AAA认证设置.docx

1、AAA认证设置AAA认证一、 准备条件1.1 windows 虚拟机一台1.2 路由器一台（我采用的是CISCO3600）1.3 要求windows虚拟机与真机进行连通1.4 拓扑如下二、 基本配置2.1 WinRadius服务器基本配置第一步、登陆windows 虚拟机，配置IP地址为：192.168.1.7第二步、打开“ WinRadius”软件，并解压缩第三步、在解压缩的文件里，打开“”服务，出现如下图所示：“加载账户数据失败”第四步、点击设置数据库出现下图，在点击图中的自动配置ODBC 第五步、根据上图日志提示：重新启动“WinRadius”服务，服务器启动正常第六步、点击设置系统出现

2、下图，确定认证端口：1812，计费端口：1813第七步、点击设置多重密钥出现下图，其中对于IPNAS填写：AAA路由器与交换机的管理地址，采用密钥填写：交换机、路由器与WinRadius服务器之间的认证密钥。在此，我以路由器192.168.1.1，密钥为123 为例。最后点击“添加”。第八步、点击操作添加账号。此处以用户名：wang ，口令为：wang第九步、查看新增加的账号：wang 操作查询查用户信息2.2 路由器基本配置首先、对路由器的接口F0/0配置IP地址并激活该端口Router#sh run inter f0/0Building configuration.Current conf

3、iguration : 96 bytes!interface FastEthernet0/0 ip address 192.168.1.1 255.255.255.0 duplex auto speed autoendRouter#其次、测试路由器与WinRadius服务器之间的网络是否正常通讯Router#ping 192.168.1.7Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.7, timeout is 2 seconds:!Success rate is 100 percent (5

4、/5), round-trip min/avg/max = 4/14/36 msRouter#最后、测试路由器与客户机（telnet该路由器的客户端）能否正常通讯Router#ping 192.168.1.8Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.8, timeout is 2 seconds:!Success rate is 100 percent (5/5), round-trip min/avg/max = 4/12/48 msRouter#三、 AAA认证配置Router(con

5、fig)#aaa new-model （启用AAA认证）Router(config)#username xiong password xiong （创建本地用户与口令）aaa authentication login haha group radius local （先进行radius服务器认证，在radius服务器不可达时，采用本地认证）aaa authentication login hehe none （登陆不进行认证）no radius-server host 192.168.1.7 auth-port 1645 acct-port 1646 （关闭默认的认证、授权端口与审计端口）ra

6、dius-server host 192.168.1.7 auth-port 1812 acct-port 1813 key 123 （改写通用的认证、授权端口与审计端口，同时配置路由器与radius服务器之间的口令123）Router(config)#line vty 0 4Router(config-line)#login authentication haha （当用户telnet该路由器时，调用认证haha进行认证）Router(config-line)#exitRouter(config)#line con 0Router(config-line)#login authenticat

7、ion hehe （当用户con该路由器时，调用认证heh 进行认证）Router(config-line)#end路由器具体配置如下：Router#sh runBuilding configuration.Current configuration : 720 bytes!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname Router!boot-start-markerboot-end-mar

8、ker!aaa new-model!aaa authentication login haha group radius localaaa authentication login hehe none!aaa session-id commonmemory-size iomem 5! ip cef!username xiong password 0 xiong!interface FastEthernet0/0 ip address 192.168.1.1 255.255.255.0 duplex auto speed auto!ip http server!radius-server hos

9、t 192.168.1.7 auth-port 1812 acct-port 1813 key 123!control-plane!line con 0 login authentication heheline aux 0line vty 0 4 login authentication haha!endRouter# Router#sh runBuilding configuration.Current configuration : 720 bytes!version 12.4service timestamps debug datetime msecservice timestamps

10、 log datetime msecno service password-encryption!hostname Router!boot-start-markerboot-end-marker!aaa new-model!aaa authentication login haha group radius localaaa authentication login hehe none!aaa session-id commonmemory-size iomem 5! ip cef!username xiong password 0 xiong!interface FastEthernet0/

11、0 ip address 192.168.1.1 255.255.255.0 duplex auto speed auto!ip http server!radius-server host 192.168.1.7 auth-port 1812 acct-port 1813 key 123!control-plane!line con 0 login authentication heheline aux 0line vty 0 4 login authentication haha!endRouter#四、 测试4.1 用客户机telnet该路由器成功（用radius服务器的用户wang进行

12、验证）同时在WinRadius服务器上查看相应的日志4.2 当WinRadius服务器出现异常，我们在用“wang”登陆时，就失败了，同时，只能采用本地账户“xiong”登陆来进行管理该路由器路由器PING不同WinRadius服务器客户机用wang登陆失败采用本地xiong登陆成功五、 用密文进行认证Router(config)#enable secret 123456用sh run 查看刚配置的口令enable secret 5 $1$cGdg$Um3fHK8td9KRSKAG.5Lst.把上面记录好的密钥口令保存好，同时要记住它所对应的明文口令在路由器上修改与服务器之间的认证：Router(config)#radius-server host 192.168.1.7 auth-port 1812 acct-port 1813 key $1$cGdg$Um3fHK8td9KRSKAG.5Lst.最后，一样正常登陆采用同样的方式对服务器上用户wang的密码进行更换成密文的口令（只要确定在20个字符以内）