导师：在这节课中,
我们将讨论AAA服务器, 它代表身份验证,
授权和计费, 要了解AAA服务器, 我们要做的第一件事就是了解802.
1X是一个框架｡
教练：802｡ 1X是一个标准化框架,
用于有线和无线网络上基于端口的身份验证｡
从802年开始｡ 1X只是一个框架,
它实际上会利用其他机制为我们进行真正的身份验证｡
例如, 远程认证拨入用户服务（称为RADIUS）和终端访问控制器远程控制系统增强版（TACACS+）都可以用来使用802.
1X方案｡
在802下进行身份验证需要三个角色｡
1 X.
第一个是请求者, 即请求访问网络的设备或用户,
例如此图中的PC1｡
然后是一个路由器, 它是请求者试图访问网络的设备｡
通常, 这将是一个交换机,
无线接入点或VPN集中器｡
最后, 还有身份验证服务器, 它将是执行身份验证的集中式设备,
通常是RADIUS或TACACS+服务器｡
当一个人的身份被证明并被系统确认时,
身份验证就发生了｡
你每天都这样｡
事实上, 你在登录本课程时就已经完成了｡
当您输入您的电子邮件地址和密码时,
您声称您是支付此课程的学生,
通过这样做, 系统会检查您并授予访问权限｡
现在, 有不同的方法来验证你是谁｡
例如, 在现实世界中, 如果你因超速被警察拦下,
你可能会拿出你的驾驶执照, 向他们表明这是你, 你就是你所说的那个人｡
这就是你的证据
现在, 在数字世界中,
我们有五种身份验证方法｡
我们有你知道的东西,
比如密码或用户名, 我们有你的东西,
比如你的指纹或眼睛扫描或视网膜扫描,
我们有你的东西, 比如代币, 驾驶执照或信用卡, 它可以是你做的事情, 比如你说话的方式或你签名的方式, 它可以是你所在的某个地方,
我们根据你的GPS位置将其称为你的位置因素｡
LDAP是轻量级目录访问协议｡
这是一个数据库, 用于集中有关网络上客户端和对象的信息｡
LDAP本质上是X的简化版本｡ 500, 这是一个目录服务,
它包含网络中用户､ 组､ 服务器和系统的层次结构｡
LDAP在未加密时通过端口389进行通信,
如果您决定使用SSL或TLS对其进行加密,
则将使用端口636｡
现在, 虽然LDAP被认为是跨平台的, 但Microsoft创建了自己的实现,
称为AD或Active Directory｡
在Windows域中, Active
Directory用于组织和管理网络上的所有内容,
包括客户端､ 服务器､ 设备､
用户和组｡
现在, Active Directory也可以用作安全策略的一部分,
或通过组策略进行访问控制｡
RADIUS是远程身份验证拨入用户服务｡
它提供拨号､ VPN和无线身份验证的集中管理,
因此您可以在802.
1X和可扩展身份验证协议（EAP）｡
RADIUS是一种客户端服务器协议,
运行在OSI模型的第七层（应用层）上｡
RADIUS通常配置为在单独的服务器上运行,
但也可以在较小的域环境中加载到Windows服务器上｡
RADIUS用于对用户进行身份验证,
授权他们使用服务, 并记录他们对这些服务的使用情况｡
RADIUS还利用UDP进行连接,
使其在身份验证和授权功能期间相当快｡
现在, 虽然RADIUS是一个跨平台标准,
但Cisco有一个名为TACACS+的专有协议｡
这是终端访问控制器的附加控制系统,
它可以在802.
1X网络｡
现在, 由您来决定哪一个最适合您组织的需求｡
就我个人而言, 我几乎只在我的组织中使用RADIUS｡
我发现TACACS+运行起来有点慢, 因为它依赖于TCP而不是UDP,
但TACACS+确实有一些好处｡
它为您提供了一些额外的安全性,
并独立地执行其身份验证, 授权和计费过程｡
TACACS+支持所有的网络协议,
但RADIUS不支持远程访问协议､
NetBIOS Frame协议､
X. 25个链接, 还有其他一些｡
总的来说, TACACS+是一个很好的选择,
但前提是您要在整个网络中使用Cisco设备,
因为如果您想要拥有跨平台功能, 那么您必须使用RADIUS,
这是我过去选择的方式｡
第二个A是授权｡
授权发生在用户被授予访问某段数据或建筑物的某些区域的权限时｡
你有没有走进一栋大楼, 看到一个标志说,
限制进入, 授权人员只？
好吧, 那意味着你不能进入那个区域｡
它可能是一个像维修室或其他地方,
他们有发电机, 只有机械师可以进入那里｡
他们有特殊的钥匙或特殊的徽章,
可以让他们进入这些地区｡
那个区域是你无权进入的地方｡
SSL专注于身份验证和授权｡
这是通过我们在Windows域中的电子票务系统执行的｡
身份验证协议是一种提供双向或相互身份验证的身份验证协议｡
当用户登录到域时, 他们首先联系域控制器,
域控制器充当密钥分发中心或KDC｡
这个KDC有两个基本功能：身份验证和票据授予｡
因此, 如果您的客户端通过了正确的身份验证,
KDC将向他们发出一个TGT, 称为Ticket
Granting Ticket｡
然后, 在用户想要访问资源的任何时候,
都将此票证授予票证提供给域控制器, 然后域控制器可以向该用户提供要使用的服务票证或会话密钥, 无论哪一个适合他们的需要｡
这些票证将呈现给资源,
然后授予访问权限,
因为资源始终信任提供票证的域控制器｡
现在, 由于BGP依赖域控制器作为密钥分发中心,
因此这是域中的单点故障｡
如果域控制器关闭,
票据授予服务也将关闭｡
为了防止这种情况, 大多数人会做的是有一个主要的和次要的活动域控制器｡
这将为您提供这种形式的冗余,
以确保LDAP已启动且LDAP仍在运行｡
第三个A是会计｡
会计确保对数据､ 计算机使用和网络资源的跟踪得到维护｡
当我们这样做的时候, 它通常被放在一个叫做日志文件的东西里｡
这是电脑上的一个文件,
本质上就是一个很大的文本文档,
它记录了各种各样的事情｡
这可能是所有离开网络的互联网连接,
如屏幕上所示, 也可能是所有试图登录到特定文件或网站的人的列表｡
各种不同的日志保存在您的计算机上,
以跟踪正在进行的所有各种事情,
这一切都是为了确保使用良好的会计实践, 因为如果您有数据泄露或您有某种内部威胁,
您可以回去查看日志文件中的数据,
以找出谁做了什么以及何时做的｡
这就是会计允许你做的｡
现在, 如果你有证据证明某人做了某事,
他们采取了行动, 我们称之为不可否认性｡
不可否认性仅仅意味着用户不能说他们没有采取行动,
因为你有证据证明他们这样做了｡
例如, 如果你给我发了一封电子邮件,
并使用数字签名进行了签名,
那么你是世界上唯一拥有该私人数字签名密钥的人｡
我确定是你发的那封邮件｡
你不能事后告诉我你没发因为我现在有证据了｡
这是不可否认性