搜索
AAA实验【实验拓扑】【配置AAA服务器】加管理员帐号，点“AdministrationControl”按钮，在添加管理员帐号配置ciscosecureacsHTMLinterface，点interfaceconfiguration。在选择所需的服务，对这次实验，选shell（exec）即可。Networkconfiguration，添加对应的AAAclient，设置其IP地址及Key。如下图：配置用户信息，点“UserSetup”，设置用户密码，选中shell（exec），设置PrivilegeLevel【路由器上的配置】1、enableAAA：Router(config)#aaanew-model2、ConfiguringTACACS+andRADIUSclients：对TACACS＋：Router(config)#tacacs-serverhostip-addressRouter(config)#tacacs-serverkeyword对RADIUS：Router(config)#radius-serverhostip-addressRouter(config)#radius-serverkeyword3、ConfiguringAAAauthentication：Router(config)#aaaauthenticationtype{default|list-name}method1[…[method4]]type分为：login、enable、ppp、local-override、arap、nasi、password-prompt和username-prompt，其中常用的为前面四个。login：为想进入到EXEC命令行模式的用户认证。enable：决定用户是否可以访问特权级命令级。ppp：在运行PPP的串行口上指定认证。local-override：用于某些特殊用户（如系统管理员）快速登录，先使用本地数据库，如果失败再使用后面的认证方式。Listtype分两种，一种是default，一种是命名list。用来指代后面的认证方式列表method1[…[method4]]不同的type对应不同的Method，后面的认证方式只有当前面的认证方式返回了一个出错信息时使用（最多四种Method），而不是在前面的认证失败时使用。一般分为以下几种：enable使用enable口令进行认证krb5使用Kerberos5进行认证line使用线路口进行认证local使用本地用户数据库进行认证none不认证groupradius使用RADIUS进行认证grouptacacs+使用TACACS＋进行认证krb5-telnet当用Telnet连接路由器时，使用Kerberos5Telnet认证协议if-neede如果用户已在TTY上进行了认证，就不再进行认证（用于enabletype）4、ConfiguringAAAauthorization：Router(config)#aaaauthorizationtype{default|list-name}method1[…[method2]]type分为：network所有网络服务，包括SLIP、PPP和ARAPExecEXEC进程commandslevel所指定级别（0到15）的所有EXEC命令config-commands配置命令reverse-access用于反向TelnetMethod分为：if-authenticated如果用户已经通过认证，则允许该用户使用所要求的功能local使用本地用户数据库进行授权none不进行授权groupradius使用RADIUS进行授权grouptacacs+使用TACACS+进行授权krb5-instance使用由“kerberosinstancemap”命令所定义的例子Listtype与authentication一样分两种：default和命名list5、ConfiguringAAAaccounting：Router(config)#aaaaccountingtype{default|list-name}Record-typemethod1[…[method2]]type分为：commondslevel监察所指定特权级（0到15）的所有命令Connection监察所有外出连接，例如Telnet和rloginExec监察EXEC进程Network监察所有网络请求服务，如SLIP、PPP和ARAPSystem监察所有系统级事件，例如系统重启Record－type分为：Start-stop在一个进程开始和结束分别发送一个开始统计和停止统计的通知Stop-only只在用户所请求的进程结束后发送一个停止统计通知wait-start和“start-stop”不同在于开始统计通知被服务器确认之前，用户所请求的服务不会开始Method分为：grouptacacs+和groupradiusListtype与authentication一样，分为：default和命名list【配置示例】(RADIUS的authentication配置与下相似，可选做，但其不能实行authorizationBuildingconfiguration...Currentconfiguration:4102bytes!version12.2aaanew-model!!aaaauthenticationloginTELNETgrouptacacs+localenablenoneaaaauthorizationexecTELNETgrouptacacs+localaaaaccountingexecTELNETstart-stopgrouptacacs+aaaaccountingcommands15TELNETstart-stopgrouptacacs+aaaaccountingnetworkTELNETstart-stopgrouptacacs+aaaaccountingconnectionTELNETstart-stopgrouptacacs+aaaaccountingsystemdefaultstart-stopgrouptacacs+aaasession-idcommonenablepassword7070C285F4D060D00161F!tacacs-serverhost10.2.0.1tacacs-serverkeyciscoteamprivilegeconfigurelevel7snmp-serverhostprivilegeconfigurelevel7snmp-serverenableprivilegeconfigurelevel7snmp-serverprivilegeexeclevel7pingprivilegeexeclevel7configureterminalprivilegeexeclevel7configure!linecon0exec-timeout00loggingsynchronouslineaux0linevty04insecureauthorizationexecTELNETaccountingconnectionTELNETaccountingcommands15TELNETaccountingexecTELNETloggingsynchronousloginauthenticationTELNETtransportinputtelnet!noschedulerallocateendBackupInterface实验目的：配置拨号连接，使其成为一个帧中继网络的备份。在帧中继网络失效时自动启动。实验设备：Cisco1720三台。其中一台用来模拟帧中继交换机。实验原理：一、备份接口备份接口提供了一条冗余的链路，在主链路失效时，备份链路会建立起一条到目的地的连接来代替该主链路。二、用DialerProfiles配置拨号备份拨号接口（Dialerinterface）可以配置成为物理接口之间的逻辑中介。当拨号接口被设置为主链路的备份接口时，如果主链路失效或发生过载，拨号接口就会启动，并从拨号接口中选择一个空闲的物理接口，让它发起呼叫以建立一条备份链路。三、实验拓朴图：说明：远程节点RouterA通过帧中继与中心RouterB连接，该连接是主连接，另外还有一条异步线路（使用Modem）作为备份的连接。要实现的是当主链路失效时，备份链路能自动启动，代替主链路连接到中心，当主链路恢复后，备份链路重新回到Stanby状态。FRswitch是模拟帧中继交换网。实验内容：z配置基本的BackupInterface（使用物理接口）一、路由器的基本配置二、配置拨号连接(物理接口)三、配置帧中继四、配置BackupInterface五、使用动态路由协议z选做实验六、使用DialerProfile配置BackupInterface实验步骤：一、路由器的基本配置RouterB:hostnameRouterB!enablepasswordcisco!interfaceLoopback0ipaddress192.168.0.1255.255.255.0!interfaceLoopback1ipaddress192.168.20.1255.255.255.0!interfaceSerial0ipaddress192.168.192.1255.255.255.0!interfaceSerial1ipaddress192.168.16.2255.255.255.0!!linevty04passwordciscologin!endRouterA:hostnameRouterA!enablepasswordcisco!interfaceLoopback0ipaddress192.168.216.1255.255.255.0!interfaceSerial0ipaddress192.168.192.4255.255.255.0!interfaceSerial1ipaddress192.168.16.4255.255.255.0!!linevty04passwordciscologin!end二、配置拨号连接(物理接口)1．RouterAa)配置串行口为异步模式interfaceSerial1physical-layerasyncipaddress192.168.16.4255.255.255.0encapsulationpppdialerin-band!表示端口支持DDRdialermapip192.168.16.2nameRouterBbroadcast88!中心的ip是16.2号码是88dialer-group1!使用dialer-list1asyncdefaultrouting!允许发布路由更新asyncmodededicatedpppauthenticationchap!使用chap认证!b)配置异步线路line2passwordciscologinmodemInOut2modemautoconfigurediscovery!使用自动配置transportinputallstopbits1speed115200flowcontrolhardware!c)配置Dialerlistdialer-list1protocolippermit!ip数据流出发ddr!d)配置chap认证用户名密码（全局配置模式下）usernameRouterBpasswordcisco!配置chap用户名密码（远端）!2．RouterBa)配置串行口为异步模式interfaceSerial1physical-layerasyncipaddress192.168.16.2255.255.255.0encapsulationpppasyncdefaultroutingasyncmodededicatedpppauthenticationchap!b)配置异步线路line2passwordciscologi