juniper交换机aaa认证.doc

Juniper 交换机 AAA 登录认证配置1.登录 Cisco ACS，添加交换机信息，使用 RADIUS（Juniper）认证创建 juniper_test 组，并添加了 E401#test 主机，输入需要验证的主机 IP 及验证秘钥然后勾选 juniper 的 radius 模板2.在 ACS 的接口下导入模板，然后点击用户组将需要 3A 认证的用户加入 juniper 上相应权限的用户组在组里面里面添加 Juniper 交换机里面配置的超级管理员帐号，这样的目的是把Juniper 交换机上具有超级管理员权限的 gainet 这个用户的权限关联到 Group 0 这个组中，那么这个组中的用户（关联的域用户以及本地添加进去的本地用户）都具有超管的权限如果希望某个组（如 Group 2）具有只读的权限，那么进入这个组的 Edit Settings，在Juniper-Local-User-Name 里面添加 Juniper 里面的只读用户 read 即可3.Juniper AAA Radius 配置：set system authentication-order radiusset system radius-server 203.171.224.86 secret ""set system radius-server 203.171.224.86 timeout 5set system radius-server 203.171.224.86 source-address 172.31.4.1set system authentication-order password这条命令如果不删除，在 AAA 服务器正常通信情况下也能使用本地帐号登录；如果删除，在 AAA 服务器不能通信的情况下才能使用本地帐号登录。

4.登录验证Juniper 交换机 TACACS+配置1.Juniper 交换机上 tacacs+配置如下：set groups global system authentication-order tacplusset groups global system tacplus-server 203.171.224.86 secret ""set groups global system tacplus-server 203.171.224.86 timeout 5set groups global system tacplus-server 203.171.224.86 source-address 172.31.4.1set groups global system login user remote uid 2002set groups global system login user remote class super-userset apply-groups global不需要 set system authentication-order 这条命令，因为 set groups global 已经指定了认证类型如果在 AAA 服务器不能通信的情况下才能使用本地帐号登录则添加如下命令:set groups global system authentication-order password或者set system authentication-order password2.ACS 设置按照平时开机柜配置即可3.验证根据日志提示可得知用户有配置等权限。