H3C设备通过ISE进行TACACS认证

剪刀石头布[]~(￣▽￣)~*

已于 2024-10-10 20:03:33 修改

阅读量501

点赞数

CC 4.0 BY-SA版权

分类专栏： ISE 设备管理文章标签：网络

于 2022-06-11 22:48:00 首次发布

本文链接：https://blog.youkuaiyun.com/qq_22763255/article/details/133009151

ISE 同时被 2 个专栏收录

6 篇文章

订阅专栏

设备管理

3 篇文章

订阅专栏

本文详细介绍了如何配置H3C设备的TACACS+方案，包括设置认证、授权和计费方案，创建system域，配置SSH密钥，启用命令行权限，并与ISE集成。重点提示了domain设置的重要性。最后展示了与NAD设备的TACACScommandset和PolicySet配置。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

组网拓扑，和上一节一样。

配置步骤：

1、配置AC的TACACS方案

<H3C>dis cu | begin tacacs
hwtacacs scheme lcj
 primary authentication 10.22.2.96 key cipher $c$3$mLU1hCFVJnu8HXw9aR3sVU5mJcXT6nvL
 primary authorization 10.22.2.96 key cipher $c$3$ETPD6qiDayLpLJgb0f2uDwEykw0iyYe+
 primary accounting 10.22.2.96 key cipher $c$3$d/tFuOMkOGErl3oAHa6j5keOrDb8gFFl
 user-name-format without-domain
 nas-ip 10.22.2.94
#

注意without-domain很重要，否则发送的username携带domain，例如user1将会以user1@system发送，导致认证不通过(这里假设domain为system)

2、创建domain system

创建ISP域为system，为login用户配置认证方案为HWTACACS方案，方案名称为lcj；配置授权方案为HWTACACS方案，方案名称为lcj；配置计费方案为不计费；配置命令行授权方案为HWTACACS，方案名称为lcj；配置命令行计费方案为HWTACACS方案，方案名称为lcj

#
domain system
 authentication login hwtacacs-scheme lcj
 authorization login hwtacacs-scheme lcj
 accounting login none
 authorization command hwtacacs-scheme lcj
 accounting command hwtacacs-scheme lcj
#

3、开启ssh，创建RSA等密钥对

#
public-key local create rs
public-key local create dsa
ssh server enable
#

4、通过执行role default-role enable命令允许用户使用系统预定义的缺省用户角色登录设备，或根据需要在服务器上为该用户添加要授权的用户角色。

#
 role default-role enable
#

5、使能命令行授权功能、命令行审计功能。

#
line vty 0 31
 authentication-mode scheme
 user-role network-admin
 user-role network-operator
 command authorization
 command accounting
#

6、接下来就是在ISE上的配置，和前面思科的配置一样，这里就不过多的累述。

新加华三设备为NAD的时候，注意别选择传统的思科设备(Legacy Cisco device)

然后就是给华三设备的TACACS command set和TACACS profile。

命令集中不允许它输入dis mem和dis ver命令。

接下来在Policy Set为华三设备配置授权策略，为了简单，直接选择条件为所有设备类型，不再配置其他的条件。

其他配置和前文中思科认证的一样。

接下来进行验证：