203实验指导(AAA-Auth_Proxy).doc

目的：限制内部用户上internet，内部用户要进行认证才能上internet（仅http流量）auth-proxy只能使用tacas！配置主要在R1上进行：1、解放console、vty口aaa new-modelaaa authentication login NOAUTH noneline con 0 login authentication NOAUTHline vty 0 15 login authentication NOAUTH2、配置authenaaa group server tacacs+ TACACS1 server 50aaa authentication login default group TACACS1 /注意只能是defaultaaa authorization auth-proxy default group TACACS1 在AAA服务器上创建用户user2，并在R1上进行测试：R1#test aaa group tacacs+ user2 cisco new-code Trying to authenticate with Servergroup tacacs+Sending passwordUser successfully authenticated3、配置ACL，注意要使得R1和AAA服务器之间能够通信。access-list 110 permit tcp host 50 eq tacacs host 0access-list 110 deny ip any anyinterface Ethernet2/2 ip access-group 110 in注意：由于auth-proxy是在acl之前进行工作的，所以http流量不需要先放行！4、启用http服务ip http serverip http access-class 99ip http authentication aaaip http secure-serveraccess-list 99 deny any /任何计算机不能通过http网管R15、配置ip auth-proxyip auth-proxy name TO-INTERNET-HTTP http/对http流量进行认证R1(config)#ip auth-proxy ? absolute-timer Absolute Timeout in min auth-cache-time Alias of inactivity-timer auth-proxy-audit Authentication Proxy Auditing auth-proxy-banner Authentication Proxy Banner inactivity-timer Inactivity Timeout in min max-login-attempts Max Login attempts per user watch-list Watch-list/如果有必要可以配置auth-proxy的一些参数！ip auth-proxy auth-proxy-banner http CWelcome httpCip auth-proxy auth-proxy-banner telnet CWelcome telnetC/以上配置一些提示interface Ethernet2/2 ip auth-proxy TO-INTERNET-HTTP在接口上应用，auth-proxy是没有方向的。6、配置用户：在AAA服务器上先配置interface configureTACACS+ (Cisco)配置用户的属性（也可以配置用户所在组的属性）注意：列表的写法，源地址一定为anypriv-lvl=15必须一字不差。7、测试输入用户名和密码！在R1路由器上，可以看到e2/2的接口上的ACL，动态添加了列表。Extended IP access list 110 permit tcp host 50 any eq www (6 matches) /50替换了第一个any！ 10 permit tcp host 50 eq tacacs host 0 (45