📘 COURS AAA
🔐 I. Introduction – Qu’est-ce que AAA ?
AAA est un système de gestion d’accès pour les équipements réseau (routeur, switch,
firewall...).
Il permet de sécuriser l’accès, gérer les droits et surveiller l’activité des utilisateurs.
🧱 II. Composants de AAA
Élément Description simple
Authentication Vérifie qui tu es (login + mot de passe)
Authorization Vérifie ce que tu peux faire (accès total ou limité)
Garde une trace/log de ce que tu fais (quand, combien de temps,
Accounting
quelles actions)
🌐 III. Protocoles AAA utilisés – Version améliorée
Protocole Port utilisé Transport Niveau de sécurité Détails importants
UDP 1812 Moyen (mot de Combine Auth + Autorisation
RADIUS (auth), 1813 UDP passe chiffré ensemble, rapide, utilisé en
(acct) seulement) entreprise
Auth, Autorisation, Accounting
Élevé (tout est
TACACS+ TCP 49 TCP séparés. Plus sécurisé et détaillé.
chiffré)
Recommandé pour Cisco
🧠 À retenir :
RADIUS est souvent utilisé pour les accès VPN, WiFi, etc.
TACACS+ est préféré pour les accès aux équipements Cisco (ligne VTY, console, etc.)
⚙️CONFIGURATION AAA
✅ SCÉNARIO 1 – AAA LOCAL (Utilisateur enregistré sur
le routeur)
📋 Objectif :
Protéger l’accès au routeur via SSH.
Authentification avec un compte local (stocké dans le routeur).
+--------+ +----------------+
| PC | --------> | ROUTEUR |
+--------+ +----------------+
| IP: [Link]
| User: admin / cisco123
+--------------------------+
🖥️Commandes expliquées :
1. Passer en mode privilégié (enable)
Router> enable
🔍 Pourquoi ? : Pour avoir accès aux commandes de configuration.
2. Entrer en mode configuration globale
Router# configure terminal
🔍 Pourquoi ? : Pour modifier la configuration du routeur.
3. Activer AAA (nouveau système de sécurité)
Router(config)# aaa new-model
🔍 Pourquoi ? : C’est obligatoire pour activer les fonctions AAA.
4. Créer un utilisateur local
Router(config)# username admin secret cisco123
🔍 Pourquoi ? : Tu ajoutes un utilisateur avec un mot de passe chiffré.
5. Définir une méthode d’authentification
Router(config)# aaa authentication login default local
🔍 Pourquoi ? : Tu indiques que l’authentification doit utiliser les utilisateurs locaux.
6. Préparer SSH (accès sécurisé)
Router(config)# ip domain-name [Link]
Router(config)# crypto key generate rsa
🔍 Pourquoi ? : Pour que SSH fonctionne, le routeur a besoin d’un nom de domaine et
d’une clé RSA.
7. Configurer les lignes VTY (accès distant)
Router(config)# line vty 0 4
Router(config-line)# login authentication default
Router(config-line)# transport input ssh
🔍 Pourquoi ? :
line vty 0 4 = lignes de connexion distante
login authentication default = utilise AAA local
transport input ssh = refuse Telnet, autorise SSH uniquement
✅ SCÉNARIO 2 – AAA avec RADIUS
📋 Objectif :
Utiliser un serveur RADIUS externe pour l’authentification.
Si le serveur ne répond pas, utiliser un utilisateur local de secours.
+---------+ +---------------+ +-----------------------+
| PC | ---------> | ROUTEUR | --------> | SERVEUR RADIUS|
+---------+ +----------------+ +-----------------------+
| IP: [Link] | IP: [Link]
| Clé: monsecret | Port: 1812 (auth)
| Port: 1813 (acct)
🖥️Commandes expliquées :
1. Accéder au mode configuration
Router> enable
Router# configure terminal
2. Activer AAA
Router(config)# aaa new-model
3. Ajouter le serveur RADIUS
Router(config)# radius-server host [Link] auth-port
1812 acct-port 1813 key monsecret
🔍 Pourquoi ? :
Tu indiques l’adresse IP du serveur, les ports utilisés, et la clé secrète partagée entre le
routeur et le serveur.
4. Définir une méthode d’authentification
Router(config)# aaa authentication login default group
radius local
🔍 Pourquoi ? :
Le routeur tente d’abord le serveur RADIUS
Si ça ne marche pas, il utilise les utilisateurs locaux
5. Ajouter un utilisateur local de secours
Router(config)# username secours secret secours123
🔍 Pourquoi ? : Pour avoir un accès de secours si le serveur est hors ligne.
6. Configurer l’accès SSH
Router(config)# ip domain-name [Link]
Router(config)# crypto key generate rsa
7. Configurer l’accès distant (lignes VTY)
Router(config)# line vty 0 4
Router(config-line)# login authentication default
Router(config-line)# transport input ssh
✅ SCÉNARIO 3 – AAA avec TACACS+
📋 Objectif :
Authentifier les utilisateurs via un serveur TACACS+
Séparer les fonctions authentification, autorisation, accounting
Sécurité maximale (tout est chiffré)
+---------+ +----------------+ +-------------------------+
| PC | ---------> | ROUTEUR | ---------> | SERVEUR TACACS+|
+---------+ +----------------+ +-------------------------+
| IP: [Link] | IP: [Link]
| Clé: cletacacs | Port: 49 (par défaut)
🖥️Commandes expliquées :
1. Mode configuration globale
Router> enable
Router# configure terminal
2. Activer AAA
Router(config)# aaa new-model
3. Ajouter le serveur TACACS+
Router(config)# tacacs-server host [Link] key
cletacacs
🔍 Pourquoi ? :
Tu déclares l’IP du serveur TACACS+ et la clé secrète utilisée pour chiffrer la
communication.
4. Définir la méthode d’authentification
Router(config)# aaa authentication login default group
tacacs+ local
🔍 Pourquoi ? :
Tente d’abord TACACS+
Utilise un utilisateur local si le serveur est hors ligne
5. Créer un utilisateur local de secours
Router(config)# username secours secret secours123
6. Préparer SSH
Router(config)# ip domain-name [Link]
Router(config)# crypto key generate rsa
7. Configurer les lignes VTY
Router(config)# line vty 0 4
Router(config-line)# login authentication default
Router(config-line)# transport input ssh
Équipement Adresse IP
🖥️PC [Link]
🌐 Interface Routeur [Link]
📡 Serveur RADIUS [Link]
📡 Serveur TACACS+ [Link]
