AAA AAA란라우터로접속하는사용자에대한인증, 권한, 과금을수행하기위한보안관련기능을수행하며, 클라이언트장비가서버쪽장비와연결되어네트워크서비스연결을시도할때도 AAA 기능을통해서장비인증및권한을실시한다. AAA 기능을사용하기이전에는라우터접근제어는 Console 라인과 VTY

Similar documents
본교재는수업용으로제작된게시물입니다. 영리목적으로사용할경우저작권법제 30 조항에의거법적처벌을받을수있습니다. [ 실습 ] 스위치장비초기화 1. NVRAM 에저장되어있는 'startup-config' 파일이있다면, 삭제를실시한다. SWx>enable SWx#erase sta

4. 스위치재부팅을실시한다. ( 만약, Save 질문이나오면 'no' 를실시한다.) SWx#reload System configuration has been modified. Save? [yes/no]: no Proceed with reload? [confirm] (

Microsoft PowerPoint - ch13.ppt

< FBBE7B0EDB3EBC6AE5FB5F0C6FAC6AEC6D0BDBABFF6B5E5C3EBBEE0C1A128BCF6C1A4292E687770>

VTP(VLAN Trunk Protocol) Cisco 전용프로토콜로서트렁크로연결된스위치간에 VLAN 정보를공유하는기능을수행한다. 즉, 하나의스위치에서 VLAN을생성하거나, 삭제또는수정을실시하면, 트렁크로연결된다른스위치에게변경된 VLAN 데이터베이스정보를공유하는기능을담

GRE(Generic Routing Encapsulation) GRE는 Cisco에서개발한터널링프로토콜으로써특정네트워크망에서새로운 IP 헤더를인캡슐레이션하여패켓을전송하는 VPN 기능을제공한다. GRE 터널링을이용하여패켓을전송하면, 데이터를암호화하지않기때문에보안적으로는취

Microsoft PowerPoint - ch15.ppt

IEEE 802.1w RSTP 본교재는수업용으로제작된게시물입니다. 영리목적으로사용할경우저작권법제 30 조항에의거법적처벌을받을수있습니다. RSTP는 IEEE 802.1d STP 컨버전스에비해서포트이전이상당히빠른 STP를의미한다. IEEE 802.1d STP 컨버전스는경우

Sena Device Server Serial/IP TM Version

본교재는수업용으로제작된게시물입니다. 영리목적으로사용할경우저작권법제 30 조항에의거법적처벌을받을수있습니다. 제 28 장이더체널 블로그 : net123.tistory.com 저자김정우

USB USB DV25 DV25 REC SRN-475S REC SRN-475S LAN POWER LAN POWER Quick Network Setup Guide xdsl/cable Modem PC DVR 1~3 1.. DVR DVR IP xdsl Cable xdsl C

PWR PWR HDD HDD USB USB Quick Network Setup Guide xdsl/cable Modem PC DVR 1~3 1.. DVR DVR IP xdsl Cable xdsl Cable PC PC DDNS (

Microsoft Word - release note-VRRP_Korean.doc

ACL(Access Control List) 네트워크에서전송되는트래픽을제어하는것은보안적인관점에서중요한이슈이다. 이때, ACL 은트래픽필 터링과방화벽을구축하는데가장중요한요소일뿐만아니라, 라우팅환경에서서브넷과호스트를정의하는 경우에도중요한요소가된다. ACL 개요 ACL은라우

최종연습 LAN2 1. 호스트이름, enable 패스워드변경 ( 토폴로지참고 ) - 스위치와라우터의 MD5로암호화된 enable passwod : Cisco123 가. 스위치이름 : SW1, SW2 나. 라우터이름 : RT Switch(config)#hostname S

Windows 8에서 BioStar 1 설치하기

운영체제실습_명령어

TTA Journal No.157_서체변경.indd

Microsoft PowerPoint - 2.Catalyst Switch Intrastructure Protection_이충용_V1 0.ppt [호환 모드]

Windows Server 2012

소개 TeraStation 을 구입해 주셔서 감사합니다! 이 사용 설명서는 TeraStation 구성 정보를 제공합니다. 제품은 계속 업데이트되므로, 이 설명서의 이미지 및 텍스트는 사용자가 보유 중인 TeraStation 에 표시 된 이미지 및 텍스트와 약간 다를 수

서버설정 1. VLAN 설정 1.1 토폴로지를참고로 SW1 에 vlan 설정을한다. (vlan 이름을설정하고해당인터페이스에 vlan 이름과동일한코멘트를처리하시오.) 1.2 PC에토폴로지에부여된 IP를설정하고, 게이트웨이는네트워크의마지막주소를사용합니다. - 서버에는 DN

VPN.hwp

1) 인증서만들기 ssl]# cat > // 설명 : 발급받은인증서 / 개인키파일을한파일로저장합니다. ( 저장방법 : cat [ 개인키

SMB_ICMP_UDP(huichang).PDF

이도경, 최덕재 Dokyeong Lee, Deokjai Choi 1. 서론

목차 데모 홖경 및 개요... 3 테스트 서버 설정... 4 DC (Domain Controller) 서버 설정... 4 RDSH (Remote Desktop Session Host) 서버 설정... 9 W7CLIENT (Windows 7 Client) 클라이얶트 설정

RHEV 2.2 인증서 만료 확인 및 갱신

Remote UI Guide

untitled

Solaris Express Developer Edition

HLS(HTTP Live Streaming) 이용가이드 1. HLS 소개 Apple iphone, ipad, ipod의운영체제인 ios에서사용하는표준 HTTP 기반스트리밍프로토콜입니다. 2. HLS 지원대상 - 디바이스 : iphone/ipad/ipod - 운영체제 :

chapter4

게시판 스팸 실시간 차단 시스템

1) 인증서만들기 ssl]# cat > // 설명 : 발급받은인증서 / 개인키파일을한파일로저장합니다. ( 저장방법 : cat [ 개인키

Raspbian 설치 라즈비안 OS (Raspbian OS) 라즈베리파이 3 Model B USB 마우스 USB 키보드 마이크로 SD 카드 마이크로 SD 카드리더기 HDM I 케이블모니터

ORANGE FOR ORACLE V4.0 INSTALLATION GUIDE (Online Upgrade) ORANGE CONFIGURATION ADMIN O

TTA Verified : HomeGateway :, : (NEtwork Testing Team)

Secure Programming Lecture1 : Introduction

PowerPoint 프레젠테이션

1. Windows 설치 (Client 설치 ) 원하는위치에다운받은발송클라이언트압축파일을해제합니다. Step 2. /conf/config.xml 파일수정 conf 폴더에서 config.xml 파일을텍스트에디터를이용하여 Open 합니다. config.xml 파일에서, 아

(......).hwp

슬라이드 1

4. IP 설정호스트 인터페이스 IP/ 프리픽스 게이트웨이 lock Rate fa 0/ /25 - fa 0/0 R1 fa 0/ /26 - s 0/0/ / ISP fa 0/0

*****

Splentec V-WORM Quick Installation Guide Version: 1.0 Contact Information 올리브텍 주소 : 경기도성남시분당구구미로 11 ( 포인트타운 701호 ) URL: E-M

Microsoft Word - NAT_1_.doc

CCNA security.hwp

IP 심화 라우팅프로토콜적용시 라우팅테이블에서 이니셜이있는네트워크를설정하는것 : onnected 직접연결된네트워크를의미한다. 그러므로라우팅은 나는이런네트워크와연결되어있다. 를직접연결된라우터들에게알려주는것 1>en 1#conf t 1(config)#router rip 1

Microsoft Word - src.doc

SQL Developer Connect to TimesTen 유니원아이앤씨 DB 기술지원팀 2010 년 07 월 28 일 문서정보 프로젝트명 SQL Developer Connect to TimesTen 서브시스템명 버전 1.0 문서명 작성일 작성자

untitled

<4D F736F F F696E74202D E20B3D7C6AEBFF6C5A920C7C1B7CEB1D7B7A1B9D62E >

네트워크연결매뉴얼 SRP-Q300/302 감열식프린터 Rev

Solaris System Administration

The Pocket Guide to TCP/IP Sockets: C Version

Microsoft PowerPoint - ch07.ppt

Microsoft Word Question.doc

[ 네트워크 1] 3 주차 1 차시. IPv4 주소클래스 3 주차 1 차시 IPv4 주소클래스 학습목표 1. IP 헤더필드의구성을파악하고요약하여설명할수있다. 2. Subnet ID 및 Subnet Mask 를설명할수있고, 각클래스의사용가능한호스트수와사설 IP 주소및네트

순서 OAuth 개요 OAuth 1.0 규격 OAuth 2.0 규격

정보기기운용기능사모의고사 1 풀이 1. 기억하세요. 가. 명령어가생각나지않을때? 를입력하세요. 나. 명령어앞의 2~3글자를쓰고탭 (Tab) 키를누르세요. 그러면자동으로완성됩니다. 다. 파일을열고곧바로 [File-SaveAs] 눌러서파일이름을 비번호 로바꿔저장하세요. 2

아래 항목은 최신( ) 이미지를 모두 제대로 설치하였을 때를 가정한다

토폴로지 2( 풀이 ) 1. 요구사항 가. 주어진자료 ( 토폴로지 2.pka) 를참고하여네트워크구성작업을완성하시오. 2. 작업내용가. 설명 - 현재토폴로지에이미통신이가능한모든설정이되어있습니다. - 그러나, 보안문제로지금부터주어진조건으로설정을다시하고자합니다. - 총 4개

<C0CCBCBCBFB52DC1A4B4EBBFF82DBCAEBBE7B3EDB9AE2D D382E687770>

ATXEVZTBNXGP.hwp

Windows 네트워크 사용 설명서


untitled

歯김병철.PDF

untitled

IP Cam DDNS 설정설명서(MJPEG) hwp

슬라이드 1

untitled

(SW3704) Gingerbread Source Build & Working Guide


PowerPoint 프레젠테이션

hd1300_k_v1r2_Final_.PDF

Oracle hacking 작성자 : 임동현 작성일 2008 년 10 월 11 일 ~ 2008 년 10 월 19 일 신규작성 작성내용

DBMS & SQL Server Installation Database Laboratory

ARMBOOT 1

1217 WebTrafMon II

PPP over Ethernet 개요 김학용 World Class Value Provider on the Net contents Ⅰ. PPP 개요 Ⅱ. PPPoE 개요및실험 Ⅲ. 요약및맺음말

RVC Robot Vaccum Cleaner

Microsoft PowerPoint - 06-IPAddress [호환 모드]

희망브리지

. PC PC 3 [ ] [ ], [ ] [ ] [ ] 3 [ ] [ ], 4 [ ] [ ], 4 [Internet Protocol Version 4 (TCP/IPv4)] 5 [ ] 6 [ IP (O)], [ DNS (B)] 7 [ ] 한국어 -

KISA-GD

Microsoft PowerPoint - 권장 사양

PowerPoint 프레젠테이션

Install stm32cubemx and st-link utility

TCP.IP.ppt

2009년 상반기 사업계획

슬라이드 1

Microsoft Word - ntasFrameBuilderInstallGuide2.5.doc

Microsoft PowerPoint 통신 및 압축 명령어.ppt

ÀÎÅÍ³Ý ÁøÈï¿ø 3¿ù ÀúÇØ»ó

2 PX-8000과 RM-8000/LM-8000등의 관련 제품은 시스템의 간편한 설치와 쉬운 운영에 대한 고급 기술을 제공합니다. 또한 뛰어난 확장성으로 사용자가 요구하는 시스템을 손쉽게 구현할 수 있습니다. 메인컨트롤러인 PX-8000의 BGM입력소스를 8개의 로컬지

1,000 AP 20,000 ZoneDirector IT 5, WLAN. ZoneFlex AP ZoneDirector. WLAN. WLAN AP,,,,,,., Wi-Fi. AP. PSK PC. VLAN WLAN.. ZoneDirector 5000 WLAN L

Network Security - Wired Sniffing 실습 ICNS Lab. Kyung Hee University

Transcription:

제 9 장 AAA 블로그 : net123.tistory.com - 1 - 저자김정우

AAA AAA란라우터로접속하는사용자에대한인증, 권한, 과금을수행하기위한보안관련기능을수행하며, 클라이언트장비가서버쪽장비와연결되어네트워크서비스연결을시도할때도 AAA 기능을통해서장비인증및권한을실시한다. AAA 기능을사용하기이전에는라우터접근제어는 Console 라인과 VTY 라인에설정된패스워드를통하여접속제어를실시하였다. 그러나 AAA 기능이활성화되면, 다음과같이모든접속인증및권한, 과금은 AAA를통해서실시한다. [ 그림 9-1] AAA 활성화이후접속인증 / 권한 / 과금 라우터에 AAA 기능을활성화하려면다음과같이 aaa new-model 명령어를실행하고, 사용자정보를기본적으로 1개이상은만들어야한다. 이유는 AAA 기능이활성화되면, VTY 라인으로접속되는사용자들에대해서 Username과 Password를기본적으로물어보게된다. 그렇기때문에사용자정보를생성하지않으면, 다시 VTY 라인으로텔넷접속을하게되면, 사용자정보가없기때문에접속할수없게된다. 단, 콘솔라인으로접속할경우에는 Username과 Password를기본적으로물어보지않는다. ( 이유 : 콘솔라인마저도 Username과 Password를물어보면, 라우터를접속할수있는방법이없기때문이다.) [ 예제 9-1] AAA 기능활성화및사용자정보생성 R1(config)#aaa new-model R1(config)#username test password test AAA 기능이활성화되면, 콘솔라인과 VTY 라인에설정된 login 명령어가사라진다. 이유는 AAA 인증을통하 여접속하기때문이다. [ 예제 9-2] AAA 기능활성화이후콘솔및 VTY 라인설정변경내용 ( 좌 : 활성화이전, 우 : 활성화이후 ) R1#show run section line R1#show run section line line con 0 line con 0 password ciscocon password ciscocon login!! line vty 0 4 line vty 0 4 password ciscovty password ciscovty login 블로그 : net123.tistory.com - 2 - 저자김정우

AAA 는다음과같이 3 가지기능을그룹화하여말하는용어이다. [ 표 9-1] AAA 기능및용어압축 Authentication Authorization Accounting 내용 - 라우터로접속하는콘솔, VTY 라인에대한로그인인증을수행한다. - PPP 연결인증및 dot1x 인증을통하여호스트를연결한다. - 인증된사용자에게라우터접근모드및명령어권한을할당한다. - 인증된클라이언트에게네트워크관련서비스권한을할당한다. - 인증된사용자및클라이언트가로컬장비로접속및접속해지한시간 / 날짜, 그리고수행하는명령어및접근내용을기록한다. - 이정보를근거로사용내역및침해흔적을검색할수있다. 인증 (Authentication) 인증은라우터콘솔및 VTY 라인으로접속하는사용자를인증하거나, PPP 및 dot1q 방식을통하여연결되는 호스트를인증할때사용한다. AAA 인증관련명령어는다음과같다. [ 예제 9-3] AAA 인증명령어 R1(config)#aaa authentication? 1 arap Set authentication lists for arap. 2 attempts Set the maximum number of authentication attempts 3 banner Message to use when starting login/authentication. 4 dot1x Set authentication lists for IEEE 802.1x. 5 enable Set authentication list for enable. 6 fail-message Message to use for failed login/authentication. 7 login Set authentication lists for logins. 8 password-prompt Text to use when prompting for a password 9 ppp Set authentication lists for ppp. 10 username-prompt Text to use when prompting for a username 1 Radius or Tacacs+ 인증서버를사용하는 Appletalk Remote Access 프로토콜사용자에대한 AAA 인증을활성화할때사용한다. 2 인증시도회수를지정한다. 기본값은 3 으로설정되어있다. 3 로그인배너를설정한다. 4 dot1x 인증을통하여호스트를연결할때사용한다. 5 Privilege Exec 모드접속인증을구현할때사용한다. enable secret, line 패스워드, Radius/Tacacs+ 서버를통하여인증할수있다. 6 인증실패출력메시지를변경할때사용한다. 기본적으로 % Authentication failed 문구로출력한다. 7 라우터콘솔및 VTY 라인으로접속인증을구현할때사용한다. enable, secret, line 패스워드, Local 사용자정보, Radius/Tacacs+ 서버를통하여인증할수있다. 8 패스워드프롬프트 password: 을다른문구로변경할때사용한다. 블로그 : net123.tistory.com - 3 - 저자김정우

영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. 9 PPP 네트워크연결인증을실시할때사용한다. 10 사용자이름 username: 을다른문구로변경할때사용한다. 다양한인증옵션이지원되지만, 그중에 login 설정을중점적으로알아보도록하자. login 은라우터로콘솔 및 VTY 라인으로접속할때사용자를인증하기위한설정이다. 이때접속인증방법은다음과같이여러개로 나눠진다. [ 예제 9-4] aaa authentication login default 명령어 R1(config)#aaa authentication login default? 1 2 enable Use enable password for authentication. 3 group Use Server-group 4 krb5 Use Kerberos 5 authentication. 5 krb5-telnet Allow logins only if already authenticated via Kerberos V Telnet. 6 line Use line password for authentication. 7 local Use local username authentication. 8 local-case Use case-sensitive local username authentication. 9 none NO authentication. 1 aaa authentication login 명령어다음에는인증리스트이름을직접설정할수있다. 만약 default 로지정하면자동으로콘솔과 VTY 라인에인증리스트가적용된다. 2 사용자가콘솔및 VTY 라인으로접속하면, enable secret 패스워드로인증한다. 3 사용자가콘솔및 VTY 라인으로접속하면, Radius 또는 Tacacs+ 인증서버로부터인증한다. 4 사용자가콘솔및 VTY 라인으로커버로스 5를사용한다. 5 사용자가 VTY 라인으로접속할때커버로스 5 텔넷인증프로토콜을사용한다. 6 사용자가콘솔라인으로접속하면콘솔패스워드, VTY 라인으로접속하면 VTY 패스워드로인증한다. 7 사용자가콘솔및 VTY 라인으로접속하면, 사용자정보 (Username/Password) 로인증한다. 8 local 명령어와동일하지만, username에대해서대소문자를구분한다. 9 인증단계없이콘솔및 VTY 라인으로접속가능하다. aaa authentication login default enable 명령어 이방법은라우터콘솔및 VTY 라인으로접속할때, 인증패스워드를 enable secret 패스워드를사용한다. R1 에서설정하도록하자. [ 예제 9-5] enable secret 패스워드를이용하는인증설정 R1(config)#aaa authentication login default enable 설정이완료되었다면, R4 에서 R1 으로텔넷접속을실시하여확인하도록하자. 블로그 : net123.tistory.com - 4 - 저자김정우

영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. [ 예제 9-6] enable secret 패스워드를이용하는인증정보확인 r1 User Access Verification Password: <cisco> R1>exit 이때, R1 콘솔접속시패스워드는 cisco 를사용한다. 확인이완료되었다면, 다음내용을알아보기위해서설 정을삭제하도록하자. [ 예제 9-7] enable secret 패스워드를이용하는인증설정삭제 R1(config)#no aaa authentication login default enable aaa authentication login default line 명령어 이방법은라우터콘솔및 VTY 라인으로접속할때, 인증패스워드를각각의라인패스워드를사용한다. R1 에서설정하도록하자. [ 예제 9-8] enable secret 패스워드를이용하는인증설정 R1(config)#aaa authentication login default line 설정이완료되었다면, R4 에서 R1 으로텔넷접속을실시하여확인하도록하자. [ 예제 9-9] 라인패스워드를이용하는인증정보확인 r1 User Access Verification Password: <ciscovty> R1>exit 블로그 : net123.tistory.com - 5 - 저자김정우

이때, R1 콘솔접속시패스워드는 ciscocon 을사용한다. 확인이완료되었다면, 다음내용을알아보기위해서 설정을삭제하도록하자. [ 예제 9-10] 라인패스워드를이용하는인증설정삭제 R1(config)#no aaa authentication login default line aaa authentication login default local 명령어 이방법은라우터콘솔및 VTY 라인으로접속할때, 사용자정보 (username/password) 사용한다. 만약, localcase 로설정하면, 사용자정보의 username 에대해서대소문자를구분한다. R1 에서설정하도록하자. [ 예제 9-11] 사용자정보를이용하는인증설정 R1(config)#aaa authentication login default local 설정이완료되었다면, R4 에서 R1 으로텔넷접속을실시하여확인하도록하자. [ 예제 9-12] 사용자정보를이용하는인증정보확인 r1 User Access Verification Username: test Password: <test> R1>exit 이때, R1 콘솔접속시에도사용자정보를이용하여인증한다. 확인이완료되었다면, 다음내용을알아보기 위해서설정을삭제하도록하자. [ 예제 9-13] 사용자정보를이용하는인증설정삭제 R1(config)#no aaa authentication login default local 블로그 : net123.tistory.com - 6 - 저자김정우

aaa authentication login default none 명령어 이방법은라우터콘솔및 VTY 라인으로접속할때, 인증을하지않는다. R1 에서설정하도록하자. [ 예제 9-14] 인증하지않는설정 R1(config)#aaa authentication login default none 설정이완료되었다면, R4 에서 R1 으로텔넷접속을실시하여확인하도록하자. [ 예제 9-15] 인증하지않는정보확인 r1 R1>exit 이때, R1 콘솔접속시에도인증하지않는다. 확인이완료되었다면, 다음내용을알아보기위해서설정을삭 제하도록하자. [ 예제 9-16] 사용자정보를이용하는인증설정삭제 R1(config)#no aaa authentication login default none aaa authentication login default group radius 명령어 이방법은라우터콘솔및 VTY 라인으로접속할때, Radius 인증서버로부터인증을실시한다. 이때, 라우터 는인증클라이언트가되며, 사용자정보 (username/password) 를 Radius 인증서버에게전송하여, 서버로부 터인증을받게된다. R1 에서설정하도록하자. [ 예제 9-17] Radius 서버인증설정 R1(config)#aaa authentication login default group radius local R1(config)#radius-server host 13.13.11.100 key cisco1234 Radius 인증서버 (13.13.11.100) 로부터인증하기때문에 Radius 서버를지정해야하며, Radius 서버연결이안될것을대비하여 2차인증방법을명시하는것을권장한다. 설정이완료되었다면, R4에서 R1으로텔넷접속을실시하여확인하도록하자. 이때, Radius 서버연결이없기때문에라우터에서사용자정보를이용한인증을실시할것이다. 블로그 : net123.tistory.com - 7 - 저자김정우

영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. [ 예제 9-18] Radius 서버인증정보확인 r1 User Access Verification Username: test Password: <test> R1>exit 이때, R1 콘솔접속시에도 Radius 서버인증을실시한다. 현재 Radius 서버연결이없기때문에라우터에서 사용자정보를이용한인증을실시한다. 확인이완료되었다면, 다음내용을알아보기위해서설정을삭제하 도록하자. [ 예제 9-19] Radius 서버인증설정삭제 R1(config)#no aaa authentication login default group radius local R1(config)#no radius-server host 13.13.11.100 key cisco1234 aaa authentication login default group tacacs+ 명령어 이방법은라우터콘솔및 VTY 라인으로접속할때, Tacacs+ 인증서버로부터인증을실시한다. 이때, 라우터 는인증클라이언트가되며, 사용자정보 (username/password) 를 Radius 인증서버에게전송하여, 서버로부 터인증을받게된다. R1 에서설정하도록하자. [ 예제 9-20] Tacacs+ 서버인증설정 R1(config)#aaa authentication login default group tacacs+ local R1(config)#tacacs-server host 13.13.11.100 key cisco1234 Tacacs+ 인증서버 (13.13.11.100) 로부터인증하기때문에 Tacacs+ 서버를지정해야하며, Tacacs+ 서버연결이안될것을대비하여 2차인증방법을명시하는것을권장한다. 설정이완료되었다면, R4에서 R1으로텔넷접속을실시하여확인하도록하자. 이때, Tacacs+ 서버연결이없기때문에라우터에서사용자정보를이용한인증을실시할것이다. [ 예제 9-21] Tacacs+ 서버인증정보확인 r1 블로그 : net123.tistory.com - 8 - 저자김정우

User Access Verification Username: test Password: <test> R1>exit 이때, R1 콘솔접속시에도 Tacacs+ 서버인증을실시한다. 현재 Tacacs+ 서버연결이없기때문에라우터에 서사용자정보를이용한인증을실시한다. 확인이완료되었다면, 다음내용을알아보기위해서설정을삭제 하도록하자. [ 예제 9-22] Tacacs+ 서버인증설정삭제 R1(config)#no aaa authentication login default group tacacs+ local R1(config)#no tacacs-server host 13.13.11.100 key cisco1234 Radius 인증과정 IETF 에서정의한프로토콜이며 UDP 를사용한다. 인증과권한은 UDP 포트번호 1645 과 1812 을사용하며, 과금은 UDP 포트번호 1646 과 1813 을사용한다. 동작과정은다음과같다. [ 그림 9-2] Radius 인증과정 1 R1이사용자에게 username: 프롬프트를표시한다. 2 사용자는 username test 를입력한다. 3 R1이사용자에게 password: 프롬프트를표시한다. 4 사용자는 password test 를입력한다. 5 R1은 username과 password를암호화하여 Radius 서버에게 access-request 메세지로전송한다. 6 Radius 서버는사용자정보를검색하며, 인증이허용된사용자에게제공할권한내용을 access-accept 메세지를전송한다. 만약, 인증이실패되면 access-reject 메세지를전송하여거부한다. 블로그 : net123.tistory.com - 9 - 저자김정우

Tacacs+ 인증과정 Cisco 전용프로토콜이며 TCP 를사용한다. 인증, 권한, 과금전부 TCP 포트번호 49 를사용한다. 또한, Radius 에서는사용자정보 (username/password) 만암호화했던반면에, Tacacs+ 는 TCP 헤더를제외한나머지 정보를암호화한다. 동작과정은다음과같다. [ 그림 9-3] Tacacs+ 인증과정 1 사용자가접근요청을실시한다. 2 R1은 Tacacs+ 서버로부터 username 프롬프트를요청한다. 3 Tacacs+ 서버는 username 프롬프트를제공한다 4 R1은사용자에게 username: 프롬프트를표시한다. 5 사용자는 username test 를입력한다. 6 R1은 Tacacs+ 서버에게 username test 를전송한다. 7 R1은 Tacacs+ 서버로부터 password 프롬프트를요청한다. 8 Tacacs+ 서버는 password 프롬프트를제공한다 9 R1은사용자에게 password: 프롬프트를표시한다. 10 사용자는 password test 를입력한다. 11 R1은 Tacacs+ 서버에게 password test 를전송한다. 12 Tacacs+ 서버는사용자정보를검색하며, 인증이허용되면 accept 메세지를전송하고, 인증이실패되면 reject 메세지를전송하여접근을거부한다. 기타인증명령어 [ 예제 9-23] PPP 연결인증설정 R1(config)#aaa authentication ppp default local 1 R1(config)#aaa authentication dot1x default local 2 1 PPP 로동작하는인터페이스에서호스트 / 라우터를네트워크로연결하기위한인증을실시할때사용한다. 2 dot1x 인증을실시하여스위치포트로연결되는호스트를인증할때사용한다. 블로그 : net123.tistory.com - 10 - 저자김정우

권한 (Authorization) 본교재는수업용으로제작된게시물입니다. 권한은인증된사용자에게라우터에서사용할수있는명령어범위및네트워크연결서비스에대한범위를 할당할때사용한다. AAA 권한관련명령어는다음과같다. [ 예제 9-24] AAA 권한명령어 R1(config)#aaa authorization? 1 commands For exec (shell) commands. 2 configuration For downloading configurations from AAA server 3 console For enabling console authorization 4 exec For starting an exec (shell). 5 network For network services. (PPP, SLIP, ARAP) 6 reverse-access For reverse access connections 1 특정특권레벨을갖고있는사용자에게제공하는명령어범위를지정할때사용한다. 2 AAA 서버로부터설정내용을다운로드할수있는권한을설정할때사용한다. 3 콘솔접속시에도권한을할당할때사용한다. 4 Privilege Exec 모드로접속할수있는권한을설정할때사용한다. 5 네트워크관련서비스요청에대한권한을설정할때사용한다. 6 리버스텔넷과같은리버스접근연결에대한권한을설정할때사용한다. 다양한권한옵션이지원되지만, 그중에 exec 와 command 설정을중점적으로알아보도록하자. aaa authorization exec default 명령어 이권한설정은인증된사용자에게라우터 Privilege Exec 모드로바로접근할수있게할때사용한다. 이때, 각사용자들은자신들의특권레벨로접근한다. 그럼 R1 에서사용자정보 2 개를생성하고권한을설정하도 록하자. [ 예제 9-25] Privilege Mode 접근권한설정 R1(config)#username admin privilege 15 password cisco R1(config)#username guest privilege 5 password cisco1234 R1(config)# R1(config)#aaa authorization exec default group tacacs+ local 만약, 권한설정시마지막에 if-authenticated 명령어를사용하면, 권한설정이전에이미인증된사용자는 해당권한이자동으로적용된다. 설정이완료되었다면, R4 에서 R1 으로텔넷접속을실시하되, admin 으로접 속하도록하자. 이때, Tacacs+ 서버가없기때문에라우터에서로컬인증을실시한다. 블로그 : net123.tistory.com - 11 - 저자김정우

영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. [ 예제 9-26] admin 을이용한 Privilege Mode 접근권한정보확인 r1 User Access Verification Username: admin Password: <cisco> R1# R1#show privilege Current privilege level is 15 R1# R1#exit 이때, admin 는특권레벨이 15 이므로모든명령어가허용된다. 이번에는 guest 로접속하도록하자. [ 예제 9-27] guest 를이용한 Privilege Mode 접근권한정보확인 r1 User Access Verification Username: guest Password: <cisco1234> R1# R1#show privilege Current privilege level is 5 R1# R1#conf t ^ % Invalid input detected at '^' marker. R1#exit 블로그 : net123.tistory.com - 12 - 저자김정우

영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. 정보확인결과, guest 는특권레벨이 5이므로기본명령어만수행할수있기때문에 conf t 명령어가허허용되지않는다. 이때, 특권레벨 0~14는기본명령어만수행할수있으며, 특권레벨 15는모든명령어가가능하다. aaa authorization command [level 0~15] default 명령어 이권한설정은인증된사용자에게특권레벨에따라서사용할수있는명령어범위를지정할때사용한다. 현재 Tacacs+ 서버연결이없기때문에로컬라우터에서명령어권한을할당해야한다. 그럼 R1 에서명령어 권한및로컬라우터에서할당한명령어범위를설정하도록하자. [ 예제 9-28] 명령어사용권한설정 R1(config)#aaa authorization commands 5 default group tacacs+ local R1(config)#aaa authorization commands 15 default group tacacs+ local R1(config)# R1(config)#privilege exec level 5 debug ip rip 1 R1(config)#privilege exec level 5 conf t 2 R1(config)#privilege configure level 5 interface 3 R1(config)#privilege interface level 5 ip address 4 1 특권레벨 5에대해서 Privilege Mode에서 debug ip rip 명령어가가능하도록한다. 2 특권레벨 5에대해서 Privilege Mode에서 conf t 명령어가가능하도록한다. 3 특권레벨 5에대해서 Global Mode에서 interfacae 명령어가가능하도록한다. 4 특권레벨 5에대해서 Interface Setup Mode에서 ip address 명령어가가능하도록한다. 설정이완료되었다면, R4 에서 R1 으로 guest 로접속하여, 위에설정한명령어를사용할수있는지확인하도 록하자. [ 예제 9-29] guest 가사용할수있는명령어정보확인 r1 User Access Verification Username: guest Password: <cisco1234> R1# R1#debug ip rip RIP protocol debugging is on 블로그 : net123.tistory.com - 13 - 저자김정우

영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. R1#conf t Enter configuration commands, one per line. End with CNTL/Z. R1(config)# R1(config)#interface fa0/1 R1(config-if)#ip address 13.13.11.1 255.255.255.0 R1(config-if)#end R1# R1#exit aaa authorization network default 명령어 이권한설정은인증된사용자에게 PPP 와같은네트워크관련서비스요청에대한권한을할당할때사용한 다. 즉, 네트워크서비스사용을허가하기위해서인증을실시한이후, 인증이허용되면네트워크서비스를 사용하게되며, 인증이실패되면모든네트워크서비스를사용할수없게된다. 명령어는다음과같다. [ 예제 9-30] 네트워크서비스요청권한설정 R1(config)#aaa authorization network default group tacacs+ local aaa authorization console 명령어 이권한설정은콘솔접속시인증된사용자에게바로 Privilege Mode 로접근가능한권한을할당할때사용 한다. 이때, 인증된사용자정보특권레벨에따라서권한이적용된다. 명령어는다음과같다. [ 예제 9-31] 콘솔접속시권한할당설정 R1(config)#aaa authentication login default group tacacs+ local R1(config)#aaa authorization console 다음내용을알아보기위해서여태까지설정한권한설정을삭제하도록하자. [ 예제 9-32] 권한할당설정삭제 R1(config)#no aaa authentication login default group tacacs+ local R1(config)#no aaa authorization console R1(config)#no aaa authorization exec default group tacacs+ local R1(config)#no aaa authorization commands 5 default group tacacs+ local R1(config)#no aaa authorization commands 15 default group tacacs+ local R1(config)#no aaa authorization network default group tacacs+ local 블로그 : net123.tistory.com - 14 - 저자김정우

과금 (Accounting) 본교재는수업용으로제작된게시물입니다. 과금은인증된사용자들이라우터를접속한날짜 / 시간및수행하는명령어를기록에남기는기능을수행한다. 또한네트워크연결서비스에대한기록을실시하여요금청구나보안을위한리포트를기록하는기능을수행 한다. AAA 과금관련명령어는다음과같다. [ 예제 9-33] AAA 과금명령어 R1(config)#aaa accounting exec default start-stop group tacacs+ R1(config)#aaa accounting commands 5 default start-stop group tacacs+ R1(config)#aaa accounting commands 15 default stop-only group tacacs+ R1(config)#aaa accounting connection default start-stop group tacacs+ R1(config)#aaa accounting system default start-stop group tacacs+ 과금옵션명령어는다음과같다. [ 표 9-2] 과금옵션명령어 명령어 내용 auth-proxy 인증된모든프록시사용자이벤트에관한정보를제공 exec Privilege Mode에서하는내용들에대한과금을제공함 command 지정된특권레벨에서모든명령어에대한과금을실행함 connection 라우터에서만들어진모든아웃바운드연결에관한정보를제공함 system 사용자와연계되지않는시스템레벨의모든이벤트에대한과금을수행함 start-stop 프로세서가시작할때 'start', 프로세서가끝날때 'stop' 과금공지를전송함 stop-only 요청된사용자프로세서의마지막에 'stop' 과금공지를전송함 다음내용을알아보기위해서과금설정을삭제하도록하자. [ 예제 9-34] AAA 과금명령어삭제 R1(config)#no aaa accounting exec default start-stop group tacacs+ R1(config)# no aaa accounting commands 5 default start-stop group tacacs+ R1(config)# no aaa accounting commands 15 default stop-only group tacacs+ R1(config)# no aaa accounting connection default start-stop group tacacs+ R1(config)# no aaa accounting system default start-stop group tacacs+ 블로그 : net123.tistory.com - 15 - 저자김정우

AAA 설정예제 본교재는수업용으로제작된게시물입니다. 그럼 R1 에서 AAA 기능을이용한인증, 권한, 과금을구현하도록하자. [ 예제 9-35] AAA 설정예제 R1(config)#aaa new-model R1(config)# R1(config)#username test password test R1(config)# R1(config)#aaa authentication login CON local R1(config)#aaa authentication login VTY group tacacs+ local R1(config)# R1(config)#tacacs-server host 13.13.11.100 key cisco1234 R1(config)# R1(config)#line con 0 R1(config-line)#login authentication CON R1(config-line)# R1(config-line)#line vty 0 4 R1(config-line)#login authentication VTY R1(config-line)#username admin privilege 15 password cisco R1(config)#username guest privilege 5 password cisco1234 R1(config)# R1(config)#aaa authorization console R1(config)#aaa authorization exec default group tacacs+ local R1(config)#aaa authorization network default group tacacs+ local R1(config)#aaa authorization commands 15 default group tacacs+ local R1(config)#aaa authorization commands 5 default group tacacs+ local R1(config)#aaa accounting exec default start-stop group tacacs+ R1(config)#aaa accounting commands 5 default start-stop group tacacs+ R1(config)#aaa accounting commands 15 default stop-only group tacacs+ R1(config)#aaa accounting connection default start-stop group tacacs+ R1(config)#aaa accounting system default start-stop group tacacs+ 인증설정 권한설정 과금설정 이와같은설정은 SDM 툴을이용하여 GUI 기반으로도설정이가능하다. 또한, Tacacs+ 서버는 Cisco ACS 서 버에서구현할수있으며, Cisco ACS 서버도 GUI 기반으로사용자정보, 인증, 권한, 과금설정이가능하다. 블로그 : net123.tistory.com - 16 - 저자김정우