安全与VPN-AAA技术介绍-D.docx

， ， 安全与VPN-AAA技术介绍 技术介绍 安全和 VPN 技术介绍 安全和 VPN 目 录 i i 目 录 AAA 1 AAA简介 1 RADIUS协议简介 2 客户端/服务器模式 2 安全和认证机制 2 RADIUS的基本消息交互流程 3 RADIUS报文结构 3 RADIUS扩展属性 6 HWTACACS协议简介 7 HWTACACS协议与RADIUS协议的区别 7 HWTACACS的基本消息交互流程 7 LDAP协议简介 9 LDAP目录服务 9 使用LDAP协议进行认证和授权 9 LDAP的基本消息交互流程 10 基于域的用户管理 11 设备的RADIUS服务器功能 12 AAA支持多实例 13 技术介绍 安全和 VPN 技术介绍 安全和 VPN AAA PAGE PAGE 10 AAA AAA 简介 AAA 是 Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。 AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器） 上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA 的基本组网结构如 图 1。 图 1 AAA 基本组网结构示意图 当用户想要通过某网络与 NAS 建立连接，从而获得访问其它网络的权利或取得某些网络资源的权利时，NAS 起到了验证用户或对应连接的作用。NAS 负责把用户的认证、授权、计费信息透传给服务器（RADIUS 服务器或 HWTACACS 服务器），RADIUS 协议或 HWTACACS 协议规定了 NAS 与服务器之间如何传递用户信息。 图 1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功能分别由使用哪种协议类型的服务器来承担。例如，可以选择HWTACACS服务器实现认证和授权， RADIUS服务器实现计费。 这三种安全服务功能的具体作用如下： 认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户； 授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后， 管理员可以授权用户对服务器中的文件进行访问和打印操作； 计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等， 它不仅是一种计费手段，也对网络安全起到了监视作用。 当然，用户可以只使用 AAA 提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。 如上所述，AAA 是一种管理框架，它提供了授权部分实体去访问特定资源，同时可以记录这些实体操作行为的一种安全机制，因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。 AAA 可以通过多种协议来实现，目前设备支持基于 RADIUS 协议、HWTACACS 协议或 LDAP 协议来实现 AAA，在实际应用中，最常使用 RADIUS 协议。 RADIUS 协议简介 RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于 UDP 的 RADIUS 帧格式及其消息传输机制，并规定 UDP 端口 1812、1813 分别作为认证、计费端口。 RADIUS 最初仅是针对拨号用户的 AAA 协议，后来随着用户接入方式的多样化发展，RADIUS 也适应多种用户接入方式，如以太网接入、ADSL 接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。 客户端/服务器模式 客户端：RADIUS 客户端一般位于 NAS 设备上，可以遍布整个网络，负责传输用户信息到指定的 RADIUS 服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。 服务器：RADIUS 服务器一般运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。 RADIUS服务器通常要维护三个数据库，如 图 2所示： 图 2 RADIUS 服务器的组成 “Use