有人使用Radius客户端用与windows的AD集成用户吗？

stevemorris

Win2003的IAS（internet authorized service）可以作为routeros的radius服务器吗？

问一个基本概念：
是每一个用户都要设置，还是只需要设置一个secret?

请问如何确认已经向Radius服务器发出了请求？怎么看

[ 本帖最后由 stevemorris 于 2006-3-21 11:07 编辑 ]

stevemorris

我用的是windows虚拟网络virtual server下开设的虚拟机

出错信息是登录错误，Radius Timeout(6）

[ 本帖最后由 stevemorris 于 2006-3-22 14:23 编辑 ]

apen

前久试了一下，好像不行，后来换了ACS。

stevemorris

这是cisco的软件吧？

apen

原帖由 stevemorris 于 2006-3-22 18:33 发表
这是cisco的软件吧？

是的，它有个好处是用户可以通过WEB方式自己修改自己的密码。

lovellh

ACS for VPN3000   Date:2002.8.22

Keywords: AAA ACS VPn3000 Radius TACACS+

    本文记录利用Cisco Secure ACS服务器为VPN3000提供AAA服务的设置方法：

    概述: Cisco Secure ACS是一种AAA服务器。所谓AAA，是指：
    认证(authentication)：当NAS(Network Access Server网络访问服务器)收到一个用户认证的请求，它把有关信息通过UDP 1645发给Radius服务器，服务器检查用户数据库确定是否为授权用户，如果是，则给NAS返回验证通过的信息。(参考：RFC 2058)
    记帐（accounting）: 如果需要，用户连接结束后，NAS可以将连接持续的时间、流量等信息发给Radius服务器进行记录，作为计费参考资料。(参考：RFC 2059)
    授权(authorization): 通过Radius服务器还可以限定用户可以访问的服务。

    AAA服务器和NAS之间也可以通过TACACS+(TCP 49)协议来通讯。Cisco Secure ACS(Access Control Server)支持Radius和TACACS+协议。Cisco VPN3030只支持Radius协议。 必须要注意的是Radius是非标准的协议，每个厂家都有各自不同的实现方法，所以对不同的NAS还必需进行协议的定制。在ACS中已经为多种设备定制了Radius协议，如Radius(IOS Devices) Radius(VPN3000)和Radius(Microsoft)等等。

    通过引入AAA服务器，可以：
      1.解决用户数限制: 例如VPN3030只支持定义500个用户,用ACS可以支持更多用户
      2.计费：ACS记录的用户连接时间，通讯量等信息可作计费资料
      3.增强安全性: 可以限定用户访问的服务;用户访问的日志可用于安全审计
      4.方便管理：用户定义可用于一组设备，无需分别设置和维护

    一.ACS安装：

    系统需求：PII300 以上CPU/256M内存/Windows 2000 Server 英文版（不安装SP）
     注1：ACS v2.5在安装了SP的Windows 2000系统上运行有问题,需要v3.0才能解决
     注2：可以安装“用户自助修改密码(web)界面”模块,但该模块需IIS。不安装SP的Windows系统上运行IIS有严重安全问题，所以本安装选择不安装该模块和IIS。

    使用ACS光盘上的Install程序交互完成安装。主要选项为：
      1.是否保留现有数据库: 全新安装回答“否”;升级安装回答“是”。
      2.是否导入配置：如需导入已保存的配置回答“是”。
      3.只使用ACS的用户数据库或同时使用Windows系统用户数据库:根据需要选择，本安装选择“只使用ACS的用户数据库”。
      4.“Authenticate Users Using”认证协议：选择“Radius(Cisco VPN 3000)”。
      5.“Access Server Name”访问服务器名称：输入“VPN3030”。
      6.“Access Server IP Address”访问服务器IP地址：输入“10.1.1.18”。
      7.“Windows NT Server IP Address” ACS服务器的IP地址：自动设为“10.1.1.51”(本机地址)。
      8.“TACACS+ or RADIUS Key”共享的密匙：输入“cisco”。
      9.选择要显示的属性：全选。
      10.“Remedial Action on log-in failure”登录失败时的措施：Script to Exec: *Restart ALL

    完成安装后，通过web界面管理ACS,地址为:http://127.0.0.1:2002(或真实IP),注意在本机上管理时无需登录。

    二.ACS配置：
      登录ACS的WEB管理界面：http://10.1.1.51:2002。
      检查网络配置：选择Network Configuration，点击“VPN3030”可检查或修该安装过程中对Access Server的定义(参数见上一节)。
      检查接口配置：选择Interface Configuration,点击“Radius Cisco VPN 3000”，如需通过ACS设置用户组的VPN3000专有属性，请选中各项Group [26] Vendor-Specific属性，然后可以在组属性中进行设置。如需设置特定用户的VPN3000专有属性，您还需在Interface Configuration / Advanced Options中先选定“Per-User TACACS+/RADIUS Attributes”。一般而言，通过VPN3030中的组属性页面管理这些属性更为方便，推荐使用。某些属性，如为用户制定特定的IP地址，并不属于VPN3000的专有属性，因而也无需启用Vendor-Specific属性。
      设置组：选择Group Setup，并把Group 10该名为"VPN3030 USERS".如果需要，点击Edit Settings 修改组属性。
      添加用户：选择User Setup，输入用户名并点击Add/Edit，修改“Password Authentication”项：选择“CiscoSecure Database”；在“CiscoSecure PAP - Password”一栏输入和确认用户密码；在“Group to which the user is assigned” 一栏选择"VPN3030 USERS"组。根据需要修改其他用户属性，如指定IP地址等。

    三.VPN3030配置：
      首先确保配置前能够用VPN3030设置的内置帐号建立VPN连接。
      登录VPN3030的WEB管理界面：http://10.1.1.18。
      选择: Configuration > System > Servers > Authentication，点击Add。
      选择Radius协议，输入认证服务器地址10.1.1.51及共享的密匙：“cisco”。
      Authentication和Accounting的端口号分别是UDP 1645和UDP1646,均为默认值。
      通过Test功能进行认证测试，成功后保存配置。
      记帐服务的配置：Configuration > System > Servers > Accounting参数同上。
      选择: Configuration > User Management > Groups 并点击Add。
      在Identity(识别)配置夹中输入组名Group Name[本安装中输入ext]、组密码Password[ciscoacs]并设置组类别Type为：internal。请务必在VPN客户端配置相同的组名和密码。在IPSec配置夹中选择Tunnel Type为“Remote-Access”; Authentication为“RADIUS”; 选中“Mode Config”多选框。
      应用(Apply)并保存配置。
      如需为某些组配置不同的Radius服务器，可点击组属性中的“Modify Auth. Servers”。

    四.查看日志:
      记帐信息：Reports and Activity > RADIUS Accounting
      失败的认证记录：Reports and Activity > Failed attempts
      当前登录的用户信息：Reports and Activity > Logged-in Users

fnto

支持与MS 的IAS结合,但IAS没法进行唯一性认证.想唯一性认证还是用其它的radius服务器吧.

parphy

原帖由 fnto 于 2006-3-23 08:51 发表
支持与MS 的IAS结合,但IAS没法进行唯一性认证.想唯一性认证还是用其它的radius服务器吧.

阁下这里的唯一性是指什么？

zichuan

很好解决，在安全设置上稍有注意即可