AAA配置

ACS访问原理ACS主要是应用于运行Cisco IOS软件的思科网络设备，当然，ACS也全部或部分地适用于不运行Cisco IOS软件的各种其他思科网络设备。

这其中包括：•Cisco Catalyst交换机（运行Cisco Catalyst操作系统[CatOS]）•Cisco PIX防火墙（还有ASA/FWSM ）•Cisco VPN 3000系列集中器不运行Cisco IOS软件的思科设备（如运行CatOS的Cisco Catalyst交换机、运行Cisco PIX操作系统的Cisco PIX防火墙或Cisco VPN 3000集中器）可能也支持启用特权、TACACS＋（验证、授权和记帐[AAA]）命令授权或以上两者。

运行Cisco IOS软件的思科设备提供了两种网络设备管理解决方案：•启用权利(Enable priviledges)•AAA命令授权Cisco IOS软件有16个特权级别，即0到15（其他思科设备可能支持数目更少的特权级别；例如，Cisco VPN 3000集中器支持两个级别）。

在缺省配置下，初次连接到设备命令行后，用户的特权级别就设置为1。

为改变缺省特权级别，您必须运行启用命令，提供用户的启用口令和请求的新特权级别。

如果口令正确，即可授予新特权级别。

请注意可能会针对设备上每个权利级别而执行的命令被本地存储于那一设备配置中。

这些等级缺省是有命令集的，比如说等级1只有一些基本的show命令等，而等级15是全部命令的集合。

其他像2~14共13个等级的命令集是要用户自己在认证设备本地定义的。

缺省级别：特权级别说明0 包括disable, enable, exit, help和logout命令1 包括router>提示值时的所有用户级命令15 包括router#提示值时的所有启用级命令可修改这些级别并定义新级别：enable password level 10 pswd10privilege exec level 10 clear lineprivilege exec level 10 debug ppp chapprivilege exec level 10 debug ppp errorprivilege exec level 10 debug ppp negotiation每个设备上都有静态本地口令与特权级别相关联，这样有一个重要的内在缺陷：每个用户的启用口令必须在用户需访问的每个设备上进行配置。

为缓解这种情况提出的管理可扩展性问题，TACACS＋可从中央位置提供特权级别授权控制。

TACACS＋服务器通常允许各用户有自己的启用口令并获得特定特权级别。

这样即可从单一中央位置禁用用户或改变其特权级别，而不会影响其他管理员。

因为特权级别需在网络中每个设备上正确配置，以便管理员能在其管理的设备上有一致的体验，这就引发了另一个主要的问题。

而不幸的是，使用TACACS＋实现的启用特权级别控制的集中化，并不能解决这一规模管理可扩展性问题。

为解决此问题，可在TACACS＋服务器中定位命令授权。

凭借此设置，设备上键入的任意命令都首先会针对当前特权级别进行检查，如果检查通过，它就会提交给TACACS＋服务器进一步检查。

下图为此设备用来判断是否用户得到执行命令行授权的逻辑。

注意图中的红框标注，标明先要经过本地的登记命令认证，然后再通过ACS的认证。

下面授权部分还会具体讲到。

用户登录，被TACACS＋验证；失败；用户登出；TACACS授权…；用户输入Cisco IOS命令行；命令是否允许…；下一命令；授权命令行…；设备执行命令行。

TACACS＋能在用户登录设备时预定义用户获得的初始特权。

这使管理员能在连接至设备时就能立即获得特权级别15。

认证（Authentication）配置一、添加AAA客户端点击左边“Network Configuration”，进入分组管理后，点击“Add Entry”，进入如下界面，按提示输入AAA客户端名称，IP地址和Key。

这里主要的是“key”，这个必须与客户端配置一致，才能进行通信。

然后点击“Submit+Restart”即可。

客户端上面配置如下即可：aaa new-modeltacacs-server host a.b.c.dtacacs-server directed-request //这个命令默认启用，只发送用户名到TACACS服务端，而不是全名username@host，如果用户指定的hostname不匹配TACACS服务器上配置上配置的客户端IP地址，则请求被拒绝tacacs-server key ******二、添加用户组在认证部分，只要将用户添加到某个组中，不必要对组进行过多的设置。

只要注意一点，就是设置Enable Options，这是在用户登陆后允许用户获得的最大权限等级如果这里Max设置为10，当你输入Enable 12后会出现：表示认证失败，如果选择No Enable Privilege则不能进入特权模式。

同样，这个Enable Options也可以在User Setup中的Advanced TACACS+ Settings中进行设置，User Setup中的设置会覆盖Group Setup中的设置。

三、添加用户点击“User Setup”，添加用户名，点击“Add/Edit”，进入下一个界面；输入密码，选择正确的用户组，点击“Submit”即可。

四、客户端配置aaa authentication login default group tacacs+aaa authentication enable default group tacacs+line vty 0 4login authentication default授权（Authorization ）配置一、Shared Profile Components配置点击左边“Shared Profile Components”，继续点击“Shell Command Authorization Sets”，进入下一个界面；点击Add一个set后，出现如下界面：•当选中“Deny”时表示不匹配框中命令的全部拒绝•勾选“Permit Unmatched Args”表示不匹配框中命令的全部允许。

然后这个框中的命令格式为permit/deny ***。

•需要注意的是左边框中的命令必须在AAA客户端本地有命令集，也就是应证了ACS的授权处理过程：先匹配本地命令集，再匹配ACS的命令集（本地当前的特权级别下必须先定义过存在这个命令）。

比如要允许show run这个命令，须点选Deny，然后在框中add命令show，然后在右框中输入permit run或者勾选“Permit Unmatched Args”。

上图表示这个权限的用户不能执行int g0/1和int g0/2的命令，但可以执行int g0/3等。

二、用户组设置在Group Setup中的TACACS+ Settings那一栏里面需要选中红框标注部分•Shell（exec）：启用TACACS命令授权•Privilege level：表示用户认证完成登陆后的默认优先级。

注意：这条命令必须要和AAA客户端上配置的aaa authorization exec defaultgroup tacacs+一起使用，表示启用授权认证，否则这里设置的优先级无效。

接下来在Shell Command Authorization Set中选择在前面步骤一中定义的“Shell Command Authorization Sets”三、客户端配置aaa authorization consoleaaa authorization config-commandsaaa authorization exec default group tacacs+ noneaaa authorization commands 0 default group tacacs+ noneaaa authorization commands 1 default group tacacs+ noneaaa authorization commands 10 default group tacacs+ noneaaa authorization commands 15 default group tacacs+ noneprivilege interface level 10 shutdownprivilege interface level 10 noprivilege interface level 10 swprivilege interface level 10 switchportprivilege interface level 10 switchport mode accessprivilege configure level 10 interfaceprivilege exec level 10 configureprivilege exec level 10 show run命令注解：aaa authorization console这是个隐藏命令，表示对从console口登陆的用户也用AAA服务器进行授权。

如果不配置这条命令，无论你是否在line console 0 配置 authorization exec default 或者 authorization command 15 default 等等，交换机都不会对console用户输入的任何命令发到AAA服务器进行授权的检查！也就是说，根本不能对console用户进行任何命令的限制，只要用户名和密码正确，在console口就可以作任何事。

基本上在IOS 12.0(9)之前的版本里，没有这个命令。

aaa authorization config-commands这个命令表示对 (config)# 全局模式下输入的命令也进行授权检查。

否则，只会对“>”用户模式和“#”特权模式下的命令进行授权的检查。

如果是这样，只要你允许某个用户在特权模式下运行“config t”，那么他就可以在全局模式下运行任何命令。

显然，很多时候我们需要允许用户进入全局模式下进行配置，但是又只能允许他运行某些命令。

这就必须要在交换机上配置这条命令。

配置中的“default”是关键字，默认系统的认证，授权，计费都是用“default”列表。

当然你可以配置其他的名字，如aaa authorization exec TELNET group tacacs+ none…然后在你想要应用的端口应用他们：line vty 0 15login authentication TELNETPrivilege命令是指在本地建立等级10的命令集，只有本地已经存在了这些命令，这些命令才能够在ACS上面做相应的授权。