使用ISE为IOS和ASA做tacacs+认证

首先TACACS+是基于TCP 49的协议。所以这也能解释tacacs+和radius的基本区别：radius是一个UDP大包被所有的授权结果一股脑的推给终端，而tacacs+的TCP就可以基于每行一个命令一个个授权。
路由器的aaa命令

站在用户的角度思考问题，与客户深入沟通，找到湖南网站设计与湖南网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：网站制作、网站建设、企业官网、英文网站、手机端网站、网站推广、国际域名空间、网页空间、企业邮箱。业务覆盖湖南地区。

aaa group server tacacs+ ISE
server-private 192.168.133.11 key cisco123

aaa new-model

aaa authentication login default group ISE local
aaa authentication enable default group ISE enable
aaa authorization config-commands
aaa authorization exec ISE group ISE local
aaa authorization commands 0 default group ISE local none
aaa authorization commands 1 default group ISE local none
aaa authorization commands 7 default group ISE local none
aaa authorization commands 15 default group ISE local none
aaa accounting exec default start-stop group ISE
aaa accouting commands 0 default start-stop group ISE
aaa acounting commands 1 default start-stop group ISE
aaa acounting commands 7 default start-stop group ISE
aaa accouting commands 15 default start-stop group ISE

讲下default关键字，以前总理解不好。
default method：A default method list is configured globally and is automatically applied to all the interfaces on a device (vty/http/console/AUX)

我个人在最实验的时候觉得privilege 7意义不大，本身可以调用的命令就少。

device admin policy sets也是分成authentication 和authorization，和radius的policy sets类似。authentication policy的目的就是基于正确的protocol（一般都是tacacs+）和别的限制条件(例如可以使用device type等) 使用正确的identity store。

authoriztion policy的授权结果分两部分：command sets 和shell profile 直接截图就知道各自包含什么。
所有命令都permit
使用ISE为IOS和ASA做tacacs+认证