AAA认证实验

Linux⽤户和组管理实验⼿册实验报告Linux⽤户和组管理实验⼿册第⼀章实验思路1.1实验环境：VMware、Centos7、MobaXterm软件第⼆章实验⽬的1. 掌握在linux系统下利⽤命令进⾏⽤户和组的操作2. 掌握⽤户的操作命令3. 掌握组的操作命令第三章实验步骤3.1 ⽤户和组⽤户：（1）管理员⽤户 root：uid=0（2）系统⽤户：user：uid=1-999（3）普通⽤户：user：uid=1000-65535属组：创建⽤户时，如果不指定组，都会创建个同名组管理员组：root普通组：基本组附加组3.2 ⽤户⽤户认证AAA数据库：认证、授权、审计（1）password数据库 /etc/password 查看⽤户数据库，存放⽤户信息及其相关属性查看结果如下（2）/etc/shadow ⼝令数据库，存放⽤户密码信息及其相关属性[root@localhost ~]# cat /etc/shadow //查看数据库⼝令信息打开⽂件，查看结果如下root:$6$vS9HjFBlqL8qGkLl$wTEXAy5RFEp83CxMWHYesMZR9kwL7jTos8kJ/7A0aJe.CV6wqgXrKv8MCnGzBXC/R2XO6CFrcrkjBhEcaJdRa1: :0:99999:7: : :第⼀列：root ⽤户名称第⼆列：密码的详细信息，$6$vS9HjFBlqL8qGkLl$wTEXAy5RFEp83CxMWHYesMZR9kwL7jTos8kJ/7A0aJe.CV6wqgXrKv8MCnGzBXC/R2XO6CFrcrkjBhEcaJdRa1指加密密钥第三列：最后⼀次更改密码的⽇期，从1970-1-1开始算天数第四列：密码的最⼩年龄第五列：密码的最⼤年龄，默认99999第六列：密码的警告时间短，⼀般默认为7第七列：密码的禁⽤期第⼋列：账户过期⽇期，空字段表⽰账户永不过期第九列：保留字段（3）Passwd 修改密码对于普通⽤户来说，只能修改⾃⼰的密码，对于管理员⽤户来说，加上⽤户名可以修改其他⽤户的密码[root@localhost ~]# passwd //passwd 后⾯不加参数，直接修改当前的密码信息查看结果如下，按ctrl+c退出Passwd 参数指修改该参数的密码查看结果如下Passwd -d test1 //清除密码[root@localhost ~]# passwd -d test1passwd uid 修改对应⽤户密码passwd -d uid 删除密码1. 组（1）查看组命令为 cat /etc/group查看结果如下test1:x:1001:1001: :/home/test1:/bin/bash第⼀列：test1 表⽰账号、⽤户第⼆列：X表⽰密码，使⽤X表⽰，具体密码存放在/etc/shadow 第三列：1001 uid ⽤户第四列：1001是指gid,⽤户所属的组id第五列：描述信息第六列：(/home/test1) $HOME，⽤户的家⽬录第七列：（/bin/bash）:⽤户启动的shell程序（2）Useradd 增加⽤户usermod -g test test1 修改test1的⽤户组为test（4）Userdel 删除⽤户信息（5）cat /etc/grouptest:x:1000:test1第⼀列：组名称第⼆列：组密码第三例：GID第四列：组内成员⽤户列表[root@localhost ~]# cat /etc/group //查看组信息（4）groupadd 添加组第四章问题解决4.1 问题在使⽤userdel 删除⽤户时，出现了报错userdel: user test is currently used by process 17544.2 解决⽅法是因为在进⾏操作时不是在根⽬录，造成删除不成功报错，当改成在根⽬录下进⾏时，修改成功也可以不在根⽬录下进⾏操作，这时先使⽤vipw -s或者vipw 命令，找到test这⾏，把它删除，然后在输⼊：wq!强制保存退出，⼀定要加！强制退出。

RADIUS认证的配置与实施2014/05/25詹柱美一、实训目标：利用思科的ACS服务器实现RADIUS认证。

掌握思科ACS的基本配置。

二、实训拓扑：三、实训内容：实验1：基于PEAP的认证配置。

实验2：WEB认证，利用ACS做外部数据库。

实验1：基于PEAP的认证配置说明：由于实验条件的限制，我们只好做PEAP的认证实验。

PEAP 也是802.1X认证中的一种。

认证凭据是用户名与密码。

在实际应用中，也是用的最多的一种认证方式。

首先，检查AP是否成功注册上WLC，如图示：下面开始创建动态接口：接着创建SSID，并与接口关联：配置SSID的安全模式是WPA2+802.1X：接着添加RADUIS服务器：输入ACS的地址密钥：添加完成后的图示：我们再次回到刚刚创建的SSID面板上，添加AAA服务器：DHCP的配置:以上是在控制器上的配置，下面我们开始在ACS上做配置。

首先登录到ACS服务器：添加一个客户端：输入WCL的IP密钥,注意：密钥要与前面WCL的密钥相同：成功添加完成后如图示：接着创建一个服务策略：再创建一条规则：在规则中调用刚刚创建的服务策略：我们还要选择我们需要的认证协议：下面我们就在ACS上创建用户：输入用户名与密码：以同样的方法，再添加一个用户w2，完成后如下图示：当这些都配置好以后,我们就开始在客户端上测试连接。

下面是以一台XP的电脑配置说明PEAP在电脑端的配置。

XP电脑端的基本配置：配置完成后，我们可以连接我们刚刚创建的SSID了：接着会看到一个认证框，我们输入刚刚在ACS上创建的用户名与密码：如果前面的配置没有错的话，这时我们是可以成功连接上的：并且成功获取到一个VLAN101的IP地址：我们是可以与网关通信的：下面我们也可以用智能手机连接SSID，因为现在的手机也支持精选文库802.1X 认证：我们也可以用手机看到我们刚刚创建的SSID：我们也可以点击连接，输入ACS上创建的用户名与密码：我们可以看到我们成功连接：并且也获取一个IP地址：实验2：WEB认证，利用ACS做外部数据库说明：以前我们有做过一个实验是WEB认证的，但是那个WEB 认证是利用控制器内部的用户名与密码认证，今天我们做的这个WEB认证是利用ACS做外部数据库。

实验十一：IPSEC 实现Access VPN一、Access VPN介绍Access VPN：又称为拨号VPN（即VPDN），是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。

Access VPN是通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问，使用户随时、随地以其所需的方式访问企业资源。

它包括模拟、拨号、ISDN、数字用户线路(XDSL)、移动IP和电缆技术，可以安全地连接移动用户、远程工作者或分支机构。

它适合于内部有人员移动或远程办公需要的企业。

Access VPN适用于公司内部经常有流动人员远程办公的情况。

最适用于用户从离散的地点访问固定的网络资源，如从住所访问办公室内的资源；技术支持人员从客户网络内访问公司的数据库查询调试参数；纳税企业从本企业内接入互联网并通过VPN进入当地税务管理部门进行网上税金缴纳。

出差员工从外地旅店存取企业网数据，利用当地ISP提供的VPN服务，就可以和公司的VPN网关建立私有的隧道连接。

RADIUS服务器可对员工进行验证和授权，保证连接的安全，远程访问VPN可以完全替代以往昂贵的远程拨号接入，并加强了数据安全，同时负担的电话费用大大降低。

若商家想要提供B2C的安全访问服务时，也可以考虑Access VPN。

二、easy VPN简介easy VPN又名EzVPN，是Cisco专用VPN技术。

它分为EASY VPN SERVER和EASY VPN REMOTE两种，EASY VPN SERVER 是REMOT--ACCESS VPN专业设备。

配置复杂，支持POLICY PUSHING等特性，现在的900、1700、PIX、VPN3002和ASA 等很多设备都支持。

此种技术应用在中小企业居多。

如Cisco精睿系类的路由器都有整合easy VPN。

虽其只能应用在cisco的设备上，但对于移动办公来说，是一种非常实用且对环境要求比较低的方案。

6
(Chap-Response/MD5 Challenge)
Radius-access--Request Radius-access--Accept
(Chap-Success)
8
7
802.1X---22
802.1x EAP终结认证图示
3. 结合 结合Radius认证 认证
EAP透传方式： 透传方式： 透传方式
2. System间信息交换 间信息交换
．Authenticator与 Authentication Server 间通过EAP帧
交换信息
．Supplicant 与 Authenticator 间则以IEEE 802.1x 所
定义的EAPoL帧交换信息。
．EAP 帧中封装了认证数据，该认证数据将被封装
缺点：
需要特定的客户端软件
802.1X---19
三、802.1x 在博达交换机上 的认证方式
802.1X---20
1. 本地数据库认证
客户端
1 2 3 4 5 6
博达交换机 EAPOL-Start EAP-Request/Identity EAP-Response/Identity EAP-Request/MD5 Challenge EAP-Response/MD5 Challenge EAP-Success
配置802.1x的AAA认证方式 的 配置 认证方式
dot1x max-req count
配置身份认证请求的最大次数
802.1X---27
802.1x的配置任务 的配置任务
dot1x user-permit xxxx
配置端口下绑定的用户
dot1x authentication method yyy