高职大赛培训08-AAA & 802.1x

将验证列表应用到PPP接口：
Router(config-if)#ppp authentication { default | list-name }
Authentication配置示例
配置AAA——Authorization
配置授权列表：
Router(config)#aaa authorization network { default | list-name } method 1 [ method 2...]
ip-address表示远程RADIUS服务器的IP地址。 auth-port参数表示配置RADIUS服务器的认证和授权端口号，默认情况下 RADIUS服务器的认证和授权端口号为UDP 1812；acct-port参数表示配置 RADIUS服务器的计费端口号，默认情况下RADIUS服务器的计费端口号为 UDP 1813。 以使用此命令添加多个RADIUS服务器，当一个RADIUS服务器不可用时将使 用下一个配置的RADIUS服务器，NAS将按照配置的顺序进行查找。
将RADIUS服务器加入到服务器组中：
Router(config-gs-radius)#radius-server host ip-address [ auth-port port | acct-port port ]*
AAA及RADIUS配置示例
在上图所示的拓扑中，需要对远程登录到NAS设备上的用户进行
AAA基本模型(续)
用户向NAS设备发起连接请求 NAS设备将用户的请求转发给认证服务器 认证服务器返回认证结果信息给NAS设备
NAS设备根据认证服务器返回的认证结果对用户采取相应认证、授
权、计费的操作
课程议题
AAA配置
配置AAA ——Authentication
启用AAA
RADIUS认证过程
RADIUS授权过程
RADIUS计费过程
课程议题
配置R
Router(config)#radius-server host ip-address [ auth-port port | acctport port ]*
network：对网络访问进行授权，例如PPP、SLIP、Ethernet。 default：默认授权列表。默认情况下，默认的授权列表default将应用于所有 接口和线路。 list-name：定义授权列表的名称，后续将指定的授权列表应用于具体的接口、 线路时将引用此名称。 method：定义授权方法，授权方法包括group radius、local和none。
将计费列表应用到PPP接口：
Router(config-if)#ppp accounting { default | list-name }
课程议题
RAIDUS概述
Radius协议概述
RADIUS ( Remote Authentication Dial In User Service 远程认证 拨号用户服务 )是在网络接入设备和认证服务器之间进行认证授权 计费和配置信息的协议
为恳求者提供服务端口（物理、逻辑） 受控端口
始终处于双向连通状态，用来传递EAPoL协议帧
课程议题
802.1x基本配置
配置AAA及RADIUS
启用AAA（Authentication、Authorization、Accounting）
Switch(config)#
aaa new-model 802.1x的实现基于AAA
移动办公、WLAN
802.1x
起初用于解决802.11无线局域网的接入认证问题 现在有线网络中也可到了广泛部署
提供安全机制 低成本 灵活性 扩展性
基于端口的网络接入控制（Port Based Network Access Control）
只有用户通过认证，端口才被”开放“，否则端口处于”关闭“状态
配置AAA ——Authentication
参数method表示此验证列表中使用的认证方式，认证方法可以有 以下几种方式：
group radius：使用所有的RADIUS服务器进行验证 group group-name：使用RADIUS服务器组中的服务器进行验证 local：使用本地用户数据库进行验证。当配置local参数使用本地用户数 据库进行验证时，需要使用username username password password命 令预先在本地创建用户
Switch(config)#
aaa authentication dot1x { default | list-name } method1 [ method2… ] group radius，使用RADIUS服务器进行验证 local，使用本地数据库中的用户名和密码进行验证 none，无需进行验证用户即可通过认证。 可以指定多个验证方式。当指定完none后，将无法再指定其它认证方式， none通常用于当网络或服务不可用时的最后解决方案
AAA和802.1x
本章内容
AAA介绍 配置AAA RADIUS介绍 配置RADIUS
802.1x介绍
802.1x基本配置
课程议题
AAA基本概念
AAA介绍
AAA 是一个提供网络访问控制安全的模型，通常用于用户登录设 备或接入网络。 AAA（Authentication、Authorization、Accounting，认证、授权、
恳求者系统（Supplicant）
也称为客户端（Client） 通常为支持802.1x认证的用户终端设备 安装802.1x客户端软件
Ruijie Supplicant Windows XP
认证系统（Authenticatior System）
对恳求者进行认证
作为恳求者与认证服务器之间的“中介”
现对用户使用网络资源情况的记帐、统计、跟踪。
AAA介绍(续)
相对与其他的本地身份认证、端口安全等安全策略，AAA能够提供 更高等级的安全保护。 AAA优点：
灵活性 可控性 可扩展性 可靠性 标准化协议
AAA基本模型
AAA基本模型中分为用户、NAS、认证服务器三个部分
将授权列表应用到PPP接口：
Router(config-if)#ppp authorization { default | list-name }
配置AAA——配置Accounting
配置计费列表：
Router(config)#aaa accounting network { default | list-name } startstop method 1 [method 2…]
802.1x认证体系
802.1x是一个Client/Server结构
802.1x认证体系中的组件
恳求者系统（Supplicant System） 认证系统（Authenticator System）
认证服务器系统（Authentication Server System）
802.1x认证组件
启用802.1x
启用802.1x
Switch(config-if)#
dot1x port-control auto 配置此命令后，端口只接收EAPoL报文
None：不验证。此参数可以作为最后的备用验证方式，如果由于网络或
设备故障导致无法正常的进行验证时，在验证列表的最后一步可以使用 none不对用户进行验证
配置AAA——Authentication

应用验证列表
Router(config-line)#login authentication { default | list-name }
计费）提供了对认证、授权和计费功能的一致性框架
AAA主要解决的是网络安全访问控制的问题
AAA介绍(续)
Authentication：认证模块可以验证用户是否可获得访问权。 Authorization：授权模块可以定义用户可使用哪些服务或这拥有 哪些权限。
Accounting：计费模块可以记录用户使用网络资源的情况。 可实
该密钥不会在网络上传输。
可扩展的协议设计：RADIUS使用属性-长度-值（AVP，Attribute-LengthValue）数据封装格式，用户可以自定义其他的私有属性，扩展RADIUS 的应用。 灵活的鉴别机制：RADIUS服务器支持多种方式对用户进行认证，支持 PAP、CHAP、UNIX login等多种认证方式。
客户端主机 交换机 Radius服务器
Radius协议模型
客户端主机
交换机 Radius服务器
USER
NAS
Radius服务器
Radius协议模型
RADIUS协议特点
RADIUS协议特点
客户/服务器模型：网络接入设备（NAS）通常作为RADIUS服务器的客户 端。 安全性：RADIUS服务器与NAS之间使用共享密钥对敏感信息进行加密，
配置RADIUS服务器地址
Switch(config)#
radius-server host ip-address [ auth-port number | acct-port number ]* 默认情况下，认证和授权端口为1812，计费端口为1813 可以添加多个RADIUS服务器
配置AAA及RADIUS（续）
Router(config)#aaa new-model
配置验证列表
Router(config)#aaa authentication service { default | list-name }
method1 [ method2… ]
验证列表用于定义对用户进行身份认证的多种方法，这样确保在第一种方法 失败的情况下，可以使用备份验证方式和备份验证系统。 只有在前一种方法没有应答的情况下，NAS设备才会尝试下一种方法 如果在验证列表中的最后一种认证方式而还没有成功，则身份认证宣告失败