此示例配置最初阻止從外部主機到內部網路上所有裝置的流量,直到使用身份驗證代理執行瀏覽器身份驗證。授權後,從伺服器向下傳遞的訪問清單(permit tcp|ip|icmp any any)將動態條目新增到訪問清單116,該清單臨時允許從外部PC訪問內部網路。
注意:本文中使用的AAA配置也適用於執行Cisco IOS®軟體的Catalyst交換器。
本文件沒有特定需求。
本文中的資訊係根據以下軟體和硬體版本:
Cisco IOS 軟體版本 12.2.23
思科3640路由器
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路正在作用,請確保您已瞭解任何指令可能造成的影響。
本節提供用於設定本文件中所述功能的資訊。
註:使用Command Lookup Tool(僅供已註冊客戶使用)可獲取本節中使用的命令的詳細資訊。
本檔案會使用以下網路設定:
本檔案會使用以下設定:
思科3640路由器
思科3640路由器 |
---|
Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname sec-3640 ! aaa new-model aaa group server tacacs+ RTP server 171.68.120.214 ! aaa authentication login default group RTP none aaa authorization exec default group RTP none aaa authorization auth-proxy default group RTP enable secret 5 $1$pqRI$3TDNFT9FdYT8Sd/q3S0VU1 enable password ww ! ip subnet-zero ! ip inspect name myfw cuseeme timeout 3600 ip inspect name myfw ftp timeout 3600 ip inspect name myfw http timeout 3600 ip inspect name myfw rcmd timeout 3600 ip inspect name myfw realaudio timeout 3600 ip inspect name myfw smtp timeout 3600 ip inspect name myfw sqlnet timeout 3600 ip inspect name myfw streamworks timeout 3600 ip inspect name myfw tftp timeout 30 ip inspect name myfw udp timeout 15 ip inspect name myfw tcp timeout 3600 ip inspect name myfw vdolive ip auth-proxy auth-proxy-banner ip auth-proxy auth-cache-time 10 ip auth-proxy name list_a http ip audit notify log ip audit po max-events 100 ! interface Ethernet0/0 ip address 40.31.1.144 255.255.255.0 ip access-group 116 in ip nat outside ip auth-proxy list_a no ip route-cache no ip mroute-cache speed auto half-duplex no mop enabled ! interface Ethernet1/0 ip address 10.14.14.14 255.255.255.0 ip nat inside ip inspect myfw in speed auto half-duplex ! !--- Interfaces deleted. ! nat pool outsidepool 40.31.1.50 40.31.1.60 netmask 255.255.255.0 ip nat inside source list 1 pool outsidepool ip nat inside source static 10.14.14.15 40.31.1.77 ip classless ip route 0.0.0.0 0.0.0.0 40.31.1.1 ip route 171.68.118.0 255.255.255.0 40.31.1.1 ip route 171.68.120.0 255.255.255.0 40.31.1.1 no ip http server ! access-list 116 permit tcp host 171.68.118.143 host 40.31.1.144 eq www access-list 116 deny tcp host 171.68.118.143 any access-list 116 deny udp host 171.68.118.143 any access-list 116 deny icmp host 171.68.118.143 any access-list 116 permit icmp any any access-list 116 permit tcp any any access-list 116 permit udp any any dialer-list 1 protocol ip permit dialer-list 1 protocol ipx permit ! tacacs-server host 171.68.120.214 tacacs-server key cisco ! line con 0 transport input none line aux 0 line vty 0 4 password ww ! end |
發出debug指令之前,請先參閱有關Debug指令的重要資訊。
請參閱驗證代理疑難排解以瞭解指令和疑難排解資訊。
目前尚無適用於此組態的具體疑難排解資訊。
修訂 | 發佈日期 | 意見 |
---|---|---|
1.0 |
15-Aug-2006 |
初始版本 |