|
ACS for VPN3000设置实例(1)
本文记录利用Cisco Secure ACS服务器为VPN3000提供AAA服务的设置方法：
概述: Cisco Secure ACS是一种AAA服务器。所谓AAA，是指：
认证(authentication)：当NAS(Network Access Server网络访问服务器)收到一个用户认证的请求，它把有关信息通过UDP 1645发给Radius服务器，服务器检查用户数据库确定是否为授权用户，如果是，则给NAS返回验证通过的信息。(参考：RFC 2058)
记帐（accounting）: 如果需要，用户连接结束后，NAS可以将连接持续的时间、流量等信息发给Radius服务器进行记录，作为计费参考资料。(参考：RFC 2059)
授权(authorization): 通过Radius服务器还可以限定用户可以访问的服务。
AAA服务器和NAS之间也可以通过TACACS+(TCP 49)协议来通讯。Cisco Secure ACS(Access Control Server)支持Radius和TACACS+协议。Cisco VPN3030只支持Radius协议。 必须要注意的是Radius是非标准的协议，每个厂家都有各自不同的实现方法，所以对不同的NAS还必需进行协议的定制。在ACS中已经为多种设备定制了Radius协议，如Radius(IOS Devices) Radius(VPN3000)和Radius(Microsoft)等等。
通过引入AAA服务器，可以：
1.解决用户数限制: 例如VPN3030只支持定义500个用户,用ACS可以支持更多用户
2.计费：ACS记录的用户连接时间，通讯量等信息可作计费资料
3.增强安全性: 可以限定用户访问的服务;用户访问的日志可用于安全审计
4.方便管理：用户定义可用于一组设备，无需分别设置和维护
一.ACS安装：
系统需求：PII300 以上CPU/256M内存/Windows 2000 Server 英文版（不安装SP）
注1：ACS v2.5在安装了SP的Windows 2000系统上运行有问题,需要v3.0才能解决
注2：可以安装“用户自助修改密码(web)界面”模块,但该模块需IIS。不安装SP的Windows系统上运行IIS有严重安全问题，所以本安装选择不安装该模块和IIS。
使用ACS光盘上的Install程序交互完成安装。主要选项为：
1.是否保留现有数据库: 全新安装回答“否”;升级安装回答“是”。
2.是否导入配置：如需导入已保存的配置回答“是”。
3.只使用ACS的用户数据库或同时使用Windows系统用户数据库:根据需要选择，本安装选择“只使用ACS的用户数据库”。
4.“Authenticate Users Using”认证协议：选择“Radius(Cisco VPN 3000)”。
| 
