tacacs調(diào)研文檔(已修改)
2025-08-05 23:22 本頁面
【正文】 AAA網(wǎng)絡安全系統(tǒng) 認證(Authentication)：驗證用戶的身份與可使用的網(wǎng)絡服務； 授權(quán)(Authorization)：依據(jù)認證結(jié)果開放網(wǎng)絡服務給用戶； 計帳(Accounting)：記錄用戶對各種網(wǎng)絡服務的用量，并提供給計費系統(tǒng)。 AAA身份驗證 (Authentication)、授權(quán) (Authorization)和統(tǒng)計 (Accounting)Cisco開發(fā)的一個提供網(wǎng)絡安全的系統(tǒng)。首先，認證部分提供了對用戶的認證。整個認證通常是采用用戶輸入用戶名與密碼來進行權(quán)限審核。認證的原理是每個用戶都有一個唯一的權(quán)限獲得標準。由AAA服務器將用戶的標準同數(shù)據(jù)庫中每個用戶的標準一一核對。如果符合，那么對用戶認證通過。如果不符合，則拒絕提供網(wǎng)絡連接。接下來，用戶還要通過授權(quán)來獲得操作相應任務的權(quán)限。比如，登陸系統(tǒng)后，用戶可能會執(zhí)行一些命令來進行操作，這時，授權(quán)過程會檢測用戶是否擁有執(zhí)行這些命令的權(quán)限。簡單而言，授權(quán)過程是一系列強迫策略的組合，包括：確定活動的種類或質(zhì)量、資源或者用戶被允許的服務有哪些。授權(quán)過程發(fā)生在認證上下文中。一旦用戶通過了認證，他們也就被授予了相應的權(quán)限。最后一步是帳戶計費，這一過程將會計算用戶在連接過程中消耗的資源數(shù)目。這些資源包括連接時間或者用戶在連接過程中的收發(fā)流量等等?？梢愿鶕?jù)連接過程的統(tǒng)計日志以及用戶信息，還有授權(quán)控制、賬單、趨勢分析、資源利用以及容量計劃活動來執(zhí)行帳戶過程。認證方案與認證模式 AAA支持本地認證、不認證、RADIUS認證和TACACS認證四種認證模式，并允許組合使用。組合認證模式是有先后順序的。例如，authenticationmode radius local表示先使用RADIUS認證，RADIUS認證沒有響應再使用本地認證。當組合認證模式使用不認證時，不認證（none）必須放在最后。例如：authenticationmode radius local none。當新建一個認證方案時，缺省使用本地認證。 授權(quán)方案與授權(quán)模式 AAA支持本地授權(quán)、直接授權(quán)、ifauthenticated (radius ) 授權(quán)和TACACS授權(quán)四種授權(quán)模式，并允許組合使用。組合授權(quán)模式有先后順序。例如,authorizationmode tacacs local表示先使用TACACS授權(quán)，TACACS授權(quán)沒有響應再使用本地授權(quán)。當組合授權(quán)模式使用直接授權(quán)的時候，直接授權(quán)必須在最后。例如：authorizationmode tacacs local none 當新建一個授權(quán)方案時，缺省使用本地授權(quán)。 RADIUS的認證和授權(quán)是綁定在一起的，所以不存在RADIUS授權(quán)模式。 計費方案與計費模式 AAA支持六種計費模式：本地計費、不計費、RADIUS計費、TACACS計費、同時RADIUS、本地計費以及同時TACACS、本地計費。tacacs 認證、授權(quán)和審計radius 認證和授權(quán)綁定在一起，沒有單獨的授權(quán)、審計TACACS+簡介 TACACS+(Terminal Access Controller Access Control System)終端訪問控制器訪問控制系統(tǒng)，與我們IDsentrie的Radius協(xié)議相近。不過TACACS+用的是TCP協(xié)議，Radius用的是UDP；TACACS+將認證和授權(quán)分開，Radius將認證和授權(quán)綁定；另外兩者的加密方式也不相同（具體參見《TACACS和RADIUS比較》）。它們的重要作用就是3A。典型的TACACS應用就是EXEC 授權(quán), 即給用戶執(zhí)行某些命令的權(quán)利, 在這里的命令就是我們的CLI mand。我們可以詳細的配置一個用戶可以執(zhí)行某些CLI mand，不能執(zhí)行某些CLI mand，確實可以管理得非常嚴格。當每次執(zhí)行mand時都會到tacacs+ server上去進行授權(quán)。不過當我們允許用戶配置某一項,而它的sub config中如果還有很多mand，我們要逐項添加，可以對命令和參數(shù)進行詳細的管理，不用擔心有的用戶亂操作了。這個功能只限于CLI, 在web UI上是沒有用的, 它的作用又顯得不太重要了。 Cisco Secure ACS思科安全訪問控制服務器為思科智能信息網(wǎng)絡提供基于身份的全面的訪問控制解決方案。它是用于管理企業(yè)網(wǎng)絡用戶、管理員和網(wǎng)絡基礎(chǔ)設施資源的集成和控制層。Secure ACS (ACS)是具高可擴展性的高性能訪問控制服務器，可作為集中的RADIUS 和 TACACS+ 服務器運行。Cisco Secure ACS將驗證、用戶訪問和管理員訪問與
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1