H3C、Huawei、Cisco网络设备AAA TACACS认证配置
TACACS技术白皮书
摘要：TACACS是实现AAA功能的一种安全协议，主要是通过TACACS客户端与TACACS服务器通信来实现多种用户的AAA功能。
HWTACACS采用TCP协议承载报文，TCP端口号是49。
- H3C
hwtacacs scheme device-tacacs //配置radius scheme
primary authentication xxx.xxx.xxx.xxx //认证服务器地址
primary authorization xxx.xxx.xxx.xxx //授权服务器地址
key authentication cipher ************ //认证配置密钥
key authorization cipher ************ //授权配置密钥
key accounting cipher ************ //授权配置密钥
user-name-format without-domain //配置不携带域名格式
nas-ip 172.xxx.xxx.xxx //发送源地址(SW-MGMT-IP)
domain device-login //配置设备登录hwtacacs
authentication login hwtacacs-scheme device-tacacs local //认证顺序为tacacs，本地
authorization login hwtacacs-scheme device-tacacs local //授权顺序为tacacs，本地
accounting login hwtacacs-scheme device-tacacs none //审计顺序为tacacs
authorization command hwtacacs-scheme device-tacacs //命令授权为tacacs
super password role network-admin hash “xx” //特权密码
command-privilege level 1 view shell display current-configuration
command-privilege level 1 view shell display device manuinfo
//配置级别1权限
domain default enable device-login //配置默认域
- 华为
配置HWTACACS认证服务器
Hwtacacs enable //开启Hwtacacs功能
hwtacacs-server template device-tacacs //建立服务模板
配置HWTACACS认证服务器
hwtacacs-server authentication xxx.xxx.xxx.xxx
hwtacacs-server authorization xxx.xxx.xxx.xxx
hwtacacs-server accounting xxx.xxx.xxx.xxx
hwtacacs-server source-ip 172.xxx.xxx.xxx.xxx //交换机管理地址
hwtacacs-server timer response-timeout 2
配置HWTACACS服务器密钥
hwtacacs-server shared-key cipher ************
配置认证方案，配置认证方案hwtacacs，认证模式为先进行HWTACACS认证，后进行本地认证
aaa
authentication-scheme hwtacacs
authentication-mode hwtacacs local
配置授权方案，配置授权方案hwtacacs1，授权模式为先进行HWTACACS授权，后进行本地授权
authorization-scheme hwtacacs1
authorization-mode hwtacacs local
authorization-cmd 15 hwtacacs local
配置计费方案，配置计费方案hwtacacs1，计费模式为先进行HWTACACS
accounting-scheme hwtacacs1
accounting-mode hwtacacs
accounting start-fail online
accounting interim-fail online
配置hwtacacs域
domain hwtacacs
authentication-scheme hwtacacs
accounting-scheme hwtacacs1
authorization-scheme hwtacacs1
hwtacacs-server device-tacacs
配置全局默认管理域
domain hwtacacs admin
远程登入授权
user-interface vty 0 4
authentication-mode aaa
只读账号登入授权
command-privilege level 1 view system display current-configuration
command-privilege level 1 view shell display device manufacture-info
command-privilege level 1 view shell display logbuffer
- Cisco
配置AAA server 和key
aaa new-model
tacacs-server host xxx.xxx.xxx.xxx
tacacs-server key ************
或者（15.2(2)E3）
tacacs server tacacs-server
address ipv4 xxx.xxx.xxx.xxx
key ************
配置认证方式（代表tacacs+ server失效后.使用本地认证）
aaa authentication login default group tacacs+ local
配置授权
aaa authorization exec default group tacacs+ local
aaa authorization commands 15 default group tacacs+ local
配置用户行为审计
aaa accounting commands 15 default start-stop group tacacs+
aaa accounting exec default start-stop group tacacs+
aaa accounting connection default start-stop group tacacs+
privilege exec level 1 show startup-config
privilege exec level 1 show logging
//配置级别1权限
认证授权
line vty 0 4
login authentication default
authorization exec default
accounting connection default
accounting exec default
配置认证源vlan
ip tacacs source-interface Vlan xx
