AAA ย่อมาจากคำอะไร?
AAA = Authentication, Authorization, Accounting (การยืนยันตัวตน, การอนุมัติ, การบันทึกบัญชี)
เป็นเฟรมเวิร์กควบคุมการเข้าถึงทรัพยากรเครือข่าย บังคับนโยบาย ตรวจสอบการใช้งาน และรองรับการเรียกเก็บเงิน (Billing)
องค์ประกอบ 3 ส่วนของ AAA
| ส่วน | ชื่อ | หน้าที่ | ตัวอย่าง |
|---|---|---|---|
| 1 | Authentication (การยืนยันตัวตน) | ตรวจสอบว่า "คุณคือใคร" ยืนยันตัวตนผู้ใช้ | Username/Password, MFA, Certificate, Biometrics, OTP |
| 2 | Authorization (การอนุมัติ) | กำหนดว่า "คุณทำอะไรได้บ้าง" สิทธิ์การเข้าถึง | RBAC, ACL, Policy-based Access, Privilege Levels |
| 3 | Accounting (การบันทึกบัญชี) | บันทึกว่า "คุณทำอะไรไป" Audit Trail, Billing | Login/Logout time, Commands executed, Data volume, Session duration |
AAA กับ RADIUS และ TACACS+
| คุณสมบัติ | RADIUS | TACACS+ |
|---|---|---|
| โปรโตคอล | UDP (Port 1812/1813) | TCP (Port 49) |
| การเข้ารหัส | เข้ารหัสเฉพาะ Password ในแพ็กเก็ต | เข้ารหัสทั้งแพ็กเก็ต (Full Packet Encryption) |
| Authentication & Authorization | รวมกันใน Access-Request เดียว | แยกกัน (Authentication แยก Authorization) |
| Command Authorization | ไม่รองรับ | รองรับ (ระดับคำสั่ง CLI) |
| มาตรฐาน | IETF Standard (Open) | Cisco Proprietary (แต่อบลิขสิทธิ์) |
| ใช้งานกับ | Network Access (VPN, Wi-Fi, 802.1X) | Device Administration (Router, Switch, Firewall CLI) |
AAA ใน Cisco IOS
aaa new-model
aaa authentication login default group radius local
aaa authorization exec default group radius local
aaa accounting exec default start-stop group radius
radius server MY_RADIUS
address ipv4 192.168.1.100 auth-port 1812 acct-port 1813
key CISCO123
AAA Server (ACS/ISE)
เซิร์ฟเวอร์ AAA 專用 (เช่น Cisco ISE - Identity Services Engine) ให้บริการ Authentication, Authorization, Accounting แบบรวมศูนย์ (Centralized) รองรับหลายโปรโตคอล (RADIUS, TACACS+, SAML, OAuth)
สรุป
AAA เป็นหัวใจของการควบคุมการเข้าถึงเครือข่าย (Network Access Control) แยกหน้าที่ "คุณคือใคร" "คุณทำอะไรได้" และ "คุณทำอะไรไป" ช่วยให้องค์กรบังคับนโยบายความปลอดภัยและตรวจสอบ (Audit) ได้อย่างมีประสิทธิภาพ
