把登录认证交给 AAA 服务器
设备本地账号的问题在于分散：每台设备一套口令、离职账号要逐台清理、登录记录留不住。AAA 把认证、授权、计费集中到服务器侧，设备只作为认证客户端。改造后账号一处停用、全网设备立即失效，口令策略与登录审计也统一起来，代价是必须处理好认证不可用时的逃生路径。
基本信息
| 适用平台 | 华为 USG、H3C SecPath、深信服设备，以及网络设备与 Linux 服务器 |
|---|---|
| 协议端口 | RADIUS 认证 1812/UDP、计费 1813/UDP（早期实现使用 1645/1646） |
| 华为配置框架 | radius-server template → aaa 认证方案 → 域引用 |
| 关键配套 | 认证方案中保留本地账号作为逃生通道 |
典型使用场景
- 设备数量多、运维人员多：账号统一管理，避免口令到处散落
- 等保整改：要求对管理员身份进行集中鉴别并留存登录审计
- 人员变动频繁：员工离职或调岗时只需在服务器侧调整，不必逐台改配置
- 多人共管同一批设备：通过不同的授权属性区分只读与可配置权限
- 登录审计：在服务器侧汇总谁在什么时间登录了哪台设备
华为 AAA 框架示例
华为 AAA 框架示例
system-view
radius-server template rd1
radius-server shared-key cipher 密文口令 # 与服务器一致的共享密钥
radius-server authentication 10.10.10.10 1812 # 认证服务器地址与端口
quit
aaa
authentication-scheme sch1
authentication-mode radius local # 先 RADIUS，失败回落本地
quit
domain default
authentication-scheme sch1
quit
quit认证异常排查
| 现象 | 可能原因 | 排查方向 |
|---|---|---|
| 全部账号认证失败 | 共享密钥不一致或服务器不可达 | 核对密钥与网络连通性 |
| 部分账号失败 | 账号未在服务器侧创建或组属性缺失 | 核对服务器账号与授权属性 |
| 登录后权限不符 | 只配认证未配授权属性 | 检查服务器下发的角色定义 |
| 服务器故障后无法登录 | 未保留本地逃生账号 | 在认证方案中追加 local 方式 |
认证方案里务必保留 local 作为本地逃生：AAA 服务器故障或链路中断时，没有本地账号就只能到现场用控制台登录。