AAA - Authentication, Authorization, Accounting

AAA adalah kerangka kerja keamanan yang mengontrol siapa yang diizinkan mengakses jaringan (Authentication), apa yang boleh mereka lakukan setelah masuk (Authorization), dan mencatat aktivitas mereka untuk audit dan billing (Accounting). Ketiga komponen ini menjadi fondasi manajemen identitas dan akses (Identity & Access Management) di hampir semua infrastruktur jaringan modern.

Authentication - Siapa Anda?

Authentication memverifikasi identitas pengguna atau perangkat sebelum mengizinkan akses ke jaringan. Metode yang umum digunakan:

• Local authentication: Kredensial disimpan langsung di perangkat (router, switch, firewall). Cocok untuk skala kecil (1 - 5 perangkat) tetapi tidak praktis untuk lingkungan besar karena setiap perubahan harus dilakukan secara manual di setiap perangkat.
• Server-based authentication: Kredensial diverifikasi oleh server terpusat seperti RADIUS atau TACACS+. Perangkat jaringan hanya bertindak sebagai client (NAS - Network Access Server) yang meneruskan permintaan ke server. Keuntungan utamanya adalah konsistensi kebijakan, kemudahan auditing, dan skalabilitas.

Protokol otentikasi yang umum digunakan di server-based authentication antara lain PAP, CHAP, MS-CHAPv2, dan EAP (Extensible Authentication Protocol). EAP memungkinkan integrasi dengan metode modern seperti sertifikat digital, token OTP, dan biometrik.

Authorization - Apa yang Boleh Dilakukan?

Setelah pengguna terautentikasi, authorization menentukan hak akses mereka. Di lingkungan Cisco, hal ini diatur melalui privilege levels (0 - 15):

Administrator dapat membuat level kustom (2 - 14) dengan serangkaian perintah spesifik menggunakan privilege exec level <level> <command>. Cisco IOS juga mendukung role-based CLI access yang lebih granular melalui parser views.

Pada server-based authorization, kebijakan akses dikirim oleh server AAA dalam bentuk atribut, misalnya:

• RADIUS: Cisco-AV-Pair, Service-Type, dan atribut vendor-spesifik.
• TACACS+: Setiap perintah dapat diotorisasi secara individual (per-command authorization).

Accounting - Apa yang Sudah Dilakukan?

Accounting mencatat aktivitas pengguna untuk keperluan auditing, troubleshooting, dan billing. Dua mode utama yang didukung Cisco AAA:

• Start-Stop Accounting: Server AAA menerima pesan "start" saat sesi dimulai dan "stop" saat sesi berakhir. Mode ini memberikan informasi lengkap termasuk durasi sesi, jumlah data yang dikirim/diterima, dan alasan pemutusan.
• Stop-Only Accounting: Server hanya menerima pesan "stop" di akhir sesi. Lebih ringan secara overhead tetapi tidak memberikan notifikasi real-time tentang sesi yang aktif.

Informasi yang dictatat meliputi username, timestamp, alamat IP sumber, perintah yang dijalankan, dan perubahan konfigurasi.

Implementasi di Dunia Nyata

Cisco AAA (RADIUS/TACACS+)

Cisco IOS/XE/XR menggunakan perintah aaa new-model untuk mengaktifkan AAA. Contoh konfigurasi dasar untuk RADIUS:

aaa new-model
radius server RAD-SERVER
 address ipv4 192.168.1.100 auth-port 1812 acct-port 1813
 key R4D1u5K3y
aaa authentication login default group radius local
aaa authorization exec default group radius local
aaa accounting exec default start-stop group radius

FreeRADIUS

FreeRADIUS adalah server RADIUS open-source paling populer. Konfigurasi utama berada di /etc/freeradius/:

• clients.conf: Mendefinisikan NAS (Network Access Server) yang diizinkan.
• users: Database user lokal untuk autentikasi.
• policy.d/: Kebijakan authorization dan logging.

Kesimpulan

AAA menyediakan framework keamanan tiga lapis yang esensial untuk manajemen akses jaringan skala enterprise. Authentication memverifikasi identitas, authorization mengontrol akses, dan accounting menyediakan jejak audit. Kombinasi server-based AAA (RADIUS/TACACS+) dengan perangkat jaringan memberikan solusi terpusat, skalabel, dan aman yang menjadi standar industri.