HP网络安全教学课件-03.AAA-04AAA产品介绍-ACS4.1.ppt

1、AAA产品介绍产品介绍 - ACS4.12012 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice AAA2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticen 在市面上，有众多的在市面上，有众多的AAA软件产品，我们需要选择软件产品，我们需要选择出

2、一个比较普通使用，具有代表性的软件产品作为出一个比较普通使用，具有代表性的软件产品作为学习的对象。学习的对象。引入引入2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticen 了解了解ACS产品简介产品简介n 了解了解ACS软件的部署环境需求软件的部署环境需求n 掌握掌握ACS界面的基本配置界面的基本配置n 了解了解ACS软件的基本概念软件的基本概念课程目标课程目标学习完本课程，您应该能够：学习完本课程，您应该能够：20

3、13 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticeACS软件介绍 思科安全访问控制服务器（Cisco Secure Access Control Sever）是一个高度可扩展、高性能的访问控制服务器，提供了全面的身份识别网络解决方案，是思科基于身份的网络服务(IBNS)架构的重要组件。Cisco Secure ACS通过在一个集中身份识别联网框架中将身份验证、用户或管理员接入及策略控制相结合，强化了接入安全性。这使企业网

4、络能具有更高灵活性和移动性，更为安全且提高用户生产率。Cisco Secure ACS 支持范围广泛的接入连接类型，包括有线和无线局域网、拨号、宽带、内容、存储、VoIP、防火墙和 VPN。Cisco Secure ACS 是思科网络准入控制的关键组件。适用场合： 集中控制用户通过有线或者无线连接登录网络 设置每个网络用户的权限 记录记帐信息，包括安全审查或者用户记帐 设置每个配置管理员的访问权限和控制指令 用于 Aironet 密钥重设置的虚拟 VSA 安全的服务器权限和加密 通过动态端口分配简化防火墙接入和控制 统一的用户AAA服务2013 Hewlett-Packard Developm

5、ent Company, L.P. The information contained herein is subject to change without noticeCable, DSL总部VPN 网关 、防火墙VPN无线局域网RADIUS (AAA)SP 网关(代理 AAA)AS5X00, ISDN远程访问、拨号访问控制Internet扩展认证数据库ACS服务器 判断user的访问控制权限802.1x 交换机TACACS+Telnet 管理员访问种类ACS软件介绍适用场合一览2013 Hewlett-Packard Development Company, L.P. The infor

6、mation contained herein is subject to change without noticeACS软件介绍实施使用ACS软件对网络设备的性能影响认证种类平均百分比Authentication, Authorization and Administration 9.5%Anti-virus/Malicious Code 8.2%Firewalls （防火墙） 6.9%VPNs 20.5%Intrusion Protection（入侵检测） 21.0%2013 Hewlett-Packard Development Company, L.P. The informatio

7、n contained herein is subject to change without notice 20,000 80,000用户数量 (依赖于服务类型) 和每台 ACS 服务器8,000 RADIUS/TACACS+ 设备 多个ACS服务器可以放置在一个分布的环境中使用: 作为其他ACS服务器的代理 数据库复制 (冗余) 远程 & 集中 日志管理ACS软件部署的冗余性2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without

8、noticen 认证技术简介认证技术简介n RADIUS and TACACS+ 详细介绍与详细介绍与命令配置命令配置目录目录2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice设备名称IP地址/掩码网关Vlan号ACS-1XXACS-PA.1.115.XACS-2XXACS-BA.1.115.X用途硬件平台操作系统系统补丁备注ACS服务器2 * 2.8G CPU4G内存73G * 4硬盘双网卡windows 2000

9、/2003 serverSP3以上1英文版IE6.02MS java virtual matchine 或者Sun Java Plug-in 1.4.2_043Netscape 7.1 ACS 环境准备2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticeUserGroup - 管理员分类NDG(network device group) - 设备集合Shell Command Sets - 操作权限 ACS管理中的三个

10、概念及其关联2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticeACS安全管理中的三个概念及其关联用户组网络设备组Shell命令RORW设备组1设备组2设备组3NDGUserGroup2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice用用户户

11、设设置置用用户户组组设设置置Shell命命令令网网络络设设备备组组设设置置系系统统管管理理员员等等设设置置高高级级选选项项认认证证数数据据库库设设置置报报告告设设置置帮帮助助手手册册文文档档Log相相关关设设置置用用户户设设置置用用户户组组设设置置Shell命命令令网网络络设设备备组组设设置置系系统统管管理理员员等等设设置置高高级级选选项项认认证证数数据据库库设设置置报报告告设设置置帮帮助助手手册册文文档档Log相相关关设设置置 ACS 软件管理界面2013 Hewlett-Packard Development Company, L.P. The information contained

12、herein is subject to change without notice打打 开开 网网 络络 设设 备备 组组 功功 能能打打 开开 A C S 备备 份份 功功 能能打打 开开 T a c a s 属属 性性打打 开开 组组 N A R 功功 能能打打 开开 网网 络络 设设 备备 组组 功功 能能打打 开开 A C S 备备 份份 功功 能能打打 开开 T a c a s 属属 性性打打 开开 组组 N A R 功功 能能用户高级选项设置2013 Hewlett-Packard Development Company, L.P. The information contain

13、ed herein is subject to change without notice允许运行的命令列表允许运行的命令列表填写描述信息填写描述信息定义的定义的Shell名称名称Shell 命令组设置2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice设设备备的的H o s t n a m e 名名设设备备的的L o o p b a c k 地地址址I C B C X X设设备备组组名名认认证证协协议议设设备备的的H

14、 o s t n a m e 名名设设备备的的L o o p b a c k 地地址址I C B C X X设设备备组组名名认认证证协协议议网络设备组设置2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice用户组设定1控制用户组可以登陆哪些网络设备组 2013 Hewlett-Packard Development Company, L.P. The information contained herein is su

15、bject to change without notice用户组设定2根据不同的设备组分别设定命令权限2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice用户组设定3设定用户组的enable权限2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noti

16、ce用户设定1输入用户分行简输入用户分行简拼和姓名的全拼拼和姓名的全拼输入用户分行简输入用户分行简拼和姓名的全拼拼和姓名的全拼可可 以以 输输 入入 用用 户户 真真 实实 姓姓 名名可可 以以 输输 入入 用用 户户 描描 述述 信信 息息可可 以以 输输 入入 用用 户户 真真 实实 姓姓 名名可可 以以 输输 入入 用用 户户 描描 述述 信信 息息2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice用户设定2分

17、分配配用用户户到到相相应应组组选选择择用用户户的的认认证证方方式式设设定定用用户户的的静静态态密密码码分分配配用用户户到到相相应应组组选选择择用用户户的的认认证证方方式式分分配配用用户户到到相相应应组组选选择择用用户户的的认认证证方方式式设设定定用用户户的的静静态态密密码码2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice用户设定32013 Hewlett-Packard Development Company, L

18、.P. The information contained herein is subject to change without notice ACS 备份1输输入入备备份份ACS服服务务器器名名称称输输入入备备份份ACS服服务务器器IP地地址址输输入入备备份份ACS服服务务器器名名称称输输入入备备份份ACS服服务务器器IP地地址址2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice ACS 备份22013 Hewl

19、ett-Packard Development Company, L.P. The information contained herein is subject to change without notice选选择择 每每 天天凌凌 晨晨 开开始始 同同 步步选选择择 每每 天天凌凌 晨晨 开开始始 同同 步步 ACS 备份32013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice ACS 备份4在备份服务器上的设定在

20、备份服务器上的设定2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticeACS 添加外部数据库12013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice 添加外部数据库22013 Hewlett-Packard Development Company

21、, L.P. The information contained herein is subject to change without noticeCsutil 配置命令2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticeACS 应急配置1. ACS服务器失效时的应急实施步骤 在网络设备中配置AAA管理命令时加入定义“后门”管理员，用于AAA服务器失效时应急措施。当ACS失效时可通过“后门”用户口令登陆网络设备进行应

22、急管理（该用户在ACS有效状态下不能使用）。命令：username XXX password XXX 此命令必须先于aaa命令设置，如果路由器已经设置好aaa命令，可以在命令行下先输入(config)no aaa new-model (config)username XXX password XXX (config) aaa new-model 2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice2. RSA认证服务器

23、失效时的应急步骤 若个别用户使用动态口令不能认证时，可将用户的认证恢复为由Cisco ACS服务器静态口令认证。方法如下：登录到ACS服务器，使用IE方式登录到ACS中，将用户信息中 “User Setup”栏的“Password Authentication”修改为“CiscoSecureDatabase”。也可使用命令行操作方式，只建立一行的“用户update ID:CSDB:password”文本文件，利用Csutil文件修改用户信息为ACS认证，待解决动态口令认证问题后，再修改为动态口令认证。 ACS 应急配置2013 Hewlett-Packard Development Compa

24、ny, L.P. The information contained herein is subject to change without notice本章总结本章总结n 了解了解ACS产品简介产品简介n 了解了解ACS软件的部署环境需求软件的部署环境需求n 掌握掌握ACS界面的基本配置界面的基本配置n 了解了解ACS软件的基本概念软件的基本概念2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without noticeTHANK YOU 海南人才20000 HP Education Mar. 2013