H3C S3600 与ACS配合做tacacs认证的典型配置

H3C S3600与ACS配合做tacacs认证的典型配置

 

一、  组网需求：

需要对登录交换机的telnet管理用户经过ACS的tacacs认证以确认其合法性。ACS Server和交换机之间只要路由通即可，无特殊要求。

二、  组网图：

   

三、  配置步骤：

1. ACS 侧配置

(1)    进入主界面

   

   

(2)    创建AAA Clients

    点击Network Configuration

   

    点击“Add Entry”

   

输入“AAA Client Hostname”，添加“AAA Client IP Address”，设置“Key”，在“Authenticate Using”列表中选择认证使用的协议为“TACACS+(Cisco IOS)”，点击“Submit+Restart”创建完毕，以后可以根据需要在“AAA Client IP Address”中添加IP，无需再次创建。此处的AAA Client IP Address 即为我们平常所说的NAS IP。

列表中可以看到新建的客户端的相关信息

(3)    配置Group

点击“Group Setup”

   

从Group列表中选择要编辑的group 1，点击“Edit Settings”

   

在“Jump To”列表中选择“TACACS+”即可直接跳到TACACS+属性的设置界面

   

勾选Shell(exec) 和 Privilege level 并在Privilege level中填入允许用户拥有的权限，可填范围为0-15(其中3-15对应我司设备的level 3权限)。

然后点击Submit+Restart来提交生效。

(4)    创建用户

点击“User Setup”

   

输入要创建的用户名“h3c”，点击“Add/Edit”，进入编辑画面,

填写Real Name 和Description以及密码信息

   

选择用户所属的组Group 1，点击Submit

   

2. 设备侧配置

(1)          配置hwtacacs

       [H3C]hwtacacs scheme acs

       [H3C-hwtacacs-acs] primary authentication 1.1.1.4

       [H3C-hwtacacs-acs] primary authorization 1.1.1.4

       [H3C-hwtacacs-acs] primary accounting 1.1.1.4 

       [H3C-hwtacacs-acs] key authentication h3c

       [H3C-hwtacacs-acs] key authorization h3c

       [H3C-hwtacacs-acs] key accounting h3c

       [H3C-hwtacacs-acs] user-name-format without-domain 

(2)          配置domain

       [H3C]domain acs

       [H3C-isp-acs] scheme hwtacacs-scheme acs

(3)          配置默认domain

       [H3C] domain default enable acs  

(4)                      配置user-interface

       [H3C]  user-interface vty 0 4

       [H3C-ui-vty0-4]   authentication-mode scheme 

       [H3C-ui-vty0-4]   accounting commands scheme  

四、  配置关键点：

(1)  ACS上AAA Client IP配置的是设备的NAS IP

(2)  AAA Client配置的key值需要与设备上hwtacacs配置的key保持一致

(3)  用户名是否携带域名可以按照需要配置，但要注意的就是携带域名的时候，ACS上配置的用户名也得携带域名.