- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-AAA命令
本章节下载： 01-AAA命令 (812.81 KB)
目 录
1.1.15 authorization-attribute (ISP domain view)
1.1.20 local-server log change-password-prompt
1.1.22 session-time include-idle-time
1.1.23 state (ISP domain view)
1.2.2 authorization-attribute (Local user view/user group view)
1.2.8 password (Device management user view)
1.2.10 state (Local user view)
1.3.6 attribute convert (RADIUS DAE server view)
1.3.7 attribute convert (RADIUS scheme view)
1.3.8 attribute reject (RADIUS DAE server view)
1.3.9 attribute reject (RADIUS scheme view)
1.3.10 attribute remanent-volume
1.3.14 data-flow-format (RADIUS scheme view)
1.3.16 display radius server-load statistics
1.3.17 display radius statistics
1.3.18 display stop-accounting-buffer (for RADIUS)
1.3.22 include-attribute 218 vendor-id 25506
1.3.23 key (RADIUS scheme view)
1.3.25 nas-ip (RADIUS scheme view)
1.3.27 primary accounting (RADIUS scheme view)
1.3.28 primary authentication (RADIUS scheme view)
1.3.29 radius attribute extended
1.3.30 radius attribute-test-group
1.3.32 radius dynamic-author server
1.3.36 radius session-control client
1.3.37 radius session-control enable
1.3.39 radius-server test-profile
1.3.40 reauthentication server-select
1.3.41 reset radius server-load statistics
1.3.42 reset radius statistics
1.3.43 reset stop-accounting-buffer (for RADIUS)
1.3.45 retry realtime-accounting
1.3.46 retry stop-accounting (RADIUS scheme view)
1.3.47 secondary accounting (RADIUS scheme view)
1.3.48 secondary authentication (RADIUS scheme view)
1.3.49 server-load-sharing enable
1.3.50 snmp-agent trap enable radius
1.3.53 stop-accounting-buffer enable (RADIUS scheme view)
1.3.54 stop-accounting-packet send-force
1.3.56 timer quiet (RADIUS scheme view)
1.3.57 timer realtime-accounting (RADIUS scheme view)
1.3.58 timer response-timeout (RADIUS scheme view)
1.3.59 user-name-format (RADIUS scheme view)
1.4.1 data-flow-format (HWTACACS scheme view)
1.4.3 display stop-accounting-buffer (for HWTACACS)
1.4.6 key (HWTACACS scheme view)
1.4.7 nas-ip (HWTACACS scheme view)
1.4.8 primary accounting (HWTACACS scheme view)
1.4.9 primary authentication (HWTACACS scheme view)
1.4.11 reset hwtacacs statistics
1.4.12 reset stop-accounting-buffer (for HWTACACS )
1.4.13 retry stop-accounting (HWTACACS scheme view)
1.4.14 secondary accounting (HWTACACS scheme view)
1.4.15 secondary authentication (HWTACACS scheme view)
1.4.16 secondary authorization
1.4.17 stop-accounting-buffer enable (HWTACACS scheme view)
1.4.18 timer quiet (HWTACACS scheme view)
1.4.19 timer realtime-accounting (HWTACACS scheme view)
1.4.20 timer response-timeout (HWTACACS scheme view)
1.4.21 user-name-format (HWTACACS scheme view)
1.6.1 aaa connection-recording policy
aaa nas-id profile命令用来创建NAS-ID Profile，并进入NAS-ID-Profile视图。如果指定的NAS-ID Profile已经存在，则直接进入NAS-ID-Profile视图。
undo aaa nas-id profile命令用来删除指定的NAS-ID Profile。
【命令】
aaa nas-id profile profile-name
undo aaa nas-id profile profile-name
【缺省情况】
不存在NAS-ID Profile。
系统视图
network-admin
【参数】
profile-name：Profile名称，为1～31个字符的字符串，不区分大小写。
在某些应用环境中，网络运营商需要使用接入设备发送给RADIUS服务器的NAS-Identifier属性值来获知用户的接入位置，而用户的接入VLAN可标识用户的接入位置，因此接入设备上可通过建立用户接入VLAN与指定的NAS-ID之间的绑定关系来实现接入位置信息的映射。NAS-ID Profile用于保存NAS-ID和VLAN的绑定关系。这样，当用户上线时，设备会将与用户接入VLAN匹配的NAS-ID填充在RADIUS请求报文中的NAS-Identifier属性中发送给RADIUS服务器。
若以上配置都不存在，则使用设备的名称作为NAS-ID。
# 创建一个名称为aaa的NAS-ID Profile，并进入NAS-ID-Profile视图。
<Sysname> system-view
[Sysname] aaa nas-id profile aaa
[Sysname-nas-id-prof-aaa]
【相关命令】
· nas-id bind vlan
aaa session-limit命令用来配置同时在线的最大用户连接数，即采用指定登录方式登录设备并同时在线的用户数。
undo aaa session-limit命令用来将指定登录方式的同时在线的最大用户连接数恢复为缺省情况。
【命令】
aaa session-limit { ftp | http | https | ssh | telnet } max-sessions
undo aaa session-limit { ftp | http | https | ssh | telnet }
【缺省情况】
同时在线的各类型最大用户连接数均为32。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ftp：表示FTP用户。
http：表示HTTP用户。
https：表示HTTPS用户。
ssh：表示SSH用户。
telnet：表示Telnet用户。
max-sessions：允许同时在线的最大用户连接数，FTP/SSH/Telnet用户的取值范围为1～32，HTTP/HTTPS用户的取值范围为1～64。
【使用指导】
配置本命令后，当指定类型的接入用户的用户数超过当前配置的最大连接数后，新的接入请求将被拒绝。
对于HTTP/HTTPS用户，不同上层应用的最大用户连接数单独受限。例如，若设置允许同时在线的HTTP最大用户连接数为20，则基于HTTP的RESTful用户、Web用户、NETCONF用户的最大连接数将均为20。
【举例】
# 设置同时在线的最大FTP用户连接数为4。
<Sysname> system-view
[Sysname] aaa session-limit ftp 4
accounting command命令用来配置命令行计费方法。
undo accounting command命令用来恢复缺省情况。
【命令】
accounting command hwtacacs-scheme hwtacacs-scheme-name
undo accounting command
【缺省情况】
命令行计费采用当前ISP域的缺省计费方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
命令行计费过程是指，用户执行过的合法命令会被发送给计费服务器进行记录。若未开启命令行授权功能，则计费服务器对用户执行过的所有合法命令进行记录；若开启了命令行授权功能，则计费服务器仅对授权通过的命令进行记录。
目前，仅支持使用远程HWTACACS服务器完成命令行计费功能。
【举例】
# 在ISP域test下，配置使用HWTACACS计费方案hwtac进行命令行计费。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting command hwtacacs-scheme hwtac
【相关命令】
· accounting default
· command accounting（基础配置命令参考/登录设备）
· hwtacacs scheme
accounting default命令用来为当前ISP域配置缺省的计费方法。
undo accounting default命令用来恢复缺省情况。
【命令】
accounting default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo accounting default
【缺省情况】
当前ISP域的缺省计费方法为local。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地计费。
none：不计费。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
当前ISP域的缺省计费方法对于该域中未指定具体计费方法的所有接入用户都起作用，但是如果某类型的用户不支持指定的计费方法，则该计费方法对于这类用户不能生效。
本地计费只是为了支持本地用户的连接数管理，没有实际的计费相关的统计功能。
可以指定多个备选的计费方法，在当前的计费方法无效时按照配置顺序尝试使用备选的方法完成计费。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS计费，若RADIUS计费无效则进行本地计费，若本地计费也无效则不进行计费。远程计费无效是指，指定的计费方案不存在、计费报文发送失败或者服务器无响应。本地计费无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，配置缺省计费方法为使用RADIUS方案rd进行计费，并且使用local作为备选计费方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting default radius-scheme rd local
【相关命令】
· hwtacacs scheme
· local-user
· radius scheme
accounting login命令用来为login用户配置计费方法。
undo accounting login命令用来恢复缺省情况。
【命令】
accounting login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo accounting login
【缺省情况】
login用户采用当前ISP域的缺省计费方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地计费。
none：不计费。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
不支持对FTP、SFTP以及SCP类型的login用户进行计费。
可以指定多个备选的计费方法。在当前的计费方法无效时按照配置顺序尝试使用备选的方法完成计费。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS计费，若RADIUS计费无效则进行本地计费，若本地计费也无效则不进行计费。远程计费无效是指，指定的计费方案不存在、计费报文发送失败或者服务器无响应。本地计费无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，为login用户配置计费方法为local。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting login local
# 在ISP域test下，配置login用户使用RADIUS方案rd进行计费，并且使用local作为备选计费方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting login radius-scheme rd local
【相关命令】
· accounting default
· hwtacacs scheme
· local-user
· radius scheme
accounting quota-out命令用来配置用户计费配额（流量或时长）耗尽策略。
undo accounting quota-out命令用来恢复缺省情况。
【命令】
accounting quota-out { offline | online }
undo accounting quota-out
【缺省情况】
用户的计费配额耗尽后将被强制下线。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
offline：当用户的整体配额耗尽后，强制用户下线。
online：当用户的整体配额耗尽后，允许用户保持在线状态。
【举例】
# 在ISP域test下，配置用户计费配额耗尽策略为：当配额耗尽后用户仍能保持在线状态。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting quota-out online
accounting start-fail命令用来配置用户计费开始失败策略，即设备向计费服务器发送计费开始请求失败后，是否允许用户接入网络。
undo accounting start-fail命令用来恢复缺省情况。
【命令】
accounting start-fail { offline | online }
undo accounting start-fail
【缺省情况】
如果用户计费开始失败，允许用户保持在线状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
offline：强制用户下线。
online：允许用户保持在线状态。
【举例】
# 在ISP域test下，配置计费开始失败策略为：用户计费开始失败时允许用户保持在线状态。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting start-fail online
accounting update-fail命令用来配置用户计费更新失败策略，即设备向计费服务器发送用户的计费更新报文失败时，是否允许用户接入网络。
undo accounting update-fail命令用来恢复缺省情况。
【命令】
accounting update-fail { [ max-times max-times ] offline | online }
undo accounting update-fail
【缺省情况】
如果用户计费更新失败，允许用户保持在线状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
max-times max-times：允许用户连续计费更新失败的次数，取值范围1～255，缺省值为1。
offline：如果用户连续计费更新失败的次数达到了指定的次数，则强制用户下线。
online：如果用户计费更新失败，允许用户保持在线状态。
【举例】
# 在ISP域test下，配置计费更新失败策略为：用户计费更新失败时允许用户保持在线状态。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] accounting update-fail online
authentication default命令用来为当前ISP域配置缺省的认证方法。
undo authentication default命令用来为恢复缺省情况。
【命令】
authentication default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authentication default
【缺省情况】
当前ISP域的缺省认证方法为local。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
ldap-scheme ldap-scheme-name：指定LDAP方案。其中ldap-scheme-name表示LDAP方案名，为1～32个字符的字符串，不区分大小写。
local：本地认证。
none：不进行认证。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
当前ISP域的缺省的认证方法对于该域中未指定具体认证方法的所有接入用户都起作用，但是如果某类型的用户不支持指定的认证方法，则该认证方法对于这类用户不能生效。
可以指定多个备选的认证方法，在当前的认证方法无效时按照配置顺序尝试使用备选的方法完成认证。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS认证，若RADIUS认证无效则进行本地认证，若本地认证也无效则不进行认证。远程认证无效是指，指定的认证方案不存在、认证报文发送失败或者服务器无响应。本地认证无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，配置缺省认证方法为使用RADIUS方案rd进行认证，并且使用local作为备选认证方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authentication default radius-scheme rd local
【相关命令】
· hwtacacs scheme
· ldap scheme
· local-user
· radius scheme
authentication login命令用来为login用户配置认证方法。
undo authentication login命令用来恢复缺省情况。
【命令】
authentication login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authentication login
【缺省情况】
login用户采用当前ISP域的缺省认证方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
ldap-scheme ldap-scheme-name：指定LDAP方案。其中ldap-scheme-name表示LDAP方案名，为1～32个字符的字符串，不区分大小写。
local：本地认证。
none：不进行认证。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
可以指定多个备选的认证方法，在当前的认证方法无效时按照配置顺序尝试使用备选的方法完成认证。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS认证，若RADIUS认证无效则进行本地认证，若本地认证也无效则不进行认证。远程认证无效是指，指定的认证方案不存在、认证报文发送失败或者服务器无响应。本地认证无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，为login用户配置认证方法为local。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authentication login local
# 在ISP域test下，配置login用户使用RADIUS方案rd进行认证，并且使用local作为备选认证方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authentication login radius-scheme rd local
【相关命令】
· authentication default
· hwtacacs scheme
· ldap scheme
· local-user
· radius scheme
authentication super命令用来配置用户角色切换认证方法。
undo authentication super命令用来恢复缺省情况。
【命令】
authentication super { hwtacacs-scheme hwtacacs-scheme-name | radius-scheme radius-scheme-name } *
undo authentication super
【缺省情况】
用户角色切换认证采用当前ISP域的缺省认证方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
切换用户角色是指在不退出当前登录、不断开当前连接的前提下修改用户的用户角色，改变用户所拥有的命令行权限。为了保证切换操作的安全性，需要在用户执行用户角色切换时进行身份认证。设备支持本地和远程两种认证方式，关于用户角色切换的详细介绍请参见“基础配置指导”中的“RBAC”。
可以指定一个备选的认证方法，在当前的认证方法无效时尝试使用备选的方法完成认证。
【举例】
# 在ISP域test下，配置使用HWTACACS方案tac进行用户角色切换认证。
<Sysname> system-view
[Sysname] super authentication-mode scheme
[Sysname] domain test
[Sysname-isp-test] authentication super hwtacacs-scheme tac
【相关命令】
· authentication default
· hwtacacs scheme
· radius scheme
authorization command命令用来配置命令行授权方法。
undo authorization command命令用来恢复缺省情况。
【命令】
authorization command { hwtacacs-scheme hwtacacs-scheme-name [ local ] [ none ] | local [ none ] | none }
undo authorization command
【缺省情况】
命令行授权采用当前ISP域的缺省授权方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地授权。
none：不授权。用户执行角色所允许的命令时，无须接受授权服务器的检查。
【使用指导】
命令行授权是指，用户执行的每一条命令都需要接受授权服务器的检查，只有授权成功的命令才被允许执行。用户登录后可以执行的命令受登录授权的用户角色和命令行授权的用户角色的双重限制，即，仅登录授权的用户角色和命令行授权的用户角色均允许执行的命令行，才能被执行。需要注意的是，命令行授权功能只利用角色中的权限规则对命令行执行权限检查，不进行其它方面的权限检查，例如资源控制策略等。
对用户采用本地命令行授权时，设备将根据用户登录设备时输入的用户名对应的本地用户配置来对用户输入的命令进行检查，只有本地用户中配置的授权用户角色所允许的命令才被允许执行。
可以指定多个备选的命令行授权方法，在当前的授权方法无效时按照配置顺序尝试使用备选的方法完成命令授权。例如，hwtacacs-scheme hwtacacs-scheme-name local none表示，先进行HWTACACS授权，若HWTACACS授权无效则进行本地授权，若本地授权也无效则不进行授权。远程授权无效是指，指定的授权方案不存在、授权报文发送失败或者服务器无响应。本地授权无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，配置命令行授权方法为local。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authorization command local
# 在ISP域test下，配置使用HWTACACS方案hwtac进行命令行授权，并且使用local作为备选授权方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authorization command hwtacacs-scheme hwtac local
【相关命令】
· command authorization（基础配置命令参考/登录设备）
· hwtacacs scheme
· local-user
authorization default命令用来为当前ISP域配置缺省的授权方法。
undo authorization default命令用来恢复缺省情况。
【命令】
authorization default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authorization default
【缺省情况】
当前ISP域的缺省授权方法为local。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地授权。
none：不授权。接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时，认证通过的Login用户（通过Console口或者Telnet、FTP/SFTP/SCP访问设备的用户）只有系统给予的缺省用户角色level-0，其中FTP/SFTP/SCP用户的工作目录是设备的根目录，但并无访问权限；认证通过的非Login用户可直接访问网络。关于用户角色色level-0的详细介绍请参见“基础配置指导”中的“RBAC”。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
当前ISP域的缺省的授权方法对于该域中未指定具体授权方法的所有接入用户都起作用，但是如果某类型的用户不支持指定的授权方法，则该授权方法对于这类用户不能生效。
在一个ISP域中，只有配置的认证和授权方法中引用了相同的RADIUS方案时，RADIUS授权过程才能生效。
可以指定多个备选的授权方法，在当前的授权方法无效时按照配置顺序尝试使用备选的方法完成授权。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS授权，若RADIUS授权无效则进行本地授权，若本地授权也无效则不进行授权。远程授权无效是指，指定的授权方案不存在、授权报文发送失败或者服务器无响应。本地授权无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，配置缺省授权方法为使用RADIUS方案rd进行授权，并且使用local作为备选授权方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authorization default radius-scheme rd local
【相关命令】
· hwtacacs scheme
· local-user
· radius scheme
authorization login命令用来为login用户配置授权方法。
undo authorization login命令用来恢复缺省情况。
【命令】
authorization login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }
undo authorization login
【缺省情况】
login用户采用当前ISP域的缺省授权方法。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：指定HWTACACS方案。其中，hwtacacs-scheme-name表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
local：本地授权。
none：不授权。接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权。此时，认证通过的Login用户（通过Console口或者Telnet、FTP/SFTP/SCP访问设备的用户）只有系统给予的缺省用户角色level-0，其中FTP/SFTP/SCP用户的工作目录是设备的根目录，但并无访问权限。关于用户角色level-0的详细介绍请参见“基础配置指导”中的“RBAC”。
radius-scheme radius-scheme-name：指定RADIUS方案。其中，radius-scheme-name表示RADIUS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
在一个ISP域中，只有配置的认证和授权方法中引用了相同的RADIUS方案时，RADIUS授权过程才能生效。
可以指定多个备选的授权方法，在当前的授权方法无效时按照配置顺序尝试使用备选的方法完成授权。例如，radius-scheme radius-scheme-name local none表示，先进行RADIUS授权，若RADIUS授权无效则进行本地授权，若本地授权也无效则不进行授权。远程授权无效是指，指定的授权方案不存在、授权报文发送失败或者服务器无响应。本地授权无效是指没有找到对应的本地用户配置。
【举例】
# 在ISP域test下，为login用户配置授权方法为local。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authorization login local
# 在ISP域test下，配置login用户使用RADIUS方案rd进行授权，并且使用local作为备选授权方法。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authorization login radius-scheme rd local
【相关命令】
· authorization default
· hwtacacs scheme
· local-user
· radius scheme
authorization-attribute命令用来设置当前ISP域下的用户授权属性。
undo authorization-attribute命令用来删除指定的授权属性，恢复用户具有的缺省访问权限。
【命令】
authorization-attribute user-group user-group-name
undo authorization-attribute user-group
【缺省情况】
无授权属性。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
user-group user-group-name：表示用户所属用户组。其中，user-group-name表示用户组名，为1～32个字符的字符串，不区分大小写。用户认证成功后，将继承该用户组中的所有属性。
【使用指导】
如果当前ISP域的用户认证成功，但认证服务器（包括本地认证下的接入设备）未对该ISP域下发授权属性，则系统使用当前ISP下指定的授权属性为用户授权。
需要注意的是，可通过多次执行本命令配置多个授权属性，但对于相同授权属性，最后一次执行的命令生效。
【举例】
# 设置ISP域test的用户授权组为abc。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] authorization-attribute user-group abc
【相关命令】
· display domain
display domain命令用来显示所有或指定ISP域的配置信息。
【命令】
display domain [ isp-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
isp-name：ISP域名，为1～255个字符的字符串，不区分大小写。如果不指定该参数，则表示所有ISP域。
【举例】
# 显示系统中所有ISP域的配置信息。
<Sysname> display domain
Total 2 domains
Domain: system
State: Active
Default authentication scheme: Local
Default authorization scheme: Local
Default accounting scheme: Local
Accounting start failure action: Online
Accounting update failure action: Online
Accounting quota out policy: Offline
Service type: HSI
Session time: Exclude idle time
Dual-stack accounting method: Merge
Authorization attributes:
Idle cut: Disabled
IGMP access limit: 4
MLD access limit: 4
Authen-radius-unavailable: Not configured
Authen-radius-recover: Not configured
Domain: dm
State: Active
Login authentication scheme: RADIUS=rad
Login authorization scheme: HWTACACS=hw
Super authentication scheme: RADIUS=rad
Command authorization scheme: HWTACACS=hw
LAN access authentication scheme: RADIUS=r4
Default authentication scheme: RADIUS=rad, Local, None
Default authorization scheme: Local
Default accounting scheme: None
Accounting start failure action: Online
Accounting update failure action: Online
Accounting quota out policy: Offline
Service type: HSI
Session time: Include idle time
Dual-stack accounting method: Merge
Authorization attributes:
Idle cut : Disabled
IP pool: appy
User profile: test
ACL number: 3000
User group: ugg
URL: http://test
IGMP access limit: 4
MLD access limit: 4
Authen-radius-unavailable: Online domain dm2
Authen-radius-recover: Offline
Default domain name: system
表1-1 display domain命令显示信息描述表
|
字段 |
描述 |
|
Total 2 domains |
总计2个ISP域 |
|
Domain |
ISP域名 |
|
State |
ISP域的状态 |
|
Default authentication scheme |
缺省的认证方案 |
|
Default authorization scheme |
缺省的授权方案 |
|
Default accounting scheme |
缺省的计费方案 |
|
Login authentication scheme |
Login用户认证方案 |
|
Login authorization scheme |
Login用户授权方案 |
|
Login accounting scheme |
Login用户计费方案 |
|
Super authentication scheme |
用户角色切换认证方案 |
|
Command authorization scheme |
命令行授权方案 |
|
Command accounting scheme |
命令行计费方案 |
|
RADIUS |
RADIUS方案 |
|
HWTACACS |
HWTACACS方案 |
|
LDAP |
LDAP方案 |
|
Local |
本地方案 |
|
None |
不认证、不授权和不计费 |
|
Accounting start failure action |
用户计费开始失败的动作，包括以下取值： · Online：如果用户计费开始失败，则保持用户在线 · Offline：如果用户计费开始失败，则强制用户下线 |
|
Accounting update failure max-times |
允许用户连续计费更新失败的次数 |
|
Accounting update failure action |
用户计费更新失败的动作，包括以下取值： · Online：如果用户计费更新失败，则保持用户在线 · Offline：如果用户计费更新失败，则强制用户下线 |
|
Accounting quota out policy |
用户计费配额耗尽策略，包括以下取值： · Online：如果用户计费配额耗尽，则保持用户在线 · Offline：如果用户计费配额耗尽，则强制用户下线 |
|
Service type |
（暂不支持）ISP域的业务类型，取值为HSI，STB和VoIP |
|
Session time |
当用户异常下线时，设备上传到服务器的用户在线时间情况： · Include idle time：保留用户闲置切断时间 · Exclude idle time：扣除用户闲置切断时间 |
|
Dual-stack accounting method |
（暂不支持）双协议栈用户的计费方式，包括以下取值： · Merge：统一计费，即将双协议栈用户的IPv4流量和IPv6流量统一汇总后上送给计费服务器 · Separate：分别计费，即将双协议栈用户的IPv4流量和IPv6流量分别上送给计费服务器 |
|
Authorization attributes |
ISP的用户授权属性 |
|
Idle cut |
（暂不支持）用户闲置切断功能，包括以下取值： · Enabled：处于开启状态，表示当ISP域中的用户在指定的最大闲置切断时间内产生的流量小于指定的最小数据流量时，会被强制下线 · Disabled：处于关闭状态，表示不对用户进行闲置切断控制，它为缺省状态 |
|
IP pool |
授权IPv4地址池的名称 |
|
User profile |
授权User Profile的名称 |
|
ACL number |
授权ACL编号 |
|
User group |
授权User group的名称 |
|
URL |
授权重定向URL |
|
IGMP access limit |
授权IPv4用户可以同时点播的最大节目数 |
|
MLD access limit |
（暂不支持）授权IPv6用户可以同时点播的最大节目数 |
|
Authen-radius-unavailable |
（暂不支持）RADIUS认证服务器不可达时，用户的逃生域 |
|
Authen-radius-recover |
逃生域中的用户，在RADIUS认证服务器恢复可达后，认证失败后采取的策略，包括以下取值： · Offline：直接下线 · Online domain isp-name：保持在线，且用户切换到指定逃生恢复域 |
|
Default domain name |
缺省ISP域名 |
domain命令用来创建ISP域，并进入ISP域视图。如果指定的ISP域已经存在，则直接进入ISP域视图。
undo domain命令用来删除指定的ISP域。
【命令】
domain isp-name
undo domain isp-name
【缺省情况】
存在一个ISP域，名称为system。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
isp-name：ISP域名，为1～255个字符的字符串，不区分大小写，不能包括“/”、“\”、“|”、“””、“:”、“*”、“?”、“<”、“>”以及“@”字符，且不能为字符串“d”、“de”、“def”、“defa”、“defau”、“defaul”、“default”、“i”、“if”、“if-”、“if-u”、“if-un”、“if-unk”、“if-unkn”、“if-unkno”、“if-unknow”和“if-unknown”。
【使用指导】
所有的ISP域在创建后即处于active状态。
不能删除系统中预定义的ISP域system，只能修改该域的配置。
不能删除作为系统缺省ISP域的ISP域。如需删除一个系统缺省ISP域，请先使用undo domain default enable命令将其恢复为非缺省的ISP域。
建议设备上配置的ISP域名尽量短，避免用户输入的包含域名的用户名长度超过客户端可支持的最大用户名长度。
【举例】
# 创建一个名称为test的ISP域，并进入其视图。
<Sysname> system-view
[Sysname] domain test
【相关命令】
· display domain
· domain default enable
· domain if-unknown
· state (ISP domain view)
domain default enable命令用来配置系统缺省的ISP域，所有在登录时没有提供ISP域名的用户都属于这个域。
undo domain default enable命令用来恢复缺省情况。
【命令】
domain default enable isp-name
undo domain default enable
【缺省情况】
存在一个系统缺省的ISP域，名称为system。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
isp-name：ISP域名，为1～255个字符的字符串，不区分大小写，且必须已经存在。
【使用指导】
系统中只能存在一个缺省的ISP域。
配置为缺省的ISP域不能被删除。如需删除一个系统缺省ISP域，请先使用undo domain default enable命令将其恢复为非缺省的ISP域。
【举例】
# 创建一个新的ISP域test，并设置为系统缺省的ISP域。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] quit
[Sysname] domain default enable test
【相关命令】
· display domain
· domain
domain if-unknown命令用来为未知域名的用户指定ISP域。
undo domain if-unknown命令用来恢复缺省情况。
【命令】
domain if-unknown isp-name
undo domain if-unknown
【缺省情况】
没有为未知域名的用户指定ISP域。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
isp-name：ISP域名。为1～255个字符的字符串，不区分大小写，不能包括“/”、“\”、“|”、“””、“:”、“*”、“?”、“<”、“>”以及“@”字符，且不能为字符串“d”、“de”、“def”、“defa”、“defau”、“defaul”、“default”、“i”、“if”、“if-”、“if-u”、“if-un”、“if-unk”、“if-unkn”、“if-unkno”、“if-unknow”和“if-unknown”。
【使用指导】
设备将按照如下先后顺序选择认证域：接入模块指定的认证域-->用户名中指定的ISP域-->系统缺省的ISP域。其中，仅部分接入模块支持指定认证域。
如果根据以上原则决定的认证域在设备上不存在，但设备上为未知域名的用户指定了ISP域，则最终使用该指定的ISP域认证，否则，用户将无法认证。
【举例】
# 为未知域名的用户指定ISP域为test。
<Sysname> system-view
[Sysname] domain if-unknown test
【相关命令】
· display domain
local-server log change-password-prompt命令用来开启密码修改周期性提醒日志功能。
undo local-server log change-password-prompt命令用来关闭密码修改周期性提醒日志功能。
【命令】
local-server log change-password-prompt
undo local-server log change-password-prompt
【缺省情况】
密码修改周期性提醒日志功能处于开启状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
为了提高系统的安全性，用户通过Telnet、SSH、HTTP、HTTPS、NETCONF over SSH、NETCONF over SOAP方式登录设备时，系统会根据指定的安全要求对用户密码进行检查。为了及时提醒用户修改不符合系统要求的密码，建议开启密码修改周期性提醒日志功能。
开启本功能后，系统将每隔24小时，对所有不符合密码检查策略的用户打印日志，提醒这些用户尽快修改当前密码。除了周期性提醒之外，系统还会在每个用户登录时，针对不符合密码检查策略的情况立即打印日志进行提醒。
· 对于通过Telnet、SSH、HTTP、HTTPS方式登录设备的用户，如果用户密码为弱密码，且系统在用户登录时未要求其立即更改密码，系统会打印此提醒日志。弱密码是指不符合如下任意一项要求的密码：
¡ 密码组合检测策略。
¡ 密码最小长度限制。
¡ 密码复杂度检查策略。
· 对于通过NETCONF over SSH、NETCONF over SOAP方式登录设备的用户，如果出现以下情况，系统会打印此提醒日志：
¡ 用户密码为弱密码。
¡ 用户密码为缺省密码。
¡ 全局密码管理功能开启后，用户首次登录或使用被更改过的密码。
¡ 用户密码已经过期。
仅当以下情况发生时，系统才会停止打印此提醒日志：
· 关闭了密码修改周期性提醒日志功能。
· 用户密码修改为符合系统安全要求的密码。
· 密码检查策略相关功能的开启状态发生变化，使得密码检查策略变得宽松。
· 密码检查策略的参数设置发生变化。
当前系统中的密码检查策略可通过display password-control命令查看。弱密码检查使用的密码组合检测策略、密码最小长度限制、密码复杂度检查策略可分别通过password-control composition、password-control length、password-control complexity命令修改。关于密码检查策略的具体介绍，请参见“安全命令参考”的“Password Control”。
【举例】
# 开启密码修改周期性提醒日志功能。
<Sysname> system-view
[Sysname] local-server log change-password-prompt
【相关命令】
· display password-control（安全命令参考/Password Control）
· password-control composition（安全命令参考/Password Control）
· password-control length（安全命令参考/Password Control）
nas-id bind vlan命令用来设置NAS-ID与VLAN的绑定关系。
undo nas-id bind vlan命令用来删除指定的NAS-ID和VLAN的绑定关系。
nas-id nas-identifier bind vlan vlan-id
undo nas-id nas-identifier bind vlan vlan-id
【缺省情况】
不存在NAS-ID与VLAN的绑定关系。
NAS-ID Profile视图
network-admin
【参数】
nas-identifier：NAS-ID名称，为1～31个字符的字符串，区分大小写。
vlan-id：与NAS-ID绑定的VLAN ID，取值范围为1～4094。
一个NAS-ID Profile视图下，可以指定多个NAS-ID与VLAN的绑定关系。
一个NAS-ID可以与多个VLAN绑定，但是一个VLAN只能与一个NAS-ID绑定。若多次将一个VLAN与不同的NAS-ID进行绑定，则最后的绑定关系生效。
# 在名称为aaa的NAS-ID Profile视图下，配置NAS-ID 222与VLAN 2的绑定关系。
<Sysname> system-view
[Sysname] aaa nas-id profile aaa
[Sysname-nas-id-prof-aaa] nas-id 222 bind vlan 2
【相关命令】
· aaa nas-id profile
session-time include-idle-time命令用来配置设备上传到服务器的用户在线时间中保留闲置切断时间。
undo session-time include-idle-time命令用来恢复缺省情况。
【命令】
session-time include-idle-time
undo session-time include-idle-time
【缺省情况】
设备上传到服务器的用户在线时间中扣除闲置切断时间。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【使用指导】
请根据实际的计费策略决定是否在用户在线时间中保留闲置切断时间。该闲置切断时间在用户认证成功后由AAA授权。
当用户正常下线时，设备上传到服务器上的用户在线时间为实际在线时间；当用户异常下线时，上传到服务器的用户在线时间具体如下：
· 若配置为保留闲置切断时间，则上传到服务器上的用户在线时间中包含了一定的闲置切断时间。此时，服务器上记录的用户时长将大于用户实际在线时长。
· 若配置为扣除闲置切断时间，则上传到服务器上的用户在线时间为，闲置切断检测机制计算出的用户已在线时长扣除掉一个闲置切断时间。此时，服务器上记录的用户时长将小于用户实际在线时长。
【举例】
# 在ISP域test下，配置设备上传到服务器的用户在线时间中保留闲置切断时间。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] session-time include-idle-time
【相关命令】
· display domain
state命令用来设置当前ISP域的状态。
undo state命令用来恢复缺省情况。
【命令】
state { active | block }
undo state
【缺省情况】
当前ISP域处于活动状态。
【视图】
ISP域视图
【缺省用户角色】
network-admin
【参数】
active：指定当前ISP域处于活动状态，即系统允许该域下的用户请求网络服务。
block：指定当前ISP域处于阻塞状态，即系统不允许该域下的用户请求网络服务。
【使用指导】
当某个ISP域处于阻塞状态时，将不允许该域下的用户请求网络服务，但不影响已经在线的用户。
【举例】
# 设置当前ISP域test处于阻塞状态。
<Sysname> system-view
[Sysname] domain test
[Sysname-isp-test] state block
【相关命令】
· display domain
access-limit命令用来设置使用当前本地用户名接入设备的最大用户数。
undo access-limit命令用来恢复缺省情况。
【命令】
access-limit max-user-number
undo access-limit
【缺省情况】
不限制使用当前本地用户名接入的用户数。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
max-user-number：表示使用当前本地用户名接入设备的最大用户数，取值范围为1～1024。
【使用指导】
本地用户视图下的access-limit命令只在该用户采用了本地计费方法的情况下生效。
由于FTP/SFTP/SCP用户不支持计费，因此FTP/SFTP/SCP用户不受此属性限制。
【举例】
# 允许同时以本地用户名abc在线的用户数为5。
<Sysname> system-view
[Sysname] local-user abc
[Sysname-luser-manage-abc] access-limit 5
【相关命令】
· accounting start-fail offline
· display local-user
authorization-attribute命令用来设置本地用户或用户组的授权属性，该属性在本地用户认证通过之后，由设备下发给用户。
undo authorization-attribute命令用来删除指定的授权属性，恢复用户具有的缺省访问权限。
【命令】
authorization-attribute { idle-cut minutes | user-role role-name | work-directory directory-name } *
undo authorization-attribute { idle-cut | user-role role-name | work-directory } *
【缺省情况】
授权FTP/SFTP/SCP用户可以访问的目录为设备的根目录，但无访问权限。
由用户角色为network-admin或level-15的用户创建的本地用户被授权用户角色network-operator。
【视图】
本地用户视图
用户组视图
【缺省用户角色】
network-admin
【参数】
acl acl-number：指定本地用户的授权ACL。其中，acl-number为授权ACL的编号，取值范围为2000～4999。与授权ACL规则匹配的流量，将按照规则中指定的permit或deny动作进行处理。
idle-cut minutes：设置本地用户的闲置切断时间。其中，minutes为设定的闲置切断时间，取值范围为1～120，单位为分钟。如果用户在线后连续闲置的时长超过该值，设备会强制该用户下线。
ip-pool ipv4-pool-name：指定本地用户的IPv4地址池信息。本地用户认证成功后，将允许使用该IPv4地址池分配地址。其中，ipv4-pool-name表示地址池名称，为1～63个字符的字符串，不区分大小写。
session-timeout minutes：设置本地用户的会话超时时间。其中，minutes为设定的会话超时时间，取值范围为1～1440，单位为分钟。如果用户在线时长超过该值，设备会强制该用户下线。
user-profile profile-name：指定本地用户的授权User Profile。其中，profile-name表示User Profile名称，为1～31个字符的字符串，只能包含英文字母、数字、下划线，区分大小写。当用户认证成功后，其访问行为将受到User Profile中的预设配置的限制。关于User Profile的详细介绍请参见“安全配置指导”中的“User Profile”。
user-role role-name：指定本地用户的授权用户角色。其中，role-name表示用户角色名称，为1～63个字符的字符串，区分大小写。可以为每个用户最多指定64个用户角色。本地用户角色的相关命令请参见“基础配置命令参考”中的“RBAC”。该授权属性只能在本地用户视图下配置，不能在本地用户组视图下配置。
vlan vlan-id：指定本地用户的授权VLAN。其中，vlan-id为VLAN编号，取值范围为1～4094。本地用户认证成功后，将被授权仅可以访问指定VLAN内的网络资源。
work-directory directory-name：授权FTP/SFTP/SCP用户可以访问的目录。其中，directory-name表示FTP/SFTP/SCP用户可以访问的目录，为1～255个字符的字符串，不区分大小写，且该目录必须已经存在。
【使用指导】
可配置的授权属性都有其明确的使用环境和用途，请针对用户的服务类型配置对应的授权属性：
· 对于Telnet、Terminal、SSH用户，仅授权属性idle-cut、user-role有效。
· 对于http、https用户，仅授权属性user-role有效。
· 对于FTP用户，仅授权属性user-role、work-directory有效。
· 对于其它类型的本地用户，所有授权属性均无效。
用户组的授权属性对于组内的所有本地用户生效，因此具有相同属性的用户可通过加入相同的用户组来统一配置和管理。
本地用户视图下未配置的授权属性继承所属用户组的授权属性配置，但是如果本地用户视图与所属的用户组视图下都配置了某授权属性，则本地用户视图下的授权属性生效。
为确保本地用户仅使用本命令指定的授权用户角色，请先使用undo authorization-attribute user-role命令删除该用户已有的缺省用户角色。
被授权安全日志管理员的本地用户登录设备后，仅可执行安全日志文件管理相关的命令以及安全日志文件操作相关的命令，具体命令可通过display role name security-audit命令查看。安全日志文件管理相关命令的介绍，请参见“网络管理与监控”中的“信息中心”。文件系统管理相关命令的介绍，请参见“基础配置命令参考”中的“文件系统管理”。
为本地用户授权安全日志管理员角色时，需要注意的是：
· 安全日志管理员角色和其它用户角色互斥：
¡ 为一个用户授权安全日志管理员角色时，系统会通过提示信息请求确认是否删除当前用户的所有其它他用户角色；
¡ 如果已经授权当前用户安全日志管理员角色，再授权其它的用户角色时，系统会通过提示信息请求确认是否删除当前用户的安全日志管理员角色。
· 系统中的最后一个安全日志管理员角色的本地用户不可被删除。
【举例】
# 配置用户组abc的授权VLAN为VLAN 3。
<Sysname> system-view
[Sysname] user-group abc
[Sysname-ugroup-abc] authorization-attribute vlan 3
# 配置设备管理类本地用户xyz的授权用户角色为security-audit（安全日志管理员）。
<Sysname> system-view
[Sysname] local-user xyz class manage
[Sysname-luser-manage-xyz] authorization-attribute user-role security-audit
This operation will delete all other roles of the user. Are you sure? [Y/N]:y
【相关命令】
· display local-user
· display user-group
bind-attribute命令用来设置用户的绑定属性。
undo bind-attribute命令用来删除指定的用户绑定属性。
【命令】
bind-attribute { location interface interface-type interface-number } *
undo bind-attribute { location } *
【缺省情况】
未设置用户的绑定属性。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
location interface interface-type interface-number：指定用户绑定的接口。其中interface-type interface-number表示接口类型和接口编号。如果用户接入的接口与此处绑定的接口不一致，则认证失败。该绑定属性仅适用于设备管理类型的用户。
【使用指导】
设备对用户进行本地认证时，会检查用户的实际属性与配置的绑定属性是否一致，如果不一致或用户未携带该绑定属性则认证失败。
绑定属性的检测不区分用户的接入服务类型，因此在配置绑定属性时要考虑某接入类型的用户是否需要绑定某些属性。
【举例】
# 配置设备管理类本地用户abc的绑定接口为gigabitethernet 1/0/3。
<Sysname> system-view
[Sysname] local-user abc class manage
[Sysname-luser-manage-abc] bind-attribute location interface gigabitethernet 1/0/3
【相关命令】
· display local-user
display local-user命令用来显示本地用户的配置信息和在线用户数的统计信息。
【命令】
display local-user [ class { manage | network } | idle-cut { disable | enable } | service-type { ftp | http | https | ssh | telnet | terminal } | state { active | block } | user-name user-name class { manage | network } | vlan vlan-id ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
class：显示指定用户类别的本地用户信息。
manage：设备管理类用户。
idle-cut { disable | enable }：显示开启或关闭闲置切断功能的本地用户信息。其中，disable表示未启用闲置切断功能的本地用户；enable表示启用了闲置切断功能并配置了闲置切断时间的本地用户。
service-type：显示指定用户类型的本地用户信息。
· ftp：FTP用户。
· http：HTTP用户。
· https：HTTPS用户。
· ssh：SSH用户。
· telnet：Telnet用户。
· terminal：从Console口登录的终端用户。
state { active | block }：显示处于指定状态的本地用户信息。其中，active表示用户处于活动状态，即系统允许该用户请求网络服务；block表示用户处于阻塞状态，即系统不允许用户请求网络服务。
user-name user-name：显示指定用户名的本地用户信息。其中，user-name表示本地用户名，为1～55个字符的字符串，区分大小写，不能携带域名，不能包括符号“\”、“|”、“/”、“:”、“*”、“?”、“<”、“>”和“@”，且不能为“a”、“al”或“all”。
vlan vlan-id：显示指定VLAN内的所有本地用户信息。其中，vlan-id为VLAN编号，取值范围为1～4094。
【使用指导】
如果不指定任何参数，则显示所有本地用户信息。
【举例】
# 显示所有本地用户的相关信息。
<Sysname> display local-user
Total 1 local users matched.
Device management user root:
State: Active
Service type: SSH/Telnet/Terminal
Access limit: Enabled Max access number: 3
Current access number: 1
User group: system
Bind attributes:
Authorization attributes:
Work directory: flash:
User role list: network-admin
Password control configurations:
Password aging: 3 days
Password history was last reset: 0 days ago
表1-2 display local-user命令显示信息描述表
|
字段 |
描述 |
|
Total x local users matched. |
总计有x个本地用户匹配 |
|
State |
本地用户状态 · Active：活动状态 · Block：阻塞状态 |
|
Service type |
本地用户使用的服务类型 |
|
Access limit |
是否对使用该用户名的接入用户数进行限制 |
|
Max access number |
最大接入用户数 |
|
Current access number |
使用该用户名的当前接入用户数 |
|
User group |
本地用户所属的用户组 |
|
Bind attributes |
本地用户的绑定属性 |
|
IP address |
本地用户的IP地址 |
|
Location bound |
本地用户绑定的端口 |
|
MAC address |
本地用户的MAC地址 |
|
VLAN ID |
本地用户绑定的VLAN |
|
Authorization attributes |
本地用户的授权属性 |
|
Idle timeout |
本地用户闲置切断时间（单位为分钟） |
|
Session-timeout |
本地用户的会话超时时间（单位为分钟） |
|
Work directory |
FTP/SFTP/SCP用户可以访问的目录 |
|
ACL number |
本地用户授权ACL |
|
VLAN ID |
本地用户授权VLAN |
|
User profile |
本地用户授权User Profile |
|
User role list |
本地用户的授权用户角色列表 |
|
IP pool |
本地用户的授权IPv4地址池 |
|
URL |
本地用户的授权重定向URL |
|
Password control configurations |
本地用户的密码控制属性 |
|
Password aging |
密码老化时间 |
|
Password length |
密码最小长度 |
|
Password composition |
密码组合策略（密码元素的组合类型、至少要包含每种元素的个数） |
|
Password complexity |
密码复杂度检查策略（是否包含用户名或者颠倒的用户名；是否包含三个或以上相同字符） |
|
Maximum login attempts |
用户最大登录尝试次数 |
|
Action for exceeding login attempts |
登录尝试次数达到设定次数后的用户账户锁定行为 |
|
Password history was last reset |
上一次清除密码历史记录的时间 |
display user-group命令用来显示用户组的配置信息。
【命令】
display user-group { all | name group-name }
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
all：显示所有用户组的配置信息。
name group-name：显示指定用户组的配置。group-name表示用户组名称，为1～32个字符的字符串，不区分大小写。
【举例】
# 显示所有用户组的相关配置。
<Sysname> display user-group all
Total 2 user groups matched.
User group: system
Authorization attributes:
Work directory: flash:
BYOD authorization attributes: Not configured
User group: jj
Authorization attributes:
Idle timeout: 2 minutes
Work directory: flash:/
ACL number: 2000
VLAN ID: 2
User profile: pp
BYOD authorization attributes: Not configured
Password control configurations:
Password aging: 2 days
表1-3 display user-group命令显示信息描述表
|
字段 |
描述 |
|
Total 2 user groups matched. |
总计有2个用户组匹配 |
|
User group |
用户组名称 |
|
Authorization attributes |
授权属性信息 |
|
Idle timeout |
闲置切断时间（单位：分钟） |
|
Session-timeout |
会话超时时间（单位：分钟） |
|
Work directory |
FTP/SFTP/SCP用户可以访问的目录 |
|
ACL number |
授权ACL号 |
|
VLAN ID |
授权VLAN ID |
|
User profile |
授权User Profile名称 |
|
IP pool |
授权IPv4地址池 |
|
URL |
授权重定向URL |
|
BYOD authorization attributes |
（暂不支持）BYOD授权属性信息 |
|
Password control configurations |
用户组的密码控制属性 |
|
Password aging |
密码老化时间 |
|
Password length |
密码最小长度 |
|
Password composition |
密码组合策略（密码元素的组合类型、至少要包含每种元素的个数） |
|
Password complexity |
密码复杂度检查策略（是否包含用户名或者颠倒的用户名；是否包含三个或以上相同字符） |
|
Maximum login attempts |
用户最大登录尝试次数 |
|
Action for exceeding login attempts |
登录尝试次数达到设定次数后的用户账户锁定行为 |
group命令用来设置本地用户所属的用户组。
undo group命令用来恢复缺省配置。
【命令】
group group-name
undo group
【缺省情况】
本地用户属于用户组system。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
group-name：用户组名称，为1～32个字符的字符串，不区分大小写。
【举例】
# 设置设备管理类本地用户111所属的用户组为abc。
<Sysname> system-view
[Sysname] local-user 111 class manage
[Sysname-luser-manage-111] group abc
【相关命令】
· display local-user
local-user命令用来添加本地用户，并进入本地用户视图。如果指定的本地用户已经存在，则直接进入本地用户视图。
undo local-user命令用来删除指定的本地用户。
【命令】
local-user user-name [ class manage ]
undo local-user { user-name class manage | all [ service-type { ftp | http | https | ssh | telnet | terminal } | class manage ] }
【缺省情况】
不存在本地用户。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
user-name：表示本地用户名，为1～55个字符的字符串，区分大小写。用户名不能携带域名，不能包括符号“\”、“|”、“/”、“:”、“*”、“?”、“<”、“>”和“@”，且不能为与“all”或“auto-delete”中自第一个字母“a”起向右若干连续字符完全相同的字符串，例如不能为“a”、“al”、“all”、“au”、“aut”、“auto”、“auto-”、“auto-d”等。
class：指定本地用户的类别。若不指定本参数，则表示设备管理类用户。
manage：设备管理类用户，用于登录设备，对设备进行配置和监控。此类用户可以提供ftp、http、https、telnet、ssh、terminal服务。
all：所有的用户。
service-type：指定用户的类型。
· ftp：表示FTP类型用户。
· http：表示HTTP类型用户。
· https：表示HTTPS类型用户。
· ssh：表示SSH用户。
· telnet：表示Telnet用户。
· terminal：表示从Console口登录的终端用户。
【使用指导】
设备支持配置多个本地用户，设备管理类本地用户的最大数目为1024。
【举例】
# 添加名称为user1的设备管理类本地用户。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1]
【相关命令】
· display local-user
· service-type
password命令用来设置本地用户的密码。
undo password命令用来恢复缺省情况。
【命令】
password [ { hash | simple } string ]
undo password
【缺省情况】
不存在本地用户密码，即本地用户认证时无需输入密码，只要用户名有效且其它属性验证通过即可认证成功。
【视图】
设备管理类本地用户视图
【缺省用户角色】
network-admin
【参数】
hash：表示以哈希方式设置密码。
simple：表示以明文方式设置密码，该密码将以哈希方式存储。
string：密码字符串，区分大小写。明文密码为1～63个字符的字符串；哈希密码为1～110个字符的字符串。
【使用指导】
如果不指定任何参数，则表示以交互式设置明文形式的密码。
可以不为本地用户设置密码。若不为本地用户设置密码，则该用户认证时无需输入密码，只要用户名有效且其它属性验证通过即可认证成功。为提高用户帐户的安全性，建议设置本地用户密码。
在全局Password Control功能处于开启的情况下，需要注意的是：
· 所有历史密码都以哈希方式存储。
· 当前登录用户以明文方式修改自己的密码时，需要首先提供现有的明文密码，然后保证输入的新密码与所有历史密码不同，且至少要与现有密码存在4个不同字符的差异。
· 当前登录用户以明文方式修改其它用户的密码时，需要保证新密码与所有历史密码不同。
· 当前登录用户删除自己的密码时，需要提供现有的明文密码。
· 其它情况下，均不需要提供现有明文密码，也不与历史密码进行比较。
【举例】
# 设置设备管理类本地用户user1的密码为明文123456TESTplat&!。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1] password simple 123456TESTplat&!
# 以交互式方式设置设备管理类本地用户test的密码。
<Sysname> system-view
[Sysname] local-user test class manage
[Sysname-luser-manage-test] password
Password:
confirm :
【相关命令】
· display local-user
service-type命令用来设置用户可以使用的服务类型。
undo service-type命令用来删除用户可以使用的服务类型。
【命令】
service-type { ftp | { http | https | ssh | telnet | terminal } * }
undo service-type { ftp | { http | https | ssh | telnet | terminal } * }
【缺省情况】
系统不对用户授权任何服务，即用户不能使用任何服务。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
ftp：指定用户可以使用FTP服务。若授权FTP服务，授权目录可以通过authorization-attribute work-directory命令来设置。
http：指定用户可以使用HTTP服务。
https：指定用户可以使用HTTPS服务。
ssh：指定用户可以使用SSH服务。
telnet：指定用户可以使用Telnet服务。
terminal：指定用户可以使用terminal服务（即从Console口登录）。
【使用指导】
可以通过多次执行本命令，设置用户可以使用多种服务类型。
【举例】
# 指定设备管理类用户可以使用Telnet服务和FTP服务。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1] service-type telnet
[Sysname-luser-manage-user1] service-type ftp
【相关命令】
· display local-user
state命令用来设置当前本地用户的状态。
undo state命令用来恢复缺省情况。
【命令】
state { active | block }
undo state
【缺省情况】
本地用户处于活动状态。
【视图】
本地用户视图
【缺省用户角色】
network-admin
【参数】
active：指定当前本地用户处于活动状态，即系统允许当前本地用户请求网络服务。
block：指定当前本地用户处于“阻塞”状态，即系统不允许当前本地用户请求网络服务。
【举例】
# 设置设备管理类本地用户user1处于“阻塞”状态。
<Sysname> system-view
[Sysname] local-user user1 class manage
[Sysname-luser-manage-user1] state block
【相关命令】
· display local-user
user-group命令用来创建用户组，并进入用户组视图。如果指定的用户组已经存在，则直接进入用户组视图。
undo user-group命令用来删除指定的用户组。
【命令】
user-group group-name
undo user-group group-name
【缺省情况】
存在一个用户组，名称为system。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
group-name：用户组名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
用户组是一个本地用户的集合，某些需要集中管理的属性可在用户组中统一配置和管理。
不允许删除一个包含本地用户的用户组。
不能删除系统中存在的默认用户组system，但可以修改该用户组的配置。
【举例】
# 创建名称为abc的用户组并进入其视图。
<Sysname> system-view
[Sysname] user-group abc
[Sysname-ugroup-abc]
【相关命令】
· display user-group
aaa device-id命令用来配置设备ID。
undo aaa debice-id命令用来恢复缺省情况。
【命令】
aaa device-id device-id
undo aaa device-id
【缺省情况】
设备ID为0。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
device-id：设备ID，取值范围为1～255。
【使用指导】
RADIUS计费过程使用Acct-Session-Id属性作为用户的计费ID。设备使用系统时间、随机数以及设备ID为每个在线用户生成一个唯一的Acct-Session-Id值。在多机备份环境中，多台设备使用相同的RADIUS计费服务器时，为了避免不同设备为用户生成的计费ID出现小概率重复，影响计费的准确性，建议使用本命令为不同设备配置不同的设备ID。
修改后的设备ID仅对新上线用户生效。
【举例】
# 配置设备ID为1。
<Sysname> system-view
[Sysname] aaa device-id 1
accounting-on enable命令用来开启accounting-on功能。
undo accounting-on enable命令用来关闭accounting-on功能。
【命令】
accounting-on enable [ interval interval | send send-times ] *
undo accounting-on enable
【缺省情况】
accounting-on功能处于关闭状态。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
interval interval：指定accounting-on报文重发时间间隔，取值范围为1～15，单位为秒，缺省值为3。
send send-times：指定accounting-on报文的最大发送次数，取值范围为1～255，缺省值为50。
【使用指导】
accounting-on功能使得整个设备在重启之后通过发送accounting-on报文通知该方案所使用的RADIUS计费服务器，要求RADIUS服务器停止计费且强制该设备的用户下线。
开启accounting-on功能后，请执行save命令保证accounting-on功能在整个设备下次重启后生效。关于命令的详细介绍请参见“基础配置命令参考”中的“配置文件管理”。
本命令设置的accounting-on参数会立即生效。
【举例】
# 在RADIUS方案radius1中，开启accounting-on功能并配置accounting-on报文重发时间间隔为5秒、accounting-on报文的最大发送次数为15次。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] accounting-on enable interval 5 send 15
【相关命令】
· display radius scheme
attribute 15 check-mode命令用来配置对RADIUS Attribute 15的检查方式。
undo attribute 15 check-mode命令用来恢复缺省情况。
【命令】
attribute 15 check-mode { loose | strict }
undo attribute 15 check-mode
【缺省情况】
对RADIUS Attribute 15的检查方式为strict方式。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
loose：松散检查方式，设备使用RADIUS Attribute 15的标准属性值对用户业务类型进行检查。 对于SSH、FTP、Terminal用户，在RADIUS服务器下发的Login-Service属性值为0（表示用户业务类型为Telnet）时才，这类用户才能够通过认证。
strict：严格检查方式，设备使用RADIUS Attribute 15的标准属性值以及扩展属性值对用户业务类型进行检查。对于SSH、FTP、Terminal用户，当RADIUS服务器下发的Login-Service属性值为对应的扩展取值时，这类用户才能够通过认证。
【使用指导】
由于某些RADIUS服务器不支持自定义的属性，无法下发扩展的Login-Service属性，若要使用这类RADIUS服务器对SSH、FTP、Terminal用户进行认证，建议设备上对RADIUS 15号属性值采用松散检查方式。
【举例】
# 在RADIUS方案radius1中，配置对RADIUS Attribute 15采用松散检查方式。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute 15 check-mode loose
【相关命令】
· display radius scheme
attribute 25 car命令用来开启RADIUS Attribute 25的CAR参数解析功能。
undo attribute 25 car命令用来关闭RADIUS Attribute 25的CAR参数解析功能。
【命令】
attribute 25 car
undo attribute 25 car
【缺省情况】
RADIUS Attribute 25的CAR参数解析功能处于关闭状态。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【使用指导】
RADIUS的25号属性为class属性，该属性由RADIUS服务器下发给设备。目前，某些RADIUS服务器利用class属性来对用户下发CAR参数，可以通过本特性来控制设备是否将RADIUS 25号属性解析为CAR参数，解析出的CAR参数可被用来进行基于用户的流量监管控制。
【举例】
# 在RADIUS方案radius1中，开启RADIUS Attribute 25的CAR参数解析功能。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute 25 car
【相关命令】
· display radius scheme
attribute 31 mac-format命令用来配置RADIUS Attribute 31中的MAC地址格式。
undo attribute 31 mac-format命令用来恢复缺省情况。
【命令】
attribute 31 mac-format section { one | { six | three } separator separator-character } { lowercase | uppercase }
undo attribute 31 mac-format
【缺省情况】
RADIUS Attribute 31中的MAC地址为大写字母格式，且被分隔符“-”分成6段，即为HH-HH-HH-HH-HH-HH的格式。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
section：指定MAC地址分段数。
one：表示MAC地址被分为1段，格式为HHHHHHHHHHHH。
six：表示MAC地址被分为6段，格式为HH-HH-HH-HH-HH-HH。
three：表示MAC地址被分为3段，格式为HHHH-HHHH-HHHH。
separator separator-character：MAC地址的分隔符，为单个字符，区分大小写。
lowercase：表示MAC地址为小写字母格式。
uppercase：表示MAC地址为大写字母格式。
【使用指导】
不同的RADIUS服务器对填充在RADIUS Attribute 31中的MAC地址有不同的格式要求，为了保证RADIUS报文的正常交互，设备发送给服务器的RADIUS Attribute 31号属性中MAC地址的格式必须与服务器的要求保持一致。
【举例】
# 在RADIUS方案radius1中，配置RADIUS Attribute 31的MAC地址格式为hh:hh:hh:hh:hh:hh。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute 31 mac-format section six separator : lowercase
【相关命令】
· display radius scheme
attribute convert命令用来配置RADIUS属性转换规则。
undo attribute convert命令用来删除RADIUS属性转换规则。
【命令】
attribute convert src-attr-name to dest-attr-name { { coa-ack | coa-request } * | { received | sent } * }
undo attribute convert [ src-attr-name ]
【缺省情况】
不存在RADIUS属性转换规则，系统按照标准RADIUS协议对RADIUS属性进行处理。
【视图】
RADIUS DAE服务器视图
【缺省用户角色】
network-admin
【参数】
src-attr-name：源属性名称，为1～63个字符的字符串，不区分大小写。该属性必须为系统支持的属性。
dest-attr-name：目的属性名称，为1～63个字符的字符串，不区分大小写。该属性必须为系统支持的属性。
coa-ack：COA应答报文。
coa-request：COA请求报文。
received：接收到的DAE报文。
sent：发送的DAE报文。
【使用指导】
RADIUS属性转换规则中的源属性内容将被按照目的属性的含义来处理。
只有在RADIUS属性解释功能开启之后，RADIUS属性转换规则才能生效。
配置RADIUS属性转换规则时，需要遵循以下原则：
· 源属性内容和目的属性内容的数据类型必须相同。
· 源属性和目的属性的名称不能相同。
· 一个属性只能按照一种方式（按报文类型或报文处理方向）进行转换。
· 一个源属性不能同时转换为多个目的属性。
执行undo attribute convert命令时，如果不指定源属性名称，则表示删除所有RADIUS属性转换规则。
【举例】
# 在RADIUS DAE服务器视图下，配置一条RADIUS属性转换规则，指定将接收到的DAE报文中的Hw-Server-String属性转换为Connect-Info属性。
<Sysname> system-view
[Sysname] radius dynamic-author server
[Sysname-radius-da-server] attribute convert Hw-Server-String to Connect-Info received
【相关命令】
· attribute translate
attribute convert命令用来配置RADIUS属性转换规则。
undo attribute convert命令用来删除RADIUS属性转换规则。
【命令】
attribute convert src-attr-name to dest-attr-name { { access-accept | access-request | accounting } * | { received | sent } * }
undo attribute convert [ src-attr-name ]
【缺省情况】
不存在RADIUS属性转换规则，系统按照标准RADIUS协议对RADIUS属性进行处理。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
src-attr-name：源属性名称，为1～63个字符的字符串，不区分大小写。该属性必须为系统支持的属性。
dest-attr-name：目的属性名称，为1～63个字符的字符串，不区分大小写。该属性必须为系统支持的属性。
access-accept：RADIUS认证成功报文。
access-request：RADIUS认证请求报文。
accounting：RADIUS计费报文。
received：接收到的RADIUS报文。
sent：发送的RADIUS报文。
【使用指导】
RADIUS属性转换规则中的源属性内容将被按照目的属性的含义来处理。
只有在RADIUS属性解释功能开启之后，RADIUS属性转换规则才能生效。
配置RADIUS属性转换规则时，需要遵循以下原则：
· 源属性内容和目的属性内容的数据类型必须相同。
· 源属性和目的属性的名称不能相同。
· 一个属性只能按照一种方式（按报文类型或报文处理方向）进行转换。
· 一个源属性不能同时转换为多个目的属性。
执行undo attribute convert命令时，如果不指定源属性名称，则表示删除所有RADIUS属性转换规则。
【举例】
# 在RADIUS方案radius1中，配置一条RADIUS属性转换规则，指定将接收到的RADIUS报文中的Hw-Server-String属性转换为Connect-Info属性。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute convert Hw-Server-String to Connect-Info received
【相关命令】
· attribute translate
attribute reject命令用来配置RADIUS属性禁用。
undo attribute reject命令用来取消配置的RADIUS属性禁用。
【命令】
attribute reject attr-name { { coa-ack | coa-request } * | { received | sent } * }
undo attribute reject [ attr-name ]
【缺省情况】
不存在RADIUS属性禁用规则。
【视图】
RADIUS DAE服务器视图
【缺省用户角色】
network-admin
【参数】
attr-name：RADIUS属性名称，为1～63个字符的字符串，不区分大小写。该属性必须为系统支持的属性。
coa-ack：COA应答报文。
coa-request：COA请求报文。
received：接收到的DAE报文。
sent：发送的DAE报文。
【使用指导】
当设备发送的RADIUS报文中携带了RADIUS服务器无法识别的属性时，可以定义基于发送方向的属性禁用规则，使得设备发送RADIUS报文时，将该属性从报文中删除。
当RADIUS服务器发送给设备的某些属性是设备不希望收到的属性时，可以定义基于接收方向的属性禁用规则，使得设备接收RADIUS报文时，不处理报文中的该属性。
当某些类型的属性是设备不希望处理的属性时，可以定义基于类型的属性禁用规则。
只有在RADIUS属性解释功能开启之后，RADIUS属性禁用规则才能生效。
一个属性只能按照一种方式（按报文类型或报文处理方向）进行禁用。
执行undo attribute reject命令时，如果不指定属性名称，则表示删除所有RADIUS属性禁用规则。
【举例】
# 在RADIUS DAE服务器视图下，配置一条RADIUS属性禁用规则，指定禁用发送的DAE报文中的Connect-Info属性。
<Sysname> system-view
[Sysname] radius dynamic-author server
[Sysname-radius-da-server] attribute reject Connect-Info sent
【相关命令】
· attribute translate
attribute reject命令用来配置RADIUS属性禁用规则。
undo attribute reject命令用来删除RADIUS属性禁用规则。
【命令】
attribute reject attr-name { { access-accept | access-request | accounting } * | { received | sent } * }
undo attribute reject [ attr-name ]
【缺省情况】
不存在RADIUS属性禁用规则。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
attr-name：RADIUS属性名称，为1～63个字符的字符串，不区分大小写。该属性必须为系统支持的属性。
access-accept：RADIUS认证成功报文。
access-request：RADIUS认证请求报文。
accounting：RADIUS计费报文。
received：接收到的RADIUS报文。
sent：发送的RADIUS报文。
【使用指导】
当设备发送的RADIUS报文中携带了RADIUS服务器无法识别的属性时，可以定义基于发送方向的属性禁用规则，使得设备发送RADIUS报文时，将该属性从报文中删除。
当RADIUS服务器发送给设备的某些属性是不希望收到的属性时，可以定义基于接收方向的属性禁用规则，使得设备接收RADIUS报文时，不处理报文中的该属性。
当某些类型的属性是设备不希望处理的属性时，可以定义基于类型的属性禁用规则。
只有在RADIUS属性解释功能开启之后，RADIUS属性禁用规则才能生效。
一个属性只能按照一种方式（按报文类型或报文处理方向）进行禁用。
执行undo attribute reject命令时，如果不指定属性名称，则表示删除所有RADIUS属性禁用规则。
【举例】
# 在RADIUS方案radius1中，配置一条RADIUS属性禁用规则，指定禁用发送的RADIUS报文中的Connect-Info属性。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute reject Connect-Info sent
【相关命令】
· attribute translate
attribute remanent-volume命令用来配置RADIUS Remanent-Volume属性的流量单位。
undo attribute remanent-volume命令用来恢复缺省情况。
【命令】
attribute remanent-volume unit { byte | giga-byte | kilo-byte | mega-byte }
undo attribute remanent-volume unit
【缺省情况】
Remanent-Volume属性的流量单位是千字节。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
byte：表示流量单位为字节。
giga-byte：表示流量单位为千兆字节。
kilo-byte：表示流量单位为千字节。
mega-byte：表示流量单位为兆字节。
【使用指导】
Remanent-Volume属性为H3C自定义RADIUS属性，携带在RADIUS服务器发送给接入设备的认证响应或实时计费响应报文中，用于向接入设备通知在线用户的剩余流量值。设备管理员通过本命令设置的流量单位应与RADIUS服务器上统计用户流量的单位保持一致，否则设备无法正确使用Remanent-Volume属性值对用户进行计费。
【举例】
# 在RADIUS方案radius1中，设置RADIUS服务器下发的Remanent-Volume属性的流量单位为千字节。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute remanent-volume unit kilo-byte
【相关命令】
· display radius scheme
attribute translate命令用来开启RADIUS属性解释功能。
undo attribute translate命令用来关闭RADIUS属性解释功能。
【命令】
attribute translate
undo attribute translate
【缺省情况】
RADIUS属性解释功能处于关闭状态。
【视图】
RADIUS方案视图/RADIUS DAE服务器视图
【缺省用户角色】
network-admin
【使用指导】
不同厂商的RADIUS服务器所支持的RADIUS属性集有所不同，而且相同属性的用途也可能不同。为了兼容不同厂商的服务器的RADIUS属性，需要开启RADIUS属性解释功能，并定义相应的RADIUS属性转换规则和RADIUS属性禁用规则。
【举例】
# 在RADIUS方案radius1中，开启RADIUS属性解释功能。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] attribute translate
【相关命令】
· attribute convert
· attribute reject
ca-file命令用来配置EAP认证使用的CA证书。
undo ca-file命令用来恢复缺省情况。
【命令】
ca-file file-name
undo ca-file
【缺省情况】
未配置CA证书。
【视图】
EAP认证方案视图
【缺省用户角色】
network-admin
【参数】
file-name：表示CA证书文件名称，为1～91个字符的字符串，区分大小写。
【使用指导】
当使用EAP认证方法为PEAP-GTC、PEAP-MSCHAPv2、TTLS-GTC、TTLS-MSCHAPv2时，可以选择校验服务器或客户端证书。配置CA证书即表示需要校验服务器证书。
若未配置CA证书，则表示EAP认证过程中不校验服务器证书。
配置CA证书之前，需要通过FTP或TFTP的方式将证书文件导入设备的存储介质的根目录下。
一个EAP认证方案视图中只能指定一个CA证书，后配置的生效。
修改后的配置，将在下一个探测周期中生效。
【举例】
# 在EAP认证方案eap1中，配置采用的CA证书文件为CA.der。
<Sysname> system-view
[Sysname] eap-profile eap1
[Sysname-eap-profile-eap1] ca-file CA.der
client命令用来指定RADIUS DAE客户端。
undo client命令用来删除指定的RADIUS DAE客户端。
【命令】
client ip ipv4-address [ key { cipher | simple } string ]
undo client ip ipv4-address
【缺省情况】
未指定RADIUS DAE客户端。
【视图】
RADIUS DAE服务器视图
【缺省用户角色】
network-admin
【参数】
ip ipv4-address：RADIUS DAE客户端IPv4地址。
key：与RADIUS DAE客户端交互DAE报文时使用的共享密钥。此共享密钥的设置必须与RADIUS DAE客户端的共享密钥设置保持一致。如果此处未指定本参数，则对应的RADIUS DAE客户端上也必须未指定。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
【使用指导】
开启RADIUS DAE服务之后，设备会监听并处理指定的RADIUS DAE客户端发起的DAE请求消息（用于动态授权修改或断开连接），并向其发送应答消息。对于非指定的RADIUS DAE客户端的DAE报文进行丢弃处理。
可通过多次执行本命令指定多个RADIUS DAE客户端。
【举例】
# 设置RADIUS DAE客户端的IP地址为10.110.1.2，与RADIUS DAE客户端交互DAE报文时使用的共享密钥为明文123456。
<Sysname> system-view
[Sysname] radius dynamic-author server
[Sysname-radius-da-server] client ip 10.110.1.2 key simple 123456
【相关命令】
· radius dynamic-author server
· port
data-flow-format命令用来配置发送到RADIUS服务器的数据流及数据包的单位。
undo data-flow-format命令用来恢复缺省情况。
【命令】
data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } } *
undo data-flow-format { data | packet }
【缺省情况】
数据流的单位为字节，数据包的单位为包。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
data：设置数据流的单位。
· byte：数据流的单位为字节。
· giga-byte：数据流的单位千兆字节。
· kilo-byte：数据流的单位为千字节。
· mega-byte：数据流的单位为兆字节。
packet：设置数据包的单位。
· giga-packet：数据包的单位为千兆包。
· kilo-packet：数据包的单位为千包。
· mega-packet：数据包的单位为兆包。
· one-packet：数据包的单位为包。
【使用指导】
设备上配置的发送给RADIUS服务器的数据流单位及数据包单位应与RADIUS服务器上的流量统计单位保持一致，否则无法正确计费。
【举例】
# 在RADIUS方案radius1中，设置发往RADIUS服务器的数据流单位为千字节、数据包单位为千包。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] data-flow-format data kilo-byte packet kilo-packet
【相关命令】
· display radius scheme
display radius scheme命令用来显示RADIUS方案的配置信息。
【命令】
display radius scheme [ radius-scheme-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
radius-scheme-name：RADIUS方案名，为1～32个字符的字符串，不区分大小写。如果不指定该参数，则表示所有RADIUS方案。
【使用指导】
显示指定RADIUS方案配置信息时，会同时显示每一个RADIUS服务器当前Active状态的持续时间以及最近5次状态变化信息；显示所有RADIUS方案配置信息时，会同时显示每一个RADIUS服务器当前Active状态的持续时间以及最近1次Block状态的开始时间和结束时间。
【举例】
# 显示所有RADIUS方案的配置信息。
<Sysname> display radius scheme
Total 1 RADIUS schemes
------------------------------------------------------------------
RADIUS scheme name: radius1
Index : 0
Primary authentication server:
Host name: Not configured
IP : 2.2.2.2 Port: 1812
VPN : Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent blocked period: 2019/12/08 20:33:45 – 2019/12/08 20:38:45
Test profile: 132
Probe username: test
Probe interval: 60 minutes
Probe eap-profile: eap1
Weight: 40
Primary accounting server:
Host name: Not configured
IP : 1.1.1.1 Port: 1813
VPN : Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent blocked period: 2019/12/08 20:33:45 - 2019/12/08 20:38:45
Weight: 40
Second authentication server:
Host name: Not configured
IP : 3.3.3.3 Port: 1812
VPN : Not configured
State: Blocked
Most recent blocked period: 2019/12/08 20:33:45 - now
Test profile: Not configured
Weight: 40
Second accounting server:
Host name: Not configured
IP : 3.3.3.3 Port: 1813
VPN : Not configured
State: Blocked (Mandatory)
Most recent blocked period: 2019/12/08 20:33:45 - now
Weight: 0
Accounting-On function : Enabled
extended function : Disabled
retransmission times : 5
retransmission interval(seconds) : 2
Timeout Interval(seconds) : 3
Retransmission Times : 3
Retransmission Times for Accounting Update : 5
Server Quiet Period(minutes) : 5
Realtime Accounting Interval(seconds) : 22
Stop-accounting packets buffering : Enabled
Retransmission times : 500
NAS IP Address : 1.1.1.1
Local NAS IP Address : Not configured
Peer NAS IP Address : Not configured
VPN : Not configured
User Name Format : with-domain
Data flow unit : Megabyte
Packet unit : One
Attribute 5 format : Port
Attribute 15 check-mode : Strict
Attribute 25 : CAR
Attribute 87 format : Interface name
Attribute Remanent-Volume unit : Mega
server-load-sharing : Enabled
Attribute 30 format : hh:hh:hh:hh:hh:hh:SSID
Attribute 30 MAC format : hh:hh:hh:hh:hh:hh
Attribute 31 MAC format : hh:hh:hh:hh:hh:hh
Stop-accounting-packet send-force : Disabled
Reauthentication server selection : Reselect
Attribute 218 of vendor ID 25506 : DHCP-Option 61
Format 1 (1-byte Type field)
------------------------------------------------------------------
# 显示RADIUS方案radius1的配置信息。
<Sysname> display radius scheme radius1
RADIUS scheme name: radius1
Index: 0
Primary authentication server:
Host name: Not Configured
IP : 2.2.2.2 Port: 1812
VPN : Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent state changes:
2019/12/08 20:38:45 Changed to active state
2019/12/08 20:33:45 Changed to blocked state
2019/12/08 20:31:19 Changed to active state
2019/12/08 20:26:19 Changed to blocked state
2019/12/08 20:26:00 Changed to active state
Test profile: 132
Probe username: test
Probe interval: 60 minutes
Probe eap-profile: eap1
Weight: 40
Primary accounting server:
IP : 1.1.1.1 Port: 1813
VPN : Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent state changes:
2019/12/08 20:38:45 Changed to active state
2019/12/08 20:33:45 Changed to blocked state
2019/12/08 20:31:19 Changed to active state
2019/12/08 20:26:19 Changed to blocked state
2019/12/08 20:26:00 Changed to active state
Weight: 40
Second authentication server:
IP : 3.3.3.3 Port: 1812
VPN : Not configured
State: Blocked(mandatory)
Most recent state changes:
2019/12/08 20:56:22 Changed to blocked state
2019/12/08 20:48:45 Changed to active state
2019/12/08 20:43:45 Changed to blocked state
2019/12/08 20:41:19 Changed to active state
2019/12/08 20:46:19 Changed to blocked state
Test profile: Not configured
Weight: 40
Second accounting server:
IP : 3.3.3.3 Port: 1813
VPN : Not configured
State: Blocked (mandatory)
Most recent state changes:
2019/12/08 20:56:22 Changed to blocked state
2019/12/08 20:48:45 Changed to active state
2019/12/08 20:43:45 Changed to blocked state
2019/12/08 20:41:19 Changed to active state
2019/12/08 20:46:19 Changed to blocked state
Weight: 0
Accounting-On function : Enabled
extended function : Disabled
retransmission times : 5
retransmission interval(seconds) : 2
Timeout Interval(seconds) : 3
Retransmission Times : 3
Retransmission Times for Accounting Update : 5
Server Quiet Period(minutes) : 5
Realtime Accounting Interval(seconds) : 22
Stop-accounting packets buffering : Enabled
Retransmission times : 500
NAS IP Address : 1.1.1.1
Local NAS IP Address : Not configured
Peer NAS IP Address : Not configured
VPN : Not configured
User Name Format : with-domain
Data flow unit : Megabyte
Packet unit : One
Attribute 5 format : Port
Attribute 15 check-mode : Strict
Attribute 25 : CAR
Attribute 87 format : Interface name
Attribute Remanent-Volume unit : Mega
server-load-sharing : Enabled
Attribute 30 format : hh:hh:hh:hh:hh:hh:SSID
Attribute 30 MAC format : hh:hh:hh:hh:hh:hh
Attribute 31 MAC format : hh:hh:hh:hh:hh:hh
Stop-accounting packets send-force : Disabled
Reauthentication server selection : Reselect
Attribute 218 of vendor ID 25506 : DHCP-Option 61
Format 1 (1-byte Type field)
表1-4 display radius scheme命令显示信息描述表
|
字段 |
描述 |
|
Total 1 RADIUS schemes. |
共计1个RADIUS方案 |
|
RADIUS scheme name |
RADIUS方案的名称 |
|
Index |
RADIUS方案的索引号 |
|
Primary authentication server |
主RADIUS认证服务器 |
|
Primary accounting server |
主RADIUS计费服务器 |
|
Second authentication server |
从RADIUS认证服务器 |
|
Second accounting server |
从RADIUS计费服务器 |
|
Host name |
RADIUS认证/计费服务器主机名 未配置时，显示为Not configured |
|
IP |
RADIUS认证/计费服务器IP地址 未配置时，显示为Not configured |
|
Port |
RADIUS认证/计费服务器接入端口号 未配置时，显示缺省值 |
|
State |
RADIUS认证/计费服务器目前状态 · Active：激活状态 · Blocked：自动转换的静默状态 · Blocked(Mandatory)：手工配置的静默状态 若状态为Active，则同时显示该状态的持续时间 |
|
duration |
RADIUS服务器当前Active状态的持续时间 |
|
Most recent blocked period |
RADIUS服务器最后一次转换为Block状态的开始时间及结束时间。若最终状态为Block状态，则结束时间用“now”表示 |
|
Most recent state changes |
RADIUS服务器最近5次的状态变化信息 |
|
VPN |
（暂不支持）RADIUS认证/计费服务器或RADIUS方案所在的VPN 未配置时，显示为Not configured |
|
Test profile |
探测服务器状态使用的模板名称 |
|
Probe username |
探测服务器状态使用的用户名 |
|
Probe interval |
探测服务器状态的周期（单位为分钟） |
|
Probe eap-profile |
探测服务器使用的EAP认证方案 未配置时，则不显示该字段 |
|
Weight |
RADIUS服务器权重值 |
|
Accounting-On function |
accounting-on功能的开启情况 |
|
extended function |
accounting-on扩展功能的开启情况 |
|
retransmission times |
accounting-on报文的发送尝试次数 |
|
retransmission interval(seconds) |
accounting-on报文的重发间隔（单位为秒） |
|
Timeout Interval(seconds) |
RADIUS服务器超时时间（单位为秒） |
|
Retransmission Times |
发送RADIUS报文的最大尝试次数 |
|
Retransmission Times for Accounting Update |
实时计费更新报文的最大尝试次数 |
|
Server Quiet Period(minutes) |
RADIUS服务器恢复激活状态的时间（单位为分钟） |
|
Realtime Accounting Interval(seconds) |
实时计费更新报文的发送间隔（单位为秒） |
|
Stop-accounting packets buffering |
RADIUS停止计费请求报文缓存功能的开启情况 |
|
Retransmission times |
发起RADIUS停止计费请求的最大尝试次数 |
|
NAS IP Address |
发送RADIUS报文的源IP地址或源接口 未配置时，显示为Not configured |
|
Local NAS IP Address |
（暂不支持）DRNI场景下，本端DR接口接入的用户发送RADIUS报文使用的源IP地址或源接口 未配置时，显示为Not configured |
|
Peer NAS IP Address |
（暂不支持）DRNI场景下，对端DR接口接入的用户发送RADIUS报文使用的源IP地址或源接口 未配置时，显示为Not configured |
|
User Name Format |
发送给RADIUS服务器的用户名格式 · with-domain：携带域名 · without-domain：不携带域名 · keep-original：与用户输入保持一致 |
|
Data flow unit |
数据流的单位 |
|
Packet unit |
数据包的单位 |
|
Attribute 5 format |
（暂不支持）RADIUS Attribute 5的格式，包括以下两种取值： · Port：表示使用端口号封装 · Default：表示使用缺省格式封装 |
|
Attribute 15 check-mode |
对RADIUS Attribute 15的检查方式，包括以下两种取值： · Strict：表示使用RADIUS标准属性值和私有扩展的属性值进行检查 · Loose：表示使用RADIUS标准属性值进行检查 |
|
Attribute 25 |
对RADIUS Attribute 25的处理，包括以下两种取值： · Standard：表示不对RADIUS Attribute 25进行解析 · CAR：表示将RADIUS 25号属性解析为CAR参数 |
|
Attribute 87 format |
（暂不支持）RADIUS Attribute 87的格式，包括以下两种取值： · Interface name：表示使用接口名称封装 · Default：表示使用缺省格式封装 |
|
Attribute Remanent-Volume unit |
RADIUS Remanent-Volume属性的流量单位 |
|
server-load-sharing |
RADIUS服务器负载分担功能的开启情况 · Disabled：关闭状态，服务器工作于主/从模式 · Enabled：开启状态，服务器工作于负载分担模式 |
|
Attribute 30 format |
（暂不支持）RADIUS Attribute 30的格式 |
|
Attribute 30 MAC format |
（暂不支持）RADIUS Attribute 30中携带的MAC地址格式 |
|
Attribute 31 MAC format |
RADIUS Attribute 31中携带的MAC地址格式 |
|
Stop-accounting-packet send-force |
用户下线时设备强制发送RADIUS计费停止报文功能的开启情况 |
|
Reauthentication server selection |
重认证时RADIUS服务器的选择模式： · Inherit：继承模式，即重认证时直接选择认证时的认证服务器 · Reselect：重新选择模式，即重认证时重新选择认证服务器 |
|
Attribute 218 vendor ID 25506 |
RADIUS报文中通过私有218号属性（Vendor ID为25506）携带的DHCP Option信息以及所采用的封装格式，其中： · Format 1 (1-byte Type field)：封装该属性时，属性的Type字段长度为1字节。该方式封装的属性适用于与大多数的RADIUS服务器互通 · Format 2 (2-byte Type field)：封装该属性时，属性的Type字段长度为2字节。该方式封装的属性适用于与特殊RADIUS服务器互通，例如HUAWEI的RADIUS服务器 如果RADIUS报文中不携带DHCP Option私有属性，则不显示该信息 |
display radius server-load statistics命令用来显示RADIUS服务器的负载统计信息。
【命令】
display radius server-load statistics
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【使用指导】
本命令用来显示上一个5秒统计周期内设备发往RADIUS认证/计费服务器的认证/计费请求统计信息和自从设备启动后记录的历史认证/计费请求统计信息，具体统计过程如下：
· 系统从第一个用户认证请求开始，每隔5秒钟统计一次RADIUS认证/计费请求数目，并在下一个5秒内提供该统计值供查看。
· 只要设备发起一次用户认证请求或用户计费开始请求，对应服务器的历史负载统计数值随之加1，但后续不会因为用户下线、服务器响应或超时而减小该值。
前5秒的统计信息提供了RADIUS认证/计费服务器最近5秒的负载分担效果，管理员可以根据此统计信息调控RADIUS服务器的配置参数，比如配置顺序、权重参数等。当没有用户触发认证/计费时，前5秒的统计数据就不能给管理员提供有效的负载分担信息了，此时管理员可以参考历史负载统计信息对RADIUS认证/计费服务器的配置做调整。
需要注意的是：
· 所有RADIUS方案中，指定了IP地址的服务器，以及指定的主机名被成功解析为IP地址的服务器，都可以通过本命令查看到它的负载统计数据。
· 若RADIUS认证/计费服务器的配置被删除，或主认证/计费服务器的IP和端口参数发生变化，则该服务器的前5秒的统计数据及历史负载统计数据将会被删除。
· 主备倒换后，历史统计数据不会被删除，但会不准确。
【举例】
# 显示RADIUS服务器的负载统计信息。
<Sysname> display radius server-load statistics
Authentication servers: 2
IP VPN Port Last 5 sec History
1.1.1.1 N/A 1812 20 100
2.2.2.2 N/A 1812 0 20
Accounting servers: 2
IP VPN Port Last 5 sec History
1.1.1.1 N/A 1813 20 100
2.2.2.2 N/A 1813 0 20
表1-5 display radius server-load statistics命令显示信息描述表
|
字段 |
描述 |
|
Authentication servers |
RADIUS认证服务器总个数 |
|
Accounting servers |
RADIUS计费服务器总个数 |
|
IP |
RADIUS认证/计费服务器的IP地址 |
|
VPN |
（暂不支持）RADIUS认证/计费服务器所在的VPN 若未配置该参数，则显示N/A |
|
Port |
RADIUS认证/计费服务器的UDP端口号 |
|
Last 5 sec |
上一个5秒统计周期内发往RADIUS认证/计费服务器的请求数 |
|
History |
RADIUS认证/计费服务器的历史负载统计值 |
【相关命令】
· reset radius server-load statistics
display radius statistics命令用来显示RADIUS报文的统计信息。
【命令】
display radius statistics
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示RADIUS报文的统计信息。
<Sysname> display radius statistics
Auth. Acct. SessCtrl.
Request Packet: 0 0 0
Retry Packet: 0 0 -
Timeout Packet: 0 0 -
Access Challenge: 0 - -
Account Start: - 0 -
Account Update: - 0 -
Account Stop: - 0 -
Terminate Request: - - 0
Set Policy: - - 0
Packet With Response: 0 0 0
Packet Without Response: 0 0 -
Access Rejects: 0 - -
Dropped Packet: 0 0 0
Check Failures: 0 0 0
表1-6 display radius statistics命令显示信息描述表
|
字段 |
描述 |
|
Auth. |
认证报文 |
|
Acct. |
计费报文 |
|
SessCtrl. |
Session-control报文 |
|
Request Packet |
发送的请求报文总数 |
|
Retry Packet |
重传的请求报文总数 |
|
Timeout Packet |
超时的请求报文总数 |
|
Access Challenge |
Access challenge报文数 |
|
Account Start |
计费开始报文的数目 |
|
Account Update |
计费更新报文的数目 |
|
Account Stop |
计费结束报文的数目 |
|
Terminate Request |
服务器强制下线报文的数目 |
|
Set Policy |
更新用户授权信息报文的数目 |
|
Packet With Response |
有回应信息的报文数 |
|
Packet Without Response |
无回应信息的报文数 |
|
Access Rejects |
认证拒绝报文的数目 |
|
Dropped Packet |
丢弃的报文数 |
|
Check Failures |
报文校验错误的报文数目 |
【相关命令】
· reset radius statistics
display stop-accounting-buffer命令用来显示缓存的RADIUS停止计费请求报文的相关信息。
【命令】
display stop-accounting-buffer { radius-scheme radius-scheme-name | session-id session-id | time-range start-time end-time | user-name user-name }
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
radius-scheme radius-scheme-name：表示指定RADIUS方案的停止计费请求报文。其中，radius-scheme-name为RADIUS方案名，为1～32个字符的字符串，不区分大小写。
session-id session-id：表示指定会话的停止计费请求报文。其中，session-id表示会话ID，为1～64个字符的字符串，不包含字母。会话ID用于唯一标识当前的在线用户。
time-range start-time end-time：表示指定时间段内发送且被缓存的停止计费请求报文。其中，start-time为请求时间段的起始时间，end-time为请求时间段的结束时间，格式为hh:mm:ss-mm/dd/yyyy（时:分:秒-月/日/年）或hh:mm:ss-yyyy/mm/dd（时:分:秒-年/月/日）。
user-name user-name：表示指定用户的停止计费请求报文。其中，user-name表示用户名，为1～255个字符的字符串，区分大小写。输入的用户名是否携带ISP域名，必须与RADIUS方案中的user-name-format配置保持一致。
【举例】
# 显示缓存的用户名为abc的RADIUS停止计费请求报文的相关信息。
<Sysname> display stop-accounting-buffer user-name abc
Total entries: 2
Scheme Session ID Username First sending time Attempts
rad1 1000326232325010 abc 23:27:16-08/31/2015 19
aaa 1000326232326010 abc 23:33:01-08/31/2015 20
表1-7 display stop-accounting-buffer命令显示信息描述表
|
Total entries: 2 |
共有两条记录匹配 |
|
Scheme |
RADIUS方案名 |
|
Session ID |
会话ID（Acct-Session-Id属性值） |
|
Username |
用户名 |
|
First sending time |
首次发送停止计费请求的时间 |
|
Attempts |
发起停止计费请求的次数 |
【相关命令】
· reset stop-accounting-buffer (for RADIUS)
· retry
· retry stop-accounting (for RADIUS)
· stop-accounting-buffer enable (RADIUS scheme view)
· user-name-format (RADIUS scheme view)
eap-profile命令用来创建EAP认证方案，并进入EAP认证方案视图，如果指定的EAP认证方案已存在，则直接进入EAP认证方案视图。
undo eap-profile命令用来删除指定的EAP认证方案。
【命令】
eap-profile eap-profile-name
undo eap-profile eap-profile-name
【缺省情况】
不存在EAP认证方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
eap-profile-name：EAP认证方案的名称，为1～32个字符的字符串，区分大小写。
【使用指导】
EAP认证方案是一个EAP认证选项的配置集合，用于指定设备采用的EAP认证方法以及某些EAP认证方法需要引用的CA证书，并被RADIUS服务器探测模板所引用。
一个EAP认证方案可以同时被多个探测模板引用。
系统最多支持配置16个EAP认证方案。
【举例】
# 创建名为eap1的EAP认证方案，并进入其视图。
<Sysname> system-view
[Sysname] eap-profile eap1
[Sysname-eap-profile-eap1]
【相关命令】
· radius-server test-profile
exclude命令用来配置RADIUS报文中不能携带的属性。
undo exclude命令用来取消在RADIUS报文中不能携带的属性配置。
【命令】
exclude { accounting | authentication } name attribute-name
undo exclude { accounting | authentication } name attribute-name
【缺省情况】
未配置RADIUS报文中不能携带的属性。
【视图】
RADIUS属性测试组视图
【缺省用户角色】
network-admin
【参数】
accounting：表示RADIUS计费请求报文。
authentication：表示RADIUS认证请求报文。
name attribute-name：RADIUS属性名称，为1～63个字符的字符串，不区分大小写。这些属性为RADIUS报文中缺省携带的属性，具体包括：Service-Type、Framed-Protocol、NAS-Identifier、Acct-Delay-Time、Acct-Session-Id、Acct-Terminate-Cause和NAS-Port-Type，其中Service-Type、Framed-Protocol、NAS-Identifier，Acct-Session-Id和NAS-Port-Type为认证请求报文缺省携带的属性，NAS-Identifier、Acct-Delay-Time、Acct-Session-Id和Acct-Terminate-Cause为计费请求报文缺省携带的属性。
【使用指导】
通过本命令配置的RADIUS属性将不会在属性测试过程中被携带在相应的RADIUS请求报文中发送给RADIUS服务器。在实际测试过程中，可通过本命令排除掉RADIUS报文中携带的一些基础属性，来辅助排查认证/计费故障。
如果一个属性已经被配置为需要携带在RADIUS报文中（通过include命令），则需要先执行undo include命令取消该配置，才能将其配置为不携带在RADIUS报文中。
【举例】
# 在RADIUS属性测试组t1中，配置在RADIUS认证请求报文中不携带属性名称为Service-Type的标准属性。
<Sysname> system-view
[Sysname] radius attribute-test-group t1
[Sysname-radius-attr-test-grp-t1] exclude authentication name Service-Type
【相关命令】
· include
· test-aaa
include命令用来配置RADIUS报文中携带的属性。
undo include命令用来取消指定的属性配置。
【命令】
include { accounting | authentication } { name attribute-name | [ vendor vendor-id ] code attribute-code } type { binary | date | integer | interface-id | ip | octets | string } value attribute-value
undo include { accounting | authentication} { name attribute-name | [ vendor vendor-id ] code attribute-code }
【缺省情况】
未配置RADIUS报文中携带的属性。
【视图】
RADIUS属性测试组视图
【缺省用户角色】
network-admin
【参数】
accounting：表示RADIUS计费请求报文。
authentication：表示RADIUS认证请求报文。
name attribute-name：标准RADIUS属性名称，为1～63个字符的字符串，不区分大小写。
vendor vendor-id：RADIUS属性所属的设备厂商标识。vendor-id为厂商标识号码，取值范围为1～65535。如果不指定该参数，则表示RADIUS属性为标准属性。
code attribute-code：RADIUS属性编号，取值范围为1～255。
type：属性内容的数据类型，包括以下取值：
· binary：二进制类型。
· date：时间类型。
· integer：整数类型。
· interface-id：接口ID类型。
· ip：IPv4地址类型。
· octets：八进制类型。
· string：字符串类型。
value attribute-value：RADIUS属性值，取值与数据类型有关，具体如下：
· 二进制属性值：1～256个十六进制字符，表示最多128个字节的二进制数。
· 时间类型属性值：0～4294967295。
· 整数类型属性值：0～4294967295。
· 接口ID类型属性值：1～ffffffffffffffff。
· 八进制属性值：1～256个十六进制字符，表示最多128个字节的八进制数。
· 字符串类型属性值：1～253个字符。
【使用指导】
可以通过本命令配置RADIUS报文中携带的属性以及对应的属性值，具体情况如下：
· 对于RADIUS报文中默认携带的属性，可通过include命令来修改属性取值，并可通过undo include命令将该属性值恢复为缺省值。RADIUS报文中默认携带的能够修改的属性包括：
¡ 认证请求报文默认携带的属性：User-Name、CHAP-Password（User-Password）、CHAP-Challenge、NAS-IP-Address、Service-Type、Framed-Protocol、NAS-Identifier、NAS-Port-Type、Acct-Session-Id。
¡ 计费请求报文默认携带的属性：User-Name、Acct-Status-Type、NAS-IP-Address、NAS-Identifier、Acct-Session-Id、Acct-Delay-Time、Acct-Terminate-Cause。
· 对于并非RADIUS报文中默认携带的属性，可通过include命令将其添加在RADIUS报文中，并可通过undo include命令将该属性从RADIUS报文中删除。
为了保证测试效果的准确性，请务必保证各属性参数的匹配性，比如属性值要匹配属性类型。
保存在配置文件中的标准属性的属性名称将被转换为属性编号的形式。
如果一个属性已经被配置为不能携带在RADIUS报文中（通过exclude命令），则需要先执行undo exclude命令取消该配置，才能将其配置为携带在RADIUS报文中。
设备按照配置的先后顺序在RADIUS报文中添加RADIUS属性，由于RADIUS报文最大长度为4096个字节，如果配置了过多的RADIUS属性，则在报文长度超过最大值后，部分属性将不会被添加在报文中。因此，请合理规划要添加的RADIUS报文属性数目。
【举例】
# 在RADIUS属性测试组t1中，配置在RADIUS认证请求报文中携带一个标准属性：名称为Calling-Station-Id，属性值为08-00-27-00-34-D8。
<Sysname> system-view
[Sysname] radius attribute-test-group t1
[Sysname-radius-attr-test-grp-t1] include authentication name Calling-Station-Id type string value 08-00-27-00-34-d8
【相关命令】
· exclude
include-attribute 218 vendor-id 25506命令用来配置RADIUS报文中携带Vendor ID为25506的私有218号属性。
undo include-attribute 218 vendor-id 25506命令用来取消在RADIUS报文中携带Vendor ID为25506的私有218号属性。
undo include-attribute 218 vendor-id 25506 dhcp-option命令用来恢复缺省情况。
【命令】
include-attribute 218 vendor-id 25506 dhcp-option { 55 | 61 } * { format1 | format2 }
undo include-attribute 218 vendor-id 25506 [ dhcp-option ]
【缺省情况】
RADIUS报文中携带Vendor ID为25506的私有218号属性，且以format1格式封装DHCP Option 61信息。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
dhcp-option：属性Value字段携带的DHCP Option信息。
· 55：表示DHCP Option 55。
· 61：表示DHCP Option 61。
format1：属性的Type字段长度为1字节。该格式封装的属性适用于与大多数的RADIUS服务器互通。
format2：属性的Type字段长度为2字节。该格式封装的属性适用于与特殊RADIUS服务器互通，例如HUAWEI的RADIUS服务器。
【使用指导】
设备厂商可以通过对RADIUS协议中的26号属性进行扩展，以实现标准RADIUS未定义的功能。Vendor ID为25506的设备厂商定义了私有218号属性，用来携带客户端的DHCP Option信息。如果RADIUS服务器希望设备能够上报认证客户端的一些DHCP Option信息，就需要在客户端使用的RADIUS方案中配置本特性，使得设备能够将获取到的DHCP Option信息按照服务器要求的格式封装在私有属性中，并通过RADIUS计费开始请求报文或计费更新请求报文发送给服务器。
目前，本特性仅支持DHCP Option 55和DHCP Option 61。
如果在include-attribute 218 vendor-id 25506命令中同时指定了两个类型的DHCP Option，设备会将获取到的两类DHCP Option封装在两个私有218号属性中同时发送给服务器。每个封装在私有218号属性中的DHCP Option信息不超过246个字节。
多次执行本命令，最后一次执行的命令生效。
【举例】
# 在RADIUS方案rad中，配置在RADIUS报文中携带Vendor ID为25506的218号属性，属性值为DHCP Option 55信息，封装格式为format2。
<Sysname> system-view
[Sysname] radius scheme rad
[Sysname-radius-rad] include-attribute 218 vendor-id 25506 dhcp-option 55 format2
【相关命令】
· display radius scheme
key命令用来配置RADIUS报文的共享密钥。
undo key命令用来删除RADIUS报文的共享密钥。
【命令】
key { accounting | authentication } { cipher | simple } string
undo key { accounting | authentication }
【缺省情况】
未配置RADIUS报文的共享密钥。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：指定RADIUS计费报文的共享密钥。
authentication：指定RADIUS认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
【使用指导】
设备优先采用配置RADIUS认证/计费服务器时指定的报文共享密钥，本配置中指定的报文共享密钥仅在配置RADIUS认证/计费服务器时未指定相应密钥的情况下使用。
必须保证设备上设置的共享密钥与RADIUS服务器上的完全一致。
【举例】
# 在RADIUS方案radius1中，配置计费报文的共享密钥为明文ok。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] key accounting simple ok
【相关命令】
· display radius scheme
method命令用来配置EAP认证方法。
undo method命令用来恢复缺省情况。
【命令】
method { md5 | peap-gtc | peap-mschapv2 | ttls-gtc | ttls-mschapv2 }
undo method
【缺省情况】
采用的EAP认证方法为MD5-Challenge。
【视图】
EAP认证方案视图
【缺省用户角色】
network-admin
【参数】
md5：表示采用的认证方法为MD5-Challenge。
peap-gtc：表示采用的认证方法为PEAP-GTC。
peap-mschapv2：表示采用的认证方法为PEAP-MSCHAPv2。
ttls-gtc：表示采用的认证方法为TTLS-GTC。
ttls-mschapv2：表示采用的认证方法为TTLS-MSCHAPv2。
【使用指导】
配置的EAP认证方法必须和所探测的RADIUS服务器支持的EAP认证方法一致。
一个EAP认证方案视图中只能指定一个EAP认证方法，后配置的生效。
修改后的配置，将在下一个探测周期中生效。
【举例】
# 在EAP认证方案eap1中，配置认证方法为PEAP-GTC。
<Sysname> system-view
[Sysname] eap-profile eap1
[Sysname-eap-profile-eap1] method peap-gtc
nas-ip命令用来设置设备发送RADIUS报文使用的源IP地址。
undo nas-ip命令用来删除指定类型的发送RADIUS报文使用的源IP地址。
【命令】
nas-ip { ipv4-address | interface interface-type interface-number }
undo nas-ip [ interface ]
【缺省情况】
未指定设备发送RADIUS报文使用的源IP地址，使用系统视图下由命令radius nas-ip指定的源IP地址。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
interface interface-type interface-number：指定源接口，即发送RADIUS报文的源IPv4地址为该接口的主IPv4地址。interface-type interface-number为接口类型和接口编号。
ipv4-address：指定的源IPv4地址，应该为本机的地址，禁止配置全0地址、全1地址、D类地址、E类地址和环回地址。
【使用指导】
RADIUS服务器上通过IP地址来标识接入设备，并根据收到的RADIUS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证或计费请求。因此，为保证RADIUS报文可被服务器正常接收并处理，接入设备上发送RADIUS报文使用的源地址必须与RADIUS服务器上指定的接入设备的IP地址保持一致。
为避免物理接口故障时从服务器返回的报文不可达，推荐使用Loopback接口地址为发送RADIUS报文使用的源IP地址。
RADIUS方案视图和系统视图下均可以配置发送RADIUS报文使用的源IP地址，具体生效情况如下：
· RADIUS方案视图下配置的源IP地址（通过nas-ip命令）只对本方案有效。
· 系统视图下的配置的源IP地址（通过radius nas-ip命令）对所有RADIUS方案有效。
· RADIUS方案视图下的设置具有更高的优先级。
一个RADIUS方案视图下：
· 最多允许指定一个IPv4源地址。
· 最多允许指定一个源接口，请确保指定的源接口与RADIUS服务器路由可达。
· 源接口配置和源IP地址配置不能同时存在，后配置的生效。
如果undo nas-ip命令中不指定任何参数，则表示删除配置的发送RADIUS报文使用的源IPv4地址。
【举例】
# 在RADIUS方案radius1中，设置设备发送RADIUS报文使用的源IP地址为10.1.1.1。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] nas-ip 10.1.1.1
【相关命令】
· display radius scheme
· radius nas-ip
port命令用来指定RADIUS DAE服务端口。
undo port命令用来恢复缺省情况。
【命令】
port port-number
undo port
【缺省情况】
RADIUS DAE服务端口为3799。
【视图】
RADIUS DAE服务器视图
【缺省用户角色】
network-admin
【参数】
port-number：DAE服务器接收DAE请求消息的UDP端口，取值范围为1～65535。
【使用指导】
必须保证设备上的RADIUS DAE服务端口与RADIUS DAE客户端发送DAE报文的目的UDP端口一致。
【举例】
# 开启RADIUS DAE服务后，指定DAE服务端口为3790。
<Sysname> system-view
[Sysname] radius dynamic-author server
[Sysname-radius-da-server] port 3790
【相关命令】
· client
· radius dynamic-author server
primary accounting命令用来配置主RADIUS计费服务器。
undo primary accounting命令用来恢复缺省情况。
【命令】
primary accounting { host-name | ipv4-address } [ port-number | key { cipher | simple } string | weight weight-value ] *
undo primary accounting
【缺省情况】
未配置主RADIUS计费服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：主RADIUS计费服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：主RADIUS计费服务器的IPv4地址。
port-number：主RADIUS计费服务器的UDP端口号，取值范围为1～65535，缺省值为1813。
key：与主RADIUS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的计费请求报文越多。
【使用指导】
配置的主计费服务器的UDP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主计费服务器和从计费服务器的主机名、IP地址、端口号不能完全相同。
设备与主计费服务器通信时优先使用本命令设置的共享密钥，如果此处未设置，则使用key accounting命令设置的共享密钥。
当RADIUS服务器负载分担功能处于关闭状态时，如果在计费开始请求报文发送过程中修改或删除了正在使用的主计费服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；当RADIUS服务器负载分担功能处于开启状态时，设备将仅与发起计费开始请求的服务器通信。
如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地，这将造成对用户计费的不准确。
【举例】
# 在RADIUS方案radius1中，配置主计费服务器的IP地址为10.110.1.2，使用UDP端口1813提供RADIUS计费服务，计费报文的共享密钥为明文123456TESTacct&!。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] primary accounting 10.110.1.2 1813 key simple 123456TESTacct&!
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· secondary accounting (RADIUS scheme view)
· server-load-sharing enable
primary authentication命令用来配置主RADIUS认证服务器。
undo primary authentication命令用来恢复缺省情况。
【命令】
primary authentication { host-name | ipv4-address } [ port-number | key { cipher | simple } string | test-profile profile-name | weight weight-value ] *
undo primary authentication
【缺省情况】
未配置RADIUS主认证服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：主RADIUS认证服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：主RADIUS认证服务器的IPv4地址。
port-number：主RADIUS认证服务器的UDP端口号，取值范围为1～65535，缺省值为1812。此端口号必须与服务器提供认证服务的端口号保持一致。
key：与主RADIUS认证服务器交互的认证报文的共享密钥。此共享密钥必须与服务器上配置的共享密钥保持一致。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
test-profile profile-name：RADIUS服务器探测模板名称，为1～31个字符的字符串，区分大小写。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的认证请求报文越多。
【使用指导】
配置的主认证服务器的UDP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主认证服务器和从认证服务器的主机名、IP地址、端口号不能完全相同。
设备与主认证服务器通信时优先使用本命令设置的共享密钥，如果本命令中未设置，则使用key authenticaiton命令设置的共享密钥。
RADIUS认证服务器引用了存在的服务器探测模板后，将会触发对该服务器的探测功能。
当RADIUS服务器负载分担功能处于关闭状态时，如果在认证过程中修改或删除了正在使用的主认证服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；当RADIUS服务器负载分担功能处于开启状态时，如果在认证过程中修改或删除了正在使用的认证服务器配置，则设备在与当前服务器通信超时后，将会根据各服务器的权重以及服务器承载的用户负荷重新选择状态为active的服务器进行通信。
【举例】
# 在RADIUS方案radius1中，配置主认证服务器的IP地址为10.110.1.1，使用UDP端口1812提供RADIUS认证/授权服务，认证报文的共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] primary authentication 10.110.1.1 1812 key simple 123456TESTauth&!
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· radius-server test-profile
· secondary authentication (RADIUS scheme view)
· server-load-sharing enable
radius attribute extended命令用来定义RADIUS扩展属性。
undo radius attribute extended命令用来删除定义的RADIUS扩展属性。
【命令】
radius attribute extended attribute-name [ vendor vendor-id ] code attribute-code type { binary | date | integer | interface-id | ip | octets | string }
undo radius attribute extended [ attribute-name ]
【缺省情况】
不存在自定义RADIUS扩展属性。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
attribute-name：RADIUS属性名称，为1～63个字符的字符串，不区分大小写。该名称不能与系统已支持的（包括标准的以及自定义的）RADIUS属性名称相同。
vendor vendor-id：RADIUS属性所属的设备厂商标识。vendor-id为厂商标识号码，取值范围为1～65535。如果不指定该参数，则表示RADIUS属性为标准属性。
code attribute-code：RADIUS属性在RADIUS属性集里的序号，取值范围为1～255。
type：属性内容的数据类型，包括以下取值：
· binary：二进制类型。
· date：时间类型。
· integer：整数类型。
· interface-id：接口ID类型。
· ip：IPv4地址类型。
· octets：八进制类型。
· string：字符串类型。
【使用指导】
当系统需要支持其他厂商的私有RADIUS属性时，可以通过radius attribute extended命令为其定义为一个扩展属性，并通过attribute convert命令将其映射到系统可以识别的一个已知属性。这样，当RADIUS服务器发送给设备的RADIUS报文中携带了此类不可识别的私有属性时，设备将根据已定义的属性转换规则将其转换为可处理的属性。同理，设备在发送RADIUS报文时也可以将自己可识别的属性转换为服务器能识别的属性。
每一个RADIUS属性有唯一的属性名称，且该属性的名称、设备厂商标识以及序号的组合必须在设备上唯一。
执行undo radius attribute extended命令时，如果不指定属性名称，则表示删除所有已定义RADIUS扩展属性。
【举例】
# 配置一个RADIUS扩展属性，名称为Owner-Password，Vendor ID为122，属性序号为80，类型为字符串。
<Sysname> system-view
[Sysname] radius attribute extended Owner-Password vendor 122 code 80 type string
【相关命令】
· attribute convert
· attribute reject
· attribute translate
radius attribute-test-group命令用来创建RADIUS属性测试组，并进入RADIUS属性测试组视图。如果指定的RADIUS属性测试组视图已经存在，则直接进入RADIUS属性测试组视图。
undo radius attribute-test-group命令用来删除指定的RADIUS属性测试组。
【命令】
radius attribute-test-group attr-test-group-name
undo radius attribute-test-group attr-test-group-name
【缺省情况】
不存在RADIUS属性测试组。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
attr-test-group-name：测试组名称，为1～31个字符的字符串，不区分大小写。
【使用指导】
RADIUS属性测试组用于配置向RADIUS服务器发送的认证/计费请求报文中需要携带的RADIUS属性的集合。
系统支持配置多个RADIUS属性测试组。
【举例】
# 创建名称为t1的RADIUS属性测试组，并进入该视图。
<Sysname> system-view
[Sysname] radius attribute-test-group t1
[Sysname-radius-attr-test-grp-t1]
【相关命令】
· exclude
· include
· test-aaa
radius dscp命令用来配置RADIUS协议报文的DSCP优先级。
undo radius dscp命令用来恢复缺省情况。
【命令】
radius dscp dscp-value
undo radius dscp
【缺省情况】
RADIUS报文的DSCP优先级为0。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
dscp-value：RADIUS报文的DSCP优先级，取值范围为0～63。取值越大，优先级越高。
【使用指导】
DSCP携带在IP报文中的ToS字段，用来体现报文自身的优先等级，决定报文传输的优先程度。通过本命令可以指定设备发送的RADIUS报文携带的DSCP优先级的取值。
【举例】
# 配置IPv4 RADIUS报文的DSCP优先级为10。
<Sysname> system-view
[Sysname] radius dscp 10
radius dynamic-author server命令用来开启RADIUS DAE服务，并进入RADIUS DAE服务器视图。
undo radius dynamic-author server命令用来关闭RADIUS DAE服务。
【命令】
radius dynamic-author server
undo radius dynamic-author server
【缺省情况】
RADIUS DAE服务处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启RADIUS DAE服务后，设备将会监听指定的RADIUS DAE客户端发送的DAE请求消息，然后根据请求消息修改用户授权信息、断开用户连接请求、关闭/重启用户接入端口或重认证用户。
【举例】
# 开启RADIUS DAE服务，并进入RADIUS DAE服务器视图。
<Sysname> system-view
[Sysname] radius dynamic-author server
[Sysname-radius-da-server]
【相关命令】
· client
· port
radius enable命令用来开启RADIUS协议功能。
undo radius enable命令用来关闭RADIUS协议功能。
【命令】
radius enable
undo radius enable
【缺省情况】
RADIUS协议功能处于开启状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启RADIUS协议功能后，设备可以接收和发送RADIUS报文。
由于攻击者可能会通过RADIUS的session control报文监听端口或RADIUS DAE服务端口向设备发起网络攻击，因此设备管理员可以通过临时关闭RADIUS协议功能来阻止攻击，并在网络环境恢复安全后，再重新打开RADIUS协议功能。另外，如果服务器需要调整配置或暂时不提供服务，则可以通过关闭设备上的RADIUS协议功能来协助完成此过程。
关闭RADIUS协议功能后，设备将停止接收和发送RADIUS报文，具体处理机制如下：
若有新用户上线，则根据配置的备份方案进行认证、授权和计费处理。
· 若已经为用户发送了RADIUS认证请求报文：
¡ 如果收到RADIUS服务器的响应报文，则根据响应完成认证和授权。
¡ 如果未收到RADIUS服务器响应报文，则根据配置的备份方案进行认证处理。
· 若已经为用户发送了RADIUS计费开始请求报文：
¡ 如果收到RADIUS服务器的响应报文，则用户上线，但后续计费更新和计费结束请求报文无法发出，也不能被缓存下来尝试继续发送。RADIUS服务器因为收不到在线用户的下线报文，会出现有一段时间用户已经下线，但RADIUS服务器上还有此用户的情况。另外，已缓存的计费报文也将从缓存中被删除。计费报文的发送失败，都会直接影响用户计费信息的准确性。
¡ 如果未收到RADIUS服务器的响应报文，则根据配置的备份方案进行处理。
关闭RADIUS协议功能后，若再重新开启RADIUS协议功能，已经使用其它方案进行的认证、授权或计费过程并不会切换为RADIUS方案来执行。
【举例】
# 开启RADIUS协议功能。
<Sysname> system-view
[Sysname] radius enable
radius nas-ip命令用来设置设备发送RADIUS报文使用的源IP地址。
undo radius nas-ip命令用来删除指定的发送RADIUS报文使用的源IP地址。
【命令】
radius nas-ip { interface interface-type interface-number | ipv4-address }
undo radius nas-ip { interface | ipv4-address }
【缺省情况】
未指定发送RADIUS报文使用的源IP地址，设备将使用到达RADIUS服务器的路由出接口的主IPv4地址作为发送RADIUS报文的源IP地址。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
interface interface-type interface-number：指定源接口，即发送RADIUS报文的源IPv4地址为该接口的主IPv4地址。interface-type interface-number为接口类型和接口编号。
ipv4-address：指定的源IPv4地址，应该为本机的地址，不能为全0地址、全1地址、D类地址、E类地址和环回地址。
【使用指导】
RADIUS服务器上通过IP地址来标识接入设备，并根据收到的RADIUS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证或计费请求。为保证RADIUS报文可被服务器正常接收并处理，接入设备上发送RADIUS报文使用的源地址必须与RADIUS服务器上指定的接入设备的IP地址保持一致。
为避免物理接口故障时从服务器返回的报文不可达，推荐使用Loopback接口地址为发送RADIUS报文使用的源IP地址。
RADIUS方案视图和系统视图下均可以配置发送RADIUS报文使用的源IP地址，具体情况如下：
· RADIUS方案视图下配置的源IP地址（通过nas-ip命令）只对本RADIUS方案有效。
· 系统视图下的配置的源IP地址（通过radius nas-ip命令）对所有RADIUS方案有效。
· RADIUS方案视图下的设置具有更高的优先级。
系统视图下最多允许指定一个IPv4源地址。
系统视图下，最多允许指定一个源接口，请确保指定的源接口与RADIUS服务器路由可达。
源接口配置和源IP地址配置不能同时存在，后配置的生效。
【举例】
# 设置设备发送RADIUS报文使用的源IP地址为129.10.10.1。
<Sysname> system-view
[Sysname] radius nas-ip 129.10.10.1
【相关命令】
· nas-ip (RADIUS scheme view)
radius scheme命令用来创建RADIUS方案，并进入RADIUS方案视图。如果指定的RADIUS方案已经存在，则直接进入RADIUS方案视图。
undo radius scheme命令用来删除指定的RADIUS方案。
【命令】
radius scheme radius-scheme-name
undo radius scheme radius-scheme-name
【缺省情况】
不存在RADIUS方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
radius-scheme-name：RADIUS方案的名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
一个RADIUS方案可以同时被多个ISP域引用。
系统最多支持配置16个RADIUS方案。
【举例】
# 创建名为radius1的RADIUS方案并进入其视图。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1]
【相关命令】
· display radius scheme
radius session-control client命令用来指定session control客户端。
undo radius session-control client命令用来删除指定的session control客户端。
【命令】
radius session-control client ip ipv4-address [ key { cipher | simple } string ]
undo radius session-control client { all | ip ipv4-address }
【缺省情况】
未指定session control客户端。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ip ipv4-address：session control客户端的IPv4地址。
key：与session control客户端交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
all：表示所有session control客户端。
【使用指导】
设备和iMC RADIUS服务器配合使用时，将作为session control服务器端与其交互，因此需要指定session control客户端来验证收到的session control报文的合法性。当设备收到服务器发送的session control报文时，直接根据报文的源IP地址与已有的session control客户端配置进行匹配，并使用匹配到的客户端共享密钥对报文进行验证。如果报文匹配失败或设备上未配置session control客户端，则使用已有的RADIUS方案配置进行匹配，并使用匹配到的认证服务器的共享密钥对报文进行验证。
指定的session control客户端仅在RADIUS session control功能处于开启状态时生效。
配置的session control客户端参数必须与服务器的配置保持一致。
系统支持指定多个session control客户端。
【举例】
# 指定一个session control客户端IP地址为10.110.1.2，共享密钥为明文12345。
<Sysname> system-view
[Sysname] radius session-control client ip 10.110.1.2 key simple 12345
【相关命令】
· radius session-control enable
radius session-control enable命令用来开启RADIUS session control功能。
undo radius session-control enable命令用来关闭RADIUS session control功能。
【命令】
radius session-control enable
undo radius session-control enable
【缺省情况】
RADIUS session control功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
iMC RADIUS服务器使用session control报文向设备发送授权信息（例如授权ACL/VLAN/用户组/黑洞MAC）的动态修改请求以及断开连接请求。开启RADIUS session control功能后，设备会打开知名UDP端口1812来监听并接收RADIUS服务器发送的session control报文。
该功能仅能和iMC RADIUS服务器配合使用。
【举例】
# 开启RADIUS session control功能。
<Sysname> system-view
[Sysname] radius session-control enable
radius trap-version命令用来配置发送RADIUS告警信息采用的MIB节点版本。
undo radius trap-version命令用来恢复缺省情况。
【命令】
radius trap-version { v1 | v2 } [ accounting-server-down | accounting-server-up | authentication-server-down | authentication-server-up ] *
undo radius trap-version { v1 | v2 } [ accounting-server-down | accounting-server-up | authentication-server-down | authentication-server-up ] *
【缺省情况】
使用v1版本的MIB节点发送RADIUS告警信息。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
v1：采用v1版本的MIB节点发送RADIUS告警信息。
v2：采用v2版本的MIB节点发送RADIUS告警信息。
accounting-server-down：表示RADIUS计费服务器可达状态变为down时发送告警信息。
accounting-server-up：表示RADIUS计费服务器可达状态变为up时发送告警信息。
authentication-server-down：表示RADIUS认证服务器可达状态变为down时发送告警信息。
authentication-server-up：表示RADIUS认证服务器可达状态变为up时发送告警信息。
【使用指导】
请按照NMS（Network Management System，网络管理系统）的要求，选择设备需要采用的发送RADIUS告警信息采用的MIB节点版本。
表1-8 v1版本的MIB节点
|
MIB节点名 |
OID |
|
hh3cRadiusAuthServerUpTrap |
1.3.6.1.4.1.25506.2.13.3.0.1 |
|
hh3cRadiusAccServerUpTrap |
1.3.6.1.4.1.25506.2.13.3.0.2 |
|
hh3cRadiusAuthServerDownTrap |
1.3.6.1.4.1.25506.2.13.3.1 |
|
hh3cRadiusAccServerDownTrap |
1.3.6.1.4.1.25506.2.13.3.2 |
表1-9 v2版本的MIB节点
|
MIB节点名 |
OID |
|
hh3cRadiusAuthenticationServerUpTrap |
1.3.6.1.4.1.25506.2.13.3.0.4 |
|
hh3cRadiusAccountingServerUpTrap |
1.3.6.1.4.1.25506.2.13.3.0.5 |
|
hh3cRadiusAuthenticationServerDownTrap |
1.3.6.1.4.1.25506.2.13.3.0.6 |
|
hh3cRadiusAccountingServerDownTrap |
1.3.6.1.4.1.25506.2.13.3.0.7 |
若不指定任何参数，则表示设备发送所有类型的RADIUS服务器状态变化告警信息时，均采用相同版本的MIB节点。
多次执行本命令，最后一次执行的命令生效。
【举例】
# 配置在RADIUS计费服务器可达状态变为down时发送告警信息采用v2版本的MIB节点。
<Sysname> system-view
[Sysname] radius trap-version v2 accounting-server-down
【相关命令】
· snmp-agent trap enable radius
radius-server test-profile命令用来配置RADIUS服务器探测模板。
undo radius-server test-profile命令用来删除指定的RADIUS服务器探测模板。
【命令】
radius-server test-profile profile-name username name [ password { cipher | simple } string ] [ interval interval ] [ eap-profile eap-profile-name ]
undo radius-server test-profile profile-name
【缺省情况】
不存在RADIUS服务器探测模板。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
profile-name：探测模板名称，为1～31个字符的字符串，区分大小写。
username name：探测报文中的用户名，为1～253个字符的字符串，区分大小写。
password：探测报文中的用户密码。若不指定该参数，则表示探测报文中携带的用户密码为设备生成的随机密码。为避免携带随机密码的探测报文被RADIUS服务器判定为攻击报文，建议指定用户密码。
cipher：以密文方式设置用户密码。
simple：以明文方式设置用户密码，该密码将以密文形式存储。
string：密码字符串，区分大小写。明文密码为1～63个字符的字符串；密文密码为1～117个字符的字符串。
interval interval：发送探测报文的周期，取值范围为1～3600，单位为分钟，缺省值为60。
eap-profile eap-profile-name：引用的EAP认证方案的名称，为1～32个字符的字符串，区分大小写。
【使用指导】
RADIUS方案视图下的RADIUS服务器配置成功引用了某探测模板后，若被引用的探测模板存在，则设备将会启动对该RADIUS服务器的可达性探测。若被引用的探测模板暂不存在，则当该探测模板被成功配置时，针对该服务器的探测过程才会开始。
目前，设备支持两种探测方式：
· 若探测模板中未引用EAP认证方案，则表示采用简单探测方式。该方式下，设备采用探测模板中配置的探测用户名、密码构造一个认证请求报文，并在探测周期内选择随机时间点向引用了探测模板的RADIUS服务器发送该报文。如果在本次探测周期内收到服务器的认证响应报文，则认为当前探测周期内该服务器可达。
· 若探测模板中引用了EAP认证方案，则表示采用EAP探测方式。该方式下，设备采用指定的EAP认证方案中配置的EAP认证方法启动服务器探测。在探测过程中，设备会在配置的探测周期超时后使用探测模板中配置的探测用户名和密码，模拟一个合法EAP认证用户向引用了该探测模板的RADIUS服务器发起一次EAP认证，如果在探测超时时间内（不可配）该次认证成功完成，则认为当前探测周期内该服务器可用。
EAP探测方式相较于简单探测方式，由于探测过程还原了完整的认证过程，更能保证RADIUS服务器探测结果的可靠性。建议在接入用户使用EAP认证方法的组网环境中，使用该方式的服务器探测功能。
若探测模板中引用的EAP认证方案不存在，则设备会暂时采用简单探测方式发起探测。当引用的EAP认证方案配置成功后，下一个探测周期将使用EAP方式发起探测。
删除一个RADIUS服务器探测模板时，引用该探测模板的所有RADIUS方案中的RADIUS服务器的探测功能也会被关闭。
系统支持配置多个RADIUS服务器探测模板。
【举例】
# 配置RADIUS服务器探测模板abc，探测报文中携带的用户名为admin，密码为明文abc123，探测报文的发送间隔为10分钟。
<Sysname> system-view
[Sysname] radius-server test-profile abc username admin password simple abc123 interval 10
【相关命令】
· eap-profile
· primary authentication (RADIUS scheme view)
· secondary authentication (RADIUS scheme view)
reauthentication server-select命令用来配置重认证时RADIUS服务器的选择模式。
undo reauthentication server-select命令用来恢复缺省情况。
【命令】
reauthentication server-select { inherit | reselect }
undo reauthentication server-select
【缺省情况】
重认证时仍然选用认证时使用的认证服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
inherit：继承模式，即重认证时仍然选用认证时使用的认证服务器。
reselect：重新选择模式，即重认证时需要重新选择认证服务器。
【使用指导】
对用户进行重认证时，可以通过本命令来控制认证服务器的选择模式：
· 继承模式也是缺省模式，该模式下，设备直接沿用用户认证时使用的服务器，不再做其它尝试。使用此模式可以达到快速重认证的效果，但如果该认证服务器不可达，则会导致重认证失败。
· 重新选择模式下，设备会根据当前RADIUS方案中服务器的配置、服务器负载分担功能的开启状态，以及各服务器的可达状态重新选择认证服务器。使用此模式，可以尽可能得保证重认证时选择到当前最优且可达的服务器。
【举例】
# 在RADIUS方案radius1中，配置重认证时RADIUS服务器的选择模式为重新选择模式。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] reauthentication server-select reselect
【相关命令】
· display radius scheme
reset radius server-load statistics命令用来清除所有RADIUS服务器的历史负载统计信息。
【命令】
reset radius server-load statistics
【视图】
用户视图
【缺省用户角色】
network-admin
【使用指导】
该命令只会清除所有RADIUS认证/计费服务器的历史负载统计数据，不会清除前5秒钟负载统计数据。
【举例】
# 清除所有RADIUS服务器上的历史负载统计信息。
<Sysname> reset radius server-load statistics
【相关命令】
· display radius server-load statistics
reset radius statistics命令用来清除RADIUS协议的统计信息。
【命令】
reset radius statistics
【视图】
用户视图
【缺省用户角色】
network-admin
【举例】
# 清除RADIUS协议的统计信息。
<Sysname> reset radius statistics
【相关命令】
· display radius statistics
reset stop-accounting-buffer命令用来清除缓存的RADIUS停止计费请求报文。
【命令】
reset stop-accounting-buffer { radius-scheme radius-scheme-name | session-id session-id | time-range start-time end-time | user-name user-name }
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
radius-scheme radius-scheme-name：表示指定RADIUS方案的停止计费响应报文。其中，radius-scheme-name为RADIUS方案名，为1～32个字符的字符串，不区分大小写。
session-id session-id：表示指定会话的停止计费响应报文。其中，session-id表示会话ID，为1～64个字符的字符串，不包含字母。会话ID用于唯一标识当前的在线用户。
time-range start-time end-time：表示指定时间段内发送且被缓存的停止计费请求报文。其中，start-time为请求时间段的起始时间；end-time为请求时间段的结束时间，格式为hh:mm:ss-mm/dd/yyyy（时:分:秒-月/日/年）或hh:mm:ss-yyyy/mm/dd（时:分:秒-年/月/日）。
user-name user-name：表示指定用户名的停止计费响应报文。其中，user-name表示用户名，为1～255个字符的字符串，区分大小写。输入的用户名是否携带ISP域名，必须与RADIUS方案中配置的发送给RADIUS服务器的用户名格式保持一致。
【举例】
# 清除缓存的用户user0001@test的RADIUS停止计费请求报文。
<Sysname> reset stop-accounting-buffer user-name user0001@test
# 清除从2015年8月31日0点0分0秒到2015年8月31日23点59分59秒期间内缓存的停止计费请求报文。
<Sysname> reset stop-accounting-buffer time-range 00:00:00-08/31/2015 23:59:59-08/31/2015
【相关命令】
· display stop-accounting-buffer (for RADIUS)
· stop-accounting-buffer enable (RADIUS scheme view)
retry命令用来设置发送RADIUS报文的最大尝试次数。
undo retry命令用来恢复缺省情况。
【命令】
retry retries
undo retry
【缺省情况】
发送RADIUS报文的最大尝试次数为3次。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
retries：发送RADIUS报文的最大尝试次数，取值范围为1～20。
【使用指导】
由于RADIUS协议采用UDP报文来承载数据，因此其通信过程是不可靠的。如果设备在应答超时定时器规定的时长内（由timer response-timeout命令配置）没有收到RADIUS服务器的响应，则设备有必要向RADIUS服务器重传RADIUS请求报文。如果累计的传送次数已达到最大传送次数而RADIUS服务器仍旧没有响应，则设备将认为本次请求失败。
需要注意的是：
· 发送RADIUS报文的最大尝试次数、RADIUS服务器响应超时时间以及配置的RADIUS服务器总数，三者的乘积不能超过接入模块定义的用户认证超时时间，否则在RADIUS认证过程完成之前用户就有可能被强制下线。
· 设备在按照配置顺序尝试与下一个RADIUS服务器通信之前，会首先判断当前累计尝试持续时间是否达到或超过300秒，如果超过或达到300秒，将不再向下一个RADIUS服务器发送RADIUS请求报文，即认为该RADIUS请求发送失败。因此，为了避免某些已部署的RADIUS服务器由于此超时机制而无法被使用到，建议基于配置的RADIUS服务器总数，合理设置发送RADIUS报文的最大尝试次数以及RADIUS服务器响应超时时间。
【举例】
# 在RADIUS方案radius1中，设置发送RADIUS报文的最大尝试次数为5次。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] retry 5
【相关命令】
· radius scheme
· timer response-timeout (RADIUS scheme view)
retry realtime-accounting命令用来设置允许发起实时计费请求的最大尝试次数。
undo retry realtime-accounting命令用来恢复缺省情况。
【命令】
retry realtime-accounting retries
undo retry realtime-accounting
【缺省情况】
设备允许发起实时计费请求的最大尝试次数为5。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
retries：允许发起实时计费请求的最大尝试次数，取值范围为1～255。
【使用指导】
RADIUS服务器通常通过连接超时定时器来判断用户是否在线。如果RADIUS服务器在连接超时时间之内一直收不到设备传来的实时计费报文，它会认为线路或设备故障并停止对用户记帐。为了配合RADIUS服务器的这种特性，有必要在不可预见的故障条件下，尽量保持设备端与RADIUS服务器同步切断用户连接。设备提供对实时计费请求连续无响应次数限制的设置，保证设备尽可能得在RADIUS服务器的连接超时时长内向RADIUS服务器尝试发出实时计费请求。如果设备没有收到响应的次数超过了设定的限度，才会切断用户连接。
假设RADIUS服务器的应答超时时长（timer response-timeout命令设置）为3秒，发送RADIUS报文的最大尝试次数（retry命令设置）为3，设备的实时计费间隔（timer realtime-accounting命令设置）为12分钟，设备允许实时计费无响应的最大次数为5次（retry realtime-accounting命令设置），则其含义为：设备每隔12分钟发起一次计费请求，如果3秒钟得不到回应就重新发起一次请求，如果3次发送都没有得到回应就认为该次实时计费失败，然后每隔12分钟再发送一次，5次均失败以后，设备将切断用户连接。
【举例】
# 在RADIUS方案radius1中，设置允许发起实时计费请求的最大尝试次数为10。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] retry realtime-accounting 10
【相关命令】
· retry
· timer realtime-accounting (RADIUS scheme view)
· timer response-timeout (RADIUS scheme view)
retry stop-accounting命令用来设置发起RADIUS停止计费请求的最大尝试次数。
undo retry stop-accounting命令用来恢复缺省情况。
【命令】
retry stop-accounting retries
undo retry stop-accounting
【缺省情况】
发起RADIUS停止计费请求的最大尝试次数为500。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
retries：允许停止计费请求无响应的最大次数，取值范围为10～65535。
【使用指导】
设备通过发起RADIUS停止计费请求的最大尝试次数与其它相关参数一起控制停止计费请求报文的发送。假设存在如下配置：
· RADIUS服务器的应答超时时长（由timer response-timeout命令设置）为3秒；
· 发送RADIUS报文的最大尝试次数（由retry命令设置）为5；
· 开启了对无响应的RADIUS停止计费请求报文的缓存功能；
· 设备发起停止计费请求的最大尝试次数为20（由retry stop-accounting命令设置）。
则，如果设备发送停止计费请求报文后的3秒内得不到服务器响应就重新发送该报文。如果设备发送5次之后仍然没有得到响应，会将该报文缓存在本机上，然后再发起一轮停止计费请求。20次请求尝试均失败以后，设备将缓存的报文丢弃。
【举例】
# 在RADIUS方案radius1中，设置发起RADIUS停止计费请求的最大尝试次数为1000。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] retry stop-accounting 1000
【相关命令】
· display stop-accounting-buffer (for RADIUS)
· retry
· timer response-timeout (RADIUS scheme view)
secondary accounting命令用来配置从RADIUS计费服务器。
undo secondary accounting命令用来删除指定的从RADIUS计费服务器。
【命令】
secondary accounting { host-name | ipv4-address } [ port-number | key { cipher | simple } string | weight weight-value ] *
undo secondary accounting [ { host-name | ipv4-address } [ port-number ] ]
【缺省情况】
未配置从RADIUS计费服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：从RADIUS计费服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：从RADIUS计费服务器的IPv4地址。
port-number：从RADIUS计费服务器的UDP端口号，取值范围为1～65535，缺省值为1813。
key：与从RADIUS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的计费请求报文越多。
【使用指导】
配置的从计费服务器的UDP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
每个RADIUS方案中最多支持配置16个从RADIUS计费服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
在同一个方案中指定的主计费服务器和从计费服务器的主机名、IP地址、端口号不能完全相同，并且各从计费服务器的主机名、IP地址、端口号也不能完全相同。
设备与从计费服务器通信时优先使用本命令设置的共享密钥，如果此处未设置，则使用命令key accounting命令设置的共享密钥。
当RADIUS服务器负载分担功能处于关闭状态时，如果在计费开始请求报文发送过程中删除了正在使用的从服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；在RADIUS服务器负载分担功能处于开启状态时，设备将仅与发起计费开始请求的服务器通信。
如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地。
【举例】
# 在RADIUS方案radius1中，配置从计费服务器的IP地址为10.110.1.1，使用UDP端口1813提供RADIUS计费服务。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] secondary accounting 10.110.1.1 1813
# 在RADIUS方案radius2中，配置两个从计费服务器，IP地址分别为10.110.1.1、10.110.1.2，且均使用UDP端口1813提供RADIUS计费服务。
<Sysname> system-view
[Sysname] radius scheme radius2
[Sysname-radius-radius2] secondary accounting 10.110.1.1 1813
[Sysname-radius-radius2] secondary accounting 10.110.1.2 1813
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· primary accounting
secondary authentication命令用来配置从RADIUS认证服务器。
undo secondary authentication命令用来删除指定的从RADIUS认证服务器。
【命令】
secondary authentication { host-name | ipv4-address } [ port-number | key { cipher | simple } string | test-profile profile-name | weight weight-value ] *
undo secondary authentication [ { host-name | ipv4-address } [ port-number ] ]
【缺省情况】
未配置从RADIUS认证服务器。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：从RADIUS认证服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：从RADIUS认证服务器的IPv4地址。
port-number：从RADIUS认证服务器的UDP端口号，取值范围为1～65535，缺省值为1812。
key：与从RADIUS认证服务器交互的认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～64个字符的字符串；密文密钥为1～117个字符的字符串。
test-profile profile-name：RADIUS服务器探测模板名称，为1～31个字符的字符串，区分大小写。
weight weight-value：RADIUS服务器负载分担的权重。weight-value表示权重值，取值范围为0～100，缺省值为0。0表示该服务器在负载分担调度时将不被使用。开启服务器负载分担功能后，该参数才能生效，且权重值越大的服务器可以处理的认证请求报文越多。
【使用指导】
配置的从认证服务器的UDP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
每个RADIUS方案中最多支持配置16个从RADIUS认证服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
RADIUS认证服务器引用了存在的服务器探测模板后，将会触发对该服务器的探测功能。
在同一个方案中指定的主认证服务器和从认证服务器的主机名、IP地址、端口号不能完全相同，并且各从认证服务器的主机名、IP地址、端口号也不能完全相同。
设备与从认证服务器通信时优先使用本命令设置的共享密钥，如果此处未设置，则使用命令key authentication命令设置的共享密钥。
当RADIUS服务器负载分担功能处于关闭状态时，如果在认证过程中删除了正在使用的从服务器配置，则设备在与当前服务器通信超时后，将会重新按照优先级顺序开始依次查找状态为active的服务器进行通信；在RADIUS服务器负载分担功能处于开启状态时，如果在认证过程中修改或删除了正在使用的认证服务器配置，则设备在与当前服务器通信超时后，将会根据各服务器的权重以及服务器承载的用户负荷重新选择状态为active的服务器进行通信。
【举例】
# 在RADIUS方案radius1中，配置从认证服务器的IP地址为10.110.1.2，使用UDP端口1812提供RADIUS认证/授权服务。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] secondary authentication 10.110.1.2 1812
# 在RADIUS方案radius2中，配置两个从认证服务器，IP地址分别为10.110.1.1、10.110.1.2，且均使用UDP端口1812提供RADIUS认证/授权服务。
<Sysname> system-view
[Sysname] radius scheme radius2
[Sysname-radius-radius2] secondary authentication 10.110.1.1 1812
[Sysname-radius-radius2] secondary authentication 10.110.1.2 1812
【相关命令】
· display radius scheme
· key (RADIUS scheme view)
· primary authentication (RADIUS scheme view)
· radius-server test-profile
server-load-sharing enable命令用来开启RADIUS服务器负载分担功能。
undo server-load-sharing enable命令用来关闭RADIUS服务器负载分担功能。
【命令】
server-load-sharing enable
undo server-load-sharing enable
【缺省情况】
RADIUS服务器负载分担功能处于关闭状态。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【使用指导】
缺省情况下，RADIUS服务器负载分担功能处于关闭状态，RADIUS服务器的调度采用主/从模式。
主/从模式下，设备优先选取状态为active的主服务器进行交互，若主服务器不可达则尝试与从服务器交互。设备尝试与从服务器交互时，按照从服务器的配置顺序依次选择，先配置的服务器将优先被选取。
在主/从模式下，设备选择服务器的逻辑比较单一。如果RADIUS方案中的主服务器或者某一配置顺序靠前的从服务器始终可达，则该服务器将独立承载该方案下所有用户的AAA业务。在大用户量下，这类服务器的负荷过重，将会影响处理用户上线的整体性能。
RADIUS方案中开启服务器负载分担功能后，设备将根据当前各服务器承载的用户负荷调度合适的服务器发送认证/计费请求。考虑到各服务器的性能可能存在差异，设备支持管理员配置服务器时为各个服务器指定适应其性能的权重值（由weight关键字指定），权重值较大的服务器具备较大的被选取可能性。设备在处理用户认证/计费请求时，将综合各个服务器的权重值及当前用户负荷情况，按比例进行用户负荷分配并选择要交互的服务器。
需要注意的是，负载分担模式下，某台计费服务器开始对某用户计费后，该用户后续计费请求报文均会发往同一计费服务器。如果该计费服务器不可达，则直接返回计费失败。
【举例】
# 在RADIUS方案radius1中，开启RADIUS服务器负载分担功能。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] server-load-sharing enable
【相关命令】
· primary authentication (RADIUS scheme view)
· primary accounting (RADIUS scheme view)
· secondary authentication (RADIUS scheme view)
· secondary accounting (RADIUS scheme view)
snmp-agent trap enable radius命令用来开启RADIUS告警功能。
undo snmp-agent trap enable radius命令用来关闭指定的RADIUS告警功能。
【命令】
snmp-agent trap enable radius [ accounting-server-down | accounting-server-up | authentication-error-threshold | authentication-server-down | authentication-server-up ] *
undo snmp-agent trap enable radius [ accounting-server-down | accounting-server-up | authentication-error-threshold | authentication-server-down | authentication-server-up ] *
【缺省情况】
所有类型的RADIUS告警功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
accounting-server-down：表示RADIUS计费服务器可达状态变为down时发送告警信息。
accounting-server-up：表示RADIUS计费服务器可达状态变为up时发送告警信息。
authentication-error-threshold：表示认证失败次数超过阈值时发送告警信息。该阈值为认证失败次数占认证请求总数的百分比数值，目前仅能通过MIB方式配置，取值范围为1～100，缺省为30。
authentication-server-down：表示RADIUS认证服务器可达状态变为down时发送告警信息。
authentication-server-up：表示RADIUS认证服务器可达状态变为up时发送告警信息。
【使用指导】
不指定任何参数时，表示开启或关闭所有类型的RADIUS告警功能。
开启RADIUS服务器告警功能后，系统将会生成以下几种告警信息：
· RADIUS服务器不可达的告警：当NAS向RADIUS服务器发送计费或认证请求没有收到响应时，会重传请求，当重传次数达到最大传送次数时仍然没有收到响应时，则发送该告警信息。
· RADIUS服务器可达的告警：当timer quiet定时器设定的时间到达后，NAS将服务器的状态置为激活状态并发送该告警信息。
· 认证失败次数超过阈值的告警：当NAS发现认证失败次数与认证请求总数的百分比超过阈值时，会发送该告警信息。
【举例】
# 开启RADIUS计费服务器可达状态变为down时的告警功能。
<Sysname> system-view
[Sysname] snmp-agent trap enable radius accounting-server-down
state primary命令用来设置主RADIUS服务器的状态。
【命令】
state primary { accounting | authentication } { active | block }
【缺省情况】
主RADIUS服务器状态为active。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：主RADIUS计费服务器。
authentication：主RADIUS认证服务器。
active：正常工作状态。
block：通信中断状态。
【使用指导】
当RADIUS服务器负载分担功能处于关闭状态时，每次用户发起认证或计费，如果主服务器状态为active，则设备都会首先尝试与主服务器进行通信，如果主服务器不可达，则将主服务器的状态置为block，同时启动主服务器的timer quiet定时器，然后设备会严格按照从服务器的配置先后顺序依次查找状态为active的从服务器。在timer quiet定时器设定的时间到达之后，主服务器状态将由block恢复为active。若该定时器超时之前，通过本命令将主服务器的状态手工设置为block，则定时器超时之后主服务器状态不会自动恢复为active，除非通过本命令手工将其设置为active。
当RADIUS服务器负载分担功能处于开启状态时，设备仅根据当前各服务器承载的用户负荷调度状态为active的服务器发送认证或计费请求。
如果主服务器与所有从服务器状态都是block，则采用主服务器进行认证或计费。
认证服务器的状态会影响设备对该服务器可达性探测功能的开启。当指定的服务器状态为active，且该服务器通过radius-server test-profile命令成功引用了一个已存在的服务器探测模板时，则设备会开启对该服务器的可达性探测功能。当手工将该服务器状态置为block时，会关闭对该服务器的可达性探测功能。
【举例】
# 在RADIUS方案radius1中，设置主认证服务器的状态为block。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] state primary authentication block
【相关命令】
· display radius scheme
· radius-server test-profile
· server-load-sharing enable
· state secondary
state secondary命令用来设置从RADIUS服务器的状态。
【命令】
state secondary { accounting | authentication } [ { host-name | ipv4-address } [ port-number ] ] { active | block }
【缺省情况】
从RADIUS服务器状态为active。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：从RADIUS计费服务器。
authentication：从RADIUS认证服务器。
host-name：从RADIUS服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：从RADIUS服务器的IPv4地址。
port-number：从RADIUS服务器的UDP端口号，取值范围为1～65535，从RADIUS计费服务器的缺省UDP端口号为1813，从RADIUS认证服务器的缺省UDP端口号为1812。
active：正常工作状态。
block：通信中断状态。
【使用指导】
如果不指定从服务器IP地址，那么本命令将会修改所有已配置的从认证服务器或从计费服务器的状态。
当RADIUS服务器负载分担功能处于关闭状态时，如果设备查找到的状态为active的从服务器不可达，则设备会将该从服务器的状态置为block，同时启动该服务器的timer quiet定时器，并继续查找下一个状态为active的从服务器。在timer quiet定时器设定的时间到达之后，从服务器状态将由block恢复为active。若该定时器超时之前，通过本命令将从服务器的状态手工设置为block，则定时器超时之后从服务器状态不会自动恢复为active，除非通过本命令手工将其设置为active。如果所有已配置的从服务器都不可达，则本次认证或计费失败。
当RADIUS服务器负载分担功能处于开启状态时，设备仅根据当前各服务器承载的用户负荷调度状态为active的服务器发送认证或计费请求。
认证服务器的状态会影响设备对该服务器可达性探测功能的开启。当指定的服务器状态为active，且该服务器通过radius-server test-profile命令成功引用了一个已存在的服务器探测模板时，则设备会开启对该服务器的可达性探测功能。当手工将该服务器状态置为block时，会关闭对该服务器的可达性探测功能。
【举例】
# 在RADIUS方案radius1中，设置从认证服务器的状态设置为block。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] state secondary authentication block
【相关命令】
· display radius scheme
· radius-server test-profile
· server-load-sharing enable
· state primary
stop-accounting-buffer enable命令用来开启对无响应的RADIUS停止计费请求报文的缓存功能。
undo stop-accounting-buffer enable命令用来关闭对无响应的RADIUS停止计费请求报文的缓存功能。
【命令】
stop-accounting-buffer enable
undo stop-accounting-buffer enable
【缺省情况】
设备缓存未得到响应的RADIUS停止计费请求报文。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【使用指导】
设备在发送停止计费请求报文而RADIUS服务器没有响应时，会尝试重传该报文，最大尝试次数由retry命令设置。如果设备发送该RADIUS报文的最大尝试次数超过最大值后，仍然没有得到响应，则该功能处于开启状态的情况下设备会缓存该报文，然后再发起一次请求，若仍然未得到响应，则重复上述过程，一定次数（由retry stop-accounting命令设置）之后，设备将其丢弃。
如果RADIUS方案中的某计费服务器被删除，则设备将会丢弃相应的已缓存停止计费请求报文。
【举例】
# 开启对无响应的RADIUS停止计费请求报文的缓存功能。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] stop-accounting-buffer enable
【相关命令】
· display stop-accounting-buffer (for RADIUS)
· reset stop-accounting-buffer (for RADIUS)
stop-accounting-packet send-force命令用来配置用户下线时设备强制发送RADIUS计费停止报文。
undo stop-accounting-packet send-force命令用来恢复缺省情况。
【命令】
stop-accounting-packet send-force
undo stop-accounting-packet send-force
【缺省情况】
用户下线时设备不会强制发送计费停止报文。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【使用指导】
通常，RADIUS服务器在收到用户的计费开始报文后才会生成用户表项，但有一些RADIUS服务器在用户认证成功后会立即生成用户表项。如果设备使用该类RADIUS服务器进行认证/授权/计费，则在用户认证后，因为一些原因（比如授权失败）并未发送计费开始报文，则在该用户下线时设备也不会发送RADIUS计费停止报文，就会导致RADIUS服务器上该用户表项不能被及时释放，形成服务器和设备上用户信息不一致的问题。为了解决这个问题，建议开启本功能。
开启本功能后，只要用户使用RADIUS服务器进行计费，且设备未向RADIUS服务器发送计费开始报文，则在用户下线时设备会强制发送一个RADIUS计费停止报文给服务器，使得服务器收到此报文后及时释放用户表项。
【举例】
# 在RADIUS方案radius1中，配置用户下线时设备强制发送RADIUS计费停止报文。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] stop-accounting-packet send-force
【相关命令】
test-aaa命令用来发起一次AAA请求测试。
【命令】
test-aaa user user-name password password radius-scheme radius-scheme-name [ radius-server ipv4-address port-number ] [ chap | pap ] [ attribute-test-group attr-test-group-name ] [ trace ]
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
user user-name：待测试的用户名，为1～80个字符的字符串，区分大小写。用户名中可以携带域名，形式为“纯用户名@域名”，其中纯用户名区分大小写，域名不区分大小写。
password password：待测试用户的明文密码，为1～63个字符的字符串，区分大小写。
radius-scheme radius-scheme-name：RADIUS方案名称，为1～32个字符的字符串，不区分大小写。
radius-server：指定具体的RADIUS服务器。
ipv4-address：RADIUS服务器的IPv4地址。
port-number：RADIUS服务器的UDP端口号，取值范围为1～65535。
chap：采用CHAP认证方式。该方式也是缺省认证方式。
pap：采用PAP认证方式。
attribute-test-group attr-test-group-name：RADIUS属性测试组的名称，为1～31个字符的字符串，不区分大小写。
trace：显示详细的RADIUS报文交互信息。若不指定该参数，则表示仅显示报文收发结果及最终的测试结果。
【使用指导】
本命令主要用于排查设备与AAA服务器交互时的故障原因，目前仅支持对RADIUS服务器的测试。当故障发生时，执行本命令发起一次RADIUS请求测试，通过查看打印出的认证/计费请求结果以及报文交互信息，有利于快速定位故障发生的关键环节，以及及时排查影响认证/计费结果的RADIUS属性。
可以在执行本命令时指定RADIUS属性测试组，指定的测试组中定义了RADIUS请求报文中要携带的属性。如果本命令中未指定RADIUS属性测试组或指定的RADIUS属性测试组不存在，则测试过程中发送的RADIUS请求报文中将会携带一些缺省属性，缺省属性的介绍请参见AAA配置手册。
由于测试期间不能保证设备与AAA服务器可以正常通信，因此不建议同时允许用户进行正常的上线、下线操作。
测试过程中，如果引用的RADIUS方案配置发生变化，则仅在下次测试中生效，并不影响本次探测。
仅允许在同一时间内存在一个测试过程，下一次测试只能在当前测试过程完成后执行。
【举例】
# 发起一次AAA请求测试，使用的测试用户名为user1，密码为123456，RADIUS方案名为test，同时打印详细的RADIUS报文交互信息。
<Sysname> test-aaa user user1 password 123456 radius-scheme test chap trace
Sent a RADIUS authentication request.
Server IP : 192.168.1.110
Source IP : 192.168.1.166
VPN instance : N/A
Server port : 1812
Packet type : Authentication request
Packet length: 118 bytes
Packet ID : 0
Attribute list:
[User-Name(1)] [6] [user1]
[CHAP-Password(3)] [19] [******]
[NAS-IP-Address(4)] [6] [192.168.1.166]
[Service-Type(6)] [6] [2] [Framed]
[Framed-Protocol(7)] [6] [1] [PPP]
[NAS-Identifier(32)] [5] [Sysname]
[Acct-Session-Id(44)] [40] [00000008201707241008280000000c16100171]
[CHAP-Challenge(60)] [18] [******]
[NAS-Port-Type(61)] [6] [15] [Ethernet]
Received a RADIUS authentication response.
Server IP : 192.168.1.110
Source IP : 192.168.1.166
VPN instance : N/A
Server port : 1812
Packet type : Access-Reject
Packet length: 20 bytes
Packet ID : 0
Reply-Message: "E63032: Incorrect password. You can retry 9 times."
Sent a RADIUS start-accounting request.
Server IP : 192.168.1.110
Source IP : 192.168.1.166
VPN instance : N/A
Server port : 1813
Packet type : Start-accounting request
Packet length: 63 bytes
Packet ID : 1
Attribute list:
[User-Name(1)] [6] [user1]
[Acct-Status-Type(40)] [6] [1] [Start]
[NAS-IP-Address(4)] [6] [192.168.1.166]
[NAS-Identifier(32)] [5] [Sysname]
[Acct-Session-Id(44)] [40] [00000008201707241008280000000c16100171]
Received a RADIUS start-accounting response.
Server IP : 192.168.1.110
Source IP : 192.168.1.166
VPN instance : N/A
Server port : 1813
Packet type : Start-accounting response
Packet length: 20 bytes
Packet ID : 1
Sent a RADIUS stop-accounting request.
Server IP : 192.168.1.110
Source IP : 192.168.1.166
VPN instance : N/A
Server port : 1813
Packet type : Stop-accounting request
Packet length: 91 bytes
Packet ID : 1
Attribute list:
[User-Name(1)] [6] [user1]
[Acct-Status-Type(40)] [6] [2] [Stop]
[NAS-IP-Address(4)] [6] [192.168.1.166]
[NAS-Identifier(32)] [5] [Sysname]
[Acct-Delay-Time(41)] [6] [0]
[Acct-Session-Id(44)] [40] [00000008201707241008280000000c16100171]
[Acct-Terminate-Cause(49)] [6] [1] [User Request]
Received a RADIUS stop-accounting response.
Server IP : 192.168.1.110
Source IP : 192.168.1.166
VPN instance : N/A
Server port : 1813
Packet type : Stop-accounting response
Packet length: 20 bytes
Packet ID : 1
Test result: Failed
# 发起一次AAA请求测试，使用的测试用户名为user1，密码为123456 ，RADIUS方案名为test，指定探测test下认证服务器192.168.1.110，且不打印详细的RADIUS报文交互信息。
<Sysname> test-aaa user user1 password 123456 radius-scheme test radius-server 192.168.1.110 1812
Sent a RADIUS authentication request.
Received a RADIUS authentication response.
Test result: Successful
表1-10 test-aaa命令显示信息描述表
|
字段 |
描述 |
|
Server IP |
服务器的IP地址 |
|
Source IP |
RADIUS报文源IP地址 |
|
VPN instance |
（暂不支持）RADIUS认证/计费服务器所在的VPN，服务器位于公网时，显示为N/A |
|
Server port |
RADIUS认证/计费服务器的UDP端口号 |
|
Packet type |
RADIUS报文类型： · Authentication request：认证请求报文 · Access-Accept：认证接受报文 · Access-Reject：认证拒绝报文 · Start-accounting request：开始计费请求报文 · Start-accounting response：开始计费响应报文 · Stop-accounting request：停止计费请求报文 · Stop-accounting response：停止计费响应报文 |
|
Packet length |
报文总长度，单位为字节 |
|
Packet ID |
报文ID，用于匹配响应报文和对应的请求报文 |
|
[attribute-name (code)] [length] [value] [description] |
RADIUS属性信息： · attribute-name：属性名称 · code：属性编号 · length：属性值的长度，单位为字节 · value：属性值 · description：特殊属性值的描述信息 |
|
Sent a RADIUS authentication request. |
成功发送了一个认证请求报文 |
|
Failed to receive a RADIUS authentication response. |
认证请求已超时，未收到应答 |
|
Received a RADIUS authentication response. |
接收到一个认证响应报文 |
|
Sent a RADIUS start-accounting request. |
成功发送了一个计费开始请求报文 |
|
Failed to receive a RADIUS start-accounting response. |
计费开始请求已超时，未收到应答 |
|
Received a RADIUS start-accounting response. |
接收到一个计费开始请求报文 |
|
Sent a RADIUS stop-accounting request. |
成功发送了一个计费停止请求报文 |
|
Failed to receive a RADIUS stop-accounting response. |
计费停止请求已超时，未收到应答 |
|
Received a RADIUS stop-accounting response. |
接收到一个计费停止请求报文 |
|
Reply-Message: |
RADIUS服务器拒绝此认证请求，并下发提示信息 |
|
The authentication server is not configured. |
指定的RADIUS方案中未配置要探测的认证服务器 |
|
The accounting server is not configured. |
指定的RADIUS方案中未配置要探测的计费服务器 |
|
Test result |
测试结果： · Successful：当前用户的AAA测试成功 · Failed：当前用户的AAA测试失败（只要有一个请求报文测试失败，即为失败） |
【相关命令】
· radius attribute-test-group
· radius scheme
timer quiet命令用来设置服务器恢复激活状态的时间。
undo timer quiet命令用来恢复缺省情况。
【命令】
timer quiet minutes
undo timer quiet
【缺省情况】
服务器恢复激活状态的时间为5分钟。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
minutes：恢复激活状态的时间，取值范围为0～255，单位为分钟。该参数取值为0时，若当前用户使用的认证或计费服务器不可达，则设备并不会切换它的状态，而是保持其为active，并且将使用该服务器的用户认证或计费请求报文发送给下一个状态为active的服务器，而后续其它用户的认证/计费请求报文仍然可以发送给该服务器进行处理。
【使用指导】
建议合理设置服务器恢复激活状态的时间：
· 如果服务器恢复激活状态时间设置的过短，就会出现设备反复尝试与状态active但实际不可达的服务器通信而导致的认证或计费频繁失败的问题。
· 如果服务器恢复激活状态时间设置的过长，当服务器恢复可达后，设备不能及时与其进行通信，会降低对用户进行认证或计费的效率。
【举例】
# 在RADIUS方案radius1中，配置服务器恢复激活状态的时间为10分钟。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] timer quiet 10
【相关命令】
· display radius scheme
timer realtime-accounting命令用来设置实时计费的时间间隔。
undo timer realtime-accounting命令用来恢复缺省情况。
【命令】
timer realtime-accounting interval [ second ]
undo timer realtime-accounting
【缺省情况】
实时计费的时间间隔为12分钟。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
interval：实时计费的时间间隔，取值范围为0～71582。
second：表示实时计费的时间间隔以秒为单位，缺省以分钟为单位。
【使用指导】
为了对用户实施实时计费，有必要设置实时计费的时间间隔。不同的取值的处理有所不同：
· 若实时计费间隔不为0，则每隔设定的时间，设备会向RADIUS服务器发送一次在线用户的计费信息。
· 若实时计费间隔设置为0，且服务器上配置了实时计费间隔，则设备按照服务器上配置的实时计费间隔向RADIUS服务器发送在线用户的计费信息；如果服务器上没有配置该值，则设备不向RADIUS服务器发送在线用户的计费信息。
实时计费间隔的取值小，计费准确性高，但对设备和RADIUS服务器的性能要求就高。
|
用户数 |
实时计费间隔（分钟） |
|
1～99 |
3 |
|
100～499 |
6 |
|
500～999 |
12 |
|
大于等于1000 |
大于等于15 |
不同情况下修改的实时计费间隔，对于已在线用户的生效情况有所不同：
· 将实时计费间隔从非0有效值改为0，或者从0修改为非0有效值后，已在线用户会依然采用原有取值，修改后的取值对其不生效。
· 将实时计费间隔从某非0有效值修改为其它非0有效值后，已在线用户将会采用修改后的取值。
对于未进行RADIUS认证和授权，仅进行RADIUS计费的用户，只能使用计费方案下设置的实时计费间隔，不会使用RADIUS服务器设置的实时计费间隔。
【举例】
# 在RADIUS方案radius1中，设置实时计费的时间间隔为51分钟。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] timer realtime-accounting 51
【相关命令】
· retry realtime-accounting
timer response-timeout命令用来设置RADIUS服务器响应超时时间。
undo timer response-timeout命令用来恢复缺省情况。
【命令】
timer response-timeout seconds
undo timer response-timeout
【缺省情况】
RADIUS服务器响应超时时间为3秒。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
seconds：RADIUS服务器响应超时时间，取值范围为1～10，单位为秒。
【使用指导】
如果在RADIUS请求报文传送出去一段时间后，设备还没有得到RADIUS服务器的响应，则有必要重传RADIUS请求报文，以保证用户尽可能地获得RADIUS服务，这段时间被称为RADIUS服务器响应超时时间，本命令用于调整这个时间。
需要注意的是：
· 发送RADIUS报文的最大尝试次数、RADIUS服务器响应超时时间以及配置的RADIUS服务器总数，三者的乘积不能超过接入模块定义的用户认证超时时间，否则在RADIUS认证过程完成之前用户就有可能被强制下线。
· 设备在按照配置顺序尝试与下一个RADIUS服务器通信之前，会首先判断当前累计尝试持续时间是否达到或超过300秒，如果超过或达到300秒，将不再向下一个RADIUS服务器发送RADIUS请求报文，即认为该RADIUS请求发送失败。因此，为了避免某些已部署的RADIUS服务器由于此超时机制而无法被使用到，建议基于配置的RADIUS服务器总数，合理设置发送RADIUS报文的最大尝试次数以及RADIUS服务器响应超时时间。
【举例】
# 在RADIUS方案radius1中，设置服务器响应超时时间设置为5秒。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] timer response-timeout 5
【相关命令】
· display radius scheme
· retry
user-name-format命令用来设置发送给RADIUS服务器的用户名格式。
undo user-name-format命令用来恢复缺省情况。
【命令】
user-name-format { keep-original | with-domain | without-domain }
undo user-name-format
【缺省情况】
发送给RADIUS服务器的用户名携带ISP域名。
【视图】
RADIUS方案视图
【缺省用户角色】
network-admin
【参数】
keep-original：发送给RADIUS服务器的用户名与用户的输入保持一致。
with-domain：发送给RADIUS服务器的用户名携带ISP域名。
without-domain：发送给RADIUS服务器的用户名不携带ISP域名。
【使用指导】
接入用户通常以“userid@isp-name”的格式命名，“@”后面的部分为ISP域名，设备就是通过该域名来决定将用户归于哪个ISP域的。但是，有些较早期的RADIUS服务器不能接受携带有ISP域名的用户名，在这种情况下，有必要将用户名中携带的域名去除后再传送给RADIUS服务器。因此，设备提供此命令以指定发送给RADIUS服务器的用户名是否携带有ISP域名。
如果指定某个RADIUS方案不允许用户名中携带有ISP域名，那么请不要在两个或两个以上的ISP域中同时设置使用该RADIUS方案。否则，会出现虽然实际用户不同（在不同的ISP域中），但RADIUS服务器认为用户相同（因为传送到它的用户名相同）的错误。
【举例】
# 在RADIUS方案radius1中，设置发送给RADIUS服务器的用户名不得携带域名。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] user-name-format without-domain
【相关命令】
· display radius scheme
data-flow-format命令用来配置发送到HWTACACS服务器的数据流或者数据包的单位。
undo data-flow-format命令用来恢复缺省情况。
【命令】
data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } } *
undo data-flow-format { data | packet }
【缺省情况】
数据流的单位为byte，数据包的单位为one-packet。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
data：设置数据流的单位。
· byte：数据流的单位为字节。
· giga-byte：数据流的单位千兆字节。
· kilo-byte：数据流的单位为千字节。
· mega-byte：数据流的单位为兆字节。
packet：设置数据包的单位。
· giga-packet：数据包的单位为千兆包。
· kilo-packet：数据包的单位为千包。
· mega-packet：数据包的单位为兆包。
· one-packet：数据包的单位为包。
【使用指导】
设备上配置的发送给HWTACACS服务器的数据流单位及数据包单位应与HWTACACS服务器上的流量统计单位保持一致，否则无法正确计费。
【举例】
# 在HWTACACS方案hwt1中，设置发往HWTACACS服务器的数据流的数据单位为千字节、数据包的单位为千包。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] data-flow-format data kilo-byte packet kilo-packet
【相关命令】
· display hwtacacs scheme
display hwtacacs scheme命令用来查看HWTACACS方案的配置信息或HWTACACS服务相关的统计信息。
【命令】
display hwtacacs scheme [ hwtacacs-scheme-name [ statistics ] ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
hwtacacs-scheme-name：HWTACACS方案的名称，为1～32个字符的字符串，不区分大小写。如果不指定该参数，则显示所有HWTACACS方案的配置信息。
statistics：显示HWTACACS服务相关的统计信息。不指定该参数，则显示HWTACACS方案的配置信息。
【使用指导】
显示指定HWTACACS方案配置信息时，会同时显示每一个HWTACACS服务器当前Active状态的持续时间以及最近5次状态变化信息；显示所有HWTACACS方案配置信息时，会同时显示每一个HWTACACS服务器当前Active状态的持续时间以及最近1次Block状态的开始时间和结束时间。
【举例】
# 查看所有HWTACACS方案的配置情况。
<Sysname> display hwtacacs scheme
Total 1 HWTACACS schemes
------------------------------------------------------------------
HWTACACS Scheme Name : hwtac
Index : 0
Primary Auth Server:
Host name: Not configured
IP : 2.2.2.2 Port: 49 State: Active
VPN Instance: Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent blocked period: 2019/12/08 20:33:45 - 2019/12/08 20:38:45
Single-connection: Enabled
Primary Author Server:
Host name: Not configured
IP : 2.2.2.2 Port: 49 State: Active
VPN Instance: Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent blocked period: 2019/12/08 20:33:45 - 2019/12/08 20:38:45
Single-connection: Disabled
Primary Acct Server:
Host name: Not configured
IP : Not Configured Port: 49 State: Block
VPN Instance: Not configured
State: Blocked
Most recent blocked period: 2019/12/08 20:33:45 - now
Single-connection: Disabled
VPN Instance : Not configured
NAS IP Address : 2.2.2.3
Server Quiet Period(minutes) : 5
Realtime Accounting Interval(minutes) : 12
Stop-accounting packets buffering : Enabled
Retransmission times : 100
Response Timeout Interval(seconds) : 5
Username Format : with-domain
Data flow unit : Byte
Packet unit : one
------------------------------------------------------------------
# 显示HWTACACS方案hwtac的配置情况。
<Sysname> display hwtacacs scheme hwtac
HWTACACS Scheme Name : hwtac
Index : 0
Primary Auth Server:
Host name: Not configured
IP : 2.2.2.2 Port: 49
VPN Instance: Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent state changes:
2019/12/08 21:01:23 Changed to active state
2019/12/08 20:56:22 Changed to blocked state
Single-connection: Enabled
Primary Author Server:
Host name: Not configured
IP : 2.2.2.2 Port: 49
VPN Instance: Not configured
State: Active (duration: 1 weeks, 2 days, 1 hours, 32 minutes, 34 seconds)
Most recent state changes:
2019/12/08 21:01:23 Changed to active state
2019/12/08 20:56:22 Changed to blocked state
Single-connection: Disabled
Primary Acct Server:
IP : Not Configured Port: 49
VPN Instance: Not configured
State: Blocked
Most recent state changes:
2019/12/08 22:16:52 Changed to blocked state
2019/12/08 22:01:25 Changed to active state
2019/12/08 21:56:22 Changed to blocked state
Single-connection: Disabled
VPN Instance : Not configured
NAS IP Address : 2.2.2.3
Server Quiet Period(minutes) : 5
Realtime Accounting Interval(minutes) : 12
Stop-accounting packets buffering : Enabled
Retransmission times : 100
Response Timeout Interval(seconds) : 5
Username Format : with-domain
Data flow unit : Byte
Packet unit : one
表1-12 display hwtacacs scheme命令显示信息描述表
|
字段 |
描述 |
|
Total 1 HWTACACS schemes |
共计1个HWTACACS方案 |
|
HWTACACS Scheme Name |
HWTACACS方案的名称 |
|
Index |
HWTACACS方案的索引号 |
|
Primary Auth Server |
主HWTACACS认证服务器 |
|
Primary Author Server |
主HWTACACS授权服务器 |
|
Primary Acct Server |
主HWTACACS计费服务器 |
|
Secondary Auth Server |
从HWTACACS认证服务器 |
|
Secondary Author Server |
从HWTACACS授权服务器 |
|
Secondary Acct Server |
从HWTACACS计费服务器 |
|
Host name |
HWTACACS服务器的主机名 未配置时，显示为Not configured |
|
IP |
HWTACACS服务器的IP地址 未配置时，显示为Not configured |
|
Port |
HWTACACS服务器的端口号 未配置时，显示缺省值 |
|
State |
HWTACACS服务器目前状态 · Active：激活状态 · Block：静默状态 |
|
VPN Instance |
（暂不支持）HWTACACS服务器或HWTACACS方案所在的VPN 未配置时，显示为Not configured |
|
State |
HWTACACS服务器目前状态 · Active：激活状态 · Blocked：静默状态 若状态为Active，则同时显示该状态的持续时间 |
|
duration |
HWTACACS服务器当前Active状态的持续时间 |
|
Most recent blocked period |
HWTACACS服务器最后一次转换为Block状态的开始时间及结束时间。若最终状态为Block状态，则结束时间用“now”表示 |
|
Most recent state changes |
HWTACACS服务器最近5次的状态变化信息 |
|
Single-connection |
单连接状态 · Enabled：使用一条TCP连接与服务器通信 · Disabled：每次新建TCP连接与服务器通信 |
|
NAS IP Address |
配置的发送HWTACACS报文的源IP地址或源接口 未配置时，显示为Not configured |
|
Server Quiet Period(minutes) |
主HWTACACS服务器恢复激活状态的时间（分钟） |
|
Realtime Accounting Interval(minutes) |
实时HWTACACS计费更新报文的发送间隔（分钟） |
|
Stop-accounting packets buffering |
HWTACACS停止计费请求报文缓存功能的开启情况 |
|
Retransmission times |
发起HWTACACS停止计费请求的最大尝试次数 |
|
Response Timeout Interval(seconds) |
HWTACACS服务器超时时间（秒） |
|
Username Format |
用户名格式 · with-domain：携带域名 · without-domain：不携带域名 · keep-original：与用户输入保持一致 |
|
Data flow unit |
数据流的单位 |
|
Packet unit |
数据包的单位 |
# 查看HWTACACS方案tac的统计信息。
<Sysname> display hwtacacs scheme tac statistics
Primary authentication server : 111.8.0.244
Round trip time: 20 seconds
Request packets: 1
Login request packets: 1
Change-password request packets: 0
Request packets including plaintext passwords: 0
Request packets including ciphertext passwords: 0
Response packets: 2
Pass response packets: 1
Failure response packets: 0
Get-data response packets: 0
Get-username response packets: 0
Get-password response packets: 1
Restart response packets: 0
Error response packets: 0
Follow response packets: 0
Malformed response packets: 0
Continue packets: 1
Continue-abort packets: 0
Pending request packets: 0
Timeout packets: 0
Unknown type response packets: 0
Dropped response packets: 0
Primary authorization server :111.8.0.244
Round trip time: 1 seconds
Request packets: 1
Response packets: 1
PassAdd response packets: 1
PassReply response packets: 0
Failure response packets: 0
Error response packets: 0
Follow response packets: 0
Malformed response packets: 0
Pending request packets: 0
Timeout packets: 0
Unknown type response packets: 0
Dropped response packets: 0
Primary accounting server :111.8.0.244
Round trip time: 0 seconds
Request packets: 2
Accounting start request packets: 1
Accounting stop request packets: 1
Accounting update request packets: 0
Pending request packets: 0
Response packets: 2
Success response packets: 2
Error response packets: 0
Follow response packets: 0
Malformed response packets: 0
Timeout response packets: 0
Unknown type response packets: 0
Dropped response packets: 0
表1-13 display hwtacacs scheme statistics命令显示信息描述表
|
字段 |
描述 |
|
Primary authentication server |
主HWTACACS认证服务器 |
|
Primary authorization server |
主HWTACACS授权服务器 |
|
Primary accounting server |
主HWTACACS计费服务器 |
|
Secondary authentication server |
从HWTACACS认证服务器 |
|
Secondary authorization server |
从HWTACACS授权服务器 |
|
Secondary accounting server |
从HWTACACS计费服务器 |
|
Round trip time |
设备处理最近一组响应报文和请求报文的时间间隔（单位为秒） |
|
Request packets |
发送的请求报文个数 |
|
Login request packets |
发送的登录认证的请求报文个数 |
|
Change-password request packets |
发送的更改密码的请求报文个数 |
|
Request packets including plaintext passwords |
发送明文密码的请求报文个数 |
|
Request packets including ciphertext passwords |
发送密文密码的请求报文个数 |
|
Response packets |
接收到的响应报文个数 |
|
Pass response packets |
表示认证通过的响应报文个数 |
|
Failure response packets |
认证或授权失败的响应报文个数 |
|
Get-data response packets |
表示获取数据的响应报文个数 |
|
Get-username response packets |
表示获取用户名的响应报文个数 |
|
Get-password response packets |
表示获取密码的响应报文个数 |
|
Restart response packets |
要求重认证的响应报文个数 |
|
Error response packets |
错误类型的响应报文个数 |
|
Follow response packets |
Follow类型的响应报文的个数 |
|
Malformed response packets |
不合法的响应报文个数 |
|
Continue packets |
发送的Continue报文个数 |
|
Continue-abort packets |
发送的Continue-abort报文个数 |
|
Pending request packets |
等待响应的请求报文个数 |
|
Timeout response packets |
超时的请求报文个数 |
|
Unknown type response packets |
未知报文类型的响应报文个数 |
|
Dropped response packets |
被丢弃响应报文个数 |
|
PassAdd response packets |
接收到的PassAdd类型的响应报文个数。此报文表示同意授权所有请求的属性，并添加其他授权属性 |
|
PassReply response packets |
接收到的PassReply类型的响应报文个数。此报文表示采用响应报文中指定的授权属性替换请求的授权属性 |
|
Accounting start request packets |
发送的计费开始请求报文个数 |
|
Accounting stop request packets |
发送的计费结束请求报文个数 |
|
Accounting update request packets |
发送的计费更新请求报文个数 |
|
Success response packets |
接收到的计费成功的响应报文个数 |
【相关命令】
· reset hwtacacs statistics
display stop-accounting-buffer命令用来显示缓存的HWTACACS停止计费请求报文的相关信息。
【命令】
display stop-accounting-buffer hwtacacs-scheme hwtacacs-scheme-name
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
hwtacacs-scheme hwtacacs-scheme-name：表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
【举例】
# 显示HWTACACS方案hwt1缓存的HWTACACS停止计费请求报文。
<Sysname> display stop-accounting-buffer hwtacacs-scheme hwt1
Total entries: 2
Scheme IP address Username First sending time Attempts
hwt1 192.168.100.1 abc 23:27:16-08/31/2015 19
hwt1 192.168.90.6 bob 23:33:01-08/31/2015 20
表1-14 display stop-accounting-buffer命令显示信息描述表
|
字段 |
描述 |
|
Total entries: 2 |
共有两条记录匹配 |
|
Scheme |
HWTACACS方案名 |
|
IP address |
用户IP地址 |
|
Username |
用户名 |
|
First sending time |
首次发送停止计费请求的时间 |
|
Attempts |
发送停止计费请求报文的次数 |
【相关命令】
· retry stop-accounting (HWTACACS scheme view)
· reset stop-accounting-buffer (for HWTACACS)
· stop-accounting-buffer enable (HWTACACS scheme view)
· user-name-format (HWTACACS scheme view)
hwtacacs nas-ip命令用来设置设备发送HWTACACS报文使用的源IP地址。
undo hwtacacs nas-ip命令用来删除指定的发送HWTACACS报文使用的源IP地址。
【命令】
hwtacacs nas-ip { interface interface-type interface-number | ipv4-address }
undo hwtacacs nas-ip { interface | ipv4-address }
【缺省情况】
未指定发送HWTACACS报文使用的源IP地址，设备将使用到达HWTACACS服务器的路由出接口的主IPv4地址作为发送HWTACACS报文的源IP地址。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
interface interface-type interface-number：指定源接口，即发送HWTACACS报文的源IPv4地址为该接口的主IPv4地址。interface-type interface-number为接口类型和接口编号。
ipv4-address：指定的源IPv4地址，应该为本机的地址，不能为全0地址、全1地址、D类地址、E类地址和环回地址。
【使用指导】
HWTACACS服务器上通过IP地址来标识接入设备，并根据收到的HWTACACS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证或计费请求。因此，为保证HWTACACS报文可被服务器正常接收并处理，接入设备上发送HWTACACS报文使用的源地址必须与HWTACACS服务器上指定的接入设备的IP地址保持一致。
为避免物理接口故障时从服务器返回的报文不可达，推荐使用Loopback接口地址为发送HWTACACS报文使用的源IP地址。
HWTACACS方案视图和系统视图下均可以配置发送HWTACACS报文使用的源IP地址，具体生效情况如下：
· HWTACACS方案视图下配置的源IP地址（通过nas-ip命令）只对本方案有效。
· 系统视图下的配置的源IP地址（通过hwtacacs nas-ip命令）对所有HWTACACS方案有效。
· HWTACACS方案视图下的设置具有更高的优先级。
系统视图下最多允许指定一个IPv4源地址。
系统视图下，最多允许指定一个源接口，请确保指定的源接口与HWTACACS服务器路由可达。
源接口配置和源IP地址配置不能同时存在，后配置的生效。
【举例】
# 设置设备发送HWTACACS报文使用的源IP地址为129.10.10.1。
<Sysname> system-view
[Sysname] hwtacacs nas-ip 129.10.10.1
【相关命令】
· nas-ip (HWTACACS scheme view)
hwtacacs scheme命令用来创建HWTACACS方案，并进入HWTACACS方案视图。如果指定的HWTACACS方案已经存在，则直接进入HWTACACS方案视图。
undo hwtacacs scheme命令用来删除指定的HWTACACS方案。
【命令】
hwtacacs scheme hwtacacs-scheme-name
undo hwtacacs scheme hwtacacs-scheme-name
【缺省情况】
不存在HWTACACS方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme-name：HWTACACS方案名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
一个HWTACACS方案可以同时被多个ISP域引用。
最多可以配置16个HWTACACS方案。
【举例】
# 创建名称为hwt1的HWTACACS方案并进入相应的HWTACACS视图。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1]
【相关命令】
· display hwtacacs scheme
key命令用来配置HWTACACS认证、授权、计费报文的共享密钥。
undo key命令用来删除指定的HWTACACS报文的共享密钥。
【命令】
key { accounting | authentication | authorization } { cipher | simple } string
undo key { accounting | authentication | authorization }
【缺省情况】
未配置HWTACACS报文的共享密钥。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
accounting：指定HWTACACS计费报文的共享密钥。
authentication：指定HWTACACS认证报文的共享密钥。
authorization：指定HWTACACS授权报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
【使用指导】
必须保证设备上设置的共享密钥与HWTACACS服务器上的完全一致。
【举例】
# 在HWTACACS方案hwt1中，配置HWTACACS认证报文共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] key authentication simple 123456TESTauth&!
# 配置HWTACACS授权报文共享密钥为明文123456TESTautr&!。
[Sysname-hwtacacs-hwt1] key authorization simple 123456TESTautr&!
# 配置HWTACACS计费报文共享密钥为明文123456TESTacct&!。
[Sysname-hwtacacs-hwt1] key accounting simple 123456TESTacct&!
【相关命令】
· display hwtacacs scheme
nas-ip命令用来设置设备发送HWTACACS报文使用的源IP地址。
undo nas-ip命令用来删除指定类型的发送HWTACACS报文使用的源IP地址。
【命令】
nas-ip { ipv4-address | interface interface-type interface-number }
undo nas-ip [ interface ]
【缺省情况】
未指定设备发送HWTACACS报文使用的源IP地址，使用系统视图下由命令hwtacacs nas-ip指定的源IP地址。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
interface interface-type interface-number：指定源接口，即发送HWTACACS报文的源IPv4地址为该接口的主IPv4地址。interface-type interface-number为接口类型和接口编号。
ipv4-address：指定的源IPv4地址，应该为本机的地址，不能为全0地址、全1地址、D类地址、E类地址和环回地址。
【使用指导】
HWTACACS服务器上通过IP地址来标识接入设备，并根据收到的HWTACACS报文的源IP地址是否与服务器所管理的接入设备的IP地址匹配，来决定是否处理来自该接入设备的认证、授权、计费请求。因此，为保证HWTACACS报文可被服务器正常接收并处理，接入设备上发送HWTACACS报文使用的源地址必须与HWTACACS服务器上指定的接入设备的IP地址保持一致。
为避免物理接口故障时从服务器返回的报文不可达，推荐使用Loopback接口地址为发送HWTACACS报文使用的源IP地址。
HWTACACS方案视图和系统视图下均可以配置发送HWTACACS报文使用的源IP地址，具体生效情况如下：
· HWTACACS方案视图下配置的源IP地址（通过nas-ip命令）只对本方案有效。
· 系统视图下的配置的源IP地址（通过hwtacacs nas-ip命令）对所有HWTACACS方案有效。
· HWTACACS方案视图下的设置具有更高的优先级。
一个HWTACACS方案视图下：
· 最多允许指定一个IPv4源地址。
· 最多允许指定一个源接口，请确保指定的源接口与HWTACACS服务器路由可达。
· 源接口配置和源IP地址配置不能同时存在，后配置的生效。
如果undo nas-ip命令中不指定任何关键字，则表示删除发送HWTACACS报文使用的源IPv4地址。
【举例】
# 在HWTACACS方案hwt1中，设置设备发送HWTACACS报文使用的源IP地址为10.1.1.1。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] nas-ip 10.1.1.1
【相关命令】
· display hwtacacs scheme
· hwtacacs nas-ip
primary accounting命令用来配置主HWTACACS计费服务器。
undo primary accounting命令用来恢复缺省情况。
【命令】
primary accounting { host-name | ipv4-address } [ port-number | key { cipher | simple } string | single-connection ] *
undo primary accounting
【缺省情况】
未配置HWTACACS主计费服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：主HWTACACS计费服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：主HWTACACS计费服务器的IPv4地址。
port-number：主HWTACACS计费服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与主HWTACACS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与主HWTACACS计费服务器交互的计费报文使用同一个TCP连接。如果未指定本参数，则表示每次计费都会使用一个新的TCP连接。
【使用指导】
配置的主计费服务器的TCP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主计费服务器和从计费服务器的主机名、IP地址、端口号不能完全相同。
只有在设备与计费服务器没有报文交互时，才允许删除该服务器。计费服务器删除后，只对之后的计费过程有影响。
配置single-connection参数后可节省TCP连接资源，但有些HWTACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
【举例】
# 在HWTACACS方案hwt1中，配置主HWTACACS计费服务器的IP地址为10.163.155.12，使用TCP端口49与HWTACACS计费服务器通信，计费报文的共享密钥为明文123456TESTacct&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hw1
[Sysname-hwtacacs-hw1] primary accounting 10.163.155.12 49 key simple 123456TESTacct&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· secondary accounting
primary authentication命令用来配置主HWTACACS认证服务器。
undo primary authentication命令用来恢复缺省情况。
【命令】
primary authentication { host-name | ipv4-address } [ port-number | key { cipher | simple } string | single-connection ] *
undo primary authentication
【缺省情况】
未配置主HWTACACS认证服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：主HWTACACS认证服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：主HWTACACS认证服务器的IPv4地址。
port-number：主HWTACACS认证服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与主HWTACACS认证服务器交互的认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与主HWTACACS认证服务器交互的计费报文使用同一个TCP连接。如果未指定本参数，则表示向主HWTACACS计费服务器发送计费报文都会使用一个新的TCP连接。
【使用指导】
配置的主认证服务器的TCP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主认证服务器和从认证服务器的主机名、IP地址、端口号不能完全相同。
只有在设备与认证服务器没有报文交互时，才允许删除该服务器。认证服务器删除后，只对之后的认证过程有影响。
配置single-connection参数后可节省TCP连接资源，但有些HWTACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
【举例】
# 在HWTACACS方案hwt1中，配置主HWTACACS认证服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS认证服务器通信，认证报文的共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] primary authentication 10.163.155.13 49 key simple 123456TESTauth&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· secondary authentication
primary authorization命令用来配置主HWTACACS授权服务器。
undo primary authorization命令用来恢复缺省情况。
【命令】
primary authorization { host-name | ipv4-address } [ port-number | key { cipher | simple } string | single-connection ] *
undo primary authorization
【缺省情况】
未配置主HWTACACS授权服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：主HWTACACS授权服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：主HWTACACS授权服务器的IPv4地址。
port-number：主HWTACACS授权服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与主HWTACACS授权服务器交互的授权报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与主HWTACACS授权服务器交互的授权报文使用同一个TCP连接。如果未指定本参数，则表示每次授权都会使用一个新的TCP连接。
【使用指导】
配置的主授权服务器的TCP端口号以及授权报文的共享密钥必须与服务器的配置保持一致。
在同一个方案中指定的主授权服务器和从授权服务器的主机名、IP地址、端口号不能完全相同。
只有在设备与授权服务器没有报文交互时，才允许删除该服务器。授权服务器删除后，只对之后的授权过程有影响。
配置single-connection参数后可节省TCP连接资源，但有些HWTACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
【举例】
# 在HWTACACS方案hwt1中，配置主HWTACACS授权服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS授权服务器通信，授权报文的共享密钥为明文123456TESTautr&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] primary authorization 10.163.155.13 49 key simple 123456TESTautr&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· secondary authorization
reset hwtacacs statistics命令用来清除HWTACACS协议的统计信息。
【命令】
reset hwtacacs statistics { accounting | all | authentication | authorization }
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
accounting：清除HWTACACS协议关于计费的统计信息。
all：清除HWTACACS的所有统计信息。
authentication：清除HWTACACS协议关于认证的统计信息。
authorization：清除HWTACACS协议关于授权的统计信息。
【举例】
# 清除HWTACACS协议的所有统计信息。
<Sysname> reset hwtacacs statistics all
【相关命令】
· display hwtacacs scheme
reset stop-accounting-buffer命令用来清除缓存的HWTACACS停止计费请求报文。
【命令】
reset stop-accounting-buffer hwtacacs-scheme hwtacacs-scheme-name
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme hwtacacs-scheme-name：表示指定HWTACACS方案的停止计费请求报文。其中，hwtacacs-scheme-name为HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
【举例】
# 清除缓存的HWTACACS方案hwt1的HWTACACS停止计费请求报文。
<Sysname> reset stop-accounting-buffer hwtacacs-scheme hwt1
【相关命令】
· display stop-accounting-buffer (for HWTACACS)
· stop-accounting-buffer enable (HWTACACS scheme view)
retry stop-accounting命令用来设置发起HWTACACS停止计费请求的最大尝试次数。
undo retry stop-accounting命令用来恢复缺省情况。
【命令】
retry stop-accounting retries
undo retry stop-accounting
【缺省情况】
发起HWTACACS停止计费请求的最大尝试次数为100。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
retries：允许停止计费请求无响应的最大次数，取值范围为1～300。
【使用指导】
设备发送HWTACACS停止计费请求报文无响应后，将会缓存该报文并尝试重复发送该报文，当发送的停止计费请求总数达到指定的最大尝试次数之后仍未得到响应时，将其丢弃。
【举例】
# 在HWTACACS方案hwt1中，设置发起HWTACACS停止计费请求的最大尝试次数为300。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] retry stop-accounting 300
【相关命令】
· display stop-accounting-buffer (for HWTACACS)
· timer response-timeout (HWTACACS scheme view)
secondary accounting命令用来配置从HWTACACS计费服务器。
undo secondary accounting命令用来删除指定的从HWTACACS计费服务器。
【命令】
secondary accounting { host-name | ipv4-address } [ port-number | key { cipher | simple } string | single-connection ] *
undo secondary accounting [ { host-name | ipv4-address } [ port-number ] ]
【缺省情况】
未配置从HWTACACS计费服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：从HWTACACS计费服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：从HWTACACS计费服务器的IPv4地址。
port-number：从HWTACACS计费服务器的端口号，取值范围为1～65535，缺省值为49。
key：与从HWTACACS计费服务器交互的计费报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与从HWTACACS计费服务器交互的计费报文使用同一个TCP连接。如果未指定本参数，则表示每次计费都会使用一个新的TCP连接。
【使用指导】
配置的从计费服务器的TCP端口号以及计费报文的共享密钥必须与服务器的配置保持一致。
每个HWTACACS方案中最多支持配置16个从HWTACACS计费服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
如果不指定任何参数，则undo命令将删除所有从计费服务器。
在同一个方案中指定的主计费服务器和从计费服务器的主机名、IP地址、端口号不能完全相同，并且各从计费服务器的主机名、IP地址、端口号也不能完全相同。
配置single-connection参数后可节省TCP连接资源，但有些TACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
只有在设备与计费服务器没有报文交互时，才允许删除该服务器。计费服务器删除后，只对之后的计费过程有影响。
【举例】
# 在HWTACACS方案hwt1中，配置从HWTACACS计费服务器的IP地址为10.163.155.12，使用TCP端口49与HWTACACS计费服务器通信，计费报文的共享密钥为明文123456TESTacct&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] secondary accounting 10.163.155.12 49 key simple 123456TESTacct&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· primary accounting (HWTACACS scheme view)
secondary authentication命令用来配置从HWTACACS认证服务器。
undo secondary authentication命令用来删除指定的从HWTACACS认证服务器。
【命令】
secondary authentication { host-name | ipv4-address } [ port-number | key { cipher | simple } string | single-connection ] *
undo secondary authentication [ { host-name | ipv4-address } [ port-number ] ]
【缺省情况】
未配置从HWTACACS认证服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：从HWTACACS认证服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：从HWTACACS认证服务器的IPv4地址。
port-number：从HWTACACS认证服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与从HWTACACS认证服务器交互的认证报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与从HWTACACS认证服务器交互的认证报文使用同一个TCP连接。如果未指定本参数，则表示每次认证都会使用一个新的TCP连接。
【使用指导】
配置的从认证服务器的TCP端口号以及认证报文的共享密钥必须与服务器的配置保持一致。
每个HWTACACS方案中最多支持配置16个从HWTACACS认证服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
如果不指定任何参数，则undo命令将删除所有从认证服务器。
在同一个方案中指定的主认证服务器和从认证服务器的主机名、IP地址、端口号不能完全相同，并且各从认证服务器的主机名、IP地址、端口号也不能完全相同。
配置single-connection参数后可节省TCP连接资源，但有些TACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
只有在设备与认证服务器没有报文交互时，才允许删除该服务器。认证服务器删除后，只对之后的认证过程有影响。
【举例】
# 在HWTACACS方案hwt1中，配置从HWTACACS认证服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS认证服务器通信，认证报文的共享密钥为明文123456TESTauth&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] secondary authentication 10.163.155.13 49 key simple 123456TESTauth&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· primary authentication (HWTACACS scheme view)
secondary authorization命令用来配置从HWTACACS授权服务器。
undo secondary authorization命令用来删除指定的从HWTACACS授权服务器。
【命令】
secondary authorization { host-name | ipv4-address } [ port-number | key { cipher | simple } string | single-connection ] *
undo secondary authorization [ { host-name | ipv4-address } [ port-number ] ]
【缺省情况】
未配置从HWTACACS授权服务器。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
host-name：从HWTACACS授权服务器的主机名，为1～253个字符的字符串，不区分大小写。
ipv4-address：从HWTACACS授权服务器的IPv4地址。
port-number：从HWTACACS授权服务器的TCP端口号，取值范围为1～65535，缺省值为49。
key：与从HWTACACS授权服务器交互的授权报文的共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。
single-connection：所有与从HWTACACS授权服务器交互的授权报文使用同一个TCP连接。如果未指定本参数，则表示每次授权都会使用一个新的TCP连接。
【使用指导】
配置的从授权服务器的TCP端口号以及授权报文的共享密钥必须与服务器的配置保持一致。
每个HWTACACS方案中最多支持配置16个从HWTACACS授权服务器。当主服务器不可达时，设备根据从服务器的配置顺序由先到后查找状态为active的从服务器并与之交互。
如果不指定任何参数，则undo命令将删除所有从授权服务器。
在同一个方案中指定的主授权服务器和从授权服务器的主机名、IP地址、端口号不能完全相同，并且各从授权服务器的主机名、IP地址、端口号也不能完全相同。
配置single-connection参数后可节省TCP连接资源，但有些TACACS服务器不支持这种方式，需要根据服务器支持情况进行配置。在服务器支持这种方式的情况下，建议配置single-connection参数，以提高性能和效率。
只有在设备与授权服务器没有报文交互时，才允许删除该服务器。授权服务器删除后，只对之后的授权过程有影响。
【举例】
# 在HWTACACS方案hwt1中，配置从HWTACACS授权服务器的IP地址为10.163.155.13，使用TCP端口49与HWTACACS授权服务器通信，授权报文的共享密钥为明文123456TESTautr&!。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] secondary authorization 10.163.155.13 49 key simple 123456TESTautr&!
【相关命令】
· display hwtacacs scheme
· key (HWTACACS scheme view)
· primary authorization (HWTACACS scheme view)
stop-accounting-buffer enable命令用来开启对无响应的HWTACACS停止计费请求报文的缓存功能。
undo stop-accounting-buffer enable命令用来关闭对无响应的HWTACACS停止计费请求报文的缓存功能。
【命令】
stop-accounting-buffer enable
undo stop-accounting-buffer enable
【缺省情况】
设备缓存未得到响应的HWTACACS计费请求报文。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【使用指导】
开启对无响应的HWTACACS停止计费请求报文的缓存功能后，设备在发送停止计费请求报文而HWTACACS服务器没有响应时，会将其缓存在本机上，然后发送直到HWTACACS计费服务器产生响应，或者在发送的次数达到指定的次数限制（由retry stop-accounting命令设置）后将其丢弃。
如果HWTACACS方案中的某计费服务器被删除，则设备将会丢弃相应的已缓存停止计费报文。
【举例】
# 开启对无响应的HWTACACS停止计费请求报文的缓存功能。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] stop-accounting-buffer enable
【相关命令】
· display stop-accounting-buffer (for HWTACACS)
· reset stop-accounting-buffer (for HWTACACS)
timer quiet命令用来设置服务器恢复激活状态的时间。
undo timer quiet命令用来恢复缺省情况。
【命令】
timer quiet minutes
undo timer quiet
【缺省情况】
服务器恢复激活状态的时间为5分钟。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
minutes：恢复激活状态的时间，取值范围为1～255，单位为分钟。
【举例】
# 设置服务器恢复激活状态的时间为10分钟。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] timer quiet 10
【相关命令】
· display hwtacacs scheme
timer realtime-accounting命令用来设置实时计费的时间间隔。
undo timer realtime-accounting命令用来恢复缺省情况。
【命令】
timer realtime-accounting minutes
undo timer realtime-accounting
【缺省情况】
实时计费的时间间隔为12分钟。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
minutes：实时计费的时间间隔，取值范围为0～60，单位为分钟。0表示设备不向HWTACACS服务器发送在线用户的计费信息。
【使用指导】
为了对用户实施实时计费，有必要设置实时计费的时间间隔。在设置了该属性以后，每隔设定的时间，设备会向HWTACACS服务器发送一次在线用户的计费信息。
实时计费间隔的取值小，计费准确性高，但对设备和HWTACACS服务器的性能要求就高。
|
用户数 |
实时计费间隔（分钟） |
|
1～99 |
3 |
|
100～499 |
6 |
|
500～999 |
12 |
|
大于等于1000 |
大于等于15 |
不同情况下修改的实时计费间隔，对于已在线用户的生效情况有所不同：
· 将实时计费间隔从非0有效值改为0，或者从0修改为非0有效值后，已在线用户会依然采用原有取值，修改后的取值对其不生效。
· 将实时计费间隔从某非0有效值修改为其它非0有效值后，已在线用户将会采用修改后的取值。
【举例】
# 在HWTACACS方案hwt1中，设置实时计费的时间间隔为51分钟。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] timer realtime-accounting 51
【相关命令】
· display hwtacacs scheme
timer response-timeout命令用来设置HWTACACS服务器响应超时时间。
undo timer response-timeout命令用来恢复缺省情况。
【命令】
timer response-timeout seconds
undo timer response-timeout
【缺省情况】
HWTACACS服务器响应超时时间为5秒。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
seconds：HWTACACS服务器响应超时时间，取值范围为1～300，单位为秒。
【使用指导】
由于HWTACACS是基于TCP实现的，因此，服务器响应超时或TCP超时都可能导致与HWTACACS服务器的连接断开。
HWTACACS服务器响应超时时间与配置的HWTACACS服务器总数的乘积不能超过接入模块定义的用户认证超时时间，否则在HWTACACS认证过程完成之前用户就有可能被强制下线。
【举例】
# 在HWTACACS方案hwt1中，设置HWTACACS服务器响应超时时间为30秒。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] timer response-timeout 30
【相关命令】
· display hwtacacs scheme
user-name-format命令用来设置发送给HWTACACS服务器的用户名格式。
undo user-name-format命令用来恢复缺省情况。
【命令】
user-name-format { keep-original | with-domain | without-domain }
undo user-name-format
【缺省情况】
发送给HWTACACS服务器的用户名携带ISP域名。
【视图】
HWTACACS方案视图
【缺省用户角色】
network-admin
【参数】
keep-original：发送给HWTACACS服务器的用户名与用户输入的保持一致。
with-domain：发送给HWTACACS服务器的用户名携带ISP域名。
without-domain：发送给HWTACACS服务器的用户名不携带ISP域名。
【使用指导】
接入用户通常以“userid@isp-name”的格式命名，“@”后面的部分为ISP域名，设备就是通过该域名来决定将用户归于哪个ISP域的。但是，有些HWTACACS服务器不能接受携带有ISP域名的用户名，在这种情况下，有必要将用户名中携带的域名去除后再传送给HWTACACS服务器。因此，设备提供此命令以指定发送给HWTACACS服务器的用户名是否携带有ISP域名。
如果指定某个HWTACACS方案不允许用户名中携带有ISP域名，那么请不要在两个乃至两个以上的ISP域中同时设置使用该HWTACACS方案。否则，会出现虽然实际用户不同（在不同的ISP域中），但HWTACACS服务器认为用户相同（因为传送到它的用户名相同）的错误。
【举例】
# 在HWTACACS方案hwt1中，设置发送给HWTACACS服务器的用户名不携带ISP域名。
<Sysname> system-view
[Sysname] hwtacacs scheme hwt1
[Sysname-hwtacacs-hwt1] user-name-format without-domain
【相关命令】
· display hwtacacs scheme
attribute-map命令用来在LDAP方案中引用LDAP属性映射表。
undo attribute-map命令用来恢复缺省情况。
【命令】
attribute-map map-name
undo attribute-map
【缺省情况】
未引用任何LDAP属性映射表。
【视图】
LDAP方案视图
【缺省用户角色】
network-admin
【参数】
map-name：LDAP属性映射表的名称，为1～31个字符的字符串，不区分大小写。
【使用指导】
在使用LDAP授权方案的情况下，可以通过在LDAP方案中引用LDAP属性映射表，将LDAP授权服务器下发给用户的LDAP属性映射为AAA模块可以解析的某类属性。
一个LDAP方案视图中只能引用一个LDAP属性映射表，后配置的生效。
如果在LDAP授权过程中修改了引用的LDAP属性映射表，或者修改了引用的LDAP属性映射表的内容，则该修改对当前的授权过程不会生效，只对修改后新的LDAP授权过程生效。
【举例】
# 在LDAP方案ldap1中，引用名称为map1的LDAP属性映射表。
<Sysname> system-view
[Sysname] ldap scheme test
[Sysname-ldap-test] attribute-map map1
【相关命令】
· display ldap scheme
· ldap attribute-map
authentication-server命令用来指定LDAP认证服务器。
undo authentication-server命令用来恢复缺省情况。
【命令】
authentication-server server-name
undo authentication-server
【缺省情况】
未指定LDAP认证服务器。
【视图】
LDAP方案视图
【缺省用户角色】
network-admin
【参数】
server-name：LDAP服务器的名称，为1～64个字符的字符串，不区分大小写。
【使用指导】
一个LDAP方案视图下仅能指定一个LDAP认证服务器，多次执行本命令，最后一次执行的命令生效。
【举例】
# 在LDAP方案ldap1中，指定LDAP认证服务器为ccc。
<Sysname> system-view
[Sysname] ldap scheme ldap1
[Sysname-ldap-ldap1] authentication-server ccc
【相关命令】
· display ldap scheme
· ldap server
authorization-server命令用来指定LDAP授权服务器。
undo authorization-server命令用来恢复缺省情况。
【命令】
authorization-server server-name
undo authorization-server
【缺省情况】
未指定LDAP授权服务器。
【视图】
LDAP方案视图
【缺省用户角色】
network-admin
【参数】
server-name：LDAP服务器的名称，为1～64个字符的字符串，不区分大小写。
【使用指导】
一个LDAP方案视图下仅能指定一个LDAP授权服务器，多次执行本命令，最后一次执行的命令生效。
【举例】
# 在LDAP方案ldap1中，指定LDAP授权服务器为ccc。
<Sysname> system-view
[Sysname] ldap scheme ldap1
[Sysname-ldap-ldap1] authorization-server ccc
【相关命令】
· display ldap scheme
· ldap server
display ldap scheme命令用来查看LDAP方案的配置信息。
【命令】
display ldap scheme [ ldap-scheme-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
ldap-scheme-name：LDAP方案的名称，为1～32个字符的字符串，不区分大小写。如果不指定该参数，则显示所有LDAP方案的配置信息。
【举例】
# 查看所有LDAP方案的配置信息。
<Sysname> display ldap scheme
Total 1 LDAP schemes
------------------------------------------------------------------
LDAP scheme name : aaa
Authentication server : aaa
IP : 1.1.1.1
Port : 111
VPN instance : Not configured
LDAP protocol version : LDAPv3
Server timeout interval : 10 seconds
Login account DN : Not configured
Base DN : Not configured
Search scope : all-level
User searching parameters:
User object class : Not configured
Username attribute : cn
Username format : with-domain
Authorization server : aaa
IP : 1.1.1.1
Port : 111
VPN instance : Not configured
LDAP protocol version : LDAPv3
Server timeout interval : 10 seconds
Login account DN : Not configured
Base DN : Not configured
Search scope : all-level
User searching parameters:
User object class : Not configured
Username attribute : cn
Username format : with-domain
Attribute map : map1
------------------------------------------------------------------
表1-16 display ldap scheme命令显示信息描述表
|
字段 |
描述 |
|
Total 1 LDAP schemes |
总共有1个LDAP方案 |
|
LDAP Scheme Name |
LDAP方案名称 |
|
Authentication Server |
LDAP认证服务器名称 未配置时，显示为Not configured |
|
Authorization server |
LDAP授权服务器名称 未配置时，显示为Not configured |
|
IP |
LDAP认证服务器的IP地址 未配置认证服务器IP时，IP地址显示为Not configured |
|
Port |
LDAP认证服务器的端口号 未配置认证服务器IP时，端口号显示为缺省值 |
|
VPN Instance |
（暂不支持）VPN实例名称 未配置时，显示为Not configured |
|
LDAP Protocol Version |
LDAP协议的版本号（LDAPv2、LDAPv3） |
|
Server Timeout Interval |
LDAP服务器连接超时时间（单位为秒） |
|
Login Account DN |
管理员用户的DN |
|
Base DN |
用户DN查询的起始DN |
|
Search Scope |
用户DN查询的范围（all-level：所有子目录查询，single-level：下级目录查询） |
|
User Searching Parameters |
用户查询参数 |
|
User Object Class |
查询用户DN时使用的用户对象类型 未配置时，显示为Not configured |
|
Username Attribute |
用户登录账号的属性类型 |
|
Username Format |
发送给服务器的用户名格式 |
|
Attribute map |
引用的LDAP属性映射表名称 未配置时，显示为Not configured |
ip命令用来配置LDAP服务器的IP地址。
undo ip命令用来恢复缺省情况。
【命令】
ip ip-address [ port port-number ]
undo ip
【缺省情况】
未配置LDAP服务器的IP地址。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
ip-address：LDAP服务器的IP地址。
port port-number：LDAP服务器所使用的TCP端口号，取值范围为1～65535，缺省值为389。
【使用指导】
需保证设备上的LDAP服务端口与LDAP服务器上使用的端口设置一致。
更改后的服务器IP地址和端口号，只对更改之后进行的LDAP认证生效。
【举例】
# 配置LDAP服务器ccc的IP地址为192.168.0.10、端口号为4300。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] ip 192.168.0.10 port 4300
【相关命令】
· ldap server
ldap attribute-map命令用来创建LDAP属性映射表，并进入LDAP属性映射表视图。如果指定的LDAP属性映射表已经存在，则直接进入LDAP属性映射表视图。
undo ldap attribute-map命令用来删除指定的LDAP属性映射表。
【命令】
ldap attribute-map map-name
undo ldap attribute-map map-name
【缺省情况】
不存在LDAP属性映射表。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
map-name：LDAP属性映射表的名称，为1～31个字符的字符串，不区分大小写。
【使用指导】
一个LDAP的属性映射表中可以添加多个LDAP属性映射表项，每个表项表示一个LDAP 属性和一个AAA属性的映射关系。
可以通过多次执行本命令配置多个LDAP的属性映射表。
【举例】
# 创建名称为map1的LDAP属性映射表，并进入该属性映射表视图。
<Sysname> system-view
[Sysname] ldap attribute-map map1
[Sysname-ldap-map-map1]
【相关命令】
· attribute-map
· ldap scheme
· map
ldap scheme命令用来创建LDAP方案，并进入LDAP方案视图。如果指定的LDAP方案已经存在，则直接进入LDAP方案视图。
undo ldap scheme命令用来删除指定的LDAP方案。
【命令】
ldap scheme ldap-scheme-name
undo ldap scheme ldap-scheme-name
【缺省情况】
不存在LDAP方案。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ldap-scheme-name：LDAP方案的名称，为1～32个字符的字符串，不区分大小写。
【使用指导】
一个LDAP方案可以同时被多个ISP域引用。
系统最多支持配置16个LDAP方案。
【举例】
# 创建名称为ldap1的LDAP方案并进入其视图。
<Sysname> system-view
[Sysname] ldap scheme ldap1
[Sysname-ldap-ldap1]
【相关命令】
· display ldap scheme
ldap server用来创建LDAP服务器，并进入LDAP服务器视图。如果指定的LDAP服务器已经存在，则直接进入LDAP服务器视图。
undo ldap server命令用来删除指定的LDAP服务器。
【命令】
ldap server server-name
undo ldap server server-name
【缺省情况】
不存在LDAP服务器。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
server-name：LDAP服务器的名称，为1～64个字符的字符串，不区分大小写。
【举例】
# 创建LDAP服务器ccc并进入其视图。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc]
【相关命令】
· display ldap scheme
login-dn命令用来配置具有管理员权限的用户DN。
undo login-dn命令用来恢复缺省情况。
【命令】
login-dn dn-string
undo login-dn
【缺省情况】
未配置具有管理员权限的用户DN。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
dn-string：具有管理员权限的用户DN，是绑定服务器时使用的用户标识名，为1～255个字符的字符串，不区分大小写。
【使用指导】
设备上的管理员DN必须与服务器上管理员的DN一致。
更改后的管理员DN，只对更改之后的LDAP认证生效。
【举例】
# 在LDAP服务器视图ccc下，配置管理员权限的用户DN为uid=test, ou=people, o=example, c=city。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] login-dn uid=test,ou=people,o=example,c=city
【相关命令】
· display ldap scheme
login-password命令用来配置LDAP认证中，绑定服务器时所使用的具有管理员权限的用户密码。
undo login-password命令用来恢复缺省情况。
【命令】
login-password { cipher | simple } string
undo login-password
【缺省情况】
未配置具有管理权限的用户密码。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
cipher：表示以密文方式设置密码。
simple：表示以明文方式设置密码，该密码将以密文形式存储。
string：密码字符串，区分大小写。明文密码为1～128个字符的字符串，密文密码为1～201个字符的字符串。
【使用指导】
该命令只有在配置了login-dn的情况下生效。当未配置login-dn时，该命令不生效。
【举例】
# 在LDAP服务器视图ccc下，配置具有管理员权限的用户密码为明文abcdefg。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] login-password simple abcdefg
【相关命令】
· display ldap scheme
· login-dn
map命令用来配置LDAP属性映射表项。
undo map命令用来删除指定的LDAP属性映射表项。
【命令】
map ldap-attribute ldap-attribute-name [ prefix prefix-value delimiter delimiter-value ] aaa-attribute { user-group | user-profile }
undo map [ ldap-attribute ldap-attribute-name ]
【缺省情况】
未指定LDAP属性映射关系。
【视图】
LDAP属性映射表视图
【缺省用户角色】
network-admin
【参数】
ldap-attribute ldap-attribute-name：表示要映射的LDAP属性。其中，ldap-attribute-name表示LDAP属性名称，为1～63个字符的字符串，不区分大小写。
prefix prefix-value delimiter delimiter-value：表示按照一定的格式提取LDAP属性字符串中的内容映射为AAA属性。其中，prefix-value表示LDAP属性字符串中的某内容前缀（例如cn=），为1～7个字符的字符串，不区分大小写；delimiter-value表示LDAP属性字符串中的内容分隔符（例如逗号）。若不指定该可选参数，则表示要将一个完整的LDAP属性字符串映射为指定的AAA属性。
aaa-attribute：表示要映射为的AAA属性。
user-group：表示User group类型的AAA属性。
user-profile：表示User Profile类型的AAA属性。
【使用指导】
如果某LDAP服务器下发给用户的属性不能被AAA模块解析，则该属性将被忽略。因此，需要通过本命令指定要获取哪些LDAP属性，以及LDAP服务器下发的这些属性将被AAA模块解析为什么类型的AAA属性，具体映射为哪种类型的AAA属性由实际应用需求决定。
一个LDAP服务器属性只能映射为一个AAA属性，但不同的LDAP服务器属性可映射为同一个AAA属性。
如果undo map命令中不指定ldap-attribute参数，则表示删除所有的LDAP属性映射表项。
【举例】
# 在LDAP属性映射表视图map1下，配置将LDAP服务器属性memberof按照前缀为cn=、分隔符为逗号（,）的格式提取出的内容映射成AAA属性User group。
<Sysname> system-view
[Sysname] ldap attribute-map map1
[Sysname-ldap-map-map1] map ldap-attribute memberof prefix cn= delimiter , aaa-attribute user-group
【相关命令】
· ldap attribute-map
· user-group
· user-profile（安全命令参考/User Profile）
protocol-version命令用来配置LDAP认证中所支持的LDAP协议的版本号。
undo protocol-version命令用来恢复缺省情况。
【命令】
protocol-version { v2 | v3 }
undo protocol-version
【缺省情况】
LDAP版本号为LDAPv3。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
v2：表示LDAP协议版本号为LDAPv2。
v3：表示LDAP协议版本号为LDAPv3。
【使用指导】
为保证LDAP认证成功，请保证设备上的LDAP版本号与LDAP服务器上使用的版本号一致。
更改后的服务器版本号，只对更改之后的LDAP认证生效。
Microsoft的LDAP服务器只支持LDAPv3，配置LDAP版本为v2时无效。
【举例】
# 在LDAP服务器视图ccc下，配置LDAP协议版本号为LDAPv2。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] protocol-version v2
【相关命令】
· display ldap scheme
search-base-dn命令用来配置用户查询的起始DN。
undo search-base-dn命令用来恢复缺省情况。
【命令】
search-base-dn base-dn
undo search-base-dn
【缺省情况】
未指定用户查询的起始DN。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
base-dn：查询待认证用户的起始DN值，为1～255个字符的字符串，不区分大小写。
【举例】
# 在LDAP服务器视图ccc下，配置用户查询的起始DN为dc=ldap,dc=com。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] search-base-dn dc=ldap,dc=com
【相关命令】
· display ldap scheme
· ldap server
search-scope命令用来配置用户查询的范围。
undo search-scope命令用来恢复缺省情况。
【命令】
search-scope { all-level | single-level }
undo search-scope
【缺省情况】
用户查询的范围为all-level。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
all-level：表示在起始DN的所有子目录下进行查询。
single-level：表示只在起始DN的下一级子目录下进行查询。
【举例】
# 在LDAP服务器视图ccc下，配置在起始DN的所有子目录下查询LDAP认证用户。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] search-scope all-level
【相关命令】
· display ldap scheme
· ldap server
server-timeout命令用来配置LDAP服务器连接超时时间，即认证、授权时等待LDAP服务器回应的最大时间。
undo server-timeout命令用来恢复缺省情况。
【命令】
server-timeout time-interval
undo server-timeout
【缺省情况】
LDAP服务器连接超时时间为10秒。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
time-interval：LDAP服务器连接超时时间，取值范围为5～20，单位为秒。
【使用指导】
更改后的连接超时时间，只对更改之后的LDAP认证生效。
【举例】
# 在LDAP服务器视图ccc下，配置LDAP服务器连接超时时间为15秒。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] server-timeout 15
【相关命令】
· display ldap scheme
user-parameters命令用来配置LDAP用户查询的属性参数，包括用户名属性、用户名格式和自定义用户对象类型。
undo user-parameters命令用来将指定的LDAP用户查询的属性参数恢复为缺省值。
【命令】
user-parameters { user-name-attribute { name-attribute | cn | uid } | user-name-format { with-domain | without-domain } | user-object-class object-class-name }
undo user-parameters { user-name-attribute | user-name-format | user-object-class }
【缺省情况】
user-name-attribute为cn；user-name-format为without-domain；未指定自定义user-object-class，根据使用的LDAP服务器的类型使用各服务器缺省的用户对象类型。
【视图】
LDAP服务器视图
【缺省用户角色】
network-admin
【参数】
user-name-attribute { name-attribute | cn | uid }：表示用户名的属性类型。其中，name-attribute表示属性类型值，为1～64个字符的字符串，不区分大小写；cn表示用户登录账号的属性为cn（Common Name）；uid表示用户登录账号的属性为uid（User ID）。
user-name-format { with-domain | without-domain }：表示发送给服务器的用户名格式。其中，with-domain表示发送给服务器的用户名带ISP域名；without-domain表示发送给服务器的用户名不带ISP域名。
user-object-class object-class-name：表示查询用户DN时使用的用户对象类型。其中，object-class-name表示对象类型值，为1～64个字符的字符串，不区分大小写。
【使用指导】
如果LDAP服务器上的用户名不包含域名，必须配置user-name-format为without-domain，将用户名的域名去除后再传送给LDAP服务器；如果包含域名则需配置user-name-format为with-domain。
【举例】
# 在LDAP服务器视图ccc下，配置用户对象类型为person。
<Sysname> system-view
[Sysname] ldap server ccc
[Sysname-ldap-server-ccc] user-parameters user-object-class person
【相关命令】
· display ldap scheme
· login-dn
aaa connection-recording policy命令用来创建连接记录策略，并进入连接记录策略视图。如果连接记录策略已经存在，则直接进入连接记录策略视图。
undo aaa connection-recording policy命令用来删除连接记录策略。
【命令】
aaa connection-recording policy
undo aaa connection-recording policy
【缺省情况】
不存在连接记录策略。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
创建连接记录策略后，当设备作为Telnet客户端或者FTP/SSH/SFTP客户端与服务器端成功建立连接时，系统会按照策略中指定的计费方案向AAA服务器发送计费开始报文，断开连接时发送计费结束报文。
【举例】
# 创建连接记录策略，并进入其视图。
<Sysname> system-view
[Sysname] aaa connection-recording policy
[sysname-connection-recording-policy]
【相关命令】
· accounting hwtacacs-scheme
· display aaa connection-recording policy
accounting hwtacacs-scheme命令用来指定连接记录策略采用的HWTACACS计费方案。
undo accounting命令用来恢复缺省情况。
【命令】
accounting hwtacacs-scheme hwtacacs-scheme-name
undo accounting
【缺省情况】
未指定连接记录策略采用的HWTACACS计费方案。
【视图】
连接记录策略视图
【缺省用户角色】
network-admin
【参数】
hwtacacs-scheme-name：表示HWTACACS方案名，为1～32个字符的字符串，不区分大小写。
【使用指导】
修改后的HWTACACS计费方案，仅对设备与远程服务器新建的Telnet/FTP/SSH/SFTP连接生效。
对于同一个连接，若系统已经将计费开始报文成功发送给HWTACACS方案中指定的HWTACACS服务器，则后续的计费停止报文也会发送给该服务器。
多次执行本命令，最后一次执行的命令生效。
连接记录业务处理过程中，系统发送给AAA服务器的计费报文中封装的是用户输入的原始用户名，因此计费方案中通过user-name-format命令设置的用户名格式并不生效。
【举例】
# 创建连接记录策略，并在其视图下指定连接记录策略采用的HWTACACS计费方案为tac。
<Sysname> system-view
[Sysname] aaa connection-recording policy
[sysname-connection-recording-policy] accounting hwtacacs-scheme tac
【相关命令】
· aaa connection-recording policy
· display aaa connection-recording policy
display aaa connection-recording policy用来显示记录连接策略的配置信息。
【命令】
display aaa connection-recording policy
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示记录连接策略的配置信息。
<Sysname> display aaa connection-recording policy
Connection-recording policy:
Accounting scheme: HWTACACS=tac1
【相关命令】
· aaa connection-recording policy
· accounting hwtacacs-scheme
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
