学海无涯 走一路学一路

一、 组网需求
配置TACACS+可达性检测，用于发现处于不可达状态的TACACS+服务器

二、组网图

三、 配置要点
● 配置全局TACACS+服务器不可达的判定标准。
● 配置TACACS+服务器的IP地址，指定主动探测的相关参数。

四、 配置步骤
# 配置全局TACACS+服务器不可达的判定标准为连续5次探测超时，超时时间为120秒。
Device> enable
Device# configure terminal
Device(config)# radius-server dead-criteria time 120 tries 5

# 配置TACACS+服务器的IP地址为192.168.1.3，探测用户名为test，探测间隔为90分钟。
Device(config)# tacacs-server host 192.168.1.3 test username test idle-time 90

 

五、验证配置结果
使设备与192.168.1.22服务器网络通讯断开。通过设备进行TACACS+认证。120秒后，使用命令show tacacs命
令查看服务器状态为Dead。
Hostname# show tacacs server

六、配置文件
!
tacacs-server host 192.168.1.3 test username test idle-time 90
tacacs-server dead-criteria time 120 tries 5
!

 

一、 组网需求
用户的认证、授权和记账三种服务使用不同的TACACS+服务器组。

二、组网图

三、 配置要点
● 在TACACS+ server上配置设备信息、添加Login用户等。
● 在设备上开启AAA安全服务。
● 在设备上配置TACACS+服务器信息，并将其加入不同的TACACS+服务器组。
● 配置TACACS+的认证、授权和记账方法列表。
● 在特定线路上应用TACACS+认证、授权和记账方法。

四、 配置步骤
(1) 在TACACS+服务器上配置设备信息、添加Login用户

(2) 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

(3) 配置TACACS+服务器A，并将其加入TACACS+服务器组tacacs1。（此处TACACS+服务器A的地址为
192.168.1.3，共享密钥为sharekey）。
Device(config)# tacacs-server host 192.168.1.3 key sharekey
Device(config)# aaa group server tacacs+ tacacs1
Device(config-gs-tacacs+)# server 192.168.1.3
Device(config-gs-tacacs+)# exit

(4) 参照配置服务器组tacacs1的步骤，依次配置服务器组tacacs2和tacacs3。
Device(config)# tacacs-server host 192.168.1.4 key sharekey
Device(config)# aaa group server tacacs+ tacacs2
Device(config-gs-tacacs+)# server 192.168.1.4
Device(config-gs-tacacs+)# exit
Device(config)# tacacs-server host 192.168.1.5 key sharekey
Device(config)# aaa group server tacacs+ tacacs3
Device(config-gs-tacacs+)# server 192.168.1.5
Device(config-gs-tacacs+)# exit

(5) 配置认证方法列表使用服务器组tacacs1、授权方法列表使用服务器组tacacs2、记账方法列表使用服务器组
tacacs3。
Device(config)# aaa authentication login tacacs-method group tacacs1
Device(config)# aaa authorization exec radius-method group tacacs2
Device(config)# aaa accounting exec radius-method start-stop group tacacs3

(6) 在线路上应用认证方法。
Device(config)# line vty 0 4
Device(config-line)# login authentication tacacs1
Device(config-line)# authorization exec tacacs2
Device(config-line)# accounting exec tacacs3

 

五、验证配置结果
# 用户输入在TACACS+服务器A上配置的合法用户名密码后，能够成功登录设备。
User Access Verification
Username:hostname1
Password:password1
Device#

# 登录设备后，用户只拥有TACACS+服务器B授予的权限级别，仅能运行该权限级别下的命令。
# 用户退出登录后，在TACACS+服务器C上能够查看到该用户的记账信息。

六、配置文件
!
aaa new-model
!
aaa accounting exec radius-method start-stop group tacacs3
aaa authorization exec radius-method group tacacs2
aaa authentication login radius-method group tacacs1
!
tacacs-server host 192.168.1.3 key 7 $10$275$g8oXDDIPVeA=$
tacacs-server host 192.168.1.4 key 7 $10$275$g8oXDDIPVeA=$
tacacs-server host 192.168.1.5 key 7 $10$275$g8oXDDIPVeA=$
!
!
aaa group server tacacs+ tacacs1
server 192.168.1.3
!
aaa group server tacacs+ tacacs2
server 192.168.1.4
!
aaa group server tacacs+ tacacs3
server 192.168.1.5
!
line console 0
line vty 0 4
accounting exec tacacs3
authorization exec tacacs2
login authentication tacacs1
!

七、常见错误
●设备配置的共享密钥与RADIUS服务器使用的共享密钥不一致。
● 向服务器组加入未定义的服务器。

 

一、 组网需求
Login用户通过TACACS+服务器实现认证。

二、组网图

三、 配置要点
● 在TACACS+ server上配置设备信息、添加Login用户等。
● 在设备上开启AAA安全服务。
● 在设备上配置TACACS+服务器信息。
● 配置TACACS+的认证方法列表。
● 在特定线路上应用TACACS+认证方法。

四、 配置步骤
(1) 在TACACS+服务器上配置设备信息、添加Login用户

(2) 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

(3) 配置TACACS+服务器（此处TACACS+服务器地址为192.168.1.3，共享密钥为sharekey）。
Device(config)# tacacs-server host 192.168.1.3 key sharekey

(4) 配置认证方法列表。
Device(config)# aaa authentication login tacacs-method group tacacs+

(5) 在线路上应用认证方法。
Device(config)# line vty 0 4
Device(config-line)# login authentication tacacs-method

 

五、验证配置结果
# 用户输入正确的用户名密码后，能够成功登录设备。
User Access Verification
Username:hostname1
Password:password1
Device#

六、配置文件
!
aaa new-model
!
aaa authentication login tacacs-method group tacacs+
!
tacacs-server host 192.168.1.3 key 7 $10$275$g8oXDDIPVeA=$
!
line console 0
line vty 0 4
login authentication tacacs-method
!

七、常见错误
设备配置的共享密钥与TACACS+服务器使用的共享密钥不一致。

 

一、 组网需求
配置RADIUS可达性检测，用于发现处于不可达状态的RADIUS服务器。

二、组网图

三、 配置要点
● 配置全局RADIUS服务器不可达的判定标准。
● 配置RADIUS服务器的IP地址，指定主动探测的相关参数。

四、 配置步骤
# 配置全局RADIUS服务器不可达的判定标准为连续5次探测超时，超时时间为120秒。
Device> enable
Device# configure terminal
Device(config)# radius-server dead-criteria time 120 tries 5

# 配置RADIUS服务器的IP地址为192.168.1.3，探测用户名为test，探测间隔为90分钟，并关闭对服务器认证端
口的检测。
Device(config)# radius-server host 192.168.1.3 test username test ignore-acct-port idle-time 90

 

五、验证配置结果
使设备与192.168.1.3服务器网络通讯断开。通过设备进行RADIUS认证。120秒后，使用命令show radius
server命令查看服务器状态为Dead。

六、配置文件
!
radius-server host 192.168.1.3 test username test ignore-acct-port idle-time 90 key 7
$10$275$g8oXDDIPVeA=$
radius-server dead-criteria time 120 tries 5
!

 

一、 组网需求
Login用户通过RADIUS服务器实现认证、授权和记账。

二、组网图

三、 配置要点
● 在RADIUS server上配置设备信息、添加Login用户等。
● 在设备上开启AAA安全服务。
● 在设备上配置RADIUS服务器信息。
● 配置RADIUS的认证方法列表、授权方法列表、记账方法列表。
● 在特定线路上应用RADIUS认证、授权、记账方法。

四、 配置步骤
(1) 在RADIUS服务器上配置设备信息、添加Login用户。

(2) 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

(3) 配置RADIUS服务器（此处RADIUS服务器地址为192.168.1.3，共享密钥为sharekey）。
Device(config)# radius-server host 192.168.1.3 key sharekey

(4) 配置认证、授权和记账方法列表。
Device(config)# aaa authentication login radius-method group radius
Device(config)# aaa authorization exec radius-method group radius
Device(config)# aaa accounting exec radius-method start-stop group radius

(5) 在线路上应用认证、授权和记账方法。
Device(config)# line vty 0 4
Device(config-line)# login authentication radius-method
Device(config-line)# authorization exec radius-method
Device(config-line)# accounting exec radius-method

 

五、验证配置结果
# 用户输入正确的用户名密码后，能够成功登录设备。

# 登录设备后，用户只拥有服务器授予的权限级别，仅能运行该权限级别下的命令。
# 用户退出登录后，在RAIDUS上能够查看到该用户的记账信息。

六、配置文件
!
aaa new-model
!
aaa accounting exec radius-method start-stop group radius
aaa authorization exec radius-method group radius
aaa authentication login radius-method group radius
!
radius-server host 192.168.1.3 key 7 $10$275$g8oXDDIPVeA=$
!
line console 0
line vty 0 4
accounting exec radius-method
authorization exec radius-method
login authentication radius-method
!
七、常见错误
● 设备配置的共享密钥与RADIUS服务器使用的共享密钥不一致。

 

一、 组网需求
创建一个域并为该域指定安全方法列表后，属于该域的用户使用该域的安全方法进行认证、授权、记账。

二、组网图

三、 配置要点
● 使用RADIUS认证和记账，需要提前配置RADIUS服务器。
● 开启AAA安全服务。
● 配置AAA安全方法列表。
● 开启基于域名的AAA服务。
● 创建域。
● 在指定域中关联AAA方法列表。
● 配置域属性。

四、 配置步骤
(1) 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

(2) 配置AAA服务器（此处以RADIUS服务器为例）。
Device(config)# radius-server host 192.168.1.2 key radiuskey

(3) 配置AAA安全方法列表。
Device(config)# aaa authentication dot1x default group radius
Device(config)# aaa accounting network list3 start-stop group radius

(4) 开启基于域名的AAA服务。
Hostname(config)# aaa domain enable

(5) 创建域并配置域属性。
Device(config)# aaa domain domain.com
Device(config-aaa-domain)# authentication dot1x default
Device(config-aaa-domain)# accounting network list3
Device(config-aaa-domain)# username-format without-domain

 

五、验证配置结果
在设备上使用show aaa domain命令查看域配置。
Device# show aaa domain domain.com

六、配置文件
!
aaa new-model
aaa domain enable
!
aaa domain domain.com
authentication dot1x default
accounting network list3
username-format without-domain
!
aaa accounting network list3 start-stop group radius
aaa authentication dot1x default group radius
!
radius-server host 192.168.1.2 key radiuskey
!

七、常见错误
● 使用本地方法提供AAA安全服务时，未在本地数据库中配置用户信息。
● 使用远程服务器组方法提供AAA安全服务时，未配置RADIUS/TACACS+服务器，未在服务器上配置用户信
息。

 

一、 组网需求
创建自定义的AAA服务器组，用于提供AAA服务。

二、组网图

三、 配置要点
● 配置AAA服务器。
● 创建AAA自定义服务器组。
● 在自定义服务器组中添加服务器组成员。

四、 配置步骤
(1) 添加AAA服务器（此处以RADIUS服务器举例）。
Device> enable
Device# configure terminal
Device(config)# radius-server host 10.1.1.1
Device(config)# radius-server host 10.1.1.2
Device(config)# radius-server host 10.1.1.3
Device(config)# radius-server host 10.1.1.4

(2) 配置全局RADIUS服务器通信密钥。
Device(config)# radius-server key radiuskey

(3) 创建服务器组group1，并为其添加成员。
Device(config)# aaa group server radius group1
Device(config-gs-radius)# server 10.1.1.1
Device(config-gs-radius)# server 10.1.1.2
Device(config-gs-radius)#exit

(4) 创建服务器组group2，并为其添加成员。
Device(config)#aaa group server radius group2
Device(config-gs-radius)#server 10.1.1.3
Device(config-gs-radius)#server 10.1.1.4
Device (config-gs-radius)#exit

五、验证配置结果
# 在设备上通过show aaa group命令查看配置效果。
Device# show aaa group

六、配置文件
!
radius-server host 10.1.1.1
radius-server host 10.1.1.2
radius-server host 10.1.1.3
radius-server host 10.1.1.4
radius-server key radiuskey
!
aaa group server radius group1
server 10.1.1.1
server 10.1.1.2
!
aaa group server radius group2
server 10.1.1.3
server 10.1.1.4
!

七、常见错误
对于使用非默认认证、记账端口的RADIUS服务器，在使用命令server添加服务器时要同时指定认证端口或记账
端口。

 

一、 组网需求
授予认证用户可用的网络服务，例如流量、带宽、超时等。

二、组网图

三、 配置要点
● 开启AAA安全服务。
●配置Network授权方法列表。
●将Network授权方法列表应用到特定的接口线路（如果配置default方法，则无需该步骤）。

四、 配置步骤
# 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

# 配置Network授权default方法列表。
Device(config)# aaa authorization network default group radius non

五、验证配置结果
# 在设备上，通过show aaa method-list命令查看配置效果。
Device# show aaa method-list

六、配置文件
！
aaa new-model
！
aaa authorization network default group radius none
！

一、 组网需求
为Login用户配置命令授权，在用户通过终端登录设备后，仅允许使用授权范围内的命令。

二、组网图

三、 配置要点
● 在设备上开启AAA安全服务。
● 在设备上配置TACACS+服务器的IP地址和共享密钥。
●在设备上配置Login认证方法列表和命令授权方法列表。
● 在TACACS+服务器配置认证用户及授权命令范围。
●在特定线路上应用认证方法和授权方法。

四、 配置步骤
(1) 在TACACS+服务器上添加Login用户，配置授权命令范围，配置为设备提供AAA服务。（配置略。关于
TACACS+服务器的配置，请参见对应服务器的使用手册）。

(2) 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

(3) 配置TACACS+服务器的IP地址和共享秘钥（此处设IP地址为10.110.1.2，共享密钥为sharekey）。
Device(config)# tacacs-server host 10.110.1.2 key sharekey

(4) 配置Login认证方法列表login-method，优先使用TACACS+服务器认证，其次使用本地认证。
Device(config)# aaa authentication login login-method group tacacs+ local

(5) 在本地用户数据库中添加账号host1，并配置账号权限。
Device(config)# username host1 privilege 15 password password1

(6) 为15级命令配置命令授权方法列表command-method，优先使用TACACS+服务器授权，其次使用本地授
权。
Device(config)# aaa authorization commands 15 command group tacacs+ local

(7) 将认证方法列表和授权方法列表应用到终端线路上。
Device(config)# line vty 0 35
Device(config-line)# login authentication login-method
Device(config-line)# authorization exec command-method

五、常见错误
● TACACS+服务器和设备配置的共享密钥不一致。
●TACACS+服务器上命令授权配置错误。

 

一、 组网需求
用户可以拥有0~15权限等级的执行权限，配置Enable认证要求用户在使用enable命令将权限切换至更高级别时进
行身份认证。如下图，Device上配置本地认证和Enable密码认证两种方式，优先使用本地认证，若本地认证方
式失效，则使用Enable密码认证。

二、组网图

三、 配置要点
● 在设备上开启AAA安全服务。
● 配置本地用户数据库和Enable密码。
● 配置Enable认证方法列表。

注：只能定义一个Enable认证方法列表，因此Enable认证不需要定义方法列表的名称。配置完默认方法列表后，
Enable认证功能自动启用。

四、 配置步骤
# 开启AAA安全服务。
Device> enable
Device# configure terminal
Device(config)# aaa new-model

# 在本地用户数据库中添加账号host1，配置账号权限等级为15。
Device(config)# username host1 privilege 15 password password1

# 配置Enable 15级的密码为enpassword1。
Device(config)# enable secret level 15 enpassword1

# 配置Enable认证方法列表，优先使用本地认证，其次使用Enable密码认证。
Device(config)# aaa authentication enable default local enable

五、验证配置结果
# 使用账号host1登录设备，查看其用户权限等级为15。

# 将权限等级切换为等级4，此过程不需要输入密码进行认证。
Device# enable 4
Device# show privilege
Current privilege level is 4

# 将权限等级切换为等级15，此时需要身份认证。由于本地认证方法优先生效，因此使用host1的密码password1
进行认证，可以成功将用户权限等级切换为15。
Device# enable 15
Password:password1
Device# show privilege
Current privilege level is 15

 

六、配置文件
!
username host1 privilege 15 password password1
!
aaa new-model
!
aaa authentication enable default local enable
!
enable secret 5 $1$7b8Y$v6u11F23p9y3vwp6
!
end