H3C-S3600与ACS配合做tacacs认证的典型配置

1、H3C S3600与ACS配合做tacacs认证的典型配置一、 组网需求：需要对登录交换机的telnet管理用户经过ACS的tacacs认证以确认其合法性。ACS Server和交换机之间只要路由通即可，无特殊要求。二、 组网图： 三、 配置步骤：1. ACS 侧配置(1) 进入主界面 (2) 创建AAA Clients 点击Network Configuration 点击“Add Entry” 输入“AAA Client Hostname”，添加“AAA Client IP Address”，设置“Key”，在“Authenticate Using”列表中选择认证使用的协议为“TACACS+

2、(Cisco IOS)”，点击“Submit+Restart”创建完毕，以后可以根据需要在“AAA Client IP Address”中添加IP，无需再次创建。此处的AAA Client IP Address 即为我们平常所说的NAS IP。列表中可以看到新建的客户端的相关信息(3) 配置Group点击“Group Setup” 从Group列表中选择要编辑的group 1，点击“Edit Settings” 在“Jump To”列表中选择“TACACS+”即可直接跳到TACACS+属性的设置界面 勾选Shell(exec) 和 Privilege level 并在Privilege lev

3、el中填入允许用户拥有的权限，可填范围为0-15(其中3-15对应我司设备的level 3权限)。然后点击Submit+Restart来提交生效。 (4) 创建用户点击“User Setup” 输入要创建的用户名“h3c”，点击“Add/Edit”，进入编辑画面,填写Real Name 和Description以及密码信息 选择用户所属的组Group 1，点击Submit 2. 设备侧配置(1) 配置hwtacacs H3Chwtacacs scheme acs H3C-hwtacacs-acs primary authentication 1.1.1.4 H3C-hwtacacs-acs p

4、rimary authorization 1.1.1.4 H3C-hwtacacs-acs primary accounting 1.1.1.4 H3C-hwtacacs-acs key authentication h3c H3C-hwtacacs-acs key authorization h3c H3C-hwtacacs-acs key accounting h3c H3C-hwtacacs-acs user-name-format without-domain (2) 配置domain H3Cdomain acs H3C-isp-acs scheme hwtacacs-scheme acs(3) 配置默认domain H3C domain default enable acs (4) 配置user-interface H3C user-interface vty 0 4 H3C-ui-vty0-4 authentication-mode scheme H3C-ui-vty0-4 accounting commands scheme 四、 配置关键点：(1) ACS上AAA Client IP配置的是设备的NAS IP(2) AAA Client配置的key值需要与