（可选）配置授权信息
配置业务方案
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令aaa，进入AAA视图。
- 执行命令service-scheme service-scheme-name，创建一个业务方案并进入业务方案视图。
缺省情况下，设备中没有创建业务方案。
- 执行命令admin-user privilege level level，配置用户可以作为管理员登录设备，同时指定登录时的管理员级别。
level参数的取值范围是0～15。缺省情况下，未配置用户级别。
- 配置相关服务器信息。
步骤
命令
说明
配置DNS主用服务器地址
dns ip-address
缺省情况下，业务方案下没有配置DNS主用服务器。
配置DNS备用服务器地址
dns ip-address secondary
缺省情况下，业务方案下没有配置DNS备用服务器。
- 执行命令redirect-acl [ ipv6 ] { acl-number | name acl-name }，在业务方案下配置重定向ACL。
缺省情况下，业务方案中没有配置重定向ACL。
仅S5735-L、S5735S-L、S5735S-L-M、S5735-S、S5735-S-I、S5735S-S、S5720-HI、S5720-EI、S6720-EI和S6720S-EI支持ipv6参数。
仅有线用户支持重定向IPv6 ACL。
- 执行命令idle-cut idle-time flow-value [ inbound | outbound ]，使能域用户的闲置切断功能并配置对应的闲置切断参数。
缺省情况下，域用户的闲置切断功能处于未使能状态。
业务方案视图下的命令idle-cut，仅无线用户生效。
- 执行命令access-limit user-name max-num number，配置同一个用户名最多可以接入的用户数量。
缺省情况下，设备对同一个用户名可以接入的用户数量不做限制，由设备支持的最大接入用户数决定。
仅认证成功的用户支持限制同一个用户名可以接入的用户数，预连接用户不支持。
AC间漫游场景下，本命令不生效。
- 执行命令priority priority-value，在业务方案下配置用户的优先级。
缺省情况下，用户的优先级为0。
- 配置业务方案中控制用户网络访问策略的各种参数。
- 执行命令acl-id [ ipv6 ] acl-number ，在业务方案下绑定ACL。
缺省情况下，业务方案下未绑定ACL。
仅S5735-L、S5735S-L、S5735S-L-M、S5735-S、S5735-S-I、S5735S-S、S5720-HI、S5720-EI、S6720-EI和S6720S-EI支持ipv6参数。
执行该命令之前，需确保已使用命令acl或acl name创建了ACL；并使用命令rule配置相应的ACL规则。
各类访问策略优先级顺序为：
RADIUS服务器下发的ACL编号 > 本地配置的ACL编号 > RADIUS服务器通过编号26-82的属性HW-Data-Filter下发的ACL规则或DACL组 > RADIUS服务器下发的UCL组索引 > 本地配置的UCL组。
ACL授权优先级不区分IPv6 ACL授权还是IPv4 ACL授权。所以按照上面的优先级顺序，当服务器下发IPv4 ACL编号时，本地配置的IPv6 ACL编号不会生效。
- 执行命令ucl-group { group-index | name group-name }，在业务方案下绑定UCL组。
缺省情况下，业务方案下未绑定UCL组。
执行该命令之前，需确保已创建并配置了标记用户类别的UCL组。
执行命令user-vlan vlan-id，在业务方案中配置用户VLAN。
缺省情况下，在业务方案中未配置用户VLAN。
执行该命令之前，需确保已使用命令vlan创建了VLAN。
执行命令voice-vlan在业务方案中使能Voice VLAN功能。
缺省情况下，在业务方案中未使能Voice VLAN功能。
为使本命令功能生效，需已使用命令voice-vlan enable配置指定VLAN为Voice VLAN，同时使能接口的Voice VLAN功能。
执行命令qos-profile profile-name，在业务方案中绑定QoS模板。
缺省情况下，在业务方案中未绑定QoS模板。
仅S5720-EI、S5720-HI、S5730-HI、S5731-H-K、S5731-H、S5731S-H、S5731-S、S5731S-S、S6720-HI、S5732-H-K、S5732-H、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S、S6720-EI和S6720S-EI支持QoS模板。
执行该命令之前，需确保已配置了QoS模板。配置QoS模板操作步骤如下：- 在系统视图下执行命令qos-profile name profile-name，创建QoS模板并进入QoS模板视图。
- 在QoS模板视图下配置流量监管、报文处理优先级与用户队列。（业务方案下绑定QoS模板后，QoS模板中仅以下命令生效。）
- 执行命令car cir cir-value [ pir pir-value ] [ cbs cbs-value pbs pbs-value ] { inbound | outbound }，在QoS模板中配置流量监管。
缺省情况下，QoS模板中没有配置流量监管。
- 执行命令remark dscp dscp-value { inbound | outbound }，在QoS模板中配置重标记IP报文的DSCP优先级。
如果remark dscp dscp-value和voice-vlan remark dscp dscp-value同时配置时，前者的DSCP优先级最高。
缺省情况下，QoS模板中没有配置重标记IP报文的DSCP优先级。
- 执行命令remark 8021p 8021p-value，在QoS模板中配置重标记VLAN报文802.1p优先级。
缺省情况下，QoS模板中没有配置重标记VLAN报文802.1p优先级。
如果remark 8021p 8021p-value和voice-vlan remark 8021p 8021p-value同时配置时，前者的802.1p优先级最高。
- 执行命令user-queue { pir pir-value | flow-queue-profile flow-queue-profile-name | flow-mapping-profile flow-mapping-profile-name } *，在QoS模板中创建用户队列实现HQoS调度。
缺省情况下，QoS模板中未配置用户队列。
仅S5720-HI、S5731-S、S5731S-S、S5731-H、S5731-H-K和S5731S-H支持HQoS调度。
- 执行命令car cir cir-value [ pir pir-value ] [ cbs cbs-value pbs pbs-value ] { inbound | outbound }，在QoS模板中配置流量监管。
- 执行命令sac-profile profile-name，在业务方案中绑定SAC模板。
缺省情况下，在业务方案中未绑定SAC模板。
授权HQoS的详细配置和注意事项请参见配置用户队列。
执行该命令之前，需确保已配置了SAC模板。配置SAC模板操作步骤如下：
- 执行命令sac-profile name profile-name，创建SAC模板并进入SAC模板视图，或进入已经存在的SAC模板视图。
- 执行命令acl { ucl-number | name acl-name } remark local-precedence local-precedence-value，配置基于用户ACL的重标记内部优先级。
缺省情况下，SAC模板中没有配置基于用户ACL的重标记内部优先级。
- 执行命令quit，返回到AAA视图。
- 执行命令quit，返回到系统视图。
- 执行命令acl-id [ ipv6 ] acl-number ，在业务方案下绑定ACL。
配置用户组
操作步骤
- 配置用户组。
步骤
命令
说明
进入系统视图
system-view
–
创建用户组并进入用户组视图
user-group group-name
双链路备份场景下使用用户组时，必须指定用户组索引，并且主备设备上配置的用户组名和用户组索引必须一致。
在用户组下绑定ACL
acl-id acl-number
缺省情况下，用户组下未绑定ACL。
说明：执行该命令前，需确保已使用命令acl或acl name创建了ACL，且该ACL下已配置至少一条规则。
在用户组下绑定VLAN
user-vlan vlan-id
缺省情况下，未配置用户组VLAN。
配置用户组优先级
remark { 8021p 8021p-value | dscp dscp-value }*
缺省情况下，未配置用户组优先级。
说明：仅S5720-EI、S5720-HI、S5730-HI、S5731-H-K、S5731-H、S5731S-H、S5731-S、S5731S-S、S6720-HI、S5732-H-K、S5732-H、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S、S6720-EI和S6720S-EI支持该命令。
配置对用户组内的用户进行流量监管
car { outbound | inbound } cir cir-value [ pir pir-value | cbs cbs-value | pbs pbs-value ] *
缺省情况下，不对用户组内的用户进行流量监管。
说明：仅S5720-EI、S5720-HI、S5730-HI、S6720-HI、S5731-H-K、S5732-H-K、S6730-H-K、S6730S-H、S5731-H、S5731S-H、S5731-S、S5731S-S、S5732-H、S6730-H、S6730-S、S6730S-S、S6720-EI和S6720S-EI支持本命令，并且S5720-EI、S6720-EI和S6720S-EI仅支持将用户组CAR应用在接口出方向上（outbound）。
退出到系统视图
quit
–
使能用户组功能
user-group group-name enable
只有在使能用户组功能后，其上的配置才能生效。
缺省情况下，未使能用户组功能。
配置UCL组
操作步骤
- 配置授权UCL组。
步骤
命令
说明
进入系统视图
system-view
–
创建UCL组
ucl-group group-index [ name group-name ]
缺省情况下，未创建UCL组。
（可选）配置静态UCL组IP地址
ucl-group ip ip-address { mask-length | ip-mask } { group-index | name group-name } [ escape ]
缺省情况下，未配置静态UCL组IP地址。
说明：仅S5720-EI、S5720-HI、S5730-HI、S5731-H-K、S5731-H、S5731S-H、S5731-S、S5731S-S、S6720-HI、S5732-H-K、S5732-H、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S、S6720-EI和S6720S-EI支持静态UCL组IP地址。
（可选）配置静态UCL组域名
ucl-group domain domain-name domain-name { group-index | name group-name }
缺省情况下，未配置静态UCL组域名。
说明：仅S5720-HI、S5730-HI、S5731-H、S5731-H-K、S5731-S、S5731S-H、S5731S-S、S5732-H、S5732-H-K、S6720-HI、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S支持静态UCL组域名。
配置用户ACL或用户ACL6
详细配置请参见《S2720, S5700, S6700 V200R019C10 配置指南-安全》 ACL配置 中的“配置用户ACL”或“配置用户ACL6”。
根据UCL组对报文进行过滤。
配置基于ACL对报文进行过滤
traffic-filter inbound acl [ ipv6 ] acl-number
缺省情况下，未配置基于ACL对报文进行过滤。
配置VLAN pool
背景信息
VLAN pool是多个VLAN的合集，其目的是简化网络部署。VLAN pool的用法如下：
- 对于有线用户，在RADIUS服务器上配置为通过认证的用户授权标准RADIUS属性Tunnel-Private-Group-ID，让用户加入指定的VLAN pool。
- 对于无线用户，VLAN pool的应用有三种：
- 执行命令vap-profile profile-name wlan wlan-id radio { radio-id | all } service-vlan vlan-pool pool-name，配置VLAN pool作为指定VAP模板下无线用户的业务VLAN。
- 在VAP模板视图下，执行命令service-vlan vlan-pool pool-name，配置VLAN pool作为指定VAP模板下无线用户的业务VLAN。
- 在RADIUS服务器上配置为通过认证的用户授权标准RADIUS属性Tunnel-Private-Group-ID，让用户加入指定的VLAN pool。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令vlan batch { vlan-id1 [ to vlan-id2 ] } &<1-10>，批量创建VLAN。
- 执行命令vlan pool pool-name，创建VLAN pool，并进入VLAN pool视图。
缺省情况下，没有创建VLAN pool。
- 执行命令vlan { start-vlan [ to end-vlan ] } &<1-10>，将指定VLAN添加到VLAN pool中。
缺省情况下，VLAN pool下没有VLAN。
- （可选）执行命令assignment { even | hash }，配置VLAN pool中的VLAN分配算法。
缺省情况下，VLAN pool中的VLAN分配算法为hash。
