使用 RADIUS 服务器的 Dell Networking SONiC AAA 身份验证

Summary: 本文介绍如何在 Dell SONiC 安装的交换机上使用 RADIUS 服务器配置 AAA 身份验证。

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

提醒：本文使用运行 Dell SONiC 4.1 的交换机。

 


本文的前提条件

本文假定以下内容
  • 我们在运行 Dell Networking Sonic 和 Radius 服务器的交换机之间建立连接。
  • Radius 服务器具有预配置了所需管理权限级别 （MPL） 属性的用户详细信息。


指数

Dell SONiC
中的 AAA radius 身份验证操作
用户角色和 MPL 值
配置
配置
示例验证            

 

Dell SONiC 中的 AAA radius 身份验证


身份验证、授权和核算 （AAA） 服务可保护网络免遭未经授权的访问。

Enterprise SONiC 支持这些客户端/服务器身份验证系统
} RADIUS（远程身份验证拨入用户服务）
} TACACS+（终端访问控制器访问控制系统）
} LDAP（轻量级目录访问协议）

本文重点介绍在运行 Dell SONiC 的交换机上配置 AAA RADIUS 身份验证。

 

操作

在 RADIUS 身份验证期间，交换机充当客户端并将身份验证请求发送到服务器。此请求包含所有用户身份验证和网络服务访问信息。Radius 服务器对用户请求进行“接受”或“拒绝”响应。
如果服务器发送接受，它还将包括其配置的 MPL 值。
如果没有 MPL 值，则将为用户分配一个操作员角色。用户名管理员可能会在没有 MPL 的情况下获得管理员权限。
Enterprise SONiC 需要值为 15 的管理权限级别 （MPL） 属性才能授予授权用户的读/写访问权限。 

Radius 身份验证
 

要了解有关用户角色的更多信息，请单击下面的链接。
Dell Networking SONiC 基于角色的访问控制

 

用户角色和 MPL 值

下表提到了要在 Radius 服务器上配置的各种用户角色及其相应的 MPL 值。这是在 Dell SONiC 4.1 中测试的

                 用户角色                              MPL 价值                 
admin 15
operator 无值或 1
netadmin 14
秒管理员 13


 

配置


在交换机上配置 Radius 服务器详细信息。

配置语法
 
配置 说明
admin@DELLSONiC：~$ sonic-cli 输入 Dell sonic-cli
DELLSONiC# 配置 进入配置模式
DELLSONiC（config）# radius-server host auth-port auth-type key priority retransmit source-interface 超时 vrf 配置 radius 服务器 IP 地址/主机名和属性
DELLSONiC（config）# radius-server auth-type authentication-type> （可选）配置身份验证类型。这也可以单独配置 radius-server 主机。

要在交换机上配置 RADIUS 服务器详细信息，请输入其主机名（最多 63 个字符）、IP 或 IPv6 地址以及这些可选值：
} 服务器上的 auth-port UDP 端口号（1 到 65535; 默认值 1812）
● 传输超时（以秒为单位）（1 到 60; 默认值 5）
● 用户身份验证请求重新发送到 RADIUS 服务器的次数（0 到 10; 默认值 3）
● RADIUS 服务器与交换机之间共享的密钥文本（最多 65 个字符）。此密钥由系统加密。
● 身份验证类型 — chap、pap 或 mschapv2; 默认 pap;身份验证算法用于加密/解密交换机与 RADIUS 服务器之间发送和接收的数据。
● 用于访问多个 RADIUS 服务器以对用户进行身份验证的优先级（1 到最高优先级 64; 默认值 1）。
● 输入 VRF 名称以指定用于访问 RADIUS 服务器的 VRF。
 


启用身份验证顺序

交换机使用身份验证方法列表来定义身份验证类型及其应用顺序。默认情况下，仅使用本地身份验证方法来使用本地用户数据库对用户进行身份验证。我们可以使用本地身份验证将 RADIUS 配置为主要或辅助身份验证方法。

配置语法
 
配置 说明
DELLSONiC（config）# aaa 身份验证登录默认 radius local     配置身份验证顺序   
DELLSONiC（config）#无 aaa 身份验证登录默认值 这将删除配置的身份验证方法，并仅返回到本地身份验证
 


为 RADIUS 身份验证启用故障切换（可选）

如果需要使用多个远程服务器配置基于 RADIUS 的身份验证，请使用故障切换选项。如果一台服务器上的身份验证请求失败，则故障切换功能将继续访问方法列表中的每个服务器。

配置语法
 
配置 说明
DELLSONiC（config）# aaa 身份验证故障切换启用      启用故障通过      
DELLSONiC（config）# aaa 身份验证故障切换禁用 禁用故障通过 
 
 

示例配置

假设我们有两台服务器 10.0.0.100 和 10.0.0.130 ，并且我们使用的是 key 123

，为了进行演示，我们在 Radius 服务器中预配置了以下用户。
 
用户名                  密码         用户角色                     MPL（管理权限级别）
admin admin@123 admin 15
运算符 1        operator1@123       operator 1
 
  
admin@DELLSONiC:~$ sonic-cli
DELLSONiC# configure
DELLSONiC(config)# radius-server host 10.0.0.100 key 123
DELLSONiC(config)# radius-server host 10.0.0.130 key 123
DELLSONiC(config)# radius-server auth-type pap
DELLSONiC(config)# aaa authentication login default local group radius
DELLSONiC(config)# aaa authentication failthrough enable


要查看已配置的 RADIUS 服务器

要查看已配置的 RADIUS 服务器，请使用已配置的 show radius-server 和 show running-configuration | grep radius
  
DELLSONiC# show running-configuration | grep radius
radius-server timeout 5
radius-server auth-type pap
radius-server host 10.0.0.100 auth-port 1812 key XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX= encrypted
radius-server host 10.0.0.130 auth-port 1812 key XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX= encrypted
 
DELLSONiC# show radius-server
---------------------------------------------------------
RADIUS Global Configuration
---------------------------------------------------------
timeout        : 5
auth-type      : pap
key configured : No
--------------------------------------------------------------------------------
HOST            AUTH-TYPE KEY-CONFIG AUTH-PORT PRIORITY TIMEOUT RTSMT VRF   SI
--------------------------------------------------------------------------------
10.0.0.100      -         Yes        1812      -        -       -     -     -
10.0.0.130      -         Yes        1812      -        -       -     -     -
DELLSONiC#


 

验证


查看 AAA 身份验证

要查看 AAA 身份验证配置，用户命令 显示 running-configuration | grep aaa 并显示 aaa
  
DELLSONiC# show running-configuration | grep aaa
aaa authentication login default local group radius
aaa authentication failthrough enable
 
DELLSONiC# show aaa
---------------------------------------------------------
AAA Authentication Information
---------------------------------------------------------
failthrough  : True
login-method : local, radius


以具有管理员角色的管理员用户身份

登录具有管理员角色的用户登录 shell。管理员角色用户有权访问配置模式（写入访问权限） 
DELLSONiC login: admin
Password:
Last login: Wed Sep 13 00:04:08 UTC 2023 on ttyS0
Linux DELLSONiC 5.10.0-8-2-amd64 #1 SMP Debian 5.10.46-5 (2021-09-23) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/

admin@DELLSONiC:~$
admin@DELLSONiC:~$ sonic-cli
DELLSONiC#
DELLSONiC# configure
DELLSONiC(config)#


以操作员角色作为运算符 1 登录

具有操作员角色的用户直接输入 sonic-cli，而不是 shell。此外，操作员无法进入配置模式（只读）。
  
DELLSONiC login: operator1
Password:
Last login: Tue Sep 12 18:29:02 UTC 2023 on ttyS0
Linux DELLSONiC 5.10.0-8-2-amd64 #1 SMP Debian 5.10.46-5 (2021-09-23) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/

DELLSONiC#
DELLSONiC# conf
             ^
% Error: Invalid input detected at "^" marker.
DELLSONiC#


故障 排除

要调试 RADIUS 服务，请检查 /var/log/auth.log 文件夹中的日志文件，以及 show in-memory-logging 和 show logging SONiC CLI 命令输出中的日志文件。
有关更详细的日志记录，请在CONFIG_DB redis 数据库中 AAA 表的身份验证密钥中将调试字段设置为 True ，或联系技术支持。

Affected Products

PowerSwitch E3200-ON Series, Dell EMC Networking N3200-ON, PowerSwitch S5212F-ON, PowerSwitch S5224F-ON, PowerSwitch S5232F-ON, PowerSwitch S5248F-ON, PowerSwitch S5296F-ON, PowerSwitch Z9100-ON, PowerSwitch Z9264F-ON, PowerSwitch Z9332F-ON , PowerSwitch Z9432F-ON ...
Article Properties
Article Number: 000217350
Article Type: How To
Last Modified: 22 Sep 2023
Version:  6
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.