H3C S3600 与ACS配合做tacacs认证的典型配置
一、 组网需求:
需要对登录交换机的telnet管理用户经过ACS的tacacs认证以确认其合法性。ACS Server和交换机之间只要路由通即可,无特殊要求。
二、 组网图:
三、 配置步骤:
1. ACS 侧配置
(1) 进入主界面
(2) 创建AAA Clients
点击Network Configuration
点击“Add Entry”
输入“AAA Client Hostname”,添加“AAA Client IP Address”,设置“Key”,在“Authenticate Using”列表中选择认证使用的协议为“TACACS+(Cisco IOS)”,点击“Submit+Restart”创建完毕,以后可以根据需要在“AAA Client IP Address”中添加IP,无需再次创建。此处的AAA Client IP Address 即为我们平常所说的NAS IP。
列表中可以看到新建的客户端的相关信息
(3) 配置Group
点击“Group Setup”
从Group列表中选择要编辑的group 1,点击“Edit Settings”
在“Jump To”列表中选择“TACACS+”即可直接跳到TACACS+属性的设置界面
勾选Shell(exec) 和 Privilege level 并在Privilege level中填入允许用户拥有的权限,可填范围为0-15(其中3-15对应我司设备的level 3权限)。
然后点击Submit+Restart来提交生效。
(4) 创建用户
点击“User Setup”
输入要创建的用户名“h3c”,点击“Add/Edit”,进入编辑画面,
填写Real Name 和Description以及密码信息
选择用户所属的组Group 1,点击Submit
2. 设备侧配置
(1) 配置hwtacacs
[H3C]hwtacacs scheme acs
[H3C-hwtacacs-acs] primary authentication 1.1.1.4
[H3C-hwtacacs-acs] primary authorization 1.1.1.4
[H3C-hwtacacs-acs] primary accounting 1.1.1.4
[H3C-hwtacacs-acs] key authentication h3c
[H3C-hwtacacs-acs] key authorization h3c
[H3C-hwtacacs-acs] key accounting h3c
[H3C-hwtacacs-acs] user-name-format without-domain
(2) 配置domain
[H3C]domain acs
[H3C-isp-acs] scheme hwtacacs-scheme acs
(3) 配置默认domain
[H3C] domain default enable acs
(4) 配置user-interface
[H3C] user-interface vty 0 4
[H3C-ui-vty0-4] authentication-mode scheme
[H3C-ui-vty0-4] accounting commands scheme
四、 配置关键点:
(1) ACS上AAA Client IP配置的是设备的NAS IP
(2) AAA Client配置的key值需要与设备上hwtacacs配置的key保持一致
(3) 用户名是否携带域名可以按照需要配置,但要注意的就是携带域名的时候,ACS上配置的用户名也得携带域名.