AAA 认证方案做了什么
AAA 把「谁能登录、登录后能干什么、干了什么记在哪」拆成认证、授权、计费三件事。把登录方式收敛到 AAA 框架是规范开局的必备动作：华为/H3C 先定义认证与授权方案，再用域去引用本地用户库或 RADIUS 服务器；思科启用 aaa new-model 后由 default 列表接管，用户名既可以在本地建，也可以交给外部服务器。
基本信息
| 适用平台 | 华为 VRP（aaa）、思科 IOS（aaa new-model）、H3C Comware（domain + 方案） |
|---|---|
| 关键对象 | 认证方案 authentication-scheme、授权方案 authorization-scheme、域 domain、本地用户 local-user |
| 权限要求 | system-view / 全局配置模式 |
| 本地用户可用性 | 无外部服务器时也可只用 local 方案，不必先搭 RADIUS |
典型使用场景
- 设备开局规范化：先用本地库跑通 AAA，再平滑切到 RADIUS/TACACS+ 统一账号
- 审计要求：外部服务器集中记账，登录、命令、配置变更都有记录
- 多角色管理：不同账号绑定不同级别或不同命令集，实现分权
- 对接统一身份：与域控、堡垒机打通，人员离职只在一个地方停用
- 远程登录加固：把 VTY 认证从线路共享口令改为用户名体系
- 临时排障：外部服务器不可达时，把方案的方法顺序改回本地认证恢复登录
华为 VRP
华为 VRP
[Huawei] aaa # 进入 AAA 视图
[Huawei-aaa] authentication-scheme default # 定义认证方案
[Huawei-aaa-authen-default] authentication-mode local # 先本地认证
[Huawei-aaa] authorization-scheme default
[Huawei-aaa-author-default] authorization-mode local
[Huawei-aaa] local-user admin password irreversible-cipher YourPass@123
[Huawei-aaa] local-user admin privilege level 15
[Huawei-aaa] local-user admin service-type telnet ssh思科 IOS
思科 IOS
SW-CORE-01(config)# aaa new-model # 启用 AAA
SW-CORE-01(config)# username admin privilege 15 secret YourPass@123
SW-CORE-01(config)# aaa authentication login default local # 登录走 default 列表
SW-CORE-01(config)# aaa authorization exec default local # 授权也走本地H3C Comware
H3C Comware
[H3C] local-user admin class manage
[H3C-luser-manage-admin] password simple YourPass@123
[H3C-luser-manage-admin] service-type ssh telnet
[H3C-luser-manage-admin] authorization-attribute user-role network-admin
[H3C] line vty 0 4
[H3C-line-vty0-4] authentication-mode scheme # 引用方案（默认域 system）三厂都遵循「方案 → 域 → VTY 引用」的思路：华为在 VTY 下写 authentication-mode aaa，H3C 写 scheme，思科用 login authentication default 把某个列表绑到线路。
三厂对象对照
| 目标 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 启用框架 | aaa 视图 | domain 域 + 认证方案 | aaa new-model |
| 本地用户 | local-user admin privilege level 15 | local-user admin class manage | username admin privilege 15 |
| VTY 引用位置 | authentication-mode aaa | authentication-mode scheme | login authentication default |
| 外部服务器 | radius-server template | radius scheme | radius server 名称 |
切换到外部服务器时不要一步到位：先在设备上确认服务器可达、共享密钥两端一致、NAS 地址已在服务器登记，再改方案指向服务器，并保留 local 作为备用认证方法。