术语说明

术语	说明
AAA	认证（Authentication）、授权（Authorization）、审计（Accounting）的简称。认证验证用户身份；授权决定用户能够使用的命令、能够访问的资源和能够获得的信息；审计记录什么人、什么时间、做了什么事情。
NAS	Network Access Server，网络接入服务器，指路由器、交换机、防火墙等网络设备。NAS将管理员的认证、授权、审计请求转发至AAA服务器。
RADIUS	Remote Authentication Dial In User Service，远程用户拨号认证服务，由RFC2865/RFC2866定义，是目前应用最广泛的AAA协议。使用UDP 1812（认证）/1813（计费），仅加密密码字段，认证与授权结合，主要用于网络接入。
TACACS+	Terminal Access Controller Access-Control Server Plus，终端访问控制器控制系统协议，由Cisco于1990年推出。使用TCP 49，加密整个payload，认证与授权分离，主要用于设备管理员管理，支持命令级授权与审计。
HWTACACS	华为对TACACS+进行扩展的私有协议。认证流程与实现方式和TACACS+一致，协议层面完全兼容；但华为与思科的扩展属性在字段定义和解释上存在区别，不一定能够兼容。
设备权限等级	厂商对用户权限的分级，用户级别与命令级别对应，用户登录后只能使用等于或低于自己级别的命令。如华为命令级别由低到高分为参观级、监控级、配置级、管理级，对应权限等级值0、1、2、3。
TACACS+命令集	按设备权限管理需求自定义的命令集合，通过在策略中分配命令集实现细粒度（命令级）授权；可设置未匹配命令的允许/拒绝策略，支持批量导入、导出和删除。
敏感命令集	由shutdown、reboot、delete、save等高风险命令组成的集合；用户执行命中敏感命令集的命令时，DKEY AM通过邮件/短信发送风险预警。
域（Domain）	网络设备上的认证域，用于关联认证、授权、审计方案与HWTACACS服务器模板（如domain ndkey）；可通过domain <域名> admin将其指定为设备管理域。
DKEY AM	宁盾一体化身份管理平台。网络设备AAA管理基于RADIUS、TACACS+标准协议，并对各设备厂商的私有协议属性进行适配，实现对特权用户身份的统一认证、授权、审计。
组合密码	将静态密码与OTP动态口令按“静态密码+OTP”顺序拼接后一次性输入的密码形式；若项目同时启用双因素认证，设备登录密码可采用组合密码方式。

认证场景

通讯协议说明

协议	RADIUS	TACACS+
承载协议与端口	UDP 1812/1813	TCP 49
加密方式	仅加密密码字段	加密整个payload
认证与授权	认证与授权结合	认证与授权分离
主要用途	网络接入（Network Access）	设备管理员管理（Device Administrator）
命令级授权/审计	不支持（认证与授权结合）	支持（基于TACACS+命令集）

注：HWTACACS是华为对TACACS+扩展的私有协议，认证流程与实现方式与TACACS+一致，协议层面完全兼容；不同厂商扩展属性的字段定义和解释存在区别，不一定互相兼容。

网络设备（SSH/Telnet）

适用范围

路由器、交换机等网络设备的SSH/Telnet管理登录（SSH TCP 22、Telnet TCP 23）。设备作为NAS，通过TACACS+协议对接DKEY AM服务器：使用标准Tacacs+认证端口（TCP 49）。对接实现管理员登录认证、命令授权与命令审计。

认证流程

1. 管理员通过SSH或Telnet登录设备，输入用户名和密码。

2. 设备作为NAS，将账号密码通过TACACS+提交至DKEY AM发起认证请求。

3. DKEY AM校验账号密码，校验通过后返回认证结果，并分配该用户的设备权限等级（或TACACS+命令集）。

4. 设备放行用户登录，并赋予用户对应的设备权限等级。

5. 管理员输入命令时，设备将命令通过TACACS+提交DKEY AM进行命令授权；DKEY AM与用户的TACACS+命令集权限进行匹配，匹配通过返回授权结果，并形成TACACS+授权日志。

6. 设备执行命令，并将执行结果返回DKEY AM，形成TACACS+审计日志。

注：未匹配到命令集的命令，按命令集“未匹配命令”策略（允许/拒绝执行）处理。若项目同时启用双因素认证，登录密码为“静态密码+OTP”组合密码，具体以项目配置为准。

网络设备（Web）

适用范围

交换机、路由器、防火墙等设备的Web管理控制台登录（HTTPS 443）。设备Web管理平台通过TACACS+协议对接DKEY AM服务器：使用标准Tacacs+认证端口（TCP 49）。对接实现管理员登录认证、命令授权与命令审计。

Web管理员登陆场景，虽然也走Tacacs协议，但一般没有命令审计授权的概念，只是做认证。

认证流程

1. 管理员打开设备Web管理登录页，输入用户名和密码

2. 设备Web管理平台将认证请求通过Tacacs+（TCP 49）转发至宁盾MFA服务器。

3. 宁盾AAA服务器校验静态密码，返回认证结果。

4. 认证通过后设备建立Web管理会话，管理员进入管理控制台；失败则拒绝登录。