Newsgroup: it.comp.reti.cisco
Titolo: AAA - protocols

Salve a tutti.
Una domandina semplice (credo, almeno per voi), forse dico una fesseria,
spero non me ne vorrete.
Devo configurare "AAA".
Tra i vari protocolli supportati, c'è il bellissimo Radius è ovviamente il
proprietario Tacacs+, ma se non hai ACS...
Ho ho visto che il mio router supporta anche Kerberos versione 5.
Ora... Win2000 e Win2003 usano Kerberos per l'autenticazione.
Sarebbe stupendo poter "agganciare" il router ad un server Win2003, in modo
che il primo cerchi le informazioni d autenticazione e autorizzazione sul
secondo.
La domanda a questo punto è:
"E' possibile configurare il router in modo da gestire l'autenticazione, le
autorizzazioni e l'accounting con Windows2003, magari via kerberos,
piuttosto che con un server Radius o Tacacs"?
Esempio:
- Solo gli utenti del gruppo "Netowrk Admins" posso accedere al route in
"enable"
- Gli utenti del gruppo "Network Monitor" posso accedere al router in "exec"
- Gli altri non possono fare login sul router.
Se ho chiesto una follia, scusatemi.
Ciaoe grazie,
JO
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

...

Ciao,
a pag. 35 di CCSP viene detto che e' possible , ma l'ho letto tutto (E
DIREI CAPITO!!)

...

volevo dire....non l'ho letto tutto e devo ancora capire molte cose!

Grazie Infinite.
Appena potrò dedicarmi al CCSP sarà per me davvero interessante.
Purtroppo solo da poco ho ripreso i libri in mano e sono in ballo con la
lettura del BSCI... "marooooooonnn!"
Un "mattone"!
Fare un corso, magari in una scuola provvista di "labs", sarebbe molto più
leggero... ma mi costerebbe un cifra!
Più di un router "fico" nuovo di zecca.
Vabbè... sarà una cosa di "digestione lenta"... speriamo di reggere.
Ciao e grazie,


 - Gli altri non possono fare login sul router.
installi sul tuo w2k il servizio ias (e' un server radius che ha come
database quello degli utenti windows).
un mayhem che poi non chiedermi di gestire i log pero' :)
-- 
 Lo scetticismo e' l'inizio della fede. OW 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.org
 Key on 
pgp.mit.edu
 ID B88FE057

 database quello degli utenti windows).
Si... anche se IAS è una delle cose più "incasinate" che ha creato
Microsoft.
Quello che però per me era interessante, è utilizzare i protocolli Kerberos
e NTLM!
certo che se installo un server Radius che si appoggia al DB del PC locale
(come IAS, ovviamente), raggiungo l'obbiettivo...
Ma sempre di Radius si tratterebbe.
Poichè ho letto che il mio IOS supporta Kerberos ed NTLM, mi chidevo se non
fosse possibile per il routr "interrogare direttamente" il DB degli utenti
di Microsoft, senza altri "demoni" che "offrano il servizio" (come Radius
server).
NTLM garantirebbe la compatibilità anche con NT (non usa Kerberos) e con i
sistemi Win2000/2003 che non lavorano in maniera "nativa".
Infine, anche i client moderni di Microsoft sono forniti di un servizio per
il supporto NTLM.
Quindi basta attivare quello (default).
Quella di Kerberos sarebbeuna soluzione "fica" per i domini ed Active
Directory.
Quella di NTLM sarebbe una soluzione "fica" per le reti "SOHO".
O forse... in questo caso esagero.
Per una rete SOHO l'authentication "locale" del router va più che benissimo.
Al massimo, in questo caso, ci sarebbe la necessità di un paio di utenze
entrambe amministrative sul router, e probabilmente le persone che le
utilizzarebbero non sono neanche "interne" alla rete.
Ciao e grazie.
