思科ACS网络设备安全管理方案
图文】Cisco Secure ACS 5.2使用教程
1、ACS配置ACS的配置难点在部署的时候的配置，部署完毕之后使用起来就比较容易了，只要创建好用户，定义好密码，然后放在对应的组里就可以了，具体操作步骤如下:按照如图1-1所示的方法打开用户添加界面图 1-1用户添加界面打开后如图1-2所示，里面的内容比较复杂，对我们来说最重要的部分是用户名、密码以及用户组，添加用户界面中的项目作用如图1—3：图中标“1”的部分：用户名字段，登录的时候这个就是Username图中标“2”的部分:用户组，之前我们说过ACS的策略权限等的定义都是基于用户组进行的，而细化到对用户的权限控制,就是把用户放入对应的组里图中标“3”的部分：登录密码，登录的时候这个就是password图中标“4”的部分：勾选这个之后用户第一次登录的时候登录的网络设备会提示要修改新的密码（思科的设备经测试有效）图中标“5"的部分：使能密码，也就是我们常说的enable密码，这个密码如果需要使用则需要在设备上开启enable使用AAA服务器做认证（暂未测试）图 1-2图 1-3配置完毕后点击Submit按钮,就可以直接使用这个账号登录所有以这台服务器作为AAA认证服务器并开启了vty线程AAA认证的网络设备了,使用Tacacs+服务的设备还可以根据用户组中定义的授权信息对登录上来的用户做授权。
2、网络设备的配置不同的网络设备配置命令是不一样的，具体的配置需要参考相关设备的配置手册，由于ACS本来就是Cisco的东西，所以Cisco的设备相对来说兼容性是最好的。
2。
1、Cisco设备的配置//AAA服务配置aaa new—model //定义新的AAA实例aaa authentication login MAGIgroup tacacs+ local—case //命名一个名为MAGI的登录认证规则，且如果tacacs+服务不可达,则自动使用本地数据库信息认证aaa authorization exec MAGI grouptacacs+ local //命名一个名为MAGI的特权授权规则，且如果Tacacs+服务不可达，则自动使用本地数据库信息授权tacacs-server host 192。
Cisco_Secure_ACS认证系统
的所有设备执行并更改安全策略。 产品灵活 性 Cisco IOS 软件内嵌了对于AAA的支持，因此，Cisco Secure ACS几乎能在思科销售 的任何网络接入服务器上使用(Cisco IOS软件版本必须支持RADIUS 或 TACACS+)。
®
集成
与Cisco IOS路由器和VPN解决方案紧密集成，提供了多机箱多链路点到点协议(PPP) 和Cisco IOS软件命令授权等特性。
� EAP- FAST增强支持 — EAP-FAST是思科开发的可供公开访问的新型IEEE 802.1x EAP，用于支持无法执行强大的密码策略或希望部署无需数字证书的 802.1x EAP的客户。它支持各类用户和密码数据库并支持密码到期和变更机 制，是易于部署、易于管理的灵活EAP。例如，未实施强大的密码策略且不 希望使用证书的客户可移植到EAP-FAST以防词典攻击。 Cisco Secure ACS 4.0 在大量的无线客户端适配器上添加了对EAP-FAST申请人的支持。
� 认证撤销列表(CRL)比较 — Cisco Secure ACS 4.0 使用X.509 CRL资料库 支持证书撤销机制。CRL是记录已撤销证书的加盖时间标记的列表，由证书 授权机构或CRL发放人签字并免费提交到公共信息库中。Cisco Secure ACS 4.0从设置好的CRL分配点使用LDAP或HTTP定期检索CRL，并保存它们以便在 EAP传输层安全性(EAP-TLS)验证中使用。如果用户在EAP-TLS验证期间提供
1.1.1
Cisco Secure ACS 认证系统
Cisco Secure ACS是思科网络准入控制(NAC)架构的重要组件。思科NAC是思科系 统公司®赞助的业界计划，使用网络基础设施迫使企图访问网络计算资源的所有 设备遵守安全策略，进而防止病毒和蠕虫造成损失。通过NAC，客户只允许遵守 安全策略的可信的端点设备访问网络(如PC、服务器和个人数字助理等)，并可限 制违规设备的访问。思科NAC是思科自防御网络计划的一部分，为在第二层和第 三层网络上实现网络准入控制奠定了基础。 我们计划进一步扩展端点和网络安全 性的互操作性，以便将动态的事故抑制功能包含在内。这个创新将允许遵守安全 策略的系统组件报告攻击期间因恶意系统或受感染的系统导致的资源误用。因 此，用户可将受感染的系统与其他网络部分动态隔离开，从而大大减少病毒、 蠕 虫及混合攻击的传播。
思科路由器安全配置规范
思科路由器安全配置规范1. 前言路由器是网络安全的重要组成部分。
随着技术的不断进步，路由器的功能越来越多，但同时也给网络安全带来了更多的威胁。
为了保证网络的安全性，我们需要对路由器进行安全配置。
本文将介绍如何对思科路由器进行安全配置。
2. 密码设置2.1 登录密码登录密码是路由器安全性的第一道防线。
默认的密码较为简单，容易被入侵者破解。
建议初始化路由器时立即修改密码，并定期更改以提高安全性。
密码应该具有一定的复杂性，包含字母、数字和特殊符号，长度不少于8位。
2.2 特权密码特权密码用于进入特权模式，对路由器进行更改。
特权密码的复杂性等级应该和登录密码相同，长度不少于8位。
2.3 SNMP密码SNMP（简单网络管理协议）是一种用于管理网络设备的协议。
如果SNMP未加密传输，则其他人有可能获取到SNMP密码。
因此，建议将SNMP密码加密，并定期更改。
3. 端口安全路由器提供了很多端口，每个端口都具有一定的安全风险。
因此，对端口进行安全配置至关重要。
3.1 关闭不必要的端口有些端口由于功能不需要或者安全风险较大，建议关闭。
比如，路由器的Telnet端口，建议关闭，使用SSH代替。
3.2 使用ACL过滤ACL（访问控制列表）是一种机制，用于限制流入路由器的数据。
路由器的ACL功能非常强大，可以使用多种方式限制数据流，以保护网络安全。
4. 协议安全4.1 SSH代替TelnetSSH是一个安全的协议，可以取代不安全的Telnet。
使用SSH代替Telnet可以保护路由器的安全。
4.2 HTTPS代替HTTPHTTPS（超文本传输安全协议）是HTTP的安全版本。
使用HTTPS可以确保数据传输的安全性。
5. 系统安全5.1 定期备份定期备份路由器配置文件可以保证在路由器出现问题时，数据不会全部丢失。
建议至少每周备份一次。
5.2 版本管理定期检查路由器的固件版本，并根据需要进行更新。
更新路由器固件可以解决一些已知漏洞，提高安全性。
思科acs使用指南
思科acs使用指南English:CISCO ACS (Access Control System) is a powerful and comprehensive network access control solution that is widely used in enterprises and organizations of all sizes. It provides a secure and efficient way to authenticate, authorize, and account for users and devices trying to connect to a network.CISCO ACS offers a range of features that make it a versatile and valuable tool for network administrators. Firstly, it supports a wide variety of authentication methods, including local database, LDAP, RADIUS, and TACACS+. This flexibility allows organizations to choose the most suitable authentication method for their needs. Additionally, it supports multiple authorization and accounting protocols, ensuring compatibility with different network devices and services.Another key feature of CISCO ACS is its central management and administration capabilities. With a user-friendly web-based interface, administrators can easily configure and manage user access policies,authentication methods, and network devices. This centralized management streamlines the process of managing user access privileges and ensures consistency across the network.Furthermore, CISCO ACS provides robust auditing and reporting features. It keeps detailed logs of all authentication and access events, allowing administrators to track and investigate any suspicious activities. The reporting functionality allows administrators to generate reports on user access patterns, device usage, and other important network statistics. These reports are invaluable for network troubleshooting, capacity planning, and compliance monitoring.Additionally, CISCO ACS integrates seamlessly with other network security solutions. It can be integrated with CISCO Identity Services Engine (ISE) for advanced posture assessment and endpoint profiling. It can also be integrated with CISCO Adaptive Security Appliance (ASA) for advanced firewall and VPN capabilities. These integrations enhance the overall security and control of the network.In conclusion, CISCO ACS is a highly capable network access control solution that provides a secure and efficient way to authenticate, authorize, and account for users and devices. Its extensive features, centralized management, auditing capabilities, and integration options make it a valuable tool for network administrators in ensuring the security and compliance of their networks.中文翻译:思科ACS（Access Control System）是一种功能强大且综合的网络访问控制解决方案，在各类企业和组织中广泛应用。
思科ACS网络设备安全管理方案
对于非专业人员来说，配置和管理可能具有一定 的难度。
兼容性问题
可能与某些老旧设备或软件存在兼容性问题。
03
思科ACS网络设备安全管理方 案
设备物理安全
设备放置
确保网络设备放置在安全的环境中，避免未经授权的人员接触。
访问控制
实施严格的访问控制措施，如门禁系统、监控摄像头等，以防止未 经授权的进入。
03
灵活性
04
支持多种接口类型和协议，满足 不同网络架构的需求。
安全性
提供多层安全防护，有效抵御各 类网络威胁。
ACS网络设备的应用场景
数据中心
适用于大型数据中心的网络出口安全防护，确保数据 传输的安全性。
企业网络
适用于企业总部和分支机构的网络安全防护，保障关 键业务的安全运行。
云服务提供商
为云服务提供安全的网络环境，保护租户数据的安全 性。
思科ACS网络设备安全管理 方案
汇报人： 2024-01-09
Hale Waihona Puke 录• 引言 • 思科ACS网络设备概述 • 思科ACS网络设备安全管理方
案 • 实施步骤和注意事项 • 案例分析和实际应用
01
引言
背景介绍
01
随着网络技术的快速发展，网络设备的安全管理变得日益重要 。
02
思科作为全球领先的网络设备供应商，其产品广泛应用于各行
各业。
由于网络设备的安全漏洞可能引发严重的安全事件，因此需要
03
采取有效的安全管理方案来保障网络设备的安全性。
目的和意义
本文旨在介绍思科ACS网络设 备的安全管理方案，以提高网
络设备的安全性。
通过实施有效的安全管理措 施，可以降低网络设备遭受 攻击的风险，保护企业的信
思科路由器、交换机的基本管理教程
思科路由器、交换机的基本管理教程随着Internet的高速发展,网络规模不断膨胀,对于从事网络专业的学生熟练掌握路由器和交换机的配置已显得十分重要。
接下来是小编为大家收集的思科路由器、交换机的基本管理教程方法，希望能帮到大家。
思科路由器、交换机的基本管理教程的方法管理路由器和交换机的方法以及命令主要分为一下几个方面：1、了解命令行的模式。
2、配置接口的IP地址以及相关的路由条目。
3、路由器、交换机密码的管理。
4、远程管理路由器、交换机。
5、系统IOS的备份与恢复。
一、了解命令行的模式1)用户模式默认进入的是用户模式，在该模式下用户受到极大的限制，只能用来查看一些统计信息。
route> #路由器的用户模式switch> #交换机的用户模式2)特权模式在用户模式输入“enable”(可简写为“en”)命令就可以进入特权模式，在特权模式下可以查看并修改路由器或交换机的配置。
route>enable #也可以输入en进入特权模式route#switch>enswitch#在特权模式下常用的命令解释如下：show version ：查看系统IOS版本show running-config ：查看当前的配置信息copy running-config startup-config ：保存当前的配置或者使用 writeerase startup-config ：删除以保存的配置show startup-config ：查看保存好的配置show mac-address-table ：查看交换机的mac地址表show int 接口名称：查看接口的信息show arp ：查看ARP缓存表show ip route ：查看路由表信息show ip int brief ：查看所有接口的IP地址信息。
no ip domain-lookup ：禁用DNS查询line con 0exec-timeout 0 0 ：不超时连接logging synchronous ：不启用时间同步，信息不打断输入命令3)全局模式在特权模式下输入“config terminal”(可简写为conf t)命令就可以进入全局模式，用户在该模式下可以修改路由器或交换机的全局配置。
cisco_acs使用
简易使用手册1.ACS 基本配置1.1设置ACS 管理员帐号Step 1>点击ACS 界面左边的Administration control 按钮，然后点击Administrator control 界面中的Add AdministratorStep 2>点击Add administrator 后出现此账户的诸多选项，逐一填写后点击Submit这里是填写管理员的密码下面的页面选项是管理员的属性选项，这里控制这个账号管理员可以拥有的权限，如果这个账号需要某个权限必须在对于权限前打对勾这个选项是控制这个管理员可以管理那个user group 的选项。
如果不选择默认是不可以管理任何组的，所以这里必须选择这个管理员可以控制的组。
控制ACS 的访问策略和HTTP 设置ACS 连接策略（idle timeout ） 管理员账号安全策略（账号长度，存活时间等）Step3>设置了管理员后就可以通过web界面登录到ACS服务器对ACS进行配置1.2 ACS网络设置（添加Tacacs+ 客户端）Step1>点击ACS界面的Network Configuration按钮，出现网络配置界面，然后点击Add Entry,这里需要注意cisco acs软件在默认情况下没有打开Network Device Groups(NDG)功能的。
如果要启用NDG功能你必须在interface Configuration中打开这个功能。
见下图：ACS高级功能设置interface Configuration这个选项控制是否打开NDG功能Step2>填写设备组的名称以及key这里需要注意，见后面注释。
注一：在这里如果填写了KEY值，那么在认证时候属于这个组的设备的KEY就全部匹配这里配置的KEY了。
而不是匹配在设备添加时候填写的KEY。
也就是说NDG的KEY的权限比在属于组的设备的KEY优先级高。
如果在认证日志里发现“Key Mismatch”的情况，首先检查设备和你配置的KEY是否一致，然后可以检查这个设备所属的组是否配置了KEY。
思科网络安全产品方案
ASA 5525-X/ ASA 5545-X/ ASA 5555-X
Firepower 2110/2120
Firepower 2130/2140
ASA 5585-X
Firepower
Firepower 9300
4110/4120/4140/4150 （SM24/SM36/SM44）
NGFWs 定位SMBs 和分布式企业，集 中安全威胁防御，低TCO, 通过FDM简
1M
FPR 2120
3 Gbps 3 Gbps
1.2 M
FPR 2130
4.75 Gbps 4.75 Gbps
2M
FPR 2140
8.5 Gbps 8.5 Gbps
3.5 M
Maximum new connections per second, with AVC
1. 思科全球最大市场份额的安全公司
3. 世界最大的威胁情报公司
我们有哪些安全产品
下一代防火墙
入侵检测防御
内网威胁防御
邮件/Web 安全
准入控制和安全管理
ASA 5505/
分支/远程站点 5506/5508
ASA下一代防火墙 ASA 5512-X / 5515-X
下一代入侵防御 恶意代码检测 沙盒分析系统 Sourcefire AMP(网络和终端) AMP ThreatGrid
电源 – 缺省/可选
4-Core 16GB
6-Core 16GB
6-Core 8 GB
8-Core 8 GB
1 x 100GB Default 2nd Optional SSD for MSP 800GB
1x 250W 固定 AC 1x 250W 固定 AC
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
思科ACS网络设备安全管理方案
一、网络设备安全管理需求概述
就北京中行网络布局来看，网络的基础设施现包含几百个网络设备。
在网络上支撑的业务日益关键，对网络安全和可靠性要求更为严格。
可以预测的是，大型网络管理需要多种网络管理工具协调工作，不同的网络管理协议、工具和技术将各尽其力，同时发挥着应有的作用。
比如：对于Telnet 网络管理手段。
有些人可能会认为，今后这些传统的设备管理手段，会减少使用甚或完全消失。
但实际上，Telnet命令行设备管理仍因其速度、强大功能、熟悉程度和方便性而广受欢迎。
尽管其他网络设备管理方式中有先进之处，基于Telnet 的管理在未来依然会是一种常用管理方式。
随着BOC网络设备数量的增加，为维持网络运作所需的管理员数目也会随之增加。
这些管理员隶属于不同级别的部门，系统管理员结构也比较复杂。
网络管理部门现在开始了解，如果没有一个机制来建立整体网络管理系统，以控制哪些管理员能对哪些设备执行哪些命令，网络基础设施的安全性和可靠性问题是无法避免的。
二、设备安全管理解决之道
建立网络设备安全管理的首要出发点是定义和规划设备管理范围, 从这一点我门又可以发现，网络设备安全管理的重点是定义设备操作和管理权限。
对于新增加的管理员，我们并不需要对个体用户进行权限分配，而是通过分配到相应的组中，继承用户组的权限定义。
通过上面的例子，我们可以发现网络安全管理的核心问题就是定义以下三个
概念：设备组、命令组和用户组。
设备组规划了设备管理范围；命令组制定了操作权限；用户组定义了管理员集合。
根据BOC的设备管理计划，将它们组合在一起，构成BOC所需要的设备安全管理结构。
安全设备管理包括身份验证Authentication、授权Authorization和记帐Accounting三个方面的内容。
例如：管理员需要通过远程Login或是本地Login 到目标设备，能否进入到设备上，首先要通过严格的身份认证；通过身份验证的管理员能否执行相应的命令，要通过检查该管理员的操作权限；管理员在设备上的操作过程，可以通过记帐方式记录在案。
AAA的应用大大简化了大型网络复杂的安全管理问题，提高了设备集中控制强度。
目前AAA在企业网络中越来越成为网络管理人员不可缺少的网络管理工具。
Cisco Secure ACS 3.1以后的版本提供的Shell壳式授权命令集提供的工具可使用思科设备支持的高效、熟悉的TCP/IP协议及实用程序，来构建可扩展的网络设备安全管理系统。
三、Cisco ACS帮助BOC实现设备安全管理
熟悉Cisco IOS的用户知道，在IOS软件中，定义了16个级别权限，即从0到15。
在缺省配置下，初次连接到设备命令行后，用户的特权级别就设置为1。
为改变缺省特权级别，您必须运行enable启用命令，提供用户的enable password 和请求的新特权级别。
如果口令正确，即可授予新特权级别。
请注意可能会针对
设备上每个权利级别而执行的命令被本地存储于那一设备配置中。
超级管理员可以在事先每台设备上定义新的操作命令权限。
例如：可修改这些级别并定义新级别，如图1所示。
图1 启用命令特权级别示例
当值班的管理员enable 10之后，该管理员仅仅拥有在级别10规定之下的授权命令集合，其可以执行clear line、debug PPP等命令。
这种方式是“分散”特权级别授权控制。
这种应用方式要求在所有设备都要执行类似同样的配置，这样同一个管理员才拥有同样的设备操作权限，这显然会增加超级管理员的工作负担。
为解决这种设备安全管理的局限性，Cisco ACS提出了可扩展的管理方式---“集中”特权级别授权控制，Cisco ACS通过启用TACACS＋，就可从中央位置提供特权级别授权控制。
TACACS＋服务器通常允许各不同的管理员有自己的启用口令并获得特定特权级别。
下面探讨如何利用Cisco ACS实现设备组、命令集、用户组的定义与关联。
3.1 设备组定义
根据北京行的网络结构，我们试定义以下设备组：
(待定)交换机组---包含总行大楼的楼层交换机Cisco65/45；
试定义以下设备组：
(待定)交换机组---Cisco Catalyst6500或Catalyst4xxx
(待定)网络设备组---Cisco2811
3.2 Shell授权命令集(Shell Authorization Command Sets)定义
壳式授权命令集可实现命令授权的共享，即不同用户或组共享相同的命令集。
如图2所示，Cisco Secure ACS图形用户界面（GUI）可独立定义命令授权集。
图2 壳式命令授权集GUI
命令集会被赋予一个名称，此名称可用于用户或组设置的命令集。
基于职责的授权(Role-based Authorization)
命令集可被理解为职责定义。
实际上它定义授予的命令并由此定义可能采取的任务类型。
如果命令集围绕BOC内部不同的网络管理职责定义，用户或组可共享它们。
当与每个网络设备组授权相结合时，用户可为不同的设备组分配不同职责。
BOC网络设备安全管理的命令集，可以试定义如下：
超级用户命令组---具有IOS第15特权级别用户，他/她可以执行所有的配置configure、show和Troubleshooting命令；
故障诊断命令组---具有所有Ping、Trace命令、show命令和debug命令，以及简单的配置命令；
网络操作员命令组---具有简单的Troubleshooting命令和针对特别功能的客户。