المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

الاصطلاحات

تثبيت عميل SDI (معرف آمن) على جهاز Cisco Secure UNIX

الاختبار الأولي للمعرف الآمن و CSUnix

المعرف الآمن و CSUnix: ملف تعريف TACACS+

كيفية عمل ملف التعريف

مجموعات كلمة مرور CSUnix TACACS+ التي لا تعمل

ملفات تعريف نموذج CSUnix TACACS+ SDI للتصحيح

RADIUS CSUnix

مصادقة تسجيل الدخول باستخدام CSUnix و RADIUS

مصادقة PPP و PAP باستخدام CSUnix و RADIUS

اتصال PPP الخاص بشبكة الطلب الهاتفي و PAP

تلميحات تصحيح الأخطاء والتحقق

Cisco Secure RADIUS و PPP و PAP

Secure ID و CSUnix

معلومات ذات صلة

المقدمة

لتنفيذ التكوين في هذا المستند، يلزمك أي إصدار آمن من Cisco يدعم معرف Security Dynamics Incorporated (SDI) الآمن.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

الاصطلاحات

للحصول على مزيد من المعلومات حول اصطلاحات المستندات، ارجع إلى اصطلاحات تلميحات Cisco التقنية.

تثبيت عميل SDI (معرف آمن) على جهاز Cisco Secure UNIX

ملاحظة: يتم تثبيت المعرف الآمن عادة قبل تثبيت Cisco Secure Unix (CSUnix). تصف هذه التعليمات كيفية تثبيت عميل SDI بعد تثبيت CSUnix.

1. على خادم SDI، قم بتشغيل sdadmin. أخبر خادم SDI أن جهاز CSUnix هو عميل وحدد أن مستخدمي SDI المعنيين يتم تنشيطهم على عميل CSUnix.

2. أستخدم الأمر nslookup #.#.#.# أو nslookup <hostname> للتأكد من أنه يمكن لعميل CSUnix وخادم SDI إجراء بحث مسبق وعكسي عن بعضهما البعض.

3. انسخ ملف /etc/sdace.txt الخاص بخادم SDI إلى ملف /etc/sdace.txt الخاص بعميل CSUnix.

4. انسخ ملف sdconf.rec الخاص بخادم SDI إلى عميل CSUnix، قد يوجد هذا الملف في أي مكان على عميل CSUnix. ومع ذلك، إذا تم وضعها في نفس بنية الدليل على عميل CSUnix كما كانت على خادم SDI، فلا يجب تعديل sdace.txt.

5. يجب أن يشير إما /etc/sdace.txt أو VAR_ACE إلى المسار حيث يوجد ملف sdconf.rec. للتحقق من ذلك، قم بتشغيل cat /etc/sdace.txt، أو تحقق من إخراج env للتأكد من تعريف VAR_ACE في ملف تعريف الجذر مع بدء الجذر.

6. قم بإجراء نسخ إحتياطي لقسم CSU.cfg الخاص بعميل CSU.CFG، ثم قم بتعديل قسم AUTHEN config_external_authen_symbols باستخدام البنود التالية:

7. إعادة تدوير CSUnix من خلال تنفيذ K80CiscoSecure وS80CiscoSecure.

8. إذا أظهرت $BASE/utils/PSG أن عملية خادم Cisco Secure AAA كانت نشطة قبل تعديل ملف CSU.cfg ولكن ليس بعد ذلك، بعد ذلك حدثت أخطاء في مراجعة ملف CSU.cfg. قم باستعادة ملف CSU.cfg الأصلي وحاول إجراء التغييرات المحددة في الخطوة 6 مرة أخرى.

الاختبار الأولي للمعرف الآمن و CSUnix

لاختبار معرف آمن و CSUnix، قم بإجراء الخطوات التالية:

1. تأكد من أنه يمكن لمستخدم بخلاف SDI إستخدام Telnet إلى الموجه وتتم مصادقته باستخدام CSUnix. إذا لم ينجح ذلك، فلن يعمل SDI.

2. اختبر مصادقة SDI الأساسية في الموجه وشغل هذا أمر:

aaa new-model

aaa authentication login default tacacs+ none

ملاحظة: يفترض هذا أن أوامر tacacs-server نشطة بالفعل في الموجه.

3. إضافة مستخدم SDI من سطر أوامر CSUnix لإدخال هذا الأمر

$BASE/CLI/AddProfile -p 9900 -u sdi_user -pw sdi

4. حاول المصادقة كمستخدم. . إذا كان ذلك المستخدم يعمل، فإن SDI يكون في وضع التشغيل، ويمكنك إضافة معلومات إضافية إلى ملفات تعريف المستخدمين.

5. يمكن إختبار مستخدمي SDI باستخدام ملف تعريف مستخدم_غير معروف في CSUnix. (لا يجب إدراج المستخدمين بشكل صريح في CSUnix إذا تم نقلهم جميعا إلى SDI وكان لديهم جميعا نفس ملف التعريف.) إذا كان هناك ملف تعريف مستخدم غير معروف موجود بالفعل، فقم بحذفه باستخدام التعليمات الخاصة بهذا الأمر:

$BASE/CLI/DeleteProfile -p 9900 -u unknown_user

6. أستخدم هذا الأمر لإضافة ملف تعريف مستخدم آخر غير معروف:

$BASE/CLI/AddProfile -p 9900 -u unknown_user -pw sdi

يقوم هذا الأمر بتمرير جميع المستخدمين غير المعروفين إلى SDI.

المعرف الآمن و CSUnix: ملف تعريف TACACS+

1. قم بإجراء إختبار أولي دون SDI. إذا لم يعمل ملف تعريف المستخدم هذا بدون كلمة مرور SDI لمصادقة تسجيل الدخول وبروتوكول المصادقة لتأكيد الاتصال بقيمة التحدي (CHAP) وبروتوكول مصادقة كلمة المرور (PAP)، فلن يعمل مع كلمة مرور SDI:

# ./ViewProfile -p 9900 -u cse

User Profile Information

user = cse{

password = chap "chappwd"

password = pap "pappwd"

password = clear,"clearpwd"

default service=permit

service=shell {

}

service=ppp {

protocol=lcp {

}

protocol=ip {

}

}

}

2. بمجرد أن يعمل التوصيف، أضف "sdi" إلى التوصيف بدلا من "clear" كما هو موضح في هذا المثال:

# ./ViewProfile -p 9900 -u cse

User Profile Information

user = cse{

password = chap "chappwd"

password = pap "pappwd"

password = sdi

default service=permit

service=shell {

}

service=ppp {

protocol=lcp {

}

protocol=ip {

}

}

}

كيفية عمل ملف التعريف

يتيح ملف التعريف هذا للمستخدم تسجيل الدخول باستخدام هذه التركيبات:

- Telnet إلى الموجه واستخدام SDI. (يفترض هذا أنه تم تنفيذ الأمر AAA authentication login default tacacs+ على الموجه.)

- اتصال PPP لشبكة الطلب الهاتفي و PAP. (يفترض هذا أن مصادقة AAA هي الأمر tacacs الافتراضي إن لزم وPPP authen PAP قد تم تنفيذه على الموجه).

ملاحظة: في الكمبيوتر، في شبكة الطلب الهاتفي، تأكد من تحديد "قبول أي مصادقة بما في ذلك النص الواضح". قبل الطلب، أدخل إحدى مجموعات اسم المستخدم/كلمة المرور هذه في نافذة المحطة الطرفية:

username: cse*code+card

password: pap (must agree with profile)

username: cse

password: code+card

- اتصال PPP لشبكة الطلب الهاتفي وبروتوكول CHAP. (يفترض هذا أنه تم تنفيذ أوامر مصادقة AAA الافتراضية ل PPP إذا لزم الأمر tacacs وppp authen chap على الموجه).

ملاحظة: على الكمبيوتر، في شبكة الطلب الهاتفي، يجب التحقق من "قبول أي مصادقة بما في ذلك نص واضح" أو "قبول المصادقة المشفرة فقط". قبل الطلب، أدخل اسم المستخدم وكلمة المرور هذين في نافذة المحطة الطرفية:

username: cse*code+card

password: chap (must agree with profile)

مجموعات كلمة مرور CSUnix TACACS+ التي لا تعمل

ينتج عن هذه التركيبات أخطاء تصحيح أخطاء CSUnix هذه:

- CHAP وبدون كلمة مرور "النصوص غير المشفرة" في حقل كلمة المرور. يدخل المستخدم الرمز+البطاقة بدلا من كلمة مرور "النصوص غير المشفرة". يتطلب RFC 1994 في بروتوكول CHAP تخزين كلمة مرور النص بوضوح.

username: cse

password: code+card

CiscoSecure INFO - User cse, No tokencard password received

CiscoSecure NOTICE - Authentication - Incorrect password;

- كلمة مرور CHAP وكلمة مرور CHAP غير صحيحة.

username: cse*code+card

password: wrong chap password

(يمرر المستخدم إلى SDI، ويمرر SDI المستخدم، لكن CSUnix يفشل المستخدم لأن كلمة مرور CHAP سيئة.)

CiscoSecure INFO - The character * was found in username:

username=cse,passcode=1234755962

CiscoSecure INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

CiscoSecure INFO - sdi_verify: cse authenticated by ACE Srvr

CiscoSecure INFO - sdi: cse free external_data memory,state=GET_PASSCODE

CiscoSecure INFO - sdi_verify: rtn 1

CiscoSecure NOTICE - Authentication - Incorrect password;

- PAP وكلمة مرور PAP غير صحيحة.

username: cse*code+card

password: wrong pap password

(يمرر المستخدم إلى SDI، ويمرر SDI المستخدم، لكن CSUnix يفشل المستخدم لأن كلمة مرور CHAP سيئة.)

CiscoSecure INFO - 52 User Profiles and 8 Group Profiles loaded into Cache.

CiscoSecure INFO - The character * was found in username:

username=cse,passcode=1234651500

CiscoSecure INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

CiscoSecure INFO - sdi_verify: cse authenticated by ACE Srvr

CiscoSecure INFO - sdi: cse free external_data memory,state=GET_PASSCODE

CiscoSecure INFO - sdi_verify: rtn 1

CiscoSecure NOTICE - Authentication - Incorrect password;

ملفات تعريف نموذج CSUnix TACACS+ SDI للتصحيح

- يحتاج المستخدم إلى تنفيذ بروتوكول CHAP ومصادقة تسجيل الدخول، بينما يفشل بروتوكول PAP.

# ./ViewProfile -p 9900 -u cse

User Profile Information

user = cse{

password = chap "********"

password = sdi

default service=permit

service=shell {

}

service=ppp {

protocol=lcp {

}

protocol=ip {

}

}

- يحتاج المستخدم إلى إجراء PAP ومصادقة تسجيل الدخول، ويفشل CHAP.

# ./ViewProfile -p 9900 -u cse

User Profile Information

user = cse{

member = admin

password = pap "********"

password = sdi

default service=permit

service=shell {

}

service=ppp {

protocol=lcp {

}

protocol=ip {

}

}

}

RADIUS CSUnix

تحتوي هذه الأقسام على إجراءات CSUnix RADIUS.

مصادقة تسجيل الدخول باستخدام CSUnix و RADIUS

قم بإجراء هذه الخطوات لاختبار المصادقة:

1. قم بإجراء إختبار أولي دون SDI. إذا لم يعمل ملف تعريف المستخدم هذا بدون كلمة مرور SDI لمصادقة تسجيل الدخول، فلن يعمل مع كلمة مرور SDI:

# ./ViewProfile -p 9900 -u cse

User Profile Information

user = cse{

radius=Cisco {

check_items= {

2="whatever"

}

reply_attributes= {

6=6

}

}

}

2. بمجرد عمل ملف التعريف هذا، استبدل "أيا كان" ب "sdi" كما هو موضح في هذا المثال:

# ./ViewProfile -p 9900 -u cse

User Profile Information

user = cse{

radius=Cisco {

check_items= {

2=sdi

}

reply_attributes= {

6=6

}

}

}

مصادقة PPP و PAP باستخدام CSUnix و RADIUS

قم بإجراء هذه الخطوات لاختبار المصادقة:

ملاحظة: مصادقة بروتوكول PPP CHAP باستخدام CSUnix و RADIUS غير مدعومة.

1. قم بإجراء إختبار أولي دون SDI. إذا لم يعمل ملف تعريف المستخدم هذا بدون كلمة مرور SDI لمصادقة PPP/PAP و"تخصيص الوضع غير المتزامن"، فلن يعمل مع كلمة مرور SDI:

# ./ViewProfile -p 9900 -u cse

user = cse {

password = pap "pappass"

radius=Cisco {

check_items = {

}

reply_attributes= {

6=2

7=1

}

}

}

2. بمجرد عمل ملف التعريف المذكور أعلاه، أضف كلمة المرور = sdi إلى ملف التعريف وأضف السمة 200=1 كما هو موضح في هذا المثال (يعمل هذا على تعيين Cisco_Token_Immediate إلى نعم.):

# ./ViewProfile -p 9900 -u cse

user = cse {

password = pap "pappass"

password = sdi

radius=Cisco {

check_items = {

200=1

}

reply_attributes= {

6=2

7=1

}

}

}

3. في قسم واجهة المستخدم الرسومية المتقدمة، الخادم، تأكد من تعيين تمكين التخزين المؤقت للرمز المميز". يمكن تأكيد ذلك من واجهة سطر الأوامر (CLI) مع:

$BASE/CLI/ViewProfile -p 9900 -u SERVER.#.#.#.#

!--- Where #.#.#.# is the IP address of the CSUnix server.

TokenCachingEnabled="yes"

اتصال PPP الخاص بشبكة الطلب الهاتفي و PAP

يفترض أن أوامر AAA authentication PPP الافتراضية إذا لزم الأمر tacacs وPPP authen PAP قد تم تنفيذها على الموجه. أدخل اسم المستخدم وكلمة المرور هذه في نافذة المحطة الطرفية قبل أن تطلب.:

username: cse

password: code+card

ملاحظة: في الكمبيوتر، في شبكة الطلب الهاتفي، تأكد من تحديد "قبول أي مصادقة بما في ذلك النص الواضح".

تلميحات تصحيح الأخطاء والتحقق

تحتوي هذه الأقسام على تلميحات لتصحيح الأخطاء وتلميحات التحقق من الصحة.

Cisco Secure RADIUS و PPP و PAP

هذا مثال على تصحيح أخطاء جيد:

CiscoSecure DEBUG - RADIUS ; Outgoing Accept Packet id=133 (10.31.1.6)

User-Service-Type = Framed-User

Framed-Protocol = PPP

CiscoSecure DEBUG - RADIUS ; Request from host a1f0106 nas (10.31.1.6)

code=1 id=134 length=73

CiscoSecure DEBUG - RADIUS ; Incoming Packet id=134 (10.31.1.6)

Client-Id = 10.31.1.6

Client-Port-Id = 1

NAS-Port-Type = Async

User-Name = "cse"

Password = "?\235\306"

User-Service-Type = Framed-User

Framed-Protocol = PPP

CiscoSecure DEBUG - RADIUS ; Authenticate (10.31.1.6)

CiscoSecure DEBUG - RADIUS ; checkList: ASCEND_TOKEN_IMMEDIATE = 1

CiscoSecure DEBUG - RADIUS ; User PASSWORD type is Special

CiscoSecure DEBUG - RADIUS ; authPapPwd (10.31.1.6)

CiscoSecure INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

CiscoSecure DEBUG - profile_valid_tcaching FALSE ending.

CiscoSecure DEBUG - Token Caching.  IGNORE.

CiscoSecure INFO - sdi_verify: cse authenticated by ACE Srvr

CiscoSecure INFO - sdi: cse free external_data memory,state=GET_PASSCODE

CiscoSecure INFO - sdi_verify: rtn 1

CiscoSecure DEBUG - RADIUS ; Sending Ack of id 134 to a1f0106 (10.31.1.6)

Secure ID و CSUnix

يتم تخزين تصحيح الأخطاء في الملف المحدد في /etc/syslog.conf for local0.debug.

لا يمكن لأي مستخدم المصادقة - SDI أو أي طريقة أخرى:

بعد إضافة معرف آمن، تأكد من عدم حدوث أخطاء عند تعديل ملف CSU.cfg. قم بإصلاح ملف CSU.cfg أو قم بالرجوع إلى ملف Backup CSU.cfg.

هذا مثال على تصحيح أخطاء جيد:

Dec 13 11:24:22 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

Dec 13 11:24:22 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

Dec 13 11:24:31 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_verify: cse authenticated by ACE Srvr

Dec 13 11:24:31 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_verify: cse authenticated by ACE Srvr

Dec 13 11:24:31 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi: cse free external_data memory,state=GET_PASSCODE

Dec 13 11:24:31 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi: cse free external_data memory,state=GET_PASSCODE

Dec 13 11:24:31 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_verify: rtn 1

Dec 13 11:24:31 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_verify: rtn 1

هذا مثال على تصحيح أخطاء غير صحيح:

يجد CSUnix ملف تعريف المستخدم ويرسله إلى خادم SDI، لكن خادم SDI يفشل في المستخدم لأن رمز المرور سيئ.

Dec 13 11:26:22 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

Dec 13 11:26:22 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_challenge: rtn 1, state=GET_PASSCODE, user=cse

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

WARNING - sdi_verify: cse denied access by ACE Srvr

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

WARNING - sdi_verify: cse denied access by ACE Srvr

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi: cse free external_data memory,state=GET_PASSCODE

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi: cse free external_data memory,state=GET_PASSCODE

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_verify: rtn 0

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi_verify: rtn 0

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

NOTICE - Authentication - Incorrect password;

Dec 13 11:26:26 rtp-evergreen.rtp.cisco.com CiscoSecure:

NOTICE - Authentication - Incorrect password;

هذا مثال يوضح أن خادم ACE معطل:

أدخل ./aceserver توقف على خادم SDI. لم يحصل المستخدم على رسالة "إدخال رمز المرور".

Dec 13 11:33:42 rtp-evergreen.rtp.cisco.com CiscoSecure:

ERROR - sdi_challenge error: sd_init failed cli/srvr comm init (cse)

Dec 13 11:33:42 rtp-evergreen.rtp.cisco.com CiscoSecure:

ERROR - sdi_challenge error: sd_init failed cli/srvr comm init (cse)

Dec 13 11:33:42 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi: cse free external_data memory,state=RESET

Dec 13 11:33:42 rtp-evergreen.rtp.cisco.com CiscoSecure:

INFO - sdi: cse free external_data memory,state=RESET

معلومات ذات صلة

- مصدر المحتوى الإضافي الآمن من Cisco لصفحة دعم UNIX

- الإعلامات الميدانية ل Cisco Secure ACS ل UNIX

- الدعم الفني - Cisco Systems