CISCO AAA 认证配置
三个Security Server Protocols的区别RADIUS TACACS+ Kerberosdistributed client/server AAA system
普通AAA 提供AAA service的secret-key network authentication protocol
UDP 1645（认证） 1646（accounting）
TCP (49) AAA配置五大部分：
1.enableaaa new-model2.security protocol serverradius-server host ... tacacs-server host ...
相关配置，radius-server key ,timeout 等
3.aaa listaaa authetication ppp/login listname/default .... aaa authorication network/exec default ...
aaa accouting network default ...
4.aaa list引用line 0-16 /line vty 0 4 login authentication ...
login
int serial 0
encap ppp
ppp authentication pap/chap/pap chap ...
ppp authentication pap/chap/pap chap
radius-server host
radius-server host {hostname | ip-address}
ip-add,key ,udp-port,timeout,retransmit，都是具体UNIX SERVER上的配置,一定要和UNIX SERVER的KEY匹配 auth-port/acct-port: 是udp port
缺省是 authentication port (1645) and accounting port (1646):
radius-server key加密
radius-server key {0 string | 7 string | string}
0表示 不加密
7表示 加密
定义认证串的时候，不能直接引用radius server,必须group radius 或者group aaa-group-name
aaa authentication ppp dialins group radius local
aaa authentication login default group radius local
RADIUS Server Group Examples
aaa new-model aaa authentication ppp default group group1
aaa authentication login default group group2
!
aaa group server radius group1 (进入（config-sg）#模式) server 1.1.1.1 auth-port 1645 acct-port 1646
server 2.2.2.2 auth-port 2000 acct-port 2001
deadtime 1
!
aaa group server radius group2
server 2.2.2.2 auth-port 2000 acct-port 2001
server 3.3.3.3 auth-port 1645 acct-port 1646
deadtime 2
!
radius-server host 1.1.1.1 auth-port 1645 acct-port 1646 radius-server host 2.2.2.2 auth-port 2000 acct-port 2001
radius-server host 3.3.3.3 auth-port 1645 acct-port 1646
aaa group server定义，同时也要有radius-server定义。二者不能混淆。
本例中radius-server 2.2.2.2为两个group server服务
Authentication define
aaa authentication login default enable 用enable密码作为用户telnet login的密码aaa authentication login default line !
line vty 0 4
password 3333
line: 采用line下的password指令的密码aaa authentication enable default group radiusenable 密码在RADIUS上设 enable的串都是default的
（用户输入enable的时候，router发request包
到RADIUS server，username是 "$enab15$."）
authentication 的Line 引用
Line vty 0 4 login authentication list-name
login authentication default
login authentication
改变aaa认证显示 authentication prompt
aaa new-model aaa authentication banner *input your name and pass*
aaa authentication fail-message *Failed login. Try again.*
aaa authentication login default group radius
将显示如下 input your name and pass
Username:
Failed login. Try again
aaa authentication password-prompttext-string
改变输入password的prompt
aaa authorization exec default group radius if-authenticated
一旦前面的authenticaion成功，立刻就获得authorization
页:
[1]