其中，鉴别（Authentication）指用户在使用网络系统中的资源时对用户身份的确认。这一过程，通过与用户的交互获得身份信息（诸如用户名—口令组合、生物特征获得等），然后提交给认证服务器；后者对身份信息与存储在数据库里的用户信息进行核对处理，然后根据处理结果确认用户身份是否正确。例如，GSM移动通信系统能够识别其网络内网络终端设备的标志和用户标志。授权（Authorization）网络系统授权用户以特定的方式使用其资源，这一过程指定了被认证的用户在接入网络后能够使用的业务和拥有的权限，如授予的IP地址等。仍以GSM移动通信系统为例，认证通过的合法用户，其业务权限（是否开通国际电话主叫业务等）则是用户和运营商在事前已经协议确立的。计费（Accounting）网络系统收集、记录用户对网络资源的使用，以便向用户收取资源使用费用，或者用于审计等目的。以互联网接入业务供应商ISP为例，用户的网络接入使用情况可以按流量或者时间被准确记录下来。
认证、授权和计费一起实现了网络系统对特定用户的网络资源使用情况的准确记录。这样既在一定程度上有效地保障了合法用户的权益，又能有效地保障网络系统安全可靠地运行。考虑到不同网络融合以及互联网本身的发展，迫切需要新一代的基于IP的AAA技术。因此出现了Diameter协议。
编辑本段AAA在移动通信系统中的应用 在移动通信系统中，用户要访问网络资源，首先要进行用户的入网认证，这样用户才能访问网络资源。鉴别的过程就是验证用户身份的合法性；鉴别完成后，才能对用户访问网络资源进行授权，并对用户访问网络资源进行计费管理。一般来讲，鉴别过程由三个实体来完成的。用户（Client）、认证器（Authenticator）、AAA服务器（Authentication 、Authorization和Accounting Server）。在第三代移动通信系统的早期版本中，用户也称为MN（移动节点），Authenticator在NAS（Network Access Server）中实现，它们之间采用PPP协议，认证器和AAA服务器之间采用AAA协议（以前的方式采用远程访问拨号用户服务RADIUS（Remote Access Dial up UserService）；Raduis英文原意为半径，原先的目的是为拨号用户进行鉴别和计费。后来经过多次改进，形成了一项通用的鉴别计费协议）。
RADIUS是一种C/S结构的协议，它的客户端最初就是NAS（Net Access Server）服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP、CHAP或者Unix登录认证等多种方式。RADIUS是一种可扩展的协议，它进行的全部工作都是基于Attribute-Length-Value的向量进行的。RADIUS的基本工作原理是:用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account-Require，RADIUS服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关 *** 作。
RADIUS是目前最常用的认证计费协议之一，它简单安全，易于管理，扩展性好，所以得到广泛应用。但是由于协议本身的缺陷，比如基于UDP的传输、简单的丢包机制、没有关于重传的规定和集中式计费服务，都使得它不太适应当前网络的发展，需要进一步改进。
随着新的接入技术的引入（如无线接入、DSL、移动IP和以太网）和接入网络的快速扩容，越来越复杂的路由器和接入服务器大量投入使用，对AAA协议提出了新的要求，使得传统的RADIUS结构的缺点日益明显。目前,3G网络正逐步向全IP网络演进，不仅在核心网络使用支持IP的网络实体，在接入网络也使用基于IP的技术，而且移动终端也成为可激活的IP客户端。如在WCDMA当前规划的R6版本就新增以下特性：UTRAN和CN传输增强；无线接口增强；多媒体广播和多播（MBMS）；数字权限管理（DRM）；WLAN-UMTS互通；优先业务；通用用户信息（GUP）；网络共享；不同网络间的互通等。在这样的网络中，移动IP将被广泛使用。支持移动IP的终端可以在注册的家乡网络中移动，或漫游到其他运营商的网络。当终端要接入到网络，并使用运营商提供的各项业务时，就需要严格的AAA过程。AAA服务器要对移动终端进行认证，授权允许用户使用的业务，并收集用户使用资源的情况，以产生计费信息。这就需要采用新一代的AAA协议——Diameter。此外，在IEEE的无线局域网协议80216e的建议草案中，网络参考模型里也包含了鉴别和授权服务器ASA Server，以支持移动台在不同基站之间的切换。可见，在未来移动通信系统中，AAA服务器占据了很重要的位置。
经过讨论，IETF的AAA工作组同意将Diameter协议作为下一代的AAA协议标准。Diameter（为直径，意为着Diameter协议是RADIUS协议的升级版本）协议包括基本协议，NAS（网络接入服务）协议，EAP（可扩展鉴别）协议，MIP（移动IP）协议，CMS（密码消息语法）协议等。Diameter协议支持移动IP、NAS请求和移动代理的认证、授权和计费工作，协议的实现和RADIUS类似，也是采用AVP，属性值对（采用Attribute-Length-Value三元组形式）来实现，但是其中详细规定了错误处理, failover机制,采用TCP协议，支持分布式计费，克服了RADIUS的许多缺点，是最适合未来移动通信系统的AAA协议。
3 新一代的AAA协议——Diameter
Diameter应用协议族和其他网络协议的关系：
（1） Diameter的基础协议（Base protocol）
Diameter基本协议为移动IP（Mobile IP）、网络接入服务（NAS）等应用提供最基本的服务，例如用户会话、计费等，具有能力协商、差错通知等功能。协议元素由众多命令和AVP（属性值对）构成，可以在客户机、代理、服务器之间传递鉴别、授权和计费信息。但是不管客户机、代理还是服务器，都可以主动发出会话请求，对方给予应答，所以也叫对等实体之间的协议。命令代码、AVP值和种类都可以按应用需要和规则进行扩展。
（2）Diameter的NAS协议
Diameter的NAS协议既是Network Access Service（网络接入服务）协议。由NAS客户机处理用户MN的接入请求（RegReq），将收到的客户认证信息转送给NAS服务器；服务器对客户进行鉴别，将结果（Success/Fail）发给客户机；客户机通过RegReply将结果发回给MN，并根据结果对MN进行相应处理。
NAS作为网络接入服务器，在其用户端口接收到呼叫或服务请求时便开始与AAA服务器之间进行消息交换，有关呼叫的信息、用户身份和用户鉴别信息被打包成一种AAA消息发给AAA服务器。实际上，移动IP中的FA可以看成是通过空中的MPPP链路接收移动终端MN的服务连接请求的NAS服务器，它作为AAA服务器的客户机，在两者之间交换NAS消息请求和应答。
（3）Diameter的EAP协议
Diameter EAP （Extensible Authentication Protocol ——可扩展鉴别协议）协议提供了一个支持各种鉴别方法的标准机制。EAP其实是一种框架，一种帧格式，可以容纳各种鉴别信息。EAP所提供的多回合鉴别是PAP和CHAP所不具备的。
EAP协议描述用户、NAS(AAA客户机)和AAA服务器之间有关EAP鉴别消息的请求和应答的关系，完成一次对鉴别请求的应答，中间可能需要多次消息交换过程。在移动终端MN移动的环境下，MN与FA之间的鉴别扩展采用EAP，即把FA看做是一个NAS，它作为Diameter AAA的客户机，Diameter AAA服务器作为EAP的后端服务器，两者之间载送EAP分组。端到端的EAP鉴别发生在用户和它的H-AAA之间。
（4）Diameter的CMS协议
Diameter CMS（Cryptographic Message Syntax ——密码消息语法）协议实现了协议数据的Peer-to-Peer（端到端）加密。由于Diameter网络中存在不可信的Relay（中继）和Proxy（代理），而IPSec和TLS又只能实现跳到跳的安全，所以IETF定义了Diameter CMS应用协议来保证数据安全。
（5）Diameter的MIP协议由于未来移动通信网络正逐步向全IP网络演进，这就不可避免碰到用户移动到外部域的问题。 Diameter MIP应用协议允许用户漫游到外部域，并在经过鉴权后接受外部域Server（服务器）和Agent（代理）提供的服务。在未来移动通信中，这种情况将十分常见，因此MIP协议对于移动通信系统来说至关重要 当用户移动到外部域的时候，需要进行一系列的消息交换才能安全地接入外部网络，接受其提供的服务。MIP协议的实现环境中MN和HA都可以在家乡域或在外地域，其中比较典型的一种情况是MN在外地域而HA在家乡域。其接入过程如下节所示。
（6）采用Diameter MIP的一次典型的MN注册过程如图2所示（仅给出MN在外地域而HA在家乡域的情况）：
i 开机注册前，MN只有NAI以及和AAAH的安全关联的信息，没有home address。
ii 开机后，MN向FA发出注册请求，其中包含的home address=0000 ，home agent address=255255255255
iii FA接到注册请求后，根据其中的信息生成AMR发给AAAF，其中MIP-Feature-Vector AVP中Set Home-Agent-Request=1,Home-Address- Allocatable-Only-in-Home-Realm=1
iv AAAF接到AMR后转发给AAAH。
v AAAH收到AMR后，为MN分配HA，分配MN-HA、MN-FA之间的密钥材料，和FA-HA之间的密钥，向HA发出HAR，其中MIP-Reg-Request AVP包含Mobile IP 注册请求信息。
vi HA接到HAR，分配home address给MN，处理MIP-Reg-Request AVP，生成MIP-Reg-Reply AVP，包含在HAA中返回AAAH。
vii AAAH收到HAA后生成AMA，包含MIP-Home-Agent-Address, MIP-Mobile-Node-Address AVPs，发给AAAF。
viii AAAF将AMA转发给FA。
ix FA接到AMA后保留FA-HA密钥,将FA-MN、HA-MN之间的密钥材料通过注册应答Registration-Reply发送给MN。
其中涉及到的名词有：
·HA ： Home Agent ， 家乡代理
·FA ：Foreign Agent ， 外部代理
·MN ： Mobile Node ， 移动节点
·AAAH ： AAA Home server ， AAA家乡域服务器
·AAAF：AAA Foreign server ， AAA外地域服务器
·AMR ：AAA-Mobile-Node- Request ，AAA移动节点请求消息
·AMA : AAA-Mobile-Node- Answer ，AAA移动节点答复消息
·HAR : Home-Agent-MIP-Request ， 家乡代理MIP请求消息
·HAA : Home-Agent-MIP-Answer ， 家乡代理MIP答复消息
HA和MN在外地域或家乡域的其他组合的情况与此类似，再此就不一一列举。这个就要加上Radius 一块说了！
Radius 远程接入验证服务器,也就是认证用的
AAA 就是Radius服务器实现的功能:验证,计费和授权
8021x最早期是用在无线网络的验证协议,现在好多校园网都使用这种验证方式
Radius不一定用于验证8021x用户,还可以用户其他用途,如PPPOE验证(ADSL普遍使用PPPOE),拨号验证等等
举两个例子:
PPPOE验证
PC---PPPOE接入服务器----互联网----Radius服务器
8021x
PC-交换机(带Radius客户端功能)---Radius服务器
而这两个情况完全可以使用同一个Radius服务器进行统一认证管理①STA连接无线网络，发起>PIX配置详解任何企业安全策略的一个主要部分都是实现和维护防火墙，因此防火墙在网络安全的实现当中扮演着重要的角色。防火墙通常位于企业网络的边缘，这使得内部网络与Internet之间或者与其他外部网络互相隔离，并限制网络互访从而保护企业内部网络。设置防火墙目的都是为了在内部网与外部网之间设立唯一的通道，简化网络的安全管理。
在众多的企业级主流防火墙中，Cisco PIX防火墙是所有同类产品性能最好的一种。
Cisco PIX系列防火墙目前有5种型号PIX506，515，520，525，535。其中PIX535是PIX
500系列中最新，功能也是最强大的一款。它可以提供运营商级别的处理能力，适用于大型的ISP等服务提供商。但是PIX特有的OS *** 作系统，使得大多数管理是通过命令行来实现的，不象其他同类的防火墙通过Web管理界面来进行网络管理，这样会给初学者带来不便。本文将通过实例介绍如何配置Cisco PIX防火墙。
在配置PIX防火墙之前，先来介绍一下防火墙的物理特性。防火墙通常具有至少3个接口，但许多早期的防火墙只具有2个接口；当使用具有3个接口的防火墙时，就至少产生了3个网络，描述如下：
内部区域（内网）:内部区域通常就是指企业内部网络或者是企业内部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保护。
外部区域（外网）:外部区域通常指Internet或者非企业内部网络。它是互连网络中不被信任的区域，当外部区域想要访问内部区域的主机和服务，通过防火墙，就可以实现有限制的访问。
停火区（DMZ）:停火区是一个隔离的网络，或几个网络。位于停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以放置Web服务器，Mail服务器等。停火区对于外部用户通常是可以访问的，这种方式让外部用户可以访问企业的公开信息，但却不允许他们访问企业内部网络。注意：2个接口的防火墙是没有停火区的。由于PIX535在企业级别不具有普遍性，因此下面主要说明PIX525在企业网络中的应用。 PIX防火墙提供4种管理访问模式：
非特权模式:PIX防火墙开机自检后，就是处于这种模式。系统显示为pixfirewall>
特权模式:输入enable进入特权模式，可以改变当前配置。显示为pixfirewall#
配置模式:输入configure terminal进入此模式，绝大部分的系统配置都在这里进行。显示为pixfirewall(config)#
监视模式:PIX防火墙在开机或重启过程中，按住Escape键或发送一个“Break”字符，进入监视模式。这里可以更新 *** 作系统映象和口令恢复。显示为monitor>配置PIX防火墙有6个基本命令：nameif，interface，ip address，nat，global，route
这些命令在配置PIX是必须的。以下是配置的基本步骤：
1 配置防火墙接口的名字，并指定安全级别（nameif）。
Pix525(config)#nameif ethernet0 outside security0
Pix525(config)#nameif ethernet1 inside security100
Pix525(config)#nameif dmz security50
提示：在缺省配置中，以太网0被命名为外部接口（outside），安全级别是0；以太网1被命名为内部接口（inside），安全级别是100安全级别取值范围为1～99，数字越大安全级别越高。若添加新的接口，语句可以这样写：
Pix525(config)#nameif pix/intf3 security40 （安全级别任取）
2 配置以太口参数（interface）
Pix525(config)#interface ethernet0 auto（auto选项表明系统自适应网卡类型 ）
Pix525(config)#interface ethernet1 100full（100full选项表示100Mbit/s以太网全双工通信 ）
Pix525(config)#interface ethernet1 100full shutdown（shutdown选项表示关闭这个接口，若启用接口去掉shutdown ）
3 配置内外网卡的IP地址（ip address）
Pix525(config)#ip address outside 611445142 255255255248
Pix525(config)#ip address inside 19216801 2552552550
很明显，Pix525防火墙在外网的ip地址是611445142，内网ip地址是19216801
4 指定要进行转换的内部地址（nat）
网络地址翻译（nat）作用是将内网的私有ip转换为外网的公有ipNat命令总是与global命令一起使用，这是因为nat命令可以指定一台主机或一段范围的主机访问外网，访问外网时需要利用global所指定的地址池进行对外访问。
nat命令配置语法：nat (if_name) nat_id local_ip [netmark]
其中（if_name）表示内网接口名字，例如inside
Nat_id用来标识全局地址池，使它与其相应的global命令相匹配，
local_ip表示内网被分配的ip地址。例如0000表示内网所有主机可以对外访问。
[netmark]表示内网ip地址的子网掩码。
例1．Pix525(config)#nat (inside) 1 0 0 表示启用nat,内网的所有主机都可以访问外网，用0可以代表0000
例2．Pix525(config)#nat (inside) 1 1721650 25525500 表示只有1721650这个网段内的主机可以访问外网。
5 指定外部地址范围（global）
global命令把内网的ip地址翻译成外网的ip地址或一段地址范围。
Global命令的配置语法：global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中（if_name）表示外网接口名字，例如outside。
Nat_id用来标识全局地址池，使它与其相应的nat命令相匹配，
ip_address-ip_address表示翻译后的单个ip地址或一段ip地址范围。
[netmark global_mask]表示全局ip地址的网络掩码。
例1． Pix525(config)#global (outside) 1 611445142-611445148 表示内网的主机通过pix防火墙要访问外网时，pix防火墙将使用611445142-611445148这段ip地址池为要访问外网的主机分配一个全局ip地址。
例2． Pix525(config)#global (outside) 1 611445142 表示内网要访问外网时，pix防火墙将为访问外网的所有主机统一使用611445142这个单一ip地址。
例3 Pix525(config)#no global (outside) 1 611445142 表示删除这个全局表项。6 设置指向内网和外网的静态路由（route）
定义一条静态路由。route命令配置语法：route (if_name) 0 0 gateway_ip [metric]
其中（if_name）表示接口名字，例如inside，outside。
Gateway_ip表示网关路由器的ip地址。
[metric]表示到gateway_ip的跳数。通常缺省是1。例1． Pix525(config)#route outside 0 0 6114451168 1
表示一条指向边界路由器（ip地址6114451168）的缺省路由。
例2． Pix525(config)#route inside 10110 2552552550 1721601 1
Pix525(config)#route inside 10200 25525500 1721601 1如果内部网络只有一个网段，按照例1那样设置一条缺省路由即可；如果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示创建了一条到网络10110的静态路由，静态路由的下一条路由器ip地址是1721601OK，这6个基本命令若理解了，就可以进入到pix防火墙的一些高级配置了。A 配置静态IP地址翻译（static）
如果从外网发起一个会话，会话的目的地址是一个内网的ip地址，static就把内部地址翻译成一个指定的全局地址，允许这个会话建立。static命令配置语法：
static (internal_if_name，external_if_name) outside_ip_address inside_ip_address 其中internal_if_name表示内部网络接口，安全级别较高。如inside
external_if_name为外部网络接口，安全级别较低。如outside等。
outside_ip_address为正在访问的较低安全级别的接口上的ip地址。
inside_ip_address为内部网络的本地ip地址。例1． Pix525(config)#static (inside, outside) 611445162 19216808 表示ip地址为19216808的主机，对于通过pix防火墙建立的每个会话，都被翻译成611445162这个全局地址，也可以理解成static命令创建了内部ip地址19216808和外部ip地址611445162之间的静态映射。
例2． Pix525(config)#static (inside, outside) 19216802 10013
例3． Pix525(config)#static (dmz, outside) 21148162 17216108
注释同例1。通过以上几个例子说明使用static命令可以让我们为一个特定的内部ip地址设置一个永久的全局ip地址。这样就能够为具有较低安全级别的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口。B 管道命令（conduit）
前面讲过使用static命令可以在一个本地ip地址和一个全局ip地址之间创建了一个静态映射，但从外部到内部接口的连接仍然会被pix防火墙的自适应安全算法(ASA)阻挡，conduit命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从外部到DMZ或内部接口的入方向的会话。对于向内部接口的连接，static和conduit命令将一起使用，来指定会话的建立。
conduit命令配置语法：
conduit permit | deny global_ip port[-port] protocol foreign_ip [netmask] permit | deny 允许 | 拒绝访问
global_ip:指的是先前由global或static命令定义的全局ip地址，如果global_ip为0，就用any代替0；如果global_ip是一台主机，就用host命令参数。
port 指的是服务所作用的端口，例如的这台主机进行>AAA是认证，授权，和记帐的缩写！
A选项就经过了认证，可是还没有授权，所以不对！
B选项完全和AAA的概念没关系
C选项正好把AAA的三个要素都概括了！
D选项我就不说了！
AAA是Authentication（验证）、Authorization（授权）和Accounting（审计）的简称。
AAA是一种提供验证、授权和审计的安全技术。该技术可以用于验证用户是否合法，授权用户可以访问哪些服务，并记录用户使用网络资源的情况。
例如，企业总部需要对服务器的资源访问进行控制，只有通过验证的用户才能访问特定的资源，并对用户使用资源的情况进行记录。在这种场景下，可以按照如图1-1所示的方案进行AAA部署。NAS为网络接入服务器，也称为AAA的客户端，负责集中收集和管理用户的访问请求。AAA服务器可以一台专属的硬件设备，也可以是以软件的形式安装在服务器 *** 作系统上（本文将使用思科的ACS软件来实现AAA服务器），用户的验证、授权和审计服务均由AAA服务器来完成。
图1-1
如图1-1所示，当分支站点的用户需要访问总部的服务器资源时，NAS设备会对用户的访问进行控制，用户向NAS设备提交账户信息（用户名和密码）后，NAS设备会将用户信息发送给AAA服务器，由AAA服务器进行账户信息的验证，并对用户进行授权。如果用户验证通过，则分支站点的用户可以访问到特性的服务器资源（可以访问哪些服务器，由授权来决定），同时AAA服务器也会对用户的访问行为进行审计。
RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）由IETF定义的一种公有协议，是AAA客户端和AAA服务器之间通讯的一种协议。除了RADIUS协议外，不同的网络设备厂商也提出了各自的私有协议，例如，思科公司提出的TACACS+协议，华为提出的HWTACACS，也可以使用在AAA客户端和AAA服务器之间。（本文将使用RADIUS协议作为AAA的通讯协议）
图2-1
Step 1 - 基础IP配置（略）
Step 2 - 配置AAA服务器
在页面的左下角点击Create
配置AAA客户端
Step 3 - 配置AAA客户端
ARG3系列路由设备支持两种缺省域：
进入default-admin域绑定认证模板和radius-server模板（这个default-admin域是专门用来管理用的，所以telnet，ssh等登陆设备时必须使用这个默认的域，自己定义的不行）
Step 4 - 在PC机上进行测试
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）