在CISO（思科）路由器上配置AAA认证
拓扑图
|
Device |
Interface |
IP Address |
Subnet Mask |
|
aaa |
Fa0/0 |
192.168.1.1 |
255.255.255.0 |
|
S0/0/0 |
10.1.1.2 |
255.255.255.252 |
|
|
bbb |
S0/0/0 |
10.1.1.1 |
255.255.255.252 |
|
Fa0/0 |
192.168.2.1 |
255.255.255.0 |
|
|
S0/0/1 |
10.2.2.1 |
255.255.255.252 |
|
|
ccc |
S0/0/1 |
10.2.2.2 |
255.255.255.252 |
|
Fa0/0 |
192.168.3.1 |
255.255.255.0 |
|
|
TACACS Server1 |
NIC |
192.168.2.2 |
255.255.255.0 |
|
RADIUS Server0 |
NIC |
192.168.3.2 |
255.255.255.0 |
|
PC-0 |
NIC |
192.168.1.3 |
255.255.255.0 |
|
PC-1 |
NIC |
192.168.2.3 |
255.255.255.0 |
|
PC-2 |
NIC |
192.168.3.3 |
255.255.255.0 |
<IP地址分配表>
1、AAA配置过程
1）在路由器Router1（aaa）配置本地AAA认证
[更改路由器名字]
Router(config)# hostname aaa
[配置本地用户]
aaa(config)#username aaa password 123456
[在aaa启用AAA并为console登入本地数据库使用默认手段列表配置AAA认证]
aaa(config)# aaa new-model
aaa(config)# aaa authentication login default local
aaa(config)# line console 0
aaa(config-line)# login authentication default
2）在aaa上为VTY接入配置本地AAA认证
[在本地AAA配置一个叫TELNET-LOGIN的命名列表来验证登入]
aaa(config)# aaa authentication login telnet-login local
[配置VTY进而使用确切的AAA验证手段，配置VTY进而使用命名的AAA方法]
aaa(config)# line vty 0 4
aaa(config)# login authentication telnet-login
aaa(config)#end
3）在Router4（bbb）用TACACS+配置基于服务器的AAA认证
[更改路由器名字]
Router(config)# hostname bbb
[配置本地用户]
bbb(config)# username bb password 123456
[在bbb上配置AAA TACACS服务器的IP地址和密钥]
bbb(config)# tacacs-server host 192.168.2.2
bbb(config)# tacacs-server key 123456
[在bbb启用AAA并用AAA TACACS+服务器配置所有的登入，如果不行则使用本地数据库]
bbb(config)# aaa new-model
bbb(config)# aaa authentication login default group tacacs+ local
[为console登入配置AAA认证进而可以用默认的AAA认证手段]
bbb(config)# line console 0
bbb(config)# login authentication default
[tacacs服务器配置如下]
4）在Router2（ccc）上配置基于服务器的AAA认证
[更改路由器名字]
Router(config)# hostname ccc
[创建本地用户]
ccc(config)# username cc password 123456
[在ccc上配置AAA RADIUS服务器的IP和密钥]
ccc(config)# radius-server host 192.168.3.2
ccc(config)# radius-server key 123456
[在ccc上启用AAA并用AAA RADIUS服务器配置所有登入来验证，如不能用，则用本地数据库来陪]
ccc(config)# aaa new-model
ccc(config)# aaa authentication login default group radius local
[为console登入配置AAA认证以使用默认AAA认证手段]
ccc(config)# line console 0
ccc(config)# login authentication default
[RADIUS服务器配置如下]
2、实验验证结果如下
1）保证网络连通
PC0—PC1
PC0—PC2
PC1—PC2
2)验证用户EXEC登入使用本地数据库
3）使用PC0通过Telnet配置，使PC0 PING通R1
4）用AAA TACACS+服务器验证用户EXEC登入
5）用AAA RADIUS服务器验证用户EXEC登入
