网络笔记：AAA 原理与配置

用户输入： zhangsan@office

              ↓ 设备按 "@" 后面的部分拆出域
         domain = office
              ↓ 找到这个域绑定的 AAA 方案
         authentication-scheme auth-office   → 用哪个服务器认证
         authorization-scheme  authz-office  → 权限怎么下发
         accounting-scheme     acct-office   → 计费发到哪

★ 不配 domain 的后果：
  用户名不带 @ 时走 default 域；带了 @ 但域没配 → 直接认证失败
  → 现象是"服务器上明明有账号，设备就是登不上"

★ 一个设备可以有多个域：
  office   → 走公司 RADIUS
  guest    → 走访客服务器，权限极低
  admin    → 走 HWTACACS，命令级授权
  default  → 兜底，走本地

# ① 配 HWTACACS 服务器模板
hwtacacs-server template hwtac
 hwtacacs-server authentication 10.1.1.100
 hwtacacs-server authorization 10.1.1.100
 hwtacacs-server accounting 10.1.1.100
 hwtacacs-server shared-key cipher Huawei@123

# ② 配认证方案
aaa
 authentication-scheme auth-admin
  authentication-mode hwtacacs        # 先用服务器
  authentication-mode local           # ★ 服务器不可达时用本地兜底
 authorization-scheme authz-admin
  authorization-mode hwtacacs
  authorization-mode local
 accounting-scheme acct-admin
  accounting-mode hwtacacs

# ③ 配域，把方案和服务器绑起来
 domain admin
  authentication-scheme auth-admin
  authorization-scheme authz-admin
  accounting-scheme acct-admin
  hwtacacs-server hwtac

# ④ 创建本地兜底账号（服务器挂了还能进）
 local-user backup password irreversible-cipher Huawei@123
 local-user backup privilege level 15
 local-user backup service-type telnet terminal ssh

# ⑤ 让 VTY 走 AAA 认证
user-interface vty 0 4
 authentication-mode aaa
 protocol inbound ssh

# ⑥ 全局指定用哪个 HWTACACS 模板
hwtacacs-server template hwtac

radius-server template rad1
 radius-server shared-key cipher Huawei@123
 radius-server authentication 10.1.1.200 1812
 radius-server accounting 10.1.1.200 1813
 radius-server retransmit 3

aaa
 authentication-scheme auth-user
  authentication-mode radius
  authentication-mode local
 authorization-scheme authz-user
  authorization-mode radius
 accounting-scheme acct-user
  accounting-mode radius

 domain office
  authentication-scheme auth-user
  authorization-scheme authz-user
  accounting-scheme acct-user
  radius-server rad1

# 让新用户默认走 office 域（否则用户必须手输 user@office）
 domain office
  ...
aaa
 domain office
  state active
 domain default
  # 或者把 default 域也指向同一个方案

# ★ 简化用户输入：在接口上指定默认域
interface GigabitEthernet0/0/1
 authentication default-domain office

display aaa configuration              # ★ AAA 全局配置与所有域
display domain                         # 域列表与状态
display domain name office             # 某个域的详细配置
display aaa online-fail-record all     # ★ 上线失败记录（排错神器）
display aaa offline-record all         # 下线记录
display local-user                     # 本地用户

display radius-server configuration    # RADIUS 模板
display hwtacacs-server template hwtac # HWTACACS 模板

debugging radius all                   # 调试（慎用）
debugging hwtacacs all
terminal monitor                       # 打开终端输出（debug 必须开这个）