利用ACS实现AAA服务

 

AAA简介

AAA是Authentication，Authorization and Accounting（认证、授权和计费）的简称，它提供了一个对认证、授权和计费这三种安全功能进行配置的一致性框架，实际上是对网络安全的一种管理。

1. 认证功能
AAA支持以下认证方式：  
      不认证：对用户非常信任，不对其进行合法检查。一般情况下不采用这种方式。
      本地认证：将用户信息（包括本地用户的用户名、密码和各种属性）配置在设备上。本地认证的优点是速度快，可以降低运营成本；缺点是存储信息量受设备硬件条件限制。
      远端认证：支持通过RADIUS协议或HWTACACS协议进行远端认证，设备（如Quidway系列交换机）作为客户端，与RADIUS服务器或TACACS服务器通信。对于RADIUS协议，可以采用标准或扩展的RADIUS协议。
2. 授权功能
AAA支持以下授权方式：  
      直接授权：对用户非常信任，直接授权通过。  
      本地授权：根据设备上为本地用户帐号配置的相关属性进行授权。  
      RADIUS认证成功后授权：RADIUS协议的认证和授权是绑定在一起的，不能单独使用RADIUS进行授权。
      HWTACACS授权：由TACACS服务器对用户进行授权。
3. 计费功能
AAA支持以下计费方式：  
      不计费：不对用户计费。  
      远端计费：支持通过RADIUS服务器或TACACS服务器进行远端计费。
AAA一般采用客户端/服务器结构：客户端运行于被管理的资源侧，服务器上集中存放用户信息。因此，AAA框架具有良好的可扩展性，并且容易实现用户信息的集中管理。

Isp域简介

ISP域即ISP用户群，一个ISP域是由属于同一个ISP的用户构成的用户群。在 “userid@isp-name”形式的用户名中，“@”后的“isp-name”即为ISP域的域名。接入设备将“userid”作为用于身份认证的用户名，将“isp-name”作为域名。在多ISP的应用环境中，同一个接入设备接入的有可能是不同ISP的用户。由于各ISP用户的用户属性（例如用户名及密码构成、服务类型/权限等）有可能各不相同，因此有必要通过设置ISP域的方法把它们区别开。
在ISP域视图下，可以为每个ISP域配置包括使用的AAA策略（使用的RADIUS方案等）在内的一整套单独的ISP域属性。

Radius简介

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常被应用在既要求较高安全性，又要求维持远程用户访问的各种网络环境中。

 

案例一（交换机）

拓扑图：

 

配置步骤

安装jdk

 

 

安装acs

 

 

 

 

 

 

 

 

改变IE安全级别，将安全级调中低以下

 

在acs中导入华为私有属性文件h3c.ini

 

 

通过ie进入acs并且配置acs

添加aaa客户端和服务器，配置好如下

 

 

接口配置

 

 

组配置

 

 

用户配置好如下

 

 

 

 

交换机配置

 

 

测试

telnet测试结果

 

 

AAA测试结果

启动dot1x

 

 

 

 

 

案例二（路由器）

拓扑图如上例

路由器配置如下

 

 

telnet测试如下

 

 

 

案例三（防火墙）

防火墙配置

acs配置

 

 

防火墙配置

 

 

telnet测试结果