当前位置：文档之家 › AAA基本配置实验

AAA基本配置实验

  • 格式：pdf
  • 大小：669.54 KB
  • 文档页数：14

实验案例 AAA一、实验目的：二、实验环境和需求三、实验拓扑图四、配置步骤(一) 配置AAA的认证1、搭好实验环境，配置路由器实现全网互通。

R1(config)# int f0/0R1(config-if)# ip add 192.168.1.1 255.255.255.0R1(config)# int f1/0R1(config-if)# ip add 192.168.2.1 255.255.255.0R1(config)# username cisco password ciscoR1(configf)# line vty 0 15R1(config-line)# login local2、在路由器配置3A，实现登录路由器由AAA tacacs+服务器认证。

R1(config)# aaa new-model //启用3AR1(config)# tacacs-server host 192.168.2.2 //3A 服务器R1(config)# tacacs-server key cisco //与3A服务器通讯密钥R1(config)# aaa authentication login vty group tacacs+ local line//login 登录路由器// vty 自定义认证名称，需要调用，写成default不需调用。

// group tacacs+ local line 认证的方法，先从tacacs服务器验证用户，再本地，最后线路R1(configf)# line vty 0 15R1(config-line)# login authentication vty //调用3、 在Win2003服务器在安装Cisco ACS,搭建AAA 服务器 （1） 安装Cisco ACS 软件(win2003设好IP/网关)ACS 需要JA V A 支持，先安装JA V A(已经打包在ACS 安装包中)在以下全选，其它NEXT 就可以了。

2、双击桌面ACS 图标，打开ACS ，如图 满足以上4个条件，ACS软件才能正常工作，全选（2）修改Internet 属性（3）配置ACS服务器，添加AAA客户端R1（4）添加用户3、在路由器上测试3AR1(config)# test aaa group tacacs+ liweijie 1234 new-code4、在C1上telnet 192.168.1.15、断开3A服务器，在C1上telnet 192.168.1.1，3A上用户不能用，本地用户能登录。

说明只有在3A服务器不可用能时才能用本地用户。

(二) 配置AAA的授权1、在路由配置命令别级授权。

R1(config)# aaa authorization exec vty group tacacs+//exec 授权级别// vty 自定义授权名称，需要调用// group tacacs+ 授权的方法， tacacs服务器授权R1(configf)# line vty 0 15R1(config-line)# authorization exec vty //调用2、在3A服务器上创建一个用户user5,加入group1组,定义组属性shell exec级别为5级。

3、在C1上telnet 192.168.1.1,用user5登录。

执15级命令就要进行命令的授权。

4、在路由配置为5级进行命令授权。

R1(config)# aaa authorization commands 5 vty group tacacs+//command 授权命令// vty 自定义授权名称，需要调用// group tacacs+ 授权的方法， tacacs服务器授权R1(configf)# line vty 0 15R1(config-line)# authorization commands 5 vty //调用5、在3A服务器上为user5所在的组授权命令configure terminal。

4、在C1上user5登录，但还是不能用conf t .(因为需要本地授权)R1(config)# privilege exec level 5 conf t5、在C1上telnet 192.168.1.1,用user5登录，可以进入用conf t。

(三) 配置AAA的审计1、在路由配置审计，对VTY线路进行审计。

R1(config)# aaa accounting exec vty start-stop group tacacs+//exec 授权级别// vty 自定义审计名称，需要调用// group tacacs+ 方法， tacacs服务器授权R1(configf)# line vty 0 15R1(config-line)# accounting exec vty //调用2、在C1上用user5 telnet登录R1并退出，在服服务器上查看审计。

3、在路由配置审计，对VTY线路命令进行审计。

R1(config)# aaa accounting command 0 vty start-stop group tacacs+R1(config)# aaa accounting command 1 vty start-stop group tacacs+R1(config)# aaa accounting command 5 vty start-stop group tacacs+R1(configf)# line vty 0 15R1(config-line)# accounting command 0 vtyR1(config-line)# accounting command 1 vtyR1(config-line)# accounting command 5 vty2、在C1上用user5 telnet登录R1输入命令，并退出，在服服务器上查看审计。

附加Privilege Levels概述在Cisco设备中，将所有用户的操作权限分为0-15共16个等级，0为最低等级，15为最高等级。

等级越高，能执行的命令就越多，权限就越大。

要给用户赋于等级，可以在配置用户名或者密码时赋予。

在Cisco设备中，有一种最初级的模式，称为用户模式，即User EXEC mode，默认表示为Router>，在这个模式下，默认等级是1，能执行的命令命令是相当少的，而需要注意的是，在这个模式下，永远只能执行等级为1的命令，如果要将等级提高到更高，就需要手动进入更高等级的模式，这个模式被称为特权模式，即P rivileged EXEC mode，表示为Router#，通常此模式被称为enable模式。

在没有指定等级而进入enable模式后，默认等级为15，也就表示可以完全控制设备。

如果要进入比1级更高的模式而又不是15级，可以在进入enable模式时手工指定要进入的等级。

除此之外，在创建本地用户数据库时，也可以为相应用户指定相应等级，如果不指定，默认用户等级为1级。

通过以上方法为相应用户或密码分配等级之后，他们所能执行的命令也只是相应等级范围内的，比如5级的用户是不能执行15级的命令的，但是可以手工赋予每个等级可以执行哪些命令，如让5级的用户能执行某15级的命令，如果5级用户能执行某15级的命令，那么6-15也都是可以执行的。

注：如果15级Privileged EXEC mode没有密码，默认只有本地终端直连可以登陆，VTY是不能登陆的。

配置1.查看User EXEC mode的默认等级r1>show privilegeCurrent privilege level is 1r1>说明：从结果中看出，在User EXEC mode下，默认的等级为1级，也永远只能执行1级的命令。

2.查看Privileged EXEC mode的默认等级（1）不指定等级登陆Privileged EXEC moder1>enabler1#（2）查看查看Privileged EXEC mode的默认等级r1#show privilegeCurrent privilege level is 15r1#说明：从结果中看出，在Privileged EXEC mode下，默认的等级为15级3.创建不同等级的密码（1）创建一个5级的密码，为cisco5注：只有在创建secret密码时，才能指定等级，password是不可以的。

r1(config)#enable secret level 5 cisco5（2）创建一个6级的密码，为cisco6r1(config)#enable secret level 6 cisco64.测试5级的密码（1）登陆5级的密码r1>enable 5Password: 输入cisco5（2）查看当前等级r1#show privilegeCurrent privilege level is 5r1#说明：从结果中看出，当前等级为5级。

（3）查看show run配置r1#show run^% Invalid input detected at '^' marker.r1#说明：从结果中看出， 5级用户是不能执行show run命令的。

5.测试6级的密码（1）登陆6级的密码r1>enable 6Password: 输入cisco6r1#（2）查看当前等级r1#show privilegeCurrent privilege level is 6r1#说明：从结果中看出，当前等级为6级。

（4）查看show run配置r1#show run^% Invalid input detected at '^' marker.r1#说明：从结果中看出， 6级用户也是不能执行show run命令的。

6.赋予5级用户可以执行show run命令说明：要赋予某个等级用户可以执行某个命令时，必须使用15级的等级来指定，还必须说明该等级是在哪个模式下执行命令的。

r1(config)#privilege exec level 5 show run说明：赋予5级用户可以在exec执行show run 命令7.测试5级用户的命令r1>enable 5Password:r1#show runBuilding configuration...Current configuration : 55 bytesboot-start-markerboot-end-marker!endr1#说明：可以看到,5级用户已经可以执行show run命令，但要注意的是，该等级只能查看权限范围内能够配置的参数情况。

合集下载

配置简单aaa认证实验总结

配置简单aaa认证实验总结

配置简单AAA认证实验总结一、实验目的本次实验旨在深入理解AAA认证的工作原理，并掌握其配置方法。

通过实践，希望能够提升自己在网络安全领域的理解和技能。

二、实验步骤1.了解AAA认证的基本概念和原理，包括认证、授权和账户管理等。

2.选择适当的网络设备和操作系统，根据AAA认证的原理进行配置。

3.通过命令行界面进行配置，包括定义认证类型、授权规则、账户管理等。

4.验证配置结果，包括测试用户认证、授权和账户管理等功能是否正常工作。

5.在配置过程中遇到问题时，查阅相关文档或寻求帮助，尝试解决问题。

6.总结实验结果，分析配置过程中出现的问题和解决方案，撰写实验报告。

三、配置过程在本次实验中，我选择了一个基于Linux系统的网络设备进行AAA认证的配置。

具体步骤如下：1.定义认证类型，选择本地数据库进行用户认证。

2.创建用户账户，并为其分配相应的权限和角色。

3.配置防火墙规则，确保只有经过认证的用户才能访问特定的网络资源。

4.配置计费系统，记录用户的网络使用情况。

四、验证过程为了验证AAA认证的配置是否正确，我进行了以下测试：1.使用已创建的用户账户登录设备，确保认证功能正常工作。

2.测试用户访问特定网络资源的权限，验证授权功能是否正常工作。

3.查看计费系统记录的用户网络使用情况，验证计费功能的正确性。

4.在不同用户之间进行切换，测试多用户环境的AAA认证功能。

五、问题解决在配置过程中，我遇到了一些问题，例如：防火墙规则无法正常应用、计费系统数据异常等。

针对这些问题，我通过查阅相关文档和寻求帮助，找到了解决方案：1.防火墙规则无法正常应用：检查规则配置是否有误，并尝试重新应用规则。

如果是由于本地数据库的问题，需要检查用户账户的创建和授权情况。

2.计费系统数据异常：检查计费系统的数据源是否正确，以及是否有其他系统或应用干扰了计费数据的记录。

如果是由于数据源问题，需要修正数据源配置。

如果是由于其他系统或应用干扰了计费数据的记录，需要调整相关设置或升级系统版本。

AAA实验报告

AAA实验报告

AAA---认证授权统计组员：潘朝武、张恒、王博洋、高宇、马瑞、吉倩实验拓扑图：1、ACS Server:用虚拟机安装Windows server 2003来搭建,在里面先安装JA V A插件,然后在安装ACS安装注意的地方,上面4个钩都要勾上上面的6个选项都要勾上安装完了以上两个插件后我们来看看通过http://127.0.0.1:2002能不能访问…假如不能访问的话就把IE的安全级别修改一下…就可以了….2、路由器配置：R1：enconf tho R1enable password panchaowuusername panchaowu secret panchaowuservice password-encryptionline con 0exec-timeout 0 0logg synno ip domain-lookupint e0/1ip add 172.17.235.1 255.255.255.0no shint e1/0ip add 172.17.236.1 255.255.255.0no shexit启用AAA：aaa new-modeltacacs-server host 172.17.235.2 key panchaowu //指向AAA服务器及其KEY3、在ACS服务器上面配置clientnetwork configure---R1---172.17.235.1–panchaowu---submit4、对telnet登陆做认证、审计：aaa authentication login telnet group radius localaaa accounting exec telnet start-stop group radiusline vty 0 4login authentication telnetaccounting exec telnet5、在ACS服务器上面添加用户：user setup---添加一个用户为cisco6、在客户机测试试是否认证成功：7、在acs上查看认证记录：实验总结：通过这次实验，我了解了AAA认证的基本工作原理和流程，以及如何去配置一个简单的认证服务器。

AAA实验指南

AAA实验指南

要求：1．R2 作为AAA的client端，以lo0 为源地址。

不能影响console , aux . 2．在ACS上建立用户user1和usser2,密码为cisco1, cisco2. enable 密码为CISCO。

3．user1的等级为5，user2 的等级为8。

4．user1 能使用的命令是show run5．user2能使用的命令是config t 6．对user1 ,user2 的登陆时间和退出时间做审计，并且对其所使用的命令做审计。

1．需要了解的知识：NAS要选择支持AAA的路由器。

在我们的实验室环境中，ACS服务器就是我们当前使用的机器，10.x.x.x/8 , 是连到我们的交换机上的，所有2600系列的路由器的E0/0 也是连到交换机上的，E0/1 如果有需要，你可以自己用线去连接。

2：NAS上的配置：启用AAAaaa new-mode解放console口：aaa authentication login for_console noneaaa author exec for_console noneaaa author command 5 for_console noneaaa author command 8 for_console noneaaa accounting exec for_console noneaaa accounting command 5 for_console noneaaa accounting command 8 for_console noneline console 0login authen for_consoleauthor exec for_consoleauthor command 5 for_console author command 8 for_console accou exec for_console accou command 5 for_console accou command 8 for_console指定tacacs-server :tacacs-server host 10.x.x.x key cisco对VTY登陆做认证：aaa authen login for_vtygroup tacacs对用户等级授权：aaa author exec for_vty group tacacs对5 级和8级命令做授权：aaa author command 5 for_vty group tacacsaaa author command 8 for_vty group tacacs对登陆流量和用户所使用的命令做审计:aaa accounting exec for_vty start-stop group tacacsaaa accounting command 5 for_vty start-stop grouptacacsaaa accounting command 8 for_vty start-stop group tacacs在VTY下调用：line vty 0 15login authen for_vtyauthor exec for_vtyauthor command 5 for_vty author command 8 for_vty accounting exec for_vty accounting command 5 for_vty accounting command 8 for_vty把show running-config 的等级拉到5级priviledge exec level 5 show running-config把conf t 的等级拉到8级priviledge exec level 8 configure terminalACS服务器上的配置：1．指CLIENT 端：network-config --> 添加一个CLIENT （NAME，IP ADDRESS，KEY ）2．添加USER5USER SETUP—>添加一个用户：USER5 ：密码：cisco1 -->先提交3．interface config --> advance option--->勾选Per-user TACACS+/RADIUS Attributes-->tacacs+ (cisco ios ) --->勾选shell(exec)4.重新进入user5, 勾选shell (exec),--->勾选priviledge 输入5。

CCNP AAA认证、授权、审计基本实验--罪恶的温柔

CCNP AAA认证、授权、审计基本实验--罪恶的温柔

AAA认证、授权、审计基本实验先说下模拟环境的搭建：gns3与物理网卡进行桥接，AAA服务器安装VMware虚拟机中的Windows Server 2003中，虚拟机网卡选择桥接，路由器、Windows Server 2003、物理机同处于一个网段，Windows Server 2003的默认网关指向R1的f0/0。

PC的默认网关指向f1/0。

确保各个网址都能相互Ping通。

1.认证。

在ACS上创建两个用户user1 密码：cisco，user2 密码：cisco这样就创建好了。

我们这里再将group 1 改名为level-1-group，并把user1加入到level-1-group 中。

进入到user1：这样就将user1加入到level-1-group，user2做同样的设置。

在R1上的设置：在全局配置模式下：创建本地数据库，当AAA服务器down 掉后就可以启用本地数据库的验证了。

接下来是做本地线路的保护：为了防止启用AAA后，导致自已进不了路由器，在console接口下做个保护设置，让console 口即使不用密码也能登录。

全局模式下：配置特权模式密码启用AAA设置服务器定义列表，加上local参数后当AAA服务器down掉后就可以启用本地数据库的验证了。

接下来在vty上调用，当别人telnet到R1上的时候就开启认证了。

注意关键字要相同！在ACS上的设置：按照R1相应的信息将AAA clients的信息填好：在PC上telnet R1：可以看到已经启用了认证。

2.授权：将user1的用户等级设为1，将user2的用户等级设为2，设置用户等级为1的只能show run 和ping。

在ACS上设置用户等级：user2按照同样的方法设置为等级2。

在R1上设置用户级别的授权：全局：当权限为2以下的用户登录时需要输入enable的密码，用密码登录特权模式后提升为15级。

user2 等级为2，不用输enable的密码直接进入特权模式：接下来设置用户等级为1的只能show run 和ping。