सक्रिय निर्देशिका के साथ सिस्को ACS 5.3 कॉन्फ़िगर करें

सिस्को एसीएस (एक्सेस कंट्रोल सर्वर) सभी प्रकार के उपकरणों, विशेष रूप से, विभिन्न निर्माताओं से सक्रिय नेटवर्क उपकरण पर केंद्रीकृत प्रमाणीकरण, प्राधिकरण और उपयोगकर्ता खाता प्रबंधन के लिए एक प्रणाली है।

एक बड़े एंटरप्राइज़ सेगमेंट कंपनी में सिस्टम एडमिनिस्ट्रेटर के रूप में काम करने का काफी कम अनुभव होने के बाद, मैं इस नतीजे पर पहुंचा कि प्रत्येक सिस्टम एडमिनिस्ट्रेटर के पास आदर्श रूप से उन सभी संसाधनों पर प्राधिकरण का एक खाता होना चाहिए, जिनकी आवश्यकता है: नेटवर्क उपकरण, सर्वर, वर्कस्टेशन इत्यादि। प्रशासन की सुविधा के साथ, और सुरक्षा के साथ। किसी व्यक्ति के बर्खास्तगी की स्थिति में, आप केवल एक खाते को एक स्टोर में बंद कर सकते हैं और बिल्कुल सब कुछ खो जाएगा। लेकिन कोई आदर्श मामले नहीं हैं, जैसा कि आप जानते हैं। इस लेख में, हम सक्रिय निर्देशिका खाते का उपयोग करके सक्रिय नेटवर्क उपकरणों पर आदर्श और उपयोगकर्ता प्राधिकरण को कॉन्फ़िगर करने का प्रयास करेंगे।

तो, हमारे नेटवर्क में 3 परिसर हैं: दो उपयोगकर्ता और सर्वर फ़ार्म।
नेटवर्क बनाने के परिसर की संरचना के अनुसार, उपकरणों को समूहों में विभाजित किया जाता है: पहुंच परत, वितरण परत, कोर परत। सीमा हार्डवेयर के प्रबंधन के लिए एक अलग सीमा समूह है: सीमा राउटर, फायरवॉल, वीपीएन गेटवे, आदि।

प्रशासक विशेषाधिकारों को पदानुक्रमित पहुंच नीतियों के आधार पर दिया जाता है। थोड़े अनुभव वाले प्रशासकों को केवल एक्सेस-स्तरीय उपकरण और एक उपयोगकर्ता गैर-महत्वपूर्ण परिसर के साथ काम करने की अनुमति है। अनुभव के साथ, प्रशासकों को सर्वर फ़ार्म के एक्सेस स्तर पर विशेषाधिकार दिए जाते हैं। हालांकि, वे उपयोगकर्ता उपकरण के साथ भी काम कर सकते हैं। एक्सेस में अंतर करने के लिए, निम्न मॉडल का उपयोग किया जाता है। प्राधिकरण संरचना चित्र में दिखाई गई है:



प्रत्येक आयताकार क्षेत्र - प्रशासकों के एक विशिष्ट समूह को दी गई उपकरण अनुमतियाँ

ACS सर्वर कॉन्फ़िगर करें

टोरेंट ट्रैकर और प्रारंभिक इंस्टॉलेशन से नए सिस्को 1120 हार्डवेयर की खरीद को डाउनलोड करने के बाद, हम लॉगिन और पासवर्ड प्रविष्टि पृष्ठ पर जाते हैं:



हम उपयोगकर्ता नाम और पासवर्ड दर्ज करते हैं, स्थापना के दौरान संचालित होते हैं और आरंभ पृष्ठ पर आते हैं:

नेटवर्क संसाधन

नेटवर्क संसाधन अनुभाग स्थानों, डिवाइस प्रकारों और, वास्तव में, उपकरणों का वर्णन करता है।
सबसे पहले, हमें उन उपकरणों का वर्णन करना होगा जो सर्वर से जुड़े होंगे। हम नेटवर्क संसाधन → स्थान अनुभाग में जाते हैं और कम से कम 3 उपकरण स्थान बनाते हैं: कैम्पस 1, कैम्पस 2, सर्वर फ़ार्म:



डिवाइस प्रकार अनुभाग में, हम 3 प्रकार के डिवाइस बनाते हैं: AccessLayerSwitches, DistributLayerSwitches, CoreLayerSwitches।

इसके बाद, नेटवर्क डिवाइसेस और AAA क्लाइंट सेक्शन में, हम उपकरणों के आईपी एड्रेस का वर्णन करते हैं और उन्हें स्थानों और प्रकारों से बाँधते हैं। सिस्को एसीएस टैक्सेस + और त्रिज्या पंचर का उपयोग कर सकते हैं। हमारे उपकरण Tacacs + प्रोटोकॉल के तहत काम करेंगे, Tacacs + के बगल में स्थित बॉक्स को चेक करें। साझा गुप्त क्षेत्र में कुंजी चलाएं।



नेटवर्क संसाधन अनुभाग की सेटिंग्स पूर्ण हैं।

उपयोगकर्ता और पहचान स्टोर

हम सक्रिय निर्देशिका के साथ बंडल को कॉन्फ़िगर करने के लिए आगे बढ़ते हैं। उपयोगकर्ता और पहचान स्टोर खोलें → बाहरी पहचान स्टोर → सक्रिय निर्देशिका अनुभाग। खेतों में पानी भरना। AD से कनेक्ट करने के लिए, एक डोमेन व्यवस्थापक खाता आवश्यक है। क्यों - मुझे नहीं पता। एक साधारण उपयोगकर्ता खाते के साथ काम नहीं करता है।



निर्देशिका समूह टैब सक्रिय निर्देशिका समूहों के लिए बाध्य करता है



किसी विशिष्ट उपयोगकर्ता के लिए नीतियाँ कॉन्फ़िगर करने के लिए निर्देशिका विशेषताएँ टैब की आवश्यकता होती है।

AD के साथ बंडल सेट करना अब समाप्त हो गया है।

नीति तत्व

चलो नीति तत्वों को कॉन्फ़िगर करने के लिए आगे बढ़ते हैं। डिवाइस के लिए एक पूर्ण एक्सेस प्रोफ़ाइल बनाएं। ऐसा करने के लिए, नीति तत्व अनुभाग में, प्राधिकरण और अनुमतियाँ → डिवाइस प्रशासन → शेल प्रोफाइल समूह पर जाएं। एक FullAccess प्रोफ़ाइल बनाएँ। सामान्य कार्य टैब में, अधिकतम विशेषाधिकार सेट करें:



सबमिट पर क्लिक करें। यही है, प्रोफ़ाइल सेटिंग्स समाप्त हो गई हैं।

पहुंच नीतियों

एक्सेस पॉलिसियों को एक्सेस पॉलिसियों अनुभाग में स्वयं कॉन्फ़िगर किया गया है।

सबसे पहले आपको सक्रिय निर्देशिका के साथ काम करने के लिए एक नीति बनाने की आवश्यकता है। एक्सेस सर्विसेज लिंक पर क्लिक करें और एक नई एक्सेस पॉलिसी बनाएं:



हमने 2 टिक की पहचान और प्राधिकरण रखा।

इसके बाद, आपको यह निर्दिष्ट करने की आवश्यकता है कि उपकरण किस एक्सेस नीति पर काम करेंगे। लिंक सेवा चयन नियम पर क्लिक करें। हम एक नियम बनाते हैं जिसके अनुसार टैक्सेस + डिवाइस का मिलान होगा:



इस नियम के अनुसार, tacacs + प्रोटोकॉल के माध्यम से डेटा का अनुरोध करने वाले सभी उपकरणों को ऊपर बनाई गई नीति द्वारा संसाधित किया जाएगा।

हम पहुँच नीतियों को सेट करने के लिए सीधे आगे बढ़ते हैं। आइटम पहचान में, खातों का स्रोत कॉन्फ़िगर किया गया है। सक्रिय निर्देशिका का चयन करें। प्राधिकरण क्लॉज उपयोगकर्ताओं को अधिकृत करने के नियमों को परिभाषित करता है। डिफ़ॉल्ट रूप से, हमें जिन कॉलमों की आवश्यकता है, वे उपलब्ध नहीं हैं, उन्हें कस्टमाइज़ बटन पर क्लिक करके सक्रिय करने के लिए मजबूर होना चाहिए।



परिणाम अनुकूलित करें अनुभाग में, कमांड लाइन प्रोफ़ाइल और कमांड के एक सेट के लिए विकल्पों का चयन किया जाता है। हमारे मामले में, केवल कमांड का एक सेट उपयोग किया जाता है।

एक नियम बनाने के लिए, बनाएँ बटन पर क्लिक करें।



हम बंद और शर्तों पर टिक करते हैं। बिंदु AD1: यदि किसी विशिष्ट उपयोगकर्ता नाम के संदर्भ में नियम को कॉन्फ़िगर किया गया है, तो mailNickname की आवश्यकता है, न कि पूरे समूह को।

अगला, आपको पहली तस्वीर के अनुसार नियमों को कॉन्फ़िगर करने की आवश्यकता है।

सिस्को और HUAWEI उपकरणों पर टैक्सेस + प्राधिकरण सेटअप के उदाहरण

यदि यह अनुपलब्ध है, तो प्राधिकरण tacacs सर्वर से गुजरता है, लेकिन स्थानीय खातों की जाँच की जाती है।

सिस्को:

# tacacs-server host 1.1.1.1 tacacs-server key _$ecretkey! # aaa new-model aaa authentication login default group tacacs+ local aaa authentication enable default group tacacs+ enable aaa authorization exec default group tacacs+ local if-authenticated aaa authorization commands 0 15 group tacacs+ local aaa accounting send stop-record authentication failure aaa accounting exec default start-stop group tacacs+ aaa accounting commands 0 15 start-stop group tacacs+ aaa accounting connection default start-stop group tacacs+ # 

HUAWEI:

 # hwtacacs-server template ht hwtacacs-server authentication 1.1.1.1 hwtacacs-server authorization 1.1.1.1 hwtacacs-server accounting 1.1.1.1 hwtacacs-server shared-key cipher _$ecretkey! # aaa authentication-scheme default authentication-scheme lh authentication-mode hwtacacs local authentication-super hwtacacs super authorization-scheme default authorization-scheme hwtacacs authorization-cmd 3 hwtacacs authorization-mode hwtacacs accounting-scheme default accounting-scheme hwtacacs accounting-mode hwtacacs accounting start-fail online accounting realtime 3 recording-scheme scheme0 recording-mode hwtacacs ht cmd recording-scheme scheme0 outbound recording-scheme scheme0 system recording-scheme scheme0 domain default domain default_admin domain huawei authentication-scheme lh accounting-scheme hwtacacs authorization-scheme hwtacacs hwtacacs-server ht # 

जुनिपर SRX (m0ps हब ब्राउज़र ):

  set system authentication-order tacplus set system tacplus-server 10.10.10.1 secret «key» set system tacplus-server 10.10.10.1 source-address 192.168.1.1 set system accounting events login set system accounting events change-log set system accounting events interactive-commands set system accounting destination tacplusset system login user REMOTE_SU full-name «Tacacs+ template for remote SU access» set system login user REMOTE_SU class super-user 

इसके बाद, शेल प्रोफाइल में, कस्टम एट्रीब्यूट्स में एक जूनिपरफुल प्रोफ़ाइल बनाएं, जिसमें हम स्थानीय-उपयोगकर्ता-नाम और मूल्य - उपयोगकर्ता प्रोफ़ाइल टेम्पलेट का नाम (मेरे उदाहरण में - REMOTE_SU) के साथ एक विशेषता बनाते हैं।
अब हम एक्सेस नीतियों पर जाते हैं और प्राधिकरण मेनू में संबंधित नियम बनाते हैं, जिसके अनुसार संबंधित शैल प्रोफ़ाइल को सभी गिने-चुने उपकरणों पर अधिकृत किया जाता है।

परिशोधन mabps habrowser :

हाथ एक प्रयोगशाला इकट्ठा करने के लिए पहुंच गया।
सब कुछ “ठीक” है, सिवाय इसके कि AD से सभी उपयोगकर्ता विशेषाधिकार स्तर वाले उपकरणों में लॉग इन कर सकते हैं। और केवल निर्दिष्ट समूह के उपयोगकर्ताओं के पास विशेषाधिकार स्तर 15. है। मुझे इस विषय के समान tsisko.com पर एक दस्तावेज मिला है - इसमें सभी चरण समान हैं।
क्या मैं कुछ गलत कर रहा हूं, या क्या मुझे उन उपयोगकर्ताओं के उपकरणों में लॉग इन करने की क्षमता को सीमित करने की आवश्यकता है जो "दिलचस्प" समूहों के सदस्य नहीं हैं?

मैं माफी मांगता हूं, प्रश्न को हटा दिया जा सकता है। तथ्य यह है कि एक मानक नियम है जिसके अनुसार यदि कॉन्फ़िगर किए गए नियमों में से एक भी फिट नहीं है, तो शेल प्रोफ़ाइल परमिट एक्सेस था, लेकिन कमांड सेट - सभी कमांड को डेनी।
तदनुसार, शेल प्रोफाइल में, DenyAccess का चयन करें और समस्या हल हो गई है।
मुझे लगता है कि लेख में इसे स्पष्ट करने के लायक है, क्योंकि अभी भी कोई इस रेक पर कदम रख सकता है।

प्रयुक्त साहित्य की सूची

1. एसीएस 5.3 कॉन्फ़िगरेशन को समझना
2. विकिपीडिया - मुक्त विश्वकोश
3. हेडेक्स लाइट - हुवावेई हार्डवेयर डॉक्यूमेंटेशन