Gonçalves, Adriel - Porto Alegre, RS Brazil. Guia de Configuração TACACS+ no NR2G-3200.

Transcrição

1 ! " # "$$% % %

2 Folha de Rosto Índice I. Introdução II. O que é TACACS III. Topologia IV. Configuração do Servidor Adicionando Grupo Adicionando Usuário Adicionando Elemento de Rede Criando Perfil de Acesso (Usuário Administrador) Criando Perfil de Acesso (Usuário Restrito) Ajustando a Configuração do Sistema Analisando os Logs do Sistema V. Configuração do Roteador NR2G Campos Obrigatórios VI. Referências Gonçalves, Adriel {adriel@digitel.com.br} - Porto Alegre, RS Brazil. Guia de Configuração TACACS+ no NR2G Métodos de Autenticação 2. Segurança 3. NR2G-3200 IMPORTANTE: É concedida aos clientes da Digitel - Indústria Eletrônica para reproduzir cópias deste documento e para emprestar ou vender tais cópias somente para propósitos acadêmicos e científicos. Embora o autor tenha se precavido com todo o cuidado possível, o autor e a Digitel não aceitam qualquer responsabilidade sobre prejuízos causados por omissões que ele possa conter. Este texto pode ser reproduzido no todo ou em parte, desde que seja citada a fonte.

3 E sse documento descreve os passos necessários para habilitar o método de autenticação TACACS+ nos equipamentos NR2G O equipamento utilizado para a criação desse documento foi um roteador Digitel NR2G-3211 e um software proprietário da Cisco chamado ACS - Cisco Secure que por sua vez será o servidor Tacacs+. TACACS + é a sigla (Terminal Access Controller Access Control System Plus). Um dos protocolos de segurança mais empregados para controlar acesso a equipamentos de rede, normalmente muito usado em redes UNIX e CISCO. Consiste em uma técnica de acesso a rede na qual os usuários conectam-se a um servidor centralizado exclusivo que contém um banco de dados das contas autorizadas. Após autenticar o usuário, o servidor de acesso encaminha a informação de login para o equipamento remoto que solicitou autenticação. Para definirmos melhor esse método de autenticação, utilizaremos o cenário abaixo que demonstra como o roteador Digitel faz a verificação da identidade do usuário na rede utilizando o protocolo Tacacs. Figura-1: Topologia de acesso que demonstra como o protocolo tacacs faz autenticação.

4 Nesta seção partiremos do princípio que você já tem conhecimento específico sobre instalação e operação do servidor Tacacs+ (ACS - Cisco Secure). Desta forma, mostraremos apenas como você adiciona/remove usuários, grupos e elementos de rede. Para obter mais informações sobre este servidor de autenticação, sugerimos que você busque mais informações no site do fabricante. Quaisquer dúvidas quanto à operação de nosso equipamento NR2G-3200 com este servidor podem ser esclarecidas pelo suporte@digitel.com.br ou pelo fone +55 (51) ) ADICIONANDO GRUPO: Vá ao menu à esquerda opção Group Setup. Abrirá uma tela onde você deve selecionar os grupos existentes, como uma nova instalação selecione 1:Group 1, logo em seguida no botão Rename Group onde abrirá uma caixa de diálogo para você colocar um nome qualquer. Por exemplo, coloque como nome ROUTER_DIGITEL aplique no botão Submit 2) ADICIONANDO USUÁRIO: Retorne novamente ao menu, opção USER SETUP e adicione um ou quantos usuários você julgar necessário no botão Add/Edit. 3) ADICIONANDO ELEMENTO DE REDE: No menu à esquerda, escolha a opção Network Configuration irá abrir a tela AAA Clientes e mais abaixo AAA Servers. Escolha a tabela AAA Clientes selecione o botão Add Entry, onde irá abrir a tela solicitando os dados abaixo: Coloque qualquer nome ou endereço IP + AAA Client Hostname. : < > + AAA Client IP Address : < > + Key... : <test_digitel> + Authenticate Using... : <TACACS+ (Cisco IOS)> ( ) Single Connect TACACS+ AAA Client ( ) Log Update/Watchdog Packets from this AAA Client ( ) Log RADIUS Tunneling Packets from this AAA Client Aqui você deve colocar endereço IP Aqui você coloca a palavra secreta (senha) Deixe esses campos como default.

5 4) CRIANDO PERFIL DE ACESSO (USUÁRIO ADMINISTRADOR): Esta fase é crucial para que o elemento de rede possa ter níveis de acesso controlado, observe esta configuração: Vá ao menu à esquerda opção Shared Profile Components (Figura-2) escolha Sell Command Authorization Sets, logo abaixo você adiciona com o botão ADD. Nesta parte você estará adicionando comandos de acesso para usuário ADMINISTRADOR, certifique-se que todos os comandos têm a opção Permit unmatched Args habilitada. Figura-2: Shared Profile Components (perfil Administrador)

6 4) CRIANDO PERFIL DE ACESSO (USUÁRIO RESTRITO): Depois que você criou um perfil para acesso como administrador (completo) você não pode esquecer de criar um perfil restrito com apenas alguns comandos. Para isso, sugerimos que repita os passos acima com apenas os comandos (DUMP e SHOW). Figura-3: Shared Profile Components (perfil usuário restrito) Agora que os dois perfis estão criados, você deve voltar na configuração dos GRUPOS (Figura-4), para isso acesse o menu à sua esquerda na opção Group Setup edite o grupo no botão Edit Settings e role a barra de rolagem até a opção Shell Command Authorization Set, selecione um dos perfis que você acaba de configurar. Exemplo: [Digitel NR2g_adm, NR2G_digitel_user] Figura-4: Group Setup (Menu Grupo) referenciando os perfis criados na Shared Profile.

7 5) AJUSTANDO A CONFIGURAÇÃO DO SISTEMA: Nessa parte você irá ajustar e definir como será apresentado o resultado nos relatórios. Para isso, vá até o menu à esquerda selecione System Configuration escolha a opção LOGGING, então abrirá uma nova janela para você selecionar qual tipo de log você prefere, escolha CSV TACACS+ Administration. Veja abaixo (Figura-5), estamos incluindo o atributo cmd-arg. Depois que você incluir esse atributo, posicione-o após o atributo cmd na coluna Logged Attributes conforme abaixo. Figura-5: System Configuration, mostrando como configurar os Log`s do sistema. 6) ANALISANDO OS LOGS DO SISTEMA: No menu Reports and Activity (Figura-6) você verifica a saída do (AAA) Tacacs+ Accounting, Administration e Authorization. Figura-6: Na tela Reports and Activity você verifica os Log`s do AAA.

8 Os roteadores Digitel permitem que além da configuração de autenticação seja possível configurar AAA (Authentication, Authorization e Accounting) utilizando-se para isto o protocolo TACACS. Para você ativar a configuração do Tacacs AAA, siga o exemplo abaixo: set system aaa authentication purge set system aaa authentication shadow up set system aaa authentication tacacs up encrypt true server set system aaa authentication tacacs secret test_digitel set system aaa authentication tacacs interface lo:0 set system aaa authentication order tacacs shadown set system aaa authentication tacacs onerror fail set system aaa authorization tacacs up set system aaa accounting tacacs up 1) CAMPOS OBRIGATÓRIOS: server: Esse campo é onde você indica o endereço IP do servidor tacacs+ secret: test_digitel interface: lo:0 O campo secret é a senha que você definiu no servidor (passo 03) A interface pode ser LAN0 ou LAN1 ou como mostra nosso exemplo: LoopBack. Esse campo é utilizado para informar qual endereço que roteador se identificará ao servidor tacacs. Para saber a tradução de todos os parâmetros, consulte o manual do produto disponível em nosso site ou FTP. Se preferir, nos mande um para suporte@digitel.com.br. + Cisco Systems + URL: + Disponível em: 28/maio/2007.