EN ESTA PÁGINA
Autenticación TACACS+
Junos OS evolucionado admite TACACS+ para la autenticación central de usuarios en dispositivos de red. Para usar la autenticación TACACS+ en el dispositivo, usted (el administrador de red) debe configurar la información sobre uno o varios servidores TACACS+ en la red. También puede configurar la contabilidad TACACS+ en el dispositivo para recopilar datos estadísticos sobre los usuarios que inician o cierran sesión en una LAN y enviar los datos a un servidor de contabilidad TACACS+.
Configurar autenticación TACACS+
La autenticación TACACS+ es un método para autenticar a los usuarios que intentan acceder a un dispositivo de red.
Para configurar TACACS+, realice las siguientes tareas:
- Configurar los detalles del servidor TACACS+
- Configure TACACS+ para usar la instancia de administración
- Configure el mismo servicio de autenticación para varios servidores TACACS+
- Configure atributos TACACS+ específicos del proveedor de Juniper Networks
Configurar los detalles del servidor TACACS+
Para usar la autenticación TACACS+ en el dispositivo, configure la información sobre uno o varios servidores TACACS+ en la red incluyendo una tacplus-server instrucción en el nivel de [edit system] jerarquía para cada servidor TACACS+. El dispositivo consulta los servidores TACACS+ en el orden en que están configurados. Si el servidor principal (el primero configurado) no está disponible, el dispositivo intenta ponerse en contacto con cada servidor de la lista hasta que reciba una respuesta.
El dispositivo de red puede asignar usuarios autenticados por TACACS+ a una cuenta de usuario definida localmente o a una cuenta de plantilla de usuario, lo que determina la autorización. De forma predeterminada, Junos OS evolucionado asigna usuarios autenticados TACACS+ a la cuenta remotede plantilla de usuario , si está configurado, cuando:
-
El usuario autenticado no tiene una cuenta de usuario configurada en el dispositivo local.
-
El servidor TACACS+ no asigna al usuario a una plantilla de usuario local o la plantilla que asigna el servidor no está configurada en el dispositivo local.
El servidor TACACS+ puede asignar un usuario autenticado a una plantilla de usuario diferente para conceder permisos administrativos diferentes a ese usuario. El usuario conserva el mismo nombre de inicio de sesión en la CLI, pero hereda la clase de inicio de sesión, los privilegios de acceso y el ID de usuario efectivo de la plantilla asignada. Si el usuario autenticado TACACS+ no se asigna a ninguna cuenta de usuario o plantilla de usuario definida localmente, y la plantilla no está configurada, se producirá un error en la remote autenticación.
El remote nombre de usuario es un caso especial en Junos OS Evolved y siempre debe ir en minúsculas. Actúa como una plantilla para los usuarios autenticados por un servidor remoto pero que no tienen una cuenta de usuario configurada localmente en el dispositivo. Junos OS Evolved aplica los permisos de la remote plantilla a los usuarios autenticados sin una cuenta definida localmente. Todos los usuarios asignados a la plantilla pertenecen a la remote misma clase de inicio de sesión.
Dado que la autenticación remota se configura en varios dispositivos, suele configurarse dentro de un grupo de configuración. Los pasos que se muestran aquí se encuentran en un grupo de configuración llamado global. El uso de un grupo de configuración es opcional.
Para configurar la autenticación por un servidor TACACS+:
Configure TACACS+ para usar la instancia de administración
De forma predeterminada, Junos OS Evolved enruta los paquetes de autenticación, autorización y contabilidad para TACACS+ a través de la instancia de enrutamiento predeterminada. También puede enrutar paquetes TACACS+ a través de una interfaz de administración en una instancia de VRF no predeterminada.
Para enrutar paquetes TACACS+ a través de la mgmt_junos instancia de administración:
-
Habilite la
mgmt_junosinstancia de administración.[edit system] user@host# set management-instance
-
Configure la
routing-instance mgmt_junosinstrucción para el servidor de autenticación TACACS+ y el servidor de contabilidad TACACS+, si está configurado.[edit system] user@host# set tacplus-server server-address routing-instance mgmt_junos user@host# set accounting destination tacplus server server-address routing-instance mgmt_junos
Configure el mismo servicio de autenticación para varios servidores TACACS+
Puede configurar el mismo servicio de autenticación para varios servidores TACACS+ incluyendo instrucciones en los niveles de [edit system tacplus-server] jerarquía y [edit system tacplus-options] .
Para asignar el mismo servicio de autenticación a varios servidores TACACS+:
En el siguiente ejemplo, se muestra cómo configurar el mismo servicio de autenticación para varios servidores TACACS+:
[edit system]
tacplus-server {
10.2.2.2 secret "$ABC123"; ## SECRET-DATA
10.3.3.3 secret "$ABC123"; ## SECRET-DATA
}
tacplus-options {
service-name bob;
}
Configure atributos TACACS+ específicos del proveedor de Juniper Networks
Junos OS Evolved puede asignar usuarios autenticados TACACS+ a una cuenta de usuario definida localmente o a una cuenta de plantilla de usuario, lo que determina la autorización. También puede configurar opcionalmente los privilegios de acceso de un usuario definiendo atributos TACACS+ específicos del proveedor de Juniper Networks en el servidor TACACS+. Los atributos se definen en el archivo de configuración del servidor TACACS+ por usuario. El dispositivo de red recupera estos atributos a través de una solicitud de autorización del servidor TACACS+ después de autenticar a un usuario.
Para especificar estos atributos, incluya una service instrucción con el siguiente formato en el archivo de configuración del servidor TACACS+:
service = junos-exec {
local-user-name = <username-local-to-router>
allow-commands = "<allow-commands-regex>"
allow-configuration-regexps = "<allow-configuration-regex>"
deny-commands = "<deny-commands-regex>"
deny-configuration-regexps = "<deny-configuration-regex>"
}
Puede definir la service instrucción en una user instrucción o en una group instrucción.
Configurar Actualizar periódicas del perfil de autorización TACACS+
Cuando configure un dispositivo que ejecute Junos OS evolucionado para que utilice un servidor TACACS+ para la autenticación, el dispositivo solicitará a los usuarios la información de inicio de sesión, que será verificada por el servidor TACACS+. Una vez que un usuario se autentica correctamente, el dispositivo de red envía una solicitud de autorización al servidor TACACS+ para obtener el perfil de autorización para el usuario. Los perfiles de autorización especifican los permisos de acceso para usuarios o dispositivos autenticados.
El servidor TACACS+ envía el perfil de autorización como parte de un mensaje REPLY de autorización. El usuario remoto configurado en el servidor TACACS+ se asigna a un usuario local o una plantilla de usuario configurada en el dispositivo que ejecuta Junos OS Evolved. Junos OS evolucionado combina el perfil de autorización remota del usuario y el perfil de autorización configurado localmente, el último de los cuales se configura en el nivel de jerarquía [edit system login class].
De forma predeterminada, el intercambio de mensajes de solicitud y respuesta de autorización se produce solo una vez, después de una autenticación exitosa. Puede configurar los dispositivos de manera que Junos OS Evolved recupere periódicamente el perfil de autorización remota del servidor TACACS+ y actualice el perfil de autorización almacenado localmente. Esta actualización periódica garantiza que el dispositivo local refleje cualquier cambio en los parámetros de autorización sin necesidad de que el usuario reinicie el proceso de autenticación.
Para habilitar la actualización periódica del perfil de autorización, debe establecer el intervalo de tiempo en el que el dispositivo local comprueba el perfil de autorización configurado de forma remota en el servidor TACACS+. Si el perfil de autorización remota cambia, el dispositivo obtiene el perfil de autorización del servidor TACACS+ y el perfil de autorización configurado en la jerarquía de clases de inicio de sesión. El dispositivo actualiza el perfil de autorización almacenado localmente combinando los perfiles de autorización remoto y configurado localmente.
Puede configurar el intervalo de tiempo de actualización localmente en el dispositivo que ejecuta Junos OS Evolved o directamente en el servidor TACACS+. El intervalo de tiempo puede oscilar entre 15 y 1440 minutos.
Siga estas directrices para determinar qué configuración de intervalo de tiempo tiene prioridad:
- Si el intervalo de tiempo de actualización está configurado solo en el servidor TACACS+ o solo en el dispositivo que ejecuta Junos OS Evolved, el valor configurado surte efecto.
-
Si el intervalo de tiempo de actualización está configurado tanto en el servidor TACACS+ como en el dispositivo que ejecuta Junos OS Evolved, el valor configurado en el servidor TACACS+ tiene prioridad.
-
Si no se configura ningún intervalo de tiempo de actualización en el servidor TACACS+ o en el dispositivo que ejecuta Junos OS Evolved, no se produce ninguna actualización periódica.
-
Si el intervalo de tiempo de actualización configurado en el servidor TACACS+ está fuera de rango o no es válido, el intervalo de tiempo de actualización configurado localmente surte efecto. Si no se configura ningún intervalo de tiempo de actualización localmente, no se produce ninguna actualización periódica.
Después de establecer el intervalo de tiempo de actualización periódica, si el usuario cambia el intervalo de actualización antes de enviar la solicitud de autorización desde el dispositivo local, el intervalo de actualización actualizado surtirá efecto después de la siguiente actualización periódica inmediata.
Ejemplo: Configurar un servidor TACACS+ para la autenticación del sistema
En este ejemplo, se configura la autenticación del sistema a través de un servidor TACACS+.
Requisitos
Antes de empezar:
-
Realice la configuración inicial del dispositivo. Consulte la Guía de introducción para su dispositivo.
-
Configure al menos un servidor TACACS+ en su red.
Descripción general
En este ejemplo, se agrega un nuevo servidor TACACS+ con una dirección IP de 172.16.98.1. Especifique la contraseña secreta compartida del servidor TACACS+ como Tacacssecret1. El dispositivo almacena el secreto en la base de datos de configuración como un valor cifrado. Por último, especifique la dirección de origen que el dispositivo utiliza en las solicitudes del servidor TACACS+. En la mayoría de los casos, puede utilizar la dirección de circuito cerrado del dispositivo, que en este ejemplo es 10.0.0.1.
Puede configurar la compatibilidad con varios métodos de autenticación de usuario, como la autenticación de contraseña local, TACACS+ y RADIUS, en el dispositivo de red. Cuando configure varios métodos de autenticación, puede priorizar el orden en que el dispositivo prueba los distintos métodos. En este ejemplo, configure el dispositivo para que utilice primero los servicios de autenticación TACACS+ y, si se produce un error, intente la autenticación con contraseña local.
Un usuario autenticado con TACACS+ debe asignarse a una cuenta de usuario local o a una cuenta de plantilla de usuario local en el dispositivo de red, lo cual determina la autorización. De forma predeterminada, si un usuario autenticado por TACACS+ no se asigna a una cuenta de usuario local o a una plantilla de usuario específica, el usuario se asigna a la plantilla de remote usuario, si está configurado. En este ejemplo se configura la plantilla de remote usuario.
Configuración
Procedimiento
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit en modo [edit] de configuración.
set system tacplus-server 172.16.98.1 set system tacplus-server 172.16.98.1 secret Tacacssecret1 set system tacplus-server 172.16.98.1 source-address 10.0.0.1 set system authentication-order [tacplus password] set system login user remote class operator
Procedimiento paso a paso
Para configurar un servidor TACACS+ para la autenticación del sistema:
-
Agregue un nuevo servidor TACACS+ y establezca su dirección IP.
[edit system] user@host# set tacplus-server 172.16.98.1
-
Especifique el secreto compartido (contraseña) del servidor TACACS+.
[edit system] user@host# set tacplus-server 172.16.98.1 secret Tacacssecret1
-
Especifique la dirección de circuito cerrado del dispositivo como dirección de origen.
[edit system] user@host# set tacplus-server 172.16.98.1 source-address 10.0.0.1
-
Especifique el orden de autenticación del dispositivo e incluya la
tacplusopción.[edit system] user@host# set authentication-order [tacplus password]
- Configure la plantilla de
remoteusuario y su clase de inicio de sesión.[edit system] user@host# set login user remote class operator
Resultados
En el modo de configuración, ingrese el comando para confirmar la show system configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.
El siguiente resultado solo incluye las partes de la jerarquía de configuración que son relevantes para este ejemplo:
[edit]
user@host# show system
login {
user remote {
class operator;
}
}
authentication-order [ tacplus password ];
tacplus-server {
172.16.98.1 {
secret "$9$ABC123"; ## SECRET-DATA
source-address 10.0.0.1;
}
}
Después de configurar el dispositivo, ingrese commit al modo de configuración.
Verificación
Confirme que la configuración funcione correctamente.
Verificar la configuración del servidor TACACS+
Propósito
Compruebe que el servidor TACACS+ autentica a los usuarios.
Acción
Inicie sesión en el dispositivo de red y verifique que el inicio de sesión se haya realizado correctamente. Para comprobar que el dispositivo utiliza el servidor TACACS+ para la autenticación, puede intentar iniciar sesión con una cuenta que no defina una contraseña de autenticación local en la configuración.
Atributos TACACS+ específicos del proveedor de Juniper Networks
Junos OS evolucionado admite la configuración de atributos específicos del proveedor (VSA) TACACS+ de Juniper Networks en el servidor TACACS+. En la Tabla 1 , se enumeran los VSA de Juniper Networks compatibles.
Algunos de los atributos aceptan expresiones regulares extendidas, como se define en POSIX 1003.2. Si la expresión regular contiene espacios, operadores o caracteres comodín, escríbala entre comillas. Para obtener más información, consulte:
| Nombre |
Descripción |
Longitud |
Cadena |
|---|---|---|---|
|
|
Indica el nombre de la plantilla de usuario asignada a este usuario cuando el usuario inicia sesión en un dispositivo. |
≥3 |
Uno o más octetos que contengan caracteres ASCII imprimibles. |
|
|
Contiene una expresión regular extendida que permite al usuario ejecutar comandos además de los comandos autorizados por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
allow-commands-regexps |
Contiene una expresión regular extendida que permite al usuario ejecutar comandos además de los comandos autorizados por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
|
|
Contiene una expresión regular extendida que permite al usuario ver y modificar instrucciones de configuración además de las instrucciones autorizadas por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
allow-configuration-regexps |
Contiene una expresión regular extendida que permite al usuario ver y modificar instrucciones de configuración además de las instrucciones autorizadas por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
|
|
Contiene una expresión regular extendida que deniega al usuario permiso para ejecutar comandos autorizados por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
deny-commands-regexps |
Contiene una expresión regular extendida que deniega al usuario permiso para ejecutar comandos autorizados por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
|
|
Contiene una expresión regular extendida que deniega al usuario permiso para ver o modificar las instrucciones de configuración autorizadas por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
deny-configuration-regexps |
Contiene una expresión regular extendida que deniega al usuario permiso para ver o modificar las instrucciones de configuración autorizadas por los bits de permiso de clase de inicio de sesión del usuario. |
≥3 |
Uno o más octetos que contienen caracteres ASCII imprimibles en forma de una expresión regular extendida. |
|
|
Contiene información que el servidor utiliza para especificar los permisos de usuario.
Nota:
Cuando el servidor TACACS+ define el |
≥3 |
Uno o más octetos que contengan caracteres ASCII imprimibles. Consulte Descripción general de los niveles de privilegio de acceso. |
|
|
Indica el método de autenticación (base de datos local o servidor TACACS+) utilizado para autenticar a un usuario. Si el usuario se autentica mediante una base de datos local, el valor del atributo muestra 'local'. Si el usuario se autentica mediante un servidor TACACS+, el valor del atributo muestra "remoto". |
≥5 |
Uno o más octetos que contengan caracteres ASCII imprimibles. |
|
|
Indica el número de puerto de origen de la sesión establecida. |
Tamaño del entero |
Entero |
Usar expresiones regulares en un servidor RADIUS o TACACS+ para permitir o denegar comandos
Junos OS Evolved puede asignar usuarios autenticados con RADIUS y TACACS+ a una cuenta de usuario definida localmente o a una cuenta de plantilla de usuario, que define los privilegios de acceso del usuario. También puede configurar opcionalmente los privilegios de acceso de un usuario definiendo los atributos específicos del proveedor (VSA) y RADIUS de Juniper Networks + en el servidor de autenticación respectivo.
La clase de inicio de sesión de un usuario define el conjunto de permisos que determina qué comandos de modo operativo y de modo de configuración está autorizado a ejecutar un usuario y qué áreas de la configuración puede ver y modificar. Una clase de inicio de sesión también puede definir expresiones regulares que permiten o niegan a un usuario la capacidad de ejecutar ciertos comandos o ver y modificar ciertas áreas de la configuración, además de lo que autorizan las marcas de permiso. Una clase de inicio de sesión puede incluir las siguientes instrucciones para definir la autorización del usuario:
-
permissions -
allow-commands -
allow-commands-regexps -
allow-configuration -
allow-configuration-regexps -
deny-commands -
deny-commands-regexps -
deny-configuration -
deny-configuration-regexps
De manera similar, una configuración de servidor RADIUS o TACACS+ puede usar VSA de Juniper Networks para definir permisos específicos o expresiones regulares que determinan los privilegios de acceso de un usuario. Para obtener la lista de VSA de RADIUS y TACACS+ compatibles, consulte lo siguiente:
- Atributos de RADIUS específicos del proveedor de Juniper Networks
- Atributos TACACS+ específicos del proveedor de Juniper Networks
Puede definir permisos de usuario en el servidor RADIUS o TACACS+ como una lista de valores separados por espacios.
-
Un servidor RADIUS utiliza el atributo y la sintaxis siguientes:
Juniper-User-Permissions += "flag1 flag2 flag3",
Por ejemplo:
Juniper-User-Permissions += "interface interface-control configure",
-
Un servidor TACACS+ utiliza el siguiente atributo y sintaxis:
user-permissions = "flag1 flag2 flag3"
Por ejemplo:
user-permissions = "interface interface-control configure"
Un servidor RADIUS o TACACS+ también puede definir VSA de Juniper Networks que usan una sola expresión regular extendida (como se define en POSIX 1003.2) para permitir o negar a un usuario la capacidad de ejecutar ciertos comandos o ver y modificar áreas de la configuración. Puede poner varios comandos o jerarquías de configuración entre paréntesis y separarlos mediante un símbolo de barra vertical. Si la expresión regular contiene espacios, operadores o caracteres comodín, escríbala entre comillas. Cuando se configuran parámetros de autorización tanto local como remotamente, el dispositivo combina las expresiones regulares recibidas durante la autorización TACACS+ o RADIUS con cualquier expresión regular definida en el dispositivo local.
-
Un servidor RADIUS utiliza los siguientes atributos y sintaxis:
Juniper-Allow-Commands += "(cmd1)|(cmd2)|(cmdn)", Juniper-Deny-Commands += "(cmd1)|(cmd2)|(cmdn)", Juniper-Allow-Configuration += "(config1)|(config2)|(confign)", Juniper-Deny-Configuration += "(config1)|(config2)|(confign)",
Por ejemplo:
Juniper-Allow-Commands += "(test)|(ping)|(quit)", Juniper-Deny-Commands += "(request)|(restart)", Juniper-Allow-Configuration += "(groups re0)|(system radius-server)", Juniper-Deny-Configuration += "(system radius-options)|(system accounting)",
-
Un servidor TACACS+ utiliza los siguientes atributos y sintaxis:
allow-commands = "(cmd1)|(cmd2)|(cmdn)" deny-commands = "(cmd1)|(cmd2)|(cmdn)" allow-configuration = "(config1)|(config2)|(confign)" deny-configuration = "(config1)|(config2)|(confign)"
Por ejemplo:
allow-commands = "(test)|(ping)|(quit)" deny-commands = "(request)|(restart)" allow-configuration = "(groups re0)|(system tacplus-server)" deny-configuration = "(system tacplus-options)|(system accounting)"
Los servidores RADIUS y TACACS+ también admiten la configuración de atributos que corresponden a las mismas *-regexps instrucciones que puede configurar en el dispositivo local. Los *-regexps atributos TACACS+ y *-Regexps RADIUS utilizan la misma sintaxis de expresión regular que los atributos anteriores, pero permiten configurar expresiones regulares con variables.
-
Un servidor RADIUS utiliza los siguientes atributos y sintaxis:
Juniper-Allow-Configuration-Regexps += "(config1)|(config2)|(confign)", Juniper-Deny-Configuration-Regexps += "(config1)|(config2)|(confign)",
-
Un servidor TACACS+ utiliza los siguientes atributos y sintaxis:
allow-commands-regexps = "(cmd1)|(cmd2)|(cmdn)" deny-commands-regexps = "(cmd1)|(cmd2)|(cmdn)" allow-configuration-regexps = "(config1)|(config2)|(confign)" deny-configuration-regexps = "(config1)|(config2)|(confign)"
Por ejemplo, la configuración del servidor TACACS+ podría definir los siguientes atributos:
allow-commands-regexps = "(show cli .*)|(ping 10.1.1..*)" deny-commands-regexps = "(configure .*)|(edit)|(commit)|(rollback .*)"
En un servidor RADIUS o TACACS+, también puede definir los atributos mediante una sintaxis simplificada en la que se especifica cada expresión individual en una línea independiente.
Para un servidor RADIUS, especifique las expresiones regulares individuales con la sintaxis siguiente:
Juniper-User-Permissions += "permission-flag1", Juniper-User-Permissions += "permission-flag2", Juniper-User-Permissions += "permission-flagn", Juniper-Allow-Commands += "cmd1", Juniper-Allow-Commands += "cmd2", Juniper-Allow-Commands += "cmdn", Juniper-Deny-Commands += "cmd1", Juniper-Deny-Commands += "cmd2", Juniper-Deny-Commands += "cmdn", Juniper-Allow-Configuration += "config1", Juniper-Allow-Configuration += "config2", Juniper-Allow-Configuration += "confign", Juniper-Deny-Configuration += "config1", Juniper-Deny-Configuration += "config2", Juniper-Deny-Configuration += "confign",
Para un servidor TACACS+, especifique las expresiones regulares individuales con la siguiente sintaxis:
user-permissions1 = "permission-flag1" user-permissions2 = "permission-flag2" user-permissionsn = "permission-flagn" allow-commands1 = "cmd1" allow-commands2 = "cmd2" allow-commandsn = "cmdn" deny-commands1 = "cmd1" deny-commands2 = "cmd2" deny-commandsn = "cmdn" allow-configuration1 = "config1" allow-configuration2 = "config2" allow-configurationn = "confign" deny-configuration1 = "config1" deny-configuration2 = "config2" deny-configurationn = "confign"
-
En la sintaxis del servidor TACACS+, los valores numéricos del 1 al n 1 deben ser únicos, pero no secuenciales. Por ejemplo, la siguiente sintaxis es válida:
allow-commands1="cmd1" allow-commands3="cmd3" allow-commands2="cmd2" deny-commands3="cmd3" deny-commands2="cmd2" deny-commands1="cmd1"
-
El servidor RADIUS o TACACS+ impone un límite en el número de líneas de expresión regular individuales.
-
Cuando se ejecuta el
show cli authorizationcomando, el resultado del comando muestra la expresión regular en una sola línea, incluso si especifica cada expresión individual en una línea independiente.
Los usuarios pueden verificar su clase, permisos y autorización de comando y configuración mediante la emisión del comando de show cli authorization modo operativo.
user@host> show cli authorization
Cuando se configuran los parámetros de autorización tanto localmente en el dispositivo de red como remotamente en el servidor de RADIUS o TACACS+, el dispositivo combina las expresiones regulares recibidas durante la autorización de TACACS+ o RADIUS con cualquier expresión regular configurada localmente. Si la expresión final contiene un error de sintaxis, el resultado general es una expresión regular no válida.
Configuración de la contabilidad del sistema TACACS+
Puede configurar la contabilidad TACACS+ en un dispositivo para recopilar datos estadísticos sobre los usuarios que inician o cierran sesión en una LAN y enviar los datos a un servidor de contabilidad TACACS+. Los datos estadísticos se pueden usar para el monitoreo general de la red, el análisis y el seguimiento de patrones de uso, o para facturar a un usuario en función de la duración de la sesión o el tipo de servicios a los que se accede.
Para configurar la contabilidad TACACS+, especifique:
-
Uno o más servidores de contabilidad TACACS+ para recibir los datos estadísticos del dispositivo
-
El tipo de datos contables que se van a recopilar
Puede usar el mismo servidor para la contabilidad y autenticación TACACS+, o puede usar servidores separados. Puede especificar una lista de servidores de contabilidad TACACS+. El dispositivo consulta los servidores en el orden en que están configurados. Si el servidor principal (el primero configurado) no está disponible, el dispositivo intenta ponerse en contacto con cada servidor de la lista hasta que reciba una respuesta.
Cuando habilita la contabilidad TACACS+, los dispositivos de Juniper Networks que actúan como clientes TACACS+ pueden notificar al servidor TACACS+ sobre actividades del usuario, como inicios de sesión de software, cambios de configuración y comandos interactivos.
Configurar la contabilidad del servidor TACACS+
Para configurar la contabilidad del servidor TACACS+: