《数据网组建与维护》课件-5.3任务3 AAA实现网络安全

AAA原理与配置主讲教师：刘晓君数据网组建与维护1AAA基本概念2AAA实现方式3AAA基本配置4AAA应用场景CONTENTS目录AAA基本概念AAA是Authentication（认证）、Authorization（授权）和Accounting（计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。认证：验证用户是否可以获得访问权，确定哪些用户可以访问网络。授权：授权用户可以使用哪些服务。计费：记录用户对各种网络服务的用量，并提供给计费系统。认证授权计费AAA常见架构用户User1@Domian1User2@Domian2User3@Domian3NASAAA服务器AAA常见网络架构中包括用户、NAS（NetworkAccessServer）、AAA服务器（AAAServer）。认证（Authentication）AAA支持的认证方式有：不认证，本地认证，远端认证。用户域认证方式User1@Domian1Domain1不认证User2@Domian2Domain2本地认证User3@Domian3Domain3远端认证用户User1@Domian1User2@Domian2User3@Domian3NASAAA服务器用户名和密码用户名和密码User3用户名和密码返回认证结果授权（Authorization）AAA支持的授权方式有：不授权，本地授权，远端授权。用户User1@Domian1User2@Domian2User3@Domian3NASAAA服务器用户域授权方式授权内容User1@Domian1Domain1不授权无User2@Domian2Domain2本地授权可以访问InternetUser3@Domian3Domain3远端授权由远端服务器授权计费（Accouting）计费功能用于监控授权用户的网络行为和网络资源的使用情况。AAA支持的计费方式有：不计费，远端计费。用户User1@Domian1User2@Domian2User3@Domian3NASAAA服务器用户域计费方式User1@Domian1Domain1不计费User2@Domian2Domain2不计费User3@Domian3Domain3远端计费AAA常见应用场景对管理用户进行本地认证和授权通过RADIUS提供上网用户的AAA网络管理员Router（NAS）Telnet登录NASRADIUS服务器上网用户从系统视图进入AAA视图进行配置AAA配置命令[Huawei]aaa[Huawei-aaa]local-useruser-name

password

cipher

password丨1.进入AAA视图丨2.创建用户创建本地用户，并配置本地用户的密码：如果用户名中带域名分隔符，如@，则认为@前面的部分是用户名，后面部分是域名如果没有@，则整个字符串为用户名，域为默认域AAA配置命令[Huawei-aaa]local-useruser-nameprivilege

level

level用户等级命令等级名称说明00参观级可使用网络诊断工具命令（ping、tracert）、从本设备出发访问外部设备的命令（Telnet客户端命令）、部分display命令等。10and1监控级用于系统维护，可使用display等命令。20,1and2配置级可使用业务配置命令，包括路由、各个网络层次的命令，向用户提供直接网络服务。3-150,1,2and3管理级可使用用于系统基本运行的命令，对业务提供支撑作用，包括文件系统、FTP、TFTP下载、命令级别设置命令以及用于业务故障诊断的debugging命令等。丨3.配置用户接入类型丨4.配置用户级别[Huawei-aaa]local-useruser-nameservice-type{{terminal|telnet|ftp|ssh|snmp|http}|ppp|none}设置本地用户的接入类型。缺省情况下，本地用户关闭所有的接入类型。指定本地用户的权限级别。典型案例应用R1G0/0/154/24案例背景与要求：某公司出口路由器采用企业级路由器，为方便远程管理，计划创建admin和public两个远程账号，admin账号作为管理员账号，拥有最高权限可以配置路由器，public账号作为普通用户账号，仅可以查看路由器当前状态信息。案例配置过程[R1]aaa[R1-aaa]local-useradminpasswordcipheradmin@123[R1-aaa]local-useradminprivilegelevel15[R1-aaa]local-useradminservice-typetelnet[R1-aaa]local-userpublicpasswordcipherpublic@456[R1-aaa]local-userpublicprivilegelevel2[R1-aaa]local-userpublicservice-typetelnet[R1]user-interfacevty04[R1-ui-vty0-4]authentication-modeaaa丨1.路由器R1上创建本地用