cisco+acs安装与应用详解

此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 1 页/共 39 页 Cisco ACS 安装与应用详解 Cisco ACS 安装与应用详解 目 录 (v2.0) 准备工作.3 1.安装操作系统（win2003） 2.安装 JAVA EDK 3.安装 IIS 4.安装证书服务器 第一章：CiscoSecure ACS v3.3 的安装和配置7 第一部分：安装 ACS v3.3 1.安装 ACS v3.3 2.创建 ACS 管理员帐户 第二部分：配置 ACS 相关选项 1.Interface Configuration a. User Data Configuration b. TACACS+ (Cisco IOS) c. Advanced Options 2. System Configuration aService Control blogging cDate Format Control dLocal Password Management eCiscoSecure Database Replication fACS Backup gACS Restore hACS Service Management iACS Certificate Setup jGlobal Authentication Setup 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 2 页/共 39 页 第三部分：安装 ACS 证书 1. Generate Self-Signed Certificate 2. Install ACS Certificate 3. ACS Certification Authority Setup 4. Edit Certificate Trust List 5. Use HTTPS Transport for Administration Access 第二章：CiscoSecure ACS v3.3 的应用范例.14 第一部分：Network Configuration 第二部分：User Setup 第三部分：Group Setup 第四部分：SharedProfile Components 第三章：在交换机上配置 AAA 认证、授权、记账22 1.现在交换机上创建本地用户 2.开启 AAA 服务 3.在接口上激活配置 第四章：Cisco User Changeable Password 安装与配置24 第一部分：.新建站点 第二部分：.创建站点虚拟目录 第三部分：.申请、颁发、安装站点（IIS）证书 第四部分：.安装 UCP 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 3 页/共 39 页 准备工作 本文所有内容都是在 windows2003 操作系统上完成的， 对于其他操作系统的操作如果有不同的地 方，请自行参考解决！ 本文稍后介绍的软件或服务版本要求： Internet Explorer 6.0 SP1 或更新版本 Internet Information Service 6.0（win2003） CiscoSecure ACS v3.3 Cicso User Changeable Password v3.3 安装安装 Cisco ACS 前的准备工作：前的准备工作： 1. 安装操作系统 win20003，打全补丁； 2. 安装 java EDK，安装后尽量更新到最新版本； 3. 安装 IIS。打开“控制面板” “添加删除程序” “添加删除 windows 组件” ，如图 1 图 1 选中“Application Server” ，接着点击“Details” ，进入到图 2 的界面，选中“ASP.NET” ， 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 4 页/共 39 页 图 2 然后点击“OK”退回到图 1 的界面，点击“Next” ，开始安装 IIS。安装完成后，即可在 MMC 中打开 IIS 了。 4接下来安装证书服务器（Certificate Service） ：还是在图一的所示的页面中，选中“Certificate Server” ，此时会有个提示信息，点击“Yes” ，如图 3-1 所示，然后点击“Next” ，如图 3-2 图 3-1 图 3-2 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 5 页/共 39 页 下一步选择 “CA 类型” ， 由于， 没有 AD， 并且是最高级别的 CA 机构， 所有， 选择 “独立根 CA” ， 然后“Next” ，如图 3-3 图 3-4 接下在，配置 CA 信息，特别要注意 CA 信息的格式，如图 3-5，配置完毕后，继续“Next” 图 3-5 配置证书相关信息存储地点，默认即可！ “Next” ，如图 3-6 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 6 页/共 39 页 图 3-6 最后，会有提示“安装 CA 之前，要暂时停止 IIS 服务” ，选“Yes”即可！然后，安装程序将开 始安装。如图 3-7 图 3-7 安装完毕后即可通过在 IE 中输入地址 http:/localhost/certsrv （或http:/安装认证服务器的 IP 地址 /certsrv）进行证书的签发、下载和查看证书信息等！ （安装此证书服务器，会在第四章中使用到） 以上准备工作做完后，下面就可以开始进入正题了！ 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 7 页/共 39 页 第一章： CiscoSecure ACS v3.3 的安装和配置 第一章： CiscoSecure ACS v3.3 的安装和配置 第一部分：安装 ACS v3.3 1安装 ACS v3.3 安装 Cisco ACS 的方法很简单，运行安装程序中的 Setup.exe 文件，全部点击“下一步”即可 完成安装！ 2. 创建 ACS 管理员帐户 运行桌面上的“ACS Admin” ， 打开 ACS，如图 4 图 4 运行 ACS 后，首先点击 ACS 左边列表中的“Administration Control”进入到管理员账号管理界 面，如图 5- 选择“Add Administrator”如图 5-，进入到新建管理员账号页面，如图 6 输入“管理员名称”和“密码”以及“再次输入一遍密码” ，然后在权限选项中选择“Grant All” 添加全部权限给这个账号。 至此， 一个管理员账号就创建完毕， 现在就可以使用这个账号通过 IE 远程管理这台 ACS 服务器！ 图 5-中的”Access Policy”，通过他可以控制哪些 IP 地址可以访问这台 ACS 服务器；哪些 TCP 端口可以用来连接这台 ACS 服务器；以及是否使用 HTTPS 方式来访问这台 ACS 服务器。 图 5-“Session Policy Setup” ，连接会话的配置，包括会话“超时时间（分钟） ” ；是否“允许本 地自动登陆” ； “帐户尝试几次登陆失败后，进行锁定” 图 5-“Audit Policy” ，日志文件管理。 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 8 页/共 39 页 图 5 图 6 下面通过在任何一台电脑上，使用 IE 登陆 ACS 服务器吧，输入 http:/ACS 服务器 IP 地址:2002， 然后输入刚刚创建的管理员名称和密码进行登陆， 登陆后的界面和之前在 local 的界面是一模一样的！ 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 9 页/共 39 页 第二部分：配置 ACS 相关选项 1 “Interface Configuration” 在图 1 的界面左边，选择“Interface Configuration”进入“接口配置”页面。 AUser Data Configuration：注册一个用户的时候，需要填写哪些信息，最多共 5 项。如图 7 图 7 BTACACS+ (Cisco IOS)：请选择“TACACS+ Services”中的 PPP IP 和 Shell（exec）以及全 选“Advanced Configuration Options”,在后面配置 AAA 的时候会使用到（此处不选，后面将看不到这 些选项的） ！如图 8、9（特别注意：此项目，只有在新建了一台网络设备后，才会现实出来，具体设 置网络设备，请参考第二章，第一部分内容。第 特别注意：此项目，只有在新建了一台网络设备后，才会现实出来，具体设 置网络设备，请参考第二章，第一部分内容。第 14 页页） 图 8 图 9 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 10 页/共 39 页 C：Advanced Options：选择“Network Device Group” ，可以对不同的设备进行分组，如图 10 图 10 2.System Configuration（图 11） 图 11 1。Service Control ，可以重启 ACS。 2。logging ，配置日志文件 3。Date Format Control ，选择日期格式形式 4。Local Password Management ，用户密码权限管理 5。CiscoSecure Database Replication ，ACS 数据库复制（如果有多台 ACS 的情况下） 6。ACS Backup ，ACS 数据备份 7。ACS Restore ，ACS 数据恢复 8。ACS Service Management ，ACS 服务管理 9。ACS Certificate Setup ，证书安装向导 10。Global Authenrication Setup ，全局认证向导 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 11 页/共 39 页 注意：请定期进行 ACS 数据的备份，防止数据丢失。 在 Global Authenrication Setup 中，勾选“Allow EAP-TLS” ，后面在配置证书的时候需要使用到 这个选项！如图 12 图 12 以上配置完成后，不知大家是否发现，现在 ACS 还是存在不安全因数，他是通过 http 的形式进 行数据传输的，为了安全起见，下面，我们将对 ACS 服务器进行安全加固，用 https 的方式去访问。 第三部分：安装 ACS 证书 选择图 11 中的“ACS Certificate Setup” ，进入如图 13 所示的界面： 图 13 1 选择“Generate Self-Signed Certificate” ，进入图 14 的界面 图 14 Certificate Subject：自定义一个证书名； Certificate File ：自定义证书文件保存位置（这个位置指 ACS 服务器所在硬盘的位置，不 是你本机的位置） 此文仅做为学习交流使用，不得用于商业目的，本文之作者(cyllls)对此有最终解释权！ 二八年八月 第 12 页/共 39 页 Private Key file ：自定义私钥文件保