Здравствуйте. Помогите настроить ааа на свиче. Вот тот конфиг, что работает на 3026:

create authen server_host 10.126.130.27 protocol radius port 1812 key "rad_key" timeout 5 retransmit 2
config authen server_group radius delete server_host 10.126.130.27 protocol radius
create authen server_host 10.126.130.29 protocol radius port 1812 key "rad_key" timeout 5 retransmit 2
config authen server_group radius delete server_host 10.126.130.29 protocol radius
config authen server_group radius add server_host 10.126.130.27 protocol radius
config authen server_group radius add server_host 10.126.130.29 protocol radius
config authen_login default method local
create authen_login method_list_name NMS-login
config authen_login method_list_name NMS-login method radius local
config authen_enable default method local_enable
create authen_enable method_list_name NMS-enable
config authen_enable method_list_name NMS-enable method radius local_enable
config authen application console login method_list_name NMS-login
config authen application console enable method_list_name NMS-enable
config authen application telnet login method_list_name NMS-login
config authen application telnet enable method_list_name NMS-enable
config authen application ssh login method_list_name NMS-login
config authen application ssh enable method_list_name NMS-enable
config authen application http login method_list_name NMS-login
config authen application http enable method_list_name NMS-enable
config authen parameter response_timeout 30
config authen parameter attempt 3
enable authen_policy
config authen enable_admin none state enable
config authen enable_admin radius state enable
config authen enable_admin tacacs state enable
config authen enable_admin tacacs+ state enable
config authen enable_admin xtacacs state enable
config authen enable_admin local state enable
config admin local_enable


пытался настроить его же на 3028 - нет команды config authen enable_admin....

В результате на свитч я захожу, но с минимальными привилегиями. Какие атрибуты VSA отдавать чтоб корректно работало разграничение прав?

На данной серии можно только зайти под user и потом повысить уровень прав до администраторских командой enable admin. Для этого нужно создать учетную запись для пользователя enable на сервере.

_________________
С уважением,
Бигаров Руслан.

т.е. на RADIUS-сервере должно каким-то образом быть указано кому можно выполнять эту команду?

Нужно знать пароль для повышения прав до администратора.

В принципе логика верная. Если сможете на Radius сервере задать кому выполнять enable admin а кому нет то эта задача будет решена. Ещё обратите внимание что в последних версиях прошивки DES-3028 появилось логирование по user-ам и командам, что позволяет определить по логам и syslog-у например какие команды кто под админом вводил.

Большое спасибо за разъяснение!
Сейчас пока у нас:

config authen application telnet login method_list_name NMS-login
config authen application telnet enable default

т.е. RADIUS-сервер определяет возможность входа на свитч, а вот повышаются права уже локально, используя административные логин/пароль.
Думаю, это временное решение, пока админ не настроит свой RADIUS)))))

Рад слышать!