Маршрутизаторы серии ME поддерживают функции аутентификации и авторизации через внешние сервера RADIUS и TACACS+, а также учет сессий TACACS+.

Настройка разделена на 3 этапа:
1) конфигурация сервера
2) AAA
3) line

Для начала работы с RADIUS/TACACS-сервером укажем его адрес (при необходимости указываем vrf):

(config)# radius-server host 192.168.16.55 vrf mgmt-intf

Задаём IP-адрес, который будет использоваться для отправки пакетов на RADIUS-сервер:

(config-host)# source-address 192.168.17.208

Указываем пароль для доступа к RADIUS-серверу:

(config-host)# password ARBUZ 

Пароль хранится в зашифрованном виде. 

Если у вас в конфигурации используется несколько серверов, можно задать им приоритеты:

(config-host)# priority 5000

Укажем глобальные параметры: время ожидания ответа RADIUS-сервера и количество попыток обращения к нему

(config)# radius-server timeout 5
(config)# radius-server retransmit 5

Также имеется индивидуальная настройка timeout для каждого сервера.

В нашем случае финальный вариант будет выглядеть следующим образом:

radius-server host 192.168.16.55 vrf mgmt-intf 
  password encrypted BD8621588A 
  priority 5000 
  source-address 192.168.17.208 
exit 
radius-server timeout 5 
radius-server retransmit 5

Настраиваем методы аутентификации для будущего списка “RADIUS”. в категории method реализовано 4 параметра аутентификации:

(config)# aaa authentication login RADIUS
(config-login)# method
  Login method           Set login method 
    ldap                 Authentication via LDAP server 
    local                Local authentication 
    radius               Authentication via RADIUS server 
    tacacs               Authentication via TACACS server 

Для примера будем использовать следующие методы:

aaa authentication login RADIUS 
  method radius 
  method local 
exit

Данная конфигурация означает следующее:

Если RADIUS-сервер не ответит в течение заданных интервалов (timeout и retransmit), аутентификация будет выполнена на основе локальной базы пользователей маршрутизатора.

Опция aaa accounting login позволяет отправлять на RADIUS/TACACS информацию о событиях входа и выхода пользователей:

(config)# aaa accounting login start-stop ?
  radius  Enable RADIUS servers
  tacacs  Enable TACACS servers

Следующим шагом настраиваем аутентификацию входа пользователей при подключении по Telnet/SSH/console через ранее созданный список “RADIUS”, а также устанавливаем автоматическое закрытие сессии после 5 минут неактивности пользователя:

(config)# line telnet login authentication RADIUS 
(config)# line telnet session-timeout 5 

Если RADIUS оптимален для массовой аутентификации пользователей, то TACACS создан специально для административного доступа, позволяя контролировать каждую команду в CLI и вести детальный аудит действий.

Включение логирования команд пользователя на TACACS сервер:

(config)# aaa accounting commands
  start-only  Configure the start-only accounting command executed by the user
  start-stop  Configure the start-stop accounting command executed by the user
  stop-only   Configure the stop-only accounting command executed by the user

Включение авторизации команд пользователя через TACACS:

(config)# aaa authorization commands tacacs

Базовая настройка TACACS:

aaa accounting commands stop-only tacacs
aaa accounting login start-stop tacacs
aaa authentication login TACACS 
  method tacacs
  method local
exit
aaa authorization commands tacacs
tacacs-server host 192.168.16.55 vrf mgmt-intf
  password encrypted 88B11079B9014FAAF7B9
  priority 10  
  source-address 192.168.17.208
exit
tacacs-server timeout 5
line ssh login authentication TACACS