配置采用HWTACACS方式进行认证、授权和计费
与RADIUS相比，HWTACACS具有更加可靠的传输和加密特性，更加适合于安全控制。
配置AAA方案
背景信息
如果需要采用HWTACACS方式进行认证、授权和计费，需要在认证方案中配置认证模式为HWTACACS认证，在授权方案中配置授权模式为HWTACACS授权，在计费方案中配置计费模式为HWTACACS计费。
配置认证模式为HWTACACS认证时还可以配置本地认证或不认证为备份认证模式。配置备份认证可以避免单一认证模式无响应而造成的认证失败。同理，配置授权模式为HWTACACS授权时还可以配置本地授权或不授权为备份授权模式。
缺省情况下，default和default_admin域内绑定了相同的认证方案default和计费方案default，如果用户想要修改default方案，可能会造成某一域内的用户认证或计费失败，请谨慎操作。
如果使用authentication-mode命令配置认证方式为不认证，则当用户上线时，用户输入任意的用户名和密码后都会认证成功。因此，为保护设备或网络安全，建议开启认证方式，保证用户经过认证后才可以访问设备或网络。
操作步骤
- 配置认证方案
- 执行命令authentication-mode hwtacacs，配置认证模式为HWTACACS认证。
缺省情况下，认证模式为本地认证。
如果需要配置本地认证方式为备份认证方式，请执行命令authentication-mode hwtacacs local。
如果在一个认证方案中使用多种认证模式，则认证模式的执行顺序为配置的先后顺序。只有在当前认证模式没有响应的情况下，才会采用下一种认证模式；如果在当前认证模式认证失败，则不会跳转到下一个认证模式进行认证。
- 执行命令authentication-mode hwtacacs，配置认证模式为HWTACACS认证。
- 配置授权方案
- 执行命令authorization-mode { hwtacacs | local }* [ none ]，配置授权模式。
缺省情况下，授权模式为本地授权模式。
如果采用HWTACACS授权模式，必须配置HWTACACS服务器模板，然后在用户所属域的视图下应用该服务器模板。
如果在一个授权方案中使用多种授权模式，则授权模式的执行顺序为配置的先后顺序。只有在当前授权模式没有响应的情况下，才会采用下一种授权模式；如果当前授权模式失败，则不会采用下一种授权模式进行授权。
- 执行命令authorization-mode { hwtacacs | local }* [ none ]，配置授权模式。
- 配置计费方案
配置HWTACACS服务器模板
背景信息
配置HWTACACS服务器模板中的关键步骤是指定服务器的IP地址和端口号、HWTACACS共享密钥。其他的步骤如配置HWTACACS用户名格式、流量单位等都有缺省配置，用户可以根据实际需要进行修改。
HWTACACS服务器模板下配置的HWTACACS用户名格式、HWTACACS共享密钥等要与HWTACACS服务器上的配置一致。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令hwtacacs enable，使能HWTACACS功能。
缺省情况下，HWTACACS功能处于使能状态。
- 执行命令hwtacacs-server template template-name，创建HWTACACS服务器模板，并进入HWTACACS服务器模板视图。
- 执行命令hwtacacs-server
authentication ip-address [ port ] [ public-net | vpn-instance vpn-instance-name ]（S2750、S5700SI、S5700LI、S5700S-LI不支持vpn-instance vpn-instance-name参数），配置HWTACACS主用认证服务器。
缺省情况下，未配置HWTACACS主用认证服务器。
- （可选）执行命令hwtacacs-server
authentication ip-address [ port ] [ public-net | vpn-instance vpn-instance-name ] secondary（S2750、S5700SI、S5700LI、S5700S-LI不支持vpn-instance vpn-instance-name参数），配置HWTACACS备用认证服务器。
缺省情况下，未配置HWTACACS备用认证服务器。
- 执行命令hwtacacs-server
authorization ip-address [ port ] [ public-net | vpn-instance vpn-instance-name ]（S2750、S5700SI、S5700LI、S5700S-LI不支持vpn-instance vpn-instance-name参数），配置HWTACACS主用授权服务器。
缺省情况下，未配置HWTACACS主用授权服务器。
- （可选）执行命令hwtacacs-server
authorization ip-address [ port ] [ public-net | vpn-instance vpn-instance-name ] secondary（S2750、S5700SI、S5700LI、S5700S-LI不支持vpn-instance vpn-instance-name参数），配置HWTACACS备用授权服务器。
缺省情况下，未配置HWTACACS备用授权服务器。
- 执行命令hwtacacs-server accounting ip-address [ port ]
[ public-net | vpn-instance vpn-instance-name ]（S2750、S5700SI、S5700LI、S5700S-LI不支持vpn-instance vpn-instance-name参数），配置HWTACACS主用计费服务器。
缺省情况下，未配置HWTACACS主用计费服务器。
- （可选）执行命令hwtacacs-server accounting ip-address [ port ]
[ public-net | vpn-instance vpn-instance-name ] secondary（S2750、S5700SI、S5700LI、S5700S-LI不支持vpn-instance vpn-instance-name参数），配置HWTACACS备用计费服务器。
缺省情况下，未配置HWTACACS备用计费服务器。
- （可选）执行命令undo
hwtacacs-server user-name domain-included，配置设备向HWTACACS服务器发送的报文中用户名不包含域名。
缺省情况下，设备向HWTACACS服务器发送的报文中的用户名包含域名，即设备会把用户名和域名及域名分隔符一起发送给HWTACACS服务器进行认证。
- （可选）执行命令hwtacacs-server source-ip ip-address，配置HWTACACS的源IP地址。
缺省情况下，未配置HWTACACS报文的源IP地址，此时设备使用实际出方向的接口的IP地址作为HWTACACS报文的源IP地址。
指定HWTACACS的源IP地址后，使用该HWTACACS模板与服务器通信时，报文的源IP地址为指定的IP地址。此时，服务器也将使用指定的IP地址与设备通信。
- （可选）执行命令hwtacacs-server shared-key [ cipher ] key-string，配置HWTACACS的共享密钥。
缺省情况下，没有配置HWTACACS的共享密钥。
- （可选）执行命令hwtacacs-server
traffic-unit { byte | kbyte | mbyte | gbyte }，配置HWTACACS流量单位。
缺省情况下，设备使用字节（byte）作为HWTACACS流量单位。
- （可选）执行命令hwtacacs-server timer response-timeout interval，配置HWTACACS服务器应答超时时间。
缺省情况下，HWTACACS应答超时时间为5秒。
如果设备在应答超时时间内，没有收到HWTACACS服务器的回复，则认为服务器不可用。此时设备将尝试使用其他方式进行认证、授权。
- （可选）执行命令hwtacacs-server timer quiet interval，配置HWTACACS主服务器恢复激活时间。
缺省情况下，主用服务器恢复激活状态前需要等待5分钟。
- 执行命令quit，返回系统视图。
- （可选）执行命令hwtacacs-server accounting-stop-packet resend { disable | enable number }，配置计费结束报文的重传功能。
缺省情况下，设备启用计费结束报文的重传功能，报文的重传次数为100。
- 执行命令return，返回用户视图。
- （可选）执行命令hwtacacs-user change-password hwtacacs-server template-name，修改用户在HWTACACS服务器上保存的用户密码。
为充分保证设备安全，请用户定期修改密码。
（可选）配置业务方案
背景信息
接入用户需要获取授权信息才能上线，可以通过配置业务方案管理用户的授权信息。
在配置AAA的任务中，业务方案下只需要配置命令admin-user privilege level。其余命令在业务方案被其他特性（比如IPSec特性）调用时才需要配置。
设备切换为NAC传统模式时，业务方案下仅支持配置命令admin-user privilege level。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令aaa，进入AAA视图。
- 执行命令service-scheme service-scheme-name，创建一个业务方案并进入业务方案视图。
缺省情况下，设备中没有创建业务方案。
- 执行命令admin-user privilege level level，配置用户可以作为管理员登录设备，同时指定登录时的管理员级别。
level参数的取值范围是0～15。缺省情况下，未配置用户级别。
- （可选）执行命令dns ip-address，配置DNS主用服务器地址。
缺省情况下，业务方案下没有配置DNS主用服务器。
- （可选）执行命令dns ip-address secondary，配置DNS备用服务器地址。
缺省情况下，业务方案下没有配置DNS备用服务器。
配置域
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令aaa，进入AAA视图。
- 执行命令domain domain-name，创建域并进入域视图或直接进入一个已存在的域视图。
缺省情况下，设备上存在名为“default”和“default_admin”两个域。可以修改这两个域下的配置，但是不能删除这两个域。
- 用户认证时，如果输入不带域名的用户名，将到默认域认证，因此设备需通过domain（系统视图） domain-name [ admin ]命令设置domain-name为全局默认域。
- 用户认证时，如果输入带域名的用户名，需要带上正确的域名domain-name。
- 执行命令authentication-scheme authentication-scheme-name，配置域的认证方案。
缺省情况下，域使用配置名为“default”的认证方案。
- （可选）执行命令authorization-scheme authorization-scheme-name，配置域的授权方案。
缺省情况下，域下没有绑定授权方案。
- （可选）执行命令accounting-scheme accounting-scheme-name，配置域的计费方案。
缺省情况下，域使用名为“default”的计费方案。“default”计费方案的策略为：计费模式为不计费，关闭实时计费开关。
- （可选）执行命令user-group group-name，配置对域下的用户下发用户组授权。
缺省情况下，未配置对域下的用户下发用户组授权。
- （可选）执行命令service-scheme service-scheme-name，配置域的业务方案。
缺省情况下，域下没有配置任何业务方案。
- 执行命令hwtacacs-server（AAA域视图） template-name，配置域的HWTACACS服务器模板。
缺省情况下，没有配置域的HWTACACS服务器模板。
- （可选）执行命令state { active | block [ time-range time-name &<1–4> ] }，配置域的状态为阻塞状态。
当域处于阻塞状态时，属于该域的用户不能登录。缺省情况下，域创建后处于激活状态。
- 执行命令quit，退出域视图。
- （可选）执行命令domain-name-delimiter delimiter，配置域名分隔符。
域名分隔符可以是 \ / : < > | @ ' % 中的某一个。
缺省情况下，域名分隔符为@。
检查配置结果
操作步骤
- 执行命令display aaa configuration，查看AAA的概要信息。
- 执行命令display authentication-scheme [ authentication-scheme-name ]，查看认证方案的配置信息。
- 执行命令display authorization-scheme [ authorization-scheme-name ]，查看授权方案的配置信息。
- 执行命令display accounting-scheme [ accounting-scheme-name ]，查看计费方案的配置信息。
- 执行命令display service-scheme [ name name ]，查看业务方案的配置信息。
- 执行命令display hwtacacs-server template [ template-name [ verbose ] ]，查看HWTACACS服务器模板的配置信息。
- 执行命令display hwtacacs-server accounting-stop-packet { all | number | ip ip-address }，查看HWTACACS服务器的计费停止报文信息。
- 执行命令display domain [ name domain-name ]，查看域的配置信息。
