Le protocole AAA
Activer le modèle AAA
Switch(config)# aaa new-model Créer un compte secours
Switch(config)# username Secours secret mypassword
Si notre switch ne parvient plus à joindre le serveur d’authentification , on va pouvoir quand même s’y connecter avec notre compte secours.
Afin d’utiliser le serveur d’authentification, nous allons devoir lui spécifier :
Switch(config)# radius-server host X.X.X.X key XXXXXXX
Switch(config)# radius-server host Y.Y.Y.Y key YYYYYYY
Switch(config)# tacacs-server host X.X.X.X key XXXXXXX
Switch(config)# tacacs-server host Y.Y.Y.Y key YYYYYYY
Afin que le Switch puisse utiliser le serveur X.X.X.X ou Y.Y.Y.Y pour s’authentifier , il faut que ces deux serveurs soient dans le même groupe de travail :
Switch(config)# aaa group server [ radius | tacacs+ ] nom-du-groupe Switch(config-sg-radius)# server X.X.X.X Switch(config-sg-radius)# server Y.Y.Y.Y
Cette étape va constituer l’ordre de priorité des méthodes d’authentification.
Switch(config)# aaa authentication login [default | local] méthode1 m2 m3 ect...Il existe plusieurs méthodes pour s’authentifier, cette ligne va nous permettre de classer par ordre de priorité.
Si la méthode 1 ne fonctionne pas , on passe à la méthode 2 ect …
Pour sélectionner notre serveur RADIUS nous devons mettre la commande “group” avant.
Afin que notre switch interroge dans un premier temps notre serveur radius puis utilise notre compte secours uniquement si notre serveur est hors ligne, utilisez la commande suivante :
Switch(config)# aaa authentication login default group radius local
Appliquer l’authentification AAA sur les “lines” pour nos connexions SSH
Switch(config)# line vty 0 4
Switch(config-line)# login authentication [default | list-name] Switch(config)# aaa new-model
Switch(config)# username secours secret password
Switch(config)# radius-server host 192.168.0.1 key AZERTYUIOP123456789
Switch(config)# radius-server host 192.168.0.2 key AZERTYUIOP123456789
Switch(config)# aaa group server radius FingerGroup
Switch(config-sg-radius)# server 192.168.0.1
Switch(config-sg-radius)# server 192.168.0.2
Switch(config-sg-radius)# exit
Switch(config)# aaa authentication login default group FingerGroup local
Switch(config)# line vty 0 4
Switch(config-line)# login authentication default
Merci de votre soutien et de votre fidélité ! Ce site existe grâce à vous et je ne vous remercierais jamais assez !
Expert Réseau
11 ans d’expérience
CCNP Routing and Switching
Fondateur du site FingerInTheNet
CURSUS DE FORMATION
Comments (1)
Félicitations pour la partie Authentication. Je t’encourage à faire les deux autres parties.
1 – C’est important de préciser qu’il faut configurer un serveur Radius ou Tacacs. J’avais fait un lab AAA, en installant Radius sur Windows Server 2008R2. Ce n’était pas évident de configurer les policies NPS de Windows.
2 – Ce n’est pas clair pour moi la signification du mot-clé “default” dans les commandes “aaa authentication ” et “login authentication”.
3 – En plus, la commande “aaa authentication ” est utilisée de deux façons différentes dans l’article. Quelle est la différence entre les deux ?
– aaa authentication login default group radius local
– aaa authentication login default group FingerGroup local