AAA基础知识
AAA采用C/S结构，客户端运行于NAS上，服务器上集中管理用户信息
用户想访问网络资源，从而和网关建立连接，网关把用户的认证、授权、计费信息透传给radius服务器审计计费
AAA中的NAS指的是Network Access Server，网络接入服务器（指的是路由器交换机等网络设备）
网络设备到AAA服务器使用的是Radius协议，1812认证端口、1813计费端口
Radius工作环节
radius服务器的组成:User、Clients、Dictionary
user:用于用户存储用户信息（如用户名、口令以及使用的协议、ip地址等配置信息）
clients:用于存储radius客户端信息（如接入设备的共享密钥、IP地址等）
dictionary:用于存储radius协议中的属性和属性值含义的信息
radius客户端和radius服务器之间认证消息的交互式通过共享密钥完成的，共享密钥不能通过网络传输，增加了信息交互的安全性
为了防止用户密码在不安全的网络上传递时被窃取，在传输过程中对密码进行了加密
报文格式：
认证方式:
1、不认证：对用户非常信任，不对其认证，一般情况不采用这种方式
2、本地认证：将用户信息配置在接入服务器上。优点:速度快，成本低 缺点:硬件条件受限
3、远程认证：与radius协议配合使用，接入服务器作为客户端，与radius服务器通信
授权方式:
1、直接授权:直接授权通过
2、本地授权:根据本地服务器上的账号配置进行相关授权
3、TACACS授权:由Tacacs服务器对用户授权
4、If-authenticated授权:
5、RADIUS认证授权:radius协议的认证和授权是绑定在一起的，不能单独使用RADIUS进行授权
计费方式:审计动作
1、不计费
2、远端计费:通过RADIUS服务器或TACACS服务器进行远端计费
AAA采用C/S、client是被管理的资源、server集中存放用户信息
RADIUS:远程认证拨号用户服务：保护网络不受未授权访问的干扰，常被应用在要求较高的安全性、又要求维持远程用户访问的各种网络环境中
配置AAA
创建AAA域并配置相关属性
1、配置用户使用的AAA方案
2、创建ISP域
3、配置ISP域的状态
4、配置可接入用户数量的最大值
5、配置计费可选开关
radius scheme AAA #创建radius方案名称
primary authentication 172.16.18.1 1812#配置主认证服务器IP地址
primary accounting 172.16.18.1 1813 #配置主审计服务器IP地址
key authentication cipher 123456 #与认证服务器交互报文时的共享密钥为123456
key accounting cipher 123456 #与审计服务器交互报文时的共享密钥为123456
user-name-format without-domain #不携带域名接入用户通常是以"userid@isp-name"格式
nas-ip 172.16.18.254 本设备地址(Radius客户端地址)
server-type extended #服务类型为扩展
security-policy-server 172.16.18.253 部署安全策略服务器
domain ISP #创建域名为ISP
authentication default radius-scheme AAA #认证入口
authorization default radius-scheme AAA #授权入口
accounting default radius-scheme AAA #审计入口
user-interface vty 0 4
authentication-mode scheme
display domain
display domain name default_admin
display authentication-scheme default
display accounting-scheme default
service-scheme 授权方式
AAA 在路由器上可以完成认证、授权功能
CiscoAAA配置信息
Router(config)#aaa new-model 启用aaa
Router(config)#aaa authentication attempts login 2 尝试登陆2次
Router(config)#aaa authentication fail-message C 输入错误密码报错信息
Enter TEXT message. End with the character 'C'.
login invalid!
C
Router(config)#aaa authentication password-prompt logininvalid!
aaa认证密码提示为:logininvalid! （输入认证密码即可）
Router(config)#aaa authentication username-prompt passwd:
aaa认证用户名提示为:passwd:（输入用户名即可）
Router(config)#aaa authentication login local local aaa认证本地认证方式
*May 16 09:55:57.240: %AAAA-4-BADMETHNAME: Bad authentication method-list name "local" (this is only a warning)
Router(config)#username ma password guangjie 用户名ma 密码guangjie
Router(config)#line vty 0 4
Router(config-line)#login authentication local 登录认证为local（local为aaa登录方式的名称）
AAA: Warning authentication list "local" is not defined for LOGIN.
Router(config-line)#transport input telnet 只允许telnet
Router(config-line)#rotary xx （X表示数字，修改后的端口以3000为基数再加上X，假设X=10，则登陆telnet端口是3010）
Router(config-line)#privilege level 15 权限为15级别
Router(config)#access-list 100 deny tcp any any eq telnet 定义网段
Router(config)#access-list 100 permit ip any any
Router(config-line)#access-class 100 in 调用
很多时候我们操作太快很容易操作失误，远程断开连接，没保存设备重启一下即可，远程配置不要急于求快（断开不要老想往人家哪里跑）
原因:
1、设备数量有关、用户名密码不一致、不能集中化管理
2、用户数量、用户多、不能集中化管理
3、用户频繁变动
RADIUS和HWTACACS区别：
