思科網(wǎng)絡(luò)設(shè)備3A認(rèn)證的開啟及命名3A認(rèn)證的配制方法

思科網(wǎng)絡(luò)設(shè)備3A認(rèn)證的開啟及命名3A認(rèn)證的配制方法一.3A認(rèn)證概述在Cisco設(shè)備中，許多接口，許多地方，為了安全，都需要開啟認(rèn)證服務(wù)，比如我們通常配置的console下的密碼，進(jìn)入PrivilegedEXEC模式的enable密碼，VTY線路下的密碼，以及其它二層接口的認(rèn)證密碼等等。這些密碼配置在哪里，那里就開啟了相應(yīng)的認(rèn)證服務(wù)。并且這些認(rèn)證服務(wù)方式是單一的，也沒有備份認(rèn)證方式，更重要的是，這些密碼只能讀取本地，卻不可以通過讀取遠(yuǎn)程服務(wù)器的認(rèn)證方式來給自己提供認(rèn)證服務(wù)。要想將一個(gè)接口的認(rèn)證方式調(diào)用到另外一個(gè)接口，或者讓某接口使用遠(yuǎn)程服務(wù)器的認(rèn)證方式，那就需要AAA中的認(rèn)證來實(shí)現(xiàn)。AAA中的認(rèn)證可以給設(shè)備提供更多的認(rèn)證方式，AAA認(rèn)證就相當(dāng)于一個(gè)裝有認(rèn)證方式的容器一樣，里面可以有多個(gè)認(rèn)證方式，當(dāng)這個(gè)容器被安裝在某個(gè)接口，那么這個(gè)接口也就擁有了容器中所有的認(rèn)證方式。而幾乎所有的認(rèn)證方式都可以被放入這個(gè)容器中，包含遠(yuǎn)程服務(wù)器的認(rèn)證方式。二．常見的3A認(rèn)證配置方法（1）tacacs服務(wù)器和密碼的宣告通常我們使用在全局模式下宣告tacacs服務(wù)器及密碼的方式進(jìn)行3A認(rèn)證的配置，配置命令如圖1所示。匸己匸己匸s-servertacac5-5ervertacac5-5erver匸己匸己匸s-servertacac5-5ervertacac5-5erver圖1全局下tacacs服務(wù)器及密碼的宣告方法在宣告tacacs服務(wù)器時(shí)，為了3A認(rèn)證的冗余性，我們可以在全局模式下同時(shí)宣告多個(gè)tacacs服務(wù)器地址。配置了多個(gè)tacacs服務(wù)器地址后，在進(jìn)行3A認(rèn)證時(shí)，設(shè)備會(huì)根據(jù)tacacs服務(wù)器配置的先后順序逐一進(jìn)行認(rèn)證，直到找到一臺(tái)可用的tacacs服務(wù)器，3A認(rèn)證成功為止。如圖2。tacacs-servertacac5-5ervertacacs-servertacacs-servertacacs-servertacac5-5erverhost0host0host0host0dlrecred-requestkey123456tacacs-servertacac5-5ervertacacs-servertacacs-servertacacs-servertacac5-5erver圖2配置多個(gè)tacacs服務(wù)器這種宣告方式有一個(gè)缺陷，雖然我們可以同時(shí)宣告多個(gè)tacacs服務(wù)器，但是卻只能宣告一個(gè)密碼，也就是說用來進(jìn)行冗余處理的tacacs服務(wù)器都必須要配置一樣的認(rèn)證密碼，這樣不利于網(wǎng)絡(luò)設(shè)備的安全管理。為了解決這一問題，我們可以將tacacs服務(wù)器與密碼同時(shí)進(jìn)行宣告，如圖3.tRCRCs-serverhost0key1Z3456圖3tacacs服務(wù)器與密碼同時(shí)宣告這種宣告方式解決了全局模式下只能宣告一個(gè)密碼的問題，并且這種方式同樣也可以同時(shí)宣告多條，和傳統(tǒng)的宣告方式一樣，這種新的宣告方式也會(huì)根據(jù)先后順序進(jìn)行逐條的調(diào)用。特別要注意的是這種新的宣告方式優(yōu)先級比傳統(tǒng)的宣告方式要高，當(dāng)這兩種宣告方式同時(shí)存在時(shí)，設(shè)備會(huì)優(yōu)先調(diào)用這種新宣告方式宣告的條目。（2）“認(rèn)證”“授權(quán)”“審計(jì)”的配置服務(wù)器和密碼宣告完成后，就需要開始進(jìn)行3A認(rèn)證中“認(rèn)證”，“授權(quán)”，“審計(jì)”的配置。認(rèn)證：顧名思義就是對想要啟用3A認(rèn)證的設(shè)備進(jìn)行身份的驗(yàn)證。授權(quán)：在完成“認(rèn)證”這一步驟的設(shè)備上，根據(jù)接入用戶的等級不同，賦予用戶不同級別的操作權(quán)限。審計(jì)：對不同等級用戶的操作過程進(jìn)行記錄。具體的配置方法如圖4所示。aaanew-modeliia-aaauthenfiCm'S。門"logindefaultgrouptacacs+1ocalaaaauthenfiCQt'io門enab"Iedefaiiltgrouptacacs+enableaaaauthorizationconsoleaa3lauthor"izationcommands0defaultgroupTacacs+1oralaaaauthor!zation(:omm-ands1defaultgrouptJtcacs+1oc&laaaauthor1zationcommands15defaultgroupracacs+1ocalaaaaccount!ngexe匸defaultstart-stopgrouptacacs+a-aaaccount!ngcommands0defaultstart-stopgroup匸丑匸二匸5+aaaaccoinfingcommands1defaiiltstart-stopgroup匸赳匸乂匸呂+aaaaccounfingcommands15defaultstar匸一三topgrouptsicHcs十圖4“認(rèn)證”“授權(quán)”“審計(jì)”的配置值得注意的是，圖中所示的配置條目，將表單的名字設(shè)為了default,即默認(rèn)表單，使用這個(gè)名字的表單會(huì)默認(rèn)的將3A認(rèn)證應(yīng)用到設(shè)備的所有接口上。我們也可以不使用default表單而自己為表單命名，但要注意，如果使用了自己命名的表單，表單是不會(huì)自動(dòng)應(yīng)用到接口上的，我們需要手動(dòng)的在接口下進(jìn)行調(diào)用,如圖5，圖6。aaaauthenficafion1aginsssgrouptacacs+1ocalaaaauthorizafionconnand^15sssgrouptaca.cs+1oca.1aaa&匸匸oiinfing(:omm僅nd*15555s-tart-s-topgrouptacacs+圖5使用default以外的表單名"linevty04authorizafion匸ommands15555account!ngcommands15sss1ognnautnenficafion555transportinputtelnet圖6在接口下的調(diào)用方式三．命名3A認(rèn)證的配置方法在實(shí)際的生產(chǎn)環(huán)境中常常會(huì)出現(xiàn)需要在一臺(tái)設(shè)備上同時(shí)開啟兩個(gè)3A認(rèn)證的情況。以大連分行為例，在外聯(lián)區(qū)的LG002和LG003上需要同時(shí)開啟兩個(gè)3A認(rèn)證，一個(gè)用于為下接的無線自助設(shè)備分配地址，另一個(gè)用于常規(guī)的登錄驗(yàn)證。如果遇到這種情況，使用之前普通的3A認(rèn)證方式是無法實(shí)現(xiàn)的。我們需要使用“命名3A認(rèn)證”的方式進(jìn)行配置。配置方法如圖7所示。aaanew-modelIIaaagroupserver匸mcmc呂#newserver-pr-ivate0key123456iaaagroupserver匸3uzd(zs+dlserver-privatekey67B90iaaaauthenfication"logindefaultgroupnew"localaaaauthenficationenablEdefaultgroupnewenableaaaauthenficafionpppdefaultgroupDL1oca"laaaauthorlzatlonconsole~'aaaauthorszavioncommands□defaultgroupNEW"localaaaauthor1zatloncommands1defaultgroupnewlocalaaaauthorizationcommands15defaultgroupnewlocalaaaauthornzafionnetworkdefaultgroupDLlocalaaaaccount-ingexecdefaultstart-stopgroupnewaaaqccounting(:ommands□defaultstart-stopgroupnewaaa己匸counting匸ommands1defaultstart-stopgroupnewaaaaccountingcommands15defaultstart-stopgroupN匚訶aaamecountingnetworkdefaultstart-stopgroupDL圖7命名3A認(rèn)證的配置方法如圖所示，我們需要?jiǎng)?chuàng)建兩個(gè)命名的表單，一個(gè)名為NEW,用于登錄設(shè)備的認(rèn)證；另一個(gè)名為DL用于下聯(lián)設(shè)備的地址分發(fā)，在我們創(chuàng)建的表單中我們可以直接的對服務(wù)器地址及密碼進(jìn)行指定。命名的表單創(chuàng)建完成后，我們還需要改變“認(rèn)證"“授權(quán)”中的驗(yàn)證方式，將之前使用的grouptacacs+locaI改成groupNEWlocal以及groupDLlocal,即先使用“NEW”和"DL”