MSR系列路由器与思科ACS配合时无法下发用户权限问题的说明

问题现象：

MSR路由器与Cisco ACS4.0配合，使用RADIUS协议时，无法给SSH和FTP类型的用户授权，TELNET用户则可以。

问题说明：

1.      RADIUS方案中，使用标准(standard)模式时：

SSH、FTP和TELNET用户都是管理用户，在标准模式下不区分类型，所以用户名密码正确就可以通过认证，但是无法授权。

2.    RADIUS方案中，使用扩展(extended)模式时：

SSH和FTP都是公用属性，但是ACS服务器不支持导入这些属性。因此，路由器将用户名/密码以及属性传到ACS之后，由于ACS找不到这些属性，自然不会给用户授权。TELNET 用户可以实现认证授权，因为ACS上有TELNET属性，而且ACS也可以导入TELNET的私有授权属性。

因此，这个问题的主要原因是ACS无法导入SSH和FTP属性。AAA服务器shiva就可以实现SSH和FTP相关属性的导入。