AAA (网络安全系统)

基本概念

AAA提供的安全服务具体是指:
  • 认证(Authentication):是对用户的身份进行验证,判断其是否为合法用户。
  • 授权(Authorization):是对通过认证的用户,授权其可以使用哪些服务。
  • 计费(Accounting):是记录用户使用网络服务的资源情况,这些信息将作为计费的依据。
首先,认证部分提供了对用户的认证。整个认证通常是采用用户输入用户名与密码来进行权限审核。认证的原理是每个用户都有一个唯一的权限获得标准。由AAA服务器将用户的标准同数据库中每个用户的标准一一核对。如果符合,那么对用户认证通过。如果不符合,则拒绝提供网络连接。
其次,用户要通过授权来获得操作相应任务的权限。比如,登录系统后,用户可能会执行一些命令来进行操作。这时,授权过程会检测用户是否拥有执行这些命令的权限。简单而言,授权过程是一系列强迫策略的组合,包括:确定活动的种类或质量、资源或者用户被允许的服务有哪些。授权过程发生在认证上下文中,一旦用户通过了认证,他们也就被授予了相应的权限。
最后,计费这一过程将会计算用户在连接过程中消耗的资源数目。这些资源包括连接时间或者用户在连接过程中的收发流量等等。可以根据连接过程的统计日志、用户信息、授权控制、账单、趋势分析、资源利用以及容量计划活动来执行计费过程。

应用实例

AAA一般采用C/S(客户端/服务器)模式,这种模式结构简单、扩展性好,

且便于集中管理用户信息,如图所示。

AAA客户端运行于NAS(Network Access Server,网络接入服务器)上,AAA服务器用于集中管理用户信息。
  • 远程接入用户通过网络(如ISDNPSTN等)与NAS建立连接,从而获得访问其它网络(如Internet)的权利或取得网络资源。
  • NAS负责把用户的认证、授权、计费信息透传给AAA服务器。
  • AAA服务器负责接收用户的连接请求,并对用户身份进行验证,返回用户配置信息给NAS。
  • NAS根据服务器的返回信息进行配置并告知用户结果。

常用协议

在AAA服务器上实现认证、授权、计费应用的协议主要包括RADIUSTACACS+协议(华为称HWTACACS),Diameter协议作为新的标准也在逐步推广使用。
RADIUS协议内容参见RFC 2865,RFC 2866。
TACACS+在TACACS协议(RFC 1492)基础上进行了功能增强。TACACS+是Cisco(思科)私有协议,HWTACACS是华为协议。
Diameter协议内容参见RFC 3588,RFC4006。

应用模式

认证模式

AAA支持本地认证、不认证、RADIUS认证和TACACS+认证模式,并允许组合使用,组合认证模式是有先后顺序的。
认证模式缺省使用本地认证。

授权模式

AAA支持本地授权、不授权和TACACS+授权模式,并允许组合使用,组合授权模式有先后顺序。
授权模式缺省使用本地授权。
RADIUS的认证和授权是绑定在一起的,所以不存在RADIUS授权模式。

计费模式

AAA支持不计费、RADIUS计费、TACACS+计费模式。

您可能还喜欢...