Cisco Packet Tracer AAA (Authentication, Authorization, and Accounting) Yapılandırması

Ağ güvenliğinin temel taşlarından biri olan AAA (Authentication, Authorization, Accounting) mimarisi; sistemlere kimin erişebileceğini, hangi yetkilere sahip olacağını ve hangi işlemleri gerçekleştirdiğini merkezi bir noktadan denetleyerek kurumsal güvenliğin ilk savunma hattını oluşturur.

Bu çalışmada, ağ cihazlarına yönelik güvenli yönetim süreçlerini optimize eden AAA servislerinin Cisco Packet Tracer üzerinde RADIUS ve TACACS+ protokolleri ile nasıl yapılandırıldığını ve bu iki protokol arasındaki temel farkları inceliyoruz.

Client IP’ye Router IP’si olarak 192.168.1.1 veya 192.168.2.1 ikisi de girilebilir.

Switch’leri de istersek ekleyebiliriz.

Yetkilendirilen personel listesi

RADIUS:

aaa new-model # AAA özelliğini aktif eder (Authentication, Authorization, Accounting)

radius server Radius # Yeni bir RADIUS sunucusu tanımlanıyor, adı “Radius”

address ipv4 192.168.2.2 # RADIUS sunucusunun IP adresi belirtiliyor

key elma # RADIUS sunucusu ile paylaşılan gizli anahtar (şifre)

exit # RADIUS yapılandırma modundan çıkılır

aaa authentication login default group Radius # Login doğrulamasında varsayılan olarak RADIUS grubunu kullan

enable secret cisco # Enable (yetkili kullanıcı) şifresini belirler

line vty 0 4 # Sanal terminal (uzaktan erişim — Telnet/SSH) hatları 0–4 yapılandırılıyor

login authentication Radius # Bu hatlar için kullanıcı girişi RADIUS ile doğrulanacak

exit # VTY konfigürasyonundan çıkılır

Bu komutlar sayesinde, router ya da switch uzaktan erişim (VTY) üzerinden bağlantı kurulurken kullanıcı adı/parola bilgileri, 192.168.2.2 IP’li RADIUS sunucusuna gönderilerek doğrulanır. AAA ile merkezi kullanıcı yönetimi sağlanır.

TACACS+:

aaa new-model # AAA modelini etkinleştirir

aaa authentication login yetkili group tacacs+ local # “yetkili” adlı doğrulama yöntemi için önce TACACS+, başarısızsa local kullanıcı veritabanı kullanılır

tacacs-server host 192.168.2.2 key elma # TACACS+ sunucusunun IP adresi ve ortak anahtarı belirtiliyor

enable secret cisco # Enable (yetkili kullanıcı) şifresini belirler

ip domain-name banka # RSA anahtar oluşturmak için gereken domain adı

service password-encryption # Yapılandırmadaki şifreleri şifreli gösterir

crypto key generate rsa # RSA anahtarlarını üretmek için kullanılan komut

1024 # RSA anahtar uzunluğu: 1024 bit

username admin password admin123 # Yerel kullanıcı adı ve şifresi tanımlanıyor (TACACS+ başarısız olursa kullanılacak)

line vty 0 4 # VTY hatları 0–4 arası yapılandırılıyor (uzaktan bağlantılar)

login authentication yetkili # Girişte “yetkili” adlı AAA doğrulama yöntemi kullanılır

transport input all # Tüm uzak erişim protokolleri (Telnet, SSH vb.) etkinleştirilir

exit # VTY modundan çıkılır

ip ssh version 2 # SSH sürüm 2 kullanılacak

ip ssh authentication-retries 4 # SSH kimlik doğrulama için maksimum 4 deneme hakkı

ip ssh time-out 30 # SSH oturum açma süresi 30 saniyedir

aaa authorization exec yetkili group tacacs+ # EXEC moduna giriş için yetki kontrolü TACACS+ sunucusuyla yapılır

aaa accounting exec yetkili start-stop group tacacs+ # Kullanıcının EXEC oturumları için muhasebe (giriş/çıkış kayıtları) tutulur, TACACS+ sunucusuna gönderilir

TACACS+ ile merkezi kimlik doğrulama, yetkilendirme ve hesap tutma sağlanır.

Yerel kullanıcı tanımı sayesinde TACACS+ sunucusu erişilemezse sistem çalışmaya devam eder.

SSH ile güvenli uzak bağlantı desteklenir.

Güvenlik ve izlenebilirlik açısından kurumsal bir yapı örneğidir.

Sonuç olarak bu uygulama, ağ cihazlarının yönetimini bireysel bazdan kurtarıp merkezi bir otoriteye bağlayan AAA mimarisinin gücünü; RADIUS ve TACACS+ protokollerinin sunduğu farklı avantajlarla birleştirerek, kurumsal bir yapıda erişim güvenliğinin ve denetlenebilirliğin nasıl en üst seviyeye çıkarılabileceğini teknik detaylarıyla ortaya koymaktadır.