सिस्को आका + tac_plus (tacacs +) को कॉन्फ़िगर करना

जब सिस्को + tac_plus बंडल को लागू करने के एक उदाहरण के बारे में एक लेख लिखने का विचार अनायास आया, जब tac_plus config को देखते हुए, मुझे एहसास हुआ कि मुझे अब याद नहीं है कि क्या है, और सबसे महत्वपूर्ण बात यह है कि, मैंने कई साल पहले लिखा था। संचित अनुभव को जोड़ने के लिए, शंकु से भरा, रातों की नींद हराम करना और एक प्रकार का मिनी-हॉटो में शर्मनाक नृत्य, जिसे एक कामकाजी निर्देश में संशोधित किया जा सकता है, जिसे पढ़ना एक नए कर्मचारी के लिए अनिवार्य है, और किसी और के लिए उपयोगी हो सकता है (मेरी राय में, आप वर्णित रेक पर व्यवहारिक रूप से कदम रख सकते हैं) रुचि, या एक गहरी अवसाद में होने / मर्दाना के हमले)। खैर, इंटरनेट के रूसी-भाषा के भाग में लेखों की संख्या में विविधता लाने के लिए। लेकिन सबसे महत्वपूर्ण बात यह समझना है कि चुने हुए दिशा की ओर जाता है / एक मृत अंत नहीं करता है, या सम्मानित समुदाय अन्य समाधान सुझा सकता है और उन्हें अपने स्वयं के उदाहरणों के साथ सुदृढ़ कर सकता है।

यह सामग्री टैक्सेस + प्रोटोकॉल की पूरी समीक्षा होने का दावा नहीं करती है (इस लेख में यह बिल्कुल नहीं माना जाता है, लेकिन विशेष रूप से शोषित है) और एए-नए मॉडल को कॉन्फ़िगर करने का एकमात्र सही तरीका है, जो उन लोगों के लिए डिज़ाइन किया गया है जिनके पास सिस्को आईओएस उपकरणों को कॉन्फ़िगर करने और संचालन करने का अनुभव है।

कान में विचार

जब नेटवर्क उपकरणों के बेड़े को इकाइयों में गिना जाता है, तब भी प्रशासकों / उपयोगकर्ताओं / लेखा परीक्षकों के स्थानीय डेटाबेस को बनाए रखना संभव होता है, जिसमें व्यक्तिगत दृश्य सूचियों की स्थापना और प्रत्येक विशेषाधिकार स्तर के लिए आदेशों का एक सेट निर्दिष्ट किया जाता है। जब उनकी संख्या कुछ दर्जन तक पहुंच जाती है - थका देने वाला, सौ से अधिक गुजर जाता है ... इसे हल्के से असहज करने के लिए। Csico ios उपकरणों में, आआ (प्रमाणीकरण, प्राधिकरण और लेखा) का कार्यान्वयन स्थानीय उपयोगकर्ता डेटाबेस का उपयोग करके या त्रिज्या या टैकस + प्रोटोकॉल का उपयोग करके संभव है, जो संभावनाओं को बहुत विस्तार देता है। त्रिज्या प्रोटोकॉल सर्वर के बहुत सारे सॉफ्टवेयर कार्यान्वयन हैं, क्योंकि प्रोटोकॉल स्वयं ही खुला है। Tacacs + के साथ, स्थिति अलग है - यह सिस्को tacacs प्रोटोकॉल का एक मालिकाना कार्यान्वयन है, लेकिन (और यह एक असाधारण मामला है!) इसके स्रोत आधिकारिक रूप से उपलब्ध हैं, जिसका उल्लेख हब पर किया गया था। स्वाभाविक रूप से, सिस्को से समाधान का ध्यान रखना आवश्यक है - एसीएस , लेकिन इस अद्भुत की लागत, लेकिन सभी पक्षों से बहुत मुक्त उत्पाद ने अधिकारियों को इसे खरीदने की अनुमति नहीं दी। नतीजतन, मुझे त्रिज्या और टैक्सेस +: फ्रीरेडियस और टैकप्लस के "मुक्त" कार्यान्वयन से चुनना था (पोर्ट फ्रीबेस में हैं, विंडोज़ के लिए एक संस्करण है, स्रोत से आप आवश्यक प्लेटफॉर्म के लिए संकलन कर सकते हैं)। सभी को Freeradius (विशेष रूप से प्रमाणीकरण गति पसंद है, आखिरकार, tcp microsecond देरी का परिचय देता है, जो कि udp परिवहन के विपरीत रिमोट डिवाइस पर अधिक ध्यान देने योग्य हो जाता है, या क्या मैं अशुभ था?) खासकर जब से यह पहले से ही कंपनी द्वारा उपयोग किया गया था, लेकिन यह स्पष्ट रूप से पसंद नहीं किया गया था। SB, चूंकि यह उस समय सक्षम नहीं था (मुझे नहीं पता कि अब कैसे) इनपुट कमांड्स का लेखा-जोखा प्राप्त करना है, इसने कमांड ऑथराइजेशन को पूर्ण रूप से ( Rel1cto के लिए धन्यवाद) और एक पैकेट में एन्क्रिप्टेड डेटा का समर्थन नहीं किया, लेकिन SB के लिए ये बिंदु महत्वपूर्ण हैं। और मेरे सभी प्रयासों को लेखांकन को बस एक syslog सर्वर पर विलय करने के लिए (क्योंकि सिस्को ऐसा कर सकते हैं बिना किसी एएए कार्यक्षमता के) बॉस द्वारा निपटाया गया था: "निज्या!"

नतीजतन, प्रमाणीकरण के कार्य (यह निर्धारित करना कि उपयोगकर्ता वास्तव में वह कौन है जो वह होने का दावा करता है), प्राधिकरण (क्या यह उपयोगकर्ता इस कमांड को निष्पादित कर सकता है) और नेटवर्क उपकरणों पर लेखांकन (सभी महत्वपूर्ण उपयोगकर्ता कार्यों को रिकॉर्ड किया गया) tac_plus को सौंपा गया था।

आगे, मैं टिप्पणियों के साथ आआ स्थापित करने के लिए कई कमांड दूंगा (मैं किसी भी तरह से आपकी रिहाई के लिए कमांड संदर्भ के साथ प्रतिस्पर्धा करने की कोशिश नहीं करूंगा, इसलिए, विसंगति के मामले में, सख्ती से न्याय न करें, लेकिन स्रोत का संदर्भ लें)

---

लेख पढ़ने वाले व्यक्तियों के कार्यों के परिणामों के लिए लेखक जिम्मेदार नहीं है। उपकरण चलाते समय कॉन्फ़िगरेशन परिवर्तन करते समय, सुरक्षा सावधानियों का पालन करें (एक विकल्प के रूप में विलंबित लोड का उपयोग करें)।

---

Tac_plus.conf कॉन्फ़िगरेशन उदाहरण

# ENCYPTION KEY accounting file = /var/log/tac_plus.acct key = VeryLongANDSecureKey # Groups group = admin { default service = permit service = exec { priv-lvl = 15 } } group = service { default service = deny service = exec { priv-lvl = 15 } } # Users user = art0m { member = admin login = des S451H82iNlwqQ } user = auditor { member = admin cmd = configure { deny .* } cmd = enable { deny .* } cmd = clear { deny .* } cmd = reload { deny .* } cmd = write { deny .* } cmd = copy { deny .* } cmd = erase { deny .* } cmd = delete { deny .* } cmd = archive { deny .* } login = cleartext secret } user = event_manager { member = service cmd = clear { permit .* } cmd = tclsh { permit .* } cmd = squeeze { permit .* } cmd = event { permit .* } cmd = more { permit .* } cmd = show { permit version } cmd = delete { permit .* } cmd = "delete /force" { permit .* } cmd = "enable" { permit .* } login = des nUKsTKiXQ7G16 } 

कॉन्फ़िगरेशन उदाहरण में, दो समूह बनाए जाते हैं: व्यवस्थापक और सेवा। डिफ़ॉल्ट नीति में मुख्य अंतर। परमिट का मतलब है कि उपयोगकर्ता को अपने विशेषाधिकार स्तर के सभी आदेशों की अनुमति दी जाएगी जब तक कि आदेश स्पष्ट रूप से निषिद्ध नहीं है, और तदनुसार, सभी आदेशों पर निषिद्ध है, जब तक कि अन्यथा निर्दिष्ट न हो। यह आदेशों का उपयोग करने के लिए अनुमतियों के बहुत लचीले कॉन्फ़िगरेशन की अनुमति देता है। इस उदाहरण में, उपयोगकर्ता ऑडिटर है। इस तथ्य के बावजूद कि उनके पास विशेषाधिकार स्तर 15 है, उन्हें स्पष्ट रूप से विनाशकारी आदेशों को निष्पादित करने के लिए मना किया गया है। उन्हें दर्ज करने के सभी प्रयासों के लिए, वह उदाहरण के लिए, प्राप्त करेंगे:

 #delete flash:*.* Command authorization failed. 

एक अन्य उपयोग मामला event_manager उपयोगकर्ता है। Ios में एक अंतर्निहित तंत्र है जो आपको कुछ कार्यों को करने, परिवर्तनों का जवाब देने, आदि की अनुमति देता है। ये क्रियाएँ असाइन किए गए उपयोगकर्ता नाम (इस उदाहरण में, ios कॉन्फ़िगरेशन में event_manager (कॉन्फिगरेशन) #event manager session cli username event_manager) से की जाती हैं और इस वर्चुअल यूज़र के पास अपने आदेशों को निष्पादित करने के लिए समान अधिकार हैं। जो कुछ भी हो रहा है उसे नियंत्रित करने के विकल्पों में से एक इस उपयोगकर्ता को एक डिफ़ॉल्ट निषेध के साथ एक समूह (इस उदाहरण में सेवा) में रखना है और कुछ विशेष आदेशों को अनुमति दें।

 accounting file = /var/log/tac_plus.acct – ,        : Mon Oct 04 15:37:57 2011 172.18.146.2 art0m tty1 172.16.247.25 stop task_id=823 start_time=1319450277 timezone=msk service=shell priv-lvl=15 cmd=traceroute mac 0050.dead.dead 0050.dead.dead 

 key = VeryLongANDSecurityKey – ,        . 

Tac_plus बंडल भी अद्भुत tac_pwd उपयोगिता के साथ आता है, जो आपको पासवर्ड को एन्क्रिप्ट करने और एन्क्रिप्टेड रूप में कॉन्फ़िगरेशन फ़ाइल में उपयोग करने की अनुमति देता है। यह निश्चित रूप से इंटरनेट पर "लड़ाई" को प्रकाशित करने का अधिकार नहीं देता है, लेकिन कम से कम इसे गैर-मानव-पठनीय बनाता है।

लेकिन यह सब जादू केवल क्लाइंट डिवाइस के उचित कॉन्फ़िगरेशन के साथ काम करना शुरू कर देगा।

सिस्को ios के लिए विन्यास उदाहरण

 !   aaa aaa new-model !  tacacs (    15     will be deprecated soon) ! tacacs-server host 172.16.247.200 key 0 VeryLongANDSecureKey tacacs-server host 172.18.146.43 key 0 VeryLongANDSecureKey tacacs-server timeout 2 tacacs-server directed-request !     2  ( ),       aaa group server tacacs+ tac-int server 172.16.247.200 server 172.18.146.43 !     authentication, authorization and accounting      aaa authentication login admin group tac-int local aaa authorization exec admin group tac-int local aaa authorization commands 15 admin group tac-int local aaa accounting update newinfo aaa accounting commands 15 admin start-stop group tac-int 

यहाँ, मुझे लगता है, वाक्यविन्यास को स्पष्ट करना आवश्यक है: एक ही नाम के व्यवस्थापक के साथ ४ एए-शीट बनाई जाती हैं (नाम मनमाने ढंग से हो सकते हैं, लेकिन क्योंकि वे एक ही उह से संबंधित हैं ... प्रक्रिया, मैं उन्हें एक ही कहता हूं), प्रमाणीकरण लॉग इन करें डिवाइस को टैक-इंट समूह में उपयोगकर्ता को प्रमाणित करने के लिए, और यदि इसके सर्वर स्थानीय रूप से अनुपलब्ध हैं। लेखांकन को छोड़कर, बाकी शीट्स के लिए एक ही डिज़ाइन का उपयोग किया जाता है।

 !    vty- .     authentication, authorization and accounting   tacacs- line vty 0 4 authorization commands 15 admin authorization exec admin accounting commands 15 admin login authentication admin 

यदि आपके पास अन्य विशेषाधिकार स्तरों वाले उपयोगकर्ता हैं, तो आपको उनके लिए उपयुक्त पत्रक और नियम बनाने होंगे।

कुल मिलाकर

ऑपरेशन में, यह गुच्छा काफी समय से काम कर रहा है। स्थिरता के दृष्टिकोण से, यह किसी भी शिकायत का कारण नहीं बना; सुरक्षा परिषद, मेरा मानना ​​है कि आमतौर पर खुशी से चुपचाप मर जाता है।
tac_plus को विभिन्न डेटा केंद्रों में स्थित दो सर्वरों पर उठाया गया है, केवल असुविधा को सर्वर कॉन्फ़िगरेशन को मैन्युअल रूप से सिंक्रनाइज़ करने की आवश्यकता है। वैसे, क्या सुझाव हैं? शर्त: कॉन्फ़िगरेशन फ़ाइल को स्थानीय रूप से प्रत्येक सर्वर पर संग्रहीत किया जाना चाहिए, और केवल परिवर्तन सिंक्रनाइज़ किए जाने चाहिए।