Datacom-HCIA-15 AAA原理与配置

对于任何网络,用户管理都是最基本的安全管理要求之一。
AAA(Authentication, Authorization, and Accounting)是一种管理框架,它提供了授权部分用户访问指定资源和记录这些用户操作行为的安全机制。因其具有良好的可扩展性,并且容易实现用户信息的集中管理而被广泛使用。AAA可以通过多种协议来实现,在实际应用中,最常使用RADIUS (Remote Authentication Dial-In User Service)协议。

AAA概述

AAA基本概念

AAA是Authentication(认证)、Authorization(授权)和Accounting(计费)的简称,是网络安全的一种管理机制,提供了认证、授权、计费三种安全功能。

AAA常见架构

AAA常见网络架构中包括用户、NAS(Network Access Server)、AAA服务器(AAA Server)。NAS负责集中收集和管理用户的访问请求。
在NAS上会创建多个域来管理用户。不同的域可以关联不同的AAA方案。AAA方案包含认证方案,授权方案,计费方案。
当收到用户接入网络的请求时,NAS会根据用户名来判断用户所在的域,根据该域对应的AAA方案对用户进行管控。

认证(Authentication)

AAA支持的认证方式有:不认证,本地认证,远端认证。

授权(Authorization)

AAA支持的授权方式有:不授权,本地授权,远端授权。
授权信息包括:所属用户组、所属VLAN、ACL编号等。

计费(Accouting)

计费功能用于监控授权用户的网络行为和网络资源的使用情况。
AAA支持的计费方式有:不计费,远端计费。

AAA实现协议 - RADIUS

AAA可以用多种协议来实现,最常用的是RADIUS协议。

AAA常见应用场景

通过RADIUS提供上网用户的AAA

通过在NAS上配置AAA方案,实现NAS与RADIUS服务器的对接。
用户在客户端上输入用户名和密码后,NAS可以将这些信息发送至RADIUS服务器进行认证。
如果认证通过,则授予用户访问Internet的权限。
在用户访问过程中,RADIUS服务器还可以记录用户使用
网络资源的情况。

对管理用户进行本地认证和授权

在Router上配置本地AAA方案后,当网络管理员登录Router时,Router将网络管理员的的用户名密码等信息,与本地配置的用户名信息进行比对认证。
认证通过后,Router将授予网络管理员一定的管理员权限。

AAA配置实现

  1. 进入AAA视图
    [Huawei] aaa
    从系统视图进入AAA视图进行配置
  2. 创建认证方案
    [Huawei-aaa] authentication-scheme authentication-scheme-name
    创建认证方案并进入相应的认证方案视图
    [Huawei-aaa-authentication-scheme-name] authentication-mode { hwtacacs | local | radius }
    配置认证方式,local指定认证方式为本地认证。缺省情况下,认证方式为本地认证。
  3. 创建domain并绑定认证方案
    [Huawei-aaa] domain domain-name
    创建domain并进入相应的domain视图
    [Huawei-aaa-domain-name] authentication-scheme authentication-scheme-name
    在相应的domain视图下绑定认证方案
  4. 创建用户
    [Huawei-aaa] local-user user-name password cipher password
    创建本地用户,并配置本地用户的密码:
    如果用户名中带域名分隔符,如@,则认为@前面的部分是用户名,后面部分是域名
    如果没有@,则整个字符串为用户名,域为默认域
  5. 配置用户接入类型
    [Huawei-aaa] local-user user-name service-type { { terminal | telnet | ftp | ssh | snmp | http} | ppp | none}
    设置本地用户的接入类型。缺省情况下,本地用户关闭所有的接入类型。
  6. 配置用户级别
    [Huawei-aaa] local-user user-name privilege level level
    指定本地用户的权限级别。

AAA配置案例

在设备R1上配置用户密码和级别,使主机A可以通过配置的用户名和密码远程登录到设备。

[R1]aaa
[R1-aaa]local-user huawei password cipher huawei123
[R1-aaa]local-user huawei service-type telnet
[R1-aaa]local-user huawei privilege level 0
[R1]user-interface vty 0 4
[R1-ui-vty0-4]authentication-mode aaa

AAA中,每个域都会与相应的认证授权和计费方案相关联,当前为默认域。

[R1]display domain name default_admin
Domain-name: default_admin
Domain-state: Active
Authentication-scheme-name: default
Accounting-scheme-name: default
Authorization-scheme-name: -
Service-scheme-name: -
RADIUS-server-template: -
HWTACACS-server-template: -
User-group: -

用户正常登录并且下线之后可以看到用户的记录信息。

[R1]display aaa offline-record all
-------------------------------------------------------------------
User name: huawei
Domain name: default_admin
User MAC: 00e0-fc12-3456
User access type: telnet
User IP address: 10.1.1.2
User ID: 1
User login time: 2019/12/28 17:59:10
User offline time: 2019/12/28 18:00:04
User offline reason: user request to offline
posted @   Liam-Wu  阅读(29)  评论(0编辑  收藏  举报
相关博文:
阅读排行:
· 微软正式发布.NET 10 Preview 1:开启下一代开发框架新篇章
· 没有源码,如何修改代码逻辑?
· PowerShell开发游戏 · 打蜜蜂
· 在鹅厂做java开发是什么体验
· WPF到Web的无缝过渡:英雄联盟客户端的OpenSilver迁移实战
点击右上角即可分享
微信分享提示