华为交换机新编配置与管理

1、华为交换机新编配置与管理YUKI was compiled on the morning of December 16, 2020，s*H理1、AAA 是指：authentication （认证）、authorization （授权）、 accounting （计费）的简称，是网络安全的一种管理机制；Authentication是本 地认证/授权，authorization和accounting是由远处radius （远程拨号认证系 统）服务或hwtacacs （华为终端访问控制系统）服务器完成认证/授权；AAA是基 于用户进行认证、授权、计费的，而NAC方案是基于接入设备接口进行认证的。在实

2、际应用中，可以使用AAA的一种或两种服务。2、AAA基本架构：C/S结构，AAA 客户端（也叫NAS-网络接入服务器）是使能7aaa功能的网络 设备（可以是一台或多台、不一定是接入设备）3、AAA基于域的用户管理：通过域来进行AAA用户管理，每个域下可以应用不同的认证、授权、计费以及 radius或hwtacacs服务器模板，相当于对用户进行分类管理缺省情况下，设备存在配置名为default （全局缺省普通域）和 default_admin （全局缺省管理域），均不能删除，只能修改，都属于本地认证； default为接入用户的缺省域，default_admin为管理员账号域（如http、ssh

3、、telnet、terminal ftp 用户）的缺省域。用户所属域是由域分隔符后的字符串来决定的，域分隔符可以是、|、等符 号，域，如果用户名不带，就属于系统缺省default域。自定义域可以被配置为全局缺省普通域或全局缺省管理域，但域下配置的授权 信息较AAA服务器的授权信息优先级低，通常是两者配置的授权信息一致。4、radius 协议Radius通过认证授权来提供接入服务、通过计费来收集、记录用户对网络资 源的使用。定义UDP 1812、1813作为认证（授权）、计费端口Radius服务器维护三个数据库：Users:存储用户信息（用户名、口令、使用的协议、IP地址等）Clients:存储

4、radius客户端信息（接入设备的共享密钥、IP地址）Dictionary:存储radius协议中的属性和属性值含义Radius客户端与radius服务器之间通过共享密钥来对传输数据加密，但共享 密钥不通过网络来传输。5、hwtacacs 协议Hwtacacs是在tacacs（rfc1492）基础上进行了功能增强的安全协议，与radius协议类似，主要用于点对点PPP和VPDN （virtual private dial-upnetwork，虚拟私有拨号网络）接入用户及终端用户的认证、授权、计费。与 radius相比，具有更加可靠的传输和加密特性，更加适合于安全控制。Hwtacacs协议与其他

5、厂商支持的tacacs+协议的认证流程和实现方式是一致 的，能够完全兼容tacacs+协议6、华为设备对AAA特性的支持支持本地、radius、hwtacacs三种任意组合本地认证授权：优点是速度快，可降低运营成本；缺点是存储信息量受设备硬件条件限制RADIUS认证、计费：优点防止非法用户对网络的攻击相对较高；缺点是不支持单独授权功能，必须 与认证功能一起，使用了认证功能就使用了授权功能Hwtacacs认证、授权、计费：认证、授权、计费室单独进行的，可以单独配置使用，在大型网络中可以部署 多台hwtacacs服务器；还支持在一个方案中使用多协议模式，如本地认证常用于 radius认证和hwta

6、cacs认证的备用认证方案，本地授权作为hwtacacs授权的备 用授权方案等二、本地方式认证和授权配置配置流程为：配置AAA方案配置本地用户配置业务方案配置域的AAA方案一、配置AAA方案配置AAA方案就是配置AAA中的认证、授权、计费，用于“域的aaa方案”中绑定这些方案使用（所配置的各种方案只有在域中绑定后才能得到应用）认证方案：1、进入AAA视图Huaweiaaa2、设置一个AAA认证方案名Huawei-aaaauthentication-scheme test13、设置认证模式为本地认证（缺省为本地认证）Huawei-aaa-authen-test1authentication-mo

7、dehwtacacsHWTACACSlocalLocalnoneNoneradius RADIUS4、配置当前认证模板对用户提升级别进行认证时采用的认证模式（可选，默认 为本地认证）Huawei-aaa-authen-test1authentication-superhwtacacs HWTACACSnone Noneradius RADIUSsuperSuper （本地认证模式）5、配置用户名和域名解析的方向（可选，缺省从左向右）Huawei-aaadomainname-parse-directionleft-to-right Configure the left to right dire

8、ction of domainname parsingright-to-left Configure the right to left direction of domainname parsing授权方案：Huawei-aaaauthorization-scheme tetsl2、配置本地授权模式Huawei-aaa-author-tets1authorization-modehwtacacsUse HWTACACS authorizationmethod if-authenticated Use authorization method which lets user(s) author

9、ized ifuser(s) not authenticated by none authentication methodlocalUse local authorizationmethodnoneUse none authorizationmethod3、设置授权服务器下发的用户授权信息的生效模式(可选，缺省为overlay模 式）Huawei-aaaauthorization-modifyModify修改模式，新下发的授权信息覆盖上一次下发的所有属性类别的授权信息Overlay覆盖模式，新下发的授权信息覆盖前次下 发的所有用户授权信息#模拟器未能模拟二、配置本地用户采用本地方式进行认证授

10、权时，需要在本地设备配置用户的认证和授权信息， 如用于认证的用户名、密码、用于授权的优先级、用户组、允许接入的服务器类 型、可建立连接数、访问目录等1、设置本地用户名和密码Huawei-aaalocal-user test password simple 1472582、设置本地用户的级别Huawei-aaalocal-user test privilege level 153、设备本地用户加入用户组（可选，先配置好用户组Huawei-aaalocal-user test user-group teset #模拟器无法模拟4、设置本地用户断开超时时间Huawei-aaalocal-user t

11、est idle-timeout 6005、设备本地用户用于何种类型的服务Huawei-aaalocal-user test service-type8021x userbind Bind authentication userftpFTPuserhttpHttp userpppPPPusersshSSHusertelnetTelnet userterminal Terminal userwebWeb authentication userx25-pad X25-pad user6、本地用户作为FTP使用时设置访问目录Huawei-aaalocal-user test ftp-director

12、ySTRINGflash: flash:/7、设置本地用户状态Huawei-aaalocal-user test stateactive Permit the user（s） to deal with the authen requestblock Forbid the user（s） to deal with the authen request （拒绝该用户认证请求）8、设备本地用户访问时最大连接数（缺省不限制）Huawei-aaalocal-user test access-limit 109、设置本地账号锁定功能（连续登陆失败达到次数后锁定和解锁、重试等参 数）Huawei-aaalo

13、cal-aaa-user wrong-password retry-interval 5 （重试时间间隔）retry-time 3 （连续认证失败的最大次数block-time 10（账号被锁定时间）10、修改账号密码local-user change-password三、配置业务方案（可选）“业务方案”也是一种授权方案，它是专门针对一些IP业务（如管理员权限、 DHCP服务、DNS服务、策略路由）所进行的授权，也称为“业务授权方案”。通常只需要使用admin-user privilege level命令配置管理员用户的用户级 别，其它命令只有在业务方案被其他特性（如IPSEC）调用时才需要配

14、置。具体配置：1、创建一个业务方案Huawei-aaaservice-scheme test2、配置本地用户可作为管理员登陆设备并设置级别Huawei-aaa-service-testadmin-user privilege level 153、设置业务方案下使用的DHCP服务器组（仅7700及以上支持）Huawei-aaa-service-testdhcp-server grpup test4、设置可用的DHCP IP地址池或移动已配置的地址的位置（仅7700及以上支 持）Huawei-aaa-service-testip-pool testpool move-to testpool25、设

15、置业务方案下的主用或备用DNS服务器地址secondary Set secondary DNS server s IPaddress6、设置业务方案下用户的策略路由功能（仅7700及以上支持）（下一跳IP地址）5 （源路由vlan ID）四、配置域的AAA方案认证、授权方案、业务方案只有绑定域的AAA方案中才能得到应用1、设置一个域的AAA方案名（缺省存在default和default_admin两个域）Huawei-aaadomain testdomain2、绑定认证方案Huawei-aaa-domain-testdomainauthentication-scheme test3、绑定授权方

16、案Huawei-aaa-domain-testdomainauthorization-scheme test4、绑定业务方案Huawei-aaa-domain-testdomainservice-scheme tese5、设置域的AAA方案状态Huawei-aaa-domain-testdomainstateactive Activeblock Block6、设置域名分隔符（缺省为）Huawei-aaadomain-name-delimiter 三、RADIUS方式认证、授权、计费配置配置流程为：配置AAA方案一一配置radius服务器模板一一配置业务方案一一 配置域的AAA方案一、认证授权配

17、置Radius中的认证和授权时同步进行的，只要是能其认证功能，也就是能了授权 功能。配置方法同本地认证配置二、计费方案配置1、设置计费方案名Huawei-aaaaccounting-scheme testaccounting2、设置计费模式 Huawei-aaa-accounting-testaccountingaccounting-mode （默认为 none）hwtacacs HWTACACSnoneNoneradiusRADIUS3、设置开始计费失败策略（默认online）Huawei-aaa-accounting-testaccountingaccounting start-failo

18、ffline Offline#如果开始计费失败， 允许用户上线onlineOnline#如果开始计费失败，拒绝用户上线4、设置实时计费功能和时间间隔（缺省未使能）Huawei-aaa-accounting-realtimeaccounting realtime 605、设置实时计费允许设备发送实时计费请求的最大次数（默认为3）或、和失败 后采取的动作Huawei-aaa-accounting-realtimeaccounting interim-fail max-times 10offline Offlineonline Online三、radius服务器模板配置Radius服务器模板用来配置

19、与radius服务器进行通信的相同参数（如radius服 务器IP地址、端口号、共享密钥等）Radius服务器模板下的用户名格式。共享密钥等要与radius服务器上配置对应一 致1、设置radius授权服务器IP地址、授权服务器模板名称、通信密钥server-group Configure RADIUS-client correspondingserver-groupshared-key Configure server shared-keyvpn-instance VPN instance2、配置radius服务器模板名Huaweiradius-server template test3、设

20、置模板下radius主用认证服务器地址、端口号 源接口 loopback编号或、及 IP地址ip-address IP addressloopback LoopBack interface4、设置模板下radius备用认证服务器地址、端口号 源接口 loopback编号或、及IP地址5、设置模板下主用计费服务器地址、端号源接口 loopback编号或、及IP地址secondarySecondary serversourceSource LoopBackinterfacevpn-instance VPN instance6、设置模板下备用计费服务器地址、端号 源接口 loopback编号或、及I

21、P地址 （参考上面配置）7、设置域radius服务器通信的共享密钥（MD5加密，缺省密码为huawei）Huawei-radius-testradius-server shared-key cipher huawei 18、设置设备向radius服务器发送的报文中的用户名包含域名（可选，缺省包含）Huawei-radius-testradius-server user-name domain-included9、设置radius计费服务器计费时采用的流量统计单位（可选，缺省为byte）Huawei-radius-testradius-server traffic-unitbyte Bytegb

22、yte Gbytekbyte Kbyte mbyte Mbyte10、设置radius请求报文允许的超时重传次数和超时时间（可选，缺省5 3） Huawei-radius-testradius-server retransmit 3 timeout 311、设置NAS（AAA客户端）端口形式（可选，缺省为新）Huawei-radius-testradius-server nas-port-formatnew New NAS-Port format （新的）old Old NAS-Port format （旧的）12、设置NAS端口 ID形式（可选867页）Huawei-radius-testr

23、adius-server nas-port-id-formatnew New NAS-PortTd formatold Old NAS-Port-Id format13、设置NAS发送radius报文使用的NASTP-address属性（可选。默认使用指定 的loopback接的IP地址）14、设置计费结束报文的重传功能和可重发的计费停止报文个数（可选。默认都为 0）Huawei-radius-templateradius-server accounting-stop-packet resend 3 #无法模拟15、设置与radius主用服务器恢复重新连接时间间隔（可选，默认为5分钟）Huaw

24、ei-radius-templateradius-server detect-server interval 1016、测试用户能否通过radius认证Huawei-radius-templatetest-aaa test1 123456 radius-template test1chap CHAP method #采用CHAP认证pap PAP method #采用PAP认证四、业务方式配置和域的aaa方案配置同上四、HWTACACS方式认证、授权、计费配置与radius相比，具有更加可靠的传输和加密特性，更加适合于安全控制，可以 防止非法用户对网络攻击，还支持对命令行授权等配置流程：AAA方案hwtacacs服务器模板业务方案域的AAA方案一、设置AAA认证方案同上可以增加的地方1、设置认证旁路时间（默认未使能，单位分钟）Huaweiaaa-authen-bypass enable time 2#未能模拟二、设置AAA授权方案同上可以增加的地方1、为指定级别的用户设置为按命令行授权（可选，默认都没设置）Hu