页面。
a. 设置认证及计费的端口号分别为“1812”和“1813”；
b. 选择业务类型为“设备管理业务”；
c. 选择接入设备类型为“H3C (General)”；
d. 设置与Router交互报文时使用的认证、计费共享密钥为“expert”；
e. 选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备；
f. 其它参数采用缺省值；
g. 单击<确定>按钮完成操作。
添加的接入设备IP地址要与Router发送RADIUS报文的源地址保持一致。缺省情况下，设备发送RADIUS报文的源地址是发送RADIUS报文的接口IP地址。
· 若设备上通过命令nas-ip或者radius nas-ip指定了发送RADIUS报文的源地址，则此处的接入设备IP地址就需要修改并与指定源地址保持一致。
· 若设备使用缺省的发送RADIUS报文的源地址，例如，本例中为接口GigabitEthernet1/0/2的IP地址10.1.1.2，则此处接入设备IP地址就选择10.1.1.2。
图1-14 增加接入设备页面
(2) 增加设备管理用户
选择“用户”页签，单击导航树中的“接入用户管理 > 设备管理用户”菜单项，进入设备管理用户列表页面。在该页面中单击<增加>按钮，进入增加设备管理用户页面。
a. 输入用户名“hello@bbb”和密码；
b. 选择服务类型为“SSH”；
c. 输入角色名为“network-admin”；
d. 添加所管理设备的IP地址，IP地址范围为“10.1.1.0～10.1.1.255”；
e. 单击<确定>按钮完成操作。
添加的所管理设备的IP地址范围要包含添加的接入设备的IP地址。
图1-15 增加设备管理用户页面
4. 配置Router
# 配置各接口的IP地址，具体配置步骤略。
# 创建本地RSA及DSA密钥对。
<Router> system
[Router] public-key local create rsa
[Router] public-key local create dsa
# 使能SSH服务器功能。
[Router] ssh server enable
# 设置SSH用户登录用户线的认证方式为AAA认证。
[Router] line vty 0 63
[Router-line-vty0-63] authentication-mode scheme
[Router-line-vty0-63] quit
# 创建RADIUS方案rad。
[Router] radius scheme rad
# 配置主认证服务器的IP地址为10.1.1.1，认证端口号为1812。
[Router-radius-rad] primary authentication 10.1.1.1 1812
# 配置与认证服务器交互报文时的共享密钥为明文expert。
[Router-radius-rad] key authentication simple expert
# 配置向RADIUS服务器发送的用户名要携带域名。
[Router-radius-rad] user-name-format with-domain
[Router-radius-rad] quit
# 创建ISP域bbb，为login用户配置AAA认证方法为RADIUS认证/授权、不计费。由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的，所以必须保证认证和授权方案相同。
[Router] domain bbb
[Router-isp-bbb] authentication login radius-scheme rad
[Router-isp-bbb] authorization login radius-scheme rad
[Router-isp-bbb] accounting login none
[Router-isp-bbb] quit
# 配置缺省的ISP域为bbb。
[Router] domain default enable bbb
5. 验证配置
用户向Router发起SSH连接，按照提示输入用户名hello@bbb及正确的密码后，可成功登录Router，并具有用户角色network-admin所拥有的命令行执行权限。
- 2022-09-29回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论