Sécurité - Configuration de l'Authentification Auth-Proxy Inbound sans CBAC et sans NAT ccnp_cch

Sommaire - Introduction - Versions de Matériel et de Logiciel - Schéma du réseau - Configurations ccnp_cch

Introduction Cet exemple de configuration initialement bloque le trafic issu d'un host du réseau ex- terne (11.11.11.12) et à destination de tous les équipements du réseau interne jusqu'à ce que l'authentification par le navigateur soit effectuée en utilisant un proxy d'au- thentification. Après autorisation, la liste d'accès passée depuis le serveur (permit tcp/ ip/icmp any any) ajoute des entrées dynamiques à la liste d'accès 115 qui autorise temporairement l'accès au réseau interne pour des hosts externes. Versions de Matériel et de Logiciel utilisées: Cette configuration a été réalisée et testée en utilisant les versions suivantes: • Cisco IOS Release 12.0.7.T • Cisco Routeur 3640 Schéma du Réseau 171.68.118.115 171.68.118.1 11.11.11.12 Serveur TACACS+ ou Radius 40.31.1.1 PC 40.31.1.47 E0/0 E1/0 40.31.1.150 Internet 11.11.11.11 R3640 Serveur Web Configurations Routeur 3640 Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime service password encryption ! hostname R3640 ! aaa new-model aaa group server tacacs+|radius RTP server 171.68.118.115 ! aaa authentication login default group RTP none aaa autorization exec default group RTP none aaa autorization auth-proxy default group RTP enable secret 5 $1$Rtuvw$3F9TdY/q3S0vu1 enable password ww ccnp_cch

ccnp_cch ! ip subnet-zero ! ip auth-proxy auth-proxy-banner !-- Affichage de la bannière du Proxy d'authentification ip auth-proxy auth-cache-time 10 ip auth-proxy name Liste_A http ! ip audit notify log ip audit po max-events 100 ! interface Ethernet0/0 ip address 40.31.1.150 255.255.255.0 no ip directed-broadcast ! interface Ethernet1/0 ip address 11.11.11.11 255.255.255.0 ip access-group 115 in no ip directed-broadcast ip auth-proxy Liste_A ! ip classless ! ip route 171.68.118.0 255.255.255.0 40.31.1.1 ! ip http server ip http authentication aaa ! access-list 115 permit tcp host 11.11.11.12 host 11.11.11.11 eq www access-list 115 deny icmp host 11.11.11.12 any access-list 115 deny tcp host 11.11.11.12 any access-list 115 deny udp host 11.11.11.12 any access-list 115 permit udp any any access-list 115 permit tcp any any access-list 115 permit icmp any any ! tacacs-server host 171.68.118.115 tacacs-server key cisco radius-server host 171.68.118.115 radius-server key cisco ! line cons 0 transport input none line aux 0 line vty 0 4 paswword ww ! ccnp_cch