Cisco_ACS.pdf

简介：
Cisco ACS（Cisco Adaptive Security Device Manager/Authorization Service）是一款用于管理网络设备访问控制和授权服务的安全软件解决方案。文档内容涉及其配置、使用及最佳实践。 在使用ACS 5.0版本创建可下载的IP ACL时,您可以定义适用于多个用户或用户组的ACL规则集，这些规则被称为ACL内容。 当ACS授权网络访问请求时，它会检查分配给该用户的授权配置文件中是否包含可下载的IP ACL。如果存在这样的ACL，则ACS会在RADIUS响应包中的Cisco cisco-av-pair属性里指定已命名的ACL及其版本号。若AAA客户端未缓存所要求的ACL版本（即新创建或修改了），则ACS会将新的或更新后的ACL发送给设备。 可下载IP ACL通过在cisco-av-pair 属性中替代传统的静态访问控制列表配置，为每个用户或用户组提供个性化的网络访问权限。您可以在ACS Web界面一次性定义并命名一个可下载的IP ACL，然后将其分配至所需的所有授权配置文件内。这种方法相较于手动输入ACL命令更加高效。 在创建和编辑ACL时，请避免使用特定的关键字或名称条目；同时确保遵循标准的AAA客户端使用的ACL命令语法与语义规则。每个单独的ACL定义需要包含一个或者多个独立行的命令。 值得注意的是，您可以根据访问服务授权规则中的条件为不同的用户组发送不同版本的可下载IP ACL，并且可以随时更改这些ACL的内容以适应不断变化的安全需求。ACS在查找要应用的ACL内容时会从顶部开始检查列表；为了提高系统效率，在定义顺序上应将适用范围最广的ACL放在较高位置，以便于快速匹配和执行。