Authentication Authorization Accounting (AAA) 認證授權與計費

前言

Authentication、Authorization 及 Accounting 合稱 AAA，泛指伺服器或網絡設備上對使用者的控制和監察，以達至企業或組織的保安準則。本文會先介紹網絡設備的 Local AAA 機制，然後再進一步介紹 Remote AAA Server 的種類和設定方法。

Authentication 認證

Authentication 就等於網絡設備在問：「你是誰？」。透過輸入 Username 讓設備知道你是誰人，並輸入 Password 去證明你的身份。所以我們需要預先告訴網絡設備什麼 Username 將會用什麽 Password 登入，最直接的方法是在設備上設定，稱為 Local 設定，又或者另設 Authentication Server 作遙距設定 (Remote)，Remote Authentication Server 最常用的有 RADIUS 和 TACACS+，Remote 設定稍後說明。以下先在 Router 上設定 Local AAA，相信大家對這些設定並不陌生：

如輸入時不選參數 0 或 7，預設使用 0，即沒有加密。

R1(config)#username alice password ?
  0     Specifies an UNENCRYPTED password will follow
  7     Specifies a HIDDEN password will follow
  LINE  The UNENCRYPTED (cleartext) user password

R1(config)#username alice password 123

但沒有加密的密碼會在 Running-config 中顯示。

R1(config)#do sh run | i username
username alice password 0 123
R1(config)#

用 service password-encryption 可把密碼加密，以下可見密碼 123 經加密後變成 1543595F，而參數自動變成 7，方便網管人員把設定複製到其他設備上。

R1(config)#service password-encryption 
R1(config)#do sh run | i username
username alice password 7 1543595F

但這是很陽春的加密，網上已有破解，所以還是比較建議使用 secret。如用 GNS3 做實驗，會見到 4 (SHA256) 和 5 (MD5)，而 SHA256 因安全問題已被移除了，在新的 IOS 中應看見選項 8 和 9，是安全性較高的加密。

R1(config)#username bob secret ?
  0 Specifies an UNENCRYPTED secret will follow 
  5 Specifies a MD5 HASHED secret will follow 
  8 Specifies a PBKDF2 HASHED secret will follow 
  9 Specifies a SCRYPT HASHED secret will follow 
  LINE The UNENCRYPTED (cleartext) user secret 
   
R1(config)#username bob secret 123
R1(config)#do sh run | i username
username alice password 7 14464058
username bob secret 8 daKYKG/09tp/TYVbvxlDi8/85nzz5u/yaMu4xzSWSiA

有一個設定是比較容易被忽略的，就是 User 的 Privilege。Cisco IOS 讓我們為 User 設定 0 至 15 一共 16 個層級的 Privilege，如不填寫則預設為 1。Privilege 的概念是：層級越低則權限越少，可用的指令就越少；相反層級越高，可用的指令越多。每一個層級可用指令必然包含較低的所有層級，舉例：Privilege 10 的 User 除了可使用 Privilege 10 的指令，也可使用全部 Privilege 0 至 9 的指令。IOS 原廠設定只使用了 16 個 Privilege 裡面其中 3 個，分別是 0、1 和 15。

Privilege 俗稱 可用指令
0 – 只有 enable, disable, exit, help, logout 5 個指令可用。
1 User Mode 多了很多資訊性的指令可用，例如 show version 和 show inventory 等，
但不包括 show running-config。此層級也不能做任何設定。
2 – 14 – 層級可用的指令由網絡人員設定，設定方法稍後說明。
15 Privileged / Enable Mode 可使用全部指令。

以下指令把 Charlie 的 Privilege 設為 5：

R1(config)#username charlie privilege ?
    User privilege level

R1(config)#username charlie privilege 5 secret 456

雖然我們為每位 User 設定好 Privilege，但因應工作關係，他們可能需要把 Privilege 升級去使用某些高階指令。升級需要輸入該層的通關密碼，網管人員可預先把每層的密碼設定好：

R1(config)#enable secret level 1 S01
R1(config)#enable secret level 2 S02
R1(config)#enable secret level 3 S03
.
.
.
R1(config)#enable secret level 14 S14
R1(config)#enable secret level 15 S15

如果你用 GNS3 來做以下實驗，必需先把 line console 0 (Console 登入) 和 line vty 0 4 (SSH 或 Telnet 登入) 裡面的 privilege level 15 移除，這是 GNS3 為了方便我們才加上去的設定。另外，也要告訴 line 和 vty 使用 Local 來驗證 User。

R1(config)#line console 0
R1(config-line)#no privilege level 15
R1(config-line)#login local
R1(config-line)#line vty 0 4
R1(config-line)#no privilege level 15
R1(config-line)#login local

所以，現在當 Charlie 登入時會在 Privilege 5，可用指令 show privilege 去確認。後來，她用了某些方法向網管人員取得了通關密碼 😳，此時她用 enable <level> 並輸入密碼去到她想去的層級。

	User Access Verification

Username: charlie
Password: 

R1#show privilege 
Current privilege level is 5
R1#enable 10
Password: 
R1#show privilege 
Current privilege level is 10

升級至 Privilege 10 後 Charlie 除了可使用 Privilege 10 的指令，也包括了 0 至 9 的所有指令。如用 enable 指令時不輸入層級，則預設為最高層級 15。當然她要知道 level 15 的 enable secret。

R1#enable 
Password: 
R1#show privilege 
Current privilege level is 15

除了升級也可降級，降級是不需要使用密碼的，指令是 disable <level>。

R1#disable 7
R1#show privilege 
Current privilege level is 7

Authorization 授權

如果 Authentication 等於網絡設備在問：「你是誰」，那麽 Authorization 就是問：「你可以做什麼？」。我們在上一個部份已解釋過，Router 會跟據 Privilege Level 去配指令。原廠設定下，Privilege 0 只有幾個指令可用，Privilege 1 可用大部份 show 指令，而 Privilege 15 則可用全部指令。如果我們想容許 Privilege 5 可以做 Interface 的 IP Address 設定，指令如下：

首先在 exec mode 為 Privilege 5 開放 configure terminal 指令。

R1(config)#privilege exec level 5 configure terminal

然後在 configure mode 裡開放 interface 指令。

R1(config)#privilege configure level 5 interface

最後在 interface mode 裡開放 ip address 指令。

R1(config)#privilege interface level 5 ip address

現在，Privilege 5 或以上的 user 可以為 interface 設定 ip 了。

R1#show privilege 
Current privilege level is 5
R1#configure terminal 
Enter configuration commands, one per line.  End with CNTL/Z.
R1(config)#interface ethernet 1/1
R1(config-if)#ip address 192.168.100.1 255.255.255.0

Accounting 計費

Accounting 帶出的問題是：「你做過什麼？」網絡設備可以把 User 登入登出時間和下過的指令記錄下來，方便日後問責之用 🤨。譯作計費的原因是古時在網絡服務還在按用量付費時，Accounting 的登入登出紀錄真的可用作計費之用。但 Accounting 必需配合 TACACS+ Server，因而沒有 Local 設定。

TACACS+ Server

假如你管理的網絡 User 少而且網絡設備數量少，Local AAA 設定是足夠應付的。相反，如果規模大則應使用 Remote AAA 設定。RADIUS Server 可管理用戶的 Authentication，而 TACACS+ Server 則可進一步處理用戶的 Authorization 和 Accounting。不缺錢的公司多會使用 Cisco ACS (Cisco Access Control System) 用作 TACACS+ Server，預算較緊張或者只作學習用途的話，筆者介紹 tac plus，這是一套在 Linux 上運行的 TACACS+ Server，功能齊備而且免費。

安裝 tac plus

首先你要有 Linux，以下用 CentOS 6.9 示範如何使用 yum 來安裝 tac plus。

[root@TACPLUS ~]#vim /etc/yum.repos.d/nux-misc.repo

填入以下內容：

[nux-misc]
name=Nux Misc
baseurl=http://li.nux.ro/download/nux/misc/el6/x86_64/
enabled=0
gpgcheck=1
gpgkey=http://li.nux.ro/download/nux/RPM-GPG-KEY-nux.ro

然後安裝 tac_plus：

[root@TACPLUS ~]#yum --enablerepo=nux-misc install tac_plus

tac plus 的設定檔在 /etc/tac_plus.conf。以下是 tac_plus.conf 檔的一些基本參數和說明。

# TACACS+ Server 的 Key，網絡設備需設定相同的 Key 才能與其連接。 
key = ccie

# 用作 Accounting 的記錄檔位置
accounting file = /var/log/tac.acct

# 把 User jan 放進 user5 這個 User Group
user = jan {
        member = user5
}

group = user5 {
    # PAM 即是使用 Linux 本機的登錄帳號
    login = PAM

    # 把這個 group 的 privilege 設為 5
    service = exec {
        priv-lvl = 5
    }
}

# 可設定不同 Privilege 層級的 enable 密碼，為方便測試使用了 cleartext (不加密)，真實環境建議用 des 加密。
user = $enab5$ {
        login = cleartext s5
}
user = $enab10$ {
        login = cleartext s10
}
user = $enab15$ {
        login = cleartext s15
}

別忘記在 Linux 新增 jan 這位 User。

[root@TACPLUS ~]# useradd jan
[root@TACPLUS ~]# passwd jan
Changing password for user jan.
New password:
BAD PASSWORD: it is WAY too short
BAD PASSWORD: is too simple
Retype new password:
passwd: all authentication tokens updated successfully.

最後把 tac_plus 這個服務啟動。

[root@TACPLUS ~]# service tac_plus start
Starting tacacs+:                                          [  OK  ]

網絡設備連接 TACACS+

現在示範怎樣把 AAA 連接到 TACACS+ Server，有一個技巧是要留意的，因為 TACACS+ 始終是依靠網絡連接，一旦網絡發生問題時，網絡設備無法連接 TACACS+ Server，豈不是無法進行登入？因此我們通常把 TACACS+ 設為首選 AAA 方案，而 Local 會被設為第二方案，好讓 TACACS+ 無法連接時，設備自動使用第二方案來認證 User。

第一步：啟動 AAA new-model

R1(config)#aaa new-model

第二步：設定 TACACS+ 資料

R1(config)#tacacs server TACACS-SERVER
R1(config-server-tacacs)#address ipv4 192.168.1.21
R1(config-server-tacacs)#key ccie

第三步：設定 Authentication

首先，建立一組用來做 Authentication 的 Priority List，LIST_LOGIN 為 List 的名稱，使用 group tacacs+ 為第一方案，local 為第二方案。

R1(config)#aaa authentication login LIST_LOGIN group tacacs+ local

然後告訴 Console 登入時按 LIST_LOGIN 的設定來檢查認證。

R1(config)#line console 0
R1(config-line)#login authentication LIST_LOGIN

同樣在 VTY 進行設定。

R1(config)#line vty 0 4
R1(config-line)#login authentication LIST_LOGIN

另外，把 Enable Password 也設定成查找 TACACS+，第二方案 enable 意思是本機的 enable secret，List 名稱不用設，用 default 便可以了。

R1(config)#aaa authentication enable default group tacacs+ enable

第四步：設定 Authorization

當 User Login 時，我們想去 TACACS+ 查找這 User 獲得什麼 Privilege 層級。步驟相若，先建 Authorization 的 Priority List。

R1(config)#aaa authorization exec LIST_PRIV group tacacs+ local

在 Console 加入 List 設定，然後會看到系統要求再加一條 aaa authorization console 的設定，照辦便可。

R1(config)#line console 0
R1(config-line)#authorization exec LIST_PRIV 
%Authorization without the global command 'aaa authorization console' is useless
R1(config-line)#exit
R1(config)#aaa authorization console

VTY 設定。

R1(config)#line vty 0 4
R1(config-line)#authorization exec LIST_PRIV

除此之外，各 Privilege 所用的指令也可透過 TACACS+ 設定，但已超出了 CCIE 的範圍，不在此詳述。

第五步：設定 Accounting

Accounting 可以把登入者的登入時間及所下過的指令記錄下來，傳送到 TACACS+ Server。

同樣地，先設定 List，留意 accounting 並不可使用 Local。exec 中的參數 start-stop 即登入和登出都記錄，如使用 stop-only 則只記錄登出。用在 commands 則沒有影響。

aaa accounting exec LIST_ACC start-stop group tacacs+
aaa accounting commands 5 LIST_COMM_5 start-stop group tacacs+
aaa accounting commands 10 LIST_COMM_10 start-stop group tacacs+
aaa accounting commands 15 LIST_COMM_15 start-stop group tacacs+

把 List 放到 Console。

R1(config)#line console 0
R1(config-line)#accounting exec LIST_ACC 
R1(config-line)#accounting commands 5 LIST_COMM_5 
R1(config-line)#accounting commands 10 LIST_COMM_10 
R1(config-line)#accounting commands 15 LIST_COMM_15

也把 List 放到 VTY。

R1(config)#line vty 0 4
R1(config-line)#accounting exec LIST_ACC 
R1(config-line)#accounting commands 5 LIST_COMM_5 
R1(config-line)#accounting commands 10 LIST_COMM_10 
R1(config-line)#accounting commands 15 LIST_COMM_15

最後可以在 TACACS+ Server 中查看這些紀錄。

[root@TACPLUS etc]# cat /var/log/tac.acct
Jul 22 13:29:06 192.168.1.88    jan     tty0    async   start   task_id=42      timezone=UTC    service=shell
Jul 22 13:47:53 192.168.1.88    jan     tty0    async   stop    task_id=10      timezone=UTC    service=shell disc-cause=1    disc-cause-ext=9        pre-session-time=2      elapsed_time=2  stop_time=1532267261
Jul 22 13:48:37 192.168.1.88    jan     tty0    async   stop    task_id=12      timezone=UTC    service=shell priv-lvl=15     cmd=configure terminal 
Jul 22 13:48:50 192.168.1.88    jan     tty0    async   stop    task_id=13      timezone=UTC    service=shell priv-lvl=15     cmd=configure terminal 
Jul 22 13:48:52 192.168.1.88    jan     tty0    async   stop    task_id=14      timezone=UTC    service=shell priv-lvl=15     cmd=interface Ethernet 1/0 
Jul 22 13:49:04 192.168.1.88    jan     tty0    async   stop    task_id=15      timezone=UTC    service=shell priv-lvl=15     cmd=show running-config 
Jul 22 13:49:17 192.168.1.88    jan     tty0    async   stop    task_id=16      timezone=UTC    service=shell priv-lvl=15     cmd=configure terminal 
Jul 22 13:49:19 192.168.1.88    jan     tty0    async   stop    task_id=17      timezone=UTC    service=shell priv-lvl=15     cmd=do-exec sh run 
Jul 22 13:49:19 192.168.1.88    jan     tty0    async   stop    task_id=18      timezone=UTC    service=shell priv-lvl=15     cmd=show running-config 
Jul 22 13:49:40 192.168.1.88    jan     tty0    async   stop    task_id=20      timezone=UTC    service=shell priv-lvl=15     cmd=configure terminal 
Jul 22 13:49:43 192.168.1.88    jan     tty0    async   stop    task_id=21      timezone=UTC    service=shell priv-lvl=15     cmd=interface Ethernet 1/0 
Jul 22 13:50:31 192.168.1.88    jan     tty0    async   stop    task_id=11      timezone=UTC    service=shell disc-cause=1    disc-cause-ext=9        pre-session-time=3      elapsed_time=26 stop_time=1532277298

相關主題

發佈留言

2018-07-21

Posted In: 保安 Security

Leave a Comment