AAA服务器高级应用

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

第七章AAA服务器高级应用

实例案例一 ASA穿越代理实例

一、 实验目的：

学会通过AAA服务器对访问进行控制，会通过AAA服务器为认证用户下发ACL 二、 实验环境和需求

z 服务器安装Windows Server 2003系统

z 在Web Server1和ACS Server上配置IIS搭建Web站 z 客户端访问Web服务器必须通过认证服务器认证授权

z PC1的用户名和密码：benet；PC2的用户名和密码：cisco z PC1权限：访问ACS Server，不能访问Web Server1 z PC2权限：访问Web Server1和ACS Server 三、

公司网络拓朴图

四、实验拓朴图

五、

配置步骤

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

(一) 配置Radius服务器

1、 配置

AAA Server 和 AAA Client

2、添加用户benet和cisco,分别加入group1和 group2，下图以建bnet

用户为例

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

3、分别为 group1和group2配置动态下发

ACL

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

同样再添加一个group2

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

4、配置为用户组下发

ACL

同样，为group2选取要下发的ACL。

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

（二）在没有配AAA认证前检查PC1、PC2能访问两台服务器http服务。 conf t

int e0/0

nameif inside

security-level 100

ip add 192.168.0.254 255.255.255.0 no sh int e0/1 nameif dmz

security-level 50

ip add 192.168.1.254 255.255.255.0 no sh exit

（三）配置ASA穿越代理 ASA接口配置（略）

ASA(config)# access-list http permit tcp any 192.168.1.0 255.255.255.0 eq 80

ASA(config)# access-list http permit tcp any 192.168.1.0 255.255.255.0 eq 23

ASA(config)# access-list http permit tcp any 192.168.1.0 255.255.255.0 eq 21

ASA(config)# aaa-server acs protocol RADIUS

ASA(config-aaa-server-group)# aaa-server acs (dmz) host 192.168.1.3 ASA(config-server-host)# key benet ASA(config-server-host)# exit

ASA(config)# aaa authentication match http inside acs ASA(config)# aaa authentication secure-http-client

ASA(config)# timeout uauth 0:00:00 absolute uauth 0:02:00 inactivity

（四）验证

1、在PC1上用http://192.168.1.2 ,在认证提示框中输用用户benet，密码benet

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

在ASA上用show access-list查看

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

2、在PC2上用http://192.168.1.2

,在认证提示框中输用用户cisco，密码cisco

在ASA上用show access-list

查看

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

（四）本地ACL与动态ACL有效性验证

1、在端口上应用本地ACL时不使用per-user-override参数

1)在ASA上配置ACL禁止认证主机与ACS（192.168.1.3）通讯

Config# access-list test extended deny ip any host 192.168.1.3 Config# access-list test extended permit ip any any 2）将此ACL应用到接口E0/0上，不用per-user-override参数 Config# access-group test in int inside

3) 在PC2上访问WEB（192.168.1.2）通过认证后，发现只能访问WEB服务器不能访问ACS服务器，说明本地ACL起作用。

2、在端口上应用本地ACL时使用per-user-override参数

1)在ASA上修改本地ACL

Config# no access-group test in int inside

Config# access-group test in int inside override

2) 在PC2上访问WEB（192.168.1.2）通过认证后，发现可以访问WEB服务器和ACS

服务器，说明本地ACL不起作用了。

实例案例二 通过AAA服务器为远程接入VPN认证授权

一、 实验目的：

学会通过AAA服务器为远程VPN认证授权。 二、 实验环境和需求

z 服务器安装Windows Server 2003系统

z 在Web Server1和ACS Server上配置IIS搭建Web站 z 在ASA上配置远程访问，当外网用户通过VPN接入时由AAA服务器对进行认证授

权，授权包括客户端IP和访问服务器的权限。 z PC1的用户名和密码：vpnuser；

z PC1权限：访问Web Server1，不能访问ACS Server

三、公司网络拓朴图

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

四、实验拓朴图

五、 配置步骤

(一) 配置Radius服务器

1、配置AAA client 和AAA

服务器

2、配置Downloadable IP ACLs.

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

3、配置IP

地址池

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

4、添加用户benet，加入group3，配置组group3。

AAA高级应用,ASA穿越代理、Easy VPN和SSL VPN认证授权。

配置

group3