当前位置：文档之家 › TACACS_+和RADIUS比较(全)

TACACS_+和RADIUS比较(全)

  • 格式：doc
  • 大小：155.00 KB
  • 文档页数：5

TACACS +和RADIUS比较前言用于的二个突出的安全协议控制访问到网络是Cisco TACACS+和RADIUS。

RADIUS规格在RFC 2865 描述，废弃RFC 2138。

Cisco做支持两个协议与最佳组提供。

它不是Cisco的目的与RADIUS竞争或影响用户使用TACACS+ 。

您应该选择最将好达到需要的解决方案。

本文讨论在TACACS+和RADIUS 的之间区别，因此您能使一个通告选择做出。

Cisco从Cisco IOS软件版本11.1支持® RADIUS协议在1996年2 月。

Cisco继续提高RADIUS 客户端带有新功能和功能，支持RADIUS 作为标准。

Cisco严重评估了RADIUS作为安全协议在开发TACACS+之前。

许多功能在TACACS+协议包括适应增长的安全市场的需要。

协议设计扩展当网络增长和适应新的安全技术当市场成熟。

TACACS+协议的底层体系结构补全独立验证、授权和记帐(AAA)体系结构。

RADIUS背景RADIUS是使用AAA协议的接入服务器。

它是获取对网络和网络服务的远程访问未被授权的访问分布式安全的系统。

RADIUS 包括三个组件：•一个协议带有使用用户数据协议的帧格式(UDP)/IP•一个服务器•一个客户端而客户端在拨号接入服务器驻留并且可以被分配在网络过程中，服务器在一台中央计算机典型地运行在用户站点。

Cisco合并RADIUS客户端到Cisco IOS软件版本11.1以上和其他设备软件里。

网络接入服务器(NAS)运行作为RADIUS的客户端。

客户端负责通过用户信息对指定的RADIUS服务器，然后操作在返回的回应。

RADIUS服务器负责对收到用户连接请求，验证用户，然后返回所有配置信息必要为客户端提供服务到用户。

RADIUS服务器能作为代理客户端到其他认证服务器。

处理在客户端和RADIUS 服务器之间通过使用分享秘密验证，在网络从未被发送。

另外，发送所有用户密码被加密在客户端和RADIUS服务器之间，排除监听在一个不安全的网络的某人可能确定用户密码的可能性。

RADIUS服务器支持各种各样的方法验证用户。

当它带有用户时和原始密码产生的用户名，可以支持PPP、密码验证协议(PAP) 或者质询握手验证协议(CHAP)、UNIX登录和其他认证机制。

商业和自由地有服务器编码的一定数量的分配可用。

Cisco服务器包括Cisco Secure ACS Windows版、Cisco Secure ACS UNIX版和Cisco 访问注册。

比较TACACS+和RADIUS以下部分比较TACACS+和RADIUS几个功能。

当TACACS+使用TCP时，RADIUS使用UDP。

TCP提供几个优点胜过UDP。

而UDP 提供最佳效果发送，TCP提供面向连接的传输。

RADIUS要求另外的可编程变量例如转播企图和超时补尝尽力而为传输，但缺乏TCP传输提供内置支持的级别：•使用TCP如何提供单独确认请求收到了，在(近似)网络往返时间(RTT之内)不管装载并且减慢后端验证机制(TCP应答)也许是。

•TCP提供一失败或者不的立即指示，服务器由重置(RST负责操行)。

您能确定当服务器失效并且回到服务时如果使用长寿命的TCP连接。

UDP不能说出发生故障的服务器，一个慢速服务器和一个不存在的服务器的之间差别。

•使用TCP Keepalive，服务器失败可以被发现带外带有实际请求。

与多个服务器的连接可以同时被维护，并且您只需要寄发消息到那个被知道是正在运行的。

•TCP是更加可升级的并且适应生长，并且拥塞，网络。

RADIUS在访问请求信息包加密仅密码，从客户端到服务器。

信息包的剩下的事末加密。

其他信息，例如用户名，核准的服务和认为，能由第三方捕获。

TACACS+加密信息包但分支的整个机体一个标准的TACACS+头。

在头之内指示的字段机体不论是否被加密。

为调试目的，它是有用的有信息包的机体末加密。

然而，在正常运行期间，信息包的机体为安全通信充分地被加密。

RADIUS结合认证和授权。

RADIUS服务器发送的访问接受信息包到客户端包含授权信息。

这使它难分离认证和授权。

TACACS+使用AAA体系结构，分离验证、授权和记帐。

这允许能为授权和记帐仍然使用TACACS+的独立的身份验证解决方案。

例如，带有TACACS+，使用Kerberos认证和TACACS+ 授权和记帐是可能的。

在NAS在Kerberos 服务器之后验证，请求授权信息从TACACS+服务器没有必须重新鉴别。

NAS通知TACACS+服务器在Kerberos服务器成功验证，并且服务器然后提供授权信息。

在会话期间，如果另外特许检查是需要的，接入服务器检查以TACACS+服务器确定是否同意用户权限使用一个特定命令。

这提供对在接入服务器可以被执行当分离从认证机制时的命令的更加巨大的控制。

多协议支持RADIUS不支持以下协议：•AppleTalk远程访问(ARA)协议•NetBIOS帧协议控制协议•Novell异步服务接口(NASI)•X.25 PAD连接TACACS+提供多协议支持。

RADIUS不允许用户控制哪些命令在路由器可以被执行并且哪些不能。

所以，RADIUS不是如有用为路由器管理或如灵活为终端服务。

TACACS+提供二个方法控制router命令的授权根据一个单个用户或单个组的基本类型。

第一个方法将指定权限级别到命令和安排路由器用TACACS+服务器验证用户是否被认证在指定的权限级别。

第二个方法是指定在TACACS+服务器，在一个单个用户或单个组的基本类型，明确命令允许。

共用由于RADIUS请求注解（RFC）的多种解释，遵照RADIUS RFC不保证共用。

即使几个供应商实现RADIUS客户端，这不意味着他们是相互可操作的。

Cisco实现多数RADIUS属性和一致添加更多。

如果用户在他们的服务器使用仅标准RADIUS属性，他们能可能相互运用在几个供应商之间，提供这些供应商实现同样属性。

然而，许多供应商实现是专有属性的扩展名。

如果用户使用这些特定供应商的扩展属性之一，共用不是可能的。

数据流由于TACACS+的早先被援引的区别和RADIUS 、数据流量之间生成在之间客户端和服务器将有所不同。

以下示例说明客户端和服务器的之间数据流为TACACS+和RADIUS当为路由器管理使用带有认证、EXEC授权、RADIUS 不能执行)的命令授权(时，exec记帐和RADIUS不能执行)的命令记帐。

[page]TACACS+数据流示例以下示例假设登录认证，EXEC授权，命令授权，start-stop exec记帐，并且命令记帐实现带有TACACS+当时用户Telnet到路由器，执行一个命令，并且退出路由器：RADIUS数据流示例以下示例假设登录认证，EXEC授权，并且start-stop exec记帐实现与RADIUS当时用户Telnet 到路由器，执行一个命令，并且退出路由器(其他管理服务不是可用的)：设备支持下面的表列表TACACS+和RADIUS AAA技术支持由设备类型。

此表提供关于技术支持添加的软件版本的信息。

Cisco AironetCisco设备TACACS+认证TACACS+授权TACACS+记帐RADIUS认证RADIUS授权RADIUS记帐Cisco Aironet112.2(4)JA 12.2(4)JA 12.2(4)JA 所有访问点所有访问点所有访问点Cisco IOS软件210.33 10.33 10.33311.1.1 11.1.1411.1.15 Cisco缓存引擎-- -- -- 1.5 1.56--Cisco Catalyst交换机2.2 5.4.1 5.4.1 5.1 5.4.14 5.4.15Cisco CSS 11000内容服务交换机5.20 5.20 5.20 5.0 5.04--Cisco PIX防火墙4.0 4.07 4.28,5 4.05.27 4.28,5Cisco Catalyst1900/2820交换机8.x企业9-- -- -- -- --Cisco Catalyst2900xl/3500XL交换机11.2.(8)SA61011.2.(8)SA61011.2.(8)SA61012.0(5)WC51112.0(5)WC511，412.0(5)WC511，51.只有无线客户端的终止，不是管理数据流在除Cisco IOS软件版本12.2(4)ja以上的之外版本。

在Cisco IOS软件版本12.2.(4)ja以上，认证为无线客户端和管理数据流的终止是可能的。

2.检查功能导航(现在废弃由软件顾问) 平台支持在Cisco IOS软件之内3.发出命令认为没实现直到Cisco IOS软件版本11.1.6.34.没有命令授权5.没有命令记帐6.URL阻塞仅，不管理数据流7.授权为非VPN数据流通过PIX注意：ACL RADIUS属性11授权的版本5.2 -访问控制表(ACL) RADIUS供应商专用属性(VSA)的访问控制列表技术支持或TACACS+授权为终止在PIX版本6.1的VPN数据流-技术支持为终止在PIX授权的版本6.2.2 -可下载的ACLs的技术支持带有RADIUS授权为VPN数据流终止在PIX版本6.2 -技术支持的VPN数据流为PIX管理数据流通过TACACS+8.占非VPN数据流通过仅PIX，不是管理数据流注意：版本5.2 -占的技术支持VPN客户端软件TCP信息包通过PIX9.仅企业软件10.需要8M闪存为镜象11.仅VPN终止。

合集下载

提升培训教材-多选题

提升培训教材-多选题

提升培训教材-多选题s1.11．IP协议定义的数据报包括报文头以及数据，报文头信息包括（源地址）、（目的地址）、（报文长度）等。

2．OSI参考模型（1）物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。

（2）数据链路层对应的协议有：ARP、和RARP。

（3）网络层对应的协议有（IP和ICMP）。

（4）传输层对应的协议有（TCP和UDP）。

（5）应用层对应的协议包括远程登录Telnet 、文件传送协议FTP、简单邮件传送协议SMTP、简单网络管理协议SNMP和NFS。

3. 动态主机配置协议（DHCP）支持三种IP地址分配方法：手动分配、动态分配、手工分配。

s1.21．IPv6使用了新的协议头格式，包括（A）和（C ）。

A．固定头部 B．报文头 C．扩展头部 D．源地址2．IPv6有哪些新特性（ABCDEF）A．巨大的空间地址 B．全新的报文结构 C．全新的地址配置方式 D．更好的Qos支持 E．内置安全性 F．全新的邻居发现协议3．IPv6支持哪几种地址配置技术（ABC）A．手工地址配置 B．无状态地址配置 C．有状态自动地址配置 D．自动状态地址配置4．根据RFC2373中的定义，IPv6地址有三种格式，即（ABD）。

A．首选格式 B．内嵌格式 C．域名格式 D．压缩格式5．IPv6地址有（ACD）三种类型A．单播 B．广播 C．组播 D．任播6．IPv6单播地址分为（ABCD）A．本站地点地址 B．本地链路地址 C．可聚合全球单播地址 D．回环地址7．单播地址中有两种特殊地址分别是（B）和（D）A．本站地点地址 B．不确定地址 C．可聚合全球单播地址 D．回环地址8．一台IPv6主机可同时拥有以下几种单播地址：（ABC）A．每个接口的本地链路地址 B．请求节点组播地址 C．节点本地范围内所以节点组播地址 D．链路本地范围内的所有路由器组播地址9．一台IPv6路由器可被分配一下哪集中单播地址。

RADIUS协议

RADIUS协议

RADIUS协议[收藏]分类：软件工程2009-04-20 15:084003人阅读评论(2)收藏举报RADIUS（Remote Authentication Dial In User Service）协议最初是由Livingston公司提出的，原先的目的是为拨号用户进行认证和计费。

后来经过多次改进，形成了一项通用的认证计费协议。

RADIUS是一种C/S结构的协议，它的客户端最初就是NAS（Net Access Server）服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。

RADIUS协议认证机制灵活，可以采用PAP、CHAP或者Unix登录认证等多种方式。

RADIUS是一种可扩展的协议，它进行的全部工作都是基于Attribute-Length-Value的向量进行的。

RADIUS的基本工作原理。

用户接入NAS，NAS向RADIUS服务器使用Access-Require 数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account-Require，RADIUS服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关操作。

RADIUS还支持代理和漫游功能。

简单地说，代理就是一台服务器，可以作为其他RADIUS 服务器的代理，负责转发RADIUS认证和计费数据包。

所谓漫游功能，就是代理的一个具体实现，这样可以让用户通过本来和其无关的RADIUS服务器进行认证。

AAA和RADIUS HWTACACS协议

AAA和RADIUS HWTACACS协议

AAA和RADIUS／HWTACACS协议简介1.1.1 aaa概述aaa是authentication，authorization and accounting（认证、授权和计费）的简称，它提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架，实际上是对网络安全的一种管理。

这里的网络安全主要是指访问控制，包括：哪些用户可以访问网络服务器？具有访问权的用户可以得到哪些服务？如何对正在使用网络资源的用户进行计费？针对以上问题，aaa必须提供下列服务：认证：验证用户是否可获得访问权。

授权：授权用户可使用哪些服务。

计费：记录用户使用网络资源的情况。

aaa一般采用客户/服务器结构：客户端运行于被管理的资源侧，服务器上集中存放用户信息。

因此，aaa框架具有良好的可扩展性，并且容易实现用户信息的集中管理。

1.1.2 radius协议概述如前所述，aaa是一种管理框架，因此，它可以用多种协议来实现。

在实践中，人们最常使用radius协议来实现aaa。

1. 什么是radiusradius是remote authentication dial-in user service（远程认证拨号用户服务）的简称，它是一种分布式的、客户机/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常被应用在既要求较高安全性、又要求维持远程用户访问的各种网络环境中（例如，它常被应用在管理使用串口和调制解调器的大量分散拨号用户）。

radius系统是nas（network access server）系统的重要辅助部分。

当radius系统启动后，如果用户想要通过与nas（pstn环境下的拨号接入服务器或以太网环境下带接入功能的以太网交换机）建立连接从而获得访问其它网络的权利或取得使用某些网络资源的权利时，nas，也就是radius客户端将把用户的认证、授权和计费请求传递给radius服务器。

radius服务器上有一个用户数据库，其中包含了所有的用户认证和网络服务访问信息。

TACACS+简单说明

TACACS+简单说明

TACACS+简单说明概述TACACS+TACACS+（Terminal Access Controller Access Control System，终端访问控制器控制系统协议）是在TACACS协议的基础上进⾏了功能增强的安全协议。

该协议与RADIUS协议的功能类似，采⽤客户端/服务器模式实现NAS与TACACS+服务器之间的通信。

的⽤途TACACS+协议主要⽤于PPP和VPDN（Virtual Private Dial-up Network，虚拟私有拨号⽹络）接⼊⽤户及终端⽤户的AAA。

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是⽹络安全的⼀种管理机制，提供了认证、授权、计费三种安全功能。

认证：确认访问⽹络的远程⽤户的⾝份，判断访问者是否为合法的⽹络⽤户。

授权：对不同⽤户赋予不同的权限，限制⽤户可以使⽤的服务。

例如⽤户成功登录服务器后，管理员可以授权⽤户对服务器中的⽂件进⾏访问和打印操作。

计费：记录⽤户使⽤⽹络服务中的所有操作，包括使⽤的服务类型、起始时间、数据流量等，它不仅是⼀种计费⼿段，也对⽹络安全起到了监视作⽤。

AAA⼀般采⽤客户机/服务器结构，客户端运⾏于NAS（Network Access Server，⽹络接⼊服务器）上，服务器上则集中管理⽤户信息。

NAS对于⽤户来讲是服务器端，对于服务器来说是客户端。

AAA的基本组⽹结构如下图：当⽤户想要通过某⽹络与NAS建⽴连接，从⽽获得访问其它⽹络的权利或取得某些⽹络资源的权利时，NAS起到了验证⽤户的作⽤。

NAS 负责把⽤户的认证、授权、计费信息透传给服务器（RADIUS服务器或HWTACACS服务器），RADIUS协议或HWTACACS协议规定了NAS与服务器之间如何传递⽤户信息。

图1-1的AAA基本组⽹结构中有两台服务器，⽤户可以根据实际组⽹需求来决定认证、授权、计费功能分别由使⽤哪种协议类型的服务器来承担。