Newsgroup: it.comp.reti.cisco
Titolo: Router CISCO 2500 e Radius

Ciao a tutti,
sono da poco entrato nel mondo dei router :))))
Vi espongo il problema:
ho un router Cisco 2500 e controllo l'accesso alle sue porte tramite
Radius su un server Linux. Come posso fare per reperire ls manualistica
di questo radius e far si che controlli pienamente gli accessi (ad
esempio solo in particolari ore del giorno, o per periodi limitati di
tempo, ecc).
Grazie a tutti anticipatamente

di questo radius e far si che controlli pienamente gli accessi (ad
--------------------------
Davide Ferrari
Internet development
Master Soft S.n.c.
P.le Lombardia 4
28100 Novara (ITALY)
Tel: 
+39-321-466889
Fax: 
+39-321-465939
E-mail: 
fer...@msoft.it
Web: 
http://www.msoft.it

Ok installo il tacacs.. Ma come faccio a far riconoscere al router di
fare l'autenticazione tramite tacacs e non tramite radius ???

fare l'autenticazione tramite tacacs e non tramite radius ???
Beh, il controllo accessi come vuoi farlo tu è possibile sia con tacacs+ che
con radius. Io ti consiglio di passare a tacacs+ perché "funziona" meglio
con i Cisco (ricorda che Radius è della concorrenza Livingston...!).
Non so che Radius usi per Linux, ma ti posso dire che il tacacs+ freeware
per Linux distribuito da Cisco (
ftp://ftp-eng.cisco.com/pub/tacacs/
) non
consente direttamente il controllo di ore del giorno o crediti di tempo
sull'utente; dà però la possibilità di chiamare un programma esterno al
momento dell'autorizzazione dell'utente, ad es., per l'accesso in PPP: il
programma riceve i parametri (come username, porta del Cisco, ecc.) e poi
sono affari suoi su come si gestisce questi parametri. Alla fine può
rispondere al demone tac_plus OK oppure "ciccia", nel qual caso l'utente non
si collega.
Non so se esiste del codice già fatto da qualcun'altro per Linux che faccia
al caso tuo e si interfacci con tac_plus freeware.
Ad ogni modo puoi:
1) (se smanetti con il C) modificare abbastanza semplicemente il sorgente
per
    adattarlo alle tue esigenze
2) (se non smanetti con il C) postare un messaggio sulla mailing list
 
tacp...@disaster.com
 (vedi 
http://www.disaster.com
) chiedendo se
qualcuno
    ha già fatto un script PERL o qualcosa di simile per la gestione delle
ore
    e dei crediti di tempo sugli account utente. Di solito sono molto
gentili e
    ti rispondono subito.
Per quel che riguarda la configurazione Cisco, basta che tutta la serie di
comandi
"aaa" includa alla fine il parametro "tacacs+" anziché "radius"
(ad es. "aaa authentication login default tacacs+ local"), mentre occorrerà
indicare a livello globale:
tacacs-server host a.b.c.d
tacacs-server key blabla (quello che vuoi)
tacacs-server timeout 20 (dipende dal tempo di risposta di tac_plus)
a.b.c.d è l'IP del server tacacs+.
La key è la chiave usata per cifrare la comunicazione tra Cisco e tac_plus,
e deve essere uguale su entrambi.
Il timeout (in secondi) indica quanto tempo aspettare la risposta di
tac_plus
prima di mandare a quel paese il processo di autenticazione, autorizzazione
o
accounting (se lo script o applicazione esterna richiedono molto tempo di
elaborazione occorre alzare questo valore).
Prova anche a sentire Daniele Orlandi (
dan...@orlandi.com
) che ha scritto
un ottimo
tacacs+ server per Linux che ha molte caratteristiche in più rispetto al
tac_plus
freeware (che per alcuni aspetti è un po' contorto).
Ciao.