华为AAA认证详解

帅欣州

AAA （Authentication Authorization Accounting ）是一种提供认证、授权和计费的技术。

l  认证（Authentication ）：验证用户是否可以获得访问权，确定哪些用户可以访问网络。

l  授权（Authorization ）：授权用户可以使用哪些服务。

l  计费（Accounting ）：记录用户使用网络资源的情况。】

AAA 通常采用“客户端—服务器”结构。这种结构既具有良好的可扩展性，又便于集中管理用户信息。

1.        认证

     不认证：对用户非常信任，不对其进行合法检查，一般情况下不采用这种方式。

     本地认证：将用户信息配置在网络接入服务器上。本地认证的优点是速度快，可以为运营降低成本，缺点是存储信息量受设备硬件条件限制。

     远端认证：将用户信息配置在认证服务器上。支持通过 RADIUS（Remote Authentication Dial In User Service）协议或 HWTACACS（HuaWeiTerminal Access Controller Access Control System）协议进行远端认证。

如果在一个认证方案中采用多种认证模式，将按照配置的顺序进行认证。当配置的认证方式是先远端认证后本地认证时，如果登录的帐号在远端服务器上没有创建，但是在本地是存在的，经过远端认证时，将被认为认证失败，不再转入本地认证。只有在远端认证服务器无响应时，才会转入本地认证。如果选用了不认证（ none ）或本地认证（ local ），它必须作为最后一种认证模式。

2.        授权

AAA 支持以下授权方式：

    不授权：不对用户进行授权处理。

    本地授权：根据网络接入服务器为本地用户账号配置的相关属性进行授权。

     HWTACACS 授权：由 HWTACACS服务器对用户进行授权。

if-authenticated 授权：如果用户通过了认证，而且使用的认证模式是本地或远端认证，则用户授权通过。

     RADIUS 认证成功后授权：RADIUS协议的认证和授权是绑定在一起的，不能单独使用 RADIUS 进行授权。

如果在一个授权方案中使用多次授权，授权模式的执行顺序按照配置的先后，只有在当前授权模式没有响应时，才会尝试下一个授权模式，如果授权失败则将不会再进行授权。

3.        计费

AAA 支持以下计费方式：

     不计费：不对用户计费。

     远端计费：支持通过RADIUS 服务器或 HWTACACS 服务器进行远端计费。

Ø  RADIUS 协议

远程认证拨号用户服务 RADIUS（RemoteAuthentication Dial-In User Service）是一种分布式的、客 户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于 UDP 的 RADIUS 帧格式及其消息传输机制，并规定 UDP 端口 1812、1813 分别作为认证、计费端口。  

RADIUS 最初仅是针对拨号用户的 AAA 协议，后来随着用户接入方式的多样化发展，RADIUS 也适应多种用户接入方式，如以太网接入、ADSL 接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

RADIUS 服务器一般运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。RADIUS 客户端一般位于网络接入服务器 NAS（Network Access Server）设备上，可以遍布整个网络，负责传输用户信息到指定的 RADIUS 服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。

安全机制

RADIUS 客户端和 RADIUS 服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密。

Ø  HWTACACS 协议

HW 终端访问控制器控制系统协议HWTACACS（Huawei Terminal Access Controller Access Control System）是在 TACACS（RFC 1492）基础上进行了功能增强的安全协议。该协议与 RADIUS 协议类似，采用客户端/服务器模式实现 NAS 与 HWTACACS 服务器之间的通信。

HWTACACS 协议主要用于点对点协议PPP（Point-to-Point Protocol）和虚拟私有拨号网络 VPDN （VirtualPrivate Dial-up Network）接入用户及终端用户的认证、授权和计费。其典型应用是对需要登录到设备上进行操作的终端用户进行认证、授权、计费。设备作为 HWTACACS 的客户端，将用户名和密码发给 HWTACACS 服务器进行验证。用户验证通过并得到授权之后可以登录到设备上进行操作。

HWTACACS 协议和 RADIUS 协议的比较

HWTACACS 协议与 RADIUS 协议都实现了认证、授权、计费的功能，它们有很多相似点：结构 上都采用客户端/服务器模式；都使用公共密钥对传输的用户信息进行加密；都有较好的灵活性和可扩展性。

与 RADIUS 相比，HWTACACS 具有更加可靠的传输和加密特性，更加适合于安全控制。

部分内容节选自：百度文库：华为思科AAA认证解析

助教：马季

_随性

感谢楼主分享！

renwin007

牛人啊