AAA认证中的RADIUS和TACACS+概述和配置

AAA：

认证，授权，审计是一套针对网络设备的网络访问控制策略安全模型。

AAA的构成：

认证（Authentication）：认证是指用户被授权访问受保护资源之前的身份鉴别过程。

授权（Authorization）：授权是指在准许用户访问网络之后，控制授权用户的权限等级。

审计（Accounting）：审计是指在授权功能后，用来收集用户的活动状态及资源占用等信息。

引入AAA为网络带来的优势：

增加了访问控制的权限：
line，enable等本地密码可以提供的控制灵活性十分有限，AAA可以基于每条命令或每个命令模式，提供额外的灵活授权功能。

可拓展性：
使用设备的本地数据库存放用户名和密码的管理方式会随着网络规模的扩大而增加管理的负担和错误的风险，AAA模型是解决用户拓展性的最好方案。

标准化的认证方法：
AAA支持RADIUS这一业界通用的开放性标准。可以确保不同厂商设备的兼容性。

多台备用设备：
在配置认证方法列表时，可以同时将多台服务器组成一个服务器组。当某台服务器出现故障后，AAA程序会选择同组中的下一台服务器进行通信。

RADIUS和TACACS+：

RADIUS和TACACS+是两种使用C/S模型的AAA协议，当用户机向某台运行AAA的设备发送对于受保护资源的访问请求消息时，网络接入服务器会与AAA服务器交换RADIUS或TACACS+消息，如果认证通过，用户机将可以访问受保护的资源。

RADIUS：

RADIUS是一种完全开放的标准化协议，RADIUS使用端口1812来完成认证和授权，使用端口1813来完成审计。即不是完全的AAA分离。同时网络接入服务器与RADIUS服务器进行通信时，仅对RADIUS包头中的密码字段进行加密，因此安全性不高。