AAA原理與配置主講教師：劉曉君數據網組建與維護1AAA基本概念2AAA實現方式3AAA基本配置4AAA應用場景CONTENTS目錄AAA基本概念AAA是Authentication（認證）、Authorization（授權）和Accounting（計費）的簡稱，是網絡安全的一種管理機制，提供了認證、授權、計費三種安全功能。認證：驗證用戶是否可以獲得訪問權，確定哪些用戶可以訪問網絡。授權：授權用戶可以使用哪些服務。計費：記錄用戶對各種網絡服務的用量，并提供給計費系統。認證授權計費AAA常見架構用戶User1@Domian1User2@Domian2User3@Domian3NASAAA服務器AAA常見網絡架構中包括用戶、NAS（NetworkAccessServer）、AAA服務器（AAAServer）。認證（Authentication）AAA支持的認證方式有：不認證，本地認證，遠端認證。用戶域認證方式User1@Domian1Domain1不認證User2@Domian2Domain2本地認證User3@Domian3Domain3遠端認證用戶User1@Domian1User2@Domian2User3@Domian3NASAAA服務器用戶名和密碼用戶名和密碼User3用戶名和密碼返回認證結果授權（Authorization）AAA支持的授權方式有：不授權，本地授權，遠端授權。用戶User1@Domian1User2@Domian2User3@Domian3NASAAA服務器用戶域授權方式授權內容User1@Domian1Domain1不授權無User2@Domian2Domain2本地授權可以訪問InternetUser3@Domian3Domain3遠端授權由遠端服務器授權計費（Accouting）計費功能用于監控授權用戶的網絡行為和網絡資源的使用情況。AAA支持的計費方式有：不計費，遠端計費。用戶User1@Domian1User2@Domian2User3@Domian3NASAAA服務器用戶域計費方式User1@Domian1Domain1不計費User2@Domian2Domain2不計費User3@Domian3Domain3遠端計費AAA常見應用場景對管理用戶進行本地認證和授權通過RADIUS提供上網用戶的AAA網絡管理員Router（NAS）Telnet登錄NASRADIUS服務器上網用戶從系統視圖進入AAA視圖進行配置AAA配置命令[Huawei]aaa[Huawei-aaa]local-useruser-name

password

cipher

password丨1.進入AAA視圖丨2.創建用戶創建本地用戶，并配置本地用戶的密碼：如果用戶名中帶域名分隔符，如@，則認為@前面的部分是用戶名，后面部分是域名如果沒有@，則整個字符串為用戶名，域為默認域AAA配置命令[Huawei-aaa]local-useruser-nameprivilege

level

level用戶等級命令等級名稱說明00參觀級可使用網絡診斷工具命令（ping、tracert）、從本設備出發訪問外部設備的命令（Telnet客戶端命令）、部分display命令等。10and1監控級用于系統維護，可使用display等命令。20,1and2配置級可使用業務配置命令，包括路由、各個網絡層次的命令，向用戶提供直接網絡服務。3-150,1,2and3管理級可使用用于系統基本運行的命令，對業務提供支撐作用，包括文件系統、FTP、TFTP下載、命令級別設置命令以及用于業務故障診斷的debugging命令等。丨3.配置用戶接入類型丨4.配置用戶級別[Huawei-aaa]local-useruser-nameservice-type{{terminal|telnet|ftp|ssh|snmp|http}|ppp|none}設置本地用戶的接入類型。缺省情況下，本地用戶關閉所有的接入類型。指定本地用戶的權限級別。典型案例應用R1G0/0/154/24案例背景與要求：某公司出口路由器采用企業級路由器，為方便遠程管理，計劃創建admin和public兩個遠程賬號，admin賬號作為管理員賬號，擁有最高權限可以配置路由器，public賬號作為普通用戶賬號，僅可以查看路由器當前狀態信息。案例配置過程[R1]aaa[R1-aaa]local-useradminpasswordcipheradmin@123[R1-aaa]local-useradminprivilegelevel15[R1-aaa]local-useradminservice-typetelnet[R1-aaa]local-userpublicpasswordcipherpublic@456[R1-aaa]local-userpublicprivilegelevel2[R1-aaa]local-userpublicservice-typetelnet[R1]user-interfacevty04[R1-ui-vty0-4]authentication-modeaaa丨1.路由器R1上創建本地用