HP网络安全教学课件-03AAA-04AAA产品介绍-ACS41

FY13惠普海南人才20000培训项目---网络安全培训课程全力缔造行业领先的IT服务外包学院–AAA产品介绍-ACS4.1©2012Hewlett-PackardDevelopmentCompany,L.P.TheinformationcontainedhereinissubjecttochangewithoutnoticeAAAFY13惠普海南人才20000培训项目全力缔造在市面上，有众多的AAA软件产品，我们需要选择出一个比较普通使用，具有代表性的软件产品作为学习的对象。引入在市面上，有众多的AAA软件产品，我们需要选择出一个比较普通了解ACS产品简介了解ACS软件的部署环境需求掌握ACS界面的基本配置了解ACS软件的基本概念课程目标学习完本课程，您应该能够：了解ACS产品简介课程目标学习完本课程，您应该能够：ACS软件介绍思科安全访问控制服务器（CiscoSecureAccessControlSever）是一个高度可扩展、高性能的访问控制服务器，提供了全面的身份识别网络解决方案，是思科基于身份的网络服务(IBNS)架构的重要组件。CiscoSecureACS通过在一个集中身份识别联网框架中将身份验证、用户或管理员接入及策略控制相结合，强化了接入安全性。这使企业网络能具有更高灵活性和移动性，更为安全且提高用户生产率。CiscoSecureACS支持范围广泛的接入连接类型，包括有线和无线局域网、拨号、宽带、内容、存储、VoIP、防火墙和VPN。CiscoSecureACS是思科网络准入控制的关键组件。适用场合：◆集中控制用户通过有线或者无线连接登录网络◆设置每个网络用户的权限◆记录记帐信息，包括安全审查或者用户记帐◆设置每个配置管理员的访问权限和控制指令◆用于Aironet密钥重设置的虚拟VSA◆安全的服务器权限和加密◆通过动态端口分配简化防火墙接入和控制◆统一的用户AAA服务ACS软件介绍思科安全访问控制服务器（CiscoSCable,DSL总部VPN网关、防火墙VPN无线局域网RADIUS(AAA)SP网关(代理AAA)AS5X00,ISDN远程访问、拨号访问控制Internet扩展认证数据库ACS服务器

判断user的访问控制权限802.1x

交换机TACACS+Telnet管理员访问种类ACS软件介绍适用场合一览Cable,DSL总部VPN网关、防火墙VPN无线局域ACS软件介绍实施使用ACS软件对网络设备的性能影响认证种类平均百分比Authentication,AuthorizationandAdministration9.5%

Anti-virus/MaliciousCode 8.2%

Firewalls （防火墙） 6.9%

VPNs 20.5%

IntrusionProtection （入侵检测） 21.0%ACS软件介绍实施使用ACS软件对网络设备的性能影响认证种类

20,000～80,000用户数量(依赖于服务类型)和每台ACS服务器8,000RADIUS/TACACS+设备

多个ACS服务器可以放置在一个分布的环境中使用:作为其他ACS服务器的代理

数据库复制(冗余)

远程&集中日志管理ACS软件部署的冗余性20,000～80,000用户数量(依赖于服务类型认证技术简介RADIUSandTACACS+详细介绍与命令配置目录认证技术简介目录设备名称IP地址/掩码网关Vlan号ACS-1XXACS-PA.1.115.XACS-2XXACS-BA.1.115.X用途硬件平台操作系统系统补丁备注ACS服务器2*2.8GCPU4G内存73G*4硬盘双网卡windows2000/2003serverSP3以上1．英文版IE6.02．MSjavavirtualmatchine或者SunJavaPlug-in1.4.2_043．Netscape7.1ACS环境准备设备名称IP地址/掩码网关Vlan号ACS-1XXACS-PUserGroup---管理员分类NDG(networkdevicegroup)---设备集合ShellCommandSets---操作权限ACS管理中的三个概念及其关联UserGroup---管理员分类ACS管理中的三个概ACS安全管理中的三个概念及其关联用户组网络设备组Shell命令RORW设备组1设备组2设备组3NDGUserGroupACS安全管理中的三个概念及其关联用户组网络设备组ShellACS软件管理界面ACS软件管理界面用户高级选项设置用户高级选项设置允许运行的命令列表填写描述信息定义的Shell名称Shell命令组设置允许运行的命令列表填写描述信息定义的Shell名称Shell网络设备组设置网络设备组设置用户组设定1控制用户组可以登陆哪些网络设备组

用户组设定1控制用户组可以登陆哪些网络设备组用户组设定2根据不同的设备组分别设定命令权限用户组设定2根据不同的设备组分别设定命令权限用户组设定3设定用户组的enable权限用户组设定3设定用户组的enable权限用户设定1用户设定1用户设定2用户设定2用户设定3用户设定3ACS备份1ACS备份1ACS备份2ACS备份2ACS备份3ACS备份3ACS备份4在备份服务器上的设定ACS备份4在备份服务器上的设定ACS添加外部数据库1ACS添加外部数据库1

添加外部数据库2添加外部数据库2Csutil配置命令Csutil配置命令ACS应急配置1.ACS服务器失效时的应急实施步骤在网络设备中配置AAA管理命令时加入定义“后门”管理员，用于AAA服务器失效时应急措施。当ACS失效时可通过“后门”用户口令登陆网络设备进行应急管理（该用户在ACS有效状态下不能使用）。命令：usernameXXXpasswordXXX此命令必须先于aaa命令设置，如果路由器已经设置好aaa命令，可以在命令行下先输入(config)＃noaaanew-model(config)＃usernameXXXpasswordXXX(config)＃aaanew-modelACS应急配置1.ACS服务器失效时的应急实施步骤在网2.RSA认证服务器失效时的应急步骤

若个别用户使用动态口令不能认证时，可将用户的认证恢复为由CiscoACS服务器静态口令认证。方法如下：登录到ACS服务器，使用IE方式登录到ACS中，将用户信息中“UserSetup”栏的“PasswordAuthentication”修改为“CiscoSecureDatabase”。也可使用命令行操作方式，只建立一行的“用户updateID:CSDB:password”文本文件，利用Csutil文件修改用户信息为ACS认证，待解决动态口令认证问题后，再修改为动态口令认证。ACS应急配置2.RSA认证服务器失效时的应急步骤若个别用户使用动态口本章总结了解ACS产品