利用ACS服务器实现用户的认证、授权和审计

需要分析：

某医院在中国北京、上海、广州、青岛等多个地方有分院和诊所，并通过SDH专线进行互联实现信息化连接，来实现办公网、视频会议等信息的传递。该院通过几年信息化，目前全国网络设备（包括交换机、路由器、防火墙、无线控制器等）共有大概200余台。全国共有IT人员十几人。为了管理方便，北京、上海等各城市的网络设备管理各自为阵，由各个地方的IT人员进行管理。而每个地方的所有设备的密码为了方便登录都设备成一致的，例如北京的设备密码都设置为bj001,上海的的设置密码为sh001。考虑到安全问题，密码每三个月需要定期更换一次。目前存在的问题是①每一次更换密码，就需要登录到200多台设备上分别进行更换，费时费力；②每位IT员工知道每台设备的密码，如果有人不慎操作失误，无法记录是谁做的操作。

目前客户的需求是①想要对所有设备实施统一的用户认证，并对用户进行授权②北京的IT人员拥有所有权限，而各个地方的IT人员只能管理各自的网络设备③希望对用户行为进行审计。而客户的这些需求其实正是今天我们要说的AAA。通过AAA服务，可以对设备进行集中认证，并对用户进行授权和审计。

AAA简介

所谓AAA，是指认证(Authentication)、授权(Authorization)和审计(Accounting)。认证是对用户访问网络或设备进行验证，即是否允许你访问，即“你是谁？”。举例来说，一个用户在家使用ADSL上网，需要输入用户名和密码，这就叫做认证；授权是对接入进来的用户进行不同级别的访问限制，给不同的用户分配不同的权限，即“你能做什么”。例如用户A登录一台交换机可以进入特权模式，而用户B则只能停留在用户

模式下；审计是对用户的行为进行记录，即用户“做了什么”。通过审计，可以记录用户什么时候登录的，什么时候下线等。

ACS简介

ACS是思科的一款AAA软件。3.X和4.X的版本是装是一台Windows Server的服务器上，5.X之后，ACS进行了一个大的改版。ACS变为了一个由思科封装的Linux服务器的一个软件。用户购买ACS的形式有2种，一种是直接购买思科出的硬件服务器，该服务器已经预装了ACS5.X；并一种形式是购买许可，然后下载ACS系统（经过Linux封装，我们暂且叫为ACS系统）装在EXSI上的虚机版本。本次实验所使用的是虚拟机版本的ACS5.3。

在ACS和思科设备之间有两种协议可选（只是简单介绍，感兴趣的童鞋可以找找资料）

1.RADIUS

radius协议是公有标准，通常用在非思科设备和对802.1X等用户认证

2.tacacs+

tacacs+是思科私有协议，通常用在用户登录设备认证

以下详细介绍今天的实验

 

利用ACS服务器实现用户的认证、授权和审计

用户需求：

1. 利用AAA服务器实现对所以网络设备的统一认证，在AAA服务器宕机的情况下能使用本地用户进行登录，在AAA服务器正常的情况下优先使用AAA服务器，且不能使用本地用户；

2. 利用AAA服务器对用户的级别进行授权，例如用户A是级别1的用户，用户B和用户C是级别15的用户；对级别15的命令进行授权，Group1的用户只能使用show、ping、telnet、traceroute命令，不能使用其他命令；Group2的用户能使用所有命令；

3. 对所有用户在网络设备上的登录、拿出、命令操作进行审计，例如用户B在什么时间登录设备，什么时候时间登出，进行了哪些命令的操作，如它使用过show ip interface brief的命令。

拓扑图如下：

 

 

 

 

 

 

 

 

 

 

 

基本配置如下：

R1：

R1(config)#int f0/0

R1(config-if)#ip add 12.1.1.1 255.255.255.0

R1(config-if)#no shut

R2:

R2(config)#int f0/0

R2(config-if)#ip add 12.1.1.2 255.255.255.0

R2(config-if)#no shut

R2(config-if)#int f3/0

R2(config-if)#ip add 192.168.0.10 255.255.255.0

R2(config-if)#no shut

1.认证

R2(config)#aaa new-model

R2(config)#aaa authentication login noacs none

R2(config)#line con 0

R2(config-line)# login authentication noacs

R2(config-line)#line aux 0

R2(config-line)# login authentication noacs

R2(config)#tacacs-server host 192.168.0.100 key cisco

R2(config)#aaa authentication login acs group tacacs+ local

R2(config)#line vty 0 4

R2(config-line)#login authentication acs

配置ACS

Step1:在AAA服务器（ACS）上添加R2

Step2:在ACS上添加用户和组

 

Step3:

 

 

 

 

配置完成后，在R2上进行测试

R2#test aaa group tacacs+ user1 cisco new-code

Sending password

User successfully authenticated

在R1上telnet R2，可以成功

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: user1

password:

R2>en

R2(config)#username local password local

R2(config)#int f3/0

R2(config-if)#shut

*Mar 1 02:02:02.131: %LINK-5-CHANGED: Interface FastEthernet3/0, changed state to administratively down

*Mar 1 02:02:03.131: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet3/0, changed state to down

R2(config-if)#end

R2#ping

*Mar 1 02:02:05.431: %SYS-5-CONFIG_I: Configured from console by console192.168.0.100

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.0.100, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

在假设服务器不可达的情况下，使用本地账户进行登录成功

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

User Access Verification

Username: local

Password:

R2>show users

Line User Host(s) Idle Location

0 con 0 idle 00:00:19

*226 vty 0 local idle 00:00:00 12.1.1.1

Interface User Mode Idle Peer Address

在ACS好的情况下不能使用本地的用户进行登录

R2(config)#int f0/0

R2(config-if)#int f3/0

R2(config-if)#no shut

R2(config-if)#end

R2#ping 192.168.

*Mar 1 07:58:32.350: %SYS-5-CONFIG_I: Configured from console by console0.100

*Mar 1 07:58:33.346: %LINK-3-UPDOWN: Interface FastEthernet3/0, changed state to up

*Mar 1 07:58:34.346: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet3/0, changed state to up

R2#ping 192.168.0.100

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.0.100, timeout is 2 seconds:

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 1/21/48 ms

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: local

password:

% Authentication failed

2.授权

级别授权

将Group1的用户设置为Level 1,Group2的用户设置为Level15。

此处举例说明把Group1的用户关联至Level1，把Group2的用户关联至Level15大同小意。

 

在R2上的操作：

R2(config)#aaa authorization exec level-author group tacacs+ none

R2(config-line)#authorization exec level-author

在R1上进行测试：

测试用户user1

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: user1

password:

R2>show privilege

Current privilege level is 1

测试用户user2

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: user2

password:

R2#show priv

R2#show privilege

Current privilege level is 15

命令授权

对级别15的用户进行命令授权，Group2和Group3的用户级别都是15，但是Group2的用户可以使用所有的命令，而Group3的用户只能使用所有的show 命令、telnet命令、ping命令。

1.建立允许所有命令的命令集

2.建立只允许show命令的命令集

 

 

Group2的设置

Group3的建立和设置

R2上的配置：

R2(config)#aaa authorization commands 15 command-author group tacacs+ none

R2(config)#line vty 0 4

R2(config-line)#authorization commands 15 command-author

测试：

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: user2

password:

R2#show privi

Current privilege level is 15

R2#conf t

Enter configuration commands, one per line. End with CNTL/Z.

R2(config)#end

User3进行测试

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: user3

password:

R2#show privi

R2#show privilege

Current privilege level is 15

R2#conf t

Command authorization failed.

R2#write

Command authorization failed.

R2#show run int f0/0

Building configuration...

Current configuration : 93 bytes

!

interface FastEthernet0/0

ip address 12.1.1.2 255.255.255.0

duplex auto

speed auto

end

3.审计

登入登出审计

R2(config)#aaa accounting exec vty-accounting start-stop group tacacs+

R2(config)#line vty 0 4

R2(config-line)#accounting exec vty-accounting

测试并查看：

在R1上分别使用user2和user3用户登录到R2上。

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

rname: user2

password:

R2>exit

[Connection to 12.1.1.2 closed by foreign host]

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

rname: user3

password:

R2>exit

[Connection to 12.1.1.2 closed by foreign host]

再次查看ACS上的审计报告

在新弹出的窗口下查看审计行为

 

命令审计

在R2设置对级别0、1、15的命令审计

R2(config)#aaa accounting commands 0 vty start-stop group tacacs+

R2(config)#aaa accounting commands 1 vty start-stop group tacacs+

R2(config)#aaa accounting commands 15 vty start-stop group tacacs+

R2(config)#line vty 0 4

R2(config-line)#accounting commands 0 vty

R2(config-line)#accounting commands 1 vty

R2(config-line)#accounting commands 15 vty

测试并查看

R1#telnet 12.1.1.2

Trying 12.1.1.2 ... Open

username: user2

password:

R2#conf t

Enter configuration commands, one per line. End with CNTL/Z.

R2(config)#int f0/0

R2(config-if)#exit

R2(config)#end

R2#show ip int bri

Interface IP-Address OK? Method Status Protocol

FastEthernet0/0 12.1.1.2 YES manual up up

FastEthernet0/1 unassigned YES unset administratively down down

FastEthernet1/0 unassigned YES unset administratively down down

FastEthernet2/0 unassigned YES unset administratively down down

FastEthernet3/0 192.168.0.10 YES manual up up

R2#exit

[Connection to 12.1.1.2 closed by foreign host]

R1#

查看对命令的审计