17AAA原理和配置

一、前言

• 对于任何网络，用户管理都是最基本的安全管理要求之一。
• AAA(Authentication, Authorization, and Accounting)是一种管理框架，它提供了授权部分用户访问指定资源和记录这些用户操作行为的安全机制。因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。AAA可以通过多种协议来实现，在实际应用中，最常使用RADIUS(Remote Authentication Dial-In User Service)协议。
• 本章将介绍AAA基本概念、AAA的实现方式、AAA的基本配置以及常见AAA应用场景。

二、AAA概述

1.AAA基本概念

• AAA是Authentication(认证)、Authorization(授权)和Accounting(计费)的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

2.AAA常见架构

• AAA常见网络架构中包括用户、NAS(Network Access Server)(网络接入服务器)、AAA服务器(AAA Server)。

• NAS负责集中收集和管理用户的访问请求。
• 在NAS上会创建多个域来管理用户。不同的域可以关联不同的AAA方案。AAA方案包含认证方案，授权方案，计费方案。
• 当收到用户接入网络的请求时，NAS会根据用户名来判断用户所在的域，根据该域对应的AAA方案对用户进行管控。

3.认证(Authentication )

• AAA支持的认证方式有:不认证，本地认证，远端认证。

4.授权(Authorization )

• AAA支持的授权方式有:不授权，本地授权，远端授权。
• 授权信息包括:所属用户组、所属VLAN、ACL编号等。

5.计费(Accouting )

• 计费功能用于监控授权用户的网络行为和网络资源的使用情况。
• AAA支持的计费方式有:不计费，远端计费。

6.AAA实现协议-RADIUS

• AAA可以用多种协议来实现，最常用的是RADIUS协议。

7.AAA常见应用场景

三、AAA配置实现

1.配置命令

1.1.进入AAA视图

[Huawei] aaa

从系统视图进入AAA视图进行配置

1.2.创建认证方案

[Huawei-aaa] authentication-scheme authentication-scheme-name

创建认证方案并进入相应的认证方案视图

[Huawei-aaa-authentication-scheme-name) authentication-mode { hwtacacs | local | radius }

配置认证方式，local指定认证方式为本地认证。缺省情况下，认证方式为本地认证。

1.3.创建domain并绑定认证方案

[Huawei-aaa] domain domain-name

创建domain并进入相应的domain视图

[Huawei-aaa-domain-name] authentication-scheme authentication-scheme-name

在相应的domain视图下绑定认证方案

1.4.创建用户

[Huawei-aaa] local-user user-name password cipher password

创建本地用户，并配置本地用户的密码:

• 如果用户名中带域名分隔符，如@，则认为@前面的部分是用户名，后面部分是域名
• 如果没有@，则整个字符串为用户名，域为默认域

1.5.配置用户接入类型

[Huawei-aaa] local-user user-name service-type {{ terminal | telnet | ftp | ssh | snmp | http } | ppp | none}

设置本地用户的接入类型。缺省情况下，本地用户关闭所有的接入类型。

1.6.配置用户级别

[Huawei-aaa] local-user user-name privilege level level

指定本地用户的权限级别。

2.AAA配置案例

• 在设备R1上配置用户密码和级别，使主机A可以通过配置的用户名和密码远程登录到设备。

[R1]aaa
[R1-aaa]local-user huawei password cipher huawei123
[R1-aaa]local-user huawei service-type telnet
[R1-aaa]local-user huawei privilege level 0
[R1]user-interface vty 0 4
[R1-ui-vty0-4]authentication-mode aaa

3.配置验证

3.1配置验证1

• AAA中，每个域都会与相应的认证授权和计费方案相关联，当前为默认域。

3.2配置验证2

• 用户正常登录并且下线之后可以看到用户的记录信息。