RADIUS 身份验证

此示例通过 RADIUS 服务器配置系统身份验证。

Junos OS 支持在身份验证服务器上配置瞻博网络 RADIUS 供应商特定属性 （VSA）。这些 VSA 封装在 RADIUS 供应商特定的属性中，供应商 ID 设置为瞻博网络 ID 号 2636。

表 1 列出了您可以配置的瞻博网络 VSA。

某些属性接受 POSIX 1003.2 中定义的扩展正则表达式。如果正则表达式包含任何空格、运算符或通配符，请用引号将其括起来。有关详细信息，请参阅：

• 允许和拒绝操作模式命令、配置语句和层次结构的正则表达式

• 在 RADIUS 或 TACACS+ 服务器上使用正则表达式允许或拒绝命令

有关 VSA 的详细信息，请参阅 RFC 2138，远程身份验证拨入用户服务 （RADIUS）。

Junos OS 可以将经过 RADIUS 和 TACACS+ 身份验证的用户映射到本地定义的用户帐户或用户模板帐户，后者定义用户的访问权限。您还可以通过在相应的身份验证服务器上定义瞻博网络 RADIUS 和 TACACS+ 供应商特定属性 （VSA），选择性地配置用户的访问权限。

用户的登录类定义了一组权限，该权限确定用户有权执行哪些操作模式和配置模式命令，以及用户可以查看和修改哪些配置区域。登录类还可以定义正则表达式，这些正则表达式允许或拒绝用户执行某些命令或查看和修改配置的某些区域，以及权限标志授权的内容。登录类可以包含以下语句来定义用户授权：

• permissions

• allow-commands

• allow-commands-regexps

• allow-configuration

• allow-configuration-regexps

• deny-commands

• deny-commands-regexps

• deny-configuration

• deny-configuration-regexps

同样，RADIUS 或 TACACS+ 服务器配置可以使用瞻博网络 VSA 来定义确定用户访问权限的特定权限或正则表达式。有关受支持的 RADIUS 和 TACACS+ VSA 的列表，请参阅以下内容：

• 瞻博网络供应商特定的 RADIUS 属性
• 瞻博网络供应商特定的 TACACS+ 属性

您可以将 RADIUS 或 TACACS+ 服务器上的用户权限定义为空格分隔值的列表。

• RADIUS 服务器使用以下属性和语法：

  例如：

• TACACS+ 服务器使用以下属性和语法：

  例如：

RADIUS 或 TACACS+ 服务器还可以定义瞻博网络 VSA，这些 VSA 使用单个扩展正则表达式（如 POSIX 1003.2 中所定义）来允许或拒绝用户执行某些命令或查看和修改配置区域的能力。您可以将多个命令或配置层次结构括在括号中，并使用管道符号将它们分隔开。如果正则表达式包含任何空格、运算符或通配符，请用引号将其括起来。在本地和远程配置授权参数时，设备会将 TACACS+ 或 RADIUS 授权期间收到的正则表达式与本地设备上定义的任何正则表达式合并。

• RADIUS 服务器使用以下属性和语法：

  例如：

• TACACS+ 服务器使用以下属性和语法：

  例如：

RADIUS 和 TACACS+ 服务器还支持配置与可在本地设备上配置的相同 *-regexps 语句相对应的属性。*-regexps TACACS+ 属性和 *-Regexps RADIUS 属性使用与先前属性相同的正则表达式语法，但它们使您能够使用变量配置正则表达式。

• RADIUS 服务器使用以下属性和语法：

• TACACS+ 服务器使用以下属性和语法：

  例如，TACACS+ 服务器配置可以定义以下属性：

在 RADIUS 或 TACACS+ 服务器上，您还可以使用简化的语法定义属性，其中您可以在单独的行上指定每个单独的表达式。

对于 RADIUS 服务器，请使用以下语法指定各个正则表达式：

对于 TACACS+ 服务器，请使用以下语法指定各个正则表达式：

用户可以通过发出 show cli authorization 操作模式命令来验证其类、权限以及命令和配置授权。

设备支持配置瞻博网络特有的 RADIUS 服务器属性。这些属性称为供应商特定属性 （VSA），在 RFC 2138， 远程身份验证拨入用户服务 （RADIUS） 中进行了介绍。特定于供应商的属性扩展了 RADIUS 服务器的功能，超出了公共标准属性提供的功能，从而实现了订阅者管理和服务支持所需的许多有用功能。

瞻博网络 VSA 的供应商 ID 设置为 2636。

属性是身份验证成功或失败时从 RADIUS 服务器发送到设备的明文字段。身份验证通过在端口阻止请求方，直到 RADIUS 服务器对设备进行身份验证，可以防止未经授权的用户访问。在 RADIUS 服务器上通过身份验证实现过滤属性，为控制请求方的 LAN 访问提供了一个中心位置。

瞻博网络交换过滤器属性与 802.1X 身份验证协同工作，以集中控制请求方对网络的访问。可以使用此属性在 RADIUS 服务器上配置筛选器。这些过滤器将发送到交换机，并应用于已使用 802.1X 身份验证进行身份验证的用户。

瞻博网络交换过滤器可以包含一个或多个过滤器术语。筛选词是使用一个或多个 匹配条件 和生成的 操作来配置的。匹配条件是数据包必须满足的条件，才能对其应用配置的操作。配置的操作是在数据包满足匹配条件中指定的条件时交换机执行的操作。交换机可以执行的操作是接受或拒绝数据包。

将端口防火墙过滤器添加到 RADIUS 服务器，无需将过滤器添加到多个端口和设备。一种方法是使用 瞻博网络防火墙过滤器名称 VSA 将以前配置的端口防火墙过滤器直接应用于 RADIUS 服务器。与端口筛选属性一样，此筛选器在身份验证过程中应用，其操作应用于设备端口。

• VSA 准则
• 匹配条件
• 行动

设备和 RADIUS 服务器之间的 RADIUS 记帐过程的工作方式如下：

1. RADIUS 记帐服务器侦听特定端口上的用户数据报协议 （UDP） 数据包。RADIUS 记帐的默认端口为 1813。

2. 设备将包含事件记录的 记帐请求 数据包转发到记帐服务器。与此请求方关联的事件记录包含一个 Acct-Status-Type 属性，其值指示此请求方的用户服务的开始。当请求方的会话结束时，计费请求将包含一个指示用户服务结束的 Acct-Status-Type 属性值。RADIUS 记帐服务器将此记录为包含会话信息和会话长度的停止记帐记录。

3. RADIUS 记帐服务器将这些事件记录在文件中，作为开始记帐或停止记帐记录。在 FreeRADIUS 上，文件名是服务器的地址，例如 192.0.2.0。

4. 记帐服务器向设备发送 记帐响应 数据包，确认它已收到记帐请求。

5. 如果设备未从服务器收到记帐响应数据包，它将继续发送记帐请求，直到服务器返回响应。

您可以在 RADIUS 服务器上查看通过此过程收集的统计信息。要查看这些统计信息，请访问配置为接收这些统计信息的日志文件。