Cisco - Radius Active Directory Authentication

스위치를 여러대 혹은 수십대를 관리할 경우 접속 계정을 스위치마다 직접 등록을 한다면.. 
그리고 주기적으로 패스워드를 변경을 해 주어야 한다면.. 관리자로서 아주 골치아플 것이다..

스위치에서는 AAA(authentication, authorization, and accounting) 모드를 통해 Radius 서버나
Tacacs 서버를 통해서 외부에서 계정 인증을 받을 수 있는 방법이 있다. 

그리고 한가지 더 Windows 서버에서 Active Directory를 사용한다면 AD 도메인 계정을 통해서
사용자 인증을 할 수 있는 방법이 있다.

필자도 그동안 스위치에 직접 계정을 등록해서 사용하였는데 관리자가 변경되거나 퇴사등 
수정할 사항이 많아져 귀차니즘으로 인해 새로 구축했던 내용을 토대로 설명해 보도록 하겠다. 

1. AD 서버 네트워크 정책 및 액세스 서비스 역할 추가

● 서버 관리자에서 역할 추가

● 다음


● 네트워크 정책 및 액세스 서비스 선택


● 다음

● 네트워크 정책 서버 선택


● 설치




● 설치 완료

2. Radius Client 등록 및 NPS 정책 추가.

● 우선 NPS 서비스를 Active Directory에 등록한다.


● Raduis 클라이언트 새로 만들기를 선택하여 클라이언트를 등록.


● 이름, IP주소, 공유 암호 설정

● 아래와 같이 클라이언트 등록 완료.


● 네트워크 정책 - 새로만들기(N) 선택하여 정책 추가


● 네트워크 정책 이름 및 연결 형식 지정은 기본값(default)으로 하고 다음을 누른다.


● 조건 지정에서 추가를 선택.


● 사용자 그룹을 선택 후 추가버튼을 눌러서 Access 할 도메인 계정 그룹을 등록.


● 사용자 그룹 : 네트워크 엑세스할 특정 도메인 계정을 등록.     ex) domain\Domain Admins


● 엑세스 권한은 엑세스 허용으로 선택 후 다음.

● 인증 방법은 아래와 같이 암호와 안된 인증(PAP, SPAP)(S)를 선택.

● 제약조건은 기본값으로 사용하고 다음.


● 설정 구성 에서 기본 등록된 값을 제거하고     아래와 같이 표준 값으로 Service-Type, value : NAS Prompt 지정.

● 공급 업체는 Cisco를 선택하고 특정정보 값으로 Privileges Level 값을 지정해 준다.
 - shell:priv-lvl=15  :  로그인 시 privilege level 15 권한 획득.   - shell:priv-lvl=1    :  로그인 시 privilege level 1 권한 획득. enable password 입력 필요. 


● 등록 확인


● 정책 설정 완료 후 마침. 


● 등록한 정책이 처리 순서 1로 우선순위를 변경.

3. Cisco ISO Radius Configuration.

!
aaa new-model
!
!
aaa group server radius NPS
 server 192.168.0.100 auth-port 1812 acct-port 1813
! 
aaa authentication login default local enable
aaa authentication login radius_auth group NPS local
aaa authorization exec radius_auth group NPS local 
aaa authorization network radius_auth group NPS local 
aaa accounting exec default start-stop group NPS
aaa accounting system default start-stop group NPS
!
!
radius-server host 192.168.0.100 auth-port 1812 acct-port 1813 key sharesecretkey
radius-server host 192.168.0.100 auth-port 1645 acct-port 1646 key sharesecretkey
!  
line con 0
 login authenticacion default
!
line vty 0 4
 login authentication radius_auth
!

●  Radius는 UDP 포트로 통신을 하며 1812/1813, 1645/1646 포트를 사용한다.(default)     NPS 서버와 switch config를 통해 포트를 변경하여 사용할 수도 있으니 내부 보안 정책
     에 맞게 수정해도 상관 없다.

● 콘솔 접속시 로컬 계정 로그인 권한.   AAA 모드로 동작을 하게 되면 콘솔과 vty 세션 모두 AAA  인증이 자동 활성화가 된다.   만약 장애로 인해 radius 인증이 어려울 경우 아래와 같이 설정하여 콘솔 로그인시 로컬    계정으로 로그인 되도록 설정하면 된다.

!
aaa authentication login default local enable
!  
line con 0
 login authenticacion default
!

참고자료 : http://www.cisco.com/c/en/us/td/docs/ios/12_2/security/configuration/guide/fsecur_c/scfrad.html