MSR2600路由器hwtacacs网页登录失败

故障原因

SSH 正常、HTTPS Web 登录 HWTACACS 失败，核心两点：

1. ISP 域只配置了 authentication login，缺少 authorization login（登录授权）。V7 版本 Web 登录必须 HWTACACS 返回 RBAC 用户角色，SSH 只做命令行授权，Web 登录依赖 login 授权拿到角色；只有认证没有授权，直接报 AAA 认证失败。
2. HWTACACS 服务器侧账号没有下发 web 可用的 RBAC 角色（network-admin 等），SSH 可以正常，但 Web 登录拿不到权限。

正确域配置（domain system）

重点：必须配置authorization login，Web 登录使用 login 授权获取用户角色。

HWTAC 服务器侧配置

服务器上该账号的属性需要下发角色：roles="network-admin"，没有角色，Web 认证直接失败。

注意：SSH 登录走 command 授权，不需要 login 角色；Web HTTPS 登录强制依赖 login 授权返回 RBAC 角色，这就是 SSH 能登录、网页不行的根本区别。

排查命令

打开 debug 可以看到服务器是否返回 roles 角色属性。

补充

把 domain 改回authentication login local本地账号能 Web 登录，就是本地用户自带角色；远程 HWTAC 账号必须由 tacacs 服务器下发 RBAC 角色。

一句话极简总结：SSH 只用命令授权，Web HTTPS 登录需要 ISP 域配置 authorization login，并且 HWTACACS 服务器给账号下发 roles=network-admin 角色。

配置是：

hwtacacs scheme tacacs
primary authentication 172.31.254.21
primary authorization 172.31.254.21
primary accounting 172.31.254.21
key authentication cipher XXX
key authorization cipher XXX
key accounting cipher XXX
user-name-format without-domain
nas-ip 172.16.190.2
#
domain cqccn-tacacs
authentication login hwtacacs-scheme tacacs local
authorization login hwtacacs-scheme tacacs local
accounting login hwtacacs-scheme tacacs local
authorization command hwtacacs-scheme tacacs
#
domain system
authentication login local
#
domain default enable tacacs
用本地账号带@system 可以在网页上正常登录，但用hwtacacs账号登录失败。

debugging hwtacacs all

*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Processing TACACS authentication.
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Session successfully created.
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Getting available server, server-ip=172.31.254.21, server-port=49, VPN instance=--(public).
*Jan 1 00:24:32:155 2011 H3C TACACS/7/EVENT: PAM_TACACS: Connecting to server...
*Jan 1 00:24:32:160 2011 H3C TACACS/7/EVENT: PAM_TACACS: Reply SocketFd received EPOLLOUT event.
*Jan 1 00:24:32:160 2011 H3C TACACS/7/EVENT: PAM_TACACS: Connection succeeded, server-ip=172.31.254.21, port=49, VPN instance=--(public).
*Jan 1 00:24:32:160 2011 H3C TACACS/7/EVENT: PAM_TACACS: Encapsulating authentication request packet.
*Jan 1 00:24:32:161 2011 H3C TACACS/7/send_packet:
version: 0xc0 type: AUTHEN_REQUEST seq_no: 1 flag: ENCRYPTED_FLAG
session-id: 0x341ac847
length of payload: 42
action: LOGIN priv_lvl: 0 authen_type: ASCII service: LOGIN
user_len: 8 port_len: 0 rem_len: 14 data_len: 12
user: XXX
port:
rem_addr: 172.16.191.253
data: ******
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Reply SocketFd received EPOLLIN event.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/recv_packet:
version: 0xc0 type: AUTHEN_REPLY seq_no: 2 flag: ENCRYPTED_FLAG
session-id: 0x341ac847
length of payload: 16
status: STATUS_GETPASS flags: NOECHO
server_msg len: 10 data len: 0
server_msg: password:
data:
%Jan 1 00:24:32:167 2011 H3C WEB/5/LOGIN_FAILED: xxx 从 172.16.191.253 登录失败, AAA认证失败.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Processing authentication reply packet.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Reply message successfully sent.
*Jan 1 00:24:32:167 2011 H3C TACACS/7/EVENT: PAM_TACACS: Processing TACACS authentication.