Users Guide

删除 RADIUS 服务器
OS10# no radius-server host 1.2.4.5
RADIUS over TLS 身份验证
传统的基于 RADIUS 的用户身份验证通过 UDP 运行，并使用 MD5 消息摘要算法来实现安全通信。要在 RADIUS 用户身份验证
交换中提供增强的安全性，RFC 6614 定义了通过传输层安全 (TLS) 协议进行的 RADIUS。RADIUS over TLS 可在 TLS 连接中保
护整个身份验证交换，并通过以下方式提供额外的安全性：
● 使用公钥基础设施 (PKI) 证书可以执行客户端和服务器的相互身份验证
● 加密整个身份验证交换，以便用户 ID 和密码均不易发现
RADIUS over TLS 身份验证需要在证书认证机构上配置 X.509v3 PKI 证书并安装在交换机上。有关详细信息，包括 RADIUS over
TLS 的完整使用情形，请参阅 X.509v3 证书。
注: 如果您使用 crypto fips enable 命令启用 FIPS，RADIUS over TLS 在 FIPS 模式下运行。在 FIPS 模式中，
RADIUS over TLS 需要在交换机上安装符合 FIPS 的证书和密钥对。在非 FIPS 模式中，RADIUS over TLS 需要将证书安装为
非 FIPS 证书。有关如何安装与 FIPS 兼容和非 FIPS 证书的信息，请参阅请求和安装主机证书。
要配置 RADIUS over TLS 用户身份验证，请使用 radius-server host tls 命令。输入服务器的 IP 地址或主机名称，以及
用于验证 RADIUS 主机上的 OS10 交换机的共享密钥。您必须输入要与 RADIUS over TLS 身份验证一起使用的 X.509v3 安全配
置文件的名称 — 请参阅安全配置文件。您可以以纯文本或加密格式输入身份验证密钥。默认情况下，RADIUS over TLS 连接使
用 TCP 端口 2083，并且要求身份验证密钥为 radsec。您可以更改服务器上的 TCP 端口号。
● 在 CONFIGURATION 模式下的 RADIUS 服务器上配置 RADIUS over TLS 身份验证。
radius-server host {hostname | ip-address} tls security-profile profile-name
[auth-port port-number] key {0 authentication-key | 9 authentication-key |
authentication-key}
要为 RADIUS over TLS 身份验证配置多个 RADIUS 服务器，请多次重新输入 radius-server host tls 命令。如果配置多
个 RADIUS 服务器，OS10 会按照配置的顺序尝试连接。OS10 交换机一次连接一个配置的 RADIUS 服务器，直到 RADIUS 服务
器通过接受或拒绝响应进行响应。交换机尝试在配置的重新传输重试次数和超时期限内与服务器连接。
安全配置文件可确定交换机上的 X.509v3 证书，用于使用 RADIUS 服务器进行 TLS 身份验证。要为 OS10 应用程序配置安全配
置文件，请参阅安全配置文件。
为 RADIUS 服务器上允许的超时和重新传输尝试配置全局设置，如 RADIUS 身份验证中所述。
配置 RADIUS over TLS 身份验证服务器
OS10(config)# radius-server host 1.2.4.5 tls security-profile radius-prof key radsec
OS10(config)# radius-server retransmit 10
OS10(config)# radius-server timeout 10
TACACS+ 身份验证
通过输入服务器 IP 地址或主机名称来配置 TACACS+ 身份验证服务器。您还必须为用于验证 TACACS+ 主机上的 OS10 交换机
的密钥输入文本字符串。传输控制协议 (TCP) 端口条目是可选的。
TACACS+ 通过加密从交换机发送到身份验证服务器的数据包中的整个协议部分，提供更高的数据安全性。RADIUS 仅加密密
码。
● 在 CONFIGURATION 模式下配置 TACACS+ 身份验证服务器。默认情况下，TACACS+ 服务器使用 TCP 端口 49 进行身份验
证。
tacacs-server host {hostname | ip-address} key {0 authentication-key | 9
authentication-key | authentication-key} [auth-port port-number]
重新输入 tacacs-server host 命令多次，以配置多个 TACACS+ 服务器。如果您配置多个 TACACS+ 服务器，OS10 会
尝试按配置的顺序进行连接。OS10 交换机一次连接一个配置的 TACACS+ 服务器，直到 TACACS+ 服务器使用接受或拒绝响
应进行响应。
906
安全性