ArraySPX工程安装配置基本手册.docx

上传人:小飞机 文档编号:1893599 上传时间:2022-12-24 格式:DOCX 页数:20 大小:738.70KB
返回 下载 相关 举报
ArraySPX工程安装配置基本手册.docx_第1页
第1页 / 共20页
ArraySPX工程安装配置基本手册.docx_第2页
第2页 / 共20页
ArraySPX工程安装配置基本手册.docx_第3页
第3页 / 共20页
ArraySPX工程安装配置基本手册.docx_第4页
第4页 / 共20页
ArraySPX工程安装配置基本手册.docx_第5页
第5页 / 共20页
点击查看更多>>
资源描述

《ArraySPX工程安装配置基本手册.docx》由会员分享,可在线阅读,更多相关《ArraySPX工程安装配置基本手册.docx(20页珍藏版)》请在三一办公上搜索。

1、Array SPX工程安装配置手册认证授权配置部分一、 SSL VPN门户Virtual Site认证配置11. Radius 认证服务配置32. LDAP认证服务配置53. AD认证服务配置84. SecurID动态口令认证配置9二、 SSL VPN门户Virtual Site授权配置101. LocalDB的授权132. LDAP服务器的授权153. Radius服务器的授权174. Group Mapping 授权方式19SSL VPN门户Virtual Site认证配置Array SSL VPN设备Virtual Site 的接入支持多种认证方式,包括LocalDB、LDAP、AD、R

2、adius、SecurID 等。门户认证也可以关掉,这时用户登陆就不需要认证了,当然,也丧失了很大的安全性。每个Virtual Site 最多可以配置四种认证方法,用户登陆时,按照顺序查找认证服务,当第一种认证方法失败会使用第二种认证方法,直到成功或完全失败为止。对于AD、LDAP、Radius认证,每种方法最多可以配置3个认证服务器。由于上一章已经介绍了LocalDB的配置方法,如果您只使用LocalDB,可以越过本章。本章我们主要介绍其他几种认证方式的配置。Site Configuration-AAA-GeneralSite Configuration-AAA-Method命令行为:aaa

3、 method rank authorization methodAuthentication Method:指采用的认证方法Rank:是 Virtual Site 的第几种认证方法Authorization Method:定义了使用这种认证方法时采用的授权方法,下章祥述。如:SP-Demo (config)$aaa method localdb 1 第一种认证方法采用LocalDB,授权使用LocalDB。SP-Demo (config)$aaa method ldap 2 ldap第二种认证方法采用LDAP服务器,授权也使用LDAP服务器。Radius认证服务配置Radius认证是业界普遍

4、采用的认证协议,Virtual Site采用Radius 作认证服务器,需要配置相应参数及端口,当然在SPX 与Radius服务器中间的通信要保持畅通,如果有防火墙需要打开相应端口。在配置Radius认证前,先要和用户的管理员询问一些Radius服务器的情况,包括:Radius 服务认证端口,一般采用UDP 1812或者 是UDP1645,当然用户也可能使用别的端口。另外还要询问服务器使用的通信密钥。命令行为:aaa method radius authorization methodaaa radius host IP:指Radius服务器的IP地址Port:Radius服务所使用的端口Se

5、cret:SPX与Radius服务器之间使用的通信密钥Timeout:超时设定Retries:重试次数如:SP-Demo (config)$aaa method radius 2 SP-Demo (config)$aaa radius host 10.1.10.76 1812 radius_secret 20 3Site Configuration-AAA-Authentication-RADIUSLDAP认证服务配置LDAP 是一种轻型目录访问协议,具有结构清晰,查找速度较快的特点。Virtual Site 采用LDAP作认证,同样需要配置一些参数。所以在作此项配置之前,要先和用户的LDAP

6、 管理员作一下沟通,获得一些参数信息,并用LDAP Browser等客户端工具验证一下,把他的LDAP结构清晰化。LDAP服务一般采用TCP 389端口,基于SSL 的协议一般采用636 端口。命令行为:aaa method ldap authorization methodaaa ldap host tlsIP:LDAP服务器IP地址。Port :LDAP 服务端口User Name:有相应LDAP Search权限的用户名Password:查找时上面用户的口令Base:从哪一级目录进行查找aaa ldap search filter LDAP查找的Search 规则,如:某属性,其中代表用

7、户在登陆SSL VPN Virtual Site输入的字符串,是参数传递。接下来配置绑定规则,可以选择动态绑定,也可以选择静态绑定,bind是指用户DN的构成规则。1动态绑定:aaa ldap bind dynamicLDAP查找时根据Complete Distinguished Name,Base 信息与search filter在上面命令种定义2静态绑定:aaa ldap bind static dn_prefix:前缀dn_suffix:后缀 一起构成了用户DN如:SP-Demo (config)$aaa method ldap 4 SP-Demo (config)$aaa ldap h

8、ost 10.1.10.76 389 cn=manager,dc=arraytsd,dc=com secret dc=arraytsd,dc=com 20 SP-Demo (config)$aaa ldap search filter cn= SP-Demo (config)$aaa ldap bind dynamicSite Configuration-AAA-Authentication-LDAPAD认证服务配置采用Active Directory 作认证服务器,需要配置相应参数及TCP端口,当然在SPX与AD服务器中间的通信要保持畅通,如果有防火墙需要打开相应端口。AD的底层也是一个LD

9、AP,所以也同样可以通过LDAP的配置方法配置他。命令行为:aaa method ad authorization methodaaa ad host 如:SP-Demo (config)$aaa method ad 2SP-Demo (config)$aaa ad host 10.1.175.7 389 “”SecurID动态口令认证配置Virtual Site 用securID认证,重要的配置工作在SecurID服务器上,详见SPX手册,在SecurID服务器上生成一个文件,将这个文件导入SPX即可,另外,SecurID认证一定要选择rank1,并且是全局生效。Ace Server和SPX

10、的主机名与IP地址的对应关系一定要在两台设备上都能够正确的互访到。使用SPX的默认路由所指向的interface,作为ACE Server所指定的primary interface.,如果其他端口也配置了IP地址,需要将其IP地址作为secondary interface,这样采用能够在SPX和Ace Server上正确加密数据流。命令行为:aaa securid import 如:SP-Demo (config)# aaa securid import sdconf.recSP-Demo (config)$aaa method secured authorization method一般Se

11、curID服务器也同样支持Radius协议,如果那您把他看作Radius服务器,也可以按照Radius服务认证的方法配置他,详见前面章节。SSL VPN门户Virtual Site授权配置授权是SSL VPN的一个主要的安全功能,Array的授权机制是设置用户或组享有的特定权限,授权是和认证方法高度相关的,不同的认证采用不同的授权方法。如用LDAP 认证,可以通过LDAP服务器授权,也可以通过LocalDB 或者是Radius服务器授权。认证授权关系表认证方式可认证可授权LocalDBYYRadiusYY(需要扩展Dictionary)LDAPYY(需要扩展Schema)ADYGroup Ma

12、pping或LocalDBSecurIDYNArray SPX授权权限分为几类:授权方式授权内容可授权ACL定义了用户或组享有的权限列表SourceNet定义了登陆的原地址范围Y(需要扩展Dictionary)NetPool定义了L3VPN所使用的地址池Y(需要扩展Schema)UID, GID定义了用户使用NFS功能时用到的UID和GID信息Group Mapping或LocalDB其中最主要的授权方式是ACL。ACL分为两大类,一类规定了WRM、g的控制规则,另一类定义了ClientApp和L3VPN的控制规则。一个用户登陆SSL VPN时它的权限可以通过ACL作详细的授权。Array S

13、PX缺省是没有ACL配置的,这时所有的资源对所有的用户开放,一旦对某个用户或组配置了一个ACL,则对他需要访问的内容权限一定要显示的配置成PERMIT,否则不允许访问。对WRM 、 生效的ACL命令行为: : AND (PERMIT|DENY)Priority:优先级Scheme: 是针对HTTP还是 Host:目标服务器,支持通配符“*”。Path:路径AND virtual :在global mode配置时只关联到相应的Virtual Site上,在Virtual Site Config 模式时,不需要此参数。如:0 http:10.1.175.7/exchange AND intra D

14、ENY1 http:* AND intra PERMIT2 AND intra DENY3 file:* AND intra PERMIT我们会在LocalDB授权时给出具体针对不同用户的配置方法。2针对ClientApp、L3VPN的ACL命令行为: ip :/:port AND PERMIT|DENYPriority 优先级 Protocol 针对那种IP协议,可以时TCP、UDP或protocol number,*代表所有协议。Host_IP:目标服务器Netmask:掩码Port:端口号AND virtual :在global mode配置时只施加在那个virtuail site ,在

15、virtual site config 模式时,不需要此参数如:0 ip *:10.1.175.0/255.255.255.0 AND partner PERMIT1 ip *:0.0.0.0/0 AND partner DENY同样,我们会在LocalDB授权时给出具体针对不同用户的配置方法。LocalDB的授权用LocalDB授权比较简单,只需对相应用户或组配置相应ACL即可。命令行为:Global 模式:localdb acl account localdb acl group Virtual Site 模式:localdb acl account localdb acl group 如

16、:用户的策略SP-Demo (config)$aaa on SP-Demo (config)$aaa method localdb 1 SP-Demo (config)$localdb account test “pass“SP-Demo (config)$localdb acl account test 0 http:10.1.175.7/exchange AND SP-Demo DENYSP-Demo (config)$localdb acl account test 1 http:* AND SP-Demo PERMITSP-Demo (config)$localdb acl accou

17、nt test 0 AND SP-Demo DENYSP-Demo (config)$localdb acl account test 1 file:* AND SP-Demo PERMITSP-Demo (config)$localdb acl account test 2 ip *:10.1.175.0/255.255.255.0 AND SP-Demo PERMITSP-Demo (config)$localdb acl account test 3 ip *:0.0.0.0/0 AND SP-Demo DENY“组的策略:localdb netpool group 地址池分配local

18、db sourcenet group 登陆原地址限制很多种认证方法都可以通过LocalDB授权,不过这时一般需要用户名一一对应。如采用LDAP认证,LocalDB授权,要求LDAP服务器上的帐号和LocalDB上的帐号对应,如果LocalDB上没有这个帐号,需要用Default Group 作在LocalDB上没有的帐号的授权。如:SP-Demo (config)$aaa on SP-Demo (config)$aaa radius accounting off SP-Demo (config)$aaa method ad 1 localdbSP-Demo (config)$aaa ad ho

19、st 10.1.10.31 389 SP-Demo (config)$aaa localdb group default arraygroupSP-Demo (config)$aaa localdb authorization usedefaultLDAP服务器的授权如果您使用LDAP认证,缺省是采用LDAP服务器作授权,即将ACL作为LDAP服务器用户的相应属性来进行授权,这时需要扩充LDAP的schema。如果您的认证服务器和LDAP授权服务器不是一台机器,那您需要单独配置LDAP授权服务器。LDAP授权命令行为:SP-Demo(config)$aaa method ldapSP-Demo

20、(config)$aaa ldap authorize host tls具体参数概念参见上一章中LDAP认证部分。SP-Demo(config)$aaa ldap authorize search filter 具体参数概念参见上一章中LDAP认证部分。然后主要的任务是配置LDAP服务器,首先扩充LDAP服务器的schema,然后配置需要授权用户的ACL属性赋予相应的权限。我们以OpenLDAP为例叙述过程,一般需要在slapd.conf中加入include文件:included:/openldap/etc/schema/core.schemaincluded:/openldap/etc/sc

21、hema/inetorgperson.schemaincluded:/openldap/etc/schema/array.schema然后在相应目录下放置array.shema文件,内容如下:#Array extended schema ,added by wuyuepeng# ArrayNetworks Schema# case senstive url prefix ie *attributetype ( 1.3.6.1.4.1.7564.1000.1NAME accepturlDESC accept url exprerssionSYNTAX 1.3.6.1.4.1.1466.115.1

22、21.1.26 )# accepted source network addresses# of the form network/mask eg 10.2.0.0/255.255.0.0attributetype ( 1.3.6.1.4.1.7564.1000.2NAME sourcenetDESC Source Network ip/maskSYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )# case senstive network pool nameattributetype ( 1.3.6.1.4.1.7564.1000.3NAME netpoolDESC

23、 network pools for L3 VPNSYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )#Array User inhearts from inetOrgPerobjectclass ( 1.3.6.1.4.1.7564.1000NAME ArrayUserDESC Array Appliance Network UserSUP topAUXILIARYMAY ( accepturl $ sourcenet )# Borrow the accepturl and sourcenet from ArrayUserobjectclass ( 1.3.6.1.4

24、.1.7564.1001NAME ArrayGroupDESC Array Appliance Network GroupSUP topAUXILIARYMAY ( accepturl $ sourcenet $ netpool )然后在用户的相应属性增加相应的权限即可:如:在accepturl属性赋值为一个ACL:0 http:10.1.175.7/exchange AND SP-Demo DENYRadius服务器的授权同LDAP授权一样,如果您使用Radius做认证,缺省是采用Radius服务器作授权,即将ACL作为Radius服务器用户的相应属性来进行授权,这时需要扩充Radius的D

25、ictionary。如果您的认证服务器和Radius授权服务器不是一台机器,那您需要单独配置Radius授权服务器。Radius授权命令行为:SP-Demo (config)$aaa method radiusSp-Demo (config)$aaa ldap authorize host 具体参数概念参见上一章中Radius认证部分。然后就是扩充Radius服务器的Dictionary,将ACL的属性定义加进去,进而配置用户的相应属性进行ACL授权。扩充的Dictionary文件内容如下:#Array Networks# borrowed from snmpd, may lead to tr

26、ouble laterVENDORArray-Networks 7564# Array Netorks ExtensionsATTRIBUTE Accept-Acls 1 string Array-NetworksATTRIBUTE SourceNets 2 string Array-NetworksATTRIBUTE memberUid 3 integer Array-NetworksATTRIBUTE memberGid 4 string Array-NetworksATTRIBUTE NetPool 5 string Array-Networks然后在用户的相应属性增加相应的权限即可:如

27、某用户的相应属性:Foo Auth-Type = Local, Password = “foobar”Accept-Acls = 0 http:*/ AND all PERMIT,SourceNets = “10.2.0.0/255.255.0.0”uidNumber = 2063,gidNumber = 1000 1020 2300Group Mapping 授权方式有的用户用Radius、AD、LDAP认证,他们又不想修改这些服务器,加上Array的授权属性。这时我们可以抓取这些服务器的组信息放到LocalDB上,将这些认证服务器的组映射到LocalDB的相应组进行授权。首先要找到Radi

28、us、AD、LDAP那个属性是他的组属性,然后当这个属性等于某个值时映射到LocalDB特定组上。如AD上的这个属性就是memberOf属性。命令行为:aaa ldap group 若是LDAP,指代表组的属性。aaa radius group 若是Radius,指代表组的属性。aaa localdb group default 若组映射不成功,这个用户所属的缺省组。aaa map group 当某用户的值为external_group时,我们将他映射到localdb internal_group 组进行授权。以AD 举例:我们将AD看成一个LDAP授权服务器来进行配置。SP-Demo (co

29、nfig)$localdb group group1SP-Demo (config)$localdb group group2SP-Demo (config)$localdb acl group group1 0 http:10.1.10.55/ AND SP-Demo DENYSP-Demo (config)$aaa on SP-Demo (config)$aaa method ad 2 ldapSP-Demo (config)$aaa ldap authorize host 10.1.1033 389 wuyp wuyppass dc=arraydemo,dc=com 30 SP-Demo

30、 (config)$aaa ad host 10.1.10.33 389 SP-Demo (config)$aaa ldap bind dynamicSP-Demo (config)$aaa ldap authorize search filter sAMAccountName=SP-Demo (config)$aaa ldap group memberOfSP-Demo (config)$aaa localdb group default group2SP-Demo (config)$aaa map group partner gruop1“当某个用户属于partner这个组时则按照group1的授权属性来进行控制,若不等于partner这个组则映射成缺省组group2来进行授权。

展开阅读全文
相关资源
猜你喜欢
相关搜索

当前位置:首页 > 生活休闲 > 在线阅读


备案号:宁ICP备20000045号-2

经营许可证:宁B2-20210002

宁公网安备 64010402000987号