AAA实验指南
- 格式：doc
- 大小：64.00 KB
- 文档页数：9
要求：
1．R2 作为AAA的client端，以lo0 为
源地址。
不能影响console , aux . 2．在ACS上建立用户user1和usser2,
密码为cisco1, cisco2. enable 密码为CISCO。
3．user1的等级为5，user2 的等级为8。
4．user1 能使用的命令是show run
5．user2能使用的命令是config t 6．对user1 ,user2 的登陆时间和退
出时间做审计，并且对其所使用的命令做审计。
1．需要了解的知识：NAS要选择支持AAA的路由器。
在我们的实验室环境中，ACS服务器就是我们当前使用的机器，10.x.x.x/8 , 是连到我们的交换机上的，所有2600系列的路由器的E0/0 也是连到交换机上的，E0/1 如果有需要，你可以自己用线去连接。
2：NAS上的配置：
启用AAA
aaa new-mode
解放console口：
aaa authentication login for_console none
aaa author exec for_console none
aaa author command 5 for_console none
aaa author command 8 for_console none
aaa accounting exec for_console none
aaa accounting command 5 for_console none
aaa accounting command 8 for_console none
line console 0
login authen for_console
author exec for_console
author command 5 for_console author command 8 for_console accou exec for_console accou command 5 for_console accou command 8 for_console
指定tacacs-server :
tacacs-server host 10.x.x.x key cisco
对VTY登陆做认证：
aaa authen login for_vty
group tacacs
对用户等级授权：
aaa author exec for_vty group tacacs
对5 级和8级命令做授权：
aaa author command 5 for_vty group tacacs
aaa author command 8 for_vty group tacacs
对登陆流量和用户所使用的命令做审计:
aaa accounting exec for_vty start-stop group tacacs
aaa accounting command 5 for_vty start-stop group
tacacs
aaa accounting command 8 for_vty start-stop group tacacs
在VTY下调用：
line vty 0 15
login authen for_vty
author exec for_vty
author command 5 for_vty author command 8 for_vty accounting exec for_vty accounting command 5 for_vty accounting command 8 for_vty
把show running-config 的等级拉到
5级
priviledge exec level 5 show running-config
把conf t 的等级拉到8级priviledge exec level 8 configure terminal
ACS服务器上的配置：
1．指CLIENT 端：
network-config --> 添加一个CLIENT （NAME，IP ADDRESS，KEY ）
2．添加USER5
USER SETUP—>添加一个用户：USER5 ：密码：cisco1 -->先提交
3．interface config --> advance option--->勾选Per-user TACACS+/RADIUS Attributes
-->tacacs+ (cisco ios ) --->勾选shell(exec)
4.重新进入user5, 勾选shell (exec),--->勾选priviledge 输入5。
5．命令授权：
Permit
Deny
USER8 类似的方法。
