华为S5500系列交换机与ACS配合做tacacs认证的典型配置
一、 组网需求：
需要对登录交换机 的 telnet管理用户经过ACS的tacacs认证 以 确认其合法性。ACS Server和交换机 之 间只要路由通即可，无特殊要求。
二、 组网图：
三、 配置 步骤：
1. ACS 侧配置
(1) 进 入主界面
(2) 创 建AAA Clients
点击Network Configuration
点击“Add Entry”
输入“AAA Client Hostname”，添加“AAA Client IP Address”，设置“Key”，在“Authenticate Using”列表中选择认证使用的协议为“TACACS+(Cisco IOS)”，点击“Submit+Restart”创建完毕，以后可以根据需要在“AAA Client IP Address”中添加IP，无需再次创建。此处的AAA Client IP Address 即为我们平常所说的NAS IP。
列表中可以看到新建的客户端的相关信息
(3) 配 置Group
点击“Group Setup”
从Group列表中选择要编辑的group 1，点击“Edit Settings”
在“Jump To”列表中选择“TACACS+”即可直接跳到TACACS+属性的设置界面
勾选Shell(exec) 和 Privilege level 并在Privilege level中填入允许用户拥有的权限，可填范围为0-15(其中3-15对应我司设备的level 3权限)。
然后点击Submit+Restart来提交生效。
(4) 创 建用户
点击“User Setup”
输入要创建的用户名“h3c”，点击“Add/Edit”，进入编辑画面,
填写Real Name 和Description以及密码信息
选择用户所属的组Group 1，点击Submit
2. 设备侧配置
(1) 配置hwtacacs
[H3C]hwtacacs scheme acs
[H3C-hwtacacs-acs] primary authentication 1.1.1.4
[H3C-hwtacacs-acs] primary authorization 1.1.1.4
[H3C-hwtacacs-acs] primary accounting 1.1.1.4
[H3C-hwtacacs-acs] key authentication h3c
[H3C-hwtacacs-acs] key authorization h3c
[H3C-hwtacacs-acs] key accounting h3c
[H3C-hwtacacs-acs] user-name-format without-domain
(2) 配置domain
[H3C]domain acs
[H3C-isp-acs] authentication login hwtacacs-scheme acs
[H3C-isp-acs] authorization login hwtacacs-scheme acs
[H3C-isp-acs] accounting login hwtacacs-scheme acs
(3) 配置默认domain
[H3C] domain default enable acs
(4) 配 置user-interface
[H3C] user-interface vty 0 4
[H3C-ui-vty0-4] authentication-mode scheme
四、 配置关键点：
(1) ACS上AAA Client IP配置的是设备的NAS IP,一般配置为管理vlan的 IP地址；
(2) AAA Client配置的key值需要与设备上hwtacacs配置的key保持一致；
(3) 用 户名是否携带域名可以按照需要配置，但要注意的就是携带域名的时候，ACS上配置的用户名也得携带域名；
(4) S5500系列 ,S3610/S5510,S7500E适用于此配置 。
无忧网客联盟专业讨论 网络技术，CCNA CCNP CCIE CCSP
文章转载至http://bbs.net527.cn 无忧网客联盟
无忧网客联 盟主站
无忧linux 时代