管理认证服务器

在用户和对象视图 >用户管理部分 >身份验证服务器页面上，你可以定义和查看不同的身份验证服务器，用户可以在其中定义外部用户数据库和该数据库中用户的身份验证方法。

你可以配置以下这些类型的认证：

  • RADIUS服务器- 定义主要和次要RADIUS服务器的详情。Quantum Spark设备可以连接到这些服务器，并识别其中定义的用户，并通过他们的认证。

  • TACACS+服务器- TACACS+是一种访问控制机制，可以通过网络上单独的服务器对用户进行认证和授权。

配置RADIUS服务器

RADIUS服务器可用于：

  • 定义一个具有远程访问权限的用户数据库。这样的用户是由RADIUS服务器定义和认证的。

  • 定义管理员。请参阅用户和对象>用户管理部分 >管理员页面。

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在RADIUS服务器部分，点击“配置”。

  3. 在“主服务器”选项卡中，输入这些信息：

    • IP地址- RADIUS服务器的IP地址。

    • 端口- RADIUS服务器与客户进行通信的端口号。默认为1812。

    • 共享秘密- RADIUS服务器和Quantum SparkAppliance之间的秘密（用于消息 "加密 "的预共享信息）。

      选择 "显示"以查看共享秘密。

      注意 -你不能在密码或共享密钥中使用以下字符：：{ } [ ] ` ~ | ‘ " \ （最大字符数：255）

    • 超时（秒）- 与RADIUS服务器通信的超时值，单位是秒。超时的默认值是3秒。

    注意- 如想删除你在“IP地址”和“共享秘密”中输入的信息，请点击“清除”。

  4. 在辅助服务器选项卡上为二级RADIUS服务器重复步骤2（如适用）。

  5. 点击“应用”

    主服务器和辅助服务器（如果定义了）被添加到页面的RADIUS部分。

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 点击你想编辑的RADIUS服务器的IP地址链接。

  3. 进行必要的修改。

  4. 点击“应用”

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在你想删除的RADIUS服务器旁边，点击删除链接。

  1. 单击用户和对象视图 >用户管理部分 > 管理员页面。

  2. 在“管理员RADIUS认证”一行，点击“编辑权限”。

  3. 选择“为管理员启用RADIUS认证”。

  4. 选择以下其中一项：

    • 使用RADIUS服务器上定义的角色

    • 对RADIUS用户使用默认角色

      1. 在默认管理员角色中，选择适用的角色。

      2. 可选：选择仅为管理员使用特定的RADIUS组。

        输入适用的RADIUS组。

  5. 点击“应用”

  1. 单击用户和对象视图 >用户管理部分 >管理员页面。

  2. 点击“RADIUS用户的远程访问权限被禁用”链接。

  3. 选择“为用户感知、远程访问和Hotspot启用RADIUS认证”。

  4. 可选：选择对于远程访问仅使用特定的RADIUS组 。

    输入适用的RADIUS组。

  5. 点击“应用”

  6. 在VPN视图 >远程访问部分 >远程访问用户页面中配置RADIUS用户的远程访问权限。

配置TACACS+服务器

备注：

  • 在 R82.00.X 版本中，此功能从 R81.10.05 版本开始可用。

  • TACACS+仅用于管理，不用于远程访问认证。

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在TACACS+服务器部分，点击“配置”。

  3. 在“主服务器”选项卡中，输入这些信息：

    • IP地址- TACS+服务器的IP地址。

    • 端口- TACS+服务器与客户进行通信的端口号。默认为49。

    • 共享秘密- TACS+服务器和Quantum Spark设备之间的秘密（用于信息 "加密 "的预共享信息）。

      选择 "显示"以查看共享秘密。

      注意 -你不能在密码或共享密钥中使用以下字符：：{ } [ ] ` ~ | ‘ " \ （最大字符数：255）

    • 超时（秒）- 与TACS+服务器通信的超时值，单位是秒。超时的默认值是3秒。

    注意- 如想删除你在“IP地址”和“共享秘密”中输入的信息，请点击“清除”。

  4. 在辅助服务器选项卡上为二级TACS+服务器重复步骤2（如适用）。

  5. 点击“应用”

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在想删除的TACS+服务器旁边，点击“删除”链接。

  1. 单击用户和对象视图 >用户管理部分 >管理员页面。

  2. 在“管理员TACACS+认证是”一行，点击“编辑权限”。

  3. 选择“为管理员启用TACACS+认证”。

  4. 选择以下其中一项：

    • 使用TACACS+服务器上定义的角色

    • 对TACACS+用户使用默认角色

      在默认管理员角色中，选择适用的角色。

  5. 点击“应用”

配置Active Directory服务器

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在活动目录部分，点击新建。

  3. 输入这些信息：

    • 域名- 域名。

      你不可用与现有活动目录域对象相同的域来创建另一个对象。

    • IP地址- 你的域的一个域控制器的IP地址。

    • 用户名- 该用户必须有管理员权限，以方便配置过程，并使用AD中定义的用户创建基于用户的策略。

    • 密码- 用户的密码。

      注意 -你不能在密码或共享密钥中使用以下字符：：{ } [ ] ` ~ | ‘ " \ （最大字符数：255）

    • 用户DN- 点击“发现”以自动发现代表该用户的对象的DN，或者手动输入用户的DN。

      比如：CN=John James,OU=RnD,OU=Germany,O=Europe,DC=Acme,DC=com

  4. 如果你想只使用活动目录中定义的部分用户数据库，则选择“只使用特定分支中的用户组”。

    1. 点击“新建”。

    2. 在文本字段中输入分支机构的完整DN。

    3. 点击“应用”

  5. 点击“应用”

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在活动目录部分，选择“活动目录域”。

  3. 点击“编辑”。

  4. 进行相应的修改。

    你不能改变域名。

  5. 点击“应用”

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在活动目录部分，选择“活动目录域”。

  3. 点击“删除”。

  4. 在确认信息中点击“确定”。

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在 "活动目录"部分，点击 "配置"。

  3. 选择适用的选项：

    • 自动同步

    • 手动同步

      注意- 你可通过此选项在所有可以查看此用户数据库的地方，同步设备已知的用户数据库。

      比如：

      • 用户和对象视图 >用户管理部分 >用户页面。

      • 访问策略> 视图 >防火墙部分 >策略页面 >源选择器。

        你不能从活动目录中选择一个用户，只能选择一个活动目录用户组。

        你可以选择一个本地用户。

  4. 点击“应用”

默认情况下，AD中定义的用户没有远程访问权限。相反，在VPN >远程访问部分 >远程访问用户页面中，可以选择本地或Active Directory中定义的所有用户，并为每个用户授予远程访问权限。

  1. 单击用户和对象视图 >用户管理部分 >身份验证服务器页面。

  2. 在 "活动目录"部分，点击 "设置活动目录用户的远程访问权限"中的链接。

  3. 选择活动目录中的所有用户。

    使用此选项，无需转到VPN视图 >远程访问部分 >远程访问用户页面并选择特定用户。

    请注意，大多数活动目录都包含一个大的用户列表，你可能不想授予他们所有的远程访问权限给你的组织。

    通常，保留选定的Active Directory用户组选项，并在VPN视图 >远程访问部分 > >远程访问用户页面上配置远程访问权限。

  4. 点击“应用”