1. 为什么企业需要AAA认证系统想象一下你管理着一栋有100个房间的写字楼每个房间的门锁都需要不同的钥匙。如果每次有新员工入职或离职你都要挨个更换门锁这得多麻烦企业网络管理也是同样的道理。AAA认证系统就像一套智能门禁系统它能帮你实现集中管理所有设备登录认证统一处理再也不用逐个配置交换机、防火墙权限分级CEO、部门主管、普通员工的网络权限可以精细划分操作留痕谁在什么时间登录了哪些设备系统自动记录审计日志我在给某制造企业部署这套系统时他们的IT主管说之前每次有员工离职都要花3天时间修改全厂50多台网络设备的密码。上线AAA系统后只需要在AD域里禁用账号就完成了所有设备的访问权限回收。2. 环境准备与AD域部署2.1 硬件配置建议根据我处理过的20企业案例建议服务器配置CPU至少4核实测双核跑ADNPS在200人规模企业会卡顿内存16GB起步每增加100用户建议加4GB磁盘系统盘SSD 256GB数据盘建议RAID1的1TB HDD注意千万别用虚拟机快照功能做AD域备份我见过有客户因为快照回滚导致整个域崩溃的案例正确的备份方法是用Windows Server Backup做系统状态备份。2.2 AD域安装实操打开服务器管理器跟着这些步骤操作# 先安装AD域服务模块 Install-WindowsFeature AD-Domain-Services -IncludeManagementTools安装完成后别急着配置有几个关键点要注意域名规划建议用二级域名如corp.yourcompany.com避免使用.local后缀会和Bonjour服务冲突林功能级别如果公司没有旧版Windows设备直接选Windows Server 2016级别DNS集成务必勾选DNS服务器选项否则后面NPS会出问题有个客户曾经因为图省事直接用了server1作为域名结果后来要建子公司时发现命名冲突不得不重建整个AD域。3. NPS服务器深度配置3.1 Radius协议的那些坑NPS本质上是个Radius服务器但Windows的实现有些特殊之处端口冲突1812端口可能被其他服务占用可以用这个命令检查netstat -ano | findstr 1812共享密钥建议用16位以上包含大小写字母数字的组合别用常见的Password1233.2 策略配置技巧在配置网络策略时90%的企业都会忽略这两个设置会话超时建议设置为480分钟8小时避免VPN用户频繁重连厂商特定属性华为设备需要特别添加这些VSAVendorSpecific Vendor-Id2011/Vendor-Id Vendor-Type26/Vendor-Type Vendor-Length6/Vendor-Length Vendor-Data00000001/Vendor-Data /VendorSpecific我遇到过最棘手的案例是某公司策略优先级设置错误导致高管账户反而无法访问核心交换机。后来发现是因为把默认策略优先级设得比高管策略还高。4. 华为设备对接实战4.1 配置模板详解这是经过30多次调试验证的华为设备配置模板radius-server template Radius-Win radius-server shared-key cipher YourComplexPassword!2023 radius-server authentication 192.168.1.10 1812 weight 80 radius-server retransmit 3 radius-server user-name domain-included aaa authentication-scheme Radius-Win authentication-mode radius local authentication-scheme radius accounting-scheme Radius-Win accounting-mode radius accounting start-fail online domain radius authentication-scheme Radius-Win accounting-scheme Radius-Win radius-server Radius-Win关键参数说明weight 80当有多个Radius服务器时设置权重retransmit 3超时重试次数默认2次在弱网环境不够start-fail online计费失败时保持用户在线状态4.2 排错指南当遇到认证失败时按这个顺序检查在NPS服务器事件查看器中查看Windows日志→安全事件在华为设备执行display radius-attribute display aaa online-fail-record用网络抓包工具检查Radius报文是否被防火墙拦截有个经典故障案例客户的所有配置都正确但就是认证失败。最后发现是机房防火墙默认拦截了UDP 1812端口。所以记住三分配置七分排错。5. 高可用架构设计5.1 双机热备方案真正的企业级部署至少要2台服务器主AD域控制器运行AD DS和DNS服务备AD域控制器同步所有数据独立NPS服务器建议与AD分开部署我曾经帮一家医院设计过这样的架构两台物理服务器做AD域然后在Hyper-V上跑NPS集群。这样即使硬件故障认证服务也不会中断。5.2 负载均衡配置对于超过500用户的企业建议这样优化# 在NPS服务器上设置负载阈值 Set-NpsRadiusClient -Name 华为核心交换机 -LoadBalanceThreshold 500监控指标参考值CPU持续70%时考虑扩容内存使用80%需要优化认证延迟200ms需要检查网络6. 日常运维要点6.1 备份策略我强烈推荐这个备份方案每日系统状态备份到NAS每周完整备份到异地机房每月做一次裸机恢复测试有次客户机房漏水AD服务器完全损毁。幸亏有异地备份我们用新硬件2小时就恢复了全部账户数据。6.2 密码策略设置在AD域中这样设置更安全Set-ADDefaultDomainPasswordPolicy -Identity corp.yourcompany.com -MinPasswordLength 12 -ComplexityEnabled $true -LockoutThreshold 5 -LockoutDuration 00:30:00但要注意别把策略设得太严格。有家金融公司要求15位密码每周更换结果员工都把密码写在便利贴上贴在显示器旁反而更不安全。