ccnp實(shí)驗(yàn)學(xué)習(xí)筆記技術(shù)17個(gè)總結(jié)版aaa

1、AAA 實(shí)驗(yàn)【實(shí)驗(yàn)拓?fù)洹俊九渲?AAA 服務(wù)器】加管理員帳號(hào)，點(diǎn)“Administration Control”按鈕，在添加管理員帳號(hào)配置 cisco secure acs HTMLerface，點(diǎn)erface configuration。在選擇所需的服務(wù)，對(duì)這次實(shí)驗(yàn)，選 s（exec）即可。Network configuration，添加對(duì)應(yīng)的 AAA cnt，設(shè)置其 IP 地址及 Key。如下圖：配置用戶信息，點(diǎn)“User Setup”，設(shè)置用戶，選中 s（exec），設(shè)置 Privilege Level【路由器上的配置】1、 enable AAA：Router(config)#aaa n

2、ew-m2、Configuring TACACS+ and RADIUS c對(duì) TACACS：Router(config)#tacacs-server host ip-addressRouter(config)#tacacs-server key word對(duì) RADIUS：Router(config)#radius-server host ip-addressRouter(config)#radius-server key word3、Configuring AAA authentication：nts：Router(config)#aaa authentication type defaul

3、t|list-name method1 method4type 分為：login、enable、ppp、local-override、arap、nasi、password-prompt 和username-prompt，其中常用的為前面四個(gè)。login：為想進(jìn)入到 EXEC 命令行模式的用戶認(rèn)證。enable：決定用戶是否可以級(jí)命令級(jí)。ppp：在運(yùn)行 PPP 的串行口上指定認(rèn)證。local-override：用于某些特殊用戶（如系統(tǒng)管理員）快速登錄，先使用本地?cái)?shù)據(jù)庫(kù)，如果失敗再使用后面的認(rèn)證方式。List type 分兩種，一種是 default，一種是命名 list。用來(lái)指代后面的認(rèn)證方式列

4、表method1 method4不同的 type 對(duì)應(yīng)不同的 Method，后面的認(rèn)證方式只有當(dāng)前面的認(rèn)證方式返回了一個(gè)出錯(cuò)信息時(shí)使用（最多四種 Method），而不是面的認(rèn)證失敗時(shí)使用。一般分為以下幾種：4、Configuring AAA authorization：Router(config)#aaa authorization type default|list-name method1 method2type 分為：Method 分為：if-authenticated如果用戶已經(jīng)通過(guò)認(rèn)證，則允許該用戶使用所要求的功能local使用本地用戶數(shù)據(jù)庫(kù)進(jìn)行none不進(jìn)行g(shù)roup radius

5、使用 RADIUS 進(jìn)行g(shù)roup tacacs+使用 TACACS+進(jìn)行krb5-instance使用由“kerberos instance map”命令所定義的例子network所有網(wǎng)絡(luò)服務(wù)，包括 SLIP、PPP 和 ARAPExecEXEC 進(jìn)程ds level所指定級(jí)別（0 到 15）的所有 EXEC 命令mands配置命令reverse-acs用于反向netenable使用 enable 口令進(jìn)行認(rèn)證krb5使用 Kerberos 5 進(jìn)行認(rèn)證line使用線路口進(jìn)行認(rèn)證local使用本地用戶數(shù)據(jù)庫(kù)進(jìn)行認(rèn)證none不認(rèn)證group radius使用 RADIUS 進(jìn)行認(rèn)證group

6、tacacs+使用 TACACS進(jìn)行認(rèn)證krb5-net當(dāng)用net 連接路由器時(shí)，使用 Kerberos 5net 認(rèn)證協(xié)議if-neede如果用戶已在 TTY 上進(jìn)行了認(rèn)證，就不再進(jìn)行認(rèn)證（用于 enable type）List type 與 authentication 一樣分兩種：default 和命名 list5、Configuring AAA accounting：Router(config)#aaamethod2type 分為：accountingtypedefault|list-nameRecord-typemethod1Recordtype 分為：Method 分為：group

7、 tacacs+和 group radiusList type 與 authentication 一樣，分為：default 和命名 list【配置示例】 (RADIUS 的 authentication 配置與下相似，可選做，但其不能實(shí)行authorizationBuilding configuration.Current configuration : 4102 bytes!ver12.2aaa new-m!aaa authentication log aaa authorization exec aaa accounting execaaa accountingELNET group t

8、acacs+ local enable none NET group tacacs+ localNET start-stop group tacacs+ds 15NET start-stop group tacacs+aaa accounting networkNET start-stop group tacacs+aaa accounting connectionNET start-stop group tacacs+aaa accounting system default start-stop group tacacs+aaa ses-id commonenable password 7

9、 070C285F4D060D00161F!tacacs-server host 10.2.0.1 tacacs-server key ciscoteamprivilege configure level 7 snmp-server hostprivilege configure level 7 snmp-server enable privilege configure level 7 snmp-serverStart-stop在一個(gè)進(jìn)程開(kāi)始和結(jié)束分別發(fā)送一個(gè)開(kāi)始統(tǒng)計(jì)和停止統(tǒng)計(jì)Stop-only只在用戶所請(qǐng)求的進(jìn)程結(jié)束后發(fā)送一個(gè)停止統(tǒng)計(jì)通知wait-start和“start-stop”不同在

10、于開(kāi)始統(tǒng)計(jì)通知被服務(wù)器確認(rèn)之前，用戶所請(qǐng)求的服務(wù)不會(huì)開(kāi)始commonds level監(jiān)察所指定級(jí)（0 到 15）的所有命令Connection監(jiān)察所有外出連接，例如net 和 rloginExec監(jiān)察 EXEC 進(jìn)程N(yùn)etwork監(jiān)察所有網(wǎng)絡(luò)請(qǐng)求服務(wù)，如 SLIP、PPP 和 ARAPSystem監(jiān)察所有系統(tǒng)級(jí)事件，例如系統(tǒng)重啟privilege exec level 7privilege exec level 7 configure terminal privilege exec level 7 configure!line con 0exec-timeout 0 0 logging synchronous line aux 0line vty 0 4 insecureauthori