https://support.huawei.com/enterprise/zh/doc/EDOC1100086563/6a5cea22
AAA概念
AAA认证有两个基本的协议：
TACACS：全称终端访问控制器访问控制系统（Terminal Access Controller Access-Control System），一般用于控制网络设备（交换机，路由器，防火墙等）的SSH或Telnet的控制协议。Cisco设备使用TACACS+，华为系列的设备使用HWTACACS。端口号：TCP 49。
RADIUS：Remote Authentication Dial In User Service，远程用户拨号认证系统由RFC2865，RFC2866定义，是目前应用最广泛的AAA协议。RADIUS的认证端口是UDP 1812，记账端口是UDP 1813。RADIUS一般用于用户接入网络，或者远程访问V(P)N的用户身份验证。
简单总结一下：TACACS用于设备网管，RADIUS用于用户接入。
一般来说，一台AAA服务器可以同时实现TACACS和RADIUS这两种协议的功能。常见的AAA服务器有Cisco ISE、Cisco ACS、华为Esight、H3C IMC，还有微软的Active Diretory活动目录域功能也可以实现；但不管是哪一种服务器，都需要服务器和被管设备在网络上可以通信。
华为设备配置TACACS 和RADIUS 与AAA联动，让SSH 与Telnet的用户名与密码由AAA集中管理。
配置命令
- authentication-profile name default_authen_profile
- authentication-profile name dotlx_authen_profile
- authentication-profile name mac_authen_profile
- authentication-profile name portal authen profile
- authentication-profile name dotlxmac authen_profile
- authentication-profile name multi authen_profile
radius-server template default - #radius模板，使用默认值即可
hwtacacs-server template Template01 - #这里的)为模板名称Template01，待会要调用
hwtacacs-server authentication <AAA服务器IP> - hwtacacs-server authorization <AAA服务器IP>
- hwtacacs-serveraccounting <AAA服务器IP>
- #如果只有一个AAA服务器，则这三个地址是相同的
hwtacacs-server source-ip<与AAA联动的本地地址> - #与AAA联动的本地地址，一般是Loopback地址
hwtacacs-server shared-key cipher<共享密钥，宇符串>undo hwtacacs-server user-name domain-included
注意：一般采用 tacacs+local 登录方式。同时保留本地登录方式，如果本地设备与AAA断开，则交给本地Local认证处理。
AAA配置 – S2720, S5700, S6700 V200R019C10 配置指南-用户接入与认证 – 华为 (huawei.com)
802.1X 认证
802.1x提供基于二层的访问控制方法，同时提供了集中管理的功能。
在交换机的端口上开启802.1x功能，则计算机上需要安装相应的iNode软件，使用RADIUS服务器上的用户名和密码登录，才能接入到网络中。
华为交换机启用802.1x
interface g1/0/1
port link-type access
dot1x
NAC（Network Admission Control）称为网络接入控制，是一种“端到端”的安全结构，包括802.1X认证、MAC认证与Portal认证。
