计算机网络-AAA原理概述

对于任何网络，用户管理都是最基本的安全管理要求之一，在华为设备管理中通过AAA框架进行认证、授权、计费实现安全验证。

一、AAA概述

AAA（Authentication(认证), Authorization(授权), and Accounting(计费)）是一种管理框架，它提供了授权部分用户访问指定资源和记录这些用户操作行为的安全机制。因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。AAA可以通过多种协议来实现，在实际应用中，最常使用RADIUS （Remote Authentication Dial-In User Service）协议。

AAA是Authentication（认证）、Authorization（授权）和Accounting（计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。 AAA基本概念

AAA常见网络架构中包括：

  • 用户，接入用户，需要访问资源的接入者
  • NAS（Network Access Server），网络设备,如果配置了本地认证则网络设备作为认证服务器角色
  • AAA服务器（AAA Server），远程认证服务器，常见如RADIUS服务器 AAA网络架构

因为这边没有搭建RADIUS服务器所以我也没有用过这个远程认证，一般用的本地认证。

二、AAA实现

认证、授权、计费每个部分可以独立进行设置。

认证 AAA支持三种认证方式:

  • 不认证：完全信任用户，不对用户身份进行合法性检查。鉴于安全考虑，这种认证方式很少被采用。
  • 本地认证：将本地用户信息（包括用户名、密码和各种属性）配置在NAS上，此时NAS就是AAA Server。本地认证的优点是处理速度快、运营成本低；缺点是存储信息量受设备硬件条件限制。这种认证方式常用于对用户登录设备进行管理，如Telnet，FTP用户等。
  • 远端认证：将用户信息（包括用户名、密码和各种属性）配置在认证服务器上。支持通过RADIUS协议或HWTACACS协议进行远端认证。NAS作为客户端，与RADIUS服务器或HWTACACS服务器进行通信。

授权 AAA授权功能赋予用户访问的特定网络或设备的权限。AAA支持以下授权方式：

  • 不授权：不对用户进行授权处理。
  • 本地授权：根据NAS上对应域下的配置进行授权。
  • 远端授权：支持由RADIUS服务器授权或HWTACAS服务器授权。
    • HWTACACS授权，使用HWTACACS服务器对所有用户授权。
    • RADIUS授权，只支持对通过RADIUS服务器认证的用户授权。RADIUS协议的认证和授权是绑定在一起的，不能单独使用RADIUS进行授权。

当采用远端授权时，用户可以同时从授权服务器和NAS获取授权信息。NAS配置的授权信息优先级比授权服务器下发的授权信息低。

计费 AAA支持以下两种计费方式：

  • 不计费：为用户提供免费上网服务，不产生相关活动日志。
  • 远端计费：支持通过RADIUS服务器或HWTACACS服务器进行远端计费。

认证和授权都有三种形式：不认证、本地认证、远端认证(RADIUS服务器认证)，计费一般用得少。

三、RADIUS简介

RADIUS是一种分布式的、客户端/服务器结构的信息交互协议，可以实现对用户的认证、计费和授权功能。

通常由NAS作为RADIUS客户端，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接受/拒绝用户接入）。RADIUS服务器一般运行在中心计算机或工作站上，维护相关的用户认证和网络服务访问信息，负责接收用户连接请求并认证用户，然后给客户端返回所有需要的信息（如接受/拒绝认证请求）。RADIUS使用UDP（User Datagram Protocol）作为传输协议，并规定UDP端口1812、1813分别作为认证、计费端口，具有良好的实时性；同时也支持重传机制和备用服务器机制，从而具有较好的可靠性。 RADIUS

简单来讲就是在服务器区域部署一个认证服务器用于账号与权限管理，在网络设备NAS上配置到认证服务器的地址和端口，当指定用户实现RADIUS时代理认证和请求信息，通过了认证才允许访问资源。

四、AAA的应用场景

常见的有以下应用场景： 应用场景

因为没有搭建服务器一般可以使用NAS本地认证就是网络设备作为认证服务器将账号密码和授权配置好即可。

在华为的网络设备上的AAA的配置简介： 华为AAA认证概述 aaa中以域为一个分组，域配置绑定对应的认证、授权、计费模板，模板里面可以设置(不认证、本地认证、远端认证等)，然后创建用户关联到指定的域配置模板，用户默认不使用@符号就是关联到系统默认的default域，因此如果需要自定义认证域在创建时必须指定@域名，域名可以自行设置。

系统默认配置如下：

# 默认域default和default_admin,默认认证、授权是本地认证和不认证
aaa authentication-scheme defaultauthorization-scheme defaultaccounting-scheme defaultdomain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$local-user admin service-type http

五、AAA配置

配置示例：

# 进入AAA视图
[Huawei] aaa# 创建认证方案
[Huawei-aaa] authentication-scheme authentication-scheme-name # 创建认证方案并进入相应的认证方案视图,配置认证方式，local指定认证方式为本地认证。缺省情况下，认证方式为本地认证。
[Huawei-aaa-authentication-scheme-name] authentication-mode { hwtacacs | local | radius }# 创建domain并绑定认证方案
[Huawei-aaa] domain domain-name# 在相应的domain视图下绑定认证方案
[Huawei-aaa-domain-name] authentication-scheme authentication-scheme-name # 在aaa视图下创建用户，如果用户名中带域名分隔符，如@，则认为@前面的部分是用户名，后面部分是域名如果没有@，则整个字符串为用户名，域为默认域
[Huawei-aaa] local-user user-name  password cipher password# 配置用户接入类型
[Huawei-aaa] local-user user-name service-type { { terminal | telnet | ftp | ssh | snmp | http } | ppp | none }# 配置用户级别
[Huawei-aaa] local-user user-name privilege level level

因为没有RADIUS只能测试NAS本地认证实现ssh和telnet实验配置。

5.1 SSH实验配置。 SSH

AR1服务器端：

# 服务器端配置
# 配置接口地址
interface GigabitEthernet0/0/0ip address 12.1.1.1 255.255.255.0 
#
interface GigabitEthernet0/0/1ip address 192.168.1.254 255.255.255.0 # 开启SSH服务器功能，华为上叫stelnet
stelnet server enable # 配置远程VTY的验证方式，因为SSH和telnet通过一个虚拟终端连接到设备，也就是VTY方式因此需要配置VTY验证,配置aaa验证
user-interface vty 0 4authentication-mode aaaprotocol inbound all# 最后进入aaa视图配置
authentication-scheme test        # 创建一个认证模板，认证方式为local,默认为localauthentication-mode localqu                              # 返回aaa视图 
authorization-scheme test         # 创建一个授权模板，使用本地授权，就是在创建本地用户时候指定授权authorization-mode localqu                              # 返回aaa视图
accounting-scheme test            # 创建一个计费模板，不计费accounting-mode none qu                              # 返回aaa视图
domain test                       # 创建一个域模板，将上面3个模板关联到域模板下authentication-scheme test accounting-scheme testauthorization-scheme testqu                              # 返回aaa视图
# 开始创建用户，使用用户名@域名格式创建，服务允许telent ,ssh ,terminal
local-user chuck@test password cipher 123456local-user chuck@test privilege level 13local-user chuck@test service-type telnet terminal ssh<AR1> save

AR2通过stelnet登录到服务器。

# 正确配置接口地址
interface GigabitEthernet0/0/0ip address 12.1.1.2 255.255.255.0 # 配置第一次远程认证，这个我理解就是第一次登录需要输入账号密码那个框，需要开启
ssh client first-time enable# 在用户视图下进行登录
[AR2]stelnet 12.1.1.1
Please input the username:chuck@test
Trying 12.1.1.1 ...
Press CTRL+K to abort
Connected to 12.1.1.1 ...
Enter password:
<AR1>dis usersUser-Intf    Delay    Type   Network Address     AuthenStatus    AuthorcmdFlag0   CON 0   00:05:13                                   pass                   Username : Unspecified+ 129 VTY 0   00:00:00  SSH    12.1.1.2                  pass                   Username : chuck@test          <AR1># 注意第一次登录会提示y/n看清楚，然后用户名需要带域名的格式
# 通过dis users可以看到当前登录用户信息及登录方式

在服务器端进行AAA认证信息的查看：

[AR1]dis aaa offline-record all -------------------------------------------------------------------User name          : chuck@testDomain name        : testUser MAC           : ffff-ffff-ffffUser access type   : SSHUser IP address    : 2.1.1.12User ID            : 8User login time    : 2024/01/17 16:40:32User offline time  : 2024/01/17 16:42:26User offline reason: user request to offline-------------------------------------------------------------------Are you sure to display some information?(y/n)[y]:y-------------------------------------------------------------------User name          : chuck@testDomain name        : testUser MAC           : ffff-ffff-ffffUser access type   : SSHUser IP address    : 2.1.1.12User ID            : 7User login time    : 2024/01/17 15:28:41User offline time  : 2024/01/17 15:29:56User offline reason: user request to offline-------------------------------------------------------------------Are you sure to display some information?(y/n)[y]:y# 查看域模板信息
[AR1]dis domain name testDomain-name                     : test                            Domain-state                    : ActiveAuthentication-scheme-name      : testAccounting-scheme-name          : testAuthorization-scheme-name       : testService-scheme-name             : -RADIUS-server-template          : -HWTACACS-server-template        : -User-group                      : -

暂时只能实现这个了，如果要配置RADIUS需要远程服务器，然后配置服务器地址和端口信息。

总结：AAA是一套认证授权的模板，分为认证、授权、计费，每个功能可以设置不认证、本地认证、远端认证，3个模板可以灵活实现认证功能，简单实验了一下通过AAA实现远程登录验证，今天就先这样了。

对文章感兴趣的欢迎搜索：不喜欢热闹的孩子 不喜欢热闹的孩子

本文由 mdnice 多平台发布

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/641272.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

大模型微调实战笔记

大模型微调实战笔记

大模型三要素 1.算法&#xff1a;模型结构&#xff0c;训练方法 2.数据&#xff1a;数据和模型效果之间的关系&#xff0c;token分词方法 3.算力&#xff1a;英伟达GPU&#xff0c;模型量化 基于大模型对话的系统架构 基于Lora的模型训练最好用&#xff0c;成本低好上手 提…
阅读更多...
CentOS 7安装全解析：适合初学者的指导

CentOS 7安装全解析：适合初学者的指导

目录 前言 一.centos安装 1.下载镜像文件 2.安装 二.远程连接&#xff0c;换源 1.下载并且使用MobaXtermMobaXterm free Xserver and tabbed SSH client for Windows (mobatek.net)https://mobaxterm.mobatek.net/ 远程连接 2.换源 前言 在当今的信息化时代&#xff0c…
阅读更多...
【Leetcode 965.】判断单值二叉树

【Leetcode 965.】判断单值二叉树

单值二叉树&#xff1a; 示例一&#xff1a; 示例二&#xff1a; 代码&#xff1a; bool isUnivalTree(struct TreeNode* root) {if(rootNULL)return true;if(root->left&&root->left->val!root->val)return false;if(root->right&&root-&…
阅读更多...
【LeetCode-135】分发糖果(贪心)

【LeetCode-135】分发糖果(贪心)

LeetCode135.分发糖果 题目描述 老师想给孩子们分发糖果&#xff0c;有 N 个孩子站成了一条直线&#xff0c;老师会根据每个孩子的表现&#xff0c;预先给他们评分。 你需要按照以下要求&#xff0c;帮助老师给这些孩子分发糖果&#xff1a; 每个孩子至少分配到 1 个糖果。…
阅读更多...
Neos的渗透测试靶机练习——DarkHole-2

Neos的渗透测试靶机练习——DarkHole-2

DarkHole-2 一、实验环境二、开始渗透1. 搜集信息2. git文件泄露3. SQL注入4. 提权 三、总结 一、实验环境 虚拟机软件&#xff1a;VirtualBox 攻击机&#xff1a;kali linux&#xff08;网卡初始为仅主机模式&#xff0c;要有安全意识&#xff09; 靶机&#xff1a;DarkHole-…
阅读更多...
vue3+Element plus实现登录功能

vue3+Element plus实现登录功能

一、想要实现的效果 二、搭建登录静态 1、实现左边背景和右边登录栏的总体布局布局&#xff1a; <el-row class"content"><!--el-col 列&#xff1a; --><el-col :span"16" :xs"0" class"content-left"></el-c…
阅读更多...
仓储管理系统——软件工程报告（可行性研究报告及分析）①

仓储管理系统——软件工程报告（可行性研究报告及分析）①

可行性研究报告及分析 一、问题定义 1.1项目背景 随着社会的发展以及企业规模的扩大和业务的复杂化&#xff0c;仓库管理变得愈发重要。传统的手工管理方式已经导致了一系列问题&#xff0c;包括库存准确性低、订单处理效率慢等。为了提高仓库运作效率、降低成本并优化库存管…
阅读更多...
unity 单例模式（实例详解）

unity 单例模式（实例详解）

文章目录 在Unity中&#xff0c;单例模式是一种常用的编程设计模式&#xff0c;用于确保在整个应用程序生命周期中&#xff0c;只有一个类的实例存在。这样可以保证数据的全局唯一性和共享性&#xff0c;例如游戏场景中的资源管理器、游戏控制器、事件管理器等。 以下是一个简单…
阅读更多...
如何用 500 行 SQL 实现 GPT2学习

如何用 500 行 SQL 实现 GPT2学习

目录 理论背景实现过程GenerationTokenizerEmbeddingsAttention为什么我们需要有因果掩码&#xff1f;为什么矩阵是 Q&#xff0c;K 和 V&#xff1f; BlocksTokens为什么要使用 softmax 转换概率&#xff1f;Inference 俄罗斯有个大佬每年都会用 SQL 来实现一个挑战庆祝新年&a…
阅读更多...
Android：JNI实战，理论详解、Java与Jni数据调用

Android：JNI实战，理论详解、Java与Jni数据调用

一.概述 上一篇博文讲解了如何搭建一个可以加载和链接第三方库、编译C/C文件的Jni Demo App。 这篇博文在这个Jni Demo App的基础上&#xff0c;从实战出发详细讲解 Jni 开发语法。 接下来&#xff0c;先用一小节将Jni开发比较重要的理论知识点过一下&#xff0c;然后进行代…
阅读更多...
matlab appdesigner系列-常用17-编辑字段（数值、文本）

matlab appdesigner系列-常用17-编辑字段（数值、文本）

编辑字段&#xff08;数值、文本&#xff09;可直接键入数值、文本&#xff0c;其他组件直接调用其值。也可以利用把其他组件回调的值&#xff0c;返回到编辑字段&#xff08;数值、文本&#xff09;进行显示。 示例&#xff1a;利用按钮组件改变编辑字段&#xff08;数值&…
阅读更多...
详解APQC流程分级分类框架PCF13个高阶分类和5级业务流程

详解APQC流程分级分类框架PCF13个高阶分类和5级业务流程

一&#xff1a;什么是APQC 美国生产力与质量中心(American Productivity and Quality Center&#xff0c;简称为APQC)&#xff0c;创立于1977年是一个会员制的非营利机构&#xff0c;使命是“发现有效的改进方法&#xff0c;广泛地传播其发现成果&#xff0c;实现个人之间及其…
阅读更多...
etcd基本介绍

etcd基本介绍

etcd基本介绍 ETCD是SoreOs公司发布的一个分布式的、高可用的、key-value存储的数据库。基于Go语言实现&#xff0c;k8s中也使用了ETCD作为数据库。主要用于共享配置和服务发现。相对于zookeeper采用的Paxos&#xff0c;ETCD采用的是Raft算法&#xff0c;该算法具备的性能更佳…
阅读更多...
Centos7 安装redis 详细步骤访问不了github和windows系统下载

Centos7 安装redis 详细步骤访问不了github和windows系统下载

windows系统下载 https://hellowindows.cn/ VMware虚拟机安装Windows Server 2016 VL https://blog.csdn.net/qq_37545849/article/details/134828341 VMware全屏时不显示上方命令栏的边缘 此时如果要返回&#xff0c;可以把鼠标移动至屏幕上方边缘短暂停留以呼出命令栏。或使…
阅读更多...
第二篇【传奇开心果短博文系列】Python的OpenCV库技术点案例示例：图像处理

第二篇【传奇开心果短博文系列】Python的OpenCV库技术点案例示例：图像处理

传奇开心果短博文系列 系列短博文目录Python的OpenCV库技术点案例示例短博文系列 博文目录一、项目目标二、第一个示例代码三、第二个示例代码四、第三个示例代码五、第四个示例代码六、第五个示例代码七、知识点归纳总结 系列短博文目录 Python的OpenCV库技术点案例示例短博文…
阅读更多...
OPENGL光线追踪

OPENGL光线追踪

纪念一下运行出了光线追踪代码,用了glfw和glad。 光线的数学表达式 一条光线实际上只是一个起点和一个传播方向&#xff0c;因此光线表达式为&#xff1a; p(t) e t (s-e) 光线与球相交 已知球体的隐式方程为&#xff1a; 把光线 p(t) e t d 代入上述方程&#xff0c;得…
阅读更多...
基于SpringBoot Vue医院门诊管理系统

基于SpringBoot Vue医院门诊管理系统

大家好✌&#xff01;我是Dwzun。很高兴你能来阅读我&#xff0c;我会陆续更新Java后端、前端、数据库、项目案例等相关知识点总结&#xff0c;还为大家分享优质的实战项目&#xff0c;本人在Java项目开发领域有多年的经验&#xff0c;陆续会更新更多优质的Java实战项目&#x…
阅读更多...
RPC和HTTP，它们之间到底啥关系

RPC和HTTP，它们之间到底啥关系

既然有 HTTP 请求&#xff0c;为什么还要用 RPC 调用&#xff1f; gPRC 为什么使用 HTTP/2 Spring Cloud 默认是微服务通过Restful API来进行互相调用各自微服务的方法&#xff0c;同时也支持集成第三方RPC框架&#xff08;这里的说的RPC是特指在一个应用中调用另一个应用的接…
阅读更多...
Git--基本操作介绍(2)

Git--基本操作介绍(2)

Git 常用的是以下 6 个命令&#xff1a;git clone、git push、git add 、git commit、git checkout、git pull. 说明&#xff1a; workspace&#xff1a;工作区staging area&#xff1a;暂存区/缓存区local repository&#xff1a;版本库或本地仓库remote repository&#xf…
阅读更多...
Linux 一键部署grafana

Linux 一键部署grafana

grafana 前言 Grafana 是一款开源的数据可视化和监控仪表盘工具。它提供了丰富的数据查询、可视化和报警功能，可用于实时监控、数据分析和故障排除等领域。 通过 Grafana，您可以连接到各种不同的数据源，包括时序数据库（如 Prometheus、InfluxDB）和关系型数据库（如 MySQ…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023