AAA
配置AAA、路由器安全
authentication 认证
authorization 授权 accounting审计
authentication 用户名 密码 或者证书等
authorization 权限授权,授权给用户使用命令,访问资源,获取信息
accounting
什么人、什么时间、做了什么事情
AAA工作原理
Router(从AAA server上拿用户名密码,通过radius or T+协议)
Radius or T+(协议)
AAA Server
router也可以用本地数据库
什么情况下使用AAA?
1、提供NAS(network access server)的比较多(网络访问服务器)
2、人数比较多,账户特别多 上千个账号,无法管理
3、人员变动频繁
Clients-------------NAS--------------AAA Server
AAA三大经典运用
1、登陆到设备进行管理 登入 nas telnet、ssh、http、https
2、穿越防火墙internet 穿越 nas
auth-proxy(ios)、cut-through(ASA)
3、Ipsec and SSL VPN拨入 拨入 nas
pptp、l2tp、pppop、ipsec-vpn、ssl-vpn.....
tacacs+
radius
port
49
1812 and 1813
protocol
tcp
udp
encryption
full packet encryption
encrypts only passwords
vty 额aux默认login的,没有密码是进不来的
console口默认是no login的,没有密码是可以进来的
cisco Acs服务器搭建
加载盘,选择非linux系统,安装acs等装完后,setup初始化设置,需要设置ip地址,掩码等信息
思科会提供一个类似于ios系统的linux os平台管理
登陆ACS服务器https://ip/
首次登陆用户名 acs应用默认是acsadmin passwd是default 首次登陆需要更改密码
AAA配置有风险
路由器客户端启用aaa
aaa new-model
aaa group server tacacs+ Yeslab-ACS
server-private 10.0.0.1 key cisco
服务器配置aaa
添加一acs组 cisco
添加一acs用户 cisco 完毕
路由器上测试
test aaa group Yeslab-ACS acsuser cisco new-code------测试
aaa authentication login yeslab group yeslab----写条策略名为yeslab等待调用
line vty 0 15
login authentication yeslab vty下调用验证
telent 10.0.0.1
用户名为acsuser 密码为acs服务器上设置的密码