RADIUS сервер для авторизации

[FATHER_FBI]

Добрый день коллеги.

Хочу развернуть radius server для аутентификации, что бы все железки в сети подвесить на него.

Если кто делал у себя в сети такую схему, поделитесь опытом.

[srg555]

FATHER_FBI

чтобы делать auth для абонентов или mgmt доступ на железки?

[FATHER_FBI]

FATHER_FBI

чтобы делать auth для абонентов или mgmt доступ на железки?

management доступ на железки

[srg555]

FATHER_FBI

А чем tacacs не устроил? Большинство железок его умеют

[FATHER_FBI]

FATHER_FBI

А чем tacacs не устроил? Большинство железок его умеют

В моей задачи, нет опыта ни с Radius ни с Tacacs

[srg555]

FATHER_FBI

ну тогда начните с tacacs. пример настройки сервера http://admindoc.ru/573/autenticikaciya-cisco-cherez-tacacs-dlya-samyx-malenkix/ . у очень многих других производителей(не cisco) tacacs тоже поддерживается

[SergeiK]

Добрый день коллеги.

Хочу развернуть radius server для аутентификации, что бы все железки в сети подвесить на него.

Если кто делал у себя в сети такую схему, поделитесь опытом.

А в чем именно тут сложности? Делается по how-to на раз.

[FATHER_FBI]

Все классно, все развернул. Вопрос другой, как группам ограничивать доступ на определенные IP?

[dwemer]

если вы про tacacs, то вот пример:

group = noc {
......
 acl = acl_noc
}
acl = acl_noc {
   deny = 10\.0\.0\..*
   permit = .*
}

[FATHER_FBI]

если вы про tacacs, то вот пример:

group = noc {
......
 acl = acl_noc
}
acl = acl_noc {
   deny = 10\.0\.0\..*
   permit = .*
}

 

Это старый синтаксис))) А не подскажите если что-то наподобие в радиусе??

[OKyHb]

В смысле "старый"? Сейчас для tac_plus рекомендуется уже как-то по другому всё это оформлять?

[FATHER_FBI]

В смысле "старый"? Сейчас для tac_plus рекомендуется уже как-то по другому всё это оформлять?

acl = foo_acl {
       deny = 192.168.0\.13$
       permit = 192.168.[01]\.
}
group = foo {
       acl = foo_acl
}
user = bar {
       member = foo
}

acl = foo_acl {
       deny = 192.168.0\.13$
       permit = 192.168.[01]\.
       deny = .*
}

acl = foo_acl {
       deny = 192.168.0\.(1|20|50|90)$
       permit = .*
}

 

Если слеш ставить после каждого октета, сервер срет кирпичами и конфиг не принимает