AAA原理与配置

news2024/12/23 22:52:37

定义

AAA是Authentication（认证）、Authorization（授权）和Accounting（计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

这三种安全功能的具体作用如下：
•认证：验证用户是否可以获得网络访问权。
•授权：授权用户可以使用哪些服务。
•计费：记录用户使用网络资源的情况。

AAA服务器目前有RADIUS（Remote Authentication Dial In User Service）服务器、HWTACACS（Huawei Terminal Access Controller Access Control System）服务器。

认证

AAA支持以下认证方式：
•不认证：对用户非常信任，不对其进行合法检查，一般情况下不采用这种方式。
•本地认证：将用户信息配置在设备上。本地认证的优点是速度快，可以为运营降低成本，缺点是存储信息量受设备硬件条件限制。
•远端认证：将用户信息配置在认证服务器上。支持通过远程认证拨号用户服务协议RADIUS协议、华为终端访问控制器控制系统协议HWTACACS协议。

授权

AAA支持以下授权方式：
•不授权：不对用户进行授权处理。
•本地授权：根据设备为本地用户账号配置的相关属性进行授权。
•HWTACACS授权：由HWTACACS服务器对用户进行授权。
•RADIUS授权：由RADIUS服务器对用户进行授权。
•if-authenticated授权：适用于用户必须认证且认证过程与授权过程可分离的场景。

计费
AAA支持以下计费方式：
•不计费：不对用户计费。
•远端计费：支持通过RADIUS服务器或HWTACACS服务器进行远端计费。

RADIUS概述

RADIUS是一种分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了基于UDP（User Datagram Protocol）的RADIUS报文格式及其传输机制，并规定UDP端口1812、1813分别作为认证、计费端口。
•RADIUS服务器：一般运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。RADIUS服务器通常要维护三个数据库：
图1 RADIUS服务器的组成
•Users：用于存储用户信息（如用户名、口令以及使用的协议、IP地址等配置信息）。
•Clients：用于存储RADIUS客户端的信息（如接入设备的共享密钥、IP地址等）。
•Dictionary：用于存储RADIUS协议中的属性和属性值含义的信息。

•网络安全
RADIUS客户端和RADIUS服务器之间认证消息的交互是通过共享密钥的参与来完成的，并且共享密钥不能通过网络来传输，增强了信息交互的安全性。另外，为防止用户密码在不安全的网络上传递时被窃取，RADIUS协议利用共享密钥对RADIUS报文中的密码进行了加密。

RADIUS报文格式

在这里插入图片描述
各字段的解释如下：•Code：长度为1个字节，用来说明RADIUS报文的类型。不同RADIUS报文的Code值不相同。例如，Code为1时表示Access-Request报文，Code为2时表示Access-Accept报文。
•Identifier：长度为1个字节，用来匹配请求报文和响应报文，以及检测在一段时间内重发的请求报文。客户端发送请求报文后，服务器返回的响应报文中的Identifier值应与请求报文中的Identifier值相同。
•Length：长度为2个字节，用来指定RADIUS报文的长度。超过Length取值的字节将作为填充字符而忽略。如果接收到的报文的实际长度小于Length的取值，则该报文会被丢弃。
•Authenticator：长度为16个字节，用来验证RADIUS服务器的响应报文，同时还用于用户密码的加密。

•Attribute：不定长度，为报文的内容主体，用来携带专门的认证、授权和计费信息，提供请求和响应报文的配置细节。Attribute可以包括多个属性，每一个属性都采用（Type、Length、Value）三元组的结构来表示，具体请参见RADIUS属性。
•类型（Type），1个字节，取值为1～255，用于表示属性的类型。
•长度（Length），表示该属性（包括类型、长度和属性）的长度，单位为字节。
•属性值（Value），表示该属性的信息，其格式和内容有类型和长度决定，最大长度为253字节。

RADIUS报文示例

下面我们一起来解析一个Access-Request报文，以便更好的理解RADIUS报文各字段的含义。图2-3 RADIUS报文示例
包头部分（包括Code、Identifier、Length和Authenticator字段）：
Code=01，表示该RADIUS报文为Access-Request（认证请求报文）。
Identifier=34，表示该请求报文的标识，对应的回应报文的标识应该和请求报文一致。
Length=00 89，表示该报文的长度为137字节。
Authenticator报文验证字，即为Length字段后的16个字节。
属性部分（包括Type、Length和Value字段）：
第一个属性表示User-name（用户名）为MSI-000009291626104。
Type=01，表示该属性为User-name。
Length=16，表示该属性长度为22字节。
Value=MSI-000009291626104，即为Length字段后的20个字节。
依此类推，第二个属性表示加密后的User-Password（用户密码）。该报文总共携带了8组属性。

RADIUS报文类型

目前RADIUS定义了十六种报文类型。

RADIUS认证报文:

报文名称说明
Access-Request认证请求报文，是RADIUS报文交互过程中的第一个报文，用来携带用户的认证信息（例如：用户名、密码等）。认证请求报文由RADIUS客户端发送给RADIUS服务器，RADIUS服务器根据该报文中携带的用户信息判断是否允许接入。
Access-Accept认证接受报文，是服务器对客户端发送的Access-Request报文的接受响应报文。如果Access-Request报文中的所有属性都可以接受（即认证通过），则发送该类型报文。客户端收到此报文后，认证用户才能认证通过并被赋予相应的权限。
Access-Reject认证拒绝报文，是服务器对客户端的Access-Request报文的拒绝响应报文。如果Access-Request报文中的任何一个属性不可接受（即认证失败），则RADIUS服务器返回Access-Reject报文，用户认证失败。
Access-Challenge认证挑战报文。EAP认证时，RADIUS服务器接收到Access-Request报文中携带的用户名信息后，会随机生成一个MD5挑战字，同时将此挑战字通过Access-Challenge报文发送给客户端。客户端使用该挑战字对用户密码进行加密处理后，将新的用户密码信息通过Access-Request报文发送给RADIUS服务器。RADIUS服务器将收到的已加密的密码信息和本地经过加密运算后的密码信息进行对比，如果相同，则该用户为合法用户。

RADIUS计费报文：

报文名称说明
Accounting-Request(Start)计费开始请求报文。如果客户端使用RADIUS模式进行计费，客户端会在用户开始访问网络资源时，向服务器发送计费开始请求报文。
Accounting-Response(Start)计费开始响应报文。服务器接收并成功记录计费开始请求报文后，需要回应一个计费开始响应报文。
Accounting-Request(Interim-update)实时计费请求报文。为避免计费服务器无法收到计费停止请求报文而继续对该用户计费，可以在客户端上配置实时计费功能。客户端定时向服务器发送实时计费报文，减少计费误差。
Accounting-Response(Interim-update)实时计费响应报文。服务器接收并成功记录实时计费请求报文后，需要回应一个实时计费响应报文。
Accounting-Request(Stop)计费结束请求报文。当用户断开连接时（连接也可以由接入服务器断开），客户端向服务器发送计费结束请求报文，其中包括用户上网所使用的网络资源的统计信息（上网时长、进/出的字节数等），请求服务器停止计费。
Accounting-Response(Stop)计费结束响应报文。服务器接收计费停止请求报文后，需要回应一个计费停止响应报文。

RADIUS授权报文：

报文名称说明
CoA-Request动态授权请求报文。当管理员需要更改某个在线用户的权限时（例如，管理员不希望用户访问某个网站），可以通过服务器发送一个动态授权请求报文给客户端，使客户端修改在线用户的权限。
CoA-ACK动态授权请求接受报文。如果客户端成功更改了用户的权限，则客户端回应动态授权请求接受报文给服务器。
CoA-NAK动态授权请求拒绝报文。如果客户端未成功更改用户的权限，则客户端回应动态授权请求拒绝报文给服务器。
DM-Request用户离线请求报文。当管理员需要让某个在线的用户下线时，可以通过服务器发送一个用户离线请求报文给客户端，使客户端终结用户的连接。
DM-ACK用户离线请求接受报文。如果客户端已经切断了用户的连接，则客户端回应用户离线请求接受报文给服务器。
DM-NAK用户离线请求拒绝报文。如果客户端无法切断用户的连接，则客户端回应用户离线请求拒绝报文给服务器。
  • CoA:（Change of Authorization）是指用户认证成功后，管理员可以通过RADIUS协议来修改在线用户的权限。
  • DM:（Disconnect Message）是指用户离线报文，即由RADIUS服务器端主动发起的强迫用户下线的报文。

RADIUS认证、授权和计费

接入设备作为RADIUS客户端，负责收集用户信息（例如：用户名、密码等），并将这些信息发送到RADIUS服务器。RADIUS服务器则根据这些信息完成用户身份认证以及认证通过后的用户授权和计费。用户、RADIUS客户端和RADIUS服务器之间的交互流程如下图所示。
在这里插入图片描述CoA

CoA（Change of Authorization）是指用户认证成功后，管理员可以通过RADIUS协议来修改在线用户的权限。例如，通过CoA为用户下发VLAN，可以保证某一部分的员工无论从哪个设备端口接入网络，均属于同一个VLAN。CoA的报文交互流程如下图所示。
在这里插入图片描述
DM（Disconnect Message）是指用户离线报文，即由RADIUS服务器端主动发起的强迫用户下线的报文。DM的报文交互流程如下图所示。
在这里插入图片描述

HWTACACS概述

华为终端访问控制器控制系统协议HWTACACS是在TACACS（RFC 1492）基础上进行了功能增强的安全协议。该协议与RADIUS协议类似，采用客户端/服务器模式实现NAS与HWTACACS服务器之间的通信。

HWTACACS协议与RADIUS协议都实现了认证、授权、计费的功能，它们有很多相似点：
•结构上都采用客户端/服务器模式。
•都使用公共密钥对传输的用户信息进行加密。
•都有较好的灵活性和可扩展性。

与RADIUS相比，HWTACACS具有更加可靠的传输和加密特性，更加适合于安全控制。HWTACACS协议与RADIUS协议的主要区别如下表所示。
在这里插入图片描述

TACACS、TACACS+和HWTACACS的关系

终端访问控制器控制系统TACACS（Terminal Access Controller Access-Control System），是一种起源于二十世纪八十年代的AAA（认证、授权、计费）协议，用于与UNIX网络中的身份验证服务器进行通信、决定用户是否有权限访问网络。在之后的发展中，各厂商在TACACS协议的基础上进行了扩展，例如思科公司开发的TACACS+和华为公司开发的HWTACACS。TACACS+和HWTACACS均为私有协议，在发展过程中逐步替代了原来的TACACS协议，并且不再兼容TACACS协议。

对比HWTACACS和TACACS+HWTACACS协议可以兼容TACACS+协议，S系列交换机作为接入设备可以与TACACS+服务器对接实现AAA功能。

HWTACACS协议与TACACS+协议定义的报文结构和报文类型一致。两种协议的主要区别在于授权和计费报文中携带的属性含义或类型不完全一致。例如，华为S系列交换机对接TACACS+服务器对Telnet用户认证时，基本的认证功能、授权用户级别功能、命令行授权功能等都能正常实现，如有其它额外需求，可分别查询HWTACACS属性信息和TACACS+属性信息，两者都支持时，需求就能正常实现。

HWTACACS报文介绍

HWTACACS报文与RADIUS报文的格式不同。所有RADIUS报文均采用相同的报文格式，而HWTACACS的报文除了具有相同的报文头之外，认证、授权和计费报文的格式均不同。

报文介绍：https://support.huawei.com/enterprise/zh/doc/EDOC1000178159/1f37e1fe

HWTACACS认证、授权、计费流程

下面以Telnet用户为例，说明使用HWTACACS对用户进行认证、授权和计费的过程。基本消息交互流程图如下图所示。
图1 HWTACACS的基本消息交互流程图

配置

配置基于默认域的用户管理示例

在这里插入图片描述
组网需求:
企业用户通过Switch接入网络，用户名不带任何域名。

企业希望普通用户需要经过RADIUS认证后才能接入网络，并获取对应权限，管理用户需要经过Switch的本地认证后才能登录设备进行管理。

Switch的配置文件
#
sysname Switch
#
vlan batch 10 to 11
#
telnet server enable
#
authentication-profile name p1
 dot1x-access-profile d1
 authentication mode multi-authen max-user 100
#
radius-server template rd1
 radius-server shared-key cipher %^%#Q75cNQ6IF(e#L4WMxP~%^7'u17,]D87GO{"[o]`D%^%#
 radius-server authentication 192.168.2.30 1812 weight 80
 radius-server accounting 192.168.2.30 1813 weight 80
 radius-server retransmit 2
#
aaa
 authentication-scheme abc
  authentication-mode radius
 authentication-scheme auth
 authorization-scheme autho
 accounting-scheme abc
  accounting-mode radius
 domain default
  authentication-scheme abc
  accounting-scheme abc
  radius-server rd1
 domain default_admin
  authentication-scheme auth
  authorization-scheme autho
 local-user test password irreversible-cipher $1a$|^<)!}4$IN$9BrKBRY#L:pEc{P#HQ=OI#p["6tY%94gGg2#@FzP$
 local-user test privilege level 3
 local-user test service-type telnet
#
interface Vlanif11
 ip address 192.168.2.29 255.255.255.0
#
interface GigabitEthernet1/0/1
 port link-type access
 port default vlan 10
 authentication-profile p1
# 
interface GigabitEthernet1/0/2
 port link-type access
 port default vlan 11
#
user-interface vty 0 14
 authentication-mode aaa
 protocol inbound telnet    
# 
dot1x-access-profile name d1
#  
return

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2103841.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Java如何计算一个数的阶乘末尾有多少个零？

Java如何计算一个数的阶乘末尾有多少个零？

文章有点长&#xff0c;请耐心看完~~~ 这个问题涉及到阶乘&#xff08;factorial&#xff09;的一个有趣特性&#xff0c;即阶乘结果末尾零的数量。要理解这一点&#xff0c;我们首先要知道什么情况下一个数的末尾会产生零。 什么情况下一个数的末尾会产生零 在十进制数制中…
阅读更多...
代码随想录训练营day35|46. 携带研究材料，416. 分割等和子集

代码随想录训练营day35|46. 携带研究材料，416. 分割等和子集

46. 携带研究材料 思路&#xff1a;用一个数组来记录&#xff1f;dp[i]带i件物品的最大价值 好吧&#xff0c;这里用的是一个二维数组dp[i][j]&#xff0c;表示从[0&#xff0c;i]的物间任选武平&#xff0c;能用容量为j的背包装下的最大价值 重量 价值 物品0 1 15 物品1 3 2…
阅读更多...
AI绘画|Stable Diffusion高质量提示词收集（附提示词手册以及提示词插件）

AI绘画|Stable Diffusion高质量提示词收集（附提示词手册以及提示词插件）

使用平台:comfyui 模型:AlbedoBase-XL 图片尺寸:768x1280 提示词万字手册&#xff0c;可以扫描下方&#xff0c;免费获取 图1 提示词 an attractive rough cyborg woman with a serious look in her eyes, messy conceptual felt-tip pen (drawing:1.3) by (Yoji Shinkawa:…
阅读更多...
“三年级英语”暴增5亿搜索量？需求来了！附2个极品AI吸粉玩法！

“三年级英语”暴增5亿搜索量？需求来了！附2个极品AI吸粉玩法！

家人们&#xff01;在英语细分领域&#xff0c;一直都是付费知识中的风口黄金大赛道。 而这两天“英语”这个关键词&#xff0c;在微信指数上的日搜索量突然猛增到5个亿。 这两天全网热词“三年级英语”&#xff0c;日环比搜索指数更是486.2%增长率&#xff0c;一天时间内就增…
阅读更多...
vsftpd的安装和配置

vsftpd的安装和配置

目录 vsftpd的下载与配置 下载vsftpd vsftpd的配置 测试服务的功能 vsftpd的下载与配置 下载vsftpd rpm -qc vsftpd&#xff0c;检查vsftpd安装包是否存在&#xff0c;存在则不需要安装。 yum install -y vsftpd&#xff0c;不存在则yum安装vsftpd。 安装成功 vsftpd的…
阅读更多...
早上醒来嗓子干、喉咙痛、咳嗽……快用这个润养好物，给嗓子做个spa，让身体润起来~

早上醒来嗓子干、喉咙痛、咳嗽……快用这个润养好物，给嗓子做个spa，让身体润起来~

进入秋季&#xff0c;很多人出现了眼睛干涩、大便干燥、嘴唇干裂、咽喉疼痛等症状&#xff0c;虽说这些还能够忍受&#xff0c;但它却影响了正常的饮食和休息。 秋季气候干燥&#xff0c;外界燥邪侵犯肺部&#xff0c;易伤津液&#xff0c;肺失滋润&#xff0c;清肃失司&#x…
阅读更多...
宣布 Vue 3.5 版发布

宣布 Vue 3.5 版发布

宣布 Vue 3.5 版发布 今天我们很高兴地宣布 Vue 3.5 版“天元突破红莲螺岩”正式发布&#xff01; 这一小版本发布没有破坏性更改&#xff0c;包括内部改进和一些有用的新特性。我们将在这篇博客中介绍一些亮点 - 详细的更改和新特性请查阅 GitHub 上的完整变更日志。 响应式…
阅读更多...
单片机上搭配的SPI NOR FLASH容量告急！扩容新选择

单片机上搭配的SPI NOR FLASH容量告急！扩容新选择

文章目录 前言&#xff1a;正文&#xff1a; 为便于理解并省去容量单位转换的麻烦&#xff0c;以下容量单位均使用Byte单位&#xff08;128Mbit16MByte&#xff09; 前言&#xff1a; NOR FLASH 是市场上两种主要的非易失闪存技术之一。Intel于1988年首先开发出NOR Flash 技术…
阅读更多...
代码审计总结

代码审计总结

代码审计总结 概述 一、代码审计 1.1什么是代码审计&#xff1f; 1.2为什么要执行代码审核&#xff1f; 1.3代码审计的好处 二、代码审计流程 2.1代码检查方法 2.2代码检查项目 2.3编码规范 2.4代码检查规范 2.5缺陷检查表 2.6代码审计复查 2.7代码审计结果总结 三…
阅读更多...
由一个 SwiftData “诡异”运行时崩溃而引发的钩深索隐（一）

由一个 SwiftData “诡异”运行时崩溃而引发的钩深索隐（一）

概述 从 WWDC 23 开始&#xff0c;苹果推出了全新的数据库框架 SwiftData。它借助于 Swift 语言简洁而富有表现力的特点&#xff0c;抛弃了以往数据库所有的额外配置文件&#xff0c;只靠纯代码描述就可以干脆利索的让数据库的创建和增删改查&#xff08;CRUD&#xff09;一气…
阅读更多...
10分钟了解OPPO中间件容器化实践

10分钟了解OPPO中间件容器化实践

背景 OPPO是一家全球化的科技公司&#xff0c;随着公司的快速发展&#xff0c;业务方向越来越多&#xff0c;对中间件的依赖也越来越紧密&#xff0c;中间件的集群的数量成倍数增长&#xff0c;在中间件的部署&#xff0c;使用&#xff0c;以及运维出现各种问题。 1.中间件与业…
阅读更多...
CAD图纸防泄密有哪些方法？五个防泄密方法分享

CAD图纸防泄密有哪些方法？五个防泄密方法分享

CAD图纸作为工程设计的重要资料&#xff0c;其防泄密工作至关重要。以下将分享五个有效的CAD图纸防泄密方法&#xff0c;旨在确保图纸的安全性和机密性。 1. 使用CAD软件自带的加密功能 大多数CAD软件&#xff0c;如AutoCAD&#xff0c;都内置了加密功能。在保存CAD图纸时&am…
阅读更多...
MySQL主从复制(Linux篇)

MySQL主从复制(Linux篇)

1.概述 MySQL的主从复制&#xff08;Master-Slave Replication&#xff09;是一种数据复制解决方案&#xff0c;将主数据库的DDL和DML操作通过二进制日志传到从库服务器中&#xff0c;然后在从库上对这些日志重新执行&#xff08;也叫重做&#xff09;&#xff0c;从而是的从库…
阅读更多...
MES系统：现代工厂生产车间的科技与管理创新

MES系统：现代工厂生产车间的科技与管理创新

一、现代工厂生产车间&#xff1a;高度集成、自动化与智能化 在当今这个日新月异的工业时代&#xff0c;工厂生产车间已经远远超越了传统意义上的简单生产线概念&#xff0c;它们正逐步演变为一个高度集成、自动化与智能化的生态系统。这一变革不仅极大地提升了生产效率&#…
阅读更多...
实战项目：俄罗斯方块（七）

实战项目：俄罗斯方块（七）

文章目录 &#x1f34a;自我介绍&#x1f34a;图形存储及输出设置类型设计图形输出代码设计要实现的结果展示user_global.c(全局变量的C文件)user_print.huser_print.cmain.c 你的点赞评论就是对博主最大的鼓励 当然喜欢的小伙伴可以&#xff1a;点赞关注评论收藏&#xff08;一…
阅读更多...
股指期货与股指期权为什么是熊市中的风险管理利器？

股指期货与股指期权为什么是熊市中的风险管理利器？

在如今波动剧烈的熊市环境中&#xff0c;期货市场的多空双边机制和T0的交易制度显得尤为灵活和必要。对于投资者而言&#xff0c;利用期货市场对冲股票现货风险成为了一种重要的策略。在期货市场中&#xff0c;股指期货、股指期权以及股票期权是三大得力工具&#xff0c;它们为…
阅读更多...
Windows下安装ELK8(elasticsearch、logstash、kibana)及相关工具插件

Windows下安装ELK8(elasticsearch、logstash、kibana)及相关工具插件

目录 概述 ELK简介 安装elasticsearch 下载elasticsearch 解压 配置不用登录及关闭SSL 启动elasticsearch 访问elasticsearch 安装elasticsearch-head 提前准备node.js 下载elasticsearch-head 解压 浏览器打开index.html 安装kibana 下载kibana 解压 运行kib…
阅读更多...
渠道招商经理岗位职责和任职要求？

渠道招商经理岗位职责和任职要求？

渠道经理&#xff0c;作为企业与投资者之间的沟通桥梁&#xff0c;角色是非常重要。 作为一名手工酸奶品牌的创始人&#xff0c;我一直扮演渠道招商经理的角色&#xff0c;我来为大家分享职责和任职要求&#xff01; 一、渠道经理的职责&#xff01; 1、渠道开发 负责公司渠…
阅读更多...
Vue3+TypeScript+Vite集成mars3d.layer.WeiVectorTileLayer加载本地shp文件

Vue3+TypeScript+Vite集成mars3d.layer.WeiVectorTileLayer加载本地shp文件

前景提要&#xff0c;在新建的vite项目中&#xff0c;想要实现mars3d的矢量瓦片方式加载geojson数据。加载本地shp文件。 代码说明&#xff1a; 1.在项目中集成mars3d后&#xff0c;构造map后开始在map上增加读取数据的操作&#xff1a; mars3d.Util.fetchJson({ url: "…
阅读更多...
Git学习尚硅谷(003 git分支操作)

Git学习尚硅谷(003 git分支操作)

尚硅谷Git入门到精通全套教程&#xff08;涵盖GitHub\Gitee码云\GitLab&#xff09; 总时长 4:52:00 共45P 此文章包含第15p-第p18的内容 文章目录 git分支操作分支介绍分支的好处 分支的操作查看分支创建分支切换分支&修改分支合并分支正常合并分支冲突合并 git分支操作…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023