H3C防火墙如何做raduis服务器？

您好，请知：

防火墙无法作为radius服务器。

如果是配置radius的指向，以下是配置举例：

1.14  AAA典型配置举例

1.14.1  SSH用户的RADIUS认证和授权配置

1. 组网需求

SSH用户主机与Device直接相连，Device与一台RADIUS服务器相连，需要实现使用RADIUS服务器对登录Device的SSH用户进行认证和授权。

·     由一台iMC服务器（IP地址为10.1.1.1/24）担当认证/授权RADIUS服务器的职责；

·     Device与RADIUS服务器交互报文时使用的共享密钥为expert，认证/授权、计费的端口号分别为1812和1813；

·     Device向RADIUS服务器发送的用户名携带域名；

·     SSH用户登录Device时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后具有缺省的用户角色network-operator。

2. 组网图

图1-11 SSH用户RADIUS认证/授权配置组网图

‌

3. 配置RADIUS服务器

(1)     增加接入设备

登录进入iMC管理平台，选择“业务”页签，单击导航树中的[接入业务/接入设备管理/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。

a.     设置与Device交互报文时使用的认证、计费共享密钥为“expert”；

b.     设置认证及计费的端口号分别为“1812”和“1813”；

c.     选择业务类型为“设备管理业务”；

d.     选择接入设备类型为“H3C”；

e.     选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备；

f.     其它参数采用缺省值，并单击<确定>按钮完成操作。

图1-12 增加接入设备

(2)     增加设备管理用户

选择“用户”页签，单击导航树中的[接入用户视图/设备管理用户]菜单项，进入设备管理用户列表页面，在该页面中单击<增加>按钮，进入增加设备管理用户页面。

a.     输入用户名“hello@bbb”和密码；

b.     选择服务类型为“SSH”；

c.     添加所管理设备的IP地址，IP地址范围为“10.1.1.0～10.1.1.255”；

d.     单击<确定>按钮完成操作。

图1-13 增加设备管理用户

4. 配置Device

(1)     配置接口IP地址、路由、安全域及域间策略保证网络可达，具体配置步骤略

(2)     配置密钥对

# 生成本地RSA密钥对。

<Device> system-view

[Device] public-key local create rsa

The range of public key modulus is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.

Create the key pair successfully.

# 生成本地DSA密钥对。

[Device] public-key local create dsa

The range of public key modulus is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

..

Create the key pair successfully.

# 生成ECDSA密钥对。

[Device] public-key local create ecdsa secp256r1

Generating Keys...

.

Create the key pair successfully.

(3)     配置SSH

# 开启Stelnet服务器功能。

[Device] ssh server enable

# 设置SSH用户登录用户线的认证方式为AAA认证。

[Device] line vty 0 63

[Device-line-vty0-63] authentication-mode scheme

[Device-line-vty0-63] quit

# 使能缺省用户角色授权功能，使得认证通过后的SSH用户具有缺省的用户角色network-operator。

[Device] role default-role enable

(4)     配置RADIUS方案

# 创建RADIUS方案rad。

[Device] radius scheme rad

# 配置主认证服务器的IP地址为10.1.1.1，认证端口号为1812。

[Device-radius-rad] primary authentication 10.1.1.1 1812

# 配置与认证服务器交互报文时的共享密钥为明文expert。

[Device-radius-rad] key authentication simple expert

# 配置向RADIUS服务器发送的用户名要携带域名。

[Device-radius-rad] user-name-format with-domain

[Device-radius-rad] quit

(5)     配置ISP域

# 创建ISP域bbb，为login用户配置AAA认证方法为RADIUS认证/授权、不计费。由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的，所以必须保证认证和授权方案相同。

[Device] domain bbb

[Device-isp-bbb] authentication login radius-scheme rad

[Device-isp-bbb] authorization login radius-scheme rad

[Device-isp-bbb] accounting login none

[Device-isp-bbb] quit

5. 验证配置

用户向Device发起SSH连接，按照提示输入用户名hello@bbb及正确的密码后，可成功登录Device，并具有用户角色network-operator所拥有的命令行执行权限。