實(shí)驗(yàn)筆記ccsp35個(gè)pix downloadable acl顧名思義意思是讓PIX在用戶認(rèn)證后從服務(wù)器上ACL到本地用

1、PIX downloadable ACL顧名思義，downloadable ACL 意思是讓PIX 在用戶認(rèn)證后，從服務(wù)器上ACL 到本地用作用戶的權(quán)限控制，如下圖所示：可用二種方法來實(shí)現(xiàn)downloadable ACL 功能。不管使用哪種方法，AAA 認(rèn)證部分的配置都是一樣的，主要配置如下：定義 AAA 服務(wù)器以及認(rèn)證、規(guī)則。pixfirewall(config)# aaa-server test protocol radiuspixfirewall(config)# aaa-server test (inside) host 172.16.254.10ciscopixfirewall(co

2、nfig)# acs-list acanys-ernet extended permit ip anypixfirewall(config)# aaa authentication match ac test在PIX 上配置Radius 時(shí)，不需要配置s-ernet inside二種方法的不同之處在于 Radius 服務(wù)器的配置不同，下面紹。對這二種方法進(jìn)行詳細(xì)的介第法：使用Cisco AV Pair，在radius 服務(wù)器上定義attribute-value (也就是vendor-specific-attribute，VSA)，在AV pair 中定義用戶對應(yīng)的ACL。這種方法的缺點(diǎn)是ACL

3、 的大小過 4096 字節(jié)。主要實(shí)現(xiàn)步驟如下：第一步，在ACS 上點(diǎn)擊“network configuration”，添加一個(gè) AAA 的c nt，認(rèn)證協(xié)議選“RADIUS（Cisco IOS/PIX）”。第二步，進(jìn)入“user setup”，添加用戶，并且放到相應(yīng)的組中。第三步，進(jìn)入“group setup”，對用戶組進(jìn)行編輯。在“Cisco IOS/PIX RADIUS Attributes”部分，選中009001 cisco-av-pair，寫入該用戶組的 ACL，例如： ip:inacl#100=permit ip any 218.1.1.2 255.255.255.255ip:ina

4、cl#200=deny ip any any最后點(diǎn)擊“Submit + Restart”保存組配置。第二種方法：使用ACS 中的download-able ACL 的功能，在radius 服務(wù)器上先寫好ACL，當(dāng)用戶認(rèn)證時(shí)，讓PIX 自己與用戶所對應(yīng)的ACL。主要實(shí)現(xiàn)步驟如下：第一步，在ACS 導(dǎo)航欄中點(diǎn)擊“network configuration”，添加一個(gè) AAA 的c nt，認(rèn)證協(xié)議選“RADIUS（Cisco IOS/PIX）”。第二步，在ACS 導(dǎo)航欄中點(diǎn)擊“erface Configuration”，點(diǎn)擊“Advanced Option”，選中其中“User-Level Down

5、loadable ACL”和“Group-Level Downloadable ACL”。第三步，進(jìn)入“user setup”，添加用戶，并且放到相應(yīng)的組中。第四步，進(jìn)入“shared profile components”，點(diǎn)擊“Downloadable IP ACLs”，點(diǎn)擊“Add”添加ACL，例如：在上圖中，可以定義ACL 的名稱和說明，點(diǎn)擊圖中的“Add”可以為ACL 添加語句，例如：最后，點(diǎn)擊“submit”提交 ACL 配置。第五步，在ACS 導(dǎo)航欄中點(diǎn)擊“Group Setup”，選中相應(yīng)的用戶組點(diǎn)擊“Edit Settings”。 在“Downloadable ACLs”部分

6、，選中“Assign IP ACL”，并且指定好該用戶的ACL，如下圖：第六步，測試。當(dāng)用戶通過認(rèn)證查看用戶的ACL，例如：ernet后，可以在PIX 上使用show acs-list 和show uauthpixfirewall# show acs-listlog flows: total 0, denied 0 (deny-flow-max 4096)acs-list cached ACLalert-erval300s-s-ac ac ac ac host(s-list acs-list acernet; 1 elementsernet line 1 extended permit ip

7、any any (t=6)s-list #ACSACL#-IP-wlltest-44000b48; 2 elements (dynamic)s-list #ACSACL#-IP-wlltest-44000b48 line 1 extended permit ip any 218.1.1.2t=1)ac(s-list #ACSACL#-IP-wlltest-44000b48 line 2 extended deny ip any anyt=1)pixfirewall# show uauth Current Most Seen Authenticated Users 1 1Authen In Progress 0 1user wanglinlin at 10.10.2