在Catalyst交换机配置TACACS+、RADIUS和 Kerberos

2019-11-05 01:33:27

字体：大中小

来源：转载

供稿：网友

　　前言
　　Catalyst交换机系列(Catalyst 4000、运行CatcOs)的Catalyst 5000和Catalyst 6000 支持某种认证形式，开始在2.2代码。增进添加了带有最新版本。TACACS+ (TCP端口49，不是XTACACS UDP 端口49)，远程访问拨入用户服务(RADIUS)，或者Kerberos服务器用户设置为验证、授权和记帐(AAA)是相同象为路由器用户。本文包含最小的命令的示例必要启用这些功能。其它选项是可用的在交换机说明文件为版本在考虑中。
　　
　　背景信息
　　由于最新编码版本支持其它选项，您在交换机将需要确定编码版本您通过发出show version命令使用。一旦确定了在交换机使用的编码版本，使用表如下确定什么选项是可用的在您的设备，并且哪些选项您希望配置。
　　
　　一般，总保持在交换机当添加认证和授权时。测试配置在另一个窗口为了避免偶然地锁定。
　　

　　配置步骤
　　步骤A - TACACS+认证
　　带有初期的编码版本，命令不是一样复杂的象在一些最新版本。其它选项在最新版本可能取得到在您的交换机。
　　
　　确定有后门到交换机假如服务器发生故障通过发出以下命令： set authentication login local enable
　　
　　启用TACACS+认证通过发出以下命令： set authentication login tacacs enable
　　
　　定义服务器通过发出以下命令： set tacacs server #.#.#.#
　　
　　定义服务器密钥(这是可选带有TACACS+，因为引起交换机对服务器数据被加密。假如使用，它必须与服务器一致 )通过发出以下命令：设置tacacs要害 your_key
　　
　　步骤B - RADIUS认证
　　带有初期的编码版本，命令不是一样复杂的象在一些最新版本。其它选项在最新版本可能取得到在您的交换机。
　　
　　确定有后门到交换机假如服务器发生故障通过发出以下命令： set authentication login local enable
　　
　　启用RADIUS认证通过发出以下命令： set authentication login radius enable
　　
　　定义服务器。在其他 Cisco设备，默认RADIUS端口是 1645/1646 (authentication/accounting)。
　　
　　在Catalyst，默认端口是1812/1813。假如使用CiscoSecure或与其他Cisco设备联络的一个服务器，使用的端口是1645/1646。发出以下命令定义服务器： set radius server #.#.#.# auth-port 1645 acct-port 1646 PRimary
　　
　　定义服务器密钥。
　　
　　因为引起交换机对服务器密码根据RADIUS 请求注释（RFC），被加密这是必须的。假如使用，它必须与服务器一致。发出以下命令：设置半径要害 your_key
　　
　　步骤C - 本地用户名验证/授权
　　开始在 CATOS版本7.5.1，本地用户认证是可能的(例如，您可能使用在 Catalyst用户名和口令达到验证/授权存储，而不是认证通过一个本地密码)。
　　
　　只有二个权限级别为本地用户认证，0或者15。级别0是无特权的exec级别。第 15级是特许启用级别。
　　
　　通过添加在本例中的以下命令，用户"poweruser"在Telnet在激活模式到达或控制台对交换机和用户"nonenable"在Telnet在EXEC模式或控制台到达到交换机。
　　
　　 set localuser user poweruser passWord powerpass privilege 15
　　set localuser user nonenable password nonenable
　　
　　
　　注重：假如用户"nonenable" 知道　enable password，该用户能继续到激活模式
　　
　　在配置以后，密码被存储加了密。
　　
　　本地用户名认证可以与远程TACACS+ exec 或者命令记帐或者远程RADIUS exec 记帐一道使用。它可能与远程TACACS+ exec或命令授权一道也使用，但不有道理如此执行因为用户名将需要存储两个TACACS+服务器并且本地交换机。
　　
　　步骤D - TACACS+命令授权
　　在我们的示例，我们通知交换机为仅配置命令要求授权使用TACACS+。在TACACS+ 服务器发生故障情形下，认证将是无。这适用于控制台端口和Telnet会话。发出以下命令：
　　
　　set authorization命令 enable config tacacs none both
　　
　　在本例中，您可能配置TACACS+服务器通过设置以下参数答应：
　　
　　command=set
　　 arguments (permit)=port 2/12
　　set port enable 2/12 命令将被发送到TACACS+服务器为验证。
　　
　　注重：由于命令授权被启用，不同于在启用其中没有认为命令的路由器，交换机将字面上发送命令启用到服务器当启用尝试。切记也配置服务器答应命令启用。
　　
　　步骤 E - TACACS+ EXEC授权
　　在我们的示例，我们通知交换机为EXEC 会话要求授权使用TACACS+。在TACACS+服务器发生故障情形下，授权将是无。这适用于控制台端口和Telnet会话。发出以下命令：
　　
　　set authorization exec enable tacacs+ none both
　　
　　除认证请求之外，这导致分开的授权请求对TACACS+服务器从交换机。假如用户配置文件在 TACACS服务器为shell/exec配置，该用户能访问交换机。
　　
　　这防止用户没有在服务器配置的 shell/exec服务(例如点到点(PPP)用户)记录到交换机。他们将收到读EXEC模式授权发生故障的消息。除 permitting/denying EXEC模式之外为用户，用户可以是牵强的到激活模式当进入由有在服务器时15指定的权限级别(你一定运行 Bug ID CSCdr51314是固定的)的代码。
　　
　　Bug Toolkit (注册的用户) -使用此工具搜索根据软件版本、功能集和要害字的已知Bug。
　　
　　步骤 F - RADIUS执行授权
　　没有命令启用RADIUS执行授权。选择是设置服务类型(RADIUS属性6)为Admistrative (即值6) 在RADIUS服务器启动用户到激活模式在RADIUS 服务器。假如服务类型为任何东西设置除6 治理之外(例如，1登录、7 shell或者2构筑的) ，用户将是在交换机EXEC提示，但不是启用提示。
　　
　　步骤G - 记帐 - TACACS+或RADIUS
　　启用TACACS+记帐为：
　　
　　得到交换机提示的用户，发出以下命令： set accounting exec enable start-stop tacacs+
　　
　　远程登录在交换机的外面用户，发出以下命令： set accounting connect enable start-stop tacacs+
　　
　　重新启动交换机，发出以下命令： set accounting system enable start-stop tacacs+
　　
　　执行命令的用户，发出以下命令： set accounting命令 enable all start-stop tacacs+
　　
　　提示到服务器例如，对更新记录一次每分钟表示，用户仍然登录，发出以下命令： set accounting update periodic 1
　　
　　启用RADIUS记帐为：
　　
　　得到交换机提示的用户，发出以下命令： set accounting exec enable start-stop radius
　　
　　远程登录在交换机的外面用户，发出以下命令： set accounting connect enable start-stop radius
　　
　　重新启动交换机，发出以下命令： set accounting system enable start-stop radius
　　
　　提示到服务器例如，对更新记录一次每分钟表示，用户仍然登录，发出以下命令： set accounting update periodic 1
　　
　　TACACS+ 免费软件记录
　　下面是示例记录在服务器如何可能出现：
　　
　　Fri Mar 24 13:22:41 2000 10.31.1.151 pinecone telnet85
　　171.68.118.100 stop task_id=5 start_time=953936729 timezone=UTC
　　service=shell disc-cause=2 elapsed_time=236
　　Fri Mar 24 13:22:50 2000 10.31.1.151 pinecone telnet85
　　171.68.118.100 stop task_id=15 start_time=953936975 timezone=UTC
　　service=shell priv-lvl=0 cmd=enable
　　Fri Mar 24 13:22:54 2000 10.31.1.151 pinecone telnet85
　　171.68.118.100 stop task_id=16 start_time=953936979 timezone=UTC
　　service=shell priv-lvl=15 cmd=write terminal
　　Fri Mar 24 13:22:59 2000 10.31.1.151 pinecone telnet85
　　171.68.118.100 stop task_id=17 start_time=953936984 timezone=UTC
　　service=shell priv-lvl=15 cmd=show version
　　Fri Mar 24 13:23:19 2000 10.31.1.151 pinecone telnet85
　　171.68.118.100 update task_id=14 start_time=953936974 timezone=UTC
　　service=shell
　　
　　RADIUS在UNIX记录输出
　　下面是示例记录在服务器如何可能出现：
　　
　　Client-Id = 10.31.1.151
　　 NAS-Port-Type = 0
　　 User-Name = "login"
　　 Acct-Status-Type = Start
　　 Acct-Authentic = RADIUS
　　 User-Service-Type = 7
　　 Acct-session-Id = "0000002b"
　　 Acct-Delay-Time = 0
　　 Client-Id = 10.31.1.151
　　 NAS-Port-Type = 0
　　 User-Name = "login"
　　 Calling-Station-Id = "171.68.118.100"
　　 Acct-Status-Type = Start
　　 User-Service-Type = Login-User
　　 Acct-Session-Id = "0000002c"
　　 Login-Service = Telnet
　　 Login-Host = 171.68.118.100
　　 Acct-Delay-Time = 0
　　 Client-Id = 10.31.1.151
　　 NAS-Port-Type = 0
　　 User-Name = "login"
　　 Calling-Station-Id = "171.68.118.100"
　　 Acct-Status-Type = Stop
　　 User-Service-Type = Login-User
　　 Acct-Session-Id = "0000002c"
　　 Login-Service = Telnet
　　 Login-Host = 171.68.118.100
　　 Acct-Session-Time = 9
　　 Acct-Delay-Time = 0
　　 Client-Id = 10.31.1.151
　　 NAS-Port-Type = 0
　　 User-Name = "login"
　　 Acct-Status-Type = Stop
　　 Acct-Authentic = RADIUS
　　 User-Service-Type = 7
　　 Acct-Session-Id = "0000002b"
　　 Received unknown attribute 49
　　 Acct-Session-Time = 30
　　 Acct-Delay-Time = 0
　　
　　步骤 H - TACACS+ Enable认证
　　遵从指令如下：
　　
　　切记有后门假如服务器发生故障通过发出以下命令： set authentication enable local enable
　　
　　通知交换机发送可用请求到服务器通过发出以下命令： set authentication enable tacacs enable
　　
　　添加如下命令将导致发送用户名 $enab15$的交换机到RADIUS服务器。不是所有的 RADIUS 服务器支持这种用户名。请参阅步骤E 上面关于将启动个人用户到激活模式的另一个选择(例如，设置服务类型 (RADIUS属性6 -对治理))。
　　
　　确定有后门假如服务器发生故障通过发出以下命令： set authentication enable local enable
　　
　　通知交换机发送可用请求到服务器假如您的RADIUS服务器通过发出以下命令支持 $enab15$ 用户名： set authentication enable radius enable
　　
　　第 I步- RADIUS激活认证
　　添加如下命令将导致发送用户名$enab15$ 的交换机到RADIUS服务器。不是所有的RADIUS 服务器支持这种用户名。请参阅步骤E 上面关于将启动个人用户到激活模式的另一个选择(例如，设置服务类型(RADIUS属性6 -对治理))。
　　
　　确定有后门假如服务器发生故障通过发出以下命令： set authentication enable local enable
　　
　　通知交换机发送可用请求到服务器假如您的RADIUS服务器通过发出以下命令支持 $enab15$ 用户名： set authentication enable radius enable
　　
　　步骤J - TACACS+启用授权
　　当用户设法启用，添加如下命令将导致发送启用的交换机到服务器。服务器需要有答应的使能命令。在以下示例，我们有一个故障切换到无在服务器发生故障的事件：
　　
　　set author enable enable tacacs+ none both
　　
　　步骤 K - Kerberos认证
　　更多信息关于安装Kerberos到交换机在以下文件可以查找：
　　
　　控制和监控对交换机的访问使用验证、授权和记帐
　　
　　密码恢复
　　欲知关于密码恢复程序的更多信息，参见以下文件：
　　
　　密码恢复程序
　　
　　此页是Cisco产品密码恢复程序索引。
　　
　　ip permit命令为附加安全性
　　对于附加安全性，Catalyst可以配置通过ip permit命令控制 Telnet访问：
　　
　　set ip permit enable telnet
　　
　　设置ip permit 范围掩码主机
　　
　　这答应仅范围或主机指定对Telnet到交换机。
　　
　　调试在 Catalyst
　　在启用调试之前在Catalyst，检查服务器日志故障的原因。这是轻易和较不破裂的到交换机。在初期的交换机版本，调试在工程模式执行。访问工程模式执行 debug命令不是必要的在最新编码版本：
　　
　　设置跟踪tacacs半径Kerberos 4
　　
　　注重：　集跟踪 tacacs半径Kerberos 0 命令返回Catalyst到没有跟踪模式。

上一篇：2004年万兆以太网交换机市场调查

下一篇：循序渐进运营商的VoIP向软交换过渡