RADIUS 身份验证

您（网络管理员）可以使用不同的协议对网络设备上的用户进行集中身份验证，包括 RADIUS 和 TACACS+。我们推荐使用 RADIUS，因为它是多供应商 IETF 标准，其功能比 TACACS+ 或其他专有系统更广泛地被接受。此外，我们建议使用一次性密码系统来提高安全性，这些系统的所有供应商都支持 RADIUS。

当您的优先级是互操作性和性能时，应使用 RADIUS：

• 互操作性 — RADIUS 比 TACACS+ 更具可互操作性，这主要是因为 TACACS+ 的专有性质。虽然 TACACS+ 支持更多协议，但普遍支持 RADIUS。

• 性能 — 路由器和交换机上的 RADIUS 重量要轻得多。因此，网络工程师通常更喜欢 RADIUS 而不是 TACACS+。

要在设备上使用 RADIUS 身份验证，请通过在层次结构级别为[edit system]每台 RADIUS 服务器添加一个radius-server语句，来配置有关网络上一个或多个 RADIUS 服务器的信息。设备将按配置顺序查询 RADIUS 服务器。如果主服务器（配置的第一个服务器）不可用，设备将尝试联系列表中的每台服务器，直到收到响应。

网络设备可以将经过 RADIUS 身份验证的用户映射到本地定义的用户帐户或用户模板帐户，由此决定授权。默认情况下，在以下情况下， Junos OS 会将经过 RADIUS 身份验证的用户分配给用户模板帐户 remote（如果已配置）：

• 经过身份验证的用户没有在本地设备上配置用户帐户。

• RADIUS 服务器未将用户分配给本地用户模板，或服务器分配的模板未在本地设备上配置。

RADIUS 服务器可以将经过身份验证的用户分配给其他用户模板，以便向该用户授予不同的管理权限。用户在 CLI 中保留相同的登录名，但从分配的模板继承登录类、访问权限和有效用户 ID。如果经过 RADIUS 身份验证的用户未映射到任何本地定义的用户帐户或用户模板，并且 remote 未配置该模板，则身份验证将会失败。

注意：

用户名是 remote Junos OS 中的一种特殊情况，必须始终使用小写。它充当由远程服务器进行身份验证但在设备上没有本地配置用户帐户的用户的模板。 Junos OS 会将模板的 remote 权限应用于那些没有本地定义帐户的经过身份验证的用户。映射到 remote 模板的所有用户都在同一登录类中。

由于要在多台设备上配置远程身份验证，因此通常在配置组中进行配置。此处显示的步骤位于名为 global的配置组中。使用配置组是可选的。

要配置 RADIUS 服务器的身份验证，请执行以下操作：

基于 TLS 的 RADIUS （RADSEC） 可在 Junos 设备与 RADIUS 服务器之间进行安全加密通信，以进行系统身份验证和计费。系统使用 OpenSSL API 建立 SSL/TLS 会话并执行证书验证。

重要提示：此配置适用于层次结构下的 system系统级身份验证（管理访问）。对于网络访问控制的 RADSEC 配置，请在层次结构下 access配置 RADSEC。

RADSEC 在 TCP 端口 2083（而不是 UDP 端口 1812/1813）上使用 TLS 加密来保护管理身份验证流量。RADSEC 支持两种身份验证模式：

• 单向 TLS： 客户端使用受信任的 CA 证书验证服务器的证书颁发机构证书。
• 相互 TLS （mTLS）： 客户端和服务器都使用证书相互验证。

开始之前：

确保以下几点：

• 证书颁发机构证书可用于服务器验证
• 客户端证书可用（仅相互身份验证需要）

配置 CA 证书颁发机构证书：

您可以复制该文件并将其重命名为主题 <hash>.0 /var/tmp/certs/<trusted-ca-group>/。或者，您还可以创建一个带有主题 <hash>.0 /var/tmp/certs/<trusted-ca-group> 的符号链接，并将其链接到实际的证书文件。

1. 生成主题名称哈希：
2. 创建符号链接：

注意：

如果有多个证书颁发机构文件具有相同的主题名称哈希值，则它们的扩展名应该不同;例如，“E5D93F80.1”等。搜索将根据分机号码的相应排序方式进行。

示例：

配置客户端证书（仅限相互认证）：

为了进行相互身份验证，请将客户端证书和私钥 /var/tmp/certs/<certificate-id>/放在 中。

该文件夹必须包含：

• client.crt - 客户端证书文件
• client.key - 客户端私钥文件

示例：

要为系统身份验证配置 RADSEC：

默认情况下， Junos OS 通过默认路由实例路由 RADIUS 的身份验证、授权和计费数据包。您还可以通过非默认 VRF 实例中的管理接口路由 RADIUS 数据包。

要通过 mgmt_junos 管理实例路由 RADIUS 数据包，请执行以下操作：

1. 启用 mgmt_junos 管理实例。

2. 为 RADIUS 身份验证服务器和 RADIUS 计费服务器（如果已配置）配置 routing-instance mgmt_junos 该语句。

要在路由器或交换机上使用RADIUS身份验证，请通过在层次结构级别为[edit system]每台RADIUS服务器包含一个radius-server语句来配置网络上一个或多个RADIUS服务器的信息：

server-address 是 RADIUS 服务器的地址。

您可以指定要联系 RADIUS 服务器的端口。默认情况下，使用端口号 1812（如 RFC 2865 中指定）。您还可以指定用于发送计费数据包的计费端口。默认值为 1813（如 RFC 2866 中指定）。

您必须在语句中 secret password 指定密码。如果密码中包含空格，请用引号括起来。本地路由器或交换机使用的密钥必须与服务器使用的密钥匹配。

或者，您可以指定本地路由器或交换机等待接收来自 RADIUS 服务器的响应的时间长度（在语句中 timeout ）以及路由器或交换机尝试联系 RADIUS 身份验证服务器的次数（在语句中 retry ）。默认情况下，路由器或交换机等待 3 秒。您可以将其配置为 1 到 90 秒之间的值。默认情况下，路由器或交换机会重试连接到服务器三次。您可以将其配置为 1 到 10 倍的值。

您可以使用该 source-address 语句为单个服务器或多个 RADIUS 服务器指定逻辑地址。

要配置多个 RADIUS 服务器，请包含多个 radius-server 语句。

要配置一组共享单个帐户以进行授权的用户，请创建一个模板用户。为此，请在层次结构级别包含[edit system login]该user语句，如 LDAP、RADIUS、TACACS+ 和本地密码的身份验证顺序中所述。

您还可以在[edit access][edit access profile]层次结构级别配置 RADIUS 身份验证。Junos OS 使用以下搜索顺序来确定哪一组服务器用于身份验证：

1. [edit access profile profile-name radius-server server-address]

2. [edit access radius-server server-address]

3. [edit system radius-server server-address]

可以在路由器或交换机上配置质询握手身份验证协议版本 2 （MS-CHAPv2） 的 Microsoft 实现，以支持密码更改。此功能为访问路由器或交换机的用户提供在密码过期、重置或配置为下次登录时更改密码的选项。

要配置 MS-CHAP-v2，请在 [edit system radius-options] 层次结构级别加入以下语句：

以下示例显示用于配置 MS-CHAPv2 密码协议、密码身份验证顺序和用户帐户的语句：

您可以指定 Junos OS 在访问您的网络时使用哪个源地址，以便与外部 RADIUS 服务器联系以进行身份验证。您还可以指定 Junos OS 在联系 RADIUS 服务器以发送计费信息时使用的源地址。

要为 RADIUS 服务器指定源地址，请在层次结构级别包含[edit system radius-server server-address]该source-address语句：

source-address 是在其中一个路由器接口或交换机接口上配置的有效 IP 地址。

要配置 RADIUS 记账：