TACACS+-Authentifizierung
Junos OS Evolved unterstützt TACACS+ für die zentrale Authentifizierung von Benutzern auf Netzwerkgeräten. Um die TACACS+-Authentifizierung auf dem Gerät zu verwenden, müssen Sie (der Netzwerkadministrator) Informationen zu einem oder mehreren TACACS+-Servern im Netzwerk konfigurieren. Sie können auch TACACS+-Accounting auf dem Gerät konfigurieren, um statistische Daten über die Benutzer zu sammeln, die sich bei einem LAN an- oder abmelden, und die Daten an einen TACACS+-Accounting-Server zu senden.
Konfigurieren der TACACS+-Authentifizierung
Die TACACS+-Authentifizierung ist eine Methode zur Authentifizierung von Benutzern, die versuchen, auf ein Netzwerkgerät zuzugreifen.
Führen Sie die folgenden Aufgaben aus, um TACACS+ zu konfigurieren:
- Konfigurieren von TACACS+-Serverdetails
- Konfigurieren von TACACS+ für die Verwendung der Verwaltungsinstanz
- Konfigurieren Sie denselben Authentifizierungsservice für mehrere TACACS+-Server
- Konfigurieren von anbieterspezifischen TACACS+-Attributen für Juniper Networks
Konfigurieren von TACACS+-Serverdetails
Um die TACACS+-Authentifizierung auf dem Gerät zu verwenden, konfigurieren Sie Informationen zu einem oder mehreren TACACS+-Servern im Netzwerk, indem Sie für jeden TACACS+-Server eine tacplus-server Anweisung auf Hierarchieebene [edit system] einfügen. Das Gerät fragt die TACACS+-Server in der Reihenfolge ab, in der sie konfiguriert sind. Wenn der primäre Server (der zuerst konfigurierte) nicht verfügbar ist, versucht das Gerät, jeden Server in der Liste zu kontaktieren, bis es eine Antwort erhält.
Das Netzwerkgerät kann TACACS+-authentifizierte Benutzer einem lokal definierten Benutzerkonto oder Benutzervorlagenkonto zuordnen, wodurch die Autorisierung bestimmt wird. Standardmäßig weist Junos OS Evolved dem Benutzervorlagenkonto remoteTACACS+-authentifizierte Benutzer zu, falls konfiguriert, wenn:
-
Für den authentifizierten Benutzer ist kein Benutzerkonto auf dem lokalen Gerät konfiguriert.
-
Der TACACS+-Server weist den Benutzer entweder keiner lokalen Benutzervorlage zu, oder die Vorlage, die der Server zuweist, ist nicht auf dem lokalen Gerät konfiguriert.
Der TACACS+-Server kann einen authentifizierten Benutzer einer anderen Benutzervorlage zuweisen, um diesem Benutzer unterschiedliche Administratorberechtigungen zu erteilen. Der Benutzer behält denselben Anmeldenamen in der CLI bei, erbt jedoch die Anmeldeklasse, die Zugriffsrechte und die effektive Benutzer-ID von der zugewiesenen Vorlage. Wenn der TACACS+-authentifizierte Benutzer keinem lokal definierten Benutzerkonto oder einer Benutzervorlage zugeordnet ist und die remote Vorlage nicht konfiguriert ist, schlägt die Authentifizierung fehl.
Der remote Benutzername ist ein Sonderfall in Junos OS Evolved und muss immer in Kleinbuchstaben geschrieben werden. Sie dient als Vorlage für Benutzer, die von einem Remoteserver authentifiziert werden, aber nicht über ein lokal konfiguriertes Benutzerkonto auf dem Gerät verfügen. Junos OS Evolved wendet die Berechtigungen der remote Vorlage auf authentifizierte Benutzer ohne lokal definiertes Konto an. Alle Benutzer, die der remote Vorlage zugeordnet sind, befinden sich in derselben Anmeldeklasse.
Da Remote-Authentifizierung auf mehreren Geräten konfiguriert ist, wird es üblicherweise innerhalb einer Konfigurationsgruppe konfiguriert. Die hier gezeigten Schritte befinden sich in einer Konfigurationsgruppe namens global. Die Verwendung einer Konfigurationsgruppe ist optional.
So konfigurieren Sie die Authentifizierung durch einen TACACS+-Server:
Konfigurieren von TACACS+ für die Verwendung der Verwaltungsinstanz
Standardmäßig leitet Junos OS Evolved Authentifizierungs-, Autorisierungs- und Abrechnungspakete für TACACS+ über die Standard-Routing-Instanz weiter. Sie können TACACS+-Pakete auch über eine Verwaltungsschnittstelle in einer nicht standardmäßigen VRF-Instanz routen.
So leiten Sie TACACS+-Pakete durch die mgmt_junos Verwaltungsinstanz:
-
Aktivieren Sie die
mgmt_junosVerwaltungsinstanz.[edit system] user@host# set management-instance
-
Konfigurieren Sie die
routing-instance mgmt_junosAnweisung für den TACACS+-Authentifizierungsserver und den TACACS+-Accounting-Server, sofern konfiguriert.[edit system] user@host# set tacplus-server server-address routing-instance mgmt_junos user@host# set accounting destination tacplus server server-address routing-instance mgmt_junos
Konfigurieren Sie denselben Authentifizierungsservice für mehrere TACACS+-Server
Sie können denselben Authentifizierungsdienst für mehrere TACACS+-Server konfigurieren, indem Sie Anweisungen auf den [edit system tacplus-server] Hierarchieebenen und [edit system tacplus-options] einschließen.
So weisen Sie mehreren TACACS+-Servern denselben Authentifizierungsdienst zu:
Das folgende Beispiel zeigt, wie Sie denselben Authentifizierungsdienst für mehrere TACACS+-Server konfigurieren:
[edit system]
tacplus-server {
10.2.2.2 secret "$ABC123"; ## SECRET-DATA
10.3.3.3 secret "$ABC123"; ## SECRET-DATA
}
tacplus-options {
service-name bob;
}
Konfigurieren von anbieterspezifischen TACACS+-Attributen für Juniper Networks
Junos OS Evolved kann TACACS+-authentifizierte Benutzer einem lokal definierten Benutzerkonto oder Benutzervorlagenkonto zuordnen, das die Autorisierung bestimmt. Sie können die Zugriffsrechte eines Benutzers optional auch konfigurieren, indem Sie anbieterspezifische TACACS+-Attribute von Juniper Networks auf dem TACACS+-Server definieren. Sie definieren die Attribute in der TACACS+-Serverkonfigurationsdatei für jeden Benutzer. Das Netzwerkgerät ruft diese Attribute durch eine Autorisierungsanforderung des TACACS+-Servers nach der Authentifizierung eines Benutzers ab.
Um diese Attribute anzugeben, fügen Sie eine service Anweisung der folgenden Form in die Konfigurationsdatei des TACACS+-Servers ein:
service = junos-exec {
local-user-name = <username-local-to-router>
allow-commands = "<allow-commands-regex>"
allow-configuration-regexps = "<allow-configuration-regex>"
deny-commands = "<deny-commands-regex>"
deny-configuration-regexps = "<deny-configuration-regex>"
}
Sie können die service Anweisung in einer user Anweisung oder einer group Anweisung definieren.
Konfigurieren der regelmäßigen Aktualisierung des TACACS+-Autorisierungsprofils
Wenn Sie ein Gerät mit Junos OS Evolved für die Verwendung eines TACACS+-Servers für die Authentifizierung konfigurieren, fordert das Gerät die Benutzer zur Eingabe von Anmeldeinformationen auf, die vom TACACS+-Server überprüft werden. Nachdem ein Benutzer erfolgreich authentifiziert wurde, sendet das Netzwerkgerät eine Autorisierungsanforderung an den TACACS+-Server, um das Autorisierungsprofil für den Benutzer abzurufen. Berechtigungsprofile legen die Zugriffsberechtigungen für authentifizierte Benutzer oder Geräte fest.
Der TACACS+-Server sendet das Autorisierungsprofil als Teil einer Autorisierungsantwortnachricht. Der auf dem TACACS+-Server konfigurierte Remotebenutzer wird einem lokalen Benutzer oder einer Benutzervorlage zugeordnet, die auf dem Gerät konfiguriert ist, auf dem Junos OS Evolved ausgeführt wird. Junos OS Evolved kombiniert das Remote-Autorisierungsprofil des Benutzers mit dem lokal konfigurierten Autorisierungsprofil, wobei letzteres auf der Hierarchieebene [edit system login class] konfiguriert wird.
Standardmäßig erfolgt der Austausch von Autorisierungsanforderungs- und -antwortnachrichten nur einmal, nach erfolgreicher Authentifizierung. Sie können die Geräte so konfigurieren, dass Junos OS Evolved regelmäßig das Remote-Autorisierungsprofil vom TACACS+-Server abruft und das lokal gespeicherte Autorisierungsprofil aktualisiert. Diese regelmäßige Aktualisierung stellt sicher, dass das lokale Gerät jede Änderung der Autorisierungsparameter widerspiegelt, ohne dass der Benutzer den Authentifizierungsprozess neu starten muss.
Um die regelmäßige Aktualisierung des Autorisierungsprofils zu aktivieren, müssen Sie das Zeitintervall festlegen, in dem das lokale Gerät das auf dem TACACS+-Server konfigurierte Autorisierungsprofil remote überprüft. Wenn sich das Remote-Autorisierungsprofil ändert, ruft das Gerät das Autorisierungsprofil vom TACACS+-Server und das Autorisierungsprofil ab, das unter der Login-Klassenhierarchie konfiguriert ist. Das Gerät aktualisiert das lokal gespeicherte Autorisierungsprofil, indem es die Remote- und lokal konfigurierten Berechtigungsprofile kombiniert.
Sie können das Aktualisierungszeitintervall lokal auf dem Gerät konfigurieren, auf dem Junos OS Evolved ausgeführt wird, oder direkt auf dem TACACS+-Server. Das Zeitintervall kann zwischen 15 und 1440 Minuten liegen.
Verwenden Sie die folgenden Richtlinien, um zu bestimmen, welche Zeitintervallkonfiguration Vorrang hat:
- Wenn das Aktualisierungszeitintervall nur auf dem TACACS+-Server oder nur auf dem Gerät mit Junos OS Evolved konfiguriert ist, wird der konfigurierte Wert wirksam.
-
Wenn das Aktualisierungszeitintervall sowohl auf dem TACACS+-Server als auch auf dem Gerät mit Junos OS Evolved konfiguriert ist, hat der auf dem TACACS+-Server konfigurierte Wert Vorrang.
-
Wenn weder auf dem TACACS+-Server noch auf dem Gerät mit Junos OS Evolved ein Aktualisierungszeitintervall konfiguriert ist, findet keine regelmäßige Aktualisierung statt.
-
Wenn das auf dem TACACS+-Server konfigurierte Aktualisierungszeitintervall außerhalb des gültigen Bereichs liegt oder ungültig ist, wird das lokal konfigurierte Aktualisierungszeitintervall wirksam. Wenn kein Aktualisierungszeitintervall lokal konfiguriert ist, findet keine regelmäßige Aktualisierung statt.
Wenn der Benutzer nach dem Festlegen des Zeitintervalls für die regelmäßige Aktualisierung das Aktualisierungsintervall ändert, bevor die Autorisierungsanforderung vom lokalen Gerät gesendet wird, wird das aktualisierte Aktualisierungsintervall nach der nächsten sofortigen regelmäßigen Aktualisierung wirksam.
Beispiel: Konfigurieren eines TACACS+-Servers für die Systemauthentifizierung
In diesem Beispiel wird die System Authentifizierung über einen TACACS+-Server konfiguriert.
Anforderungen
Bevor Sie beginnen:
-
Führen Sie die Erstkonfiguration des Geräts durch. Weitere Informationen finden Sie im Handbuch "Erste Schritte" für Ihr Gerät.
-
Richten Sie mindestens einen TACACS+-Server in Ihrem Netzwerk ein.
Überblick
In diesem Beispiel fügen Sie einen neuen TACACS+-Server mit der IP-Adresse 172.16.98.1 hinzu. Sie geben das Kennwort für den gemeinsamen geheimen Schlüssel des TACACS+-Servers als Tacacssecret1 an. Das Gerät speichert den geheimen Schlüssel in der Konfigurationsdatenbank als verschlüsselten Wert. Schließlich geben Sie die Quelladresse an, die das Gerät in TACACS+-Serveranforderungen verwendet. In den meisten Fällen können Sie die Loopback-Adresse des Geräts verwenden, in diesem Beispiel 10.0.0.1.
Sie können die Unterstützung für mehrere Benutzer-Authentifizierung-Methoden konfigurieren, z. B. lokale Kennwort Authentifizierung, TACACS+ und RADIUS, auf dem Netzwerkgerät. Wenn Sie mehrere Authentifizierung-Methoden konfigurieren, können Sie die Reihenfolge priorisieren, in der das Gerät die verschiedenen Methoden ausprobiert. In diesem Beispiel konfigurieren Sie das Gerät so, dass es zuerst TACACS+ Authentifizierung Dienste verwendet und, wenn dies fehlschlägt, dann versucht, lokale Kennwort Authentifizierung zu verwenden.
Ein TACACS+-authentifizierter Benutzer muss einem lokalen Benutzerkonto oder einem lokalen Benutzervorlagenkonto auf dem Netzwerkgerät zugeordnet werden, wodurch die Autorisierung bestimmt wird. Wenn ein TACACS+-authentifizierter Benutzer nicht einem lokalen Benutzerkonto oder einer bestimmten Benutzervorlage zugeordnet ist, wird der Benutzer standardmäßig der remote Benutzervorlage zugewiesen, sofern konfiguriert. In diesem Beispiel wird die remote Benutzervorlage konfiguriert.
Konfiguration
Vorgehensweise
CLI-Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, kopieren Sie die Befehle, fügen Sie sie in die CLI auf Hierarchieebene [edit] ein und geben Sie dann in den Konfigurationsmodus ein commit .
set system tacplus-server 172.16.98.1 set system tacplus-server 172.16.98.1 secret Tacacssecret1 set system tacplus-server 172.16.98.1 source-address 10.0.0.1 set system authentication-order [tacplus password] set system login user remote class operator
Schritt-für-Schritt-Anleitung
So konfigurieren Sie einen TACACS+-Server für System Authentifizierung:
-
Fügen Sie einen neuen TACACS+-Server hinzu und legen Sie seine IP-Adresse fest.
[edit system] user@host# set tacplus-server 172.16.98.1
-
Geben Sie den gemeinsamen geheimen Schlüssel (Kennwort) des TACACS+-Servers an.
[edit system] user@host# set tacplus-server 172.16.98.1 secret Tacacssecret1
-
Geben Sie die Loopback-Adresse des Geräts als Quelladresse an.
[edit system] user@host# set tacplus-server 172.16.98.1 source-address 10.0.0.1
-
Geben Sie die Reihenfolge der Authentifizierung des Geräts an und schließen Sie die
tacplusOption ein.[edit system] user@host# set authentication-order [tacplus password]
- Konfigurieren Sie die
remoteBenutzervorlage und ihre Anmeldeklasse.[edit system] user@host# set login user remote class operator
Ergebnisse
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration durch Eingabe des show system Befehls. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.
Die folgende Ausgabe enthält nur die Teile der Konfigurationshierarchie, die für dieses Beispiel relevant sind:
[edit]
user@host# show system
login {
user remote {
class operator;
}
}
authentication-order [ tacplus password ];
tacplus-server {
172.16.98.1 {
secret "$9$ABC123"; ## SECRET-DATA
source-address 10.0.0.1;
}
}
Nachdem Sie das Gerät konfiguriert haben, wechseln Sie commit in den Konfigurationsmodus.
Verifizierung
Bestätigen Sie, dass die Konfiguration ordnungsgemäß funktioniert.
Überprüfen Sie die TACACS+-Serverkonfiguration.
Zweck
Stellen Sie sicher, dass der TACACS+-Server Benutzer authentifiziert.
Aktion
Melden Sie sich beim Netzwerkgerät an, und überprüfen Sie, ob die Anmeldung erfolgreich war. Um zu überprüfen, ob das Gerät den TACACS+-Server für die Authentifizierung verwendet, können Sie versuchen, sich mit einem Konto anzumelden, das in der Konfiguration kein lokales Kennwort für die Authentifizierung definiert.
Anbieterspezifische TACACS+-Attribute von Juniper Networks
Junos OS Evolved unterstützt die Konfiguration von TACACS+ anbieterspezifischen Attributen (VSAs) von Juniper Networks auf dem TACACS+-Server. Tabelle 1 listet die unterstützten VSAs von Juniper Networks auf.
Einige der Attribute akzeptieren erweiterte reguläre Ausdrücke, wie in POSIX 1003.2 definiert. Wenn der reguläre Ausdruck Leerzeichen, Operatoren oder Platzhalterzeichen enthält, schließen Sie ihn in Anführungszeichen ein. Weitere Informationen finden Sie unter:
| Bezeichnung |
Beschreibung |
Länge |
Zeichenfolge |
|---|---|---|---|
|
|
Gibt den Namen der Benutzervorlage an, die diesem Benutzer zugewiesen ist, wenn sich der Benutzer bei einem Gerät anmeldet. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen enthalten. |
|
|
Enthält einen erweiterten regulären Ausdruck, der es dem Benutzer ermöglicht, zusätzlich zu den Befehlen, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert sind, Befehle auszuführen. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
allow-commands-regexps |
Enthält einen erweiterten regulären Ausdruck, der es dem Benutzer ermöglicht, zusätzlich zu den Befehlen, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert sind, Befehle auszuführen. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
|
|
Enthält einen erweiterten regulären Ausdruck, der es dem Benutzer ermöglicht, Konfigurationsanweisungen zusätzlich zu den Anweisungen anzuzeigen und zu ändern, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert wurden. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
allow-configuration-regexps |
Enthält einen erweiterten regulären Ausdruck, der es dem Benutzer ermöglicht, Konfigurationsanweisungen zusätzlich zu den Anweisungen anzuzeigen und zu ändern, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert wurden. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
|
|
Enthält einen erweiterten regulären Ausdruck, der dem Benutzer die Berechtigung zum Ausführen von Befehlen verweigert, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert sind. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
deny-commands-regexps |
Enthält einen erweiterten regulären Ausdruck, der dem Benutzer die Berechtigung zum Ausführen von Befehlen verweigert, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert sind. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
|
|
Enthält einen erweiterten regulären Ausdruck, der dem Benutzer die Berechtigung zum Anzeigen oder Ändern von Konfigurationsanweisungen verweigert, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert sind. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
deny-configuration-regexps |
Enthält einen erweiterten regulären Ausdruck, der dem Benutzer die Berechtigung zum Anzeigen oder Ändern von Konfigurationsanweisungen verweigert, die durch die Berechtigungsbits der Anmeldeklasse des Benutzers autorisiert sind. |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen in Form eines erweiterten regulären Ausdrucks enthalten. |
|
|
Enthält Informationen, die der Server zum Angeben von Benutzerberechtigungen verwendet.
Hinweis:
Wenn der TACACS+-Server das |
≥3 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen enthalten. |
|
|
Gibt die Authentifizierungsmethode (lokale Datenbank oder TACACS+-Server) an, die zur Authentifizierung eines Benutzers verwendet wird. Wenn der Benutzer mit einer lokalen Datenbank authentifiziert wird, zeigt der Attributwert "local" an. Wenn der Benutzer mit einem TACACS+-Server authentifiziert wird, zeigt der Attributwert "remote" an. |
≥5 |
Ein oder mehrere Oktette, die druckbare ASCII-Zeichen enthalten. |
|
|
Gibt die Quellportnummer der eingerichteten Sitzung an. |
Größe der ganzen Zahl |
Ganzzahl |
Verwenden Sie reguläre Ausdrücke auf einem RADIUS- oder TACACS+-Server, um Befehle zuzulassen oder abzulehnen
Junos OS Evolved kann RADIUS- und TACACS+-authentifizierte Benutzer einem lokal definierten Benutzerkonto oder Benutzervorlagenkonto zuordnen, das die Zugriffsrechte des Benutzers definiert. Optional können Sie die Zugriffsrechte eines Benutzers auch konfigurieren, indem Sie Juniper Networks RADIUS- und TACACS+-anbieterspezifische Attribute (VSAs) auf dem jeweiligen Authentifizierung Server definieren.
Die Anmeldeklasse eines Benutzers definiert den Satz von Berechtigungen, die bestimmen, zu welchen Befehlen im Betriebsmodus und Konfigurationsmodus ein Benutzer berechtigt ist und welche Bereiche der Konfiguration ein Benutzer anzeigen und ändern kann. Eine Anmeldeklasse kann auch reguläre Ausdrücke definieren, die einem Benutzer die Möglichkeit erlauben oder verweigern, bestimmte Befehle auszuführen oder bestimmte Bereiche der Konfiguration anzuzeigen und zu ändern, zusätzlich zu dem, was die Berechtigungsflags autorisieren. Eine Login-Klasse kann die folgenden Anweisungen enthalten, um die Benutzerberechtigung zu definieren:
-
permissions -
allow-commands -
allow-commands-regexps -
allow-configuration -
allow-configuration-regexps -
deny-commands -
deny-commands-regexps -
deny-configuration -
deny-configuration-regexps
Ebenso kann eine RADIUS- oder TACACS+-Serverkonfiguration VSAs von Juniper Networks verwenden, um bestimmte Berechtigungen oder reguläre Ausdrücke zu definieren, die die Zugriffsrechte eines Benutzers bestimmen. Eine Liste der unterstützten RADIUS- und TACACS+-VSAs finden Sie unter:
- Anbieterspezifische RADIUS-Attribute von Juniper Networks
- Anbieterspezifische TACACS+-Attribute von Juniper Networks
Sie können Benutzerberechtigungen auf dem RADIUS- oder TACACS+-Server als Liste von durch Leerzeichen getrennten Werten definieren.
-
Ein RADIUS-Server verwendet das folgende Attribut und die folgende Syntax:
Juniper-User-Permissions += "flag1 flag2 flag3",
Zum Beispiel:
Juniper-User-Permissions += "interface interface-control configure",
-
Ein TACACS+-Server verwendet das folgende Attribut und die folgende Syntax:
user-permissions = "flag1 flag2 flag3"
Zum Beispiel:
user-permissions = "interface interface-control configure"
Ein RADIUS- oder TACACS+-Server kann auch VSAs von Juniper Networks definieren, die einen einzigen erweiterten regulären Ausdruck (wie in POSIX 1003.2 definiert) verwenden, um einem Benutzer die Möglichkeit zu erlauben oder zu verweigern, bestimmte Befehle auszuführen oder Bereiche der Konfiguration anzuzeigen und zu ändern. Sie schließen mehrere Befehle oder Konfigurationshierarchien in Klammern ein und trennen sie durch ein Pipe-Symbol. Wenn der reguläre Ausdruck Leerzeichen, Operatoren oder Platzhalterzeichen enthält, schließen Sie ihn in Anführungszeichen ein. Wenn Sie Autorisierungsparameter sowohl lokal als auch remote konfigurieren, führt das Gerät die regulären Ausdrücke, die während der TACACS+- oder RADIUS-Autorisierung empfangen werden, mit allen regulären Ausdrücken zusammen, die auf dem lokalen Gerät definiert sind.
-
Ein RADIUS-Server verwendet die folgenden Attribute und die folgende Syntax:
Juniper-Allow-Commands += "(cmd1)|(cmd2)|(cmdn)", Juniper-Deny-Commands += "(cmd1)|(cmd2)|(cmdn)", Juniper-Allow-Configuration += "(config1)|(config2)|(confign)", Juniper-Deny-Configuration += "(config1)|(config2)|(confign)",
Zum Beispiel:
Juniper-Allow-Commands += "(test)|(ping)|(quit)", Juniper-Deny-Commands += "(request)|(restart)", Juniper-Allow-Configuration += "(groups re0)|(system radius-server)", Juniper-Deny-Configuration += "(system radius-options)|(system accounting)",
-
Ein TACACS+-Server verwendet die folgenden Attribute und Syntax:
allow-commands = "(cmd1)|(cmd2)|(cmdn)" deny-commands = "(cmd1)|(cmd2)|(cmdn)" allow-configuration = "(config1)|(config2)|(confign)" deny-configuration = "(config1)|(config2)|(confign)"
Zum Beispiel:
allow-commands = "(test)|(ping)|(quit)" deny-commands = "(request)|(restart)" allow-configuration = "(groups re0)|(system tacplus-server)" deny-configuration = "(system tacplus-options)|(system accounting)"
RADIUS- und TACACS+-Server unterstützen auch die Konfiguration von Attributen, die denselben *-regexps Anweisungen entsprechen, die Sie auf dem lokalen Gerät konfigurieren können. Die *-regexps TACACS+-Attribute und die *-Regexps RADIUS-Attribute verwenden dieselbe Syntax für reguläre Ausdrücke wie die vorherigen Attribute, ermöglichen jedoch die Konfiguration regulärer Ausdrücke mit Variablen.
-
Ein RADIUS-Server verwendet die folgenden Attribute und die folgende Syntax:
Juniper-Allow-Configuration-Regexps += "(config1)|(config2)|(confign)", Juniper-Deny-Configuration-Regexps += "(config1)|(config2)|(confign)",
-
Ein TACACS+-Server verwendet die folgenden Attribute und Syntax:
allow-commands-regexps = "(cmd1)|(cmd2)|(cmdn)" deny-commands-regexps = "(cmd1)|(cmd2)|(cmdn)" allow-configuration-regexps = "(config1)|(config2)|(confign)" deny-configuration-regexps = "(config1)|(config2)|(confign)"
Die TACACS+-Serverkonfiguration kann beispielsweise die folgenden Attribute definieren:
allow-commands-regexps = "(show cli .*)|(ping 10.1.1..*)" deny-commands-regexps = "(configure .*)|(edit)|(commit)|(rollback .*)"
Auf einem RADIUS- oder TACACS+-Server können Sie die Attribute auch mit einer vereinfachten Syntax definieren, bei der Sie jeden einzelnen Ausdruck in einer separaten Zeile angeben.
Geben Sie für einen RADIUS-Server die einzelnen regulären Ausdrücke mit der folgenden Syntax an:
Juniper-User-Permissions += "permission-flag1", Juniper-User-Permissions += "permission-flag2", Juniper-User-Permissions += "permission-flagn", Juniper-Allow-Commands += "cmd1", Juniper-Allow-Commands += "cmd2", Juniper-Allow-Commands += "cmdn", Juniper-Deny-Commands += "cmd1", Juniper-Deny-Commands += "cmd2", Juniper-Deny-Commands += "cmdn", Juniper-Allow-Configuration += "config1", Juniper-Allow-Configuration += "config2", Juniper-Allow-Configuration += "confign", Juniper-Deny-Configuration += "config1", Juniper-Deny-Configuration += "config2", Juniper-Deny-Configuration += "confign",
Geben Sie für einen TACACS+-Server die einzelnen regulären Ausdrücke mit der folgenden Syntax an:
user-permissions1 = "permission-flag1" user-permissions2 = "permission-flag2" user-permissionsn = "permission-flagn" allow-commands1 = "cmd1" allow-commands2 = "cmd2" allow-commandsn = "cmdn" deny-commands1 = "cmd1" deny-commands2 = "cmd2" deny-commandsn = "cmdn" allow-configuration1 = "config1" allow-configuration2 = "config2" allow-configurationn = "confign" deny-configuration1 = "config1" deny-configuration2 = "config2" deny-configurationn = "confign"
-
In der TACACS+-Serversyntax müssen die numerischen Werte 1 bis n eindeutig, aber nicht sequenziell sein. Beispielsweise ist die folgende Syntax gültig:
allow-commands1="cmd1" allow-commands3="cmd3" allow-commands2="cmd2" deny-commands3="cmd3" deny-commands2="cmd2" deny-commands1="cmd1"
-
Der RADIUS- oder TACACS+-Server begrenzt die Anzahl der einzelnen Zeilen für reguläre Ausdrücke.
-
Wenn Sie den
show cli authorizationBefehl ausgeben, zeigt die Befehlsausgabe den regulären Ausdruck in einer einzelnen Zeile an, auch wenn Sie jeden einzelnen Ausdruck in einer separaten Zeile angeben.
Benutzer können ihre Klasse, Berechtigungen sowie Befehls- und Konfigurationsautorisierung überprüfen, indem sie den show cli authorization Befehl "Betriebsmodus" ausgeben.
user@host> show cli authorization
Wenn Sie die Autorisierungsparameter sowohl lokal auf dem Netzwerkgerät als auch remote auf dem RADIUS- oder TACACS+-Server konfigurieren, führt das Gerät die regulären Ausdrücke, die während der TACACS+- oder RADIUS-Autorisierung empfangen wurden, mit allen lokal konfigurierten regulären Ausdrücken zusammen. Wenn der endgültige Ausdruck einen Syntaxfehler enthält, ist das Gesamtergebnis ein ungültiger regulärer Ausdruck.
Konfiguration der TACACS+-Systemabrechnung
Sie können TACACS+-Accounting auf einem Gerät konfigurieren, um statistische Daten über Benutzer zu sammeln, die sich bei einem LAN an- oder abmelden, und die Daten an einen TACACS+-Accounting-Server zu senden. Die statistischen Daten können für die allgemeine Netzwerküberwachung, die Analyse und Verfolgung von Nutzungsmustern oder die Abrechnung mit einem Benutzer auf der Grundlage der Dauer der Sitzung oder der Art der abgerufenen Dienste verwendet werden.
Um die TACACS+-Abrechnung zu konfigurieren, geben Sie Folgendes an:
-
Einem oder mehreren TACACS+-Abrechnungsservern, die die statistischen Daten vom Gerät empfangen
-
Die Art der zu erfassenden Buchhaltungsdaten
Sie können denselben Server sowohl für die TACACS+-Abrechnung als auch für die TACACS+-Authentifizierung oder separate Server verwenden. Sie können eine Liste von TACACS+-Accounting-Servern angeben. Das Gerät fragt die Server in der Reihenfolge ab, in der sie konfiguriert sind. Wenn der primäre Server (der zuerst konfigurierte) nicht verfügbar ist, versucht das Gerät, jeden Server in der Liste zu kontaktieren, bis es eine Antwort erhält.
Wenn Sie die TACACS+-Abrechnung aktivieren, können Geräte von Juniper Networks als TACACS+-Clients den TACACS+-Server über Benutzeraktivitäten wie Softwareanmeldungen, Konfigurationsänderungen und interaktive Befehle informieren.
Konfigurieren der TACACS+-Serverabrechnung
So konfigurieren Sie die TACACS+-Serverabrechnung: