ACS 帳號直接查詢 AD 密碼

前題：要事先完成外部資料庫查詢相關設定
例：資安考量，AD user 需定期修改密碼，
       若 AD user 改密碼，就可以用新密碼登入ACS控管設備了

Password Authentication : 選擇 Windows Database
PAP Password：不需輸入，直接查詢AD

Cisco ACS radius proxy 設定

需求：

client 輸入 帳號@lab.com 向 ACS1 認證 (不存在此帳號)，
會 proxy 到 ACS2 做認證，

並在 ACS1 / ACS2 都留下 "RADIUS Accounting" 記錄

設定：

ACS1 (add ACS server "ACS2")

ACS2 (add AAA client "ACS1") (add user account "jacky2")

ACS1 設定 Proxy Distribution Table

    Character String：@lab.com  (帳號後接字串)(Suffix)
    AAA Servers : 選兩台

    Accounting : Local/Remote

  

結果：

當帳號 jacky2@lab.com 認證成功：

Report "Passed Authentications" => "jacky2" 只會出現在 ACS2 (不帶domain)


Report "RADIUS Accounting" => "jacky2" 出現在 ACS2 (不帶domain)

同時：

Report "RADIUS Accounting" => "jacky2@lab.com" 出現在 ACS1

RadiusTest 工具：


Download the utility by clicking: RadiusTest.zip

ACS 4.2 升級 and Patch

CiscoSecure ACS (未升級前)  Release 4.2(0) Build 124

升級順序：

1. ACS-4.2.1.15-BIN-K9.zip  (Release 4.2(1) Build 15)
   (必需由 4.2.0 升級，不能直接安裝)
   (過程：保留舊有設定，移除舊版，安裝新版)

2. Acs-4.2.1.15.4-SW.zip (Release 4.2(1) Build 15 Patch 4)

   (cmd 視窗 : y)

限制 ACS 群組帳號，只用來認證某 AAA Client.

例：只允許登入 SSLVPN 設備：

一、設定

二、結果 ( 嘗試登入其它設備，認證失敗 )
        原因：User Access Filtered.