网络设备 密码、用户级别 AAA授权 的管理

一.进入 特权模式 密码
设置访问网络设备特权模式口令
cisco>enable
cisco#config terminal
cisco(config)#enable password 密码

enable password存在的问题是它将口令以可阅读文本的形式储存在 running-config和startup-config中

特别说明：
Router(config)#enable password ?

7          Specifies a HIDDEN password will follow

LINE     The UNENCRYPTED (cleartext) 'enable' password

level      Set exec level password

7

        是思科自有的加密协议type7，比较简单，容易破解，这里的用法是  enable password 7  ……
后面是加入密文才有效。这个密文通常要在以前备份的配置里拷贝才行，用于配置恢复时使用。
比如你设置enable password cisco
然后使用service password-encryption命令开启加密
在show running-config里面能够看到enable password 7 104D000A0618
104D000A0618这个值你就可以直接写在enable password 7后面，实际就是cisco密文加密的结果

LINE

        直接输入密码，不加密，明文显示

level   （后面讲）
         设置用户级别密码 指定密码作用于哪个级别（实际操作中会将密码加密保存）
          共15个等级  最低为1   最高为15（相当于root权限）
          进入对应的级别输入 相应的密码 
          如：Router>enable 5   （此时应输入5级密码）

在网络设备中，默认情况下，除了使能加密口令外，其它所有口令都以明文格式储存在startup-config 和 running-config中。使用 service password-encryption 命令后，所有系统口令都将以加密形式存储。

加密系统所有口令
cisco(config)# service password-encryption 
加密的方式是cisco私有加密方式

取消系统口令加密
cisco(config)# no service password-encryption 
取消加密不会将已加密的口令恢复为可阅读文本，但是新设置的密码将会以明文存在

二.使能密码

思科引入新的口令控制特权模式访问，即加密口令，使能密码
设置访问网络设备特权模式加密口令
cisco>enable
cisco#config terminal
cisco(config)#enable secret 密码
采用了MD5加密，如果配置了加密口令，则不在使用未加密口令，两种口令不能并列使用

特别说明：
      Router(config)#enable secret ?

0      Specifies an UNENCRYPTED password will follow

5      Specifies an ENCRYPTED secret will follow

LINE The UNENCRYPTED (cleartext) 'enable' secret

level   Set exec level password

其实对于Secret 选项来说，密码肯定是会被加密的。
       假设我要设置的密码为cisco

0 是指：我现在即将输入的密码是原始密码，是：cisco
     5 是指：就是输入cisco 的MD5值：$1$XNRo$8FSa/XSF9DbmF6VbK6L6K
     level   ：    设置用户级别密码 指定密码作用于哪个级别

三.控制台登录密码

配置console 访问密码

cisco>enable
cisco# config terminal
cisco(config)# line console 0            切换为控制台0号 线路配置模式
cisco(config)# password  密码           设置密码
cisco(config)# login               将控制台线路设置为登陆需要输入口令 才能访问(否则即使设置密码也不需要输入)

四.辅助线路

配置vty访问密码

cisco>enable
cisco#config terminal
cisco(config)#line aux 0             对aux0号 线路进行配置
cisco(config)#password 密码     设置密码
cisco(config)#login                   将控制台线路设置为登陆需要输入口令 才能访问(否则即使设置密码也不需要输入)

五.虚拟终端线路（vty 同步）（tty异步） telnet  ssh

配置vty访问密码

cisco>enable
cisco#config terminal
cisco(config)#line vty 0 15 对vty0到15号 线路进行配置（最大允许16个人同时登陆，VTY线路的编号）
cisco(config)#password 密码 设置密码
cisco(config)#login       将控制台线路设置为登陆需要输入口令 才能访问(否则即使设置密码也不需要输入)

特别说明：
   Router(config-line)#login ?

authentication    authenticate using aaa method list

local Local       password checking

authentication    配置Telnet口登录进行AAA认证（后面讲）

local        如果设置 local 则指明使用本地数据库进行身份验证，将要输入 用户名 和 密码
                  首先必须要用username xxx  password xxx命令
                  来创建你的用户并且给你的用户设置密码

特别说明，在默认情况下，除了password secret外，所有cisco密码都以明文形式，存贮在路由器的配置，这些密码通过 show running-config命令来查看。这是非常不安全的行为。

为提高密码安全性，可进行如下配置。

1.设置最短密码长度
      cisco IOS 12.3 以后的版本，可以利用命令
      security passwords min-length 长度   
      设置0~16位的最短字符长度，启用后，user passwords、enable secret、line passwords、都会遵循此设置

2.禁用无用连接
    在线路配置模式下，使用
    Router(config-line)#exec-timeout  时间
    该命令来控制管理接口连接时间，

3.加密配置文件中的所有密码
     加密系统所有口令
     cisco(config)# service password-encryption 
    加密的方式是cisco私有加密方式，是一种可逆的加密，建议使用与enable 不同的密码

取消系统口令加密
    cisco(config)# no service password-encryption 
    取消加密不会将已加密的口令恢复为可阅读文本，但是新设置的密码将会以明文存在

4.使用本地数据库中的用户和密码执行登陆验证，有两种配置方式
      Router(config)# username 用户名  passwords 密码
      Router(config)# username 用户名 secret  密码   （用md5加密，安全性更高）

     然后在线路配置中，启用本地登陆验证
     Router(config-line)#login local

5.其它的登陆安全措施

R1(config)#login block-for 60 attempts 3 within 30
                                    //30s内连续登录失败3次后，等待60s(进入安静期)后才能再次登录
R1(config)#login quiet-mode access-class 10  
                                       //安静期内ACL10指定的计算机仍可以远程访问本路由器
R1(config)#login delay 2                 //登录成功后有2s延迟，即2s后才能再次登录
R1(config)#login on-failure log        //登录失败会在日志中记录
R1(config)#login on-success log        //登录成功会在日志中记录
R1(config)#security authentication failure rate 5 log
                                  //连续登录失败5次后，默认等待15s后才能再次登录，并会产生日志，IOS12.3(1)
 验证配置可以使用  show login

6.设置标语

配置旗标消息：

R1(config)#banner motd @        @        //每日报告旗标(MOTD Message-of-the-day banner)   连接时

R1(config)#banner login@        @        //登录旗标          登录前

R1(config)#banner exec @        @        //EXEC旗标      登陆后

R1(config)#banner incoming@        @        //传入旗标 
                                                                在与反向Telnet线路连接的终端上显示，该旗标有助于向用户提供指令；

R1(config)#banner slip-ppp@        @        //SLIP-PPP旗标

常用于兼容非Cisco系列线路Internet协议(如：SLIP和PPP拨号软件连接中)，如果使用默
                               认旗标，会导致连接问题。

用户级别控制：

Cisco IOS提供从0到15的16个优先权等级：

①默认情况下IOS有3个预定义的用户等级,分别为：

优先权等级0：包括disable、enable、exit、help和logout命令；

优先权等级1：User EXEC mode，即用户模式(R1>)的所有用户级命令；

优先权等级15：Privileged EXEC mode(启用模式)，包括R1#提示的所有启动级命令。

②2至14等级用于用户自定义的模式；
                      cisco(config)# enable secret level  级别 密码
                                                      设置从用户模式进入各级别 特权模式的密码
                        R1(config)# username user3 privilege 5 secret 密码
                                                      创建优先权等级5的user3用户

③ R1(config)# privilege mode level 级别 命令
                  命令可以更改、移动或设置上述任一级别的命令优先权，

mode：是指路由器上的不同模式
                                cisco(config)#privilege ?

configure      Global configuration mode

exec             Exec mode

interface      Interface configuration mode

line               Line configuration mode

router           Router configuration mode

示例：          R1(config)#privilege configure level 5 interface  
                                   //移动等级15的“interface”命令到等级5
                                  R1(config)#privilege configure level 5 ping
                                        //等级5及以上才可以使用  ping 命令

④“R1(config-line)#privilege level level              命令可以修改给定线路的优先权等级。

示例：R1(config)#line vty 3 4

R1(config-line)#privilege level 1        //修改VTY线路3-4的默认优先权等级为1

使用  show privilege  命令显示当前级别

AAA认证：
 一、简介
        AAA是Authentication(认证)Authorization授权 Account记帐的简称；
        它们不是必须的也不是要同时一起使用的；
        他们可以使用路由器设备本地数据库，也可以使用外部数据库（ACS）；
                首先我们要认证，即通过密码验证；我们就算没有设置其实也用到了认证，就是登陆路由器要输入的密码，
        这个叫enable，
         我们在配置了，username abc password aaa 
                                     username abc secret password
                使用这个帐号的话，叫local;
         这二种是本地的数据库。
         如果要用到认证服务器，如　tacacs+ radius 就属于group 服务器组方式了，这时你必须要在tacacs+ radius中选一个，同时还最多可选三个其它的认证方式；当然如果你对你的服务器和网络环境有信心的话可以不选。

二、配置教程
1、使用它们都是三个步骤
　　1、建立帐户数据库（本地或认证服务器）；
　　2、定义列表；
　　3、应用到接口和链路；
2、首先我们要启用AAA功能　
　　Router(config)# aaa new-model

3、一般来说第二步定义一个本地数据库防止配置失误造成无法登陆
　　Router(config)# Username abc password aaa

4、定义认证配置
　　认证相当于在问你是谁，你要回答我是哪个；但不可能不停的在问就算不烦嗓子也疼啊，只有在进门时我会问下你是谁，开保险柜时我在问下你是谁，或者是检查指纹测试瞳孔什么的等等；所以我们要对动作进行认证定义。
　　　Router(config)#aaa authentication  行为　列表名　认证方法
     行为主要有以下三种：
　　　aaa authentication login ――――――当有一个登陆行为时进行认证；
　　　aaa authentication ppp ――――――对基于PPP协议的一些网络应用进行认证；
　　　aaa authentication enable ――――――对使用enable命令进入特权模式时进行认证；
        列表名是自己定义的，这样我们可以把各种认证方式互相组合保存成一个个列表，用的时候方便，修改起来也方便，我改了一个列表里的认证方式那么所有使用这个列表的地方都改了，不需要去一个个地方去改了。
　　Dedautl列表是一个系统自己建立的列表名作为缺省列表。它与我们自己建的列表没有任何区别，只不过他是系统建的而已。
3、认证方法，就是指我们是查口令呢还是看指纹还是其它等等，也就是把我们的回答和谁进行分析比较。主要有以
　　下几种：

关键字	描述
enable	使用enabel口令认证；
krb5	使用Kerberos5来认证；
line	使用线路口令来认证；
local	使用本地用户数据库来认证；
none	不认证；
group radius	使用radius服务器来认证；
group tacacs+	使用tacacs+服务器来认证；

 local-case           使用本地验证（对大小写敏感）

每个列表中必须定义一种认证方法，最多可以定义四种方法，当第一种认证不通过再使用第二种，以此类推。　
例如我们定义
Router(config)# aaa authentication login 二号方案 group tacacs+ local
//我们定义了一个名叫二号方案认证方式，就是先去tacacs+服务器验证，如果不成功在试试用本地帐号来试；
Router(config)# aaa authentication login 三号方案 group local enable
//我们定义了一个名叫三号方案认证方式，就是先用本地帐号验证，如果不成功就用enable密码来验证；

五、应用到接口和链路
我们上面做了那么多但是还没有效果为什么呢，就好像我们做好了报警器，指纹验证器但没装到门上你说可有效果，那当然是不行的了，我们是定义了当登陆时就启用一个列表名字叫二号方案的认证方式，但只有我们把他装到门上才能有效果啊，有人说太麻烦应该定义好了就能用，那就惨了，你给自己家的门上装了二号方案没关系，如果楼道门、院子门，都给装上了那就有问题了，所以我们要把定义好的认证方法列表装到我们需要使用认证的门上，例如我们可能对Telnet要认证，但通过console登陆的就不要认证。
Router(config)# line vty 0 //我们先要进入接口
Router(config-line)# aaa authentication 二号方案   //线路vty0使用名为二号方案的方式进行认证；
或者：
Router(config)# line vty 1
Router(config-line)# login  authentication 三号方案

aaa的一些其他命令：
    锁死失败超过限制的账号
   Router(config)# aaa local authentication at tempts max-fail 失败次数

显示所有被锁死的用户
  Router# show aaa local user lockout

解除锁定
  Router(config)# clear aaa local user lockout {username 用户名| all}

 只显示aaa认证授权的用户
 Router# show aaa  user  {all | 唯一id}

显示一个会话的唯一id
 Router# show aaa  sessions 
   

AAA授权：

配置供用户通过认证之后的AAA授权
     aaa authorization 命令
     aaa authorization {network | exec | commands level | reverse-access | configuration} {default
|list-name}  method1 [method2~~~]
     network 为所有网络相关的服务请求进行授权，包括SLIP,PPP,PPP NCP和ARA
     exec      使用授权，以确定是否用户可以运行一个EXEC shell.
     commands 为所有处于规定的特权级别的命令使用授权
     level     规定应该被授权的命令级别，有效值 0－15
     reverse-access   为反向访问连接使用授权，例如反向Telnet
     configuration   从AAA服务器上下载配置

default         使用此变量后列出的认证方法，作为缺省方法列表供认证
     listname        用来命令认证方法列表的字符串

method 规定以下关键字的至少一种
       group 用radius或tacacs+服务器的一个子集来认证，这些服务器定义在aaa group server radius
或aaa group server tacacs+命令中
       if-authenticated   如果用户为认证，允许用户访问请求的功能；
       krb5-instance      使用被kerberos instance map命令定义的实例；
       local              用本地用户名数据库来授权
       none                不用授权
例子：
     enable secret level 1 ***    为级别1的用户建立一个enable secret口令
     enable secret level 15 ***    为级别15的用户建立一个enable secret口令
     aaa new-model   启用AAA
     aaa authentication login default enable     将enable口令作为缺省的登入方式
     aaa authentication login console-in group tacacs+ local     无论何时使用名为console-in的列
表，都使用TACACS+认证，如果TACACS+认证失败，己用本地用户名和口令
     aaa authentication login dial-in group tacacs+    无论何时使用名为dial-in的列表，都使用
TACACS+认证.
     username *** password ****         建立一个本地用户名和口令，最可能与console-in登录方法列
表一起使用
     aaa authorization commands 1 alpha local    用本地用户名数据库来为所有级别1命令的使用进行
授权  www.2cto.com  
     aaa authorization commands 15 bravo if-authenticated group tacplus local   如果用户已经认
证了，让其运行级别15的命令，如果还未认证，在允许其访问级别15的命令之前，必须基于tacplus组中的
TACACS+服务器来认证
     aaa authorization network charlie local none   使用本地数据库来对所有网络服务的使用授权，
如果本地服务器不可用，此命令执行并不授权，用户能使用所有的网络服务
     aaa authorization exec delta if-authenticated group tacplus    如果用户已经认证，让其运行
EXEC过程，如果没有认证，在允许EXEC之前，必须基于tacplus组中的TACACS+服务器来认证
     privilege exec level 1 ping   为级别1的用户启用PING
     line console 0 
     login authentication console-in   使用console-in列表作为控制台端口0的登录认证
     line s3/0
     ppp authentication chap dial-in   使用dial-in列表作接口S3/0 的PPP CHAP的登录认证

AAA记账:

配置规定如何写记帐记录的AAA记帐
     aaa accounting [auth-proxy |system |network |exec |connection |commands level]{default
|list-name} [vrf vrf-name] [start-stop|stop-only|none][broadcast][method][method2]
      auth-proxy   提供有关所有认证代理用户事件的信息
      system       为所有非用户相关的系统级事件执行记帐
      network      为所有网络相关的服务请求运行记帐
      exec         为EXEC shell会话运行记帐。
      connection    提供所有有关源子NAS的外出连接的信息
      commands      为所有处于特定特权级别的命令运行记帐，有效的特权级别取值0－15
      default       使用本参数之后列出的记帐方式
      list-name     用来命令记帐方式列表的字符串
      vrf vrf-name 规定一个VRF配置
      start-stop    在一个过程的开端，发送一个开始记帐通知，在过程结束时，发送一个停止记帐通知
。
      stop-only     在被请求用户工程结束时发送一个停止记帐通知
      none          禁止此链路或接口上的记帐服务
      broadcast           启用发送记帐记录到多个3A服务器，同时向每个组中第一台服务器发送记帐记
录  www.2cto.com  
      method 规定一下关键子中的至少一个
         group radius   用所有RADIUS服务器列表作为记帐
         group tacacs+ 用所有列出的TACACS+服务器来记帐
         group group-name 用RADIUS或TACACS+服务器的一个子集作为记帐
    在路由器上启用下列命令以启用几张
   aaa accounting system wait-start local   用记帐方法审计系统事件
   aaa accounting network stop-only local   当网络服务中断，发送停止记录通知
   aaa accounting exec start-stop local     当EXEC过程开始时，发送一个开始记录通知，结束时，发
送停止记录
   aaa accounting commands 15 wait-start local   在任何级别15的命令开始之前，发送一个开始记录通
知，并等待确认，当命令中止时，发送一个停止记录通知。
       
6 校验配置
   debug aaa authentication 显示有关认证功能的调试信息
   debug aaa authorization 显示有关授权功能的调试信息
   debug aaa accounting     显示有关记帐功能的调试信息