华为eNSP 实验：本地AAA配置

华为eNSP实验中的本地AAA配置是网络安全技术的一个重要环节，主要涉及到认证、授权和计费三个核心方面（Authentication, Authorization, Accounting，简称AAA）。在网络设备的管理中，AAA配置可以有效地控制用户的访问权限，确保网络安全性和可管理性。

1.实验目的

（1）掌握本地AAA认证授权方案的配置方法。

（2）掌握创建域的方法。

（3）掌握创建本地用户的方法。

（4）理解基于域的用户管理的原理。

2.实验拓扑

本地AAA配置的实验拓扑如下图所示

3.实验步骤

（1）配置R1，命令如下：

<Huawei>system-view  //进入系统视图
[Huawei]undo info-center enable  //关闭路由器输出信息
[Huawei]sysname R1  //修改设备名为 R1
[R1]interface g0/0/0  //进入接口g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.1 24  //配置IP地址和子网掩码
[R1-GigabitEthernet0/0/0]undo shutdown  //打开接口
[R1-GigabitEthernet0/0/0]quit  //退出
（2）配置R2，命令如下：

<Huawei>system-view  //进入系统视图
[Huawei]undo info-center enable  //关闭路由器输出信息
[Huawei]sysname R2  //修改设备名为 R2
[R2]interface g0/0/1  //进入接口g0/0/1
[R2-GigabitEthernet0/0/1]ip address 192.168.1.2 24  //配置IP地址和子网掩码
[R2-GigabitEthernet0/0/1]undo shutdown  //打开接口
[R2-GigabitEthernet0/0/1]quit  //退出
（3）配置认证授权方案，命令如下：

[R2]aaa  //进入AAA视图
[R2-aaa]authentication-scheme hcial  //创建认证方案 hcial
[R2-aaa-authen-hcial]authentication-mode local  //认证模式为本地认证
[R2-aaa-authen-hcial]quit  //退出
[R2-aaa]authorization-scheme hcia2  //创建认证方案 hcia2
[R2-aaa-author-hcia2]authorization-mode local  //认证模式为本地认证
[R2-aaa-author-hcia2]quit  //退出

（4）创建域并在域下应用AAA方案，命令如下：

[R2]aaa  //进入AAA视图
[R2-aaa]domain hcia  //创建域hcia
[R2-aaa-domain-hcia]authentication-scheme hcial  //指定对该域内的用户采用名为hcial的认证方案
[R2-aaa-domain-hcia]authorization-scheme hcia2   //指定对该域内的用户采用名为hcia2的授权方案
（5）配置本地用户名和密码，命令如下：

[R2]aaa  //进入AAA视图
[R2-aaa]local-user ly@hcia password cipher 1234  //用户名为ly，属于域hcia，密码为1234
[R2-aaa]local-user ly@hcia service-type telnet  //用户的服务类型为Telnet
[R2-aaa]local-user ly@hcia privilege level 3  //用户权限为3
（6）开启Telnet功能，命令如下：

[R2]user-interface vty 0 4
[R2-ui-vty0-4]authentication-mode aaa  //认证模式为 AAA
[R2-ui-vty0-4]quit
4.实验调试

（1）测试在R1上是否可以Telnet R2，命令如下：

<R1>telnet 192.168.1.2
  Press CTRL_] to quit telnet mode
  Trying 192.168.1.2 ...
  Connected to 192.168.1.2 ...

Login authentication

Username:ly@hcia   //输入用户名
Password:           //输入密码，在设备上面输入并不会显示密码，输入完成后按回车键即可
<R2>system-view
Enter system view, return user view with Ctrl+Z.

通过以上输出结果可以看出，R1可以Telnet到R2上，但要输入用户名和密码，因为开启了AAA。

（2）在R2上查看登录的用户，命令如下：

[R2]display users
  User-Intf    Delay    Type   Network Address     AuthenStatus    AuthorcmdFlag
+ 0   CON 0   00:00:00                                   pass                   
  Username : Unspecified

  129 VTY 0   00:02:11  TEL    192.168.1.1               pass                   
  Username : ly@hcia             

本地AAA配置的意义在于提升网络安全性和管理效率，通过在本地设备上实现认证、授权和计费功能，确保只有授权用户才能访问网络资源，同时减少了对外部服务器的依赖，提高了响应速度并降低了成本。