MSR3610 radius配置案例

问题定位关键点：radius连通性，1812、1813端口可达性，秘钥一致性、nas-ip与接入设备的ip的一致性，标准的AAA协议。

SSH用户的RADIUS认证和授权配置

1. 组网需求

需要实现使用RADIUS服务器对登录Router的SSH用户进行认证和授权。

·              由一台iMC服务器（IP地址为10.1.1.1/24）担当认证/授权RADIUS服务器的职责；

·              Router与RADIUS服务器交互报文时使用的共享密钥为expert，认证/授权、计费的端口号分别为1812和1813；

·              Router向RADIUS服务器发送的用户名携带域名；

·              SSH用户登录Router时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后具有用户角色network-admin。

2. 组网图

图1-12 SSH用户RADIUS认证/授权配置组网图

‌

3. 配置RADIUS服务器

(1)      增加接入设备

登录进入iMC管理平台，选择“用户”页签，单击导航树中的“接入策略管理> 接入设备管理 > 接入设备配置”菜单项，进入接入设备配置页面。在该页面中单击<增加>按钮，进入增加接入设备页面。

a.   设置认证及计费的端口号分别为“1812”和“1813”；

b.   选择业务类型为“设备管理业务”；

c.   选择接入设备类型为“H3C (General)”；

d.   设置与Router交互报文时使用的认证、计费共享密钥为“expert”；

e.   选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备；

f.    其它参数采用缺省值；

g.   单击<确定>按钮完成操作。

图1-13 增加接入设备页面

(2)      增加设备管理用户

选择“用户”页签，单击导航树中的“接入用户管理 > 设备管理用户”菜单项，进入设备管理用户列表页面。在该页面中单击<增加>按钮，进入增加设备管理用户页面。

a.   输入用户名“hello@bbb”和密码；

b.   选择服务类型为“SSH”；

c.   输入角色名为“network-admin”；

d.   添加所管理设备的IP地址，IP地址范围为“10.1.1.0～10.1.1.255”；

e.   单击<确定>按钮完成操作。

图1-14 增加设备管理用户页面

4. 配置Router

# 配置各接口的IP地址，具体配置步骤略。

# 创建本地RSA及DSA密钥对。

<Router> system

[Router] public-key local create rsa

[Router] public-key local create dsa

# 使能SSH服务器功能。

[Router] ssh server enable

# 设置SSH用户登录用户线的认证方式为AAA认证。

[Router] line vty 0 63

[Router-line-vty0-63] authentication-mode scheme

[Router-line-vty0-63] quit

# 创建RADIUS方案rad。

[Router] radius scheme rad

# 配置主认证服务器的IP地址为10.1.1.1，认证端口号为1812。

[Router-radius-rad] primary authentication 10.1.1.1 1812

# 配置与认证服务器交互报文时的共享密钥为明文expert。

[Router-radius-rad] key authentication simple expert

# 配置向RADIUS服务器发送的用户名要携带域名。

[Router-radius-rad] user-name-format with-domain

[Router-radius-rad] quit

# 创建ISP域bbb，为login用户配置AAA认证方法为RADIUS认证/授权、不计费。由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的，所以必须保证认证和授权方案相同。

[Router] domain bbb

[Router-isp-bbb] authentication login radius-scheme rad

[Router-isp-bbb] authorization login radius-scheme rad

[Router-isp-bbb] accounting login none

[Router-isp-bbb] quit

5. 验证配置

用户向Router发起SSH连接，按照提示输入用户名hello@bbb及正确的密码后，可成功登录Router，并具有用户角色network-admin所拥有的命令行执行权限。

1.15.2  SSH用户的本地认证和授权配置

1. 组网需求

配置Router实现对登录Router的SSH用户进行本地认证和授权，并授权该用户具有用户角色network-admin。

2. 组网图

图1-15 SSH用户本地认证/授权配置组网图

‌

3. 配置步骤

# 配置各接口的IP地址,，具体配置步骤略。

# 创建本地RSA及DSA密钥对。

<Router> system-view

[Router] public-key local create rsa

[Router] public-key local create dsa

# 使能SSH服务器功能。

[Router] ssh server enable

# 设置SSH用户登录用户线的认证方式为AAA认证。

[Router] line vty 0 63

[Router-line-vty0-63] authentication-mode scheme

[Router-line-vty0-63] quit

# 创建设备管理类本地用户ssh。

[Router] local-user ssh class manage

# 配置该本地用户的服务类型为SSH。

[Router-luser-manage-ssh] service-type ssh

# 配置该本地用户密码为明文123456TESTplat&!。（若是FIPS模式下，只能使用交互式方式设置）

[Router-luser-manage-ssh] password simple 123456TESTplat&!

# 配置该本地用户的授权用户角色为network-admin

[Router-luser-manage-ssh] authorization-attribute user-role network-admin

[Router-luser-manage-ssh] quit

# 创建ISP域bbb，为login用户配置AAA认证方法为本地认证和本地授权。

[Router] domain bbb

[Router-isp-bbb] authentication login local

[Router-isp-bbb] authorization login local

[Router-isp-bbb] quit

4. 验证配置

用户向Router发起SSH连接，按照提示输入用户名ssh@bbb及正确的密码后，可成功登录Router，并具有用户角色network-admin所拥有的命令行执行权限。