HC110310006 HCNA-Security-CBSN 第六章 防火墙用户管理V2.0.pptx

《HC110310006 HCNA-Security-CBSN 第六章 防火墙用户管理V2.0.pptx》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、修订记录课程编码适用产品产品版本课程版本ISSUEHC110310006华为防火墙V300R001V1.0开发/优化者时间审核人开发类型（新开发/优化）陈灵光2011.7余雷第一版姚传哲2013.5余雷本页不打印第六章防火墙用户管理目标学完本课程后，您将能够:掌握用户认证技术掌握AAA认证掌握用户认证管理配置目录用户认证和AAA技术原理用户认证管理及应用用户认证的背景无关活动影响工作效率无关应用影响网络带宽违法行为，影响组织利益Web威胁,无孔不入内部泄密，损失巨大企业互联网接入什么是AAAAuthentication认证Au

2、thorization授权Accounting计费AuthenticationAuthorizationAccountingAuthentication认证认证我知道我拥有我具有密码知识经验令牌卡智能卡银行卡指纹声音视网膜DNAWhatIknow？WhatIhave？WhatIare？Authorization授权用户能访问的资源用户能使用的命令员工公共资源普通业务系统用户业务系统管理者访客敏感业务系统Accounting计费用户用多长时间用户花了多少钱用户做了哪些操作AAA技术本地认证远端认证RADIUSHWTACACSLDA

3、PUserGatewayUserGatewayRADIUS/LDAP/ADauthenticationserver在认证方本地存储用户名密码第三方认证服务器存储用户名密码RadiusRadius服务器通过建立一个唯一的用户数据库，存储用户名、密码来对用户进行验证。RADIUS的消息结构如图所示Radius应用场景用户输入用户名/口令Access-RequestAccess-AcceptAccounting-Request(start)Accounting-ResponseAccounting-Request(stop)Accou

4、nting-Response通知访问结束用户访问资源LDAPLDAP也是基于C/S架构的，LDAP服务器负责对来自应用服务器的请求进行认证，同时还指定用户登录的应用服务器所允许访问的资源范围等。用户应用服务器LDAP服务器授权资源1.服务请求2.认证请求4.接入3.认证结果HWTACACSHWTACACS是在TACACS基础上进行了功能增强的一种安全协议，主要用于接入用户的认证、授权和计费。HWTACACS协议与RADIUS协议的比较HWTACACSRADIUS端口使用使用TCP协议，网络传输更可靠使用UDP协议。认证和授权端口

5、号是1812和1813，或者1645和1646.加密情况除了标准的HWTACACS报文头，对报文主体全部进行加密只是对认证报文中的密码字段进行加密认证和授权认证与授权分离认证与授权一起处理应用适于进行安全控制适于进行计费配置命令授权支持对配置命令进行授权不支持对配置命令进行授权用户认证分类AAA技术为用户认证提供手段。用户认证分类有：免认证密码认证单点登录(仅在上网用户中体现)目录用户认证和AAA技术原理用户管理及应用2.1用户分类2.2管理员用户认证流程和配置2.3上网用户认证流程和配置2.4接入用户认证流程和配置可视化管理病

6、毒/攻击：阻塞病毒木马蠕虫关键应用：带宽优先可接受应用：流量控制禁止应用：阻塞用户（组）专业安全防御全面流量控制用户管理的背景AAA认证技术用户认证用户管理用户管理分类上网用户管理“上网用户”指通过USG设备访问资源的用户，包括内网主动发起上网行为的对象，如内网PC。接入用户管理“接入用户”指PPP或隧道建立过程中使用的用户。USG对这些用户提供本地认证、RADIUS认证、HWTACACS认证，可验证用户身份的合法性并为合法用户进行授权，防止非法用户进行访问。管理员用户“管理员用户”指通过Telnet、SSH、web、FTP等协

7、议或通过Console接口访问设备并对设备进行配置或操作的用户。目录用户认证和AAA技术原理用户认证管理及应用2.1用户分类2.2管理员用户认证流程和配置2.3上网用户认证流程和配置2.4接入用户认证流程和配置管理员登录方式ConsoleTelnetSSHFTPWebConsole/telnet/Ftp设备管理类型新建管理员Client01，并设置设备管理类型Console,Telnet,FTP。Notes:默认Console,telnet,ftp配置，无需要另外配置。用户级别设置为管理级别，不仅可以配置设备，而且可以管理文件系

8、统，用于软件升级。设置信任主机IP，指定特定的主机访问SSH设备管理类型创建管理员Client01，并设置设备管理类型为SSHSSHoption（Notes:默认Console,telnet,ftp配置，无需另外配置)必须设置SSH认证方式设置认证方式为Pass