目录

第1章    AAA配置简介    3

第2章    AAA基本配置命令    4

第3章    AAA相关命令描述    6

第4章    AAA配置示例    20

第5章    AAA的检测与调试    22

AAA配置简介

本章主要描述如何在路由器上进行AAA的配置。AAA是认证、授权和统计（Authentication, Authorization and Accounting）的简称。它是运行于网络访问服务器（NAS）上的客户端程序。它提供了一个用来对认证、授权和统计这三种安全功能进行配置的一致性框架。

本章主要内容：

●配置AAA相关命令描述

●AAA配置示例

●AAA调试

AAA基本配置命令

1.命令描述前带“*”符号的表示该命令有配置实例详细说明。

2.配置模式指可以执行该配置命令的模式，如：config、config-if-××（接口名）、config-××（协议名称）等。

AAA相关命令描述

aaa new-model

在路由器上启动AAA功能。本命令的no形式用来关闭AAA。

aaa new-model

no aaa new-model

【缺省情况】不启动AAA。

【命令模式】全局配置模式。

 注：

        执行了此命令后AAA的其他配置命令才可见。

aaa authentication banner

修改当用户登录到路由器上时显示的欢迎信息。本命令的no形式恢复缺省欢迎信息。

aaa authentication banner banner

no aaa authentication banner

【命令模式】全局配置模式。

aaa authentication fail-message

修改当用户登录失败时的提示信息。本命令的no形式恢复缺省提示信息。

aaa authentication fail-message fail-message

no aaa authentication fail-message

【命令模式】全局配置模式。

aaa authentication username-prompt

修改提示用户输入用户名时显示的文本。本命令的no形式恢复缺省显示文本。

aaa authentication username-prompt username-prompt

no aaa authentication username-prompt

【命令模式】全局配置模式。

aaa authentication password-prompt

修改提示用户输入口令时显示的文本。本命令的no形式恢复缺省显示文本。

aaa authentication password-prompt password-prompt

no aaa authentication password-prompt

【命令模式】全局配置模式。

aaa authentication login

配置登录身份认证方法列表。本命令的no形式删除方法列表。

aaa authentication login {default | list-name} method1[method2…]

no aaa authentication login {default | list-name}

【命令模式】全局配置模式。

 注：

使用时可与login authentication 命令相配合，使方法列表用于某线路的登录+身份认证。

缺省方法列表自动应用于所有接口及线路（明确定义了所要引用的方法列表的接口或线路除外）。

aaa authentication enable

配置进入模式身份认证方法列表。本命令的no形式删除方法列表。

aaa authentication enable default method1[method2…]

no aaa authentication enable default

【命令模式】全局配置模式。

 注：

使用radius认证方法时以“$enab15$”用户(需要在radius服务器上设置用户名$enab15$)的密码作为验证密码。

aaa authentication ppp

配置PPP身份认证方法列表。本命令的no形式删除方法列表。

aaa authentication ppp list-name method1[method2…]

no aaa authentication ppp list-name

【命令模式】全局配置模式。

使用时需与ppp authentication 命令相配合，使方法列表用于某接口的PPP验证。

aaa authentication xauth

配置扩展认证（XAUTH）认证方法列表。本命令的no形式删除方法列表。

aaa authentication xauth {default | list-name} method1[method2…]

no aaa authentication xauth {default | list-name}

【命令模式】全局配置模式。

使用时需与IKE ID别名配置命令相配合，详细信息请参考IPSec VPN配置章节。

 注：MP7500E、MP8800、MP8600系列路由器不支持该功能

aaa authorization

用户的访问权限。本命令的no形式不访问权限。

aaa authorization {exec | network} {default | list-name} method1[method2…]

no aaa authorization {exec | network} {default | list-name}

【命令模式】全局配置模式。

 注：

当配置了EXEC授权命令方法列表，用户运行EXEC时，NAS会进行授权以决定用户是否有权执行EXEC外壳程序；若授权失败，则用户不能执行EXEC。

aaa authorization config-commands

用户操作Shell命令的权限。本命令的no形式不访问权限。

aaa authorization config-commands

no aaa authorization config-commands

aaa authorization console

用户从console口进入系统的权限。本命令的no形式不console口。

aaa authorization console

no aaa authorization console

aaa authorization commands cmd-lvl {default | list-name} method1[method2…]

no aaa authorization commands cmd-lvl {default | list-name}

【命令模式】全局配置模式。

aaa accounting

配置AAA统计方法列表。本命令的no形式取消统计方法列表。

aaa accounting {connection | exec | network | system} {default | list-name} {none | start-stop | stop-only | wait-start} [broadcast] method1[method2…]

no aaa accounting {connection | exec | network} {default | list-name}

【命令模式】全局配置模式。

 注：

为尽可能少地执行统计工作，可以使用关键字stop-only,仅仅在请求的用户进程结束时发送一条停止记录统计通知。

要了解更详细的统计信息，可以使用关键字start-stop，这样NAS使用RADIUS或TACACS在请求的进程开始时发出统计通知，在结束时发出终止通知。

要对统计获得更大的控制权，可以使用wait-start，它确保只有RADIUS或TACACS服务器收到开始通知后，用户的进程请求才会获得批准。

system统计仅支持tacacs服务器，radius服务器不支持。

aaa accounting commands

配置AAA统计方法列表。本命令的no形式取消统计方法列表。

aaa accounting commands cmd-lvl {default | list-name} {none | start-stop} [broadcast] method1[method2…]

no aaa accounting commands cmd-lvl {default | list-name}

【命令模式】全局配置模式。

aaa accounting suppress null-username

禁止为用户名为空的用户生成统计记录。本命令的no形式允许为用户名为空的用户生成统计记录。

aaa accounting suppress null-username

no aaa accounting suppress null-username

【缺省情况】缺省允许为用户名为空的用户生成统计记录。

【命令模式】全局配置模式。

aaa accounting update

向服务器发送临时统计记录。本命令的no形式取消发送临时统计记录。

aaa accounting update {newinfo | periodic number}

no aaa accounting update

【命令模式】全局配置模式。

tacacs-server host

配置Tacacs服务器。本命令的no形式删除Tacacs服务器。

tacacs-server host address [port port] [timeout timeout] [priority priority] [key key]

no tacacs-server host address

【命令模式】全局配置模式。

 注：

在路由器和Tacacs服务器上配置的密钥必须一致，空格也计算在密钥中。

可以配置多个tacacs服务器，系统将根据配置的先后顺序选择服务器进行认证，当一个服务器失效后，系统会自动选择下一个服务器，直到最后一个服务器为止。

tacacs-server key

配置Tacacs加密密钥。本命令的no形式删除Tacacs加密密钥。

tacacs-server key key

no tacacs-server key

【命令模式】全局配置模式。

tacacs-server timeout

配置等待Tacacs服务器应答的时间间隔定时器。本命令的no形式恢复缺省值。

tacacs-server timeout timeout

no tacacs-server timeout

【命令模式】全局配置模式。

aaa group server 

配置服务器组。no命令删除服务器组。

aaa group server {tacacs | radius} grp-name

no aaa group server {tacacs | radius} grp-name

【命令模式】全局配置模式。

当前可配置TACACS和RADIUS两种服务器组。

 注：

在配置服务器组名的时候，组名应尽可能有明确的含义，并且应该避免使用可能造成混淆的关键字。比如：tac、rad、loc等，它们在配置方法列表时可能和tacacs、radius、local这些固有关键字引起混淆。

server（TACACS）

配置TACACS服务器组成员，no命令删除。

server ip-address

no server ip-address

【命令模式】服务器组配置模式。

server（RADIUS）

配置RADIUS服务器组成员，no命令删除。

server ip-address [auth-port port] [acct-port port]

no server ip-address [auth-port port] [acct-port port]

【命令模式】服务器组配置模式。

server-private（TACACS）

配置TACACS服务器组私有成员，no命令删除。

server-private ip-address [key key] [port port] [timeout timeout]

no server-private ip-address

【命令模式】服务器组配置模式。

 注：

私有服务器完全于全局配置的服务器，所以可以和全局配置的服务器重叠。

server-private（RADIUS）

配置RADIUS服务器组成员，no命令删除。

server-private ip-address [acc-port acc-port] [auth-port auth-port] [priority priority] [key key]

no server-private ip-address [auth-port port] [acct-port port]

【命令模式】服务器组配置模式。

 注：

私有服务器完全于全局配置的服务器，所以可以和全局配置的服务器重叠。

ip vrf forwarding

配置服务器组的VRF属性

ip vrf forwarding vrf-name

no ip vrf forwarding

【命令模式】服务器组配置模式。

radius-server host

配置RADIUS服务器。本命令的no形式删除RADIUS服务器。

radius-server host address [acc-port acc-port] [auth-port auth-port] [priority priority] [key key]

no radius-server host address

【命令模式】全局配置模式。

 注：

在路由器和RADIUS服务器上配置的密钥必须一致，空格也计算在密钥中。

可以配置多个RADIUS服务器，系统将根据配置的先后顺序选择服务器进行认证，当一个服务器失效后，系统会自动选择下一个服务器，直到最后一个服务器为止。

radius-server dead-time

配置dead-time。本命令的no形式将dead-time设置为0。

radius-server dead-time dead-time

no radius-server dead-time

【命令模式】全局配置模式。

使用本命令，系统把那些对认证请求不作出响应的RADIUS服务器标记为不可用，在dead-time这段时间内不再向这些服务器发送请求。

radius-server key

配置RADIUS加密密钥。本命令的no形式删除RADIUS加密密钥。

radius-server key key

no radius-server key

【命令模式】全局配置模式。

radius-server timeout

配置等待RADIUS服务器应答的时间间隔定时器。本命令的no形式恢复缺省值。

radius-server timeout timeout

no radius-server timeout

【命令模式】全局配置模式。

radius-server retransmit

配置向RADIUS服务器重新传输的最大次数。本命令的no形式恢复缺省值。

radius-server retransmit retries

no radius-server timeout

【命令模式】全局配置模式。

ip {tacacs|radius} source-interface

配置路由器和TACACS或RADIUS服务器进行报文交互的时候使用指定的接口地址做为自己的源地址。本命令的no形式恢复缺省值。

ip {tacacs | radius} source-interface interface-name [vrf vrf-name]

no ip {tacacs | radius} source-interface [vrf]

【命令模式】全局配置模式。

AAA配置示例

 图解：

在如上的环境中，用户设备和网络访问服务器(NAS)间封装PPP协议，login authentication 使用缺省方法列表。

NAS的相关配置如下:

在如上的配置中，用户设备和网络访问服务器(NAS)间封装PPP协议，login  authentication 使用自命名的方法列表，且将此方法列表用在线路(line)上。NAS的配置及其他相关配置如下:

在通过配置的方法列表对用户进行认证的过程中，只有在前一种方法没有应答的情况下，路由器才会尝试下一种方法。如果身份认证在这个周期的某一点上失败，即安全服务器或本地用户名数据库以拒绝该用户访问的方式进行了应答，则身份认认证过程结束，不再尝试其它的身份认证方法。

AAA的检测与调试

show aaa 

显示AAA相关信息。

show aaa [configure | module | server | session | source-address | attrmem]

show accounting 

显示AAA统计信息。

show accounting

【命令模式】用户模式。

debug aaa authentication

打开AAA认证调试信息开关。本命令的no形式关闭AAA认证调试开关。

debug aaa authentication

no debug aaa authentication

【命令模式】用户模式。

debug aaa authorization

打开AAA授权调试信息开关。本命令的no形式关闭AAA授权调试开关。

debug aaa authorization

no debug aaa authorization

【命令模式】用户模式。

debug aaa accounting

打开AAA统计调试信息开关。本命令的no形式关闭AAA统计调试开关。

debug aaa accounting

no debug aaa accounting

【命令模式】用户模式。

debug aaa all

打开AAA所有调试信息开关。本命令的no形式关闭AAA所有调试开关。

debug aaa all

no debug aaa all

【命令模式】用户模式。

debug tacacs

打开TACACS调试信息开关。本命令的no形式关闭TACACS调试开关。

debug tacacs

no debug tacacs

【命令模式】用户模式。

debug radius

打开RADIUS调试信息开关。本命令的no形式关闭RADIUS调试开关。

debug radius [in-plain]

no debug radius