标签：H3C domain 方案 TACACS 配置 role scheme lcj ISE

组网拓扑，和上一节一样。

 

 配置步骤：

1、配置AC的TACACS方案

<H3C>dis cu | begin tacacs
hwtacacs scheme lcj
 primary authentication 10.22.2.96 key cipher $c$3$mLU1hCFVJnu8HXw9aR3sVU5mJcXT6nvL
 primary authorization 10.22.2.96 key cipher $c$3$ETPD6qiDayLpLJgb0f2uDwEykw0iyYe+
 primary accounting 10.22.2.96 key cipher $c$3$d/tFuOMkOGErl3oAHa6j5keOrDb8gFFl
 user-name-format without-domain
 nas-ip 10.22.2.94
#

注意without-domain很重要，否则发送的username携带domain，例如user1将会以user1@system发送，导致认证不通过（这里假设domain为system）

2、创建domain system

创建ISP域为system，为login用户配置认证方案为HWTACACS方案，方案名称为lcj；配置授权方案为HWTACACS方案，方案名称为lcj；配置计费方案为不计费；配置命令行授权方案为HWTACACS，方案名称为lcj；配置命令行计费方案为HWTACACS方案，方案名称为lcj

#
domain system
 authentication login hwtacacs-scheme lcj
 authorization login hwtacacs-scheme lcj
 accounting login none
 authorization command hwtacacs-scheme lcj
 accounting command hwtacacs-scheme lcj
#

3、开启ssh，创建RSA等密钥对

#
public-key local create rs
public-key local create dsa
ssh server enable
#

4、通过执行role default-role enable命令允许用户使用系统预定义的缺省用户角色登录设备，或根据需要在服务器上为该用户添加要授权的用户角色。

#
 role default-role enable
#

5、使能命令行授权功能、命令行审计功能。

#
line vty 0 31
 authentication-mode scheme
 user-role network-admin
 user-role network-operator
 command authorization
 command accounting
#

6、接下来就是在ISE上的配置，和前面思科的配置一样，这里就不过多的累述。

新加华三设备为NAD的时候，注意别选择传统的思科设备（Legacy Cisco device）

 

 

 

 然后就是给华三设备的TACACS command set和TACACS profile。

命令集中不允许它输入dis mem和dis ver命令。

 

 

接下来在Policy Set为华三设备配置授权策略，为了简单，直接选择条件为所有设备类型，不再配置其他的条件。

 

 

其他配置和前文中思科认证的一样。

接下来进行验证：

 

标签：H3C,domain,方案,TACACS,配置,role,scheme,lcj,ISE
来源： https://www.cnblogs.com/MomentsLee/p/16367051.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。