MSR2600路由器hwtacacs 账号SSH登录正常，但网页用hwtacacs 账号登录失败
- 0关注
- 0收藏，58浏览
问题描述：
MSR2600路由器，系统版本：7.1.064, Release 6749P30 配置了hwtacacs ，SSH能用hwtacacs登录成功，https用hwtacacs和本地账号登录均不成功。
https登录时报：登录失败, AAA认证失败. 把domain system改为authentication login local用本地账号加@system，本地登录成功。怎么才能在web用hwtacacs账号密码登录。
配置是：
hwtacacs scheme tacacs
primary authentication 172.31.254.21
primary authorization 172.31.254.21
primary accounting 172.31.254.21
key authentication cipher XXX
key authorization cipher XXX
key accounting cipher XXX
user-name-format without-domain
nas-ip 172.16.190.2
#
domain cqccn-tacacs
authentication login hwtacacs-scheme tacacs local
authorization login hwtacacs-scheme tacacs local
accounting login hwtacacs-scheme tacacs local
authorization command hwtacacs-scheme tacacs
#
domain system
authentication login local
#
domain default enable tacacs
用本地账号带@system 可以在网页上正常登录，但用hwtacacs账号登录失败。
debugging hwtacacs all
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Processing TACACS authentication.
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Session successfully created.
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Getting available server, server-ip=172.31.254.21, server-port=49, VPN instance=--(public).
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Connecting to server...
*Jan 1 00:24:32:160 2011 H3C TACACS/7/EVENT: PAM_TACACS: Reply SocketFd received EPOLLOUT event.
*Jan 1 00:24:32:160 2011 H3C TACACS/7/EVENT: PAM_TACACS: Connection succeeded, server-ip=172.31.254.21, port=49, VPN instance=--(public).
*Jan 1 00:24:32:160 2011 H3C TACACS/7/EVENT: PAM_TACACS: Encapsulating authentication request packet.
*Jan 1 00:24:32:161 2011 H3C TACACS/7/send_packet:
version: 0xc0 type: AUTHEN_REQUEST seq_no: 1 flag: ENCRYPTED_FLAG
session-id: 0x341ac847
length of payload: 42
action: LOGIN priv_lvl: 0 authen_type: ASCII service: LOGIN
user_len: 8 port_len: 0 rem_len: 14 data_len: 12
user: XXX
port:
rem_addr: 172.16.191.253
data: ******
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Reply SocketFd received EPOLLIN event.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/recv_packet:
version: 0xc0 type: AUTHEN_REPLY seq_no: 2 flag: ENCRYPTED_FLAG
session-id: 0x341ac847
length of payload: 16
status: STATUS_GETPASS flags: NOECHO
server_msg len: 10 data len: 0
server_msg: password:
data:
%Jan 1 00:24:32:167 2011 H3C WEB/5/LOGIN_FAILED: xxx 从 172.16.191.253 登录失败, AAA认证失败.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Processing authentication reply packet.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Reply message successfully sent.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Processing TACACS authentication.
1. 确认HTTP/HTTPS服务关联的ISP域是否正确。默认Web登录使用system域，需在该域下配置HWTACACS认证。
2. 检查HWTACACS服务器是否授权了https服务类型。HWTACACS协议中，Web登录请求的服务类型为https，服务器侧需允许该服务。
3. 确认设备到TACACS服务器的网络连通性及共享密钥一致。
关键配置命令：
bash
进入system域
domain system
配置登录认证方式为HWTACACS，本地作为备份
authentication login hwtacacs-scheme tacacs local
配置授权方式
authorization login hwtacacs-scheme tacacs local
配置计费（可选）
accounting login hwtacacs-scheme tacacs local
确保HTTPS服务已启用
ip https enable
验证命令：
bash
查看域配置
display domain system
测试HWTACACS连通性
test-aaa user <用户名> password <密码> hwtacacs-scheme tacacs
查看TACACS统计
display hwtacacs statistics
若仍失败，在TACACS服务器侧抓包确认设备发送的请求中service字段是否为https，并检查服务器是否返回pass。部分TACACS服务器默认仅允许exec（SSH）服务，需添加https服务授权规则。
你的域配置是正确的，但是 Web 登录使用的是 authentication default（不是 authentication login），Web 网页登录走 default 认证，VTY/SSH 走 login 认证，这是 Comware V7 非常容易踩坑的第二个关键点！
✅ SSH：使用
authentication login（你配置的 hwtacacs） ✅ Web HTTPS 登录：使用authentication default，你当前 domain cqccn-tacacs 没有配置authentication default！
两个修复步骤，按顺序操作
步骤 1：域里面补充 default 认证（Web 登录必须）
system-view
domain cqccn-tacacs
#增加default认证，web登录走default
authentication default hwtacacs-scheme tacacs local
#登录授权也要配套default
authorization default hwtacacs-scheme tacacs local
quit
save
原来只配了
authentication login，这个只对 VTY、SSH 生效，Web 网页登录是 default 通道，不读 login 配置。
步骤 2：TACACS 服务器侧修改账号，关闭二次 enable 密码（解决 STATUS_GETPASS）
当前 TACACS 账号开启了 separate enable password（独立 enable 密码），服务器返回 STATUS_GETPASS 索要第二重密码。 Web 界面没有地方输入 enable 密码，无法完成交互。两种方案二选一：
- 【推荐】取消该账号的独立 enable 密码，直接把账号最大权限等级（Max Privilege）设置为 3（network-admin），不需要 enable 二次密码；服务器认证一次性返回 PASS，不再返回 GETPASS。
- 临时测试：TACACS 账号关闭
require enable password，登录权限直接在认证阶段下发。
SSH 可以交互式输入 enable 密码，所以 SSH 正常；Web 页面只有 1 组账号密码输入框，遇到 STATUS_GETPASS 直接失败。
三、其他必须核查项
- HWTACACS 服务器下发 RBAC 角色
H3C V7 设备 Web 登录，TACACS 服务器必须下发 H3C 私有属性指定用户角色（
h3c-role=network-admin），只下发 privilege-level 不够。如果没有下发角色，就算认证 PASS，Web 也登录失败。- 属性：
h3c-role，值：network-admin（管理员）
- 属性：
- 确认 Web 管理开启：
display ip https - Web 登录账号输入格式：
- 方案
user-name-format without-domain，登录框用户名不要带 @cqccn-tacacs，直接填用户名； - 如果填写
user@cqccn-tacacs，会额外携带域名发给 TACACS 服务器，认证失败。
- 方案
测试验证顺序
- TACACS 服务器修改账号，关闭独立 enable 密码，直接下发权限等级 3 + h3c-role=network-admin
- 路由器 domain cqccn-tacacs 增加
authentication default、authorization default - Web 页面登录，用户名不带 @域名，只填账号密码
- debug hwtacacs，观察返回状态变为 STATUS_PASS，不再出现 STATUS_GETPASS
快速区分现象
- 日志出现
STATUS_GETPASS：服务器要二次 enable 密码，Web 无法处理； - 日志直接 STATUS_PASS：认证成功，后续看是否授权角色缺失；
应急测试
临时在 TACACS 服务器新建一个不带 enable 密码的测试账号，直接测试 web 登录，可以快速验证这个根因。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明