认证服务器一挂全员堵在门外？华为交换机主备RADIUS再加本地兜底
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
接入认证做集中化之后，RADIUS服务器就成了整张网络的咽喉：员工连Wi-Fi、访客上Portal、管理员登设备，认证请求都往一台服务器汇聚。它一旦宕机，新用户统统认证失败，全员堵在门外，规模越大的网络场面越难看。稳住咽喉的办法是三层保险：认证服务器上一台主用一台备用，主用没响应时请求自动转向备用；两台都失联时，再落到设备本地的本地认证兜底。配置上就是把RADIUS模板、认证方案、计费方案、域四样东西串起来。
先建RADIUS服务器模板，把两台服务器都挂进去。认证和计费各配两条：地址加端口，权重高的为主用，权重低的为备用，主备两台的地址段通常一致、只是角色不同。共享密钥必须与服务器侧完全一致，这是常见的对接翻车点；重传次数给两次，别让用户在前方干等：
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] radius-server template shiva
[Switch-radius-shiva] radius-server authentication 10.7.66.66 1812 weight 80
[Switch-radius-shiva] radius-server accounting 10.7.66.66 1813 weight 80
[Switch-radius-shiva] radius-server authentication 10.7.66.67 1812 weight 40
[Switch-radius-shiva] radius-server accounting 10.7.66.67 1813 weight 40
[Switch-radius-shiva] radius-server shared-key cipher YsHsjx_202206
[Switch-radius-shiva] radius-server retransmit 2
[Switch-radius-shiva] undo radius-server user-name domain-included
[Switch-radius-shiva] quit
其中那条undo命令值得说明：如果服务器不认带域名的用户名，用它让设备发出的用户名剥掉域名后缀，但用户归属的域判定不受影响，两码事。接着定义认证与计费方案，认证模式写成“radius local”，顺序就是兜底顺序；计费方案里加一条宽松策略——开始计费失败也允许用户上线，别让计费故障放大成业务故障：
[Switch] aaa
[Switch-aaa] authentication-scheme auth
[Switch-aaa-authen-auth] authentication-mode radius local
[Switch-aaa-authen-auth] quit
[Switch-aaa] accounting-scheme abc
[Switch-aaa-accounting-abc] accounting-mode radius
[Switch-aaa-accounting-abc] accounting start-fail online
[Switch-aaa-accounting-abc] quit
在域下把三个部件装配起来，并把这个域设为全局默认域——用户名不带域名时也走这套配置：
[Switch-aaa] domain huawei
[Switch-aaa-domain-huawei] authentication-scheme auth
[Switch-aaa-domain-huawei] accounting-scheme abc
[Switch-aaa-domain-huawei] radius-server shiva
[Switch-aaa-domain-huawei] quit
[Switch-aaa] quit
[Switch] domain huawei
[Switch] domain huawei admin
本地兜底别忘了备粮：预先在设备上建好应急账号，给足权限，平时冻结在配置里不启用，服务器全挂时它就是进场抢修的钥匙：
[Switch] aaa
[Switch-aaa] local-user user1 password irreversible-cipher YsHsjx_202207
[Switch-aaa] local-user user1 service-type http
[Switch-aaa] local-user user1 privilege level 15
[Switch-aaa] quit
收尾用一条命令核对模板全貌：两台认证、两台计费服务器连同权重、状态并列在列，状态都是UP才算对接成功：
[Switch] display radius-server configuration template shiva
------------------------------------------------------------------------------
Server-template-name : shiva
Server-template-index : 1
Protocol-version : standard
Traffic-unit : B
Shared-secret-key : ******
Group-filter : class
Timeout-interval(in second) : 5
Retransmission : 2
EndPacketSendTime : 0
Dead time(in minute) : 5
Domain-included : NO
NAS-IP-Address : 0.0.0.0
Calling-station-id MAC-format : xxxx-xxxx-xxxx
Called-station-id MAC-format : XX-XX-XX-XX-XX-XX
NAS-Port-ID format : New
Service-type : -
NAS-IPv6-Address : ::
Detect-interval(in second) : 60
Authentication Server 1 : 10.7.66.66 Port:1812 Weight:80 [UP]
Vrf:- LoopBack:NULL Vlanif:NULL
Source IP: ::
Authentication Server 2 : 10.7.66.67 Port:1812 Weight:40 [UP]
Vrf:- LoopBack:NULL Vlanif:NULL
Source IP: ::
Accounting Server 1 : 10.7.66.66 Port:1813 Weight:80 [UP]
Vrf:- LoopBack:NULL Vlanif:NULL
Source IP: ::
Accounting Server 2 : 10.7.66.67 Port:1813 Weight:40 [UP]
Vrf:- LoopBack:NULL Vlanif:NULL
Source IP: ::
------------------------------------------------------------------------------
主备加本地三层保险配齐后，服务器宕机就从“全网事故”降级成“后台告警”：主备切换用户无感，极端情况下运维还能凭本地账号进场抢修。把这套三层保险写进网络的交付基线，认证链路的可用性就不再看单台服务器的运气，欢迎搜索关注贵州诚鑫致达科技，获取更多交换机认证组网与准入部署的实操经验。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。贵州县域市场：县城及乡镇企业存储、办公网络与监控存储。
