安全系列ccsp实验汇总30个-pix downloadable acl.pdfVIP

——————————————————————————————————————————————— it 365 ——————————————————————————————————————————————— PIX downloadable ACL 顾名思义，downloadable ACL 意思是让PIX 在用户认证后，从服务器上 ACL 到本地用 作用户的权限控制，如下图所示： 可用二种方法来实现downloadable ACL 功能。 不管使用哪种方法，AAA 认证部分的配置都是一样的，主要配置如下： 定义AAA 服务器以及认证、 规则。 pixfirewall(config)# aaa-server test protocol radius pixfirewall(config)# aaa-server test (inside) host 0 cisco pixfirewall(config)# access-list access-internet extended permit ip any any pixfirewall(config)# aaa authentication match access-internet inside test 在PIX 上配置Radius 时，不需要配置 二种方法的不同之处在于Radius 服务器的配置不同，下面 对这二种方法进行详细的介 绍。 第 法： 使用Cisco AV Pair ，在radius 服务器上定义attribute-value (也就是vendor-specific-attribute ， VSA) ，在AV pair 中定义用户对应的ACL 。 这种方法的缺点是ACL 的大小不能超过4096 字节。 主要实现步骤如下： 第一步，在ACS 上点击“network configuration” ，添加一个AAA 的client ，认证协议选 资料 ： http://u ——————————————————————————————————————————————— it 365 ——————————————————————————————————————————————— “RADIUS （Cisco IOS/PIX ）” 。 第二步，进入“user setup” ，添加用户，并且放到相应的组中。 第三步，进入“group setup” ，对用户组进行编辑。在“Cisco IOS/PIX RADIUS Attributes” 部分，选中[009\001] cisco-av-pair，写入该用户组的ACL ，例如： ip:inacl#100=permit ip any 55 ip:inacl#200=deny ip any any 最后点击“Submit + Restart”保存组配置。 第二种方法： 使用ACS 中的download-able ACL 的功能，在radius 服务器上先写 好ACL ，当用户认证时，让PIX 自己 与用户所对应的ACL 。 资料 ： http://u ——————————————————————————————————————————————— it 365 ——————————————————————————————————————————————— 主要实现步骤如下： 第一步，在ACS 导航栏中点击“network configuration” ，添加一个AAA 的client ，认证 协议选“RADIU