HP網(wǎng)絡(luò)安全教學(xué)課件-03AAA-04AAA產(chǎn)品介紹-ACS41

FY13惠普海南人才20000培訓(xùn)項(xiàng)目---網(wǎng)絡(luò)安全培訓(xùn)課程全力締造行業(yè)領(lǐng)先的IT服務(wù)外包學(xué)院–AAA產(chǎn)品介紹-ACS4.1?2012Hewlett-PackardDevelopmentCompany,L.P.TheinformationcontainedhereinissubjecttochangewithoutnoticeAAAFY13惠普海南人才20000培訓(xùn)項(xiàng)目全力締造在市面上，有眾多的AAA軟件產(chǎn)品，我們需要選擇出一個(gè)比較普通使用，具有代表性的軟件產(chǎn)品作為學(xué)習(xí)的對(duì)象。引入在市面上，有眾多的AAA軟件產(chǎn)品，我們需要選擇出一個(gè)比較普通了解ACS產(chǎn)品簡(jiǎn)介了解ACS軟件的部署環(huán)境需求掌握ACS界面的基本配置了解ACS軟件的基本概念課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：了解ACS產(chǎn)品簡(jiǎn)介課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：ACS軟件介紹思科安全訪(fǎng)問(wèn)控制服務(wù)器（CiscoSecureAccessControlSever）是一個(gè)高度可擴(kuò)展、高性能的訪(fǎng)問(wèn)控制服務(wù)器，提供了全面的身份識(shí)別網(wǎng)絡(luò)解決方案，是思科基于身份的網(wǎng)絡(luò)服務(wù)(IBNS)架構(gòu)的重要組件。CiscoSecureACS通過(guò)在一個(gè)集中身份識(shí)別聯(lián)網(wǎng)框架中將身份驗(yàn)證、用戶(hù)或管理員接入及策略控制相結(jié)合，強(qiáng)化了接入安全性。這使企業(yè)網(wǎng)絡(luò)能具有更高靈活性和移動(dòng)性，更為安全且提高用戶(hù)生產(chǎn)率。CiscoSecureACS支持范圍廣泛的接入連接類(lèi)型，包括有線(xiàn)和無(wú)線(xiàn)局域網(wǎng)、撥號(hào)、寬帶、內(nèi)容、存儲(chǔ)、VoIP、防火墻和VPN。CiscoSecureACS是思科網(wǎng)絡(luò)準(zhǔn)入控制的關(guān)鍵組件。適用場(chǎng)合：◆集中控制用戶(hù)通過(guò)有線(xiàn)或者無(wú)線(xiàn)連接登錄網(wǎng)絡(luò)◆設(shè)置每個(gè)網(wǎng)絡(luò)用戶(hù)的權(quán)限◆記錄記帳信息，包括安全審查或者用戶(hù)記帳◆設(shè)置每個(gè)配置管理員的訪(fǎng)問(wèn)權(quán)限和控制指令◆用于A(yíng)ironet密鑰重設(shè)置的虛擬VSA◆安全的服務(wù)器權(quán)限和加密◆通過(guò)動(dòng)態(tài)端口分配簡(jiǎn)化防火墻接入和控制◆統(tǒng)一的用戶(hù)AAA服務(wù)ACS軟件介紹思科安全訪(fǎng)問(wèn)控制服務(wù)器（CiscoSCable,DSL總部VPN網(wǎng)關(guān)、防火墻VPN無(wú)線(xiàn)局域網(wǎng)RADIUS(AAA)SP網(wǎng)關(guān)(代理AAA)AS5X00,ISDN遠(yuǎn)程訪(fǎng)問(wèn)、撥號(hào)訪(fǎng)問(wèn)控制Internet擴(kuò)展認(rèn)證數(shù)據(jù)庫(kù)ACS服務(wù)器

判斷user的訪(fǎng)問(wèn)控制權(quán)限802.1x

交換機(jī)TACACS+Telnet管理員訪(fǎng)問(wèn)種類(lèi)ACS軟件介紹適用場(chǎng)合一覽Cable,DSL總部VPN網(wǎng)關(guān)、防火墻VPN無(wú)線(xiàn)局域ACS軟件介紹實(shí)施使用ACS軟件對(duì)網(wǎng)絡(luò)設(shè)備的性能影響認(rèn)證種類(lèi)平均百分比Authentication,AuthorizationandAdministration9.5%

Anti-virus/MaliciousCode 8.2%

Firewalls （防火墻） 6.9%

VPNs 20.5%

IntrusionProtection （入侵檢測(cè)） 21.0%ACS軟件介紹實(shí)施使用ACS軟件對(duì)網(wǎng)絡(luò)設(shè)備的性能影響認(rèn)證種類(lèi)

20,000～80,000用戶(hù)數(shù)量(依賴(lài)于服務(wù)類(lèi)型)和每臺(tái)ACS服務(wù)器8,000RADIUS/TACACS+設(shè)備

多個(gè)ACS服務(wù)器可以放置在一個(gè)分布的環(huán)境中使用:作為其他ACS服務(wù)器的代理

數(shù)據(jù)庫(kù)復(fù)制(冗余)

遠(yuǎn)程&集中日志管理ACS軟件部署的冗余性20,000～80,000用戶(hù)數(shù)量(依賴(lài)于服務(wù)類(lèi)型認(rèn)證技術(shù)簡(jiǎn)介RADIUSandTACACS+詳細(xì)介紹與命令配置目錄認(rèn)證技術(shù)簡(jiǎn)介目錄設(shè)備名稱(chēng)IP地址/掩碼網(wǎng)關(guān)Vlan號(hào)ACS-1XXACS-PA.1.115.XACS-2XXACS-BA.1.115.X用途硬件平臺(tái)操作系統(tǒng)系統(tǒng)補(bǔ)丁備注ACS服務(wù)器2*2.8GCPU4G內(nèi)存73G*4硬盤(pán)雙網(wǎng)卡windows2000/2003serverSP3以上1．英文版IE6.02．MSjavavirtualmatchine或者SunJavaPlug-in1.4.2_043．Netscape7.1ACS環(huán)境準(zhǔn)備設(shè)備名稱(chēng)IP地址/掩碼網(wǎng)關(guān)Vlan號(hào)ACS-1XXACS-PUserGroup---管理員分類(lèi)NDG(networkdevicegroup)---設(shè)備集合ShellCommandSets---操作權(quán)限ACS管理中的三個(gè)概念及其關(guān)聯(lián)UserGroup---管理員分類(lèi)ACS管理中的三個(gè)概ACS安全管理中的三個(gè)概念及其關(guān)聯(lián)用戶(hù)組網(wǎng)絡(luò)設(shè)備組Shell命令RORW設(shè)備組1設(shè)備組2設(shè)備組3NDGUserGroupACS安全管理中的三個(gè)概念及其關(guān)聯(lián)用戶(hù)組網(wǎng)絡(luò)設(shè)備組ShellACS軟件管理界面ACS軟件管理界面用戶(hù)高級(jí)選項(xiàng)設(shè)置用戶(hù)高級(jí)選項(xiàng)設(shè)置允許運(yùn)行的命令列表填寫(xiě)描述信息定義的Shell名稱(chēng)Shell命令組設(shè)置允許運(yùn)行的命令列表填寫(xiě)描述信息定義的Shell名稱(chēng)Shell網(wǎng)絡(luò)設(shè)備組設(shè)置網(wǎng)絡(luò)設(shè)備組設(shè)置用戶(hù)組設(shè)定1控制用戶(hù)組可以登陸哪些網(wǎng)絡(luò)設(shè)備組

用戶(hù)組設(shè)定1控制用戶(hù)組可以登陸哪些網(wǎng)絡(luò)設(shè)備組用戶(hù)組設(shè)定2根據(jù)不同的設(shè)備組分別設(shè)定命令權(quán)限用戶(hù)組設(shè)定2根據(jù)不同的設(shè)備組分別設(shè)定命令權(quán)限用戶(hù)組設(shè)定3設(shè)定用戶(hù)組的enable權(quán)限用戶(hù)組設(shè)定3設(shè)定用戶(hù)組的enable權(quán)限用戶(hù)設(shè)定1用戶(hù)設(shè)定1用戶(hù)設(shè)定2用戶(hù)設(shè)定2用戶(hù)設(shè)定3用戶(hù)設(shè)定3ACS備份1ACS備份1ACS備份2ACS備份2ACS備份3ACS備份3ACS備份4在備份服務(wù)器上的設(shè)定ACS備份4在備份服務(wù)器上的設(shè)定ACS添加外部數(shù)據(jù)庫(kù)1ACS添加外部數(shù)據(jù)庫(kù)1

添加外部數(shù)據(jù)庫(kù)2添加外部數(shù)據(jù)庫(kù)2Csutil配置命令Csutil配置命令A(yù)CS應(yīng)急配置1.ACS服務(wù)器失效時(shí)的應(yīng)急實(shí)施步驟在網(wǎng)絡(luò)設(shè)備中配置AAA管理命令時(shí)加入定義“后門(mén)”管理員，用于A(yíng)AA服務(wù)器失效時(shí)應(yīng)急措施。當(dāng)ACS失效時(shí)可通過(guò)“后門(mén)”用戶(hù)口令登陸網(wǎng)絡(luò)設(shè)備進(jìn)行應(yīng)急管理（該用戶(hù)在A(yíng)CS有效狀態(tài)下不能使用）。命令：usernameXXXpasswordXXX此命令必須先于aaa命令設(shè)置，如果路由器已經(jīng)設(shè)置好aaa命令，可以在命令行下先輸入(config)＃noaaanew-model(config)＃usernameXXXpasswordXXX(config)＃aaanew-modelACS應(yīng)急配置1.ACS服務(wù)器失效時(shí)的應(yīng)急實(shí)施步驟在網(wǎng)2.RSA認(rèn)證服務(wù)器失效時(shí)的應(yīng)急步驟

若個(gè)別用戶(hù)使用動(dòng)態(tài)口令不能認(rèn)證時(shí)，可將用戶(hù)的認(rèn)證恢復(fù)為由CiscoACS服務(wù)器靜態(tài)口令認(rèn)證。方法如下：登錄到ACS服務(wù)器，使用IE方式登錄到ACS中，將用戶(hù)信息中“UserSetup”欄的“PasswordAuthentication”修改為“CiscoSecureDatabase”。也可使用命令行操作方式，只建立一行的“用戶(hù)updateID:CSDB:password”文本文件，利用Csutil文件修改用戶(hù)信息為ACS認(rèn)證，待解決動(dòng)態(tài)口令認(rèn)證問(wèn)題后，再修改為動(dòng)態(tài)口令認(rèn)證。ACS應(yīng)急配置2.RSA認(rèn)證服務(wù)器失效時(shí)的應(yīng)急步驟若個(gè)別用戶(hù)使用動(dòng)態(tài)口本章總結(jié)了解ACS產(chǎn)品