FreeRADIUS Usado para Acesso Administrativo no Exemplo de Configuração do Cisco IOS

Introduction

Este documento descreve como configurar a autenticação RADIUS em switches Cisco IOS^® com um servidor RADIUS de terceiros (FreeRADIUS). Este exemplo abrange o posicionamento de um usuário diretamente no modo privilegiado 15 na autenticação.

Prerequisites

Requirements

Certifique-se de que seu switch Cisco esteja definido como um cliente no FreeRADIUS com o endereço IP e a mesma chave secreta compartilhada definida no FreeRADIUS e no switch.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• FreeRADIUS
• Cisco IOS versão 12.2

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Configurar um switch para autenticação e autorização

1. Para criar um usuário local no switch com privilégios totais para acesso de fallback, insira:
   

   Switch(config)#username admin privilege 15 password 0 cisco123!

2. Para habilitar o AAA, insira:
   

   switch(config)# aaa new-model

3. Para fornecer o endereço IP do servidor RADIUS e a chave, insira:
   

   switch# configure terminal
   switch(config)#radius-server host 172.16.71.146 auth-port 1645 acct-port 1646
   switch(config)#radius-server key hello123

   
   

   Observação: a chave deve corresponder ao segredo compartilhado configurado no servidor RADIUS para o switch.

4. Para testar a disponibilidade do servidor RADIUS, insira o comando test aaa:
   

   switch# test aaa server Radius 172.16.71.146 user1 Ur2Gd2BH

   
   A autenticação de teste falha com uma Rejeição do servidor porque ela ainda não está configurada, mas confirmará que o próprio servidor está acessível.
5. Para configurar as autenticações de login para retornar aos usuários locais se o RADIUS estiver inacessível, insira:
   

   switch(config)#aaa authentication login default group radius local

6. Para configurar a autorização para um nível de privilégio de 15, contanto que um usuário seja autenticado, insira:
   

   switch(config)#aaa authorization exec default group radius if-authenticated

Configuração FreeRADIUS

Defina o cliente no servidor FreeRADIUS

1. Para navegar até o diretório de configuração, insira:
   

   # cd /etc/freeradius

2. Para editar o arquivo clients.conf, digite:
   

   # sudo nano clients.conf

3. Para adicionar cada dispositivo (roteador/switch) identificado pelo nome do host e incluir o segredo compartilhado correto, insira:
   

   client 192.168.1.1 {
   secret = secretkey
   nastype = cisco
   shortname = switch
   }

4. Para editar o arquivo de usuários, insira:
   

   # sudo nano users

5. Adicione cada usuário com permissão para acessar o dispositivo. Este exemplo demonstra como definir um nível de privilégio do Cisco IOS de 15 para o usuário "cisco".
   

   cisco Cleartext-Password := "password"
          Service-Type = NAS-Prompt-User,
          Cisco-AVPair = "shell:priv-lvl=15"

6. Para reiniciar o FreeRADIUS, insira:
   

   # sudo /etc/init.d/freeradius restart

7. Para alterar o grupo de usuários DEFAULT no arquivo do usuário a fim de dar a todos os usuários que são membros do cisco-rw um nível de privilégio de 15, insira:
   

   DEFAULT Group == cisco-rw, Auth-Type = System
           Service-Type = NAS-Prompt-User,
           cisco-avpair :="shell:priv-lvl=15"

8. Você pode adicionar outros usuários em diferentes níveis de privilégio, conforme necessário, no arquivo de usuários FreeRADIUS. Por exemplo, este usuário (life) recebe um nível de 3 (manutenção do sistema):
   

   sudo nano/etc/freeradius/users
   
   life  Cleartext-Password := "testing"
         Service-Type = NAS-Prompt-User,
         Cisco-AVPair = "shell:priv-lvl=3"
   
   Restart the FreeRADIUS service:
   sudo /etc/init.d/freeradius restart

Observação: a configuração neste documento é baseada no FreeRADIUS executado no Ubuntu 12.04 LTE e 13.04.

Verificar

Para verificar a configuração no switch, use estes comandos:

switch# show  run | in radius       (Show the radius configuration)
switch# show run | in aaa           (Show the running AAA configuration)
switch# show startup-config Radius  (Show the startup AAA configuration in
start-up configuration)

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.

Informações Relacionadas

• FreeRADIUS 
• Suporte Técnico e Documentação - Cisco Systems