SNRS 第一天 AAA上半部分

2019年7月31日 05:54 作者：金淼淋分类：Security / SNRS  783

CISCO
CCSP SNRS
作者：现任朋教教，，
明教荣誉出品
0
0
第 0 天： AAA 技术下与 802 ． 1 又
第三天：二层攻防
第四 R:NFP 与 CA
第五天 :IOS 防火墻
现任明教教主 CCSPSNRS
e Anas telnet/ssh/http/https...
{2 Anas pptp/12tp/pppoe/ipsec vpn...
mt!nas auth-proxy(lOS)/cut-through(ASA) CCSPSNRS 現样明教主出品
第一分：众里论介绍
两大 AAA 通讯协议
NAS 与 AAA 服务器之间两大通讯协议
· RADIUS
· TACACAS
注意：这是厶 AA 技术的果！ CCSPSNRS
RADIUS VS TACACS+
Port Used
Trasnport Protocol
Encryption
AAA Architecture
Standard/Proprietary
TACACS+
pad<et encryption
Separate control of each
AAA Service
RADIUS
1545 and 1812
and 1813
UDP
Encrypts only passwords
Authentication and
authorization combined
Industry
IPSEC VPN; SSLVPN; 第
CCSPSNRS 現样明教教主出品
．邰分：厶望论介绍
RAD 旧 s 包头部结构
《 16 心、钿 s 》
code: 标明 RAD 《 us 包的亻笨型新．一
I—Acæss-R«west
2=Access-Acc-Ot
3 = ^ “ 以 “ t
4 二 A “ 甘 R 《 i t
5 = Acc " Res 《巧 e
Identifier: 用于匹配 re e 和 rep 、包。
L “ g 山．信息长度。
A 凵 № nt “ tor ：用于认证 RAD 旧 S 服务器 r 印 reque 蜮包鮪机产生債， reply 包中的
Authentcator 是一个 m而直（ r 印， message 妇怕十 shared key 十随机数）
Attributes: AV i CCSPSNRS 現样明教教主出品
第一邰分：望论介绍
RADIUS 包交换
RADIUS
Cliont
《 0 ．． u ， 0000 ． P00 ， 00 生、0身40@ N 0 0 `
伽 v （ S ， RADII-JSefr
CCSPSNRS * 壬 CCSPSNRS 現样明教教主出品
第
分：望论介绍
认证与授权一体
注意：一旦认证通过，
RA 创 us 服务器就回送所
有授权信息，不管 AAA-
Client 是否需要！
过 000 懌第
CCSPSNRS 現样明教教主出品
．邰分：厶望论介绍
TACACS+ 包头部结构
Major: TACACS+ 主版本号
Minor: TACACS+ 了版本号
packet type ：定义包类型 (åuihenticaton, authorization, accounting)
TAC PLUS_AlJTHEM=DxOi (AuttH1ücatm)
TAC_PLUS_AUTHOR-—O>02 （ Au 山》 z
TAC_PLUS_ACCT = 0 跹 3 （ ^ c 似照 Jnting ）
SN ：序列号，第一个包序列号为 1 ，每发一个包序列号增加 1 ，客户发送的包都为
奇数，服务器回送的包都为偶数
Flag ：表示这个包是否被加密
Session ID: 标识一个 TACACS+ 会话
Length: TACACS+ 数据包总长度（不包括头部）句
CCSPSMRS 任明教噘主出品
．尖地论介绍
TACACS+ 包交换
№ t 扁 •ti 《 i 川
ACACS+
， two
注意： T C CS +
认证与授权是完
全独立的（不同
的 session) ．
并且全部加密，
C “
D•vie• 《 N ^
TACACS• CCSPSNRS 現样明教教主出品
． AA 厶陵不上
第一天课程介绍
· AAA 理论介绍
· 本地 ℃ s 设备管
安装 ACS
· AAA ℃ s 、來舞
· IOS EZVPÅ Radius Attribute-Value
Attribut. Typ.
Value O Cisco
Type 1
(AV)
c,
CCSPSNRS
Cisco AV pairs
C isco AV pairs
IETF AV pairs
Type CCSPSNRS
RADII-JSÆ+U
RADIUS (IETF) Type
Tunnel-Type=VLAtV
[065) Tunnel-Medium-Type=80X
[081] Tunnel-Private-Group-lD=VLAN name or VLAN ID
RADIUS (Cisco IOS/PIX 6.0)
Cisco
• RADIUS}2U4frk 錦
CCSPSNRS 任明教教主出品
分：论介绍
TACACS+ 授权 1
基本完成图形化界面
一例如：同样完成对用户级别授权
TACACS+EN)E 化界血
RAD 《 us 未完威图形化界面
未完成图形化界面部分，需要添加 Service 和 Protocol
一例如 Auth-proxy 技术，需要在 Interface Configuration 配置 CCSPSNRS 任明教教主出品
錦
分：论介绍
TACACS+ 授权 2
． TACACS+ 授权特点（挤牙膏，你问我才说）
Authorization/
O
TACACS+
S 怡戊
Server (ACS)
TACACS+
0
Client
脔 26
焱厶 ℃ 00 怍 192 · 1 · 1 ． 1
Service—shell cmd•
Response
P 扒 V 以圳 5 CCSPSNRS
Router*telnet 192.168.1.2
Trying 192.168.1.2 Open
Password required, but none set
00.
to foreign host J
0 15
Router cisco
secret sol rccies CCSPSNRS
Console
fid HConsole1ZlQ+*f40
ine console 0
Router( ulfccies
If] Console M logim
console O
Router config-line "login
Router cong is now available
Press RETURN to started.
User Access Verification
Password :
Router > CCSPSNRS
password
Router config)iil inc vtl,' 0 15
Router
"Olf privilege 15
User nccess Verification
Usernane: "01 f
Password:
Routeråshow privilege
Current oriuilcgo 10001 is 15 CCSPSNRS
• Windows s'2W2003/2008)
• (J2SE Runtime Enviroment)
• Access Control Server (ACS) CCSPSNRS 現样明教教主出品
第三邰分：
安装 Java 运行环境
r 。灬 ' 思． 50 p 。．。 6 许
可过协议
谲维玎 “ 举可旺 0 吓
' 50 駔 0 巧堇：律：@
期代湃可协嫂
SUB C № 嘉虫 E)ns ， [ ．《．．》皂千谑可证，许可念匣丰下还
件，是意 0 俣二弋《瓿 + 可协钔有软以及讣巪可款
《麻 “ “ ，。 1 + 院。 1 即叫豐已受半
ting. 爷祯。璞虐戽芈身以螬@埔〕、受．吊蛩。果 0 个鬯 0 受回
疒叟馨．飛丰。 0 孬 0 ·
缃 0 CCSPSNRS 現样明教教主出品
第三邰分：女 ACS
安装 ACS 1
· 用户能够连接 ASA
· 服务器能够 ping ASANO 0
· ℃ S 客户端版本高于 11 1
· 己经安装 | E6 SPI 或者
飞 r 廴 00 〔的满毛囈」@0的b C ' 0 ：《 00 只以 0
A 0 ℃ ol'S 众； d “ 00 “ r 暂 0 ： ℃ 0 》《
丿 ℃ 0 到《 № 后，石 J 1 0 0 叶 02
、、中虐 n 」 e 0 枷 01 忄虐 t 河 0@2《 •h 0
Netscape V 不 02 CCSPSNRS
: AAA.F_E
Authentication ( u ilÆ)
•
• Authorization
• Accounting CCSPSNRS 任明教教主出品
第三分：女 ACS
安装 ACS 2
· ACS 本地数据库
0以@誑以“些0@昂年@
· 外部 Windows 数据库
疒厶以《卜 0 d 」叫 0家止，@
TO 《的絎山山、就 0 的 0 》 - W @c05枫u000
如妇刂地， do 的 u 的 = 生 № 事咩
国《 cfck E»bm. CCSPSNRS 現样明教教主出品
第三邰分：女 ACS
安装 ACS 3
· 加密 ACS 本地数据库
0 」到羡，过额@緔℃，@」n ．以 dif 到」
密码
彐 0 一
， 0 酉 0 0 的 d 材妁 0 的 00 出 0 緔
0 嗍杰卜 0 跹 0 羊箅 0 倒〕引 0 《
P 00d CCSPSNRS 現样明教教主出品
第四分：厶 ℃ s 设各管理
AAA ℃ S 设备管理配置步骤
· 启用设备线下保护。
· 定义 AAA 服务器。
· 配置认证策略，并测试
· 配置 exec （级别冲授权策略，并测试。
· 配置本地命令授权（ privilege) 策略，并测试。
· 配置 AAA 命令授权策略，并测试。
。配置 exec （登入 / 登出）审计策略，并测试。
· 配置命令审计策略，并测试。 CCSPSNRS
IOSÜ6æN
host 192.168.1.261 key cisco
host 192.1684.261 key cisc0J
aaa group server radius R. Group
192.168 key cisco
aaa group server tacacs• -Group
server-private 192.168. I. 241 key cisco Netwrk Configuration
Server
client'
CCSPSNRS
Qtwcrk Configuration
Add AAA Client
ths
from this Client STEF 1
CCSPSNRS
• User
(her
Lis t
separate CCSPSNRS 任明教教主出品
四部分： ℃ s 设备管理
测试 AAA 服务器
· 测试 AAA 服务器。
RRANtest aaa group tacacs• 1 1 Cisco new-ep
Sending password
User successfully authent icated
注意：有些老版本的 ℃ S 这条命令为隐藏命令，可以强行敵入！
· 测试成功表示，前期准备（ 1 ． ℃ S 添加服务器 2ACS 添
加 AAA 客户端 3 ．创建用户和密码）完全正确。 CCSPSNRS
;ülnamed loginiIi1TRff16
;ÉXLoginiJki1TÃIf16fjik
authentication login v t"
;ÜXLogin
localback password ióii¿cies
authentication login uty. authen gruo tacacs• local
;üXLoginiJkifr3üIH6fiikE (ihJhHaaa group
authentication login uty .authen groLO T -Group local
• iWHi_ki1TíR1116
RAR vty e 15
RAR authentication vtv.authen ttp ://blog.sina.com.cn/xrmjjz CCSPSNRS
IOSÜ6æN
(tUiiJUÆikAuto Command
;uexec
authorizdtlon group tecacs•
;ÜStexeciQ+kTUlßfriÅZ (
AAA (config localback privilege 5
ARA (config Naaa authorization exec "tv. author group tacacs+ local
( ihhlaaa group)
authorization exec vty. author group T. Group local
vtv 0 15
exec vty. author CCSPSNRS
IOSÜ6æN
User Setup username : test
TACACS* settinqs
Shen (exec)
Auto command
rotar•/
Idle time
No calback vent/
NO escape
No h"gup
privilege level
21
'i
• i)llJijtEXEC$Q+Z
19'>.168.1.1
Irving 192.168.1.1 .
Open
sername: test
as sword:
privi lege
Current is 5
r Enabled CCSPSNRS 任明教教主出品
四部分： ℃ s 设备管理
本地命令授权（ Privilege ）
Cisco 级别介绍
Privilege
令的作用《
， Privi | ege 特点：把命令从一个级别抠出来送到另外一个级别 CCSPSNRS 現样明教教主出品
第四分：厶 ℃ s 设各管理
本地命令授权配置实例 1
· 配置需求：让用户 test (leve15) 能够配苤 O er 相关命令
· 配置方式一
地 0
10 ． I -- -- 00h0 ' ．
有《 confi 到 № 0 而 ileøe 0 level 5
而跏舀 vil ” - 丨 5 rmit.«-id
其它。 “ “ 置枷下的仝娈．
伊、 ] 的《 O 槲 el 5 0 “
， “ 1 -id
0 ；纩 “ “ 飞 ' 、以 “ 14 ． 1 CCSPSNRS 現样明教教主出品
第四分：厶 ℃ s 设各管理
本地命令授权配置实例 2
· 配置方式二
黼亍不仅，戗 t “ 「力的还 0 ，屺善
下血的所有 0
0
。 “ 0 · 《 i ．， EN ” ith 01L0 ，
、南 i · 。， 1 “ RIB “ rot• “ - 第四分：厶 ℃ s 设各管理
TACACS+
c00 酬
0
应厶 A 侖令授权特直
1 龙这伦 00 勵苤虍铴川《以和
CCSPSNRS 現样明教教主出品
AAA 命名授权特点
虍庶 A 命令授权
O
0
%rver (ACS) User Setup username :test
r- Perme
e r nie
zrgum"lt:
germit
CCSPSNRS
ACSfr4'+2bŒdË
ont
00
router
Cnlistea arwments
p.rnit
router-•d
isted
c Denv CCSPSNRS 任明教教主出品
四部分： ℃ s 设备管理
定义 exec 审计策略
主要用于对用户登陆登出时间的审讦
· 定义 e × ec 审计策略方法审计不支持本地备份）
nnA(config)Haaa accounting exe 严，丿 0e0 cqt ta t 、 ` 10p group ta ．
定义 e × ec 审计棗略法二（调用 aaa group)
AAA(config)Haaa accoun
Start—stop group T Group
调用 exec 审计策略
AAA(config)uline 瞒 / 0 15
ßAA(ccnfig—11n0 ） "accounting cxec 01v 飞 00 “ （ 1 CCSPSNRS 現样明教主出品
第一分：众里论介绍
Authorization
· 授权用户能够使用的命 0 ． · ·
· 授权用户访问的资源．
· 授权用户获得的信息
注意：授权的主要作用是在用户都有效的情况
下，区分特权用户和普通用户。 CCSPSNRS 現样明教教主出品
第四分：厶 ℃ s 设各管理
查看 exec 审计信息
Reports Activity
亡 0 亠。妲科， y 一。卜、
R PO 写
TBCAC" Accounting active.csv
过兰」。亠三亠亠
0 还加
O 孬 000 1 34 ： 0
《：． 1 stop 应 CCSPSNRS 任明教教主出品
四部分： ] OS EZVPN RADIUS
IOS EZVPN RADIUS 配置步骤
配置 IOS EZVPN 本地认证 / 授权。 0 并测试。
注意：在配置任何 Ra 仃 a 技术之前保障本地认证能够正常工作
配置 IOS EZVPN RADIUS 认证 / 授权，并测试。
配置 IOS EZVPN RADIUS 审计，并测试。 222.0/24
.2
EZVPN RADIUS
IOS EZVPN
.241
202.10010,'24
CCSPSNRS
Ser
.2 EZVPN RADIUS
crypto ipsec Client
comect
client
per
ip address 2.2.2.2 255.255 .255.e
crypto ipsec client ezupn cisco.ins
interface
client cim
CCSPSNRS
EZVPN Clientæh5i)lIJijt
ern.m;
-Clienteshou crypto ipsec client ezupn
Remte Phase: 6
Inside interface 1 i r
Outside interface: FastEthernetd/O
current state:
Last Event:
Address: (applied Loopbatkl
nase
Save
peer:
202.18'.' . EZVPN RADIUS
CISCO
Destroy the Virus,
or Be Destroyed
In f«mwon to v:
CCSPSNRS
Transform Your Network _
With ASR series
1 CCSPSNRS 現样明教教主出品
7åk&låJft:lOSEZVPNRADlUS
如何找到 ACS 配置文档 2
59 Ct 丫《 r Product
丰的 0 《 “ 艹 g ，以和《
00 001 ，
」 0 以 0000 000d “ ， 20 ' ，，
0 到卜 0 它糲， CCSPSNRS 現样明教主出品
第一分：众里论介绍
Accounting
· 什么人
· 什么时间
做了什么事惜
非常类似生活中的摄像头。 CCSPSNRS 現样明教教主出品
7åk&låJft:lOSEZVPNRADlUS
如何找到 ACS 配置文档 3
Configure
0 《还醚 d 0 《酽 000 《」到 0 ， 00 之 0 上 0 為是
所， m 、：到到，就 0 《@引0醚 CCSPSNRS 埂明教教主出品
四分： ℃ S EZVPN RADIUS
如何找到 ACS 配置文档 4
0 “ 。 ℃ S 》笋知《地．苤： 00n 《以思过」以嵇 CCSPSNRS
ggn:los EZVPN RADIUS
EZVPN
• IOS EZVPN
"J+:Radius Croup Profile with IPsec AV Pairs
Radius Group Profile CCSPSNRS 現样明教教主出品
第四分：旧 S EZVPN RADIUS
ACS 配置
（建议） ACS 组 eacsgroup = 第一阶段认证 gr “ p 名
轟 C $ 。 “ 屮。 u 璀齔
CS 用栌名，事甲。
ACS 户名 “ 、以 “ 。生 1
00 0 0h0 ， 0 0i00 内 00 000 CCSPSNRS
EZVPN RADIUS
EZVPN
fidHEZPVN network
aaa accounting network remote start-stop group R.Group
crypto map cisco client accounting list remote 1
0
Z
岝急 뇝1항i긹
류 :: 듬
-rn기리지회기11기기1기-HI
2- CCSPSNRS 現样明教教主出品
第一邰分：望论介绍
什么情况使用 AAA
· NAS （ Network Access Serv 的的数量
· 人数多少
· 人员变动频率
· Accountin 第
CCSPSNRS 現样明教教主出品
．邰分：厶望论介绍
AAA 基本拓扑
0