В данной статье рассмотрен пример настройки системы контроля сетевого доступа Eltex NAICE (Network Access and Information Control Engine) для взаимодействия с OLT. Eltex NAICE является NAC-системой (network access control, система контроля доступа к сети), реализующей контроль доступа в корпоративную сеть на основании условий и политик доступа: аутентификации и авторизации пользователей сети и администраторов сетевого оборудования, регистрации событий доступа. Со стороны OLT реализована поддержка взаимодействия AAA по протоколам RADIUS и TACACS+.
Ознакомиться c системой и её возможностями можно по ссылке.
Руководство по установке доступно в статье v0.9_NAICE.
Процедура настройки RADIUS и TACACS+ на OLT рассмотрена в статье [LTP-N, LTX, MA5160] Настройка AAA, поэтому в рамках данной статьи будет рассмотрена только настройка со стороны NAICE.
Здесь описана последовательность действий, которая позволяет настроить авторизацию пользователя из внутренней БД по политике, основанной на IP-адресе NAS-устройства.
Перед созданием самих пользователей, для разганичения пользователей, можно создать группы, куда они будут входить. Например: Администраторы RADIUS и Администраторы TACACS+.
Добавление группы пользователей доступно в разделе Администрирование → Управление идентификацией на странице Группы пользователей сети.
Для прохождения процесса аутентификации клиенту требуется указать учетные данные пользователя. Предварительно этот пользователь должен быть добавлен в NAICE. Доступно создание пользователя в самой системе, а также интеграция с внешними источниками идентификации по протоколу LDAP, такими как MS Active Directory или OpenLDAP. Ниже рассмотрено создание внутреннего пользователя.
Добавление пользователя доступно в разделе Администрирование → Управление идентификацией на странице Пользователи сети.
Профиль сетевого устройства позволяет настроить параметры, общие для нескольких NAS-устройств, и затем при их настройке указывать данный профиль для применения настроенных параметров. В общем случае профиль имеет смысл создавать для устройств одного производителя или одной модели устройств, однако это не строгое правило. Несколько профилей уже предустановлены в системе.
Создание профиля сетевого устройства доступно в разделе Администрирование → Сетевые ресурсы на странице Профили устройств.
На данном шаге нужно описать NAS-устройство и параметры взаимодействия с ним.
Создание сетевого устройства доступно в разделе Администрирование → Сетевые ресурсы на странице Устройства.
Набор политик аутентификации и авторизации позволяет настроить различную обработку RADIUS-запросов от суппликантов в зависимости от указанных условий, и определять различные результаты аутентификации и авторизации.
Настроим простой набор политик с условием применения NAS-IP-Address = NAS IP устройства.
Создание службы доступных протоколов доступно в разделе Политика → Наборы политик.
Набор политик аутентификации и авторизации позволяет настроить различную обработку RADIUS-запросов от суппликантов в зависимости от указанных условий, и определять различные результаты аутентификации и авторизации.
Настроим простой набор политик с условием применения
Создание службы доступных протоколов доступно в разделе Политика → Наборы политик.
Пример настроенной политики:
В разделе Мониторинг → RADIUS можно просматривать статистику по авторизациям на оборудовании:
На главной странице, можно добавить дашборды для отображения:
Настройка аутентификатора заключается в базовой настройке aaa. Рассмотрим команды для настройки на примере LTP-8N.
Включить глобально aaa:
LTP-8N# configure terminal LTP-8N(configure)# aaa LTP-8N(config)(aaa)# enable |
Настроить взаимодействие с NAICE:
LTP-8N(config)(aaa)# tacacs-server host <IP-адрес NAICE> key <TACACS secret> |
Выберите метод аутентификации:
LTP-8N(config)(aaa)# authentication tacacs+ |
LTP-8N(config)(aaa)# authorization tacacs+ |
LTP-8N(config)(aaa)# accounting tacacs+ start-stop commands |
LTP-8N(config)(aaa)# tacacs-server host <IP-адрес NAICE> key <TACACS secret> port <TACACS port> |
Перейти в раздел Администрирование → Управление идентификацией → Группы пользователей сети. Добавить группу с названием "Администраторы TACACS":
Перейти в раздел Администрирование → Управление идентификацией → Пользователи сети. Добавить пользователя, указав его имя и пароль:
Профиль устройства Eltex OLT и самое сетевое устройство OLT LTP-8N мы добавили ранее, при настройке RADIUS. Будем использовать его. |
Перейти в раздел Контроль сетевых устройств → Политики сетевых устройств. После установки в наборе есть только одна политика по умолчанию Default. Её нельзя удалить и она всегда будет последней в списке политик.
В данной политике можно изменить или добавить политика аутентификации и авторизации, или же создать новую. Нажать в политике справа 
и провалиться в политику.
Политика аутентификации по умолчанию используется цепочку Default sequence, в которую по умолчанию добавлен внутренний источник идентификации Internal DB.
В блоке "Политика авторизации" задать условие: "User identity·Identity Group Равно Администраторы TACACS" и нажать Использовать внизу в правой части окна. После этого модальное окно закроется, а условия появится в колонке Условия*.
Итоговая настройка будетвыглядеть так:
В итоге будет настроена политика авторизации, которая позволяет выполнять подключение с максимальным уровнем привилегий к сетевым устройствам пользователей из внутреннего источника идентификации, которые находятся в группе "Администраторы TACACS", и разрешает для них выполнение любой команды.
Теперь, после настройки aaa на OLT и настройки профиля оборудования и юзеров в NAICE, можно проводить авторизацию по заведённым локальным пользователям в NAICE в "Администраторах TACACS".
В разделе Мониторинг → TACACS+ можно просматривать статистику по авторизациям на оборудовании:
И просматривать учет команд (accounting):
На главной странице, можно добавить дашборды для отображения: