某银行系统ACS认证之TACACS+认证方案
中国XX银行河北省分行
ACS项目实施方案
TACACS+认证
目录
项目背景........................................................................ 3
资源配置........................................................................ 3
实验网络架构................................................................ 3
ACS管理方案................................................................ 3
权限规定........................................................................ 4
ACS组件........................................................................ 4
网络资源......................................................................... 4
设备属性......................................................................... 4
设备位置属性.................................................................. 5
设备型号属性.................................................................. 8
AAA客户端设置............................................................. 9
用户标识仓库................................................................ 12
用户组属性.................................................................... 12
用户属性......................................................................... 13
策略组件......................................................................... 15
设备过滤器..................................................................... 15
用户级别控制................................................................. 18
命令控制......................................................................... 20
许可策略......................................................................... 23
条件选择器..................................................................... 23
许可服务......................................................................... 23
服务选择规则................................................................. 26
用户认证库..................................................................... 28
授权策略......................................................................... 29
客户端配置..................................................................... 30
配置脚本......................................................................... 31
脚本解释......................................................................... 31
认证................................................................................. 32
授权................................................................................. 32
审计................................................................................. 33
配置验证......................................................................... 33
区域路由器登录验证..................................................... 34
省行路由器登录验证..................................................... 35
查看认证日志................................................................. 36
查看授权日志................................................................. 36
查看审计日志................................................................. 37
总结................................................................................. 37
项目背景
全省网络设备的远程管理现状
1.通过各网络设备中设置的本地账户和密码进行远程登录和管理；
2.用户没有跟设备绑定；
3.用户的权限没有区分和限制；
4.用户登录以及操作没有详细的记录；
根据总行网络设备管理的要求：
1.省行以及二级行的网络设备管理员实行统一的身份验证和管理；
2.通过部署在省行的ACS服务器对网络管理员进行验证和授权；
3.管理员在获得ACS服务器的验证后方可对相应的网络设备实行远程登录和管理；
4.管理员分为不同的级别，对于不同级别的管理员有不同的授权；
5.管理员对被管理设备的操作会在ACS服务器上进行记录；
资源配置
实验网络架构
01
ACS管理方案
分别建立各种需要的属性，然后将属性组合进授权策略
授权策略中匹配用户、匹配设备、符合则授权，不符合则拒绝
02
权限规定
5级用户允许命令：
Exit
Show ip interface brief
Ping
Ping ip
Traceroute
Show ip route
15级用户禁止命令
Erase
Delete
Copy
Reload
ACS组件
网络资源
设备属性
设备属性、用户组均属于自定义属性，然后根据属性进行挑选并匹配
确定设备属性，由于此项目所有路由器与交换机均属于网络部，因此不需要设置部门属性。设备的区别只是地点区别。
HBSH7200（属性为河北全省）
HBTS3600（属性为唐山市）
HBTSKP2811（属性为唐山市开平区）
HBTSFN2811（属性为唐山市丰南区）
HBBD3600（属性为保定市）
HBBDMC2811（属性为保定市满城区）
HBBDSP2811（属性为保定市顺平县）
设备按位置设置为三级：省、市、区（县）
为了将来管理需求的变更，设置设备类型为7200、3600、2811三种
建立设备属性：
系统默认设置了两种属性
03
设备位置属性
设备类型和位置点击位置，点击建立
04
建立河北省属性
05
继续建立市级属性
06
选中上级为河北省
07
下箭头显示了层级关系
08
设备型号属性
进入Device Type选项
09
点击Create
10
11
同理，也可以根据需要设置其它分类，例如All Switchs（所有交换机）
建立路由器与属性进行关联，并且设置ACS参与的认证方式及密码
可以单独建立路由器，也可以群组建立（如按地域）。本项目需求全部按路由器名称建立。
AAA客户端设置
点击进入AAA client设置，并点击Create
12
建立省行设备
13
依次建立其它设备
14
设备建立完成，一共七台路由器
15
用户标识仓库
用户组属性
建立用户组和用户
16
17
唐山市属于河北省
18
19
用户属性
sunxin:北方博业管理员，所有设备均可访问，15级权限
hbts:唐山市行管理员，所有唐山市设备均可访问，15级权限
hbtskp：唐山市行开平区管理员，所以本区域设备均可访问，5级权限
hbtsfn：唐山市行丰南区管理员，所以本区域设备均可访问，5级权限
hbbd:保定市行管理员，所有保定市设备均可访问，15级权限
hbbdmc:保定市行满城区管理员，所有本区域设备均可访问，5级权限
hbbdsp:保定市行顺平县管理员，所有本区域设备均可访问，5级权限
除bfby外，其他用户均不可以访问上级设备和不同地区的设备
所有用户密码均为bfby
建立用户
20
21
22
策略组件
设备过滤器
作用是根据不同权限范围，将所需要管理的设备用一条指令挑选出来，方便策略调用
23
匹配方法多种多样，本例将所有型号的路由器都匹配进去
24
唐山市和保定市使用位置匹配
25
唐山和保定区级分别使用IP地址和设备名匹配
26
27
28
用户级别控制
29
30
31
32
命令控制
33
输入允许的命令点击add添加
34
允许其它命令
35
许可策略
目前所需要的属性组件已全部建立完成，接下来进行核心部分：策略设置
设置策略选择条件，根据需要设置需要匹配的条目
36
条件选择器
37
许可服务
38
建立规则服务，以便被规则调用
39
40
点击完成
是否马上建立选择策略以激活此服务
选择是，也可以以后建立
匹配原则：先匹配设备，匹配上设备后送给服务，服务进行匹配用户，最后根据不同的用户进行授权
41
42
服务选择规则
进入服务选择规则，建立规则
43
建立设备访问规则，按设备优先级进行配置，先匹配上面的，后匹配下面的。
44
保存规则
45
46
继续设置其它匹配规则
由于每个地区只设置了一台路由器，因此这里效果看起来不太明显。感觉有点儿累。
按等级顺序，等级最低的在上，最先被选择。
47
用户认证库
修改服务
修改用户认证数据库为本地用户
保存
48
授权策略
点击Authorization选项
建立一条规则
赋予省行用户15级权限
赋予市行用户15级权限
赋予区域用户5级权限
49
继续建立其它规则
50
客户端配置
配置脚本
所有省行和市行的设备删除区域路由器配置中以下几条
aaa authorization commands 5 vty group tacacs+
aaa accounting commands 5 vty start-stop group tacacs+
authorization commands 5 vty
accounting commands 5 vty
区域路由器配置：
aaa new-model
tacacs-server host 192.168.5.247 key cisco
aaa authentication login noacs line none
aaa authentication login vty group tacacs+
aaa authorization exec vty group tacacs+
aaa authorization commands 0 vty group tacacs+
aaa authorization commands 1 vty group tacacs+
aaa authorization commands 5 vty group tacacs+
aaa authorization commands 15 vty group tacacs+
aaa authorization config-commands
aaa accounting exec vty start-stop group tacacs+
aaa accounting commands 0 vty start-stop group tacacs+
aaa accounting commands 1 vty start-stop group tacacs+
aaa accounting commands 5 vty start-stop group tacacs+
aaa accounting commands 15 vty start-stop group tacacs+
line con 0
logging synchronous
login authentication noacs
line aux 0
login authentication noacs
line vty 0 4
login authentication vty
authorization exec vty
authorization commands 15 vty
accounting exec vty
accounting commands 0 vty
accounting commands 1 vty
accounting commands 5 vty
accounting commands 15 vty
脚本解释
Cisco IOS 权限等级
Cisco IOS 提供了16种权限等级：
0级：最低级别
1级：用户模式可以查看少数命令
2－14级：等同于1级，管理员可以根据需要将15级的部分指令开放给其中某个等级，来区别管理
15级：最高级别，进入enable后默认就是15级
认证
线下保护作用是排除不必要的认证
定义一条不进行认证的策略
aaa authentication login noacs line none
挂在con和aux接口下
line con 0
logging synchronous
login authentication noacs
line aux 0
login authentication noacs
定义服务器
tacacs-server host 192.168.5.247 key cisco
测试
test aaa grout tacacs+ bfby bfby net-code
登录认证策略
aaa authentication login vty group tacacs+
line vty 0 4
login authentication vty
授权
exec级别命令授权
aaa authorization exec vty group tacacs+
line vty 0 4
authorization exec vty
本地命令授权
privilege configure level 5 router
privilege exec level 5 configure terminal
将以下等级命令送到ACS上去授权
aaa authorization commands 0 vty group tacacs+
aaa authorization commands 1 vty group tacacs+
aaa authorization commands 5 vty group tacacs+
aaa authorization commands 15 vty group tacacs+
针对config terminal下的命令集中授权
aaa authorization config-commands
将授权挂到接口上应用
line vty 0 4
authorization commands 15 vty
审计
配置审计
aaa accounting exec vty start-stop group tacacs+
line vty 0 4
accounting exec vty
命令审计
aaa accounting commands 0 vty start-stop group tacacs+
aaa accounting commands 1 vty start-stop group tacacs+
aaa accounting commands 5 vty start-stop group tacacs+
aaa accounting commands 15 vty start-stop group tacacs+
line vty 0 4
accounting commands 0 vty
accounting commands 1 vty
accounting commands 5 vty
accounting commands 15 vty
配置验证
区域路由器登录验证
唐山开平区路由器使用5级用户登录
51
唐山开平区路由器使用市行15级用户登录
52
唐山开平区路由器使用省行15级用户登录
53
省行路由器登录验证
省行路由器，使用唐山区域用户登录
54
省行路由器，使用唐山市用户登录
55
省行路由器，使用sunxin用户登录
56
查看认证日志
57
查看授权日志
58
查看审计日志
59
总结
60
服务选择规则中名字为HeiBei的规则，匹配Tacacs协议，匹配设备过滤器中HeBei策略中被选中的设备（其实就是所有路由器），把它送给BFBY-Tacacs这项服务去处理
61
BFBY-Tacacs这项服务中包括了身份认证和授权服务，但不包括组映射（Windows AD）
62
允许的认证方式为PAP
63
使用内部用户（ACS中的用户）进行认证
64
此服务设置为省行用户专用，因此只有省行用户给予15级权限
65
而满城的服务则给予省行、市行15级权限，区域管理员5级权限
审计：
审计在路由器上配置后，路由器发送给ACS，因此在ACS上无需配置。
具体配置的相关项目为：
66
原文下载http://wenku.baidu.com/view/ecc0f8205ef7ba0d4b733b27
转载于:https://blog.51cto.com/sunx990/1740017
某银行系统ACS认证之TACACS+认证方案相关推荐
- ad证书服务器在ADgroup,ACS 5.x ：根据AD组成员配置示例和Authorization命令的TACACS+认证...
本文提供配置根据用户的AD组成员和Authorization命令示例的TACACS+认证思科安全访问控制系统(ACS) 5.x和以后.ACS使用Microsoft Active Directory ( ...
- Tacacs+认证详细调研
1 .TACACS+概述 1.1 什么是TACACS+ TACACS+(Terminal Access Controller Access Control System,终端访问控制器控制系统协议 ...
- acs cisco 查看log_设备维护中心-基于Cisco Secure ACS的网络设备统一认证及登录日志查询系统...
引言 随着网络的高速发展,用户数量迅猛增加,作为国内最大的固网运营商,中国电信有着大量的设备资源,网络的安全运行显得日益重要.为了保证网络运行的安全,高效地对日益增加的设备进行管理,加强设备管理员的身 ...
- 网络设备的tacacs认证
网络设备的tacacs认证 tacacs是什么 HWTACACS(HW Terminal Access Controller Access Control System,HW终端访问控制器控制系统协议 ...
- 计算机科学与技术专业认证研讨,信息学院召开计算机科学与技术专业IEET认证暨人才培养方案修订研讨会...
5月11日,肇庆学院计算机科学与软件学院院长邵平一行3人莅临信息学院开展IEET工程教育认证工作交流活动.下午3点,在雷阳楼B栋未来教育空间站会议室召开了肇庆学院&岭南师范学院计算机科学与技术 ...
- PASSWORD,ENABLE，CONSOLE,VTY及TACACS认证顺序及区别
交换机的登录,用户名,密码是最基础的问题,然而由于很少有人去关心它,所以用的时候难免手忙脚乱,本文讲述了PASSWORD,ENABLE,CONSOLE,VTY及TACACS认证顺序及区别 我们先做如下 ...
- ACS 中PEAP的认证
ACS 中PEAP的认证 今天终于搞定在ACS server上搭建PEAP的认证了,花费了一段时间啊, 附件:http://down.51cto.com/data/2361571 本文转自 帅枫小明 ...
- 0基础学RS（十）思科AAA认证基于服务器的AAA认证（TACACS+配置，RADIUS配置）
前言 上一篇讲了本地AAA的知识和相关配置,接下来将讲解基于服务器的AAA认证.本地AAA和基于服务器的AAA到底有什么区别呢?他们分别适用于什么什么样的环境? 本地AAA 本地实现的AAA对于非常小 ...
- 申请FSC认证，哪种方案适合你？
[申请FSC认证,哪种方案适合你?] 一.FSC简介 FSC是森林管理委员会(Forest Stewardship Council)的英文缩写,也是目前全球范围内最具有影响力的森林认证体系之一. FS ...
最新文章
- 实验三-密码破解技术
- Centos学习笔记之grep命令
- 安全日志的自动备份方法
- 搭建 Visual Studio 和 Freeglut、GLEW的OpenGL环境
- fastjson 对象和json互转
- android 导入so库
- vb访问mysql容易死机_VB访问MySQL
- Struts2.3接收post方式提交的表单参数的方式
- 1177: 按要求排序(指针专题)_数据结构 8 基础排序算法详解、快速排序的实现、了解分治法...
- 生孩子时，你们公婆给了多少钱？
- mysql读写分离实战
- php后端管,管理后台-后端-PHP篇
- Get https://registry-1.docker.io/v2/library/tomcat/manifests/latest:timeout
- sort-选择排序法
- 美国虚拟主机空间是什么以及具有哪些特点？
- 计算机设置共享文件,电脑设置共享文件夹的方法步骤
- Another Day 超好听的BGM
- 保守的国美再一次进击社交电商，前途未卜？
- 网神为互联网+智慧政务保驾护航
- Bellman-Ford algorithm
热门文章
- pygame飞机大战用精灵组(sprite)的层(layer)编写（二）BOSS登场了
- 【人工智能系列经典图书翻译】可解释机器学习（第二版） 第8章 全局模型无关方法
- 联想、腾讯巨头携手，“极速计划”建立SIoT又一个堡垒？
- 1452: 你家的狗有病吧
- 智力题——有 50 家人家，每家一条狗。
- 凹凸世界服务器维护到几点,凹凸世界手游2021年7月28日版本更新不停服维护公告-凹凸世界手游2021年7月28日更新了什么-Appfound...
- 计算机与法学教育结合,法律实践在网上重现助推法学教育【2】--理论
- EDA（Quartus II）——数控分频器的设计
- echo 和 echo 的区别
- Windows搭建FTP服务器