Aruba switch設定Radius server/Tacas server

Aruba switch設定Radius server/Tacas server

不管是要做MAC認證或是802.1X認證，甚至是透過外部Server做switch登入帳號的驗證，都
需要設定Radius server。

設定好Radius server是做外部Server驗證中很重要的一環，也有各種參數可以調整。

基本設定

#radius-server host X.X.X.X 指定Radius Server

#radius-server host X.X.X.X key XXXX 指定Radius Server與Key，後面還可以附加
參數(acct-port/auth-port/oobm)修改radius的port號與指定oobm介面

#ip source-interface radius vlan/ip/loopback 指定來源介面(一台L3設備可能有很多
介面，要指定一個與Radius server溝通的介面)

Server group設定

在Aruba switch裡面存在著Server group的概念，雖然你可以設定15台Radius server，但是
只有前面的三台會加進預設的Server group，(做Radius認證的時候只會去詢問這三台Server)

透過指令將已經設定好的Radius server加進特定的server group

#aaa server-group radius XXX host X.X.X.X

透過指令檢視server-group設定

#show server-group radius

可以注意到一台radius server可以被新增進不同的server group

可以透過指令讓不同的驗證服務找不同Server group的Radius server，可以做到802.1X認證
找某三台Server，登入switch的radius認證找另外三台Server的設定。

#aaa authentication ssh/telnet/web/console login radius server-group XXX

為ssh/telnet/web/console登入指定某個Server group

#aaa authentication port-access eap-radius server-group XXX

為802.1X認證指定某個Server group

Radius server相關時間參數設定

預設Aruba switch會去詢問Radius server，如果5秒內沒有回應(timeout)，則會
再問一次(retransmit)，因為retransmit的預設值是3，所以會連續問1+3次，共20秒。

20秒都問不到Radius server，則會依照Server group裡的radius清單，繼續詢問'
下一台Radius server，三台都問完之後，會從第一台開始問。

這時候可以設定時間間隔(dead-time)，來讓switch不會一直去反覆詢問Radius server

#radius-server timeout <1-15>  設定timeout時間，預設5秒

#radius-server retransmit <1-5> 設定重問次數，預設3次

#radius-server dead-time <1-1440> 設定dead-time(分鐘)

#show radius 檢視相關設定

CPPM 相關指令

radius-server host X.X.X.X dyn-authorization

radius-server host X.X.X.X time-window 0

Radius server tracking

透過啟用Radius server tracking，Aruba switch會成為Radius client
去跟Radius做認證來確保Radius server的可用性

#radius-server tracking enable 啟用tracking

#radius-server tracking interval <60-86400> 設定認證間隔時間

#radius-server tracking user-name 設定user-name

檢視Aruba switch與Radius server互動的狀態

雖然可以透過show radius來檢視radius server是否存活(後面帶*號的)

但是如果想要觀察更細節的狀態，請啟用debug

#debug destination session 將debug的訊息送到session畫面

#debug security radius-server 啟用radius server的debug

Tacas server

#tacacs-server host X.X.X.X key XXX 設定Tacas server的IP/Key

#tacacs-server timeout <1-255>

#tacacs-server dead-time <0-1440>

#show tacacs 檢視設定

Tacas server不支援Server group，最多可以設定3台Tacas server

#aaa authentication telnet enable tacacs 設定telnet進enable mode使用tacas

#aaa authentication telnet login tacacs設定telnet login 使用tacas

#aaa authentication ssh enable tacacs 設定ssh進enable mode使用tacas

#aaa authentication ssh login tacacs設定ssh login 使用tacas

tacas的指令後面可以再接 none/local來指定是否使用第二種認證方式

#show authentication 檢視目前認證設定的狀態