課題008 AAA総まとめ（解説・ヒント編）

■課題1
以下のコマンドを4台のルータに設定します。

(config)# enable password enapass
(config)# username cisco password cisco
(config)# line con 0
(config-line)# password conpass
(config-line)# login
(config-line)# exit
(config)# line vty 0 4
(config-line)# password vtypass
(config-line)# end

■課題2
以下画像のとおりになります。

■課題3
以下画像のとおりになります。

■課題/確認4

解説はありません。それぞれPCからTelnetを行い、CLIでログアウトしてから再度ユーザモードに入るときに認証を要求されるかどうかを確認しましょう。

ログイン後にはEnableモードに移行して、想定されるパスワードでログインできることを確認してください。

■課題5
認証をなしにする場合は、認証をなしにしたいLineモードで「no login」を設定します。
今回はRT1で以下のコマンドを実行してください。

(config)# line vty 0 4
(config-line)# no login

この状態でTelnetログインを試みると、以下画像の通りになります。

赤枠で囲った部分は通常では「Password:」など、認証を確認されるはずですが、特にそういった確認がないまま、RT1のユーザモードでログインできていることがわかります。

■課題6

まずは、認証のためのユーザアカウントを登録しておきましょう。通常は以下のようなコマンドになります。

(config)# username cisco password cisco

ですが、この設定だと「最初からEnableモードで」という条件を満たしません。
本文では、「cisco」というユーザ名に管理者としての権限を追加付与する必要があるため、「privilege」コマンドを使用して、以下のように設定します。

(config)# username cisco privilege 15 password cisco

次に、VTYパスワードではなく、ローカルデータベースにある認証情報を使用する場合は、認証を設定したいLineモードで「login local」を設定します。

(config)# line vty 0 4
(config-line)# login local

設定が正しい場合、PCからTelnetしたときに「Password:」ではなく「Username:」を確認され、登録した「cisco」でログインした直後からプロンプトが「RT2#」になっていることが確認できます。

※ユーザモードの場合は「RT2>」

■課題7
AAAによる認証を設定する際、以下のように「login」と「enable」を使い分けることができます。

そこで、設定は以下のようになります。

●RADIUS/TACACSサーバの指定

(config)# radius-server host 192.168.1.11 key radi
(config)# tacacs-server host 192.168.1.12 key taca

●認証タイプの設定

(config)# aaa new-model
(config)# aaa authentication enable default group radius local
(config)# aaa authentication login default group tacacs+ local

画像だと分かりづらいですが、Telnet直後のログインではTACACSサーバ側に設定したユーザで認証を行い、EnableモードのときにはRADIUSサーバに登録されたユーザで認証を行っています。