防火墙的AAA认证

防火墙的AAA认证

防火墙的 AAA提供基于三种数据库认证：LOCAL，TACACS+，RADIUS.使用tacacs+,radius两种认证协议来进行专门的AAA服务器与NAS之间进行接入访问认证。基本认证原理：客户机发起验证请求到NAS，而NAS帮助收集用户的验证信息并使用pre-share key与AAA服务器进行交互，AAA会对NAS提交上来的帐户进行匹对，如果认证成功则允许接入网络，相应的还会有一些授权的动作。

防火墙的 AAA认证与路由器作为NAS/AAA client认证原理基本一样，针对不同的认证需求，我们可以选择tacacs+或者radius两种不同的认证协议。具体这两种协议有哪些区别呢：

Radius：默认使用 1645,1646两个port,1645做认证，1646做授权。使用UDP用户数据报协议，不适合那种可靠性要求高或拥堵的网络中。它把认证授权绑在了一起，很难分离认证与授权两个动作。仅仅只加密KEY。不支持多协议如：x.25,appletalk,netbios,novell等网络。它是公有的认证协议。

 

Tacacs+：是 tacacs的增强版，它把认证与授权进行了分享，使这两个动作的应用更加灵活，使用的是更加可靠的连接TCP传输层协议，不仅仅只加密KEY，还把用户数据整个加密提供给AAA，安全性更突出，支持x.25,novell,appletalk,ipx,netbios等网络协议。但tacacs+是由cisco私有的。

总的来说，一般使用 radius来认证用户，使用tacacs+来授权用户，而radius是个开放的标准，相对于tacacs+则只瞄准cisco设备，而且思科设备也多使用radius协议来进行认证。

在防火墙中，认证有字符模式认证，有包模式的认证，还有隧道模式 (vpn tunnel)，cut-through的直通认证(目前只支持http,https,ftp,telnet这四种标准的流量做cut-through)，如果其它非标准的认证流量，防火墙还是会对流量进行截取并执行认证动作，但不会像前面四种流量一样会弹出图形化提示认证，所以会影响认证通过）等。

今天我不铺陈这些理论了，还是看下实验：

Top：

 

由于我的 ACS时常会出现“罢工”的情况，无法对我的认证信息进行响应，所以没法使用radius与tacacs+去进行AAA了，甚是遗憾啊，只能用本地数据库做些畸形的实验了，不过大家晓得大致原理与命令就差不多了。

需求：

1，         user去往 server的流量需要经过ASA做认证才能通过