H3C S9500交换机Radius认证功能的配置

H3C S9500交换机Radius认证功能的配置

一、组网需求：

如下组网中，需要通过对交换机的配置实现RADIUS服务器对登录交换机的Telnet用户的远端认证。

由一台RADIUS服务器（其担当认证RADIUS服务器的职责）与交换机相连，服务器IP地址为8.8.8.14，设置交换机与认证RADIUS服务器交互报文时的加密密码“expert”，设置交换机从用户名中去除用户域名后再将之传给RADIUS服务器。并把本地Radius作为备用认证方案。

二、组网图

三、配置步骤：

软件版本：S9500交换机全系列软件版本

硬件版本：S9500交换机全系列硬件版本

1）配置Telnet用户采用远端认证方式，即Scheme方式

[S9500]user-interface vty 0 4

[S9500-ui-vty0-4]authentication-mode scheme

2）配置Domain域

[S9500] domain cams

3）RADIUS方案配置，配置首选Radius Server IP地址和次选Radius Server IP地址（本地）

[S9500] radius scheme cams

[S9500-radius-cams] primary authentication 8.8.8.14

[S9500-radius-cams] primary accouting 8.8.8.14

[S9500-radius-cams] secondary authentication 127.0.0.1 1645

[S9500-radius-cams] secondary accouting 127.0.0.1 1646

4）配置认证加密密钥

[S9500-radius-cams] key authentication expert

[S9500-radius-cams] key accounting expert

5）指示系统从用户名中去除用户域名后再将之传给RADIUS服务器

[S9500-radius-cams] user-name-format without-domain

6）配置Domain和RADIUS的关联

[S9500] domain cams

[S9500-isp-cams] radius-scheme cams

7）配置本地服务器

[S9500]local-server nas-ip 127.0.0.1 key expert

8）添加本地telnet用户

[S9500] local-user telnet

[S9500-luser-localuser] service-type telnet

[S9500-luser-localuser] password simple telnet

四、配置关键点：

1）设置本地Radius时需要指定认证和计费端口1645、1646，不能默认；

2）本地的认证和计费密钥必须和远程服务器上的配置一致；

3）只有在远程Radius无响应时才会转到本地认证。