HP網(wǎng)絡(luò)安全教學(xué)課件-03AAA-04AAA產(chǎn)品介紹-ACS41

FY13惠普海南人才20000培訓(xùn)項(xiàng)目---網(wǎng)絡(luò)安全培訓(xùn)課程全力締造行業(yè)領(lǐng)先的IT服務(wù)外包學(xué)院–AAA產(chǎn)品介紹-ACS4.1?2012Hewlett-PackardDevelopmentCompany,L.P.TheinformationcontainedhereinissubjecttochangewithoutnoticeAAAFY13惠普海南人才20000培訓(xùn)項(xiàng)目全力締造在市面上，有眾多的AAA軟件產(chǎn)品，我們需要選擇出一個(gè)比較普通使用，具有代表性的軟件產(chǎn)品作為學(xué)習(xí)的對(duì)象。引入在市面上，有眾多的AAA軟件產(chǎn)品，我們需要選擇出一個(gè)比較普通了解ACS產(chǎn)品簡(jiǎn)介了解ACS軟件的部署環(huán)境需求掌握ACS界面的基本配置了解ACS軟件的基本概念課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：了解ACS產(chǎn)品簡(jiǎn)介課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：ACS軟件介紹思科安全訪問控制服務(wù)器（CiscoSecureAccessControlSever）是一個(gè)高度可擴(kuò)展、高性能的訪問控制服務(wù)器，提供了全面的身份識(shí)別網(wǎng)絡(luò)解決方案，是思科基于身份的網(wǎng)絡(luò)服務(wù)(IBNS)架構(gòu)的重要組件。CiscoSecureACS通過在一個(gè)集中身份識(shí)別聯(lián)網(wǎng)框架中將身份驗(yàn)證、用戶或管理員接入及策略控制相結(jié)合，強(qiáng)化了接入安全性。這使企業(yè)網(wǎng)絡(luò)能具有更高靈活性和移動(dòng)性，更為安全且提高用戶生產(chǎn)率。CiscoSecureACS支持范圍廣泛的接入連接類型，包括有線和無線局域網(wǎng)、撥號(hào)、寬帶、內(nèi)容、存儲(chǔ)、VoIP、防火墻和VPN。CiscoSecureACS是思科網(wǎng)絡(luò)準(zhǔn)入控制的關(guān)鍵組件。適用場(chǎng)合：◆集中控制用戶通過有線或者無線連接登錄網(wǎng)絡(luò)◆設(shè)置每個(gè)網(wǎng)絡(luò)用戶的權(quán)限◆記錄記帳信息，包括安全審查或者用戶記帳◆設(shè)置每個(gè)配置管理員的訪問權(quán)限和控制指令◆用于Aironet密鑰重設(shè)置的虛擬VSA◆安全的服務(wù)器權(quán)限和加密◆通過動(dòng)態(tài)端口分配簡(jiǎn)化防火墻接入和控制◆統(tǒng)一的用戶AAA服務(wù)ACS軟件介紹思科安全訪問控制服務(wù)器（CiscoSCable,DSL總部VPN網(wǎng)關(guān)、防火墻VPN無線局域網(wǎng)RADIUS(AAA)SP網(wǎng)關(guān)(代理AAA)AS5X00,ISDN遠(yuǎn)程訪問、撥號(hào)訪問控制Internet擴(kuò)展認(rèn)證數(shù)據(jù)庫ACS服務(wù)器

判斷user的訪問控制權(quán)限802.1x

交換機(jī)TACACS+Telnet管理員訪問種類ACS軟件介紹適用場(chǎng)合一覽Cable,DSL總部VPN網(wǎng)關(guān)、防火墻VPN無線局域ACS軟件介紹實(shí)施使用ACS軟件對(duì)網(wǎng)絡(luò)設(shè)備的性能影響認(rèn)證種類平均百分比Authentication,AuthorizationandAdministration9.5%

Anti-virus/MaliciousCode 8.2%

Firewalls （防火墻） 6.9%

VPNs 20.5%

IntrusionProtection （入侵檢測(cè)） 21.0%ACS軟件介紹實(shí)施使用ACS軟件對(duì)網(wǎng)絡(luò)設(shè)備的性能影響認(rèn)證種類

20,000～80,000用戶數(shù)量(依賴于服務(wù)類型)和每臺(tái)ACS服務(wù)器8,000RADIUS/TACACS+設(shè)備

多個(gè)ACS服務(wù)器可以放置在一個(gè)分布的環(huán)境中使用:作為其他ACS服務(wù)器的代理

數(shù)據(jù)庫復(fù)制(冗余)

遠(yuǎn)程&集中日志管理ACS軟件部署的冗余性20,000～80,000用戶數(shù)量(依賴于服務(wù)類型認(rèn)證技術(shù)簡(jiǎn)介RADIUSandTACACS+詳細(xì)介紹與命令配置目錄認(rèn)證技術(shù)簡(jiǎn)介目錄設(shè)備名稱IP地址/掩碼網(wǎng)關(guān)Vlan號(hào)ACS-1XXACS-PA.1.115.XACS-2XXACS-BA.1.115.X用途硬件平臺(tái)操作系統(tǒng)系統(tǒng)補(bǔ)丁備注ACS服務(wù)器2*2.8GCPU4G內(nèi)存73G*4硬盤雙網(wǎng)卡windows2000/2003serverSP3以上1．英文版IE6.02．MSjavavirtualmatchine或者SunJavaPlug-in1.4.2_043．Netscape7.1ACS環(huán)境準(zhǔn)備設(shè)備名稱IP地址/掩碼網(wǎng)關(guān)Vlan號(hào)ACS-1XXACS-PUserGroup---管理員分類NDG(networkdevicegroup)---設(shè)備集合ShellCommandSets---操作權(quán)限ACS管理中的三個(gè)概念及其關(guān)聯(lián)UserGroup---管理員分類ACS管理中的三個(gè)概ACS安全管理中的三個(gè)概念及其關(guān)聯(lián)用戶組網(wǎng)絡(luò)設(shè)備組Shell命令RORW設(shè)備組1設(shè)備組2設(shè)備組3NDGUserGroupACS安全管理中的三個(gè)概念及其關(guān)聯(lián)用戶組網(wǎng)絡(luò)設(shè)備組ShellACS軟件管理界面ACS軟件管理界面用戶高級(jí)選項(xiàng)設(shè)置用戶高級(jí)選項(xiàng)設(shè)置允許運(yùn)行的命令列表填寫描述信息定義的Shell名稱Shell命令組設(shè)置允許運(yùn)行的命令列表填寫描述信息定義的Shell名稱Shell網(wǎng)絡(luò)設(shè)備組設(shè)置網(wǎng)絡(luò)設(shè)備組設(shè)置用戶組設(shè)定1控制用戶組可以登陸哪些網(wǎng)絡(luò)設(shè)備組

用戶組設(shè)定1控制用戶組可以登陸哪些網(wǎng)絡(luò)設(shè)備組用戶組設(shè)定2根據(jù)不同的設(shè)備組分別設(shè)定命令權(quán)限用戶組設(shè)定2根據(jù)不同的設(shè)備組分別設(shè)定命令權(quán)限用戶組設(shè)定3設(shè)定用戶組的enable權(quán)限用戶組設(shè)定3設(shè)定用戶組的enable權(quán)限用戶設(shè)定1用戶設(shè)定1用戶設(shè)定2用戶設(shè)定2用戶設(shè)定3用戶設(shè)定3ACS備份1ACS備份1ACS備份2ACS備份2ACS備份3ACS備份3ACS備份4在備份服務(wù)器上的設(shè)定ACS備份4在備份服務(wù)器上的設(shè)定ACS添加外部數(shù)據(jù)庫1ACS添加外部數(shù)據(jù)庫1

添加外部數(shù)據(jù)庫2添加外部數(shù)據(jù)庫2Csutil配置命令Csutil配置命令A(yù)CS應(yīng)急配置1.ACS服務(wù)器失效時(shí)的應(yīng)急實(shí)施步驟在網(wǎng)絡(luò)設(shè)備中配置AAA管理命令時(shí)加入定義“后門”管理員，用于AAA服務(wù)器失效時(shí)應(yīng)急措施。當(dāng)ACS失效時(shí)可通過“后門”用戶口令登陸網(wǎng)絡(luò)設(shè)備進(jìn)行應(yīng)急管理（該用戶在ACS有效狀態(tài)下不能使用）。命令：usernameXXXpasswordXXX此命令必須先于aaa命令設(shè)置，如果路由器已經(jīng)設(shè)置好aaa命令，可以在命令行下先輸入(config)＃noaaanew-model(config)＃usernameXXXpasswordXXX(config)＃aaanew-modelACS應(yīng)急配置1.ACS服務(wù)器失效時(shí)的應(yīng)急實(shí)施步驟在網(wǎng)2.RSA認(rèn)證服務(wù)器失效時(shí)的應(yīng)急步驟

若個(gè)別用戶使用動(dòng)態(tài)口令不能認(rèn)證時(shí)，可將用戶的認(rèn)證恢復(fù)為由CiscoACS服務(wù)器靜態(tài)口令認(rèn)證。方法如下：登錄到ACS服務(wù)器，使用IE方式登錄到ACS中，將用戶信息中“UserSetup”欄的“PasswordAuthentication”修改為“CiscoSecureDatabase”。也可使用命令行操作方式，只建立一行的“用戶updateID:CSDB:password”文本文件，利用Csutil文件修改用戶信息為ACS認(rèn)證，待解決動(dòng)態(tài)口令認(rèn)證問題后，再修改為動(dòng)態(tài)口令認(rèn)證。ACS應(yīng)急配置2.RSA認(rèn)證服務(wù)器失效時(shí)的應(yīng)急步驟若個(gè)別用戶使用動(dòng)態(tài)口本章總結(jié)了解ACS產(chǎn)品