Tổng Quan Thiết bị ACS

Nguyễn Quang Trí

trinq@fpt.com.vn
Nội dung
 Giới thiệu về sản phầm ACS
 Mô hình tổng quát
 Mô hình quản lý chính sách
 Cấu hình cơ bản
Overview AAA
 Authentication : Phương pháp xác định người sử dụng

 Authorization : Phương pháp để kiểm soát truy cập từ

xa
 Accounting :Phương pháp thu thập thông tin command
giám sát các thiết bị.
Giới thiệu Radius và Tacacs+
Radius Tacacs+

Protocol UDP TCP

Encrypt Entry Session Only password
combines authentication (device) Separates Authentication, Authorization, and
and Authorization(User) Accountability
Privilege limited supports 15 privilege modes
Opensouce Cisco
Mô hình hoạt động
Chức năng chính ACS
1.Authentication và authorization các thiết bị network
hoặc group thiết bị.
2.Tạo báo cáo kiểm tra thống kê tình trạng đăng nhập
thiết bị.
Mô hình chứng thực

Authentication TACACS+ Variety of External

Methods RADIUS Databases

AAA Client
Cisco Secure ACS
Phần cứng

OS : Linux
CPU: Intel Xeon 2.66-GHz Q9400 (Quad Core)
System Memory : 4 GB DDR II ECC
Hard disk drive: 2 x 250 GB 7.2K RPM 3.5" SATA
ACS 5 : Cách thức hoạt động của ACS
Các thức hoạt động Access Services

ACS
AAA Access AAA
Request Service Response
ACS Service Selection

AAA
Access Service 1
Response

Service
AAA Request Access Service 2
Selection

Access Service 3
ACS Service Selection Criteria
AAA protocol
Network device group
ACS server
Request attributes
Date and time
AAA client
Thành phần Access Service

 Identity Policy
Xác định thông tin người dùng được lấy từ nguồn nào để xác thực
Group Mapping Policy (optional)
Quản trị thông tin người dùng nội bộ bằng cách lấy thông tin xác
thực người dùng bên ngoai hệ thống ACS
 External Server Check (optional)
Cho phép tập hợp các thuộc tính bổ sung được thu thập từ các hệ
thông mở rộng khác
 Authorization Policy
Đây là trung tâm của ACS, nơi mà tất cả các thuộc tính thu thập
được đánh giá để đi đến một quyết định chính sách cấp phép
Identity Policy

 Hai cơ chế xác thực người dùng:

- Xác thực dùng Password
- Xác thực Certificated
 Xác thực cơ sở dữ liệu người dùng—Thông qua database
như (AD, LDAP..)
 Nếu có hai hoặc nhiều cở sở dữ liệu cùng lúc thì xác thực
thực hiện tuần tự từ trên xuống dưới.
Authorization Policy
 First match (permissions cannot be merged)
 Mỗi cột tương ứng mỗi điều kiện
 Default rule (nếu không không thoa mãn rule nào)
Giao diện ACS 5.0
Nhóm các thiết bị (Group)
Thiết bị
Cấu hình nhóm AD
Cấu hình theo thời gian biểu
ACS Access Services
Selection
Cấu hình
Ví dụ chính sách xác thực
Bảng giám sát và tạo báo cáo
Bảng báo cáo chứng thực
Hiển thị thông báo các phiên đăng nhập
RADIUS & TACACS
Cấu hình RADIUS và TACACS+
dùng Cisco ACS
Cisco ACS
 Bước 1: Nhập thông tin tên,ip address ,share secret của
các thiết bị tới ACS
 Bước 2:Gán tên người dùng để xác thực tới thiết bị ( có thể
dùng một trong hai cơ chế xác thực kiểu local hay xác
thực dựa trên Action Directory)
 Bước 3: Tạo rule và các điều kiện , thời gian…
 Bước 4: Gán rule, điền kiện, user tới từng thiết bị
Device
 Globally Enable AAA
router(config)#

aaa new-model

router(config)# aaa new-model

 tacacs-server Commands
router(config)#

tacacs-server host ipaddress key keystring

router(config)# tacacs-server host 10.1.2.4 key

2bor!2b@?

Router(config)# aaa authentication login default group tacacs+ local

enable
AAA Configuration Commands
 aaa authentication {login | enable default | arap | ppp | nasi}
{default | list-name} method1 [method2 [method3 [method4]]]

 aaa authorization {network | exec | commands level | reverse-

access} {default | list-name}
{if-authenticated | local | none | radius | tacacs+ | krb5-
instance}

 aaa accounting {system | network | exec | connection | commands

level}{default | list-name} {start-stop | wait-start | stop-only |
none} [method1 [method2]]
AAA TACACS+ Troubleshooting
router#

debug tacacs

Displays detailed information associated with

TACACS+

14:01:17: AAA/AUTHEN (567936829): Method=TACACS+

14:01:17: TAC+: send AUTHEN/CONT packet
14:01:17: TAC+ (567936829): received authen
response status = PASS
14:01:17: AAA/AUTHEN (567936829): status = PASS
RADIUS Server Command
router(config)#

radius-server host ipaddress key keystring

router(config)# radius-server host 10.1.2.4 key

2bor!2b@?
Cảm ơn