目录

简介

先决条件

要求

使用的组件

配置

配置交换机进行身份验证和授权

FreeRADIUS配置

验证

故障排除

相关信息

简介

本文档介绍如何使用第三方RADIUS服务器(FreeRADIUS)在Cisco IOS®交换机上配置RADIUS身份验证。本示例介绍身份验证时用户直接进入特权15模式的情况。

先决条件

要求

确保在FreeRADIUS中将您的Cisco交换机定义为客户端，并且在FreeRADIUS和交换机上定义了IP地址和相同的共享密钥。

使用的组件

本文档中的信息基于以下软件和硬件版本：

- FreeRADIUS

- 思科IOS版本12.2

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

配置交换机进行身份验证和授权

1. 要在交换机上创建具有完全回退访问权限的本地用户，请输入：

Switch(config)#username admin privilege 15 password 0 cisco123!

2. 要启用AAA，请输入：

switch(config)# aaa new-model

3. 要提供RADIUS服务器的IP地址和密钥，请输入：

switch# configure terminal

switch(config)#radius-server host 172.16.71.146 auth-port 1645 acct-port 1646

switch(config)#radius-server key hello123

注：密钥必须与交换机的RADIUS服务器上配置的共享密钥匹配。

4. 要测试RADIUS服务器可用性，请输入test aaa命令：

switch# test aaa server Radius 172.16.71.146 user1 Ur2Gd2BH
测试身份验证失败，服务器拒绝，因为它尚未配置，但它将确认服务器本身可以访问。

5. 要将登录身份验证配置为在无法访问RADIUS时回退到本地用户，请输入：

switch(config)#aaa authentication login default group radius local

6. 要配置权限级别为15的授权，只要对用户进行身份验证，请输入：

switch(config)#aaa authorization exec default group radius if-authenticated

FreeRADIUS配置

在FreeRADIUS服务器上定义客户端

1. 要导航到配置目录，请输入：

# cd /etc/freeradius

2. 要编辑clients.conf文件，请输入：

# sudo nano clients.conf

3. 要添加由主机名标识的每个设备（路由器/交换机）并包括正确的共享密钥，请输入：

client 192.168.1.1 {

secret = secretkey

nastype = cisco

shortname = switch

}

4. 要编辑用户文件，请输入：

# sudo nano users

5. 添加允许访问设备的每个用户。此示例演示如何为用户“cisco”设置15的Cisco IOS权限级别。

cisco Cleartext-Password := "password"

Service-Type = NAS-Prompt-User,

Cisco-AVPair = "shell:priv-lvl=15"

6. 要重新启动FreeRADIUS，请输入：

# sudo /etc/init.d/freeradius restart

7. 要更改用户文件中的DEFAULT用户组，以便为cisco-rw成员的所有用户授予15的权限级别，请输入：

DEFAULT Group == cisco-rw, Auth-Type = System

Service-Type = NAS-Prompt-User,

cisco-avpair :="shell:priv-lvl=15"

8. 您可以根据需要在FreeRADIUS用户文件中添加处于不同权限级别的其他用户。例如，此用户（寿命）的级别为3（系统维护）：

sudo nano/etc/freeradius/users

life  Cleartext-Password := "testing"

Service-Type = NAS-Prompt-User,

Cisco-AVPair = "shell:priv-lvl=3"

Restart the FreeRADIUS service:

sudo /etc/init.d/freeradius restart

注：本文档中的配置基于在Ubuntu 12.04 LTE和13.04上运行的FreeRADIUS。

验证

要验证交换机上的配置，请使用以下命令：

switch# show  run | in radius       (Show the radius configuration)

switch# show run | in aaa           (Show the running AAA configuration)

switch# show startup-config Radius  (Show the startup AAA configuration in

start-up configuration)

故障排除

目前没有针对此配置的故障排除信息。

相关信息

- FreeRADIUS

- 技术支持和文档 - Cisco Systems