RADIUS, TACACS+ und Cisco Secure Domain Stripping

Einführung

In einigen Fällen wird ein Benutzername mit dem Zeichen "@" (username@website.com) an die Cisco IOS® Software gesendet. In diesem Fall muss der Domänenname eines eingehenden Benutzers entfernt werden. In solchen Fällen können Sie entweder gezielte Anfragen an den Router oder die Cisco Secure Software am Server richten.

Bevor Sie beginnen

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions.

Voraussetzungen

Für dieses Dokument bestehen keine besonderen Voraussetzungen.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardwareversionen beschränkt.

RADIUS Domain Striping

Gehen Sie bei dieser Beispielkonfiguration davon aus, dass Sie einen Router konfigurieren, der eine Domäne mit dem Namen website.com hostet. Der RADIUS-Server hat die IP-Adresse 10.1.1.1.

ip host website.com 10.1.1.1 
radius-server host 10.1.1.1 auth-port 1645 acct-port 1646
radius-server directed-request

Hinweis: Der Befehl radius-server directed-request wurde in Cisco IOS® Software Release 12.0(2)T eingeführt.

Wenn bei dieser Konfiguration eine Person mit dem Namen user@website.com authentifiziert werden muss, versucht der Directed-Request-Code, den Domänennamen in eine IP-Adresse aufzulösen. In diesem Fall wird website.com aufgrund der lokalen ip host-Anweisung zur IP-Adresse 10.1.1.1 aufgelöst. Der Router sucht dann die RADIUS-Server-Hostleitung nach der aufgelösten IP-Adresse und sendet die Authentifizierungsanfrage für den Benutzer mit dem RADIUS-Server.

Entfernen von TACACS+-Domänen

Sie können den gleichen Prozess für TACACS+ mit den folgenden Befehlen ausführen:

ip host website.com 10.1.1.1
tacacs-server host 10.1.1.1
tacacs-server directed-request

Cisco Secure ACS für Windows-DomänenStriping

Wenn Sie die Domäne von user@website.com entfernen müssen, konfigurieren Sie Cisco Secure NT so, dass der Benutzername nur als Benutzer authentifiziert wird, indem Sie die folgenden Schritte ausführen:

1. Gehen Sie zu Schnittstellenkonfiguration > Erweiterte Optionen, wählen Sie Verteilte Systemeinstellungen aus, und klicken Sie auf Senden.

   Wenn der Benutzer, der die Zugriffsrechte entfernt hat, zu einem anderen Server als diesem wechseln soll, gehen Sie wie folgt vor:

   1. Gehen Sie zu Network Configuration > Network Device Groups > Add Entry, um einen AAA-Server (Authentication, Authorization, Accounting) hinzuzufügen.

   2. Gehen Sie zu Network Configuration > Network Device Groups (Netzwerkkonfiguration > Netzwerkgerätegruppen) auf dem Ziel, und konfigurieren Sie die Quelle.

2. Gehen Sie bei der Quelle zu Network Configuration > Distribution Table > Add Entry (Netzwerkkonfiguration > Verteilungstabelle > Eintrag hinzufügen). Konfigurieren Sie die Einstellungen wie folgt:

   • Geben Sie im Feld für Zeichenketten den Domänennamen (@website.com) ein.

   • Wählen Sie im Pulldown-Menü Position die Option Suffix (Suffix) aus. (Präfix ist in einigen Fällen ebenfalls anwendbar.)

   • Wählen Sie im Pulldown-Menü Strip die Option Yes (Ja) aus.

   • Verschieben Sie den Server aus der AAA-Serverliste in die Liste Weiterleiten an. Wenn der gelöschte Name von der Quelle zur Quelle übergehen soll (was bedeutet, dass Quelle und Ziel identisch sind), wäre die Quelle der Server, an den "weitergeleitet" werden soll. Wenn der gelöschte Name von der Quelle zu einem anderen Ziel übergehen soll, wäre das Ziel der Server, an den "weitergeleitet" werden soll.

3. Klicken Sie auf Senden, um die Einstellungen zu speichern.

Cisco Secure UNIX Domain Stripping

Geben Sie auf der Webseite AAA > Domain für den Zugriffssteuerungsserver des Home-Gateways die folgenden Einstellungen an:

• Domänenname: Website.com

• Delimiter: @

• Position des Domänennamen: Nach

• Domänentyp: Remote

Zugehörige Informationen

• RADIUS (Remote Authentication Dial-In User Service)
• Terminal Access Controller Access Control System (TACACS+)
• Anforderungen für Kommentare (RFCs)
• Technischer Support - Cisco Systems