交通银行分行安装配置手册version实施方案h

5，UCP（userchangeblepassword）软件（附件一：CiscoACS1.1c：10Gd：26G附件一：CiscoACS1.1c：10Gd：26G1.2CiscoACS件安装步IAS（recommended3．3．Yes，keepYes，keepexistingdatabase存，选择后，再点击下一步在进行接下来的安装4．ChooseDestinationLocation这里可以选择ACS软件安装的目录位置，这里要求统一把ACSD:\ciscoACS这里可以选择ACS软件安装的目录位置，这里要求统一把ACSD:\ciscoACSAlsotheWindowsUserDatabase,点击全部选择后点击包括Action，Reboot，All，8．设置一个不少于8位的密码用于对数据库加密，密码统一使用8．设置一个不少于8位的密码用于对数据库加密，密码统一使用1.3配置1.3配置1.3.1ACS务器的管1.3.1ACS务器的管policy2002toPort配置步骤”进入管理员控制页面。如下图2．点击“AddAdministrator”submitIPaddressestoconnect（只允许列表中的IP地址可以访问）5.点击“SessionPolicySessionidletimeout(minutes)5,设5分钟后自动超时.Allowautomaticlocallogin(本机自动登入)去除打1.3.2配置Log在控制页面下点击”1．Control”必须先在d:\下建1.3.2配置Log在控制页面下点击”1．Control”必须先在d:\下建立目录acsconfig-backup。建立完成后点击“submit”完成设记载所有级别信每天创建一个log“Restart2．点击 ”进入acs备份功能，要求ACS备份30天后删除文定这里以“CSVFailedAttempts”为例，作设置说明，其余依次类推设置点击“CSVFailed这里以“CSVFailedAttempts”为例，作设置说明，其余依次类推设置点击“CSVFailedAttempts”用户高级在控制页面下点击“”再点击“选择用户高级在控制页面下点击“”再点击“选择TACACS＋属性的设备：如下图1.3.4shell令权限的（见下表1.3.4shell令权限的（见下表sessiondirexitquitdisconnect只有匹配以上命令才被ACS服务器点击“shellCommandAuthset”后点击“Add”允许运行的命令列点击“shellCommandAuthset”后点击“Add”允许运行的命令列speed、nospeed、duplex、noduplex、ip、只有匹配以上命令才被ACS服务器空无命令权限限制1.3.5网络设备分组行举例说明设置的过程2．1.3.5网络设备分组行举例说明设置的过程2．点击“AddEntry”例说明：点击AAAClientIP：1.3.6用户分组1.3.6用户分组设”“submit2．点击“EditSettings”shellshell注：在这里设定的功能就是控注：在这里设定的功能就是控制用户组可以登陆哪些网络设备组。比如某user进入了一个test的用户组里，这个组里允许访问core-devwan-dev两个设备组，于是见图设置。这样test这个用户组中的用户仅仅可以登陆core-devwan-dev所包含的网设备了2一般使用第一种,通过时间的老化方式,Applypasswordchangerule打勾,对首次登入的用户要求强制修改密码.输入“*”代表所有端口输入所管辖的设备设置设置用户enable登陆权1.3.7建立用1.3.7建立用1.4UCP（userchangeblepassword）软1.4UCP（userchangeblepassword）软1，在安装文件目录中有个ACSUtilities文件夹,内包含Usernext3，编辑IIScomputermanagement中依目录顺序找到servicesandapplications>internet3，编辑IIScomputermanagement中依目录顺序找到servicesandapplications>internetinformationservices>defaultwebsite>securecgi-bin，按下图修改其属性，点击OK。附件二、用户密码修改流方附件二、用户密码修改流方法一使用命令行方12方法IE方法IE服务器IP附件三、网络设备配附件三、网络设备配1.1CiscoIOS（12.05T以后）privilegeconfigurelevel15privilegeexeclevel15configureterminalusernameadminprivi15passcisco(此步骤必须先于aaa配置命令，否则无ACS失效用后门管理员登入可以进入配置模式noaaanew-！authenticationloginbocomgrouptacacs+config-execbocomgrouptacacs+localcommands15bocomgrouptacacs+localaccountingcommands15bocomstart-stopgroupaaasession-id!!interfaceipaddress182.x.x.2iptacacssource-interfacetacacs-host182.x.x.xkeybocomXXX!configurelevel15noconfigurelevel15noaaaaaasession-id!!interfaceipaddress182.x.x.2iptacacssource-interfacetacacs-host182.x.x.xkeybocomXXX!configurelevel15noconfigurelevel15noaaalevel15level15linevty015execaccountingcommands15bocomloginauthenticationbocomauthorizationcommands15bocomIOS（12.05T以前）privilegeconfigurelevel15noprivilegeexeclevel15configureusernamelocaladminprivi15pass；定义“后门”管理员，用于AAA服务器失效时应急措施(此命令必aaa当ACSnoaaanew-!new-authenticationloginbocomtacacs+localauthorizationcommandstacacs+localaaaaccountingcommandsstart-程setlocaluseruserpoweruserpasswordpowerpassprivilege程setlocaluseruserpoweruserpasswordpowerpassprivilegesetlocaluserusernonenablepasswordpasswordenablepassauthenticationlogintacacsenableallsetaccountingcommandsenableallstop-onlysetauthorizationcommandsenablealltacacs+nonesettacacs settacacssettacacskey1.1.3火墙6.x7.xusernameadminpasswordadminprivilegeprivilegeconfigurelevel15noprivilegeconfigurelevel15noaaaprivilegeexeclevel15configureprivilegeexeclevel15configureterminalprivilegeexeclevel15configureaaa-serverbocomhost182.x.x.xaaa-serverbocomdeadtime10aaaauthenticationtelnetconsolebocomaaaauthenticationenableconsolebocomaaaauthorizationcommandbocomLOCALaaaaccountingprivilege15bocomaaaaccountingtelnetconsole1.1.4换机usernameadminprivilege15passwordadminaaanew-modelaaaauthenticationloginbocomgrouptacacs+localaaaauthorizationconfig-commandsaaaauthorizationexecbocomgrouptacacs+aaaauthorizationcommands15bocomgrouptacacs+localaaaaccountingcommands15bocomstart-stopgrouptacacs+iptacacssource-interfacevlaninterfaceipaddress182.x.x.x!tacacs-serverhost182.x.x.xtacacs-serverkeybocom012privilegeconfigurelevel15aaaprivilegeconfigurelevel15noaaaprivilegeconfigurelevel15noprivilegeexeclevel15configure!lineconlinevty0authorizationexecbocomloginauthenticationbocomauthorizationcommands15usernameadminprivilege15passwordnew-authenticationloginbocomgrouptacacs+config-execbocomgrouptacacs+15bocomgroupaccountingcommandsbocomstart-!iptacacssource-authorizationcommands15usernameadminprivilege15passwordnew-authenticationloginbocomgrouptacacs+config-execbocomgrouptacacs+15bocomgroupaccountingcommandsbocomstart-!iptacacssource-vlan!interfaceipaddress!tacacs-serverhost15tacacs-serverkeybocom012!execlevel15configurelinevty0loginauthenticationbocomauthorizationcommands15bocomauthorizationexecbocomaccountingcommands15bocom1.2华为网络设备Quidway(config)#aaa-Quidway(config)#userservice-password7exec，execQuidway(config)#aaaauthenticationlogindefaultradiusQuidway(config)#radius-serverhost<ip_address>auth-<port_number>acct-portQuidwayQuidway(config)#aaaauthenticationlogindefaultradiusQuidway(config)#radius-serverhost<ip_address>auth-<port_number>acct-portQuidway(config)#radius-serverkey<keyQuidway(config)#radius-serverretransmitQuidway(config)#radius-servertimeoutCiscoPIX（Radius（推荐升级版本aaanew-aaaauthenticationtacacs-serverhosttacacs-serverkeylogindefaulttacacslocal1.4tacacs-server(inside)host<ACSipaddress><key>timeoutaaaauthenticationtelnetconsole附件四：应急处理实施步附件四：应急处理实施步命令：username(config)＃noaaanew-(config)＃privilegeexeclevel15configure(config)＃privilegeconfigurelevel15(config)＃usernameprivi15(config)＃aaanew-telnet（console，aux）Quidway(config)#aaaauthenticationlogindefaultradiusRadiusQuidway(config)#radius-serverhost<ip_address>auth-<port_number>acct-portRadiusIP（Quidway(config)#radius-serverkey<keytelnet（console，aux）Quidway(config)#aaaauthenticationlogindefaultradiusRadiusQuidway(conf