内容发布更新时间 : 2024/12/23 19:15:59星期一 下面是文章的全部内容请认真阅读。
名师精编 精品教案
AAA认证配置、广域网链路
引入：
通过讲述路由器配置的安全性，为何需要对路由器进行安全认证，限制远程用户的非法连接与授权等，实现网络安全管理。
新授： 一、 AAA认证配置
AAA系统的简称：
认证(Authentication)：验证用户的身份与可使用的网络服务； 授权(Authorization)：依据认证结果开放网络服务给用户；
计帐(Accounting)：记录用户对各种网络服务的用量，并提供给计费系统。 AAA-----身份验证 (Authentication)、授权 (Authorization)和统计 (Accounting)Cisco开发的一个提供网络安全的系统。奏见authentication。authorization和accounting
常用的AAA协议是Radius
另外还有 HWTACACS协议（Huawei Terminal Access Controller Access Control System）协议。HWTACACS是华为对TACACS进行了扩展的协议
HWTACACS是在TACACS（RFC1492）基础上进行了功能增强的一种安全协议。该协议与RADIUS协议类似，主要是通过“客户端－服务器”模式与HWTACACS服务器通信来实现多种用户的AAA功能。
HWTACACS与RADIUS的不同在于：
l RADIUS基于UDP协议，而HWTACACS基于TCP协议。
l RADIUS的认证和授权绑定在一起，而HWTACACS的认证和授权是独立的。 l RADIUS只对用户的密码进行加密，HWTACACS可以对整个报文进行加密。 认证方案与认证模式
AAA支持本地认证、不认证、RADIUS认证和HWTACACS认证四种认证模式，并允许组合使用。
组合认证模式是有先后顺序的。例如，authentication-mode radius local表示先使用RADIUS认证，RADIUS认证没有响应再使用本地认证。
当组合认证模式使用不认证时，不认证（none）必须放在最后。例如：authentication-mode radius local none。
认证模式在认证方案视图下配置。当新建一个认证方案时，缺省使用本地认证。 授权方案与授权模式
AAA支持本地授权、直接授权、if-authenticated授权和HWTACACS授权四种授权模式，并允许组合使用。
组合授权模式有先后顺序。例如,authorization-mode hwtacacs local表示先使用HWTACACS授权，HWTACACS授权没有响应再使用本地授权。
当组合授权模式使用直接授权的时候，直接授权必须在最后。例如：authorization-mode hwtacacs local none
授权模式在授权方案视图下配置。当新建一个授权方案时，缺省使用本地授权。 RADIUS的认证和授权是绑定在一起的，所以不存在RADIUS授权模式。 计费方案与计费模式 AAA支持六种计费模式：本地计费、不计费、RADIUS计费、HWTACACS计费、同时RADIUS、
名师精编 精品教案
本地计费以及同时HWTACACS、本地计费。
AAA ，认证(Authentication)：验证用户的身份与可使用的网络服务;授权(Authorization)：依据认证结果开放网络服务给用户;计帐(Accounting)：记录用户对各种网络服务的用量，并提供给计费系统。整个系统在网络管理与安全问题中十分有效。
首先，认证部分提供了对用户的认证。整个认证通常是采用用户输入用户名与密码来进行权限审核。认证的原理是每个用户都有一个唯一的权限获得标准。由AAA服务器将用户的标准同数据库中每个用户的标准一一核对。如果符合，那么对用户认证通过。如果不符合，则拒绝提供网络连接。
接下来，用户还要通过授权来获得操作相应任务的权限。比如，登陆系统后，用户可能会执行一些命令来进行操作，这时，授权过程会检测用户是否拥有执行这些命令的权限。简单而言，授权过程是一系列强迫策略的组合，包括：确定活动的种类或质量、资源或者用户被允许的服务有哪些。授权过程发生在认证上下文中。一旦用户通过了认证，他们也就被授予了相应的权限。 最后一步是帐户，这一过程将会计算用户在连接过程中消耗的资源数目。这些资源包括连接时间或者用户在连接过程中的收发流量等等。可以根据连接过程的统计日志以及用户信息，还有授权控制、账单、趋势分析、资源利用以及容量计划活动来执行帐户过程。
验证授权和帐户由AAA服务器来提供。AAA服务器是一个能够提供这三项服务的程序。当前同AAA服务器协作的网络连接服务器接口是“远程身份验证拨入用户服务 (RADIUS)”。
RADIUS
RADIUS：Remote Authentication Dial In User Service，远程用户拨号认证系统由RFC2865，RFC2866定义，是目前应用最广泛的AAA协议。
RADIUS是一种C/S结构的协议，它的客户端最初就是NAS（Net Access Server）服务器，任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP、CHAP或者Unix登录认证等多种方式。RADIUS是一种可扩展的协议，它进行的全部工作都是基于Attribute-Length-Value的向量进行的。RADIUS也支持厂商扩充厂家专有属性。
由于RADIUS协议简单明确，可扩充，因此得到了广泛应用，包括普通电话上网、ADSL上网、小区宽带上网、IP电话、VPDN（Virtual Private Dialup Networks，基于拨号用户的虚拟专用拨号网业务）、移动电话预付费等业务。IEEE提出了802.1x标准，这是一种基于端口的标准，用于对无线网络的接入认证，在认证时也采用RADIUS协议。
案例： Router>en Router#conf t
Router(config)#aaa new-model
Router(config)#username aaa password abc
Router(config)#aaa authentication loginfirst group tacacs+ local Router(config)#aaa authentication loginsecond local enable Router(config)#line vty 0
Router(config-line)#login authenticationfirst Router(config-line)#line vty 1
Router(config-line)#login authenticationsecond Router(config-line)#
名师精编 精品教案
二、 广域网链路
窄带广域网
PSTN：Public Switched Telephone Network，公共交换电话网 ISDN：Integrated Services Digital Network，综合业务数字网 DDN：Digital Data Network，数字数据网 帧中继：Frame Relay X.25：公用分组交换网 宽带广域网
ATM：异步传输模式 SDH：同步数字系列 异步串口
两种异步串口：异步串口分为设置成异步方式的同/异步串口和专用异步串口 异步串口可以设为专线方式和拨号方式，常用的是拨号方式 同步串口
可以工作在DTE和DCE两种方式 可以外接多种类型电缆 支持多种链路层协议
支持IP和IPX网络层协议
display interface serial命令可显示同步串口的信息 DDN专线
数字数据网DDN（Digital Data Network）是利用数字信道传输数据信号的数据传输网 。 DDN网是由数字传输电路和相应的数字交叉复用设备组成。其中，数字传输主要以光缆传输电路为主，数字交叉连接复用设备对数字电路进行半固定交叉连接和子速率的复用。
DTE： 数据终端设备--接入DDN网的用户端设备可以是局域网，通过路由器连至对端，也可以是一般的异步终端或图像设备，以及传真机、电传机、电话机等。DTE和DTE之间是全透明传输。
DSU： 数据业务单元--可以是调制解调器或基带传输设备，以及时分复用、语音/数字复用等设备。
DTE和DSU主要功能是业务的接入和接出。 特点：
（1）传输速率高： 在DDN网内的数字交叉连接复用设备能提供2Mbps或N×64Kbps（≤2M）速率的数字传输信道。
（2）传输质量较高： 数字中继大量采用光纤传输系统，用户之间专有固定连接，网络时延小。
（3）协议简单： 采用交叉连接技术和时分复用技术，由智能化程度较高的用户端设备来完成协议的转换，本身不受任何规程的约束，是全透明网，面向各类数据用户。
（4）灵活的连接方式： 可以支持数据、语音、图像传输等多种业务，它不仅可以和用户终端设备进行连接，也可以和用户网络连接，为用户提供灵活的组网环境。
（5）电路可靠性高： 采用路由迂回和备用方式，使电路安全可靠。
（6）网络运行管理简便： 采用网管对网络业务进行调度监控，业务的迅速生成。 接入方式：
通过调制解调器接入DDN
在模拟专用网和电话网上开放的数据业务采用这种方式。调制解调又器分为基带和频带传输两种。