AAA方案 (认证方案 、授权方案 、 计费方案)

AAA方案 (认证方案 、授权方案 、 计费方案)
在AAA的具体实现过程中，通过AAA方案来定义一套AAA配置策略。AAA方案是设备上制定的一套认证、授权、计费方法，可根据用户的接入特征以及不同的安全需求组合使用。
    认证方案
    授权方案
    计费方案

认证方案
认证方案用来定义用户认证时使用的认证方法以及每种认证方法生效的顺序。认证方案应用到域，与域下的授权方案、计费方案、服务器模板等配置结合，实现对用户进行认证、授权和计费。
设备支持的认证方法
    RADIUS认证：将用户信息配置在RADIUS服务器上，通过RADIUS服务器对用户进行认证。
    HWTACACS认证：将用户信息配置在HWTACACS服务器上，通过HWTACACS服务器对用户进行认证。
    本地认证：设备作为认证服务器，将用户信息配置在设备上。本地认证的优点是速度快，可以为运营降低成本，缺点是存储信息量受设备硬件条件限制。
    不认证：对用户非常信任，不对其进行合法性检查，一般情况下不采用这种方式。
认证方法的生效顺序
认证方案中可以指定一种或者多种认证方法：按照配置顺序，NAS设备首先选择第一种认证方法，当前面的认证方法无响应时，后面的认证方法才会被启用；直到某种认证方法有响应或者所有的认证方法遍历完成后均无响应（均无响应时用户认证失败）时，用户身份认证过程将被停止。
仅前一种方法无响应时，NAS设备才尝试使用下一个认证方法。如果某种认证方法回应认证失败，则意味着AAA服务器拒绝用户接入，用户身份认证过程将被停止，并且不会尝试后面的认证方法。

授权方案
授权方案用来定义用户授权时使用的授权方法以及每种授权方法生效的顺序。授权方案应用到域，与域下的认证方案、计费方案、服务器模板等配置结合，实现对用户进行认证、授权和计费。
设备支持的授权方法
    HWTACACS授权：由HWTACACS服务器对用户进行授权。
    本地授权：设备作为授权服务器，根据设备上配置的用户信息进行授权。
    不授权：不对用户进行授权。
    if-authenticated授权：用户认证通过，则授权通过，否则授权不通过。适用于用户必须认证且认证过程与授权过程可分离的场景。
RADIUS认证与授权结合，不能分离，认证成功授权也成功。采用RADIUS认证时，不需要配置授权方案。
除此之外，对于管理员用户（即Login用户），通常使用“认证+权限级别”的方法控制用户访问设备，提高对设备操作的安全性。其中，认证用来限制对网络设备的访问；权限级别定义用户登录到网络设备后可以执行的命令。该方法的详细介绍请参见《S12700, S12700E V200R020C00 配置指南（命令行）-基础配置》中的“通过CLI登录设备配置”。
授权方法的生效顺序
授权方案中可以指定一种或者多种授权方法。指定多种授权方法时，配置顺序决定了每种授权方法生效的顺序，配置在前的授权方法优先生效。当前面的授权方法无响应时，后面的授权方法才会启用。如果前面的授权方法回应授权失败，表示AAA服务器拒绝为用户提供服务。此时，授权结束，后面的授权方法不会被启用。
授权信息
授权信息分为两类：服务器下发的授权信息和域下的授权信息。用户从何处获取授权与授权方案中配置的授权方法有关。如图1-5所示：
授权方法为本地授权时，用户从域下获取授权信息。
授权方法为服务器授权时，用户从服务器和域下获取授权信息。域下配置的授权信息比服务器下发的授权信息优先级低，如果两者的授权信息冲突，则服务器下发的授权优先生效；如果两者的授权信息不冲突，则两者的授权信息同时生效。这样处理可以通过域管理进行灵活授权，而不必受限于服务器提供的授权。
图1-5 两类授权信息

服务器常用的授权信息请参见表1-3。域下支持配置的授权信息请参见表1-4。
表1-3 服务器常用的授权信息

表1-4  域下支持配置的授权信息

计费方案
计费方案用来定义用户计费时使用的计费方法。计费方案应用到域，与域下的认证方案、授权方案、服务器模板等配置结合，实现对用户进行认证、授权和计费。
设备支持的计费方法
    RADIUS计费：由RADIUS服务器对用户进行计费。
    HWTACACS计费：由HWTACACS服务器对用户进行计费。
    不计费：不对用户计费。
计费方法的生效顺序
计费方案中只能指定一种计费方法。
计费报文分为计费请求报文（Accounting-Request）和计费响应报文（Accounting-Response）。设备每发送一个计费请求报文，如果收到服务器回应的计费响应报文则代表计费成功；如果没有收到服务器回应的计费响应报文则代表计费失败。
计费功能使能后，设备会将用户的活动通过计费请求报文（Accounting-Request）发送给AAA服务器，AAA服务器根据报文中的信息对用户进行计费和审计。以RADIUS计费为例，计费请求报文分为三类：
    计费开始请求报文：用户认证成功开始访问网络资源时，设备向RADIUS服务器发送计费开始请求报文；
    计费结束请求报文：用户断开连接时（连接也可以由接入服务器断开），设备向服务器发送计费结束请求报文；
实时计费请求报文：为减少计费误差、避免计费服务器无法收到计费停止请求报文而继续对该用户计费，可以在设备上配置实时计费功能，此后设备将周期性的向RADIUS服务器发送实时计费请求报文。
正常情况下，设备每发送一个计费请求报文（Accounting-Request），服务器都会回应一个计费响应报文（Accounting-Response）。由于网络故障等原因，设备没有收到对应的计费响应报文时，称之为计费失败。在计费失败时，设备根据计费请求报文的类型对用户能否在线做出相应的处理，具体如下：
    开始计费失败：默认使用户下线。
    实时计费失败：默认允许用户在线。
    结束计费失败：重传计费结束请求报文。

NAC网络准入控制、radius、802.1X（列表、list、全）radiuslist
http://www.zh-cjh.com/wenzhangguilei/1008.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html