防火墙用户管理
aaa原理
用户认证技术
实现用户认证相关配置
aaa原理
aaa是认证授权和计费的简称，是网络安全的一种管理机制，基本架构包括用户、NAS、AAA服务器
NAS负责集中收集和管理用户的访问请求，常见的NAS有交换机防火墙等
aaa服务器负责集中管理用户信息
windows标识SID，admin 500 ； guest 501
身份标识---认证--授权--计费
身份标识：通过账号密码标识用户身份。
认证：识别和认证试图访问资源的用户
授权：确定访问是否获得授权
计费：检测和记录访问情况
认证：验证用户是否可以获得访问权，确定哪些用户可以访问网络
防火墙认证方式：不认证，本地认证，远端认证。本地认证配置在本地防火墙上认证速度快，但存储小。
远端认证配置在aaa服务器上，将用户密码发给aaa服务器由aaa服务器认证返回结果
授权：授权用户可以使用哪些服务
防火墙授权方式：不授权，本地授权，远端授权。授权内容包括用户组，vlan，acl编号等
计费：记录用户使用网络资源的情况和网络行为
计费方式：不
计费，远端计费。
| 技术方案 | 交互协议 | 认证 | 授权 | 计费 |
| radius | UDP | √ | √ | √ |
| hwtacacs | TCP | √ | √ | √ |
| LDAP | TCP | √ | √ | |
| AD | TCP | √ | √ | |
| 本地认证授权 | / | √ | √ |
radius是分布式的客户端/服务器结构的信息交互协议，保护网络不受未授权访问的干扰，要求较高安全性
udp端口1812（授权认证）、1813（计费）；或1645、1646
ldap基于 C/S架构
cn dc ou dn
用户是网络的访问主体，是防火墙进行网络控制和网络权限分配的基本单元
认证域：用户组织结构的容器
用户组：用户按树形结构组织，用户隶属于组（部门）
安全组：横向结构的跨部门群组。
每个用户组可以包括多个用户和用户组，每个用户组只能属于一个父用户组，每个用户
至少属于一个用户组，也可以属于多个用户组
用户分类：
管理员：通过telnet、ssh、web、ftp等协议使用console接口访问设备对设备配置、操作
ssh安全外壳协议建立在应用层；防止远程信息泄露。包括基于口令和基于密钥的两种验证方式
公钥加密，私钥解密；私钥加密，公钥解密
上网用户：
接入用户：外部网络中访问网络资源的主体ssl vpn、L2TP VPN、 ipsec vpn 或pppoe访问
接入用户认证：对各类vpn接入用户进行认证
AD单点登录
RADIUS单点登录
内置portal认证：会话认证，事前认证
会话认证是用户不主动进行身份认证，先进行http业务访问，在访问过程中认证，通过后在进行业务访问
事前认证：用户在访问网络资源之前先主动进行身份认证，通过后在访问网络资源
自定义portal认证：
用户免认证
- RADIUS：它是一种标准协议，主要用于网络访问服务器对用户进行身份验证、授权和记账。RADIUS使用用户数据报协议（UDP）端口1812进行身份验证和授权，使用UDP端口1813进行记账。它的优点是得到了广泛的应用，可以与多种设备和服务集成。
- HWTACACS：这是一种Cisco设备特有的身份验证协议，用于验证尝试访问网络设备的用户的身份。HWTACACS通过TCP连接与TACACS+服务器通信，它支持更多的身份验证方法，包括令牌卡、一次性密码等。
- LDAP：轻量级目录访问协议（LDAP）是一种用于查询和修改项（如用户信息）的目录服务协议。在身份验证方面，LDAP通常用于企业环境中，允许客户端访问和管理分布式目录信息服务中的信息。
- AD：Active Directory是微软提供的目录服务，用于Windows网络中用户的认证和授权。它存储了网络对象的信息，并允许管理员管理网络环境，例如用户账户、计算机、打印机和其他资源。
- 本地认证授权：这是指在设备或系统本地进行的用户身份验证和授权。例如，在交换机上配置本地用户，需要设置本地用户名和密码，以及配置本地用户级别。本地认证通常用于小规模的网络环境或作为备用认证方法。
- TACACS：全称为"Terminal Access Controller Access-Control System"，是一种较早的AAA（认证、授权、计费）协议，它用于UNIX网络中的身份验证服务器通信，以决定用户是否有权限访问网络。
- TACACS+：是思科（Cisco）公司对原始TACACS协议的扩展，提供了更多的身份验证方法和更高的安全性。
- HWTACACS：是华为公司为实现TACACS协议而开发的，它与TACACS+在功能上相似，但可能在实现细节和兼容性方面存在差异。
- 功能和特点：
- 功能上：都支持对试图访问网络设备的用户进行身份验证、授权和记账。
- 特点上：HWTACACS特别适用于华为的网络设备，而TACACS+则广泛应用于思科设备。
- 实际应用：
- 配置方式：在华为设备上配置HWTACACS通常涉及到设置与TACACS服务器对接的相关参数，以确保正确的身份验证和授权过程。
- 兼容性：虽然HWTACACS旨在与TACACS+兼容，但在具体的实现上可能会有细微的差别，因此在使用时需要确保服务器和客户端之间的版本和配置相匹配。
