• Author / Uploaded
• sivi la

• Categories
• Servidor (Informática)
• Software del sistema
• Arquitectura de computadoras
• Transmisión de datos
• Tecnología

Citation preview

INSTALAR CENTOS 6.5 Crear Repositorio para TACACS+ PLUS [root@server ~]# cd /etc/yum.repos.d/ [root@server yum.repos.d]# nano nux-misc.repo

Agregamos las Siguientes líneas al repo [nux-misc] name=Nux Misc baseurl=http://li.nux.ro/download/nux/misc/el6/x86_64/ enabled=0 gpgcheck=1 gpgkey=http://li.nux.ro/download/nux/RPM-GPG-KEY-nux.ro

Ejecutamos e Instalamos TAC_PLUS [root@server ~]#yum --enablerepo=nux-misc install tac_plus

Editar el Archivo de Configuración de TACACS nano /etc/tacacs+/tac_plus.conf

Deberemos modificar la clave, donde se ubicará el fichero de accounting y muy importante, definimos la key, la clave compartida entre el servidor Tacacs+ y los equipos que se autentican contra él. Como vemos en el ejemplo de abajo, hemos definido el fichero para accountig en “/var/log/tac.acct” y para la key la hemos configurado como “12345”:

Luego vamos a ver como configurar un Router Cisco para que utilicen el servidor Tacacs+ para AAA. Veremos tanto la parte que se configuraría en los Routers, como la parte que se configurará en el servidor Tacacs+

Configuración en Router CISCO Entramos al modo de configuración global y definimos la IP y Key de nuestro servidor Tacacs+: R1(config)#tacacs-server host 192.168.1.100 R1(config)#tacacs-server key 12345

Creamos un usuario local para poder utilizarlo en caso de no estar disponible el servidor Tacacs+ R1(config)#username admin password admin R1(config)#enable secret cisco1

Habilitamos la triple AAA R1(config)#aaa new-model

Definimos que la autenticación se haga por Tacacs+ y en caso de no haber servidor Tacacs+ disponible, que se autentique mediante el usuario local. También definimos que la autenticación del modo enable se realice por Tacacs+: aaa aaa aaa aaa aaa aaa

authentication login jetblack group tacacs+ local authentication enable default group tacacs+ enable authorization console authorization config-commands authorization commands 1 default group tacacs+ none authorization commands 15 default group tacacs+ none

Definimos el accouting de los eventos que queramos registrar: aaa aaa aaa aaa aaa aaa

accounting accounting accounting accounting accounting accounting

exec default start-stop group tacacs+ commands 1 default start-stop group tacacs+ commands 15 default start-stop group tacacs+ network default start-stop group tacacs+ connection default start-stop group tacacs+ system default start-stop group tacacs+

Establecemos el método de autenticación para las lineas vty, consol y guardamos: line console 0 login authentication jetblack exit line vty 0 4 login authentication jetblack exit banner motd #Bienvenido Verificador Servidor TACACS+# do wr

Con esto tendríamos configurada la parte del Router Cisco, ahora pasamos a configurar en el servidor Tacacs+.

Configuración en Tacacs+ Ahora vamos a configurar en el servidor Tacacs+ todo lo necesario para que la AAA funcione correctamente con el Router Cisco. Vamos a definir dos grupos, uno de ellos con privilegios limitados que llamaremos “readonly” y otro con todos los privilegios que llamaremos “admins”. En el grupo “readonly” definimos una serie de parámetros. Por un lado ponemos un deny por defecto y luego permitimos la ejecución de una serie de comandos, en concreto se está permitiendo los comandos “show”, “enable”, “exit”: #Definimos el grupo de solo lectura group = readonly { default service = deny cmd = show { permit .* } cmd = enable { permit .* } cmd = exit { permit .* } }

En el grupo “admins” como vamos a permitir todo, bastará con configurarle un permit por defecto: #Definimos el grupo de administradores con control total group = admins { default service = permit } Ahora definimos los usuarios. Hemos definido dos usuarios “alondra” y “safiro”, ha cada uno de ellos le hemos configurado los siguientes parámetros: login: Es la contraseña con la que se autenticará el usuario enable: es la contraseña enable para el usuario. (Recordar que en el Router configuramos que el modo enable se autenticara con Tacacs+) member: es el grupo al que pertenecerá el usuario y que determinará la autorización del usuario a la hora de tener unos privilegios u otros. #Definimos usuarios user = alondra { member = admins login = cleartext admin } user = safiro { member = readonly login = cleartext 1234