高效架设ACS服务器

ACS服务器使用说明可信终端认证使用 ACS作为AAA服务器、该系统的简单的拓扑结构如图1所示。在PC机上安装终端和可信终端，Client交换机配上802.1和Radius协议。AAA Server上安装ACS软件。图1一、交换机的配置下面是Cisco 2950的交换机配置情况。Switchen 进入特权模式Switch# configure terminal 进入配置模式Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x default group radiusSwitch(config)# dot1x default/system-auth-control Switch(config)# interface fastethernet0/1 进入快速以太网接口第一插槽1号口Switch(config-if)# no shutdown 开启端口Switch(config-if)#switchport mode access 端口访问模式Switch(config-if)# dot1x port-control auto 802.1x协议Switch(config-if)#end 退出服务器配置Switch# configure terminal 进入配置模式Switch(config)#radius-server host 192.168.1.1 auth-port 1812 key 123456 给交换机加ipSwitch(config)#interface vlan 1Switch(config-if)#no shutdownSwitch(config-if)#ip address xxxx.xxxx.xxxx.xxxx 子网掩码 保存配置：Switch#copy running-config starup-config 二、ACS服务器的安装ACS Server能提供AAA认证，授权，审计等功能一台Windows Server 服务器，该服务器上必须安装的是Cisco Secure ACS 软件。ACS Server 操作系统要求为：windows 2000 ,windows 2003,windows server 2008。安装ACS 服务器步骤：1，首先安装完windows 2003 server ,设置完IP地址和（IP地址不可安装完ACS后随意更改，这将造成ACS通讯处问题，切记），ACS Server 软件你可以安装到公司的文件服务器或者其他的服务器，或者安装到虚拟机中也可以。只要ACS Server和需要提供AAA服务的设备可以相互通信即可。如图2所示，ACS Server IP地址设置完毕图22，安装Java虚拟机，（jre-6u4-windows-i586-p）下载地址 。不要安装JAVA JDK版本，如果java没有安装，或者安装的版本有问题会导致ACS 安装完之后，打开的页面是空白的，无法运行ACS如图3所示，点击“接受”下载安装下一步即可,图33，ACS Server属于收费性质软件，在cisco 网站上需要使用CCO账号登陆就可以找到最新的版本下载，但最新的版本并不一定是最稳定的版本，软件只有英文版，但是其他的第三方站点也提供ACS 下载。图4如图5所示，打开压缩包中的文件，点击“Setup”,出现安装同意协议，点击“ACCEPT” 下一步图54，如图6所示，如图勾选这4项，ACS的基本的组件，必须都选注意提示，Cisco IOS 11.1或者之后的版本才可以支持AAA命令，ACS Server上IE的版本最低是6.0图65，如图7所示，ACS 默认安装路径，如果在生产环境下，考虑备份等问题，可以更改安装目录，一般默认路径即可，不会占用太多的磁盘空间。图76，如图8所示，让ACS 独立存放自己的数据库文件（默认选择）图87，如图9所示，开始安装文件，等待几秒，出现下一步操作图98，如图10所示，ACS Server高级选项设置，如图全部勾选，也可以勾选前三项，有组和用户的设置，最大化会话数等图109，如图11所示，ACS还提供一个重要的服务就是可以结合SMTP服务，以邮件的形式通知管理人员，AAA服务器运行状态和日志信息，勾选开启日志监视，邮件服务器的地址这里没有，或者不需要通过邮件来监视，就可以不用勾选，图11三、ACS服务器配置图12添加用户这里添加的用户实际上是将来要通过交换机接入网络的用户账号。在这一步里仅需要设置用户名和密码即可，其余都是用默认配置，也可以对用户进行一些限制设置，但是推荐在“组设置”里进行配置，这样不用为每个用户分别设置。图13设置组在进行组设置前，先进Interface Configureation配置项，将064、065、081前面的钩打上 。图14图15这3个值是Radius的属性，其中081的值是通过验证的用户将接入的vlanAAA设置图16图17图18说明在可信终端认证过程中，用户名和密码都是在程序中写死的，均为test。梁外还要注意两点。服务器的IP地址与在交换机上配的一致，与实际的IP地址一致。AAA Cilent 的ip地址和交换机地址一致。