AAA技术

软件安装使用
1。添加RADIUS客户端 。添加 客户端 Network config –add entry—aaa client –submit 2。从新启动 。从新启动ACS服务 服务 System config –service control—restart 3。创建并配置用户 。 User setup—username test –submit -- list all users 4。配置统计日志 。 System config ---logging—CSV passed authentications –submit 5。查看RADIUS服务器上的日志 。查看 服务器上的日志 Reports and activity ---passed authentications---active.csv--- filed attempts active.csv
AAA的实现 的实现
AAA由具体的 由具体的AAA协议来实现，目前最常用的 协议来实现， 由具体的 协议来实现 目前最常用的AAA协议包括 协议包括 RADIUS和TACACS+两种。众多厂商都开发了支持 两种。 和 两种 众多厂商都开发了支持AAA协议的服务 协议的服务 程序，例如： 程序，例如： 微软内置的Internet 身份认证服务 身份认证服务(IAS)，可以支持 微软内置的 ，可以支持RADIUS CISCO ACS可支持 可支持RADIUS和TACACS+协议 可支持 和 协议 注意：要想实现 注意：要想实现AAA，需要安装这些支持 ，需要安装这些支持AAA协议的服务程序才行 协议的服务程序才行 。
Controlled port EAPoL
Uncontrolled port
LAN
身份认证系统(Supplicant System)是指需要接入网络的客户端 客户端必须 是指需要接入网络的客户端,客户端必须 身份认证系统 是指需要接入网络的客户端 支持802.1X协议 一般系统都支持 协议.一般系统都支持 支持 协议 一般系统都支持. 认证系统(Authenticator System)是根据认证请求者 客户端 的认证结果 允 是根据认证请求者(客户端 的认证结果(允 认证系统 是根据认证请求者 客户端)的认证结果 许或拒绝)来控制接入的网络设备 认证系统一般为交换机或无线接入点. 来控制接入的网络设备.认证系统一般为交换机或无线接入点 许或拒绝 来控制接入的网络设备 认证系统一般为交换机或无线接入点 认证服务器系统(Authentication Sever System)是指对认证请求者 客户端 是指对认证请求者(客户端 认证服务器系统 是指对认证请求者 客户端) 进行实际的身份认证的服务器,通常为 通常为RADIUS服务器 服务器. 进行实际的身份认证的服务器 通常为 服务器
AAA &RADIUS 概述
AAA即Authentication, Authorization and Accounting 即 身份认证(Authentication) 身份认证 使用用户名和密码、质询和响应。 使用用户名和密码、质询和响应。 例如：你是谁？ 例如：你是谁？ 我是陈永波，我的密码是“ 我是陈永波，我的密码是“chen”能证明这一点 能证明这一点 授权（Authorization） 授权（ ） 决定用户可以访问哪些资源、允许该用户执行哪些操作。 决定用户可以访问哪些资源、允许该用户执行哪些操作。 例如：你可以做什么？ 例如：你可以做什么？ 用户陈永波可以使用WWW服务 服务 用户陈永波可以使用 审计（ 审计（Accounting） ） 记录用户进行了什么操作，访问了什么资源以及操作或访问了多长时间等。 记录用户进行了什么操作，访问了什么资源以及操作或访问了多长时间等。 例如：你做了什么？ 例如：你做了什么？ 用户陈永波使用WWW服务 个小时。 服务1个小时 用户陈永波使用 服务 个小时。
TACACS+
增强的终端访问控制器访问控制系统(TACACS+)对 对 增强的终端访问控制器访问控制系统 AAA的支持是模块化的，所以其每一中服务基本上都可 的支持是模块化的， 的支持是模块化的 以看作是一个独立的服务器。 以看作是一个独立的服务器。每一种服务都可以预期自 己的数据库捆绑起来， 己的数据库捆绑起来，或者可以使用在该服务器或网络 上的其他服务。 上的其他服务。
RADIUS
RADIUS（远程身份验证拨入用户服务） （远程身份验证拨入用户服务） 它是一个公用协议在任何厂家设备上都能使用。 它是一个公用协议在任何厂家设备上都能使用。RADIUS是一个客户 是一个客户 服务器标准， 客户端（ 端/服务器标准，RADIUS客户端（通常为路由器、交换机、拨号远 服务器标准 客户端 通常为路由器、交换机、 程访问服务器、 服务器、 程访问服务器、VPN服务器、无线访问点）以RADIUS消息的形式向 服务器 无线访问点） 消息的形式向 RADIUS服务器发送客户凭据。RADIUS服务器对 服务器发送客户凭据。 服务器对RADIUS客户端请 服务器发送客户凭据 服务器对 客户端请 求进行身份验证和授权，并发回RADIUS消息响应。RADIUS客户端 消息响应。 求进行身份验证和授权，并发回 消息响应 客户端 也向RADIUS服务器发送 服务器发送RADIUS审计或记账消息。 审计或记账消息。 也向 服务器发送 审计或记账消息
802.1X工作过程 工作过程
认证服务器核实客户端的身份,并通过认证者 交换机或无线接入点 认证服务器核实客户端的身份 并通过认证者(交换机或无线接入点 是 并通过认证者 交换机或无线接入点)是 否允许客户端接入.认证服务器接受认证者转交的认证请求 认证服务器接受认证者转交的认证请求,认证完成 否允许客户端接入 认证服务器接受认证者转交的认证请求 认证完成 后将认证结果下发给认证者,完成基于端口的认证 完成基于端口的认证. 后将认证结果下发给认证者 完成基于端口的认证 在启用802.1X认证时 端口的状态一般为非授权 认证时,端口的状态一般为非授权 在启用 认证时 端口的状态一般为非授权(unauthorized);处 处 于非授权的端口只允许802.1X报文和广播报文通过 其他任何信息都 报文和广播报文通过,其他任何信息都 于非授权的端口只允许 报文和广播报文通过 不能通过. 不能通过 当客户端通过认证后,端口状态切换到授权状态 当客户端通过认证后 端口状态切换到授权状态(authorized),客户 端口状态切换到授权状态 客户 可使用处于授权状态的端口进行通信. 可使用处于授权状态的端口进行通信
AAA &802.1x原理及配置
技术背景
现在,网络访问方法越来越多 使遵守安全制度和不可控 现在 网络访问方法越来越多,使遵守安全制度和不可控 网络访问方法越来越多 的网络访问成为企业担心的主要问题.随着 随着IEEE802.11 的网络访问成为企业担心的主要问题 随着 无线局域网(WLAN)和普遍宽带互联网连接的广泛使用 和普遍宽带互联网连接的广泛使用. 无线局域网 和普遍宽带互联网连接的广泛使用 安全问题不仅存在于网络外部,还存在于网络内部 能够 安全问题不仅存在于网络外部 还存在于网络内部,能够 还存在于网络内部 防范这些安全漏洞的身份识别技术现在已成为吸引全球 用户关注技术. 用户关注技术 网管希望解决方案能够结合用户身份、 网管希望解决方案能够结合用户身份、网络访问类型和 网络访问设备的安全性来提供灵活的授权策略。 网络访问设备的安全性来提供灵活的授权策略。并能集 中跟踪监控网络用户连接的能力对与杜绝不适当的或过 度使用宝贵的网络资源至关重要。 度使用宝贵的网络资源至关重要。 这样AAA就孕育而生了 这样 就孕育而生了
Authenticator Server System
Supplicant
Services offered by authenticators Port unauthorized
Authenticator PAE
Authenticator Server EAP protocol exchanges carried in higher layer protocol
ACS
ACS是具有高可扩展性的高可性能的访问服务器，可作 是具有高可扩展性的高可性能的访问服务器， 是具有高可扩展性的高可性能的访问服务器 为集中的RADIUS和TACACS+服务器运行。ACS将验 服务器运行。 为集中的 和 服务器运行 将验 证、用户访问和网管访问与策略控制结合在一个集中的 身份识别网络解决方案中，因此提高了灵活性、 身份识别网络解决方案中，因此提高了灵活性、移动性 安全性和用户使用率。从而进一步增强网络安全。 、安全性和用户使用率。从而进一步增强网络安全。 ACS支持广泛的网络连接，包括有线网络和无线网络、 支持广泛的网络连接，包括有线网络和无线网络、 支持广泛的网络连接 防火墙和VPN等。 防火墙和 等
802.1x 系统组成
采用典型的客户端/服务器模式 采用典型的客户端 服务器模式 包含三个实体： 包含三个实体： Supplicant System, Authenticator System and Authentication Sever System
Supplicant System
Authenticator System
ACS
ACS的全称为 的全称为Cisco Secure Access Control Server 的全称为 思科安全访问控制服务器） （思科安全访问控制服务器）是思科为智能信息网络提 供的基于身份的全面的访问控制解决方案。 供的基于身份的全面的访问控制解决方案。它是用于管 理企业网络用户、 理企业网络用户、管理员和网络基础设施资源的基础和 控制层。 控制层。
TACACS+和RADIUS比较
AAA协议支持 传输层协议 加密方法 标准
TACACS+ TCP 对整个数据包加密
RADIUS UDP 仅对口令加密 工业标准
CISCO专有
IAS