计算机网络-AAA原理概述

这篇具有很好参考价值的文章主要介绍了计算机网络-AAA原理概述。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

对于任何网络,用户管理都是最基本的安全管理要求之一,在华为设备管理中通过AAA框架进行认证、授权、计费实现安全验证。

一、AAA概述

AAA(Authentication(认证), Authorization(授权), and Accounting(计费))是一种管理框架,它提供了授权部分用户访问指定资源和记录这些用户操作行为的安全机制。因其具有良好的可扩展性,并且容易实现用户信息的集中管理而被广泛使用。AAA可以通过多种协议来实现,在实际应用中,最常使用RADIUS (Remote Authentication Dial-In User Service)协议。

AAA是Authentication(认证)、Authorization(授权)和Accounting(计费)的简称,是网络安全的一种管理机制,提供了认证、授权、计费三种安全功能。 计算机网络-AAA原理概述,程序人生

AAA常见网络架构中包括:

  • 用户,接入用户,需要访问资源的接入者
  • NAS(Network Access Server),网络设备,如果配置了本地认证则网络设备作为认证服务器角色
  • AAA服务器(AAA Server),远程认证服务器,常见如RADIUS服务器 计算机网络-AAA原理概述,程序人生

因为这边没有搭建RADIUS服务器所以我也没有用过这个远程认证,一般用的本地认证。

二、AAA实现

认证、授权、计费每个部分可以独立进行设置。

计算机网络-AAA原理概述,程序人生 AAA支持三种认证方式:

  • 不认证:完全信任用户,不对用户身份进行合法性检查。鉴于安全考虑,这种认证方式很少被采用。
  • 本地认证:将本地用户信息(包括用户名、密码和各种属性)配置在NAS上,此时NAS就是AAA Server。本地认证的优点是处理速度快、运营成本低;缺点是存储信息量受设备硬件条件限制。这种认证方式常用于对用户登录设备进行管理,如Telnet,FTP用户等。
  • 远端认证:将用户信息(包括用户名、密码和各种属性)配置在认证服务器上。支持通过RADIUS协议或HWTACACS协议进行远端认证。NAS作为客户端,与RADIUS服务器或HWTACACS服务器进行通信。

计算机网络-AAA原理概述,程序人生 AAA授权功能赋予用户访问的特定网络或设备的权限。AAA支持以下授权方式:

  • 不授权:不对用户进行授权处理。
  • 本地授权:根据NAS上对应域下的配置进行授权。
  • 远端授权:支持由RADIUS服务器授权或HWTACAS服务器授权。
    • HWTACACS授权,使用HWTACACS服务器对所有用户授权。
    • RADIUS授权,只支持对通过RADIUS服务器认证的用户授权。RADIUS协议的认证和授权是绑定在一起的,不能单独使用RADIUS进行授权。

当采用远端授权时,用户可以同时从授权服务器和NAS获取授权信息。NAS配置的授权信息优先级比授权服务器下发的授权信息低。

计算机网络-AAA原理概述,程序人生 AAA支持以下两种计费方式:

  • 不计费:为用户提供免费上网服务,不产生相关活动日志。
  • 远端计费:支持通过RADIUS服务器或HWTACACS服务器进行远端计费。

认证和授权都有三种形式:不认证、本地认证、远端认证(RADIUS服务器认证),计费一般用得少。

三、RADIUS简介

RADIUS是一种分布式的、客户端/服务器结构的信息交互协议,可以实现对用户的认证、计费和授权功能。

通常由NAS作为RADIUS客户端,负责传输用户信息到指定的RADIUS服务器,然后根据从服务器返回的信息进行相应处理(如接受/拒绝用户接入)。RADIUS服务器一般运行在中心计算机或工作站上,维护相关的用户认证和网络服务访问信息,负责接收用户连接请求并认证用户,然后给客户端返回所有需要的信息(如接受/拒绝认证请求)。RADIUS使用UDP(User Datagram Protocol)作为传输协议,并规定UDP端口1812、1813分别作为认证、计费端口,具有良好的实时性;同时也支持重传机制和备用服务器机制,从而具有较好的可靠性。 计算机网络-AAA原理概述,程序人生

简单来讲就是在服务器区域部署一个认证服务器用于账号与权限管理,在网络设备NAS上配置到认证服务器的地址和端口,当指定用户实现RADIUS时代理认证和请求信息,通过了认证才允许访问资源。

四、AAA的应用场景

常见的有以下应用场景: 计算机网络-AAA原理概述,程序人生

因为没有搭建服务器一般可以使用NAS本地认证就是网络设备作为认证服务器将账号密码和授权配置好即可。

在华为的网络设备上的AAA的配置简介: 计算机网络-AAA原理概述,程序人生 aaa中以域为一个分组,域配置绑定对应的认证、授权、计费模板,模板里面可以设置(不认证、本地认证、远端认证等),然后创建用户关联到指定的域配置模板,用户默认不使用@符号就是关联到系统默认的default域,因此如果需要自定义认证域在创建时必须指定@域名,域名可以自行设置。

系统默认配置如下:

# 默认域default和default_admin,默认认证、授权是本地认证和不认证
aaa 
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default 
 domain default_admin 
 local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
 local-user admin service-type http

五、AAA配置

配置示例:

# 进入AAA视图
[Huawei] aaa

# 创建认证方案
[Huawei-aaa] authentication-scheme authentication-scheme-name 

# 创建认证方案并进入相应的认证方案视图,配置认证方式,local指定认证方式为本地认证。缺省情况下,认证方式为本地认证。
[Huawei-aaa-authentication-scheme-name] authentication-mode { hwtacacs | local | radius }

# 创建domain并绑定认证方案
[Huawei-aaa] domain domain-name

# 在相应的domain视图下绑定认证方案
[Huawei-aaa-domain-name] authentication-scheme authentication-scheme-name 

# 在aaa视图下创建用户,如果用户名中带域名分隔符,如@,则认为@前面的部分是用户名,后面部分是域名如果没有@,则整个字符串为用户名,域为默认域
[Huawei-aaa] local-user user-name  password cipher password

# 配置用户接入类型
[Huawei-aaa] local-user user-name service-type { { terminal | telnet | ftp | ssh | snmp | http } | ppp | none }

# 配置用户级别
[Huawei-aaa] local-user user-name privilege level level

因为没有RADIUS只能测试NAS本地认证实现ssh和telnet实验配置。

5.1 SSH实验配置。 计算机网络-AAA原理概述,程序人生

AR1服务器端:

# 服务器端配置
# 配置接口地址
interface GigabitEthernet0/0/0
 ip address 12.1.1.1 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 192.168.1.254 255.255.255.0 
 
# 开启SSH服务器功能,华为上叫stelnet
stelnet server enable 

# 配置远程VTY的验证方式,因为SSH和telnet通过一个虚拟终端连接到设备,也就是VTY方式因此需要配置VTY验证,配置aaa验证
user-interface vty 0 4
 authentication-mode aaa
 protocol inbound all

# 最后进入aaa视图配置
authentication-scheme test        # 创建一个认证模板,认证方式为local,默认为local
  authentication-mode local
  qu                              # 返回aaa视图 
authorization-scheme test         # 创建一个授权模板,使用本地授权,就是在创建本地用户时候指定授权
  authorization-mode local
  qu                              # 返回aaa视图
accounting-scheme test            # 创建一个计费模板,不计费
  accounting-mode none 
  qu                              # 返回aaa视图
domain test                       # 创建一个域模板,将上面3个模板关联到域模板下
  authentication-scheme test 
  accounting-scheme test
  authorization-scheme test
  qu                              # 返回aaa视图
# 开始创建用户,使用用户名@域名格式创建,服务允许telent ,ssh ,terminal
local-user chuck@test password cipher 123456
 local-user chuck@test privilege level 13
 local-user chuck@test service-type telnet terminal ssh

<AR1> save

AR2通过stelnet登录到服务器。

# 正确配置接口地址
interface GigabitEthernet0/0/0
 ip address 12.1.1.2 255.255.255.0 

# 配置第一次远程认证,这个我理解就是第一次登录需要输入账号密码那个框,需要开启
ssh client first-time enable


# 在用户视图下进行登录
[AR2]stelnet 12.1.1.1
Please input the username:chuck@test
Trying 12.1.1.1 ...
Press CTRL+K to abort
Connected to 12.1.1.1 ...
Enter password:
<AR1>dis users
  User-Intf    Delay    Type   Network Address     AuthenStatus    AuthorcmdFlag
  0   CON 0   00:05:13                                   pass                   
  Username : Unspecified

+ 129 VTY 0   00:00:00  SSH    12.1.1.2                  pass                   
  Username : chuck@test          


<AR1>

# 注意第一次登录会提示y/n看清楚,然后用户名需要带域名的格式
# 通过dis users可以看到当前登录用户信息及登录方式

在服务器端进行AAA认证信息的查看:

[AR1]dis aaa offline-record all 
  -------------------------------------------------------------------
  User name          : chuck@test
  Domain name        : test
  User MAC           : ffff-ffff-ffff
  User access type   : SSH
  User IP address    : 2.1.1.12
  User ID            : 8
  User login time    : 2024/01/17 16:40:32
  User offline time  : 2024/01/17 16:42:26
  User offline reason: user request to offline
  -------------------------------------------------------------------
  Are you sure to display some information?(y/n)[y]:y
  -------------------------------------------------------------------
  User name          : chuck@test
  Domain name        : test
  User MAC           : ffff-ffff-ffff
  User access type   : SSH
  User IP address    : 2.1.1.12
  User ID            : 7
  User login time    : 2024/01/17 15:28:41
  User offline time  : 2024/01/17 15:29:56
  User offline reason: user request to offline
  -------------------------------------------------------------------
  Are you sure to display some information?(y/n)[y]:y

# 查看域模板信息
[AR1]dis domain name test

  Domain-name                     : test                            
  Domain-state                    : Active
  Authentication-scheme-name      : test
  Accounting-scheme-name          : test
  Authorization-scheme-name       : test
  Service-scheme-name             : -
  RADIUS-server-template          : -
  HWTACACS-server-template        : -
  User-group                      : -

暂时只能实现这个了,如果要配置RADIUS需要远程服务器,然后配置服务器地址和端口信息。

总结:AAA是一套认证授权的模板,分为认证、授权、计费,每个功能可以设置不认证、本地认证、远端认证,3个模板可以灵活实现认证功能,简单实验了一下通过AAA实现远程登录验证,今天就先这样了。

对文章感兴趣的欢迎搜索:不喜欢热闹的孩子 计算机网络-AAA原理概述,程序人生

本文由 mdnice 多平台发布文章来源地址https://www.toymoban.com/news/detail-821129.html

到了这里,关于计算机网络-AAA原理概述的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • 【计算机网络】——前言计算机网络发展的历程概述

     ========================================================================= 主页点击直达: 个人主页 我的小仓库: 代码仓库 C语言偷着笑: C语言专栏 数据结构挨打小记: 初阶数据结构专栏 Linux被操作记: Linux专栏 LeetCode刷题掉发记: LeetCode刷题 算法: 算法专栏  C++头疼记: C++专栏 计算

    2024年02月08日
    浏览(51)
  • 概述篇——01 计算机网络概述

    计算机网络主要由一些通用的、可编程的硬件互连而成,通过这些硬件,可以传送不同类型的数据,并且可以支持广泛和日益增长的应用; 计算机网络不只是软件概念,还包含硬件设备; 计算机网络不仅仅是信息通信,还可以支持广泛的应用; 1、层次结构设计的基本原则

    2024年02月01日
    浏览(57)
  • 计算机网络概述(二)

            计算机网络并没有一个统一的定义,不同阶段是有不同的定义。         最简单的定义:计算机网络是一些互联的,自治的计算机集合。互联:指计算机之间可以通过有线或无线的方式进行数据通信;自治指的是独立的计算机,他们有自己的硬件和软件,可以

    2024年02月12日
    浏览(84)
  • 计算机网络概述(三)

    OSI体系结构: 物理层→数据链路层→网络层→运输层→会话层→表示层→应用层 TCP/IP体系结构: 网络接口层→网际层→运输层→应用层 一般用户的设备都有TCP/IP协议用于连接因特网,TCP/IP的网络接口层并没有规定使用哪种网络结构(WIFI,有线宽带等)。 IP层一方面负责互

    2024年02月12日
    浏览(43)
  • 计算机网络概述(一)

              以上是使用有线和无线链路连接的 两个 网络。那么,要让这两个网络连接起来,就需要路由器。若干个网络通过多个路由器互联起来,就称为了互联网。         因特网是当今世界上最大的互联网。连接在因特网上的各种联网设备(手机,电脑)称为主机。路

    2024年02月12日
    浏览(43)
  • 计算机网络概述

    计算机网络 (简称为网络)由若干节点(node评和连接这些节点的链路(link) 组成。网络中的节点可以是计算机、集线器、交换机或路由器等。 网络把许多计算机连接在一起,而互连网则把许多网络通过一些路由器连接在一起。与网络相连的计算机常称为主机。 互联网服务提供

    2024年02月03日
    浏览(41)
  • 计算机网络 概述部分

    目录 计算机网络在信息时代的作用 计算机网络的重要特征 网络,internet,Internet的区别 局域网  广域网的区别 网络协议的分层 连通性:彼此联通,交换信息 共享性:信息共享,软硬件共享 网络:所有计算机连接在一起 internet:强调动作,两个东西连在一起,泛指多个计算机

    2024年02月10日
    浏览(96)
  • 计算机网络重点概念整理-第一章 计算机网络概述【期末复习|考研复习】

    计算机网络复习系列文章传送门: 第一章 计算机网络概述 第二章 物理层 第三章 数据链路层 第四章 网络层 第五章 传输层 第六章 应用层 第七章 网络安全 计算机网络整理-简称缩写 给大家整理了一下计算机网络中的重点概念,以供大家期末复习和考研复习的时候使用。 参

    2024年02月07日
    浏览(57)
  • 【计算机网络】Linux 内核网络概述

    了解 Linux 内核网络架构 通过网络包过滤器或者防火墙获得使用的 IP 数据包(分组)管理技巧 熟悉如何在 Linux 内核级别使用套接字         网络应用程序的开发过去这些年按照指数级增长,这样增加了对系统网络子系统的速度要求和产品化要求。网络子系统不是 Linux 内核必

    2024年02月08日
    浏览(36)
  • 【计算机网络】第一章 概述

    目录 1.1 计算机网络在信息时代中的作用 1.2 互联网概述 1.2.1  网络的网络 1.2.2  互联网基础结构发展的三个阶段 1.2.3  互联网的标准化工作 1.3 互联网的组成 1.3.1  互联网的边缘部分 a. 客户-服务器方式(C/S 方式) b. 对等连接方式(P2P 方式) 1.3.2  互联网的核心部分 a. 电路

    2024年03月22日
    浏览(54)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包