Techerest
EN

AAA บน Cisco: Authentication, RADIUS, TACACS+ และ Network Security

15 ต.ค. 2569 AAA Accounting Authentication Authorization Cisco Networking Network Security RADIUS TACACS+

การป้องกัน Router, Switch และ Network Infrastructure ไม่ควรพึ่งเพียง Username และ Password ที่สร้างแยกไว้บนอุปกรณ์แต่ละตัว โดยเฉพาะในองค์กรที่มี Network Device จำนวนมากและมีผู้ดูแลหลายคน

AAA หรือ Authentication, Authorization และ Accounting เป็น Framework สำหรับควบคุมว่า ใครสามารถเข้าสู่ระบบ, สามารถทำอะไรได้ และมีการกระทำอะไรเกิดขึ้นบ้าง โดยสามารถทำงานร่วมกับ Centralized AAA Server ผ่าน Protocol เช่น RADIUS และ TACACS+

บทความนี้อธิบาย AAA สำหรับ Network Engineer ตั้งแต่พื้นฐาน Local Authentication, RADIUS, TACACS+, Method List, Console/VTY, Fallback, Accounting ไปจนถึงตัวอย่าง Cisco Lab และ Troubleshooting โดยเน้นการออกแบบที่ลดความเสี่ยงจากการ Lockout ผู้ดูแลออกจากอุปกรณ์

สารบัญ

ภาค 1: พื้นฐาน AAA

AAA คืออะไร?

AAA ย่อมาจาก: 

Authentication
      +
Authorization
      +
Accounting

ทั้งสามส่วนทำหน้าที่แตกต่างกัน แต่ทำงานร่วมกันเพื่อควบคุม การเข้าถึง Network Device และ Network Service 

User
 |
 v
Authentication
 |
 | Who are you?
 v
Authorization
 |
 | What can you do?
 v
Accounting
 |
 | What did you do?
 v
Network Resource

ทำไม Network Engineer ต้องใช้ AAA?

สมมติองค์กรมี: 

50 Routers

200 Switches

20 Firewalls

15 Network Administrators

ถ้าสร้าง Local Account บนอุปกรณ์ทุกตัว: 

Admin Account
      |
      +---- Router 1
      +---- Router 2
      +---- Router 3
      +---- Switch 1
      +---- Switch 2
      +---- ...
      +---- Switch 200

เมื่อพนักงานเปลี่ยนหน้าที่ ลาออก หรือ Password Policy เปลี่ยน การบริหาร Credential อาจซับซ้อนมาก

Centralized AAA ช่วยให้อุปกรณ์สามารถส่งคำขอ ไปยัง AAA Server แทนการบริหาร User Database แยกกันทุกเครื่อง

ภาค 2: Authentication, Authorization และ Accounting

Authentication คืออะไร?

Authentication คือกระบวนการตรวจสอบตัวตน

คำถามหลักคือ:

Who are you?

ตัวอย่าง:

Username:
networkadmin

Password:
********

ระบบตรวจว่า Credential ถูกต้องหรือไม่:

User
 |
 v
Credential
 |
 v
Authentication
 |
 +---- Success
 |
 +---- Failure

Authorization คืออะไร?

Authorization กำหนดว่าผู้ใช้ที่ผ่าน Authentication แล้ว ได้รับอนุญาตให้ทำอะไร

ตัวอย่าง:

User A
 |
 +---- show commands
 |
 X---- configuration changes


User B
 |
 +---- show commands
 |
 +---- configuration changes

Authentication สำเร็จ ไม่ได้หมายความว่า ผู้ใช้ต้องได้รับสิทธิ์ทุกอย่าง

Accounting คืออะไร?

Accounting ใช้บันทึกข้อมูลเกี่ยวกับ Session และ Activity ตาม AAA Configuration

ตัวอย่าง:

User: networkadmin

Login:
10:00:01

Device:
CORE-R1

Command:
show ip route

Command:
configure terminal

Logout:
10:35:20

Accounting มีประโยชน์ต่อ:

  • Audit
  • Security Investigation
  • Change Tracking
  • Compliance
  • Troubleshooting

ภาค 3: AAA Architecture

Centralized AAA ทำงานอย่างไร?

Administrator
      |
      | SSH
      v
+-------------+
| Cisco       |
| Router      |
+------+------+
       |
       | AAA Request
       v
+-------------+
| AAA Server  |
+------+------+
       |
       v
User / Policy Database

Network Device ทำหน้าที่เป็น AAA Client หรือ Network Access Device และติดต่อ AAA Server ตาม Protocol ที่ Configure

AAA เชื่อมโยงกับ Management Plane อย่างไร?

Management PC
      |
      v
Management Network
      |
      v
Router / Switch
      |
      +---- AAA
      |
      +---- NTP
      |
      +---- Syslog
      |
      +---- SNMP
      |
      +---- DNS

AAA จึงเป็นส่วนหนึ่งของ Management Plane Security ไม่ใช่เพียงระบบ Login

ภาค 4: Local Authentication กับ Centralized AAA

Local Authentication

Local Authentication เก็บ Username และ Credential บน Device โดยตรง

ตัวอย่าง Cisco:

username netadmin privilege 15 secret STRONG_SECRET

จากนั้นใช้:

login local

บน Line ที่เกี่ยวข้อง ตาม Configuration

ข้อดีของ Local Authentication

  • Configuration ไม่ซับซ้อน
  • ไม่ต้องพึ่ง External AAA Server สำหรับ Login แบบ Local
  • สามารถใช้เป็น Emergency Fallback ได้เมื่อออกแบบอย่างเหมาะสม

ข้อจำกัดของ Local Authentication

  • ต้องบริหาร User บนอุปกรณ์แต่ละตัว
  • การ Disable User จำนวนมากทำได้ยากขึ้น
  • Audit แบบรวมศูนย์มีข้อจำกัด
  • Policy อาจไม่สอดคล้องกันทุก Device

Centralized AAA

             AAA Server
                 |
       +---------+---------+
       |         |         |
       v         v         v
     Router    Switch    Firewall

ช่วยให้ User และ Policy สามารถบริหารจากระบบกลาง ตาม AAA Solution ที่เลือกใช้

ภาค 5: RADIUS

RADIUS คืออะไร?

RADIUS หรือ Remote Authentication Dial-In User Service เป็น AAA Protocol ที่ใช้อย่างแพร่หลาย ในระบบ Network Access

ตัวอย่าง:

Wi-Fi Client
      |
      v
Access Point
      |
      v
RADIUS Server

หรือ:

VPN User
   |
   v
VPN Gateway
   |
   v
RADIUS Server

RADIUS พบได้บ่อยกับ:

  • 802.1X
  • Enterprise Wi-Fi
  • VPN Access
  • Network Access Control
  • Remote Access

RADIUS Transport

RADIUS โดยทั่วไปใช้ UDP และ Port มาตรฐานที่พบได้บ่อยคือ: 

UDP 1812
=
Authentication / Authorization


UDP 1813
=
Accounting

Legacy Environment บางระบบ อาจพบ Port รุ่นเก่า จึงควรตรวจ Configuration ของ Client และ Server จริง

ภาค 6: TACACS+

TACACS+ คืออะไร?

TACACS+ เป็น AAA Protocol ที่นิยมใช้กับ Network Device Administration

ตัวอย่าง:

Network Engineer
       |
       | SSH
       v
   Cisco Router
       |
       | TACACS+
       v
   AAA Server

TACACS+ สามารถแยก Authentication, Authorization และ Accounting ออกจากกันได้อย่างชัดเจน จึงเหมาะกับ Device Administration และ Command Authorization

TACACS+ ใช้ Port อะไร?

โดยทั่วไปใช้: 

TCP 49

ภาค 7: RADIUS vs TACACS+

RADIUS กับ TACACS+ ต่างกันอย่างไร?

หัวข้อ RADIUS TACACS+
Transport ที่พบทั่วไป UDP TCP
Port 1812 / 1813 49
Network Access เหมาะมาก ไม่ใช่ Use Case หลักทั่วไป
Device Administration ทำได้ในบาง Architecture นิยมใช้
Command Authorization มีข้อจำกัดเมื่อเทียบกับ TACACS+ เหมาะกับ Use Case นี้
AAA Separation Authentication และ Authorization มีความสัมพันธ์ใกล้กัน แยก AAA Functions ได้ละเอียดกว่า

ควรเลือก RADIUS หรือ TACACS+?

ไม่ควรเลือกจากคำถามว่า Protocol ใด “ดีกว่า” เพียงอย่างเดียว แต่ควรเลือกตาม Use Case 

User Network Access
Wi-Fi / 802.1X / VPN
        |
        v
      RADIUS


Network Device Administration
Router / Switch / Firewall
        |
        v
     TACACS+
นี่เป็น Design Pattern ทั่วไป ไม่ใช่กฎตายตัว ความสามารถจริงขึ้นอยู่กับ AAA Server, Network Device และระบบที่นำมาใช้งาน

สรุป Port ของ RADIUS และ TACACS+

Protocol Transport Port
RADIUS Authentication / Authorization UDP 1812
RADIUS Accounting UDP 1813
TACACS+ TCP 49

Firewall และ ACL ควรอนุญาตเฉพาะ Communication ระหว่าง Authorized AAA Clients กับ AAA Servers ตาม Design

ภาค 8: AAA Method List บน Cisco

AAA Method List คืออะไร?

Cisco AAA สามารถกำหนด Method List เพื่อระบุลำดับวิธี ที่ Device ใช้ในการ Authentication หรือ AAA Function อื่น

ตัวอย่างแนวคิด:

Login Attempt
     |
     v
TACACS+ Server
     |
     +---- Available
     |       |
     |       v
     |    Use Result
     |
     +---- Unavailable
             |
             v
         Local User

ตัวอย่าง:

aaa authentication login default group tacacs+ local

แนวคิดคือให้ Device ลองใช้ TACACS+ ก่อน และใช้ Local Database ตามเงื่อนไขของ AAA Method Processing

default Method List คืออะไร?

default เป็น Method List ที่สามารถถูกใช้โดย Service ที่ไม่ได้อ้าง Named Method List อื่นตาม Configuration

Named Method List

สามารถสร้าง Method List แบบมีชื่อ:

aaa authentication login VTY-AUTH group tacacs+ local

แล้วนำไปผูกกับ Line:

line vty 0 4
 login authentication VTY-AUTH

ทำให้สามารถกำหนด Policy แยกตาม Access Method ได้ละเอียดขึ้น

ภาค 9: AAA Fallback และ Lockout Prevention

ทำไม AAA Fallback สำคัญ?

สมมติ: 

Administrator
      |
      v
Router
      |
      X
AAA Server

ถ้า Router ไม่สามารถเข้าถึง AAA Server ได้ และไม่มี Fallback ที่เหมาะสม ผู้ดูแลอาจไม่สามารถ Login เข้า Device ได้

Local Emergency Account

ตัวอย่าง:

username emergency-admin privilege 15 secret STRONG_LOCAL_SECRET

แล้ว Method List:

aaa authentication login default group tacacs+ local
คำว่า Fallback ต้องเข้าใจอย่างถูกต้อง Cisco AAA ไม่ได้เปลี่ยนไปใช้ Method ถัดไป ในทุกกรณีที่ Authentication ถูก Reject พฤติกรรมขึ้นอยู่กับผลลัพธ์ที่ Method ก่อนหน้าส่งกลับ เช่น Server ไม่ตอบสนองกับการ Reject Credential เป็นคนละสถานการณ์

ทดสอบก่อนปิด Session เดิม

เมื่อแก้ AAA บนอุปกรณ์ Remote ควร: 

Existing Admin Session
        |
        | Keep Open
        |
        +-------------------+
                            |
                       New Session
                            |
                            v
                     Test AAA Login
                            |
                 +----------+----------+
                 |                     |
              Success                Failure
                 |                     |
                 v                     v
              Continue            Roll Back
อย่าปิด Administrative Session เดิมทันทีหลังเปลี่ยน AAA ควรเปิด Session ใหม่เพื่อทดสอบก่อน เพื่อช่วยลดความเสี่ยงจาก Remote Lockout

ภาค 10: Cisco Local AAA Lab

Topology

Admin PC
10.10.10.100
     |
     | SSH
     v
+-----------+
|    R1     |
|10.10.10.1 |
+-----------+

Step 1 — สร้าง Local User

username netadmin privilege 15 secret STRONG_SECRET

Step 2 — เปิด AAA

aaa new-model
aaa new-model สามารถเปลี่ยนพฤติกรรม Authentication ของอุปกรณ์ได้ บน Production Device ต้องวางแผน Configuration, Console Access และ Recovery Method ก่อนใช้งาน

Step 3 — Configure Login Authentication

aaa authentication login default local

Step 4 — Configure VTY

line vty 0 4
 login authentication default
 transport input ssh

Step 5 — ทดสอบ SSH

ssh netadmin@10.10.10.1

Flow:

SSH
 |
 v
AAA Authentication
 |
 v
Local Database
 |
 +---- Accept
 |
 +---- Reject

ภาค 11: Cisco TACACS+ Lab

Topology

                 AAA Server
                10.10.10.50
                     |
                     |
                   SW1
                     |
                     |
                    R1
                 10.10.10.1
                     |
                     |
                 Admin PC

Step 1 — ตรวจ Connectivity

ping 10.10.10.50

ตรวจ Route:

show ip route 10.10.10.50

Step 2 — Configure TACACS+ Server

Cisco IOS/IOS XE มี Syntax แตกต่างกันตาม Release

ตัวอย่าง Object-Based Syntax ที่พบใน IOS/IOS XE หลายรุ่น: 

tacacs server AAA-SERVER
 address ipv4 10.10.10.50
 key TACACS_SHARED_SECRET

Step 3 — สร้าง Local Fallback Account

username emergency-admin privilege 15 secret LOCAL_EMERGENCY_SECRET

Step 4 — เปิด AAA

aaa new-model

Step 5 — Configure Authentication

aaa authentication login default group tacacs+ local

Step 6 — Configure VTY

line vty 0 4
 login authentication default
 transport input ssh

Step 7 — ทดสอบ Login

อย่าปิด Session เดิม จากนั้นเปิด SSH Session ใหม่ 

Admin PC
   |
   | SSH
   v
Router
   |
   | TACACS+
   v
AAA Server
   |
   +---- Accept
   |
   +---- Reject

Step 8 — ทดสอบ AAA Server Failure ใน Lab

เมื่อ AAA Server ไม่สามารถ Reach ได้ ให้ตรวจว่า Local Fallback ทำงานตาม Design หรือไม่ 

Router
 |
 X---- TACACS+ Server
 |
 v
Local Database
ทดสอบ Failure Scenario ใน Lab หรือ Maintenance Window อย่าทำให้ Production AAA Server ไม่สามารถใช้งานได้เพียงเพื่อทดสอบ Fallback โดยไม่มี Change Plan

ภาค 12: Command Authorization

Command Authorization คืออะไร?

ใน Device Administration องค์กรอาจต้องการให้ Network Engineer แต่ละกลุ่ม ใช้ Command แตกต่างกัน

ตัวอย่าง:

NOC User
 |
 +---- show interfaces
 +---- show ip route
 +---- ping
 X---- reload
 X---- configuration changes


Senior Network Admin
 |
 +---- show
 +---- configure
 +---- routing changes
 +---- interface changes

TACACS+ เหมาะกับ Use Case ที่ต้องการ Authorization ในระดับ Device Administration และ Command Control เมื่อ AAA Server และ Platform รองรับ

ตัวอย่าง Cisco Command Authorization

ตัวอย่างแนวคิด:

aaa authorization exec default group tacacs+ local

aaa authorization commands 15 default group tacacs+ local
Command Authorization ต้องทดสอบอย่างระมัดระวัง Policy ที่ผิดสามารถทำให้ Administrator Login ได้แต่ไม่สามารถใช้ Command ที่จำเป็นต่อการ Recovery

ภาค 13: AAA Accounting

Accounting ช่วยอะไร?

Authentication บอกว่า ใคร Login

Authorization บอกว่า เขาทำอะไรได้

Accounting ช่วยบันทึกว่า เกิด Activity อะไรขึ้น ตาม Policy ที่ Configure 

User
 |
 v
Login
 |
 v
Commands
 |
 v
Logout
 |
 v
AAA Accounting Records

ตัวอย่าง Exec Accounting

aaa accounting exec default start-stop group tacacs+

ตัวอย่าง Command Accounting

aaa accounting commands 15 default start-stop group tacacs+

Syntax และ Accounting Capability ควรตรวจตาม Platform และ AAA Server ที่ใช้จริง

AAA Accounting กับ Syslog

ทั้งสองระบบสามารถใช้ร่วมกัน: 

Administrator
      |
      v
Network Device
   /       \
  /         \
 v           v
AAA         Syslog
Accounting  Events
  \           /
   \         /
    v       v
Security / Audit

และควรใช้ NTP เพื่อให้ Timestamp ของทั้งสองระบบสอดคล้องกัน

ภาค 14: AAA Verification

ตรวจ AAA Configuration

show running-config | section aaa

ตรวจ TACACS Configuration

show running-config | section tacacs

ตรวจ Local Users

show running-config | include username

ตรวจ VTY Configuration

show running-config | section line vty

ตรวจ Route ไป AAA Server

show ip route 10.10.10.50

ตรวจ Interface

show ip interface brief

ทดสอบ AAA

Cisco Platform บางรุ่นรองรับ คำสั่งทดสอบ AAA เช่น: 

test aaa group tacacs+ USER PASSWORD legacy
Syntax ของ test aaa แตกต่างกันตาม Platform และ Software Release และการใส่ Credential บน CLI อาจมีผลด้าน Security/Logging จึงควรตรวจ Documentation และ Operational Policy ก่อนใช้งาน

ภาค 15: AAA Troubleshooting

AAA Troubleshooting Workflow

Can reach Device?
      |
      v
SSH Working?
      |
      v
AAA Enabled?
      |
      v
Method List Correct?
      |
      v
AAA Server Reachable?
      |
      v
Routing Correct?
      |
      v
ACL / Firewall?
      |
      v
Shared Secret?
      |
      v
Username / Credential?
      |
      v
Authorization?
      |
      v
Accounting?

ปัญหา 1 — Login ไม่ได้หลังเปิด AAA

ตรวจ:

aaa new-model

Authentication Method List

VTY Configuration

Local User

AAA Server

Routing

Firewall

ถ้ายังมี Console หรือ Existing Session ให้ใช้ Session นั้น ตรวจ Configuration ก่อนทำการเปลี่ยนแปลงเพิ่มเติม

ปัญหา 2 — Ping AAA Server ได้ แต่ Authentication ไม่ผ่าน

Ping ใช้ ICMP ไม่ได้ยืนยันว่า AAA Protocol ทำงาน 

Ping
=
ICMP


TACACS+
=
TCP 49


RADIUS
=
Typically UDP 1812 / 1813

ตรวจ:

Firewall

Port

Shared Secret

AAA Client Definition

Username

Authentication Policy

ปัญหา 3 — TACACS+ Server ไม่ตอบ แต่ Local User ใช้ไม่ได้

ตรวจ Method List:

aaa authentication login default group tacacs+ local

จากนั้นตรวจว่า Server ถูกมองว่า Unavailable หรือกำลังส่ง Authentication Reject

Server Unavailable และ Credential Rejected เป็นคนละเหตุการณ์ Method List ไม่ควรถูกเข้าใจว่า Password TACACS+ ผิดแล้วจะลอง Local Password โดยอัตโนมัติทุกกรณี

ปัญหา 4 — Login ได้ แต่เข้า Privileged Function ไม่ได้

Authentication อาจสำเร็จ แต่ Authorization ไม่อนุญาต 

Authentication
=
SUCCESS


Authorization
=
DENIED

ตรวจ:

AAA Authorization

User Policy

Group Policy

Privilege

Command Authorization

ปัญหา 5 — Login ได้ แต่บาง Command ใช้ไม่ได้

ตรวจ Command Authorization บน AAA Server และ Cisco Device 

User
 |
 v
Command
 |
 v
Authorization Request
 |
 v
AAA Server
 |
 +---- Permit
 |
 +---- Deny

ปัญหา 6 — Accounting ไม่มีข้อมูล

ตรวจ:

Accounting Method

AAA Server Reachability

Accounting Service

Server Policy

Timestamp

NTP

ปัญหา 7 — AAA ใช้ได้จาก Router หนึ่งแต่ไม่ได้จากอีก Router

เปรียบเทียบ:

Source IP

Routing

Firewall

AAA Client Definition

Shared Secret

Method List

Software Version

ภาค 16: AAA Source Interface

ทำไม Source IP สำคัญ?

AAA Server มักกำหนด Network Device หรือ AAA Client ด้วย IP Address และ Shared Secret

ถ้า Router ส่ง AAA Request ด้วย Source IP ที่ไม่ตรงกับ AAA Server Configuration Request อาจถูกปฏิเสธ 

Router
 |
 | Source 10.255.0.1
 v
AAA Server
 |
 +---- Known Client
 |
 +---- Correct Secret
 |
 v
Process Request

ใช้ Loopback เป็น Source

บน Platform ที่รองรับ สามารถกำหนด Source Interface เพื่อให้ Source IP มีความคงที่

ตัวอย่างแนวคิด TACACS+:

ip tacacs source-interface Loopback0

และ RADIUS:

ip radius source-interface Loopback0
คำสั่งและ Syntax อาจแตกต่างกัน ตาม IOS/IOS XE Release และ AAA Configuration Model ควรตรวจ Documentation ของ Platform ก่อนใช้งาน

ภาค 17: AAA Security

AAA เป็นส่วนหนึ่งของ Management Plane Security

Management Plane
      |
      +---- SSH
      |
      +---- AAA
      |
      +---- SNMP
      |
      +---- Syslog
      |
      +---- NTP
      |
      +---- DNS

ถ้า Management Plane ไม่ได้รับการป้องกัน ผู้โจมตีอาจพยายามเข้าถึง อุปกรณ์ Infrastructure โดยตรง

จำกัด AAA Traffic

Firewall และ ACL ควรอนุญาตเฉพาะ: 

Authorized Network Devices
          |
          v
      AAA Servers

ไม่ควรเปิด AAA Service ให้ Network ที่ไม่จำเป็น เข้าถึง

ป้องกัน Shared Secret

Shared Secret ระหว่าง AAA Client และ Server ควร:

  • มีความแข็งแรง
  • ไม่ใช้ Default Value
  • ไม่เผยแพร่ใน Documentation ที่ไม่ปลอดภัย
  • เปลี่ยนตาม Security Policy
  • จัดการผ่านระบบ Secret Management เมื่อเหมาะสม

ใช้ SSH แทน Telnet

Administrator
      |
      | SSH
      v
Network Device
      |
      | AAA
      v
AAA Server

AAA ไม่สามารถชดเชย Management Protocol ที่ไม่ปลอดภัย ได้ทั้งหมด

ดังนั้น Secure Device Administration ควรพิจารณา SSH + AAA + ACL + Management Network + Logging ร่วมกัน

ภาค 18: AAA, NTP และ Syslog ทำงานร่วมกันอย่างไร?

สร้าง Audit Trail ที่ตรวจสอบย้อนหลังได้

Administrator
      |
      v
AAA Authentication
      |
      v
Authorization
      |
      v
Network Device
      |
      +---- AAA Accounting
      |
      +---- Syslog
      |
      v
Central Systems

NTP ช่วยให้ Timestamp ของ AAA Server, Network Device และ Syslog Server สอดคล้องกัน 

NTP
 |
 +---- Router
 |
 +---- Switch
 |
 +---- AAA Server
 |
 +---- Syslog Server

เมื่อต้องตรวจ Incident สามารถนำข้อมูลมาสร้าง Timeline: 

10:01:00
User Login

10:01:10
Entered Privileged Mode

10:02:00
Configuration Changed

10:02:05
Interface Down

10:02:06
OSPF Neighbor Down

10:05:00
User Logout

ภาค 19: AAA Best Practices

1. ใช้ Centralized AAA ใน Enterprise Network

ช่วยให้บริหาร User, Policy และ Audit ได้จากระบบกลาง

2. มี Local Emergency Account

ควรออกแบบ Local Account สำหรับกรณี AAA Infrastructure ไม่สามารถใช้งานได้ ตาม Security Policy

3. ป้องกัน Local Emergency Credential

Emergency Account ไม่ควรถูกใช้เป็น Daily Account และควรมีการควบคุม การเข้าถึง Credential อย่างเข้มงวด

4. ใช้ Least Privilege

User
 |
 v
Only Required Permissions

ไม่ควรให้ Privilege สูงสุด แก่ผู้ใช้ทุกคน เพียงเพื่อให้บริหารง่าย

5. ใช้ TACACS+ สำหรับ Device Administration เมื่อเหมาะสม

โดยเฉพาะ Environment ที่ต้องการ Command Authorization และ Accounting อย่างละเอียด

6. ใช้ RADIUS สำหรับ Network Access เมื่อเหมาะสม

เช่น:

802.1X

Enterprise Wi-Fi

VPN

Network Access Control

7. ใช้ NTP กับ AAA Server และ Network Device

เพื่อให้ Accounting และ Security Log มี Timestamp ที่สอดคล้องกัน

8. ส่ง Log ไป Central Syslog Server

AAA Accounting และ Syslog สามารถช่วยกันสร้าง Audit Trail ที่สมบูรณ์ขึ้น

9. ใช้ Management Network

แยก Traffic เช่น:

SSH

AAA

SNMP

Syslog

NTP

DNS

ออกจาก User Traffic เมื่อ Architecture รองรับ

10. ทดสอบ AAA Failure Scenario

ต้องทราบว่าเกิดอะไรขึ้นเมื่อ:

AAA Server Down

Routing Failure

Firewall Failure

Wrong Shared Secret

Authorization Failure

DNS Failure

NTP Failure

11. อย่าปิด Session เดิมก่อนทดสอบ

นี่เป็นหนึ่งในหลักปฏิบัติ ที่สำคัญที่สุดเมื่อเปลี่ยน Remote AAA Configuration 

Old Session
=
Recovery Path


New Session
=
AAA Test

ภาค 20: ตัวอย่าง Troubleshooting AAA ใน Enterprise Network

Scenario: Administrator SSH เข้า Router ไม่ได้

Network Engineer ไม่ควรสรุปทันทีว่า Username หรือ Password ผิด

ควรตรวจตามลำดับ:

Admin PC
   |
   v
IP Connectivity
   |
   v
SSH / TCP 22
   |
   v
VTY
   |
   v
AAA Method List
   |
   v
AAA Server Route
   |
   v
Firewall
   |
   v
TACACS+ TCP 49
   |
   v
AAA Client Definition
   |
   v
Shared Secret
   |
   v
User Authentication
   |
   v
Authorization

ตัวอย่างที่ 1 — SSH Connection ไม่เกิด

ถ้า TCP/22 ไปยัง Router ไม่ได้ตั้งแต่แรก ปัญหายังไม่ถึง AAA 

Admin
 |
 X---- TCP 22
 |
Router

ตัวอย่างที่ 2 — SSH เชื่อมต่อได้แต่ Login ถูก Reject

ตรวจ:

Username

Password

AAA Server Policy

Authentication Result

Account Status

ตัวอย่างที่ 3 — AAA Server Timeout

ตรวจ:

Routing

Firewall

TCP 49

Source IP

AAA Server Status

จากนั้นตรวจว่า Local Fallback ทำงานตาม Method List หรือไม่

ตัวอย่างที่ 4 — Login สำเร็จแต่ Configure ไม่ได้

ปัญหานี้อาจอยู่ที่ Authorization ไม่ใช่ Authentication 

Authentication
=
PASS


Authorization
=
DENY

ภาค 21: คำถามที่พบบ่อย

AAA ย่อมาจากอะไร?

Authentication, Authorization และ Accounting

Authentication คืออะไร?

การตรวจสอบว่า ผู้ใช้เป็นใคร

Authorization คืออะไร?

การกำหนดว่า ผู้ใช้ที่ผ่าน Authentication แล้ว สามารถทำอะไรได้

Accounting คืออะไร?

การบันทึกข้อมูลเกี่ยวกับ Session และ Activity ตาม Policy ที่กำหนด

RADIUS ใช้ Port อะไร?

โดยทั่วไป:

UDP 1812
Authentication / Authorization

UDP 1813
Accounting

TACACS+ ใช้ Port อะไร?

โดยทั่วไปใช้ TCP Port 49

RADIUS กับ TACACS+ อันไหนดีกว่า?

ขึ้นอยู่กับ Use Case 

Network Access
       |
       v
RADIUS


Device Administration
       |
       v
TACACS+

ถ้ามี TACACS+ แล้วต้องมี Local User หรือไม่?

สำหรับ Network Device Administration ควรพิจารณา Local Emergency Access ตาม Security และ Recovery Design เพื่อรองรับกรณี Central AAA ไม่สามารถใช้งานได้

ถ้า TACACS+ Password ผิด ระบบจะลอง Local Password หรือไม่?

ไม่ควรสมมติว่าจะทำเช่นนั้น ในทุกกรณี เพราะ Authentication Reject และ AAA Server Unavailable มีผลต่อ Method Processing แตกต่างกัน

AAA แทน SSH ได้หรือไม่?

ไม่ได้ 

SSH
=
Secure Management Transport


AAA
=
Identity / Access Control / Accounting

ทั้งสองควรทำงานร่วมกัน

AAA แทน Syslog ได้หรือไม่?

ไม่ได้ AAA Accounting และ Syslog มีหน้าที่แตกต่างกัน แต่สามารถใช้ร่วมกัน เพื่อสร้าง Audit Trail

บทสรุป

AAA เป็นพื้นฐานสำคัญของ Secure Network Device Administration เพราะช่วยแยกการควบคุมออกเป็น Authentication, Authorization และ Accounting 

Authentication
=
Who are you?


Authorization
=
What can you do?


Accounting
=
What did you do?

สำหรับ Centralized AAA สอง Protocol สำคัญคือ: 

RADIUS
 |
 +---- Network Access
 +---- 802.1X
 +---- Wi-Fi
 +---- VPN


TACACS+
 |
 +---- Device Administration
 +---- Router / Switch
 +---- Command Authorization
 +---- Accounting

สำหรับ Cisco Device Administration ควรออกแบบ Method List และ Fallback อย่างระมัดระวัง 

Administrator
      |
      v
SSH
      |
      v
AAA
      |
      +---- TACACS+
      |
      +---- Local Fallback
      |
      v
Authorization
      |
      v
Accounting
      |
      v
Syslog / Audit

เมื่อรวมกับ Infrastructure Services จากบทก่อนหน้า: 

DNS
 |
 v
Name Resolution


NTP
 |
 v
Correct Time


Syslog
 |
 v
Event Logging


SNMP
 |
 v
Network Monitoring


AAA
 |
 v
Identity & Access Control

ขั้นต่อไปคือการป้องกัน Management Channel ที่ Administrator ใช้เชื่อมต่อ Router และ Switch โดยตรง

บทความถัดไป: SSH บน Cisco สำหรับ Network Engineer: Secure Remote Management, RSA Key, VTY, ACL และ Hardening

Share this
Facebook Share X
TECHEREST COMMUNITY

Share your thoughts here

Join the conversation and share your perspective on this article.

Comments will load when you reach this section.
← Newer Older →