科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道ACS for VPN3000设置实例

ACS for VPN3000设置实例

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

一般而言,通过VPN3030中的组属性页面管理这些属性更为方便,推荐使用。某些属性,如为用户制定特定的IP地址,并不属于VPN3000的专有属性,因而也无需启用Vendor-Spec。

来源:中国IT实验室 2007年8月14日

关键字: 防火墙 硬件防火墙 软件防火墙 cisco防火墙 防火墙设置 Linux防火墙

  • 评论
  • 分享微博
  • 分享邮件

  本文记录利用Cisco Secure ACS服务器为VPN3000提供AAA服务的设置方法:

概述: Cisco Secure ACS是一种AAA服务器。所谓AAA,是指:

认证(authentication):当NAS(Network Access Server网络访问服务器)收到一个用户认证的请求,它把有关信息通过UDP 1645发给Radius服务器,服务器检查用户数据库确定是否为授权用户,如果是,则给NAS返回验证通过的信息。(参考:RFC 2058)

记帐(accounting): 如果需要,用户连接结束后,NAS可以将连接持续的时间、流量等信息发给Radius服务器进行记录,作为计费参考资料。(参考:RFC 2059)

授权(authorization): 通过Radius服务器还可以限定用户可以访问的服务。

AAA服务器和NAS之间也可以通过TACACS+(TCP 49)协议来通讯。Cisco Secure ACS(Access Control Server)支持Radius和TACACS+协议。Cisco VPN3030只支持Radius协议。 必须要注意的是Radius是非标准的协议,每个厂家都有各自不同的实现方法,所以对不同的NAS还必需进行协议的定制。在ACS中已经为多种设备定制了Radius协议,如Radius(IOS Devices) Radius(VPN3000)和Radius(Microsoft)等等。

通过引入AAA服务器,可以:

1.解决用户数限制: 例如VPN3030只支持定义500个用户,用ACS可以支持更多用户

2.计费:ACS记录的用户连接时间,通讯量等信息可作计费资料

3.增强安全性: 可以限定用户访问的服务;用户访问的日志可用于安全审计

4.方便管理:用户定义可用于一组设备,无需分别设置和维护

一.ACS安装:

系统需求:PII300 以上CPU/256M内存/Windows 2000 Server 英文版(不安装SP)

注1:ACS v2.5在安装了SP的Windows 2000系统上运行有问题,需要v3.0才能解决

注2:可以安装“用户自助修改密码(web)界面”模块,但该模块需IIS。不安装SP的Windows系统上运行IIS有严重安全问题,所以本安装选择不安装该模块和IIS。

使用ACS光盘上的Install程序交互完成安装。主要选项为:

1.是否保留现有数据库: 全新安装回答“否”;升级安装回答“是”。

2.是否导入配置:如需导入已保存的配置回答“是”。

3.只使用ACS的用户数据库或同时使用Windows系统用户数据库:根据需要选择,本安装选择“只使用ACS的用户数据库”。

4.“Authenticate Users Using”认证协议:选择“Radius(Cisco VPN 3000)”。

5.“Access Server Name”访问服务器名称:输入“VPN3030”。

6.“Access Server IP Address”访问服务器IP地址:输入“10.1.1.18”。

7.“Windows NT Server IP Address” ACS服务器的IP地址:自动设为“10.1.1.51”(本机地址)。

8.“TACACS+ or RADIUS Key”共享的密匙:输入“cisco”。

9.选择要显示的属性:全选。

10.“Remedial Action on log-in failure”登录失败时的措施:Script to Exec: *Restart ALL

完成安装后,通过web界面管理ACS,地址为:http://127.0.0.1:2002(或真实IP),注意在本机上管理时无需登录。

二.ACS配置:

登录ACS的WEB管理界面:http://10.1.1.51:2002。

检查网络配置:选择Network Configuration,点击“VPN3030”可检查或修该安装过程中对Access Server的定义(参数见上一节)。

检查接口配置:选择Interface Configuration,点击“Radius Cisco VPN 3000”,如需通过ACS设置用户组的VPN3000专有属性,请选中各项Group [26] Vendor-Specific属性,然后可以在组属性中进行设置。如需设置特定用户的VPN3000专有属性,您还需在Interface Configuration / Advanced Options中先选定“Per-User TACACS+/RADIUS Attributes”。一般而言,通过VPN3030中的组属性页面管理这些属性更为方便,推荐使用。某些属性,如为用户制定特定的IP地址,并不属于VPN3000的专有属性,因而也无需启用Vendor-Spec。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章