AAA-介绍PPT课件

工作站 认证服务器
4
AAA配置
1、开启AAA：
– 使用下列命令可以开启AAA，要禁用AAA，
使用no aaa new-model。
NAS(config)#aaa new-model
– 注意：除非已经策划好了AAA环境，否则 不要启动AAA。因为启动了AAA会对接入 交换机或路由器等NAS的Telnet客户进行 AAA强制认证。这时，除了访问控制台外 不能通过任何方式访问NAS。
NAS#show radius
-
6
2、配置AAA认证服务器
（3）配置本地用户及密钥
– 如果即没有TACACS+服务器，也没有RADIUS服 务器。那么只有在NAS上配置本地用户进行验证 了。但其功能比较简单，只有认证功能，没有授 权及统计功能。配置命令如下：
NAS(config)#username name secret password //配置密 码为加密的普通本地用户
第5章 交换机端口安全及认证
• 5.1 交换机端口安全及配置 • 5.2 在三层交换机上配置访问控制列表ACL • 5.3 交换机端口安全认证简介
-
1
5.3 交换机端口安全认证简介
• 5.3.1 AAA • 5.3.2 IEEE802.1X
-
2
5.3.1 AAA
• AAA是验证、授权和记账（Authentication、 Authorization、Accounting ）三个英文单词的 简称。其主要目的是管理哪些用户可以访问网 络服务器，具有访问权的用户可以得到哪些服 务，如何对正在使用网络资源的用户进行记账。 具体为：
-
5
2、配置AAA认证服务器
（1）配置TACACS+服务器地址和共享密钥： 如果TACACS+服务器的IP地址为192.168.0.11，共享
密码为tpass，则配置命令如下： NAS(config)#tacacs-server host 192.168.0.11
tacacs-server key tpass
-
11
3．IEEE802.1x工作过程
（1）当用户有上网需求时打开802.1X客户端程序，输入 已经申请、登记过的用户名和口令，发起连接请求。 此时，客户端程序将发出请求认证的报文给交换机 或AP，开始启动一次认证过程。
（2）交换机或AP收到请求认证的数据帧后，将发出一个 请求帧要求用户的客户端程序将输入的用户名送上 来。
（3）客户端程序响应交换机发出的请求，将用户名信息 通过数据帧送给交换机。如果是采用RADIUS认证服 务器认证，交换机将客户端送上来的数据帧经过封 包处理后送给认证服务器进行处理。如果采用本地 认证，交换机或AP查询自己的用户数据库进行认证 处理。
1．IEEE802.1X功能
802.1x协议是基于Client/Server的访问控制 和认证协议。它可以限制未经授权的用户/设备 通过接入端口访问LAN/WLAN。在获得交换机 或LAN提供的各种业务之前，802.1x对连接到 交换机端口上的用户/设备进行认证。在认证通 过之前，802.1x只允许EAPoL（基于局域网的 扩展认证协议）数据通过设备连接的交换机端 口；认证通过以后，正常的数据可以顺利地通 过以太网端口。
-
9
2．IEEE802.1体系结构
• 与AAA系统体系结构类似，IEEE802.1的体系结构也包括如下 图所示的3部分：
请求者 802.1x客户
认证者 交换机或AP
-
认证服务器 RADIUS
10
2．IEEE802.1体系结构
• 系统体系结构： ✓ 请求者：被认证的用户/设备。它请求访问LAN和交换 机服务。请求者必须运行遵从802.1x的客户软件，如在 XP以上的Windows操作系统中的软件； ✓ 认证者：对接入的用户/设备进行认证的设备或设备端 口。它一般为支持RADIUS客户和802.1软件的交换机 或无线接入点AP； ✓ 认证服务器：根据认证者的信息，对请求访问网络资 源的用户/设备进行实际认证功能的设备。它一般是一 个或多个RADIUS服务器。如果认证者采用本地认证， 则认证服务器可以省略 。
NAS#show tacacs （2）配置RADIUS服务器地址和共享密钥： 同理，如果RADIUS服务器的IP地址为192.168.0.22，
共享密码为rtpass，则配置命令如下： NAS(config)#radius -server host 192.168.0.22
NAS(config)#radius -server key rpass
NAS(config)#aaa authentication type {default}|listname method1 {…[method4]}
4、配置AAA授权
– AAA授权限制用户可以使用的服务权限。其命令格 式为：
NAS(config)#aaa authorization type {default}|list-name method1 {…[method4]}
5、配置AAA统计
– 与验证和授权类似，统计的方法列表定义了如何执 行统计以及执行这些方法的顺序。其命令格式如下：
NAS(config)#aaa accounting type {{default}|list-name} record-type method1 {…[method4]}
-
8
5.4.2 IEEE802.1X
NAS(config)#username name privilege level password password //配置具有特权级别的用户。
如：NAS(config)#username lzg privilege 14 password teacher
- AAA验证可以应用在经由PPP的客户连接、访问线 路或进入特权模式。其命令格式为
– 验证(Authentication): 验证用户是否可以获得访问权 限；
– 授权(Authorization) : 授权用户可以使用哪些服务；
– 记账(Accounting) : 记录用户使用网络资源的情况。
-
3
1.AAA的体系结构
远程PC 请求者
NAS 认证者
-
RADIUS服务器 TACACS+服务器