Маршрутизаторы серии ME поддерживают функции аутентификации и авторизации через внешние сервера RADIUS и TACACS+, а также учет сессий TACACS+.

Настройка разделена на 3 этапа:
1) конфигурация сервера
2) AAA
3) line

Для начала работы с RADIUS/TACACS-сервером укажем его адрес (при необходимости указываем vrf):

(config)# radius-server host 192.168.16.55 vrf mgmt-intf

Задаём IP-адрес, который будет использоваться для отправки пакетов на RADIUS-сервер:

(config-host)# source-address 192.168.17.208

Указываем пароль для доступа к RADIUS-серверу:

(config-host)# password ARBUZ 

Пароль хранится в зашифрованном виде. 

Если у вас в конфигурации используется несколько серверов, можно задать им приоритеты:

(config-host)# priority 5000

Укажем глобальные параметры: время ожидания ответа RADIUS-сервера и количество попыток обращения к нему

(config)# radius-server timeout 5
(config)# radius-server retransmit 5

Также имеется индивидуальная настройка timeout для каждого сервера.

В нашем случае финальный вариант будет выглядеть следующим образом:

radius-server host 192.168.16.55 vrf mgmt-intf 
  password encrypted BD8621588A 
  priority 5000 
  source-address 192.168.17.208 
exit 
radius-server timeout 5 
radius-server retransmit 5

Настраиваем методы аутентификации для будущего списка “RADIUS”. в категории method реализовано 4 параметра аутентификации:

(config)# aaa authentication login RADIUS
(config-login)# method
  Login method           Set login method 
    ldap                 Authentication via LDAP server 
    local                Local authentication 
    radius               Authentication via RADIUS server 
    tacacs               Authentication via TACACS server 

Для примера будем использовать следующие методы:

aaa authentication login RADIUS 
  method radius 
  method local 
exit

Данная конфигурация означает следующее:

Если RADIUS-сервер не ответит в течение заданных интервалов (timeout и retransmit), аутентификация будет выполнена на основе локальной базы пользователей маршрутизатора.

Опция aaa accounting login позволяет отправлять на RADIUS-сервер информацию о событиях входа и выхода пользователей:

(config)# aaa accounting login start-stop radius

Следующим шагом настраиваем аутентификацию входа пользователей при подключении по Telnet/SSH/console через ранее созданный список “RADIUS”, а также устанавливаем автоматическое закрытие сессии после 5 минут неактивности пользователя:

(config)# line telnet login authentication RADIUS 
(config)# line telnet session-timeout 5