Datacom-HCIA-15 AAA原理与配置
对于任何网络,用户管理都是最基本的安全管理要求之一。
AAA(Authentication, Authorization, and Accounting)是一种管理框架,它提供了授权部分用户访问指定资源和记录这些用户操作行为的安全机制。因其具有良好的可扩展性,并且容易实现用户信息的集中管理而被广泛使用。AAA可以通过多种协议来实现,在实际应用中,最常使用RADIUS (Remote Authentication Dial-In User Service)协议。
AAA概述
AAA基本概念
AAA是Authentication(认证)、Authorization(授权)和Accounting(计费)的简称,是网络安全的一种管理机制,提供了认证、授权、计费三种安全功能。
AAA常见架构
AAA常见网络架构中包括用户、NAS(Network Access Server)、AAA服务器(AAA Server)。NAS负责集中收集和管理用户的访问请求。
在NAS上会创建多个域来管理用户。不同的域可以关联不同的AAA方案。AAA方案包含认证方案,授权方案,计费方案。
当收到用户接入网络的请求时,NAS会根据用户名来判断用户所在的域,根据该域对应的AAA方案对用户进行管控。
认证(Authentication)
AAA支持的认证方式有:不认证,本地认证,远端认证。
授权(Authorization)
AAA支持的授权方式有:不授权,本地授权,远端授权。
授权信息包括:所属用户组、所属VLAN、ACL编号等。
计费(Accouting)
计费功能用于监控授权用户的网络行为和网络资源的使用情况。
AAA支持的计费方式有:不计费,远端计费。
AAA实现协议 - RADIUS
AAA可以用多种协议来实现,最常用的是RADIUS协议。
AAA常见应用场景
通过RADIUS提供上网用户的AAA
通过在NAS上配置AAA方案,实现NAS与RADIUS服务器的对接。
用户在客户端上输入用户名和密码后,NAS可以将这些信息发送至RADIUS服务器进行认证。
如果认证通过,则授予用户访问Internet的权限。
在用户访问过程中,RADIUS服务器还可以记录用户使用
网络资源的情况。
对管理用户进行本地认证和授权
在Router上配置本地AAA方案后,当网络管理员登录Router时,Router将网络管理员的的用户名密码等信息,与本地配置的用户名信息进行比对认证。
认证通过后,Router将授予网络管理员一定的管理员权限。
AAA配置实现
- 进入AAA视图
[Huawei] aaa
从系统视图进入AAA视图进行配置 - 创建认证方案
[Huawei-aaa] authentication-scheme authentication-scheme-name
创建认证方案并进入相应的认证方案视图
[Huawei-aaa-authentication-scheme-name] authentication-mode { hwtacacs | local | radius }
配置认证方式,local指定认证方式为本地认证。缺省情况下,认证方式为本地认证。 - 创建domain并绑定认证方案
[Huawei-aaa] domain domain-name
创建domain并进入相应的domain视图
[Huawei-aaa-domain-name] authentication-scheme authentication-scheme-name
在相应的domain视图下绑定认证方案 - 创建用户
[Huawei-aaa] local-user user-name password cipher password
创建本地用户,并配置本地用户的密码:
如果用户名中带域名分隔符,如@,则认为@前面的部分是用户名,后面部分是域名
如果没有@,则整个字符串为用户名,域为默认域 - 配置用户接入类型
[Huawei-aaa] local-user user-name service-type { { terminal | telnet | ftp | ssh | snmp | http} | ppp | none}
设置本地用户的接入类型。缺省情况下,本地用户关闭所有的接入类型。 - 配置用户级别
[Huawei-aaa] local-user user-name privilege level level
指定本地用户的权限级别。
AAA配置案例
在设备R1上配置用户密码和级别,使主机A可以通过配置的用户名和密码远程登录到设备。
[R1]aaa [R1-aaa]local-user huawei password cipher huawei123 [R1-aaa]local-user huawei service-type telnet [R1-aaa]local-user huawei privilege level 0 [R1]user-interface vty 0 4 [R1-ui-vty0-4]authentication-mode aaa
AAA中,每个域都会与相应的认证授权和计费方案相关联,当前为默认域。
[R1]display domain name default_admin Domain-name: default_admin Domain-state: Active Authentication-scheme-name: default Accounting-scheme-name: default Authorization-scheme-name: - Service-scheme-name: - RADIUS-server-template: - HWTACACS-server-template: - User-group: -
用户正常登录并且下线之后可以看到用户的记录信息。
[R1]display aaa offline-record all ------------------------------------------------------------------- User name: huawei Domain name: default_admin User MAC: 00e0-fc12-3456 User access type: telnet User IP address: 10.1.1.2 User ID: 1 User login time: 2019/12/28 17:59:10 User offline time: 2019/12/28 18:00:04 User offline reason: user request to offline
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】凌霞软件回馈社区,博客园 & 1Panel & Halo 联合会员上线
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】博客园社区专享云产品让利特惠,阿里云新客6.5折上折
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步
· 微软正式发布.NET 10 Preview 1:开启下一代开发框架新篇章
· 没有源码,如何修改代码逻辑?
· PowerShell开发游戏 · 打蜜蜂
· 在鹅厂做java开发是什么体验
· WPF到Web的无缝过渡:英雄联盟客户端的OpenSilver迁移实战