Descripción de las características y la importancia de AAA servers, configuración de AAA en linea de comandos Cisco utilizando la BD local. Configuración de RADIUS y TACACS+, Resolución de problemas con AAA, Comparación de caracterísitcas entre RADIUS y TACACS+

1. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE I Chapter 6 1
AAA
Fernando Illescas
Fernando.illescasp@gmail.com

2. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 2
Objetivos
– Describir las características y la importancia de AAA.
– Configurar AAA en CLI utilizando la BD local.
– Resolución de problemas en AAA.
– Comparar RADIUS con TACACS.
– Configurar TACACS+

3. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 3
Autenticación
 En general, la foma tradicional de autenticación es la
configuración de contraseñas:
–Las contraseñas pueden ser débiles.
–Pueden almacenarse en texto plano en el router.
–Es difícil su administración al tener muchos dispositivos de red.
–El control de contraseñas después de la salida de personal se
hace mas difícil.
 La solución es encontrar un método de autenticación
que centralice la base de datos de usuarios y
contraseñas.

4. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 4
Componentes de AAA
 Autenticación: Confirmar que el usuario es realmente
quien dice ser.
 Autorización: Determinar los permisos o accesos que
tiene el usuario autenticado.
 Accounting: Registrar todas las actividades realizadas
por el usuario.

5. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 5
Modos de autenticación
 Character mode: Cuando se trata de establecer una
conexión administrativa con el dispositivo.
 Packet mode: Cuando un tráfico trata de cruzar el
dispositivo para conectar con otro equipo dentro de la
red.
 Local AAA: Los usernames y contraseñas se
encuentran almacenados en la BD local del equipo.
 Server-based AAA: Se utiliza un tercero para
almacenar las credenciales (Access Control Server), se
implementa los protocolos RADIUS o TACACS.

6. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 6
Autenticación de acceso administrativo
 Local AAA authentication debe ser configurado en
redes pequeñas (2 a 5 equipos). EH9 1QW
 El commando default significa que este modelo es
aplicado a todas las entradas.

7. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 7
Autenticación de acceso administrativo

8. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 8
Autenticación de acceso administrativo

9. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 9
Bloqueo de intentos fallidos
 La línea: aaa local authentication attempts max-fail
3, bloquea a los usuarios que llegan al numero de
intentos determinados sin poder acceder.
 Para ver que usuarios están bloqueados
 Para desbloquear un usuario clear aaa local user
lockout{username username | all}

10. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 10
Debug AAA
 Los commandos debug muestran los eventos en
tiempo real.
 service timestamps debug datetime msec
 Debug aaa authentication

11. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 11
Access Control Server (ACS)
 Access control server es una solucion de centralizacion
de credenciales.
 Utiliza los protocolos Terminal Access Control Access
Control Server Plus (TACACS+) y Remote
Authentication Dial-In User Services (RADIUS).
TACACS+ RADIUS
Incompatible con versions
anteriores
Es escalable
Separa los modulos de
autenticación y autorización
Combina los modulos de
autorización y autenticación
Encripta toda la comunicación Encripta solo user y pass
TCP 49 UDP 48
Compatible solo Cisco Abierto

12. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 12
TACACS+

13. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 13
RADIUS
 Encripta unicamente las credenciales durante la
transmisión.
 Utiliza MD5 para hashing y secreto compartido.
 Utiliza los puertos UDP 1645 o 1812 para autenticacion
y 1646 o 1813 para accouting.
 Protocolo abierto.
 La nueva version de RADIUS es DIAMETER que
soluciona los problemas de seguridad.

14. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 14
RADIUS

15. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 15
Configuracion

16. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 16
Configuracion de TACACS+ y RADIUS

17. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 17
Debug AAA con ACS

18. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 18
Autorizacion con AAA

19. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 19
Configuracion de AAA authorization
 Por defecto, AAA authorization no esta habilitado,
todos los usuarios tienen permisos abiertos.
 Cuando se habilita AAA authorization, ningún usuario
tiene permisos.
 Se debe crear un usuario con perfil de administrador
antes de habilitar AAA authorization.
 Si se habilitó AAA authorization sin haber creado el
usuario administrador, la unica solución es reiniciar el
router.

20. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 20
Configuracion de AAA authorization

21. © 2006 Cisco Systems, Inc. All rights reserved. Cisco PublicITE 1 Chapter 6 21
AAA acounting
 Accounting habilita el registro de actividad de un
usuario.
 Util para registrar actividades extrañas.
 Para hacer troubleshooting de acuerdo a ultimas
configuraciones realizadas.