华三配置radius认证

Radius 登录秒退完整根因排查（按出现概率排序）
一、先梳理当前配置缺陷
vty 0 4 配置了 authentication-mode scheme 走 domain dm1 的 radius 认证；
radius 记账 accounting 配置为none，部分 iMC Radius 服务器强制要求记账报文，无记账会主动断开会话；
权限下发、user-role、domain 授权、session-control、用户名格式、密钥不匹配都会秒退。
二、Top1 最高概率：Radius 服务器强制记账，你配置 accounting none
iMC EIA 默认要求终端上线后发送记账开始报文，你 domain 里：
plaintext
accounting login none
accounting default none
故障现象
账号密码校验通过（设备收到 Access-Accept），但因为设备不上报记账报文，Radius 服务器主动下发断开报文，设备立刻踢下线，表现为登录进去瞬间退出。
修复配置
bash
运行
domain dm1
accounting login radius-scheme erdos
accounting default radius-scheme erdos
同时 radius scheme 里记账地址和认证同服务器，保持不变。
三、Top2 Radius 下发权限 / 授权属性冲突，设备拒绝会话
问题 1：Authorization 授权没走 radius，本地兜底冲突
当前配置：
plaintext
authorization login radius-scheme erdos local
authorization default radius-scheme erdos local
若 iMC 侧未下发user-role、service-type、privilege-level授权属性；
设备本地兜底 local 授权优先级异常，权限不匹配直接断会话。
修复
iMC 侧账号配置权限：下发H3C-User-Role、Service-Type=Login；
调整授权顺序 radius 在前，去掉 local 兜底测试：
plaintext
authorization login radius-scheme erdos
authorization default radius-scheme erdos
问题 2：VTY 线路权限配置冲突
plaintext
line vty 0 4
user-role network-admin
user-role network-operator
Radius 下发角色和线路预配置角色冲突，设备识别权限异常断开会话。
临时测试删除线路内固定 user-role，由 Radius 统一下发：
bash
运行
system-view
line vty 0 4
undo user-role network-admin
undo user-role network-operator
四、Top3 radius session-control 强制下线报文交互异常
全局开启了 radius session-control enable，该功能允许 Radius 服务器主动下发断开指令。
场景：iMC 侧账号并发限制、在线终端数超限、账号未授权登录设备，服务器下发 Disconnect 报文，设备直接踢用户。
排查验证
临时关闭 session-control 测试是否恢复：
bash
运行
undo radius session-control enable
iMC 后台查看该账号在线终端、单账号最大在线设备限制，调低限制会触发秒退。
五、Top4 用户名格式不匹配（without-domain）
设备配置 user-name-format without-domain，即发给 radius 的用户名不带@dm1；
如果 iMC 侧账号创建时带域名后缀，认证通过但授权 / 记账校验失败，会话断开。
核对：iMC 账号是否纯用户名、无域名后缀。
六、Top5 Radius 密钥不一致（认证能过但授权 / 记账失败）
认证密钥、记账密钥和 iMC 侧不一致：
密钥错会出现 Access-Reject，但部分版本会先 Accept 再记账失败秒退；
重新核对 iMC 接入服务密钥，同步修改设备：
bash
运行
radius scheme erdos
key authentication cipher xxx
key accounting cipher xxx
七、Top6 VTY 分段配置漏洞（你配置里存在）
plaintext
line vty 0 4
authentication-mode scheme
protocol inbound ssh
line vty 5 63
无authentication-mode scheme
你 ssh 仅允许 vty0-4，若 ssh 会话随机分配到 vty5-63，这条线路未开启 scheme 认证，认证逻辑异常直接断开；
修复统一所有 vty 线路认证模式
bash
运行
line vty 0 63
authentication-mode scheme
protocol inbound ssh
八、快速定位调试命令（必做）
1. 开启 radius 调试，看完整报文交互
bash
运行
terminal debugging
terminal monitor
debugging radius packet
登录账号，观察打印：
出现Access-Accept：账号密码正确，秒退是记账 / 授权 / 服务器下发断开指令；
出现Accounting-Request无回应：服务器拒绝记账，直接断会话；
收到Disconnect-Message：iMC 主动踢下线，检查账号并发、权限。
2. 查看 domain 在线用户
bash
运行
display domain dm1 access-user
若登录后立刻消失，说明会话建立后被主动拆除。
九、最简整改步骤（优先执行）
domain 开启 radius 记账（解决最高概率秒退）
plaintext
domain dm1
accounting login radius-scheme erdos
accounting default radius-scheme erdos
全量 vty 0 63 统一配置 scheme 认证
临时关闭 session-control 测试：undo radius session-control enable
删除 vty 下预配置 user-role，由 iMC 下发权限
开启 radius debug 抓报文，确认是记账失败还是服务器主动下发断开。