使用Windows NPS进行Cisco路由器aaaauthentication – 这是否安全？

我在Cisco路由器上设置了RADIUS身份validation，并将其指向Windows NPS。现在我可以用AD帐号YAY进入路由器。

但是现在我已经开始工作了，我正在检查设置以确保一切安全。

在我的路由器上，configuration非常简单：

aaa new-model aaa group server radius WINDOWS_NPS server-private 123.123.123.123 auth-port 1812 acct-port 1813 key mykey aaa authentication login default local group WINDOWS_NPS ip domain-name MyDom crypto key generate rsa (under vty and console)# login authentication default

在Windows NPS上：

我为路由器创build了一个新的RADIUS客户端。
创build了一个共享密钥，并将Cisco指定为供应商名称。
用我所需的条件创build了一个新的networking策略。
现在networking策略configuration的一部分让我很担心：

在这里输入图像说明

我读到Cisco只支持未encryption的方法，但我认为使用任何不使用证书的身份validation方法是非常不安全的（即使MS-CHAP-v2被认为是超级不安全的）。

那么我的AD证书是通过纯文本的电线发送的？

我的另一个问题是，如果一个黑客得到我的RADIUS共享的秘密他们真的有什么？如果共享密钥受到威胁，我必须在所有路由器上生成一个新密码？

首先，我知道这是古老的，但要清除后人的logging。

您是非常关心的，但是无论是思科还是其他任何供应商似乎都不愿意解决您确定的问题。使用RADIUS（或TACACS +）进行身份validation时，使用您configuration的共享密钥对密码进行encryption。请注意，共享密钥在configuration中存储为types7，意味着任何具有config的人都可以破解types7并恢复密钥。将钥匙插入wireshark，所有密码和双因子PINS会立即断开。此外，RADIUS和TACACS +使用的encryption是基于MD5哈希，这被认为是非常不安全的，所以暴力破解秘密是不成问题的。

在这一点上，你可以做的最好的是确保你使用的键非常强大。我会推荐使用像https://www.random.org/passwords/这样的东西，并生成至less12个字符长的唯一键，这应该使暴力强迫键不可能。

此外，请确保只有受信任的个人拥有该configuration，并且能够看到RADIUS或TACACS +共享密钥。

第三，今年晚些时候观察交换机IOS的新版本，以支持一个名为“AAA安全可逆密码”的function。目前ISR路由器的代码非常晚，并且安全地对密钥进行了encryption，从而消除了一些漏洞。

最后，向思科和其他供应商抱怨这些问题。我build议的解决scheme是对MSCHAPv2的通用支持，它是可破坏的（DES等同的），但是仍然好得多，明显的文本和对REALencryption的支持要么通过在客户端使用现有的PEAPv1-MSCHAPv2和PEAPv1-GTCalgorithm，创buildSTACACS + SSL上的TACACS）或DIAMETER的实现。