No4_Array SPX快速安装指导_认证授权_基本配置

1 Array SPX快速安装指导手册 认证授权配置部分 2

目 录 一、SSL VPN门户Virtual Site认证配置......................................................................3 1. Radius 认证服务配置....................................................................................5 2. LDAP认证服务配置.......................................................................................7 3. AD认证服务配置............................................................................................9 4. SecurID动态口令认证配置..........................................................................11 二、SSL VPN门户Virtual Site授权配置....................................................................13 1. LocalDB的授权.............................................................................................15 2. LDAP服务器的授权.....................................................................................17 3. Radius服务器的授权....................................................................................19 4. Group Mapping 授权方式............................................................................22 SSL VPN门户Virtual Site认证配置 Array SSL VPN设备Virtual Site 支持多种认证方式，包括：LocalDB、LDAP、AD、Radius、SecurID 等。门户认证也可以关掉，这时用户登陆就不需要认证了，当然，也丧失了很大的安全性。每个Virtual Site 最多可以配置四种认证方法，用户登陆时，按照顺序查找认证服务，当第一种认证方法失败会使用第二种认证方法，直到成功或完全失败为止。对于AD、LDAP、Radius认证，每种方法最多可以配置3个认证服务器。由于上一章已经介绍了LocalDB的配置方法，如果您只使用LocalDB，可以越过本章。本章我们主要介绍其他几种认证方式的配置。 Site Configuration->AAA->General

Site Configuration->AAA->Method 3 CLI： aaa method rank [authorization method] Authentication Method：指采用的认证方法 Rank：是 Virtual Site 的第几种认证方法 Authorization Method：定义了使用这种认证方法时采用的授权方法，下章祥述。 如： SP-Demo (config)$aaa method localdb 1 第一种认证方法采用LocalDB，授权使用LocalDB。 SP-Demo (config)$aaa method ldap 2 ldap 第二种认证方法采用LDAP服务器，授权也使用LDAP服务器。

4 Radius认证服务配置 Radius认证是业界普遍采用的认证协议，Virtual Site采用Radius 作认证服务器，需要配置相应参数及端口，当然在SPX 与Radius服务器中间的通信要保持畅通，如果有防火墙需要打开相应端口。在配置Radius认证前，先要和用户的管理员询问一些Radius服务器的情况，包括：Radius 服务认证端口，一般采用UDP 1812或者是UDP1645，当然用户也可能使用别的端口。另外还要向管理员询问Radius服务器使用的通信密钥。

Site Configuration->AAA->Authentication->RADIUS

5 CLI：aaa method radius [authorization method] aaa radius host

IP：指Radius服务器的IP地址 Port：Radius服务所使用的端口 Secret：SPX与Radius服务器之间使用的通信密钥 Timeout：超时设定 Retries：重试次数 如： SP-Demo (config)$aaa method radius 2

SP-Demo (config)$aaa radius host 10.1.10.76 1812 "radius_secret" 20 3

6 7

LDAP认证服务配置 LDAP 是一种轻型目录访问协议，具有结构清晰，查找速度较快的特点。Virtual Site 采用LDAP作认证，同样需要配置一些参数。所以在作此项配置之前，要先和用户的LDAP 管理员作一下沟通，获得一些参数信息，并用LDAP Browser等客户端工具验证一下，把他的LDAP结构清晰化。LDAP服务一般采用TCP 389端口，基于SSL 的协议一般采用636 端口。

CLI： aaa method ldap [authorization method] aaa ldap host <”base”> [tls] IP：LDAP服务器IP地址。

Port ：LDAP 服务端口 User Name：有相应LDAP Search权限的用户名 Password：查找时上面用户的口令 Base：从哪一级目录进行查找 aaa ldap search filter LDAP查找的(Search )规则，如：某属性＝，其中代表用户在登陆SSL VPN Virtual Site输入的字符串，是参数传递。

接下来配置绑定规则，可以选择动态绑定，也可以选择静态绑定，bind是指用户DN的构成规则。

1．动态绑定： aaa ldap bind dynamic LDAP查找时根据Complete Distinguished Name，Base 信息与search filter在上面命令种定义 2．静态绑定： aaa ldap bind static dn_prefix：前缀 dn_suffix：后缀 一起构成了用户DN 如： SP-Demo (config)$aaa method ldap 4

SP-Demo (config)$aaa ldap host 10.1.10.76 389 "cn=manager,dc=arraytsd,dc=com" "secret" "dc=arraytsd,dc=com" 20

SP-Demo (config)$aaa ldap search filter "cn= " SP-Demo (config)$aaa ldap bind dynamic

Site Configuration->AAA->Authentication->LDAP

8 AD认证服务配置 采用Active Directory 作认证服务器，需要配置相应参数及TCP端口，当然在SPX与AD服务器中间的通信要保持畅通，如果有防火墙需要打开相应端口。AD的底层也是一个LDAP，所以也同样可以通过LDAP的配置方法配置他。

命令行为： aaa method ad [authorization method] aaa ad host 如： SP-Demo (config)$aaa method ad 2 SP-Demo (config)$aaa ad host 10.1.175.7 389 “@arraydemo.com”

9 10 SecurID动态口令认证配置 Virtual Site 用securID认证，重要的配置工作在SecurID服务器上，详见SPX手册，在SecurID服务器上生成一个文件，将这个文件导入SPX即可，另外，SecurID认证一定要选择rank1，并且是全局生效。

Ace Server和SPX的主机名与IP地址的对应关系一定要在两台设备上都能够正确的互访到。使用SPX的默认路由所指向的interface，作为ACE Server所指定的primary interface.，如果其他端口也配置了IP地址，需要将其IP地址作为secondary interface，这样采用能够在SPX和Ace Server上正确加密数据流。

命令行为： aaa securid import 如： SP-Demo (config)# aaa securid import http://10.1.10.33/ace/ sdconf.rec SP-Demo (config)$aaa method secured [authorization method]

11