Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
SUR CETTE PAGE
 

Authentification RADIUS

Junos OS Evolved prend en charge RADIUS pour l’authentification centralisée des utilisateurs sur les équipements réseau. Pour utiliser l’authentification RADIUS sur l’appareil, vous (l’administrateur réseau) devez configurer les informations relatives à un ou plusieurs serveurs RADIUS sur le réseau. Vous pouvez également configurer la comptabilité RADIUS sur l’appareil pour collecter des données statistiques sur les utilisateurs qui se connectent ou se déconnectent d’un LAN et envoyer les données à un serveur de comptabilité RADIUS.

Configurer l’authentification du serveur RADIUS

L’authentification RADIUS est une méthode d’authentification des utilisateurs qui tentent d’accéder à un périphérique réseau. Les sections suivantes expliquent pourquoi utiliser RADIUS et comment le configurer.

Pourquoi utiliser RADIUS

Vous (l’administrateur réseau) pouvez utiliser différents protocoles pour l’authentification centralisée des utilisateurs sur les équipements réseau, notamment RADIUS et TACACS+. Nous recommandons RADIUS car il s’agit d’une norme IETF multifournisseur et ses fonctionnalités sont plus largement acceptées que celles de TACACS+ ou d’autres systèmes propriétaires. En outre, nous vous recommandons d’utiliser un système de mot de passe à usage unique pour une sécurité accrue, et tous les fournisseurs de ces systèmes prennent en charge RADIUS.

Vous devez utiliser RADIUS lorsque vos priorités sont l’interopérabilité et les performances :

  • Interopérabilité : RADIUS est plus interopérable que TACACS+, principalement en raison de la nature propriétaire de TACACS+. Bien que TACACS+ prenne en charge davantage de protocoles, RADIUS est universellement pris en charge.

  • Performances : RADIUS est beaucoup plus léger sur vos routeurs et commutateurs. Pour cette raison, les ingénieurs réseau préfèrent généralement RADIUS à TACACS+.

Configurer les détails du serveur RADIUS

Pour utiliser l’authentification RADIUS sur l’appareil, configurez les informations relatives à un ou plusieurs serveurs RADIUS sur le réseau en incluant une radius-server instruction au niveau de la [edit system] hiérarchie pour chaque serveur RADIUS. L’appareil interroge les serveurs RADIUS dans l’ordre dans lequel ils sont configurés. Si le serveur principal (le premier configuré) n’est pas disponible, l’appareil tente de contacter chaque serveur de la liste jusqu’à ce qu’il reçoive une réponse.

L’équipement réseau peut mapper des utilisateurs authentifiés par RADIUS à un compte d’utilisateur défini localement ou à un compte de modèle d’utilisateur, qui détermine l’autorisation. Par défaut, Junos OS Evolved assigne les utilisateurs authentifiés par RADIUS au compte remotede modèle utilisateur (s’il est configuré) lorsque :

  • L’utilisateur authentifié n’a pas de compte d’utilisateur configuré sur l’appareil local.

  • Le serveur RADIUS n’affecte pas l’utilisateur à un modèle utilisateur local ou le modèle attribué par le serveur n’est pas configuré sur le périphérique local.

Le serveur RADIUS peut affecter un utilisateur authentifié à un modèle d’utilisateur différent afin d’accorder des autorisations administratives différentes à cet utilisateur. L’utilisateur conserve le même nom de connexion dans la CLI, mais hérite de la classe de connexion, des privilèges d’accès et de l’ID utilisateur effectif du modèle attribué. Si l’utilisateur authentifié par RADIUS ne correspond à aucun compte utilisateur ou modèle utilisateur défini localement et que le modèle n’est remote pas configuré, l’authentification échoue.

Remarque :

Le remote nom d’utilisateur est un cas particulier dans Junos OS Evolved et doit toujours être en minuscules. Il sert de modèle pour les utilisateurs authentifiés par un serveur distant mais qui n’ont pas de compte d’utilisateur configuré localement sur l’appareil. Junos OS Evolved applique les autorisations du remote modèle aux utilisateurs authentifiés sans compte défini localement. Tous les utilisateurs mappés au remote modèle sont dans la même classe de connexion.

Étant donné que vous configurez l’authentification à distance sur plusieurs appareils, il est courant de la configurer à l’intérieur d’un groupe de configuration. Les étapes indiquées ici se trouvent dans un groupe de configuration appelé global. L’utilisation d’un groupe de configuration est facultative.

Pour configurer l’authentification par un serveur RADIUS :

  1. Configurez l’adresse IPv4 ou IPv6 du serveur d’authentification RADIUS.

    Par exemple :

  2. (Facultatif) Configurez l’adresse source du paquet pour les demandes envoyées au serveur RADIUS.

    Par exemple :

    L’adresse source est une adresse IPv4 ou IPv6 valide configurée sur l’une des interfaces du routeur ou du commutateur. Si le périphérique réseau dispose de plusieurs interfaces pouvant atteindre le serveur RADIUS, attribuez-lui une adresse IP que le périphérique peut utiliser pour toutes ses communications avec le serveur RADIUS. Cela définit une adresse fixe comme adresse source pour les paquets IP générés localement.

  3. Configurez le mot de passe secret partagé que le périphérique réseau utilise pour s’authentifier auprès du serveur RADIUS.

    Le mot de passe configuré doit correspondre au mot de passe configuré sur le serveur RADIUS. Si le mot de passe contient des espaces, placez-le entre guillemets. L’appareil stocke le mot de passe sous forme de valeur chiffrée dans la base de données de configuration.

    Par exemple :

  4. (Facultatif) Spécifiez le port sur lequel contacter le serveur RADIUS, s’il diffère du port par défaut.

    Le port par défaut est 1812 (comme spécifié dans RFC 2865).

    Par exemple :

    Remarque :

    Vous pouvez également configurer l’instruction accounting-port pour spécifier vers quel port de serveur RADIUS envoyer les paquets de comptabilité. La valeur par défaut est 1813 (comme spécifié dans RFC 2866).
  5. (Facultatif) Configurez le nombre de tentatives de contact avec le serveur RADIUS et le temps d’attente pour recevoir une réponse du serveur.

    Par défaut, l’appareil tente de contacter le serveur trois fois et attend trois secondes. Vous pouvez configurer la retry valeur de 1 à 100 fois et la timeout valeur de 1 à 1000 secondes.

    Par exemple, pour contacter un serveur RADIUS 2 fois et attendre une réponse pendant 10 secondes :

  6. Spécifiez l’ordre d’authentification et incluez l’optionradius.

    Dans l’exemple suivant, chaque fois qu’un utilisateur tente de se connecter, Junos OS Evolved interroge d’abord le serveur RADIUS pour obtenir l’authentification. En cas d’échec, il interroge le serveur TACACS+. Si cela échoue, il tente l’authentification avec des comptes d’utilisateurs configurés localement.

  7. Indiquez si vous souhaitez que le serveur RADIUS inclue l’attribut Authentificateur de message dans les réponses aux messages de demande d’accès.

    • L’attribut Authentificateur de message offre une protection supplémentaire contre les attaques de l’homme du milieu. Nous vous recommandons d’activer cette fonctionnalité. Pour activer cette fonctionnalité :

    • Pour une rétrocompatibilité avec les serveurs RADIUS qui ne prennent pas en charge cet attribut, désactivez cette fonctionnalité comme suit :

    Remarque :

    Ces paramètres s’excluent mutuellement. Nous vous recommandons de définir explicitement l’un ou l’autre. Ne vous fiez pas aux valeurs par défaut.
  8. Attribuez une classe de connexion aux utilisateurs authentifiés par RADIUS qui n’ont pas de compte utilisateur défini localement.

    Vous configurez un compte de modèle d’utilisateur de la même manière qu’un compte d’utilisateur local, sauf que vous ne configurez pas de mot de passe d’authentification local car le serveur RADIUS authentifie l’utilisateur.

    • Pour utiliser les mêmes autorisations pour tous les utilisateurs authentifiés par RADIUS, configurez le modèle utilisateur remote .

      Par exemple :

    • Pour utiliser différentes classes de connexion pour différents utilisateurs authentifiés par RADIUS, en leur accordant des autorisations différentes :

      1. Créez plusieurs modèles utilisateur dans la configuration de Junos OS Evolved . Par exemple :

      2. Configurez le serveur RADIUS pour mapper l’utilisateur authentifié au modèle d’utilisateur approprié.

        Définissez le Juniper-Local-User-Name Juniper VSA (attribut spécifique au fournisseur) (fournisseur 2636, type 1, chaîne) sur le nom d’un modèle utilisateur configuré sur l’appareil, qui dans l’exemple précédent est RO, OP ou utilisateur unique. Le serveur RADIUS inclut l’attribut dans le message d’accès-acceptation de RADIUS. L’authentification échoue si l’appareil ne peut pas affecter un utilisateur à un compte d’utilisateur local ou à un modèle d’utilisateur et que le remote modèle d’utilisateur n’est pas configuré.

Configurer RADIUS over TLS (RADSEC) pour l’authentification du système

La technologie RADIUS over TLS (RADSEC) assure une communication sécurisée et chiffrée entre l’équipement Junos et les serveurs RADIUS pour l’authentification du système et la comptabilité. Le système utilise des API OpenSSL pour établir des sessions SSL/TLS et valider les certificats.

Important : Cette configuration s’applique à l’authentification au niveau du système (accès administratif) dans la system hiérarchie. Pour la configuration RADSEC du contrôle d’accès réseau, configurez RADSEC dans la access hiérarchie.

RADSEC sécurise le trafic d’authentification administrative en utilisant le chiffrement TLS sur le port TCP 2083 (au lieu des ports UDP 1812/1813). RADSEC prend en charge deux modes d’authentification :

  • TLS unidirectionnel : Le client vérifie le certificat du serveur à l'aide de certificats AC approuvés.
  • TLS mutuel (mTLS) : Le client et le serveur s’authentifient mutuellement à l’aide de certificats.

Avant de commencer :

Assurez-vous de ce qui suit :

  • Les certificats AC sont disponibles pour la validation du serveur
  • Les certificats clients sont disponibles (requis uniquement pour l’authentification mutuelle)

Configurer les certificats d’AC :

Vous pouvez copier le fichier et le renommer en subject <hash>.0 sous /var/tmp/certs/<trusted-ca-group>/. Vous pouvez également créer un lien symbolique avec l’objet <hash>.0 en dessous /var/tmp/certs/<trusted-ca-group> et le lier au fichier de certificat réel.

  1. Générez le hachage du nom de l’objet :
  2. Créez un lien symbolique :
Remarque :

S’il existe plusieurs fichiers AC avec la même valeur de hachage de nom d’objet, leurs extensions doivent être différentes ; par exemple, 'e5d93f80.1' et ainsi de suite. La recherche est effectuée sur la façon dont les numéros de poste sont ordonnés en conséquence.

Exemple :

Configurer les certificats clients (authentification mutuelle uniquement) :

Pour l’authentification mutuelle, insérez le certificat client et la clé privée dans /var/tmp/certs/<certificate-id>/.

Le dossier doit contenir :

  • client.crt - Fichier de certificat client
  • client.key - Fichier de clé privée du client

Exemple :

Pour configurer RADSEC pour l’authentification du système :

  1. Configurez le serveur d’authentification RADIUS avec la prise en charge de TLS.

    Pour le protocole TLS unidirectionnel (authentification serveur uniquement) :

    Pour le TLS mutuel (authentification bidirectionnelle) :

    Exemple :

  2. (Facultatif) Configurez le serveur de comptabilité RADIUS avec la prise en charge de TLS.

    Pour le TLS unidirectionnel :

    Pour le TLS mutuel :

    Exemple :

  3. Configurez l’ordre d’authentification.
  4. Configurez le modèle d’utilisateur distant.
  5. Vérifiez la configuration.
  6. Validez la configuration.

L’exemple suivant montre une configuration RADSEC complète avec authentification mutuelle :

Vérification :

Connectez-vous à l’équipement réseau et vérifiez que l’authentification a réussi. Pour confirmer que RADSEC fonctionne, essayez de vous connecter avec un compte qui n’a pas de mot de passe local configuré.

Paramètres de configuration :

  • trusted-ca-group: nom du groupe d’AC approuvé correspondant au dossier contenant les certificats d’AC sous /var/tmp/certs/. OpenSSL utilise ces certificats AC pour valider le certificat du serveur RADIUS.
  • certificate-id: identificateur de certificat correspondant au dossier contenant le certificat client et la clé privée sous /var/tmp/certs/. Requis pour l’authentification mutuelle.

Configurer RADIUS pour utiliser l’instance de gestion

Par défaut, Junos OS Evolved achemine les paquets d’authentification, d’autorisation et de comptabilité pour RADIUS via l’instance de routage par défaut. Vous pouvez également acheminer les paquets RADIUS via une interface de gestion dans une instance VRF autre que celle par défaut.

Pour acheminer des paquets RADIUS via l’instance mgmt_junos de gestion :

  1. Activez l’instance mgmt_junos de gestion.

  2. Configurez l’instruction routing-instance mgmt_junos pour le serveur d’authentification RADIUS et le serveur de comptabilité RADIUS, le cas échéant.

Exemple : Configuration d’un serveur RADIUS pour l’authentification système

Cet exemple configure l’authentification système via un serveur RADIUS.

Exigences

Avant de commencer :

  • Effectuez la configuration initiale de l’appareil. Consultez le guide de démarrage de votre appareil.

  • Configurez au moins un serveur RADIUS sur votre réseau.

Vue d’ensemble

Dans cet exemple, vous ajoutez un nouveau serveur RADIUS avec une adresse IP de 172.16.98.1. Vous spécifiez le mot de passe secret partagé du serveur RADIUS en tant que Radiussecret1. L’appareil stocke le secret dans la base de données de configuration sous forme de valeur chiffrée. Enfin, vous spécifiez l’adresse source que l’appareil utilise dans les requêtes du serveur RADIUS. Dans la plupart des cas, vous pouvez utiliser l’adresse de bouclage de l’appareil, qui dans cet exemple est 10.0.0.1.

Vous pouvez configurer la prise en charge de plusieurs méthodes d’authentification utilisateur, telles que l’authentification par mot de passe local, RADIUS et TACACS+, sur le périphérique réseau. Lorsque vous configurez plusieurs méthodes d’authentification, vous pouvez hiérarchiser l’ordre dans lequel l’appareil essaie les différentes méthodes. Dans cet exemple, vous configurez l’appareil pour qu’il utilise d’abord les services d’authentification RADIUS, puis, en cas d’échec, pour tenter l’authentification par mot de passe local.

Un utilisateur authentifié par RADIUS doit être mappé à un compte d’utilisateur local ou à un compte modèle d’utilisateur local sur l’équipement réseau, ce qui détermine l’autorisation. Par défaut, si un utilisateur authentifié par RADIUS ne correspond pas à un compte d’utilisateur local ou à un modèle d’utilisateur spécifique, l’utilisateur est affecté au modèle d’utilisateur, s’il remote est configuré. Cet exemple configure le remote modèle utilisateur.

La configuration

Procédure

Configuration rapide de la CLI

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez les commandes dans la CLI au niveau de la [edit] hiérarchie, puis entrez commit en mode configuration.

Procédure étape par étape

Pour configurer un serveur RADIUS pour l’authentification du système :

  1. Ajoutez un nouveau serveur RADIUS et définissez son adresse IP.

  2. Spécifiez le secret partagé (mot de passe) du serveur RADIUS.

  3. Spécifiez l’adresse de bouclage de l’appareil comme adresse source.

  4. Spécifiez l'ordre d'authentification de l'appareil et incluez l' radius option.

  5. Configurez le remote modèle utilisateur et sa classe de connexion.
Résultats

En mode configuration, confirmez votre configuration en entrant la show system commande. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration de cet exemple pour la corriger.

La sortie suivante inclut uniquement les parties de la hiérarchie de configuration pertinentes pour cet exemple.

Après avoir configuré l’appareil, entrez commit en mode configuration.

Vérification

Vérifiez que la configuration fonctionne correctement.

Vérifiez la configuration du serveur RADIUS

Objet

Vérifiez que le serveur RADIUS authentifie les utilisateurs.

Mesures à prendre

Connectez-vous à l’équipement réseau et vérifiez que la connexion a réussi. Pour vérifier que l’appareil utilise le serveur RADIUS pour l’authentification, vous pouvez tenter de vous connecter avec un compte qui ne définit pas de mot de passe d’authentification local dans la configuration.

Attributs RADIUS spécifiques aux fournisseurs de Juniper Networks

Junos OS Evolved prend en charge la configuration des attributs spécifiques aux fournisseurs (VSA) RADIUS de Juniper Networks sur le serveur RADIUS. Ces VSA sont encapsulés dans un attribut spécifique au fournisseur RADIUS avec l’ID de fournisseur défini sur le numéro d’identification Juniper Networks, 2636.

Le Tableau 1 répertorie les VSA Juniper Networks que vous pouvez configurer.

Certains attributs acceptent des expressions régulières étendues, telles que définies dans POSIX 1003.2. Si l’expression régulière contient des espaces, des opérateurs ou des caractères génériques, placez-la entre guillemets. Pour plus d’informations, consultez :

Tableau 1 : attributs RADIUS spécifiques aux fournisseurs de Juniper Networks

Nom

Descriptif

Le type

Longueur

Chaîne

Nom d’utilisateur local de juniper

Indique le nom du modèle utilisateur attribué à cet utilisateur lorsque celui-ci se connecte à un appareil. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

1

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables.

Commandes d’autorisation de juniper

Contient une expression régulière étendue qui permet à l’utilisateur d’exécuter des commandes en plus des commandes autorisées par les bits d’autorisation de la classe de connexion de l’utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

2

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables, sous la forme d’une expression régulière étendue.

Commandes de refus de Juniper

Contient une expression régulière étendue qui refuse à l’utilisateur l’autorisation d’exécuter des commandes autorisées par les bits d’autorisation de la classe de connexion de l’utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

3

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables, sous la forme d’une expression régulière étendue.

Juniper-Allow-Configuration

Contient une expression régulière étendue qui permet à l’utilisateur d’afficher et de modifier les instructions de configuration en plus des instructions autorisées par les bits d’autorisation de la classe de connexion de l’utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

4

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables, sous la forme d’une expression régulière étendue.

Configuration de refus de Juniper

Contient une expression régulière étendue qui refuse à l’utilisateur l’autorisation d’afficher ou de modifier les instructions de configuration autorisées par les bits d’autorisation de la classe de connexion de l’utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

5

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables, sous la forme d’une expression régulière étendue.

Commande interactive de juniper

Indique la commande interactive saisie par l’utilisateur. Cet attribut est utilisé uniquement dans les paquets Accounting-Request.

8

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables.

Changement de configuration de Juniper

Commande interactive qui entraîne une modification de la configuration (base de données). Cet attribut est utilisé uniquement dans les paquets Accounting-Request.

9

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables.

Autorisations d’utilisateur Juniper

Contient des informations que le serveur utilise pour spécifier les autorisations utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

Remarque :

Lorsque le serveur RADIUS définit l’attribut Juniper-User-Permissions permettant d’accorder l’autorisation ou all l’autorisation maintenance à un utilisateur, la liste des appartenances aux groupes de l’utilisateur n’inclut pas automatiquement le groupe UNIX wheel. Certaines opérations, telles que l’exécution de la su root commande à partir d’un shell local, nécessitent des autorisations d’appartenance à un groupe wheel. Toutefois, lorsque le périphérique réseau définit un compte d’utilisateur local avec les autorisations maintenance ou all, l’utilisateur est automatiquement autorisé à appartenir au groupe UNIX wheel. Par conséquent, nous vous recommandons de créer un compte de modèle d’utilisateur avec les autorisations requises et d’associer des comptes d’utilisateur individuels au compte de modèle d’utilisateur.

10

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables.

La chaîne est une liste d’indicateurs d’autorisation séparés par un espace. Le nom exact de chaque drapeau doit être spécifié dans son intégralité.

Voir .. /concept/.. /topic-map/junos-os-access-privileges.html#id-understanding-junos-os-access-privilege-levels.

Type d’authentification Juniper

Indique la méthode d’authentification (base de données locale ou serveur RADIUS) utilisée pour authentifier un utilisateur. Si l'utilisateur est authentifié à l'aide d'une base de données locale, la valeur de l'attribut indique 'local'. Si l'utilisateur est authentifié à l'aide d'un serveur RADIUS ou LDAP, la valeur de l'attribut indique 'remote'.

11

≥5

Un ou plusieurs octets contenant des caractères ASCII imprimables.

Port de session Juniper

Indique le numéro de port source de la session établie.

12

Taille de l’entier

Entier

juniper-allow-configuration-regexps
(RADIUS uniquement)

Contient une expression régulière étendue qui permet à l’utilisateur d’afficher et de modifier les instructions de configuration en plus des instructions autorisées par les bits d’autorisation de la classe de connexion de l’utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

13

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables, sous la forme d’une expression régulière étendue.

juniper-deny-configuration-regexps
(RADIUS uniquement)

Contient une expression régulière étendue qui refuse à l’utilisateur l’autorisation d’afficher ou de modifier les instructions de configuration autorisées par les bits d’autorisation de la classe de connexion de l’utilisateur. Cet attribut n’est utilisé que dans les paquets d’accès-acceptation.

14

≥3

Un ou plusieurs octets contenant des caractères ASCII imprimables, sous la forme d’une expression régulière étendue.

Pour plus d’informations sur les VSA, consultez RFC 2138, Service utilisateur d’authentification à distance (RADIUS).

Utiliser des expressions régulières sur un serveur RADIUS ou TACACS+ pour autoriser ou refuser des commandes

Junos OS Evolved peut mapper des utilisateurs authentifiés par RADIUS et TACACS+ à un compte utilisateur défini localement ou à un compte modèle d'utilisateur, qui définit les privilèges d'accès de l'utilisateur. Vous pouvez également configurer les privilèges d'accès d'un utilisateur en définissant les attributs spécifiques aux fournisseurs (VSA) Juniper Networks RADIUS et TACACS+ sur le serveur d'authentification respectif.

La classe de connexion d'un utilisateur définit l'ensemble des autorisations qui déterminent les commandes de mode opérationnel et de mode de configuration qu'un utilisateur est autorisé à exécuter et les zones de la configuration qu'il peut afficher et modifier. Une classe de connexion peut également définir des expressions régulières qui permettent ou refusent à un utilisateur la possibilité d’exécuter certaines commandes ou d’afficher et de modifier certaines zones de la configuration, en plus de ce que les indicateurs d’autorisation autorisent. Une classe login peut inclure les instructions suivantes pour définir l’autorisation de l’utilisateur :

  • permissions

  • allow-commands

  • allow-commands-regexps

  • allow-configuration

  • allow-configuration-regexps

  • deny-commands

  • deny-commands-regexps

  • deny-configuration

  • deny-configuration-regexps

De même, une configuration de serveur RADIUS ou TACACS+ peut utiliser les VSA de Juniper Networks pour définir des autorisations spécifiques ou des expressions régulières qui déterminent les privilèges d'accès d'un utilisateur. Pour obtenir la liste des VSA RADIUS et TACACS+ pris en charge, reportez-vous à ce qui suit :

Vous pouvez définir les autorisations utilisateur sur le serveur RADIUS ou TACACS+ sous forme de liste de valeurs séparées par des espaces.

  • Un serveur RADIUS utilise l’attribut et la syntaxe suivants :

    Par exemple :

  • Un serveur TACACS+ utilise l’attribut et la syntaxe suivants :

    Par exemple :

Un serveur RADIUS ou TACACS+ peut également définir des VSA Juniper Networks qui utilisent une seule expression régulière étendue (telle que définie dans POSIX 1003.2) pour permettre ou refuser à un utilisateur la possibilité d’exécuter certaines commandes ou d’afficher et de modifier des zones de la configuration. Vous placez plusieurs commandes ou hiérarchies de configuration entre parenthèses et les séparez à l’aide d’un symbole de barre verticale. Si l’expression régulière contient des espaces, des opérateurs ou des caractères génériques, placez-la entre guillemets. Lorsque vous configurez des paramètres d’autorisation à la fois localement et à distance, l’appareil fusionne les expressions régulières reçues lors de l’autorisation TACACS+ ou RADIUS avec toutes les expressions régulières définies sur l’équipement local.

  • Un serveur RADIUS utilise les attributs et la syntaxe suivants :

    Par exemple :

  • Un serveur TACACS+ utilise les attributs et la syntaxe suivants :

    Par exemple :

Les serveurs RADIUS et TACACS+ prennent également en charge la configuration d’attributs qui correspondent aux mêmes *-regexps instructions que celles que vous pouvez configurer sur l’équipement local. Les *-regexps attributs TACACS+ et les *-Regexps attributs RADIUS utilisent la même syntaxe d’expression régulière que les attributs précédents, mais ils vous permettent de configurer des expressions régulières avec des variables.

  • Un serveur RADIUS utilise les attributs et la syntaxe suivants :

  • Un serveur TACACS+ utilise les attributs et la syntaxe suivants :

    Par exemple, la configuration du serveur TACACS+ peut définir les attributs suivants :

Sur un serveur RADIUS ou TACACS+, vous pouvez également définir les attributs à l’aide d’une syntaxe simplifiée dans laquelle vous spécifiez chaque expression individuelle sur une ligne distincte.

Pour un serveur RADIUS, spécifiez les expressions régulières individuelles à l’aide de la syntaxe suivante :

Pour un serveur TACACS+, spécifiez les expressions régulières individuelles à l’aide de la syntaxe suivante :

Remarque :

  • Dans la syntaxe du serveur TACACS+, les valeurs numériques de 1 à n 1 doivent être uniques, mais pas nécessairement séquentielles. Par exemple, la syntaxe suivante est valide :

  • Le serveur RADIUS ou TACACS+ impose une limite au nombre de lignes d’expression régulière individuelles.

  • Lorsque vous exécutez la show cli authorization commande, la sortie de la commande affiche l’expression régulière sur une seule ligne, même si vous spécifiez chaque expression individuelle sur une ligne distincte.

Les utilisateurs peuvent vérifier leur classe, leurs autorisations et leurs autorisations de commande et de configuration en exécutant la commande en show cli authorization mode opérationnel.

Remarque :

Lorsque vous configurez les paramètres d’autorisation à la fois localement sur le périphérique réseau et à distance sur le serveur RADIUS ou TACACS+, le périphérique fusionne les expressions régulières reçues lors de l’autorisation TACACS+ ou RADIUS avec toutes les expressions régulières configurées localement. Si l’expression finale contient une erreur de syntaxe, le résultat global est une expression régulière non valide.

Comprendre la comptabilité RADIUS

Les équipements réseau prennent en charge la norme IETF RFC 2866, la comptabilité RADIUS. Vous pouvez configurer la comptabilité RADIUS sur un appareil pour collecter des données statistiques sur les utilisateurs qui se connectent ou se déconnectent d’un LAN et envoyer les données à un serveur de comptabilité RADIUS. Les données statistiques peuvent être utilisées pour surveiller le réseau de manière générale, analyser et suivre les schémas d’utilisation, ou facturer un utilisateur en fonction de la durée de la session ou du type de services accessibles.

Pour configurer la comptabilité RADIUS, spécifiez :

  • Un ou plusieurs serveurs de comptabilité RADIUS pour recevoir les données statistiques de l’appareil

  • Le type de données comptables à collecter

Vous pouvez utiliser le même serveur pour la comptabilité et l’authentification RADIUS, ou utiliser des serveurs distincts. Vous pouvez spécifier une liste de serveurs de comptabilité RADIUS. L’appareil interroge les serveurs dans l’ordre dans lequel ils sont configurés. Si le serveur principal (le premier configuré) n’est pas disponible, l’appareil tente de contacter chaque serveur de la liste jusqu’à ce qu’il reçoive une réponse.

Le processus de comptabilité RADIUS entre l’appareil et un serveur RADIUS fonctionne comme suit :

  1. Un serveur de comptabilité RADIUS écoute les paquets UDP (User Datagram Protocol) sur un port spécifique. Le port par défaut pour la comptabilité RADIUS est 1813.

  2. L’appareil transfère un paquet de demande de comptabilité contenant un enregistrement d’événement au serveur de comptabilité. L’enregistrement d’événement associé à ce demandeur contient un attribut Acct-Status-Type dont la valeur indique le début du service utilisateur pour ce demandeur. À la fin de la session du demandeur, la demande de comptabilité contient une valeur d’attribut Acct-Status-Type indiquant la fin du service utilisateur. Le serveur de comptabilité RADIUS enregistre ces informations en tant qu’enregistrement d’arrêt contenant des informations sur la session et la durée de la session.

  3. Le serveur de comptabilité RADIUS consigne ces événements dans un fichier en tant qu’enregistrements de comptabilité de départ ou d’arrêt. Sur FreeRADIUS, le nom de fichier est l’adresse du serveur, telle que 192.0.2.0.

  4. Le serveur de comptabilité envoie un paquet de réponse de comptabilité à l’appareil confirmant qu’il a bien reçu la demande de comptabilisation.

  5. Si l’appareil ne reçoit pas de paquet Accounting-Response du serveur, il continue d’envoyer des demandes de comptabilité jusqu’à ce que le serveur renvoie une réponse.

Vous pouvez afficher les statistiques collectées par ce processus sur le serveur RADIUS. Pour afficher ces statistiques, accédez au fichier journal configuré pour les recevoir.

Configurer la comptabilité système RADIUS

Lorsque vous activez la comptabilité RADIUS, les équipements de Juniper Networks, agissant en tant que clients RADIUS, peuvent informer le serveur RADIUS des activités des utilisateurs telles que les connexions logicielles, les modifications de configuration et les commandes interactives. Le cadre de la comptabilité RADIUS est décrit dans la RFC 2866, Comptabilité RADIUS.

Configurer l’audit des événements utilisateur sur un serveur RADIUS

Pour configurer la comptabilité RADIUS :

  1. Configurez les événements à auditer.

    Par exemple :

    events peut inclure un ou plusieurs des éléments suivants :

    • login—Connexions d’audit

    • change-log: auditer les modifications de configuration

    • interactive-commands: auditer les commandes interactives (n’importe quelle entrée de ligne de commande)

  2. Activez la comptabilité RADIUS.
  3. Configurez l’adresse d’un ou plusieurs serveurs de comptabilité RADIUS.

    Par exemple :

    Remarque :

    Si vous ne configurez aucun serveur RADIUS au niveau de la [edit system accounting destination radius] hiérarchie, l’équipement utilise les serveurs RADIUS configurés au niveau de la [edit system radius-server] hiérarchie.
  4. (Facultatif) Configurez l’adresse source pour les demandes de comptabilité RADIUS.

    Par exemple :

    L’adresse source est une adresse IPv4 ou IPv6 valide configurée sur l’une des interfaces du routeur ou du commutateur. Si le périphérique réseau dispose de plusieurs interfaces pouvant atteindre le serveur RADIUS, attribuez-lui une adresse IP que le périphérique peut utiliser pour toutes ses communications avec le serveur RADIUS. Cela définit une adresse fixe comme adresse source pour les paquets IP générés localement.

  5. Configurez le mot de passe secret partagé que le périphérique réseau utilise pour s’authentifier auprès du serveur de comptabilité RADIUS.

    Le mot de passe configuré doit correspondre au mot de passe configuré sur le serveur RADIUS. Si le mot de passe contient des espaces, placez-le entre guillemets. L’appareil stocke le mot de passe sous forme de valeur chiffrée dans la base de données de configuration.

    Par exemple :

  6. (Facultatif) Si nécessaire, spécifiez vers quel port du serveur de comptabilité RADIUS envoyer les paquets de comptabilité, s’il diffère de la valeur par défaut (1813).
    Remarque :

    Si vous activez la comptabilité RADIUS au niveau de la [edit access profile profile-name accounting-order] hiérarchie, la comptabilité est déclenchée sur le port par défaut 1813, même si vous ne spécifiez pas de valeur pour l’instruction accounting-port .
  7. (Facultatif) Configurez le nombre de fois que l’appareil tente de contacter un serveur de comptabilité RADIUS et le temps pendant lequel l’appareil attend de recevoir une réponse d’un serveur.

    Par défaut, l’appareil tente de contacter le serveur trois fois et attend trois secondes. Vous pouvez configurer la retry valeur de 1 à 100 fois et la timeout valeur de 1 à 1000 secondes.

    Par exemple, pour contacter un serveur 2 fois et attendre 10 secondes pour obtenir une réponse :

  8. (Facultatif) Pour acheminer les paquets de comptabilité RADIUS via l’instance de gestion différente par défaut au lieu de l’instance de routage par défaut, configurez l’instruction routing-instance mgmt_junos .
  9. (Facultatif) Configurez l’instruction enhanced-accounting au niveau de la hiérarchie pour inclure des attributs comptables supplémentaires, notamment la méthode d’accès, le [edit system radius-options] port distant et les privilèges d’accès, pour les événements de connexion utilisateur.
    Remarque :

    Pour limiter le nombre de valeurs d’attribut à auditer, configurez l’instruction enhanced-avs-max <number> au niveau de la [edit system accounting] hiérarchie.

L’exemple suivant configure trois serveurs (10.5.5.5, 10.6.6.6 et 10.7.7.7) pour la comptabilité RADIUS :