CISCO AAA 认证配置

chenjiali

　　三个Security Server Protocols的区别
RADIUS TACACS+   Kerberosdistributed client/server　　AAA system
普通AAA 提供AAA service的secret-key network　　authentication protocol
UDP 1645（认证）　　1646（accounting）
TCP (49)   　　AAA配置五大部分：
1.enableaaa new-model2.security protocol serverradius-server host ...　　tacacs-server host ...
　　相关配置，radius-server key ,timeout 等
3.aaa listaaa authetication ppp/login listname/default ....　　aaa authorication network/exec default ...
　　aaa accouting network default ...
4.aaa list引用line 0-16 /line vty 0 4　　login authentication ...
　　login
　　  
　　int serial 0
　　encap ppp
　　ppp authentication pap/chap/pap chap ...
　　ppp authentication pap/chap/pap chap
　　  
　　  radius-server host
radius-server host {hostname | ip-address} [auth-port port-number] [acct-port port-number] [timeout seconds] [retransmit retries] [key string] [alias {hostname |　　ip address}]
ip-add,key ,udp-port,timeout,retransmit，都是具体UNIX SERVER上的配置,一定要和UNIX SERVER的KEY匹配　　auth-port/acct-port: 是udp port
　　缺省是 authentication port (1645) and accounting port (1646):
　　radius-server key加密
　　radius-server key {0 string | 7 string | string}
　　0表示 不加密
　　7表示 加密
　　定义认证串的时候，不能直接引用radius server,必须group radius 或者group aaa-group-name
　　aaa authentication ppp dialins group radius local
　　aaa authentication login default group radius local
　　RADIUS Server Group Examples
aaa new-model　　aaa authentication ppp default group group1
　　aaa authentication login default group group2
　　!
aaa group server radius group1     (进入（config-sg）#模式)　　server 1.1.1.1 auth-port 1645 acct-port 1646
　　server 2.2.2.2 auth-port 2000 acct-port 2001
　　deadtime 1
　　!
　　aaa group server radius group2
　　server 2.2.2.2 auth-port 2000 acct-port 2001
　　server 3.3.3.3 auth-port 1645 acct-port 1646
　　deadtime 2
　　!
radius-server host 1.1.1.1 auth-port 1645 acct-port 1646　　radius-server host 2.2.2.2 auth-port 2000 acct-port 2001
　　radius-server host 3.3.3.3 auth-port 1645 acct-port 1646
　　aaa group server定义，同时也要有radius-server定义。二者不能混淆。
　　本例中radius-server 2.2.2.2为两个group server服务
　　Authentication define
aaa authentication login default enable 用enable密码作为用户telnet login的密码aaa authentication login default line  　　!
　　line vty 0 4
　　    password 3333
line: 采用line下的password指令的密码aaa authentication enable default group radiusenable 密码在RADIUS上设　　enable的串都是default的
　　（用户输入enable的时候，router发request包
　　到RADIUS server，username是 "$enab15$."）
　　authentication 的Line 引用
Line vty 0 4　　  login authentication list-name
　　  login authentication default
　　  login authentication  
　　  改变aaa认证显示    authentication prompt
aaa new-model　　aaa authentication banner *input your name and pass*
　　aaa authentication fail-message *Failed login. Try again.*
　　aaa authentication login default group radius
将显示如下　　input your name and pass
　　Username:
　　Failed login. Try again
　　aaa authentication password-prompt  text-string   
　　改变输入password的prompt
　　aaa authorization exec default group radius if-authenticated  
　　一旦前面的authenticaion成功，立刻就获得authorization