AAA là gì?
AAA là viết tắt của ba chức năng cốt lõi quản trị truy cập mạng:
- Authentication (Xác thực): Xác minh bạn là ai – bằng mật khẩu, certificate, MFA, biometrics, Kerberos ticket...
- Authorization (Ủy quyền): Quy định bạn được làm gì – RBAC, ACL, policy, privilege level, command authorization.
- Accounting (Kế toán/Ghi log): Ghi lại bạn đã làm gì – session time, data volume, commands executed, billing, audit trail.
Giao thức AAA phổ biến
| Giao thức | Port | Transport | Mã hóa | Đặc điểm chính |
|---|---|---|---|---|
| RADIUS (Remote Authentication Dial-In User Service) | 1812/1813 (UDP) | UDP | Chỉ mã hóa password trong Access-Request | Tiêu chuẩn IETF, rộng rãi ISP, Wi-Fi 802.1X, VPN, Switch. Không hỗ trợ command authorization. |
| TACACS+ (Terminal Access Controller Access-Control System Plus) | 49 (TCP) | TCP | Mã hóa toàn bộ payload | Cisco proprietary (mở rộng), hỗ trợ command authorization chi tiết, shell profile, multiple privilege levels. Phù hợp quản trị thiết bị mạng. |
| Diameter | 3868 (TCP/SCTP) | TCP/SCTP | TLS/DTLS | Thế hệ sau RADIUS, hỗ trợ roaming, mobile (3G/4G/5G IMS), lớn hơn 32-bit AVPs. |
Triển khai AAA trên thiết bị Cisco (Ví dụ)
! Enable AAA
aaa new-model
! Define RADIUS server group
radius server ISE
address ipv4 10.1.1.10 auth-port 1812 acct-port 1813
key 7 SecretKey123
!
aaa group server radius ISE_GROUP
server name ISE
! Authentication: 802.1X, VPN, Console, VTY
aaa authentication login DEFAULT group ISE_GROUP local
aaa authentication dot1x DEFAULT group ISE_GROUP
aaa authentication ppp DEFAULT group ISE_GROUP
! Authorization: Command privilege, Network access
aaa authorization commands 15 DEFAULT group ISE_GROUP local
aaa authorization exec DEFAULT group ISE_GROUP local
aaa authorization network DEFAULT group ISE_GROUP
! Accounting: Start/Stop, Command
aaa accounting exec DEFAULT start-stop group ISE_GROUP
aaa accounting commands 15 DEFAULT start-stop group ISE_GROUP
aaa accounting connection DEFAULT start-stop group ISE_GROUP
aaa accounting system DEFAULT start-stop group ISE_GROUP
AAA trong Zero Trust & Modern Stack
- Identity Provider (IdP): Azure AD, Okta, Ping Identity – làm Authentication + Conditional Access (Authorization).
- RADIUS proxy: Cloud RADIUS (JumpCloud, Foxpass, Azure MFA NPS Extension) cho Wi-Fi/VPN 802.1X.
- TACACS+ thay thế: TACACS.net, tac_plus-ng, hoặc dùng SSH Certificate + RBAC (NetBox, Ansible, Terraform) cho network automation.
- Accounting → SIEM: Log RADIUS/TACACS+ Accounting gửi Splunk/Elastic/Graylog để correlation, UEBA.
Tóm tắt nhớ lâu
Authentication = "Who are you?" (Ai?)
Authorization = "What can you do?" (Được làm gì?)
Accounting = "What did you do?" (Đã làm gì?)