सिस्को IOS में प्रमाणीकरण

एएए (प्रमाणीकरण प्राधिकरण और लेखा) एक प्रमाणीकरण और घटना लेखा प्रमाणीकरण प्रणाली है जो सिस्को आईओएस ऑपरेटिंग सिस्टम में बनाया गया है जो उपयोगकर्ताओं को सिस्को नेटवर्क उपकरण तक सुरक्षित दूरस्थ पहुंच प्रदान करता है। यह उपयोगकर्ता की पहचान, प्राधिकरण, साथ ही साथ सर्वर को जानकारी भेजने और भेजने के विभिन्न तरीके प्रदान करता है।

हालांकि, न केवल एएए डिफ़ॉल्ट रूप से बंद हो गया है; इस प्रणाली का विन्यास एक बल्कि भ्रामक मामला है। कॉन्फ़िगरेशन में कमी या तो अस्थिर, असुरक्षित कनेक्शन या सिद्धांत में किसी भी कनेक्शन की अनुपस्थिति के कारण हो सकती है। इस लेख में, हम आआ का उपयोग करके प्रमाणीकरण कॉन्फ़िगरेशन योजना पर एक विस्तृत नज़र डालेंगे।

सामान्य तौर पर, प्रमाणीकरण योजना इस तरह दिखाई देती है:



अंजीर। 1. प्रमाणीकरण योजना (पूर्ण आकार में एक क्लिक पर खुलती है)



अंजीर। 2. प्रमाणीकरण योजना (जारी है, क्लिक पूर्ण आकार में खुलती है)

योजना को गलती से दो भागों में विभाजित नहीं किया गया है: पहला नियंत्रण लाइनों (vty या con) से मुख्य पथ को प्रमाणीकरण विधियों में बताता है, और दूसरा स्वयं प्रमाणीकरण विधियों का वर्णन करता है।

लेकिन सबसे पहली बात।

आका नए-मॉडल की कमी

इस मामले में, हम सर्किट के दाईं ओर के बारे में बात कर रहे हैं (चित्र 1 देखें)।



अंजीर। 3. आ नया मॉडल के बिना प्रमाणीकरण योजना

जैसा कि पहले ही उल्लेख किया गया है, आआ नई-मॉडल सेवा डिफ़ॉल्ट रूप से बंद है। डिवाइस का कनेक्शन या तो शारीरिक रूप से किया जा सकता है, कंसोल पोर्ट (लाइन कंसोल 0) के माध्यम से किसी भी क्रेडेंशियल में प्रवेश किए बिना, या टेलनेट प्रोटोकॉल (लाइन वीटीआई) के माध्यम से कनेक्ट करके। इसके अलावा, बाद के मामले में, भले ही आप सिस्को पर आईपी पता सेट करते हैं, आप पासवर्ड ("लाइन" प्रमाणीकरण विधि, चित्र 3 देखें) की कमी के कारण डिवाइस तक पहुंचने में सक्षम नहीं होंगे। यदि कोई पासवर्ड vty लाइन पर सेट है, तो डिवाइस को केवल आपको पासवर्ड दर्ज करने की आवश्यकता होगी, जो कनेक्शन की सुरक्षा को काफी कम कर देता है, क्योंकि आपको प्रवेश करने के लिए एक लॉगिन दर्ज करने की आवश्यकता नहीं है; हालाँकि, यहाँ सब कुछ, निश्चित रूप से उस पासवर्ड की जटिलता पर भी निर्भर करता है जिसे आपने कॉन्फ़िगर किया था।

"लॉगिन स्थानीय" कमांड निष्पादित करते समय, डिवाइस, एक कनेक्शन स्थापित करने, आपको प्रवेश करने के लिए एक लॉगिन और पासवर्ड दर्ज करने की आवश्यकता होगी।

तो: एएए नए-मॉडल की अनुपस्थिति में, आपको सिस्को IOS से जो अधिकतम की आवश्यकता हो सकती है वह एक पासवर्ड (प्रमाणीकरण विधि "लाइन") का उपयोग करना है और एक उपयोगकर्ता नाम और पासवर्ड का उपयोग स्थानीय डेटाबेस (प्रमाणीकरण विधि "स्थानीय") से करना है।



अंजीर। 4. आ नया-मॉडल के बिना प्रमाणीकरण विधियां

Aaa नए-मॉडल कॉन्फ़िगरेशन

आआ विन्यास का लाभ यह है कि इसमें कई प्रमाणीकरण विधियां हैं (पिछले मामले के विपरीत)। आआ वैश्विक विन्यास मोड में आआ नया-मॉडल कमांड जोड़कर सक्षम किया गया है। अगला अप ऑथेंटिकेशन मेथड का विकल्प है। सभी विधियों को उन सूचियों में व्यवस्थित किया जाता है जिन्हें या तो डिफ़ॉल्ट मान या एक विशिष्ट सूची नाम ( सूची-नाम ) सौंपा जाता है। इस प्रकार, विभिन्न प्रकार की रेखाओं पर ( aux, vty, con ... ), आप विभिन्न प्रमाणीकरण विधियों को "हैंग" कर सकते हैं, उपयोगकर्ताओं के बीच पहुंच को बढ़ा सकते हैं।

आआ नया-मॉडल और प्रमाणीकरण सूची स्थापित करने का एक उदाहरण:

Router(config)#aaa new-model
Router(config)#aaa authentication login {default | list-name} method1 [method2…]
Router(config)#line {vty | aux | con…} line-numbers
Router(config-line)#login authentication {default | list-name}

तरीकों

जैसा कि पहले उल्लेख किया गया है, आ में बहुत सारे प्रमाणीकरण तरीके हैं। आइए सबसे आम सूची देने की कोशिश करें:

• स्थानीय - लॉगिन और पासवर्ड का डेटाबेस नेटवर्क डिवाइस पर ही संग्रहीत होता है। उपयोगकर्ता नाम {पासवर्ड | गुप्त}।
• स्थानीय-मामला - स्थानीय के रूप में एक ही विधि, लेकिन प्रवेश करते समय संवेदनशील मामला।
• सक्षम - प्रमाणीकरण के लिए सक्षम होना चाहिए {पासवर्ड | रहस्य} ।
• लाइन - प्रमाणीकरण के लिए लाइन पासवर्ड की आवश्यकता होती है (चित्र 4 "लाइन" प्रमाणीकरण विधि देखें)।
• कोई नहीं - प्रमाणीकरण की आवश्यकता नहीं है, डिवाइस में प्रवेश एक लॉगिन और पासवर्ड दर्ज किए बिना प्रदान किया जाता है।
• समूह {tacacs + | त्रिज्या} - सर्वर को कनेक्ट करने के लिए टैक्सेस + स्थापित ( http://www.cisco.com/en/US/docs/ios/12_2/security/configuration/guide/scftplus.html#wp1000899 ) या रेडियस ( http ) // www। ca.com/en/US/docs/ios/12_2/security/configuration/guide/scfrad.html#wp1000902 ) एएए कॉन्फ़िगरेशन विकल्पों का विस्तार करने के लिए।
• समूह {समूह-नाम} - आपको एक सर्वर के समूह को टैक्सेस + या रेडियस स्थापित करने या एक निजी समूह सर्वर को कॉन्फ़िगर करने की अनुमति देता है।

सबसे दिलचस्प प्रमाणीकरण विधि समूह है: यह मध्यम और बड़ी कंपनियों में काफी आम है।

निम्नलिखित समूह विधि सेट करने का एक उदाहरण है, जिसे प्रमाणीकरण सूचियों के साथ संयोजन में लागू किया जाना चाहिए।

एक सर्वर समूह और एक निजी त्रिज्या सर्वर जोड़ने का उदाहरण:

Router(config)#aaa authentication login default group servradius1
Router(config)#aaa group server radius servradius1
Router(config-sg-radius)#server 192.168.1.1
Router(config-sg-radius)#server 192.168.1.2
Router(config-sg-radius)#server 192.168.1.3
Router(config-sg-radius)#server-private 192.168.1.10

यह उदाहरण दिखाता है कि तीन त्रिज्या सर्वर कॉन्फ़िगर किए गए हैं। लेकिन सवाल उठता है: वे कैसे काम करेंगे? पहली बात जो मन में आती है: सबसे अधिक संभावना है, वे बदले में काम करेंगे: यदि 192.168.1.1 अनुपलब्ध है, तो वे 192.168.1.2, आदि पर जाएंगे, लेकिन ऐसा नहीं है। इस उदाहरण में, एक त्रुटि की गई थी: 192.168.1.1, 192.168.1.2, 192.168.1.3 को गलत तरीके से कॉन्फ़िगर किया गया है, और इसलिए इसका उपयोग प्रमाणीकरण में नहीं किया जाएगा। इस कॉन्फ़िगरेशन में, प्रत्येक सर्वर के लिए राउटर (कॉन्फ़िगरेशन) # त्रिज्या-सर्वर होस्ट कमांड गायब है। सेटिंग्स का अधिक विस्तृत विवरण विक्रेता के संसाधनों पर पाया जा सकता है (उदाहरण के लिए: http://www.cisco.com/en/US/docs/ios/12_2/security/configuration/guide/scfrad.html )। योजनाबद्ध रूप से, इसे निम्नानुसार दर्शाया जा सकता है:



अंजीर। 5. समूह विधि के लिए प्रमाणीकरण कॉन्फ़िगर करें

यहां, वास्तव में, वह सभी जानकारी है जो आपके नेटवर्क डिवाइस पर प्रमाणीकरण को सफलतापूर्वक कॉन्फ़िगर करने में आपकी सहायता करेगी। आरेख का पालन करें, और यदि आपकी सेटिंग्स "सच" की ओर ले जाती हैं, तो खुशी होगी, और यदि "झूठा" है - तो कॉन्फ़िगरेशन को ध्यान से देखें: शायद एक त्रुटि कहीं से हुई है या डिवाइस में प्रवेश बिना लॉगिन और पासवर्ड के संभव है (प्रमाणीकरण विधि) कोई नहीं)। मुझे उम्मीद है कि यह लेख उपयोगी था और इससे आपको आगा विन्यास की बारीकियों को समझने में मदद मिली।
हम, बदले में, हमेशा इस तरह के जटिल चेक को स्वचालित करने का प्रयास करते हैं। एक उदाहरण के रूप में, AAA सेवा के खिलाफ MaxPatrol जाँच का परिणाम:



अंजीर। 6. आवश्यकता की स्थिति



अंजीर। 7. एएए सेवा के लिए आवश्यकता के परिणाम

मैक्सिम हैब्रत, सकारात्मक अनुसंधान केंद्र द्वारा पोस्ट किया गया