H3C HWTACACS配置指南

HWTACACS是华为/华三设备上实现的一种TACACS+协议，用于网络设备的认证、授权和计费(AAA)服务。以下是H3C设备上配置HWTACACS的详细步骤：

基本配置步骤

1. 进入系统视图

<H3C> system-view

2. 创建HWTACACS方案

[H3C] hwtacacs scheme scheme-name

3. 配置主HWTACACS服务器

[H3C-hwtacacs-scheme-name] primary authentication ip-address port
[H3C-hwtacacs-scheme-name] primary authorization ip-address port
[H3C-hwtacacs-scheme-name] primary accounting ip-address port

4. 配置共享密钥

[H3C-hwtacacs-scheme-name] key authentication cipher key-string
[H3C-hwtacacs-scheme-name] key authorization cipher key-string
[H3C-hwtacacs-scheme-name] key accounting cipher key-string

5. 配置服务器响应超时时间(可选)

[H3C-hwtacacs-scheme-name] timer response-timeout seconds

6. 配置实时计费间隔(可选)

[H3C-hwtacacs-scheme-name] timer realtime-accounting minutes

7. 退出HWTACACS方案视图

[H3C-hwtacacs-scheme-name] quit

8. 配置域使用HWTACACS方案

[H3C] domain domain-name
[H3C-isp-domain-name] authentication default hwtacacs-scheme local
[H3C-isp-domain-name] authorization default hwtacacs-scheme local
[H3C-isp-domain-name] accounting default hwtacacs-scheme local
[H3C-isp-domain-name] quit

9. 应用域配置(可选)

[H3C] domain default enable domain-name

高级配置选项

配置备用服务器

[H3C-hwtacacs-scheme-name] secondary authentication ip-address port
[H3C-hwtacacs-scheme-name] secondary authorization ip-address port
[H3C-hwtacacs-scheme-name] secondary accounting ip-address port

配置源IP地址(设备向服务器发送报文使用的IP)

[H3C-hwtacacs-scheme-name] nas-ip ip-address

配置用户名格式

[H3C-hwtacacs-scheme-name] user-name-format { with-domain | without-domain }

配置服务器状态检测

[H3C-hwtacacs-scheme-name] server-detect [ interval interval ] [ max-times times ]

验证配置

查看HWTACACS方案配置

display hwtacacs scheme scheme-name

测试HWTACACS连接

test-aaa user password hwtacacs-scheme scheme-name

查看HWTACACS统计信息

display hwtacacs statistics

注意事项

1. 默认HWTACACS端口为49，如果服务器使用非标准端口，需要在配置中指定
2. 共享密钥必须与TACACS服务器上配置的一致
3. 建议配置备用服务器以提高可靠性
4. 对于生产环境，建议先配置本地认证作为备份，再配置HWTACACS
5. 用户名格式(with-domain/without-domain)需要与服务器端配置匹配

故障排查

如果HWTACACS认证失败，可以： 1. 检查服务器IP和端口是否正确 2. 验证共享密钥是否匹配 3. 使用debugging hwtacacs packet命令查看报文交互 4. 检查服务器端日志 5. 确保网络连通性正常

以上配置适用于大多数H3C交换机、路由器等网络设备，具体命令可能因设备型号和软件版本略有差异。