远程访问——AAA认证配置广域网链路.PDFVIP

远程访问——AAA认证配置、广域网链路 引入： 通过讲述路由器配置的安全性，为何需要对路由器进行安全认证，限制远程用户的非法 连接与授权等，实现网络安全管理。 新授： 一、AAA认证配置 AAA系统的简称： 认证(Authentication)：验证用户的身份与可使用的网络服务； 授权(Authorization)：依据认证结果开放网络服务给用户； 计帐(Accounting)：记录用户对各种网络服务的用量，并提供给计费系统。 AAA身份验证 (Authentication)、授权 (Authorization)和统计 (Accounting)Cisco开发 的一个提供网络安全的系统。奏见authentication。authorization和accounting 常用的AAA协议是Radius 另外还有 HWTACACS协议 （HuaweiTerminalAccessControllerAccessControlSystem） 协议。HWTACACS是华为对TACACS进行了扩展的协议 HWTACACS是在TACACS （RFC1492）基础上进行了功能增强的一种安全协议。该协 议与RADIUS协议类似，主要是通过 “客户端－服务器”模式与HWTACACS服务器通信 来实现多种用户的AAA功能。 HWTACACS与RADIUS 的不同在于： lRADIUS基于UDP协议，而HWTACACS基于TCP协议。 lRADIUS 的认证和授权绑定在一起，而HWTACACS 的认证和授权是独立的。 lRADIUS 只对用户的密码进行加密，HWTACACS可以对整个报文进行加密。 认证方案与认证模式 AAA支持本地认证、不认证、RADIUS认证和HWTACACS认证四种认证模式，并允 许组合使用。 组合认证模式是有先后顺序的。例如，authentication-moderadius local 表示先使用 RADIUS认证，RADIUS认证没有响应再使用本地认证。 当组合认证模式使用不认证时，不认证（none）必须放在最后。例如：authentication-mode radiuslocalnone。 认证模式在认证方案视图下配置。当新建一个认证方案时，缺省使用本地认证。 授权方案与授权模式 AAA支持本地授权、直接授权、if-authenticated授权和HWTACACS授权四种授权模式， 并允许组合使用。 组合授权模式有先后顺序。例如,authorization-mode hwtacacs local 表示先使用 HWTACACS授权，HWTACACS授权没有响应再使用本地授权。 当组合授权模式使用直接授权的时候，直接授权必须在最后。例如：authorization-mode hwtacacslocalnone 授权模式在授权方案视图下配置。当新建一个授权方案时，缺省使用本地授权。 RADIUS 的认证和授权是绑定在一起的，所以不存在RADIUS授权模式。 计费方案与计费模式 AAA支持六种计费模式：本地计费、不计费、RADIUS计费、HWTACACS计费、同 时RADIUS、本地计费以及同时HWTACACS、本地计费。 AAA ，认证(Authentication)：验证用户的身份与可使用的网络服务;授权(Authorization)： 依据认证结果开放网络服务给用户;计帐(Accounting)：记录用户对各种网络服务的用量，并 提供给计费系统。整个系统在网络管理与安全问题中十分有效。 首先，认证部分提供了对用户的认证。整个认证通常是采用用户输入用户名与密码来进 行权限审核。认证的原理是每个用户都有一个唯一的权限获得标准。由AAA服务器将用户 的标准同数据库中每个用户的标准一一核对。如果符合，那么对用户认证通过。如果不符合， 则拒绝提供网络连接。 接下来，用户还要通过授权来获得操作相应任务的权限。比如，登陆系统后，用户可能 会执行一些命令来进行操作，这时，授权过程会检测用户是否拥有执行这些命令的权限。简 单而言，授权过程是一系列强迫策略的组合，包括：确定活动的种类或质量、资源或者用户 被允许的服务有哪些。授权过程发生在认证上下文中。一旦用户通过了认证，他们也就被授 予了相应的权限。 最后一步是帐户，这一过程将会计算用户在连接过程中消耗的资源数目。 这些资源包括连接