AAA學(xué)習(xí)筆記 2009-07-27 14:23 AAA學(xué)習(xí)筆記一、簡介 AAA是Authentication(認(rèn)證)Authorization授權(quán) Account記帳的簡稱；它們不是必須的也不是

tcwl123 2012-05-08

展開全文

AAA學(xué)習(xí)筆記

2009-07-27 14:23

AAA學(xué)習(xí)筆記

一、簡介
AAA是Authentication(認(rèn)證)Authorization授權(quán) Account記帳的簡稱；
它們不是必須的也不是要同時一起使用的；
他們可以使用路由器設(shè)備本地?cái)?shù)據(jù)庫，也可以使用外部數(shù)據(jù)庫（ACS）；
首先我們要認(rèn)證，即通過密碼驗(yàn)證；我們就算沒有設(shè)置其實(shí)也用到了認(rèn)證，就是登陸路由器要輸入的密碼，這個叫enable，
我們在配置了，username abc password aaa 使用這個賬號的話，叫local;
這二種是本地的數(shù)據(jù)庫，如果要用到認(rèn)證服務(wù)器，如　tacacs+ radius 就屬于group 服務(wù)器組方式了，這時你必須要在tacacs+ radius中選一個，同時還最多可選三個其它的認(rèn)證方式；當(dāng)然如果你對你的服務(wù)器和網(wǎng)絡(luò)環(huán)境有信心的話可以不選。
二、配置教程
一、使用它們都是三個步驟
1、建立帳戶數(shù)據(jù)庫（本地或認(rèn)證服務(wù)器）；
2、定義列表；
3、應(yīng)用到接口和鏈路；

二、首先我們要啟用AAA功能　

　　aaa new-model

三、一般來說第二步定義一個本地?cái)?shù)據(jù)庫防止配置失誤造成無法登陸

　　Username abc password aaa

四、定義認(rèn)證配置
　　認(rèn)證相當(dāng)于在問你是誰，你要回答我是哪個；但不可能不停的在問就算不煩嗓子也疼啊，只有在進(jìn)門時我會問下你是誰，開保險(xiǎn)柜時我在問下你是誰，或者是檢查指紋測試瞳孔什么的等等；所以我們要對動作進(jìn)行認(rèn)證定義。
　　　　　　aaa authentication行為　列表名　認(rèn)證方法
1、行為主要有以下三種：
　aaa authentication login ――――――當(dāng)有一個登陸行為時進(jìn)行認(rèn)證；
aaa authentication ppp ――――――對基于PPP協(xié)議的一些網(wǎng)絡(luò)應(yīng)用進(jìn)行認(rèn)證；
aaa authentication enable ――――――對使用enable命令進(jìn)入特權(quán)模式時進(jìn)行認(rèn)證；

2、列表名是自己定義的，這樣我們可以把各種認(rèn)證方式互相組合保存成一個個列表，用的時候方便，修改起來也方
　　便，我改了一個列表里的認(rèn)證方式那么所有使用這個列表的地方都改了，不需要去一個個地方去改了。
Default列表是一個系統(tǒng)自己建立的列表名作為缺省列表。它與我們自己建的列表沒有任何區(qū)別，只不過他是系統(tǒng)
　　建的而已。
3、認(rèn)證方法，就是指我們是查口令呢還是看指紋還是其它等等，也就是把我們的回答和誰進(jìn)行分析比較。主要有以
　　下幾種：

關(guān)鍵字	描述
enable	使用enabel口令認(rèn)證；
krb5	使用Kerberos5來認(rèn)證；
line	使用線路口令來認(rèn)證；
local	使用本地用戶數(shù)據(jù)庫來認(rèn)證；
none	不認(rèn)證；
group radius	使用radius服務(wù)器來認(rèn)證；
group tacacs+	使用tacacs+服務(wù)器來認(rèn)證；

每個列表中必須定義一種認(rèn)證方法，最多可以定義四種方法，當(dāng)?shù)谝环N認(rèn)證不通過再使用第二種，以此類推?！?/font>
例如我們定義
aaa   authentication   login  二號方案   group tacacs+ local
//我們定義了一個名叫二號方案認(rèn)證方式，就是先去tacacs+服務(wù)器驗(yàn)證，如果不成功在試試用本地賬號來試；
aaa   authentication   login   三號方案 group local enable
//我們定義了一個名叫三號方案認(rèn)證方式，就是先用本地賬號驗(yàn)證，如果不成功就用enable密碼來驗(yàn)證；
WeiOIP注明：僅當(dāng)前面的身份驗(yàn)證方法返回ERROR而不是FAIL時，才嘗試接下來的方法
常見的返回ERROR的情況是，由于鏈路出現(xiàn)故障或服務(wù)器端出現(xiàn)問題，無法連接到服務(wù)器組中的任何成員
五、應(yīng)用到接口和鏈路

我們上面做了那么多但是還沒有效果為什么呢，就好像我們做好了報(bào)警器，指紋驗(yàn)證器但沒裝到門上你說可有效果，那當(dāng)然是不行的了，我們是定義了當(dāng)?shù)顷憰r就啟用一個列表名字叫二號方案的認(rèn)證方式，但只有我們把他裝到門上才能有效果啊，有人說太麻煩應(yīng)該定義好了就能用，那就慘了，你給自己家的門上裝了二號方案沒關(guān)系，如果樓道門、院子門，都給裝上了那就有問題了，所以我們要把定義好的認(rèn)證方法列表裝到我們需要使用認(rèn)證的門上，例如我們可能對Telnet要認(rèn)證，但通過console登陸的就不要認(rèn)證。
line vty 0 //我們先要進(jìn)入接口
aaa authentication 二號方案 //線路vty0使用名為二號方案的方式進(jìn)行認(rèn)證；
line vty 1
aaa authentication 三號方案

六、配置tacace服務(wù)器
可能的情況下還需要告訴路由器認(rèn)證服務(wù)器IP地址和KEY
Router(config)#tacacs-server host　1.1.1.1  key 　cisco12345
如果是Radius服務(wù)器的話就使用下面的命令：
Router(config)#radius-server host 1.1.1.1　 key　 cisco12345
七、整理一下上面的命令看看在路由器上的實(shí)際配置情況

Router>en
Router#conf t
Enter configuration commands, one perline.
End with CNTL/Z.
Router(config)#aaa new-model
Router(config)#username aaa password abc

Router(config)#aaa authentication loginfirst group tacacs+ local

Router(config)#aaa authentication loginsecond local enable
Router(config)#line vty 0
Router(config-line)#login authenticationfirst
Router(config-line)#line vty 1
Router(config-line)#login authenticationsecond
Router(config-line)#

類別：默認(rèn)分類|

|添加到搜藏 |分享到i貼吧|瀏覽(204)|評論 (0)

上一篇：CISCO NAT 經(jīng)典配置合集下一篇：串口硬盤與并口硬盤的區(qū)別

本站是提供個人知識管理的網(wǎng)絡(luò)存儲空間，所有內(nèi)容均由用戶發(fā)布，不代表本站觀點(diǎn)。請注意甄別內(nèi)容中的聯(lián)系方式、誘導(dǎo)購買等信息，謹(jǐn)防詐騙。如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請點(diǎn)擊一鍵舉報(bào)。

轉(zhuǎn)藏 分享

QQ空間 QQ好友新浪微博微信

獻(xiàn)花（0） +1

來自： tcwl123 > 《ccnp》

舉報(bào)/認(rèn)領(lǐng)