v7版本

您好，请知：

如果是802.1X认证，需要终端通过radius服务器认证后方可访问网络资源。

如果是tacacs，通过AAA服务器上的账号登录设备进行远程登录管理。

以下是用户手册链接，请参考：

https://www.h3c.com/cn/d_202001/1267735_30005_0.htm 

https://www.h3c.com/cn/d_202001/1267734_30005_0.htm 

telnet也是同样的  看下这个案例

SSH/Telnet用户的RADIUS认证和授权配置

Telnet用户与SSH用户通过RADIUS服务器进行认证/授权的配置方法类似，下面的描述以SSH用户的远端认证为例。

 

1. 组网需求

如图1-12所示，配置Switch实现RADIUS服务器对登录Switch的SSH用户进行认证和授权。

l              由一台iMC服务器担当认证/授权RADIUS服务器的职责，服务器IP地址为10.1.1.1/24。

l              Switch与RADIUS服务器交互报文时使用的共享密钥为expert，向RADIUS服务器发送的用户名带域名。服务器根据用户名携带的域名来区分提供给用户的服务。

l              SSH用户登录Switch时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后的用户级别为3。

2. 组网图

图1-12 SSH用户RADIUS认证/授权配置组网图

 

3. 配置步骤

(1)        配置RADIUS server （iMC）

下面以iMC为例（使用iMC版本为：iMC PLAT 3.20- R2606、iMC UAM 3.60-E6206），说明RADIUS server的基本配置。

 

# 增加接入设备。

登录进入iMC管理平台，选择“业务”页签，单击导航树中的[接入业务/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。

l              设置与Switch交互报文时使用的认证、计费共享密钥为“expert”；

l              设置认证及计费的端口号分别为“1812”和“1813”；

l              选择业务类型为“设备管理业务”；

l              选择接入设备类型为“H3C”；

l              选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备；

l              单击<确定>按钮完成操作。

添加的接入设备IP地址要与Switch发送RADIUS报文的源地址保持一致。缺省情况下，设备发送RADIUS报文的源地址是发送RADIUS报文的接口IP地址。

l          若设备使用缺省的发送RADIUS报文的源地址，例如，本例中为接口Vlan-interface3的IP地址10.1.1.2，则此处接入设备IP地址就选择10.1.1.2。

l          若设备上通过命令nas-ip或者radius nas-ip指定了发送RADIUS报文的源地址，则此处的接入设备IP地址就需要修改并与指定源地址保持一致。

 

图1-13 增加接入设备

 

 

# 增加设备管理用户。

选择“用户”页签，单击导航树中的[接入用户视图/设备管理用户]菜单项，进入设备管理用户列表页面，在该页面中单击<增加>按钮，进入增加设备管理页面。

l              输入用户名“hello@bbb”和密码；

l              选择服务类型为“SSH”；

l              设置EXEC权限级别为“3”，该值为SSH用户登录系统后的用户级别（缺省为0）；

l              增加所管理设备的IP地址，IP地址范围为“10.1.1.0～10.1.1.255”；

l              单击<确定>按钮完成操作。

图1-14 增加设备管理用户

 

(2)        配置Switch

# 配置VLAN接口2的IP地址，SSH客户端将通过该地址连接SSH服务器。

<Switch> system-view

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.1.70 255.255.255.0

[Switch-Vlan-interface2] quit

# 配置VLAN接口3的IP地址，Switch将通过该地址与服务器通信。

[Switch] interface vlan-interface 3

[Switch-Vlan-interface3] ip address 10.1.1.2 255.255.255.0

[Switch-Vlan-interface3] quit

# 生成RSA及DSA密钥对，并启动SSH服务器。

[Switch] public-key local create rsa

[Switch] public-key local create dsa

[Switch] ssh server enable

# 配置SSH用户登录采用AAA认证方式。

[Switch] user-interface vty 0 4

[Switch-ui-vty0-4] authentication-mode scheme

# 配置用户远程登录Switch的协议为SSH。

[Switch-ui-vty0-4] protocol inbound ssh

[Switch-ui-vty0-4] quit

# 创建RADIUS方案rad。

[Switch] radius scheme rad

# 配置主认证服务器的IP地址为10.1.1.1，认证端口号为1812。

[Switch-radius-rad] primary authentication 10.1.1.1 1812

# 配置与认证服务器交互报文时的共享密钥为expert。

[Switch-radius-rad] key authentication expert

# 配置向RADIUS服务器发送的用户名携带域名。

[Switch-radius-rad] user-name-format with-domain

# 配置RADIUS服务器的服务类型。使用iMC服务器时，RADIUS服务器类型应选择extended。

[Switch-radius-rad] server-type extended

[Switch-radius-rad] quit

# 配置ISP域的AAA方法。

[Switch] domain bbb

[Switch-isp-bbb] authentication login radius-scheme rad

[Switch-isp-bbb] authorization login radius-scheme rad

[Switch-isp-bbb] quit

4. 验证配置结果

用户向Switch发起SSH连接，在SSH客户端按照提示输入用户名hello@bbb及正确的密码后，可成功进入Switch的用户界面，并可以使用级别为0、1、2、3的命令。

# 可以通过如下命令查看到AAA用户的连接信息。

[Switch] display connection

 

Index=1   ,Username=hello@bbb

IP=192.168.1.58

IPv6=N/A

 Total 1 connection(s) matched.