用户接入安全与资源管理是基础工作。这篇文章了梳理AAA的核心概念、常见架构、域与用户的管理逻辑以及基本的配置与排查命令。一、AAA基础术语Authentication认证确认用户身份的真实性。Authorization授权针对已认证用户分配访问权限与资源边界。Accounting计费/审计记录用户会话相关的活动日志用于计费或审计追踪。NASNetwork Access Server网络接入服务器负责用户接入与AAA交互的设备常见为路由器、防火墙、交换机等。RADIUSRemote Authentication Dial In User Service远程认证系统用于上网用户认证与授权其认证与授权绑定通常不单独用RADIUS做授权。HWTACACSHuawei Terminal Access Controller Access Control System华为终端访问控制系统用于集中化的认证、授权、计费管理。二、AAA概述与常见架构AAA是认证、授权、计费三位一体的安全管理机制。在典型的网络架构中主要由三部分构成用户、NAS网络接入服务器与AAA服务器。接入流程中用户向NAS发起接入请求NAS按照域Domain的策略决定认证方式、授权方式与计费方式并与后端AAA服务器如RADIUS或HWTACACS交互完成整个流程。三、域与用户管理NAS基于域来对用户进行管理。每个域可独立配置认证、授权和计费方案用于对该域下的用户生效。用户的域归属由用户名中的域名分隔符“”后的字符串决定。例如“user1domain1”属于“domain1”域。如果用户名不带“”则用户属于系统缺省域。四、认证与授权不授权不对用户进行授权处理通常仅完成认证。本地授权由NAS设备上对应域的本地配置进行授权策略由设备本地定义。远端授权由后端服务器进行授权支持RADIUS或HWTACACS。HWTACACS授权使用HWTACACS服务器对所有用户进行授权。RADIUS授权仅支持对通过RADIUS服务器认证的用户授权。RADIUS的认证与授权是绑定在一起的不能单独使用RADIUS进行授权。五、计费Accounting不计费为用户提供免费上网服务不产生相关活动日志。远端计费通过RADIUS或HWTACACS服务器进行远端计费。对运营场景或审计要求较高的企业网络远端计费能提供更全面的会话记录与数据留存。