在域下应用AAA方案

操作步骤

1. 执行命令system-view，进入系统视图。
2. 执行命令aaa，进入AAA视图。
3. 执行命令domain domain-name [ domain-index domain-index ]，创建域并进入域视图或进入一个已存在的域视图。

   缺省情况下，设备存在两个域：“default”和“default_admin”。“default”用于普通接入用户的域，“default_admin”用于管理员的域。

   • 用户认证时，如果输入不带域名的用户名，将到默认域认证，因此设备需通过domain domain-name [ admin ]命令设置domain-name为全局默认域。
   • 用户认证时，如果输入带域名的用户名，需要带上正确的域名domain-name。

4. 配置域的AAA方案：

   步骤	命令	说明
   配置域的认证方案	authentication-scheme scheme-name	缺省情况下，“default”域使用名为“radius”的认证方案，“default_admin”域使用名为“default”的认证方案，其他域使用名为“radius”的认证方案。
   配置域的授权方案	authorization-scheme authorization-scheme-name	缺省情况下，域下没有绑定授权方案。
   配置域的计费方案	accounting-scheme accounting-scheme-name	缺省情况下，域使用名为“default”的计费方案。“default”计费方案的策略为：计费模式为不计费，关闭实时计费开关。

5. 配置域的业务方案、HWTACACS服务器模板：

   步骤	命令	说明
   （可选）配置域的业务方案	service-scheme service-scheme-name	缺省情况下，域下没有配置任何业务方案。
   配置域的HWTACACS服务器模板	hwtacacs-server template-name	缺省情况下，没有配置域的HWTACACS服务器模板。

6. （可选）配置域的其它功能：

   步骤	命令	说明
   配置域的状态	state { active | block [ time-range time-name &<1–4> ] }	当域处于阻塞状态时，属于该域的用户不能登录。缺省情况下，域创建后处于激活状态。
   配置对域下的用户下发用户组授权	user-group group-name	缺省情况下，未配置对域下的用户下发用户组授权。 说明： 仅NAC传统模式支持该命令。

7. （可选）配置流量统计功能
   1. 执行命令statistic enable，使能域用户的流量统计功能。

      缺省情况下，域用户的流量统计功能处于未使能状态。

   2. 执行命令accounting dual-stack separate，使能IPv4和IPv6用户流量分别统计或限速的功能。

      缺省情况下，设备统计流量或限速时，不区分IPv4和IPv6用户的流量。

8. （可选）配置域名解析方案（如果在AAA视图和认证模板视图下都配置了域名解析，则优先使用认证模板上的配置。认证模板下的配置仅适用于无线用户）：

   步骤		命令	说明
   AAA视图	退出域视图	quit	-
   	配置域名解析的方向	domainname-parse-direction { left-to-right | right-to-left }	域名解析的方向可以是从左到右，或者从右到左。 缺省情况下，域名解析方向为从左向右。
   	配置域名分隔符	domain-name-delimiter delimiter	域名分隔符可以是 \ / : < > | @ ' % 中的某一个。 缺省情况下，域名分隔符为@。
   	配置域名的位置	domain-location { after-delimiter | before-delimiter }	缺省情况下，域名在分隔符后。
   	配置安全字符串分隔符	security-name-delimiter delimiter	缺省情况下，安全字符串分隔符为*。
   认证模板视图	退出AAA视图	quit	-
   	创建认证模板并进入认证模板视图	authentication-profile name authentication-profile-name	缺省情况下，设备自带6个认证模板，名称分别为default_authen_profile、dot1x_authen_profile、mac_authen_profile、portal_authen_profile、dot1xmac_authen_profile和multi_authen_profile。
   	配置用户名和域名解析的方向	domainname-parse-direction { left-to-right | right-to-left }	域名解析的方向可以是从左到右，或者从右到左。 缺省情况下，未配置域名解析方向。
   	配置域名分隔符	domain-name-delimiter delimiter	域名分隔符可以是 \ / : < > | @ ' % 中的某一个。 缺省情况下，没有配置域名分隔符。
   	配置域名的位置	domain-location { after-delimiter | before-delimiter }	缺省情况下，没有配置域名的位置。
   	配置安全字符串分隔符	security-name-delimiter delimiter	缺省情况下，没有配置安全字符串分隔符。

9. （可选）配置无线用户的允许域（此步骤仅适用于无线用户）：

   步骤	命令	说明
   退出到系统视图	quit	-
   创建认证模板并进入认证模板视图	authentication-profile name authentication-profile-name	缺省情况下，设备自带6个认证模板，名称分别为default_authen_profile、dot1x_authen_profile、mac_authen_profile、portal_authen_profile、dot1xmac_authen_profile和multi_authen_profile。
   配置无线用户的允许域	permit-domain name domain-name &<1-4>	缺省情况下，没有配置无线用户的允许域。 用户在认证模板下面配置了用户允许域后，只有允许域内的用户才能通过认证、授权和计费。