本节书摘来自异步社区《局域网交换机安全》一书中的第1章,第1.3节,作者【美】Eric Vyncke , Christopher Paggen, 更多章节内容可以访问云栖社区“异步社区”公众号查看
1.3 访问控制和身份管理
局域网交换机安全
在网络中,最典型的控制就是访问控制。当行为主体(subjects)(主动实体,比如一个用户、工作站、程序、IP地址等)发起访问一个对象(object)(被动实体,比如一个以太网VLAN、文件、服务器、Internet等)时,必须检查其安全策略并强制执行。
访问控制可以如Cisco IOS访问控制列表(ACL)般简单,也可以更为复杂并基于一个用户的身份(关于访问控制的更多信息,请见第17章)。
身份管理依赖于身份(identification)、认证(authentication)、授权(authorization)以及审计(audit)。
身份:仅仅是主体的名字(诸如一个微软的活动目录用户名或一个IP地址)。
认证:能证明身份的证据,这通常要借助于“通行证(credentials)”(比如,一个密码)来完成,不被认证的身份几乎毫无价值。
授权:一组被授权的访问权力的集合(即哪些主体可以访问哪些对象)。在网络中主要使用ACL来进行授权。
审计(也被称为记账(Accouting)):主体所留下的访问及行为记录,据此可以对任一给定事件序列进行检查。其主要目的是用于取证。在网络中,将与协议相关的事件消息记录到服务器上的行为(像syslog那样),就是出于审计的考虑。
以下是这4步的简化形式。
步骤1 身份:你是谁?
步骤2 认证:证明你自己。
步骤3 授权:你可以做什么?
步骤4 审计:你做了什么?
在网络中,经常将身份(Identification)与认证(Authentication)混淆起来。例如,使用了一个数据包的IP地址(仅仅是个身份)对该包的IP地址加以信任,就好像它已经通过了认证一样(要想加以认证,就必须提供真实的证据以证明该IP地址确实发送了该数据包)。
通常会用一个被称为认证服务器的专用服务器对身份进行集中管理。如图1-3所示,网络设备使用RADIUS或TACACS+协议与认证服务器安全地进行通信。