集中认证的服务器模板
把账号从设备本地搬到集中服务器，是运维规模上去之后的必然选择：人员变动只在一个地方停用，登录与命令操作都有集中日志。RADIUS 常用于接入认证与设备管理认证，TACACS+ 的优势在命令级授权更细。三厂的配置结构差别很大——华为要先建服务器模板再被认证方案引用，思科用 server 对象并被 aaa 列表引用，H3C 的认证方案必须挂到域上才生效。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 标准端口 | RADIUS 认证 1812、计费 1813；TACACS+ 使用 49 |
| 关键参数 | 服务器地址、共享密钥、超时与重试次数、源接口或 NAS 地址 |
| 权限要求 | system-view / 全局配置模式 |
| 兜底要求 | 认证方法列表末尾保留本地认证，服务器不可达时仍可登录 |
典型使用场景
- 设备管理集中化：多台设备的登录账号由服务器统一管理
- 命令级授权：用 TACACS+ 按用户角色下发命令权限
- 接入认证：802.1X 与 Portal 场景使用 RADIUS 下发策略
- 审计留痕：所有登录与操作记录集中留存，满足合规检查
- 服务器迁移：更换认证服务器地址时先在设备侧并行配置再切换
华为 VRP
华为 VRP
[Huawei] radius-server template RS1
[Huawei-radius-RS1] radius-server shared-key cipher 共享密钥
[Huawei-radius-RS1] radius-server authentication 10.1.1.100 1812
[Huawei-radius-RS1] radius-server accounting 10.1.1.100 1813
[Huawei] aaa
[Huawei-aaa] authentication-scheme sch1
[Huawei-aaa-authen-sch1] authentication-mode radius local # 本地作为备用
[Huawei-aaa] domain dm1
[Huawei-aaa-domain-dm1] authentication-scheme sch1思科 IOS
思科 IOS
SW-CORE-01(config)# tacacs server TS1
SW-CORE-01(config-server-tacacs)# address ipv4 10.1.1.100
SW-CORE-01(config-server-tacacs)# key 共享密钥
SW-CORE-01(config)# aaa new-model
SW-CORE-01(config)# aaa authentication login default group tacacs+ local
SW-CORE-01(config)# aaa authorization exec default group tacacs+ local
SW-CORE-01# show tacacs # 查看服务器与统计信息H3C Comware
H3C Comware
[H3C] radius scheme RS1
[H3C-radius-RS1] primary authentication 10.1.1.100
[H3C-radius-RS1] key authentication simple 共享密钥
[H3C] domain dm1
[H3C-isp-dm1] authentication login radius-scheme RS1 local # 本地兜底
[H3C-isp-dm1] authorization login radius-scheme RS1 local三厂对象与引用链
| 对比项 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 服务器定义 | radius-server template | tacacs server 或 radius server 对象 | radius scheme |
| 共享密钥 | radius-server shared-key cipher | 对象内 key | key authentication simple |
| 认证引用 | 认证方案 authentication-scheme | aaa authentication login 列表 | domain 下引用方案 |
| 必须挂域 | 通过域组织（默认域可用） | 不需要域概念 | 必须挂到 domain 才生效 |
| 查看命令 | display radius-server configuration | show tacacs 或 show radius server | display radius scheme |
超时与重试参数决定服务器不可达时的体验：默认值偏保守时登录会卡住几十秒。同时确认设备发往服务器的源地址已在服务器侧登记（NAS 地址或客户端白名单），否则认证请求会被服务器直接丢弃，设备侧只能看到超时。