补充资料-网络安全-第7章-使用TACACS+实现穿越代理-V1.0.docVIP

使用TACACS+实现穿越代理 使用Radius协议和Tacacs协议都可以实现穿越代理，课程中已经讲解了使用Radius协议搭建AAA服务器实现穿越代理，下面主要介绍使用Tacacs+协议搭建AAA服务器实现穿越代理的配置 使用Cisco的ACS软件通过Tacacs+协议搭建AAA服务器实现穿越代理的步骤如下： 1、添加AAA Client 在配置Tacacs+服务器时，首先需要添加一个AAA Client，如图7.1所示。图7.1中填写ASA防火墙IP地址，配置的服务器的KEY，然后在认证使用的协议中选择TACACS+(Cisco IOS)。 添加AAA Client 2、配置AAA Server 检查AAA Server的配置，并修改AAA Server类型为Tacacs+，如图7.2所示。 配置AAA Server 3、添加用户 用户添加的操作前面已经进行了讲解，此处省略。 4、定义用户能过访问服务器的权限 为通过认证的用户授权需要使用Tacacs+协议的Shell（exec）功能。首先，选择Interface Configruation→TACACS+(Cisco)勾选Shell(exec)选项，使得在用户组中能够配置Shell功能；然后，勾选“Advanced TACACS+ Features”启用Tacacs+协议高级特征。 配置对用户授权的规则有两种方法分别如下： 方法一： 在Shared Profile Components中选择Shell Command Authorization Sets，然后点击“Add”添加规则，如图7.3所示。 方法二： 在用户组中配置，在用户组中的TACACS+ Setting中可以看到如图7.4所示界面。 配置用户规则方法一 配置用户规则方法二 两种方法配置基本相同配置方法如下： 方法一：在下面添加需要授权的协议和端口（格式为protocol/port，例如：tcp/80），点击Add Command添加到左边方框中。然后，在右边方框中针对每个添加的协议/端口配置服务器地址，格式为permit/deny server_ipaddress。如图7.3所示中配置的规则表示允许的HTTP流量通过。 在图7.3中，Unmatched Command包含Permit和Deny两个选型，如果选择Deny时表示不匹配框中规则的流量将被拒绝；选择Permit时表示不匹配框中的流量将被允许通过。另外，Permit Unmatched Args选项选中时表示不匹配服务器IP地址的流量将允许通过。例如，如果图7.3中Permit Unmatched Args选项被选中，则表示除了到服务器之外的所有HTTP流量将被允许通过。 方法二：与方法一配置及含义相同，只是属于单一协议/端口规则的配置。如果需要添加多条规则可以保持用户组配置后再次进行配置时，会添加一个Command框。 4、为用户组授权规则 单击ACS功能区的Group Setup按钮设置用户组。选择要设置的组号，在TACACS+ Setting中选中Shell(exec)并且在如图7.5所示界面中配置Shell授权。 在图7.5中Shell授权设置共有三种，其中第二项通过在“Shell Command Authorization Sets”中定义的规则名称来进行授权；而第三项是通过用户组配置值的规则进行授权。 设置授权方式 2 3 7 网络安全高级应用 使用TACACS+实现穿越代理 7