AAA测试步骤说明文档

AAA测试步骤说明文档

Telnet、ssh和web三种服务的认证方式可以为Null、Local、Radius、Tacacs+、LDAP

Null：不需要认证

Local：R3000本地认证，即通过本地用户认证；

Radius/Tacacs+/LDAP：这三种为第三方认证，Telnet、ssh和web三种服务在选择第三方认证时，使用的密码为三种服务器处设置的密码，所以三种服务在使用同一服务器认证时，密码是相同的，例如telnet/ssh/web都有使用到Radius认证，此时三种服务会使用到Radius服务器处设置的密码，密码相同。

使用第三方认证方式，主要是考虑到安全性，不想要本地认证，当有大量设备时，通过修改第三方服务器的认证密码，可实现批量改变认证密码（设备都设置为第三方认证时），也方便通过第三方平台监控哪些设备被登录（目前测试的软件无法做到）。

一、radius认证方式

（For Linux系统）

1）在Linux系列里面查找freeradius安装包，执行命令如下：

[root@localhost /]# cd /media/CentOS_6.3_Final_/Packages/

[root@localhost Packages]#ls|more 通过/free搜索

通过上述命令可查找到名为freeradius-2.1.12-3.el6.i686.rpm的安装包（有一些安装包是在里面找不到的，需要主动去其他地方下载）。

2）确定了安装包存在后，需要将安装包下载到指定文件夹，命令如下：

[root@localhost /]#

cp/media/CentOS_6.3_Final_/Packages/freeradius-2.1.12-3.el6.i686.rpm/srv

3）修改安装包权限，命令如下：

[root@localhost /]#cd /srv (先进入到相应的目录，再修改权限)

[root@localhost srv]# chmod 777 freeradius-2.1.12-3.el6.i686.rpm

[root@localhost srv]# ls （此时可以查看文件是否变可执行，红色代表不可执行，绿色代表可执行）

4）安装freeradius软件，命令如下：

[root@localhost /]#rpm-ivhfreeradius-2.1.12-3.el6.i686.rpm

(*说明：yum install是本地没有安装包时，通过下载yum源处的安装包，此处因为CD里面是有此RPM包的，所以不再使用yum)

5）安装完成后，修改部分配置，

a．修改/etc/raddb/clients.conf，在文件最后增加：

client 192.168.100.0/24{

secret = testing123

shortname = r3000

nastype = other

}

b.修改/etc/raddb/users，在文件中增加一用户信息：

（*说明：可通过nyy命令复制文本中的例子，p粘贴后，再进入插入模式修改）

test123 Cleartext-Password := "123456"：

Service-Type = Framed-User,

Framed-Protocol = PPP,

Framed-IP-Address = 172.16.3.33,

Framed-IP-Netmask = 255.255.255.0,

Framed-Routing = Broadcast-Listen,

Framed-Filter-Id = "std.ppp",

Framed-MTU = 1500,

Framed-Compression = Van-Jacobsen-TCP-IP

6）修改完成配置后启动服务：radiusd –X

若想重启radius服务，需要将之前已经启动的radius服务杀死，ps –aux | grep radius,之后kill掉对应的进程ID。

（*说明：需要关闭防火墙service iptables stop）

7）登入R3000网页，其配置页面如下：

使能Radius，

server address：填写虚拟机的IP。

server port：一般默认1812.

password：与虚拟机上安装radius时配置的密码相同，本例中是testing123.

注意：此处设置的用于Radius认证的用户名和密码为test123/123456.

另外，R3000的web的登陆用户名和密码都有字符长度的限制，此处设置为test123可以登陆web，如果设置为test则不可以登陆web，因为登录名太短，不符合；更改Radius认证用户名文件为/etc/raddb/users）。

二、Tacacs+认证方式

（For Windows系统）

1）直接在windows上安装tacacs+，安装包在tacacs+文件夹中，安装过程中的密码要记住（client认证的配置要）；安装完成后：

2）把tacacs+文件夹里面的配置文件authentication.xml拷贝到安装目录config目录（注意：此处若直接打开安装文件是看不到config文件的，因为它已经被隐藏掉了，所以要在电脑“开始”->“所有程序”里面找到https://www.360docs.net/doc/cc10401530.html,，打开文件夹可看到configuration文件夹），此配置文件已经配置了用户名(user1)和密码(somepassword)。

3）修改config目录下的tacplus.xml，把"172.16.2.2"这行中的IP改成电脑的IP。然后重启电脑，然后直接启动TACDES即可。

4）登录R3000页面，其配置页面如下：

使能Tacacs，

server address：填写电脑端的IP。

server port：一般默认49.

password：与安装tacacs软件过程中设置的密码相同，本例中是123456

（*password是在安装tacacs+软件时提示输入密码时设置的，若未设置，可在client.xml中修改三个位置）.

5）（*可选）TACTest检测网络或端口等问题

a.当开启了TACDES，且R3000配置正确，但通过Telnet、ssh和web中任意一种认证形式都不能通过认证，则需要使用TACTest来检测网络或端口等问题（路径为电脑左下角的“开始”->“所有程序”里面找到https://www.360docs.net/doc/cc10401530.html,文件夹里面找到TACTest）；

b.在CLI使用tactest -?命令，会打印很多检测网络或端口的相关信息，例如可使用：tactest -s 192.168.100.41-k 123456 -u user1 -p somepassword命令检测ServerIP是否可用.

注意：使用Tacacs+认证的用户名和密码为user1/somepassword。（若要改变用户名和密码可到configuratio->authentication.xml中更改）。

三、LDAP认证方式

（For Windows系统）学习文档网址：https://www.360docs.net/doc/cc10401530.html,/s/blog_536c644701018bkx.html 或者https://www.360docs.net/doc/cc10401530.html,/lanxuezaipiao/p/3664676.html

1）安装OpenLDAP

下载适合本系统的OpenLDAP软件，路径为

https://www.360docs.net/doc/cc10401530.html,erbooster.de/download/openldap-for-windows.aspx

下载完成后安装，按照提示一直next，直到安装完成。

2）安装完成后，启动任务管理器，在系统服务中，找到OpenLDAP Service，先停止服务，再把启动类型修改成手动，便于自己的测试。

3）在OpenLDAP安装文件中找到slapd.conf 文件并编辑该文件，在文件中找到如下内容：

suffix "dc=maxcrc,dc=com"

rootdn "cn=Manager,dc=maxcrc,dc=com"

将以上内容修改成:

suffix "dc=robustel,dc=com"

rootdn "cn=Manager,dc=robustel,dc=com"

修改完成后保存文件关闭文件。

4）打开cmd控制台，切换到openLDAP安装目录下，启动openLDAP，命令如下：

slapd -h "ldap:///" -d 1 -f ./slapd.conf

执行以上命令后会在日志中看到slapd starting 的信息，此时表示服务已经启动好了。

5）新建一个文件mydemo.ldif放在openLDAP安装目录下，内容如下：

（*或者直接拷贝LDAP目录下的mydemo.ldif文件到openLDAP安装目录）

dn: dc=robustel,dc=com

objectclass: domain

objectclass: top

o: Jacket Blog

dc: robustel

dn: ou=Developer,dc=robustel,dc=com

objectclass: organizationalUnit

ou: Developer

description: Container for developer entries

dn: uid=Jacket,ou=Developer,dc=robustel,dc=com

uid: Jacket

objectClass: inetOrgPerson

mail: sjsky_007@https://www.360docs.net/doc/cc10401530.html,

userPassword: 111111

labeledURI: https://www.360docs.net/doc/cc10401530.html,

sn: Sun

cn: Jacket Sun

注意：复制以上配置信息的时候一定要确保每行的开头和末尾都不能有空格，否则会运行出错。6）先停止之前开启的slapd服务（可直接把开启的窗口关掉），在cmd控制台中切换到openLDAP

安装目录下执行命令：

slapadd -v -l ./mydemo.ldif

运行结果如下：(此截图来自网页，如果是我们自己实际操作，截图中的micmiu应该是全部替换成robustel才是，因为前面的配置文件中已经把网页学习文件中的micmiu全部改成了robustel 了，下面的所有截图也都是如此。

此时表示数据信息导入成功。

7）再打开cmd控制台，切换到openLDAP安装目录下，启动openLDAP，命令如下（同步骤4）：slapd -h "ldap:///" -d 1 -f ./slapd.conf

8）OpenLDAP管理端的安装：

a.解压LdapAdminExe-1.6.zip压缩包，开启LdapAdmin.exe；

b.点击Start->Connect->Create new account，会有下图的输入对话框：

在上图中的Base、Username、Password处分别输入以下“:”后面的内容，点击OK按钮即可，Connection name可任意输入。

Base:dc=robustel,dc=com

Username:cn=Manager,dc=robustel,dc=com

Password:secret

c.然后选择创建好的帐户，点击OK按钮即可进入

d.通过以上步骤，可以查看到ou相关信息；此时，可通过服务器认证，用户名密码分别为图

片中的uid：Jacket、userPassword：111111。

9）进入R3000页面，配置LDAP参数

Server Address：服务器的IP地址，例如192.168.100.22；

Server Port：服务器开启的端口号，例如389

Base DN: dc=robustel,dc=com

Username: cn=Manager,dc=robustel,dc=com

Password：secret（安装LDAP时设置，默认值为secret）

Telnet/Ssh/Web三种服务在访问时，使用LDAP认证时的用户名和密码为：Jacket/111111