ACS 5.3 and Juniper Authorization

[Carlos Ibarra]

Buenas tardes a todos,

Necesito ayuda para poder autorizar en los equipos Juniper, debido a que solamente estoy logrando usar los atributos de deny-commands en el Shell Profile, pero no me toma los allow-commands ni puedo filtrar los comandos en modo de "configure"

La configuración de mi equipo Juniper es:

• •ü  system {
• •ü     backup-router 10.184.8.140;
• •ü     time-zone America/Santiago;
• •ü     authentication-order [ tacplus password ];
• •ü     root-authentication {
• •ü         encrypted-password "$1$9bKzZBFq$Ej94gx/SYjGpXnZ3ft1"; ## SECRET-DATA
• •ü     }
• •ü     tacplus-server {
• •ü         10.184.8.28 {                  
• •ü             port 49;                  
• •ü             secret "$9$4joGikqfQz6DiA0rgoJDkPTz69A0P5"; ## SECRET-DATA
• •ü             source-address 10.184.8.140;
• •ü         }                              
• •ü     }                                  
• •ü     tacplus-options {                  
• •ü         no-cmd-attribute-value;        
• •ü     }                                  
• •ü     accounting {                      
• •ü         events interactive-commands;  
• •ü         destination {                  
• •ü             tacplus;          
• •ü  login {                            
• •ü         user lab {                    
• •ü             uid 2002;                  
• •ü             class super-user;  

Y el modelo es un M320 SO Junos 10.4R5.5.

De esta manera logro eliminar el comando "configure" cuando un usuario accesa al equipo.

Necesito me apoyen a ver como puedo hacer que solo autorice comandos con el allow-commands y permitir o negar comandos en el modo de configuración.

Gracias.

[Carlos Ibarra]

Logré solucionar el inconveniente. Juniper filtra en modo de configuración por grupos de comandos y no comandos individuales. Si se decea filtrar especificamente un comando se utiliza "Allow/deny-configuration-regexps" pero solo es soportados en Junos 11.2 o superior.

  Si necesitan más detalles por favor contactenme.