AAA-本地认证篇.docVIP

AAA-本地认证篇 今天在这里所提到的AAA，不是指的美国的AAA电池,也不是指的什么“AAA”风景胜地，而这里指的是计算机安全领域的协议。AAA指：鉴权，授权，计费（Authentication, Authorization, Accounting），PS:可能在每个地方的翻译不一样，但是就是指的同一个技术。 更多关于AAA名词，请看/wiki/AAA 如何在网络中，使用AAA协议来提高网路的安全性，今天就谈谈“认证“的作用。当有位大虾，试图通过console线缆来登录路由器或者交换机，我们怎么保证该用户登录的是安全的，它是合法的管理员，而不是入侵者，有的人说，只需要设置Console接口登录密码，以及特权模式密码。如果这位大虾，要通过网络访问,如（SSH,Telnet）,还需要设置远程登录的密码。这样一来，这位大虾本地，和远程管理和调试网络设备，需要记忆多个密码。而且你这个密码不一定是安全的。 那为什么要使用AAA，而不是只配置一个密码解决问题了。使用AAA的好处是什么？ 1，配置简单，管理方便 2，安全性高，用户名和密码等，可以通过加密之后在网络中传输，防止嗅探和欺骗 3，用户记忆少，操作灵活，AAA可以与其他的技术综合使用,如PPP认证由AAA完成等 而配置密码，只是一个单一的安全性。 如何在Cisco设备上来配置AAA的认证? 实验设备: cisco 3640路由器1台，PC一台，Console线缆一根，交叉线一根 实验拓扑： 实验过程： 第一步：通过console线缆，使用超级终端或者SecureCRT登录路由器，完成基本配置，同时将交叉线连接到路由器E1/0,t在PC的接口上配置IP为，掩码Router(config)#no ip domain-lookup Router(config)#line console 0 Router(config-line)#no exec-t Router(config-line)#logg syn 3640(config)#host R3640 R3640(config)#int e1/0 R3640(config-if)#ip add R3640(config-if)#no sh R3640(config-if)#end R3640#ping Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: .!!!! 第二步：启用AAA，并配置登录验证为local R3640(config)#aaa new-model 全局启用AAA功能 R3640(config)#aaa authentication login ??当用户登录时启用AAA认证功能，并且定义认证时调用的名字是默认的”default”,还是自己随便定义1个 ? WORD???? Named authentication list. ? default? The default authentication list. R3640(config)#aaa authentication login default ? 指定用哪种认证方式 ? enable?????? Use enable password for authentication. 使用特权密码 ? group??????? Use Server-group 使用Radius或者Tacacs+协议 ? krb5???????? Use Kerberos 5 authentication. 使用Kerberos ? krb5-telnet? Allow logins only if already authenticated via Kerberos V ???????????????? Telnet. ? line???????? Use line password for authentication. 使用线路认证方式 ? local??????? Use local username authentication.? 使用本地认证方式，需配置用户名和密码 ? local-case?? Use case-sensitive local username authentication. ? none???????? NO authentication. 不做认证 配置当用户登录设备时，使用aaa本地登录认证方式，认证调用的名字为default,认证方式为local R3640(config)#aaa authentication login default loca