Настройка локальной аутентификации и авторизации¶

Описание и назначение функции¶

Локальная аутентификация и авторизация позволяют контролировать доступ к управлению коммутатором через встроенную базу данных пользователей без использования внешних серверов RADIUS или TACACS+. Система AAA проверяет учетные данные при подключении через консоль или виртуальные терминалы (VTY), определяет права доступа пользователя и разрешает выполнение команд согласно настроенным политикам.

Основные сценарии использования:

Централизованное управление учетными записями на устройстве при отсутствии инфраструктуры AAA-серверов
Резервный механизм аутентификации при недоступности внешних серверов
Тестовые стенды и лабораторные среды с ограниченным количеством администраторов
Критичные сегменты сети, где требуется автономная работа без зависимости от внешних систем

Метод применяется когда достаточно локального хранения учетных данных и отсутствует необходимость в централизованном журналировании доступа.

Необходимые условия и предварительные требования¶

Для настройки локальной аутентификации и авторизации требуется:

Доступ к привилегированному режиму EXEC (Privileged EXEC)
Возможность входа в режим глобальной конфигурации (Global Configuration)
Версия ПО: 5.3.0 и выше (серия CIT L3200)
Планирование учетных записей: имена пользователей, пароли, уровни привилегий
Определение методов аутентификации для каждого типа подключения (консоль, VTY)

Примечание

Пароли должны содержать минимум 8 символов и включать буквы в разных регистрах, цифры и специальные символы для обеспечения безопасности.

Назначение команд конфигурации¶

Команда	Режим	Назначение
`aaa authentication login method <name> local`	Global config	Создает список методов аутентификации с использованием локальной базы данных
`aaa authorization method <name> local`	Global config	Создает список методов авторизации для определения прав доступа
`username <name> group <group> password <password>`	Global config	Добавляет локального пользователя с указанием группы и пароля
`username <name> domain all`	Global config	Разрешает пользователю доступ из любого домена
`line console <number>`	Global config	Переход в режим конфигурации консольной линии
`line vty <start> <end>`	Global config	Переход в режим конфигурации виртуальных терминальных линий (Telnet/SSH)
`login authentication aaa method <name>`	Line config	Применяет список методов аутентификации к линии
`login authorization aaa method <name>`	Line config	Применяет список методов авторизации к линии
`enable authentication <type>`	Line config	Устанавливает метод аутентификации для повышения привилегий до режима enable

Команды позволяют создать политики доступа и применить их к различным интерфейсам управления коммутатором.

Пример конфигурирования¶

Пошаговые инструкции¶

Шаг 1. Вход в режим глобальной конфигурации

1 2	`SW4>enable SW4#configure`

Переход в режим глобальной конфигурации для создания объектов AAA.

Шаг 2. Создание локальной учетной записи администратора

1	`SW4(config)#username admin_aaa group administrators password Admin123!`

Команда создает пользователя admin_aaa с назначением в группу administrators и заданным паролем. Пароль автоматически хешируется и сохраняется в зашифрованном виде.

Шаг 3. Настройка доступа для всех доменов

1	`SW4(config)#username admin_aaa domain all`

Разрешает пользователю подключаться независимо от домена, что упрощает доступ в гетерогенных средах.

Шаг 4. Создание списка методов аутентификации

1 2	`SW4(config)#aaa SW4(config-aaa)#aaa authentication login method MGMT_LOCAL local`

Создается именованный список методов MGMT_LOCAL, использующий локальную базу данных для проверки учетных данных при входе.

Шаг 5. Создание списка методов авторизации

1 2	`SW4(config-aaa)#aaa authorization method MGMT_LOCAL local SW4(config-aaa)#exit`

Настраивается авторизация с тем же именем для определения прав пользователя после успешной аутентификации.

Шаг 6. Применение методов к виртуальным терминалам

SW4(config)#line vty 1 15
SW4(config-line)#login authentication aaa method MGMT_LOCAL
SW4(config-line)#login authorization aaa method MGMT_LOCAL
SW4(config-line)#exit

Список методов применяется к линиям VTY 1-15 (Telnet/SSH подключения). Без этой настройки созданные политики не будут активны.

Шаг 7. Применение методов к консольному порту

SW4(config)#line console 1
SW4(config-line)#login authentication aaa method MGMT_LOCAL
SW4(config-line)#enable authentication none
SW4(config-line)#exit

Настройка аутентификации для консоли обеспечивает защиту даже при физическом доступе. Параметр enable authentication none отключает дополнительную проверку при переходе в привилегированный режим.

Шаг 8. Завершение конфигурации

1 2	`SW4(config)#exit SW4#`

Полный вывод выполненных конфигураций¶

Команды для copy-paste в режиме privileged EXEC:

configure
username admin_aaa group administrators password Admin123!
username admin_aaa domain all
aaa
aaa authentication login method MGMT_LOCAL local
aaa authorization method MGMT_LOCAL local
exit
line vty 1 15
login authentication aaa method MGMT_LOCAL auth-type pap
login authorization aaa method MGMT_LOCAL
enable authentication none
exit
line console 1
login authentication aaa method MGMT_LOCAL auth-type pap
enable authentication none
exit
end

Вывод show running-config:

!
username admin_aaa group administrators password $1$gs5b$dBONi/SQ8H/8ZsQYV0edg/
!
aaa
 aaa authentication login method MGMT_LOCAL local
!
line console 1
 no monitor
 timeout 10 0
 login authentication aaa method MGMT_LOCAL auth-type pap
 enable authentication none
line vty 1 15
 length 24
 no monitor
 timeout 10 0
 login authentication aaa method MGMT_LOCAL auth-type pap
 login authorization aaa method MGMT_LOCAL
 enable authentication none
!

Изучение состояния устройства¶

Просмотр конфигурации¶

Проверка активной конфигурации:

1	`SW4#show running-config`

Обратите внимание на строки:

1	- `username <name> group <group> password $1$...` – пользователи с хешированными паролями

aaa authentication login method <name> local – активные списки методов аутентификации
login authentication aaa method <name> – применение методов к линиям

Просмотр параметров работы¶

Проверка настроенных методов AAA:

SW4(config)#show aaa method
Method Name                        : MGMT_LOCAL          <---- имя списка методов
  Method Apply Type                : login
  Method Apply Funtion             : authentication
  Method Local                     : enable              <---- используется локальная база
  Method None                      : disable

Просмотр конфигурации AAA:

SW4(config)#show aaa config
Version                             : AAA_VB3.00.00.00
!
aaa
 aaa authentication login method MGMT_LOCAL local       <---- активный метод

Проверка локальных пользователей:

1	`SW4(config)#show user verbose`

Команда отображает список созданных учетных записей, их группы и статус.

История возникновения команды¶

Версия ПО

Команды в данной главе применимы для:

Аппаратных платформ CIT серии L3200 с установленной версией ПО 5.3.0 и выше
Являются актуальными с версии ПО 5.3.0

Реализация локальной аутентификации соответствует общепринятым стандартам управления доступом к сетевому оборудованию и совместима с концепциями AAA, описанными в RFC 2865 (RADIUS) и RFC 8907 (TACACS+).

Ссылка на внешнюю документацию¶

Стандарт

RFC 2865 "Remote Authentication Dial In User Service (RADIUS)" описывает принципы работы систем аутентификации и авторизации. RFC 8907 "The Terminal Access Controller Access-Control System Plus (TACACS+) Protocol" определяет стандарты протокола TACACS+ для AAA-сервисов. При возникновении вопросов обратитесь к технической поддержке.