利用ACS实现AAA服务器

AAA 简介 <?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

AAA 是 Authentication ， Authorization and Accounting （认证、授权和计费）的简

称，它提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架，

它是对网络安全的一种管理。

AAA 可完成下列服务：

? 认证：验证用户是否可获得访问权。

? 授权：授权用户可使用哪些服务。

? 计费：记录用户使用网络资源的情况。

AAA 的优点

? 灵活易控。

? 标准化的认证方法。

? 多重备用系统。

AAA 的基本配置包括：

? 使能 AAA

? 配置认证

? 配置授权

? 配置计费

ACS简介：

ACS全名为思科安全访问控制服务器，是一个高度可扩展、高性能的访问控制服务器，提供了全面的身份识别网络解决方案，CISCO SECURE ACS通过在一个集中身份识别联网框架中将身份验证、用户或管理员接入及策略控制相结合。强化了接入安全性。

RADIUS简介：

RADIUS（Remote Authentication Dial In User Service）协议是在IETF的RFC 2865和2866中定义的。RADIUS 是基于 UDP 的一种客户机/服务器协议。RADIUS客户机是网络访问服务器，它通常是一个路由器、交换机或无线访问点。RADIUS服务器通常是在UNIX或Windows 2000服务器上运行的一个监护程序。RADIUS 协议的认证端口是1812 ，计费端口是1813。

RADIUS服务器中的数据库：

RADIUS 服务器通常要维护三个数据库：第一个数据库“Users”用于存储用户信息

（如用户名、口令以及使用的协议、IP 地址等配置），第二个数据库“Clients”用

于存储RADIUS 客户端的信息（如共享密钥），第三个数据库“Dictionary”存储

的信息用于解释RADIUS 协议中的属性和属性值的含义。

RADIUS工作过程示意图

RADIUS的工作过程

RADIUS协议旨在简化认证流程。其典型认证授权工作过程是：

1、用户输入用户名、密码等信息到客户端或连接到NAS；

2、客户端或NAS产生一个“接入请求（Access-Request）”报文到RADIUS服务器，其中包括用户名、口令、客户端（NAS）ID 和用户访问端口的ID。口令经过MD5算法进行加密。

3、RADIUS服务器对用户进行认证；

4、若认证成功，RADIUS服务器向客户端或NAS发送允许接入包（Access-Accept），否则发送拒绝加接入包（Access-Reject）；

5、若客户端或NAS接收到允许接入包，则为用户建立连接，对用户进行授权和提供服务，并转入6；若接收到拒绝接入包，则拒绝用户的连接请求，结束协商过程；

6、客户端或NAS发送计费请求包给RADIUS服务器；

7、RADIUS服务器接收到计费请求包后开始计费，并向客户端或NAS回送开始计费响应包； 8、用户断开连接，客户端或NAS发送停止计费包给RADIUS服务器；

9、RADIUS服务器接收到停止计费包后停止计费，并向客户端或NAS回送停止计费响应包，完成该用户的一次计费，记录计费信息。

实验部分：

ACS软件在这里不便上传，有需求的可以Q(395061796)

搭建ACS服务器的环境：

首先配置IP地址

安装JDK

安装acs

安装过程

我们需要降低浏览器安全级别

编写华为设备的一些私有属性

设置AAA客户端：

设置AAA服务器端：

集中的TELNET验证

创建组

进入H3C私有属性，打开并选择管理员级别权限；

提交完成

至此ACS服务器的环境搭建完成。

案例一：

试验需求：

设备需求：H3C s2000 HI交换机

软件需求：cisco acs4.0

试验目的：实现账号的集中管理，利用ACS实现AAA服务器

试验拓扑图：

配置命令：

<Quidway>system-view【进入系统视图】

[Quidway]int Vlan-interface 1【进入vlan1,给vlan10配置ip地址，此时的交换机角色为AAA客户端】

[Quidway-Vlan-interface1]ip add 192.168.100.20 255.255.255.0

[Quidway-Vlan-interface1]quit

[Quidway]radius scheme zhangc【创建方案名为zhangc】

[Quidway-radius-zhangc]primary authentication 192.168.100.30【主验证服务器的ip】

[Quidway-radius-zhangc]accounting optional【审计的模式】

[Quidway-radius-zhangc]key authentication 123456【验证的钥匙】

[Quidway-radius-zhangc]server-type huawei【服务类型为导入到acs服务中的h3c私有属性】

[Quidway-radius-zhangc]user-name-format without-domain【不在传输域名】

[Quidway-radius-zhangc]quit

[Quidway]domain zzz【创建域zzz】

[Quidway-isp-zzz]radius-scheme zhangc【该域引用方案zhangc】

[Quidway-isp-zzz]accounting optional【审计模式】

[Quidway-isp-zzz]access-limit enable 10【最多只允许10个用户同时登陆】

[Quidway-isp-zzz]quit

[Quidway]user-interface vty 0 4【进入虚拟接口】

[Quidway-ui-vty0-4]authentication-mode scheme【配置验证方式为scheme】

需要将服务类型改为STANDARD之后，才能进行ssh验证

[Quidway]radius scheme zhangc【进入方案zhangc】

[Quidway-radius-zhangc]server-type standard【将服务类型修改为standard】

[Quidway]rsa local-key-pair create【产生私钥】

[Quidway]ssh authentication-type default password【使用ssh方式登录】

试验结果：

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

案例二：

试验需求：

设备需求：H3C R3600系列路由器

软件需求：cisco acs4.0

试验目的：实现账号的集中管理，利用ACS实现AAA服务器

配置代码：

[Router]int e 0【进入以太网0网卡】

[Router-Ethernet0]ip add 192.168.100.20【设置IP地址】

[Router]aaa-enable【启动AAA】

[Router]aaa authentication-scheme login zhangc radius【创建zhangc方案，采用radius方式验证】

[Router]radius server 192.168.100.30【设置radius服务器的IP地址】

[Router]radius shared-key 123456【钥匙】

[Router]login-method authentication-mode telnet zhangc【登陆方式为telnet】

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

案例三：

试验需求：

设备需求：H3C 防火墙

软件需求：cisco acs4.0

试验目的：实现账号的集中管理，利用ACS实现AAA服务器

试验拓扑图：

配置命令：

[F4]radius scheme zhangc【创建方案zhangc】

[F4-radius-zhangc]primary authentication 192.168.100.30【指明AAA服务器端的Ip】

[F4-radius-zhangc]accounting optional【审计】

[F4-radius-zhangc]key authentication 123456【钥匙】

[F4-radius-zhangc]user-name-format without-domain【传送账号和密码的时候不带域名】

[F4-radius-zhangc]server-type extended【服务类型扩展（huawei）】

[F4]domain zzz【创建域名为zzz】

[F4-isp-zzz]radius-scheme zhangc【使用方案zhangc】

[F4-isp-zzz]access-limit enable 10【限制最多10个用户】

[F4-isp-zzz]accounting optional【审计可选】

[F4-ui-vty4]user-interfac vty 0 4

[F4-ui-vty0-4]authentication-mode scheme【验证方式】

试验结果：

转载于:https://blog.51cto.com/zhangc/974183