radius认证与本地SSH认证互为主备的远程登陆管理配置方式

 Telnet用户的local认证、HWTACACS授权、RADIUS计费配置

1. 组网需求

如下图所示，Telnet用户主机与Switch直接相连，Switch分别与一台RADIUS服务器和一台HWTACACS服务器相连，需要实现对登录Switch的Telnet用户进行local认证，HWTACACS授权和RADIUS计费。

·     一台HWTACACS服务器（担当授权服务器的职责）与Switch相连，服务器IP地址为10.1.1.2。Switch与授权HWTACACS服务器交互报文时的共享密钥为expert，发送给HWTACACS服务器的用户名中不带域名。

·     一台RADIUS服务器（担当计费服务器的职责）与Switch相连，服务器IP地址为10.1.1.1。Switch与计费RADIUS服务器交互报文时的共享密钥为expert。

2. 组网图

图1-10 Telnet用户local认证、HWTACACS授权和RADIUS计费配置组网图

3. 配置步骤

# 配置各接口的IP地址（略）。

# 开启Switch的Telnet服务器功能。

<Switch> system-view

[Switch] telnet server enable

# 配置Telnet用户登录采用AAA认证方式。

[Switch] user-interface vty 0 15

[Switch-ui-vty0-15] authentication-mode scheme

[Switch-ui-vty0-15] quit

# 配置HWTACACS方案。

[Switch] hwtacacs scheme hwtac

[Switch-hwtacacs-hwtac] primary authorization 10.1.1.2 49

[Switch-hwtacacs-hwtac] key authorization expert

[Switch-hwtacacs-hwtac] user-name-format without-domain

[Switch-hwtacacs-hwtac] quit

# 配置RADIUS方案。

[Switch] radius scheme rd

[Switch-radius-rd] primary accounting 10.1.1.1 1813

[Switch-radius-rd] key accounting expert

[Switch-radius-rd] server-type extended

[Switch-radius-rd] user-name-format without-domain

[Switch-radius-rd] quit

# 创建本地用户hello。

[Switch] local-user hello

[Switch-luser-hello] service-type telnet

[Switch-luser-hello] password simple hello

[Switch-luser-hello] quit

# 配置ISP域的AAA方法。

[Switch] domain bbb

[Switch-isp-bbb] authentication login local

[Switch-isp-bbb] authorization login hwtacacs-scheme hwtac

[Switch-isp-bbb] accounting login radius-scheme rd

[Switch-isp-bbb] quit

4. 验证配置结果

用户向Switch发起Telnet连接，在Telnet客户端按照提示输入用户名hello@bbb和正确的密码后，可成功进入Switch的用户界面。在Switch上可以通过display connection命令查看到AAA用户的连接信息。