رفض RADIUS مقابل عدم الرد: متى يعمل تسجيل الدخول المحلي

لا يجعل الاحتفاظ بحساب محلي للطوارئ منه فرصة ثانية لكل تسجيل دخول مرفوض. في نموذج AAA في Cisco IOS و IOS XE، لا يُرجَع إلى قاعدة البيانات تلك إلا عندما تفشل الطريقة السابقة بطريقة محددة، وخادم RADIUS الذي يرد بالرفض لم يفشل بتلك الطريقة. يغطي الحساب المحلي طريقة غير قابلة للوصول، لا طريقة مرفوضة. والاعتقاد بغير ذلك يحوّل قراراً سياسياً إلى بحث عن عطل في الخادم غير موجود.

لماذا تبدو قائمة الطرق كسلم

سطر مثل aaa authentication login default group radius local يُقرأ من اليسار إلى اليمين، ويقرأه معظم الناس على أنه جرّب RADIUS ثم جرّب قاعدة البيانات المحلية. الصياغة تدعو إلى تلك القراءة لأن القائمة تسلسل. أما الدلالة أضيق: القائمة تسمّي طرق المصادقة، وقاعدة الانتقال من طريقة إلى التالية تعتمد على نتيجة الطريقة السابقة لا على منح المستخدم محاولة أخرى.

الطريقة التي تعيد خطأً والطريقة التي تعيد فشلاً تؤديان هنا إلى نتيجتين مختلفتين. الرفض إجابة، لأن الخادم عالج بيانات الاعتماد وقال لا، والقائمة تتوقف عند ذلك. أما الخادم غير القابل للوصول أو الطلب المنتهي أو الرد الذي لا يمكن التحقق منه فهو الحالة التي تسمح بتشغيل الطريقة التالية، وذلك فقط حيث تُضبط معالجة الفشل في المنصة على هذا النحو. لهذا تعمل النصيحة الكلاسيكية بإضافة local مع الانقطاعات ولا تفعل شيئاً مع كلمات المرور الخاطئة. اقرأ القائمة بدلاً من ذلك كسؤالين: أي طريقة تجيب، وما الذي تعتبره المنصة إجابة.

افصل قائمة الطرق عن مجموعة الخوادم

قائمة الطرق طبقة، ومجموعة الخوادم طبقة أخرى. الكلمة المفتاحية group radius تسمّي مجموعة ينتمي ترتيبها الداخلي وإعادات المحاولة والمهلات وكشف الخادم الميت إلى المجموعة، بينما الطريقة المحلية طبقة فوقها. لذلك لا يمكن لأي ضبط داخل المجموعة أن يحوّل الرفض إلى احتياطي. تأكد من القائمة التي تشير إليها الخدمة فعلاً قبل تغيير أي من الطبقتين.

اطبع إعداد AAA واقرأ القائمة التي تشير إليها الخدمة، لا الإعداد الافتراضي الذي تتذكر أنك كتبته. افعل ذلك من الجهاز الذي تنتهي عليه الخدمة فعلاً.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

يعرض جدول الخوادم حالة كل مدخل وعدّاداته، وهذا يخبرك ما إذا كانت البوابة وصلت إلى الخادم أثناء المحاولة. الخادم الموسوم بأنه يعمل مع عدّاد طلبات متزايد كان يجيب، لذا فشل تسجيل الدخول قرار لا مشكلة اتصال.

اقرأ الرد قبل أن تقرأ السجل

يسمّي رمز الرد النتيجة ويستلزم خطوته التالية. Access-Reject يعني أن الخلفية اتخذت قراراً، لذا فالدليل المفيد هو السياسة التي طابقت وحالة الحساب وراءها. Access-Challenge يعني أن التبادل يريد خطوة مدعومة أخرى مثل عامل ثانٍ، وأن الاحتياطي المحلي سيتخطى بهدوء شيئاً تتطلبه السياسة.

أعد إنتاج محاولة واحدة بحساب اختبار مخصص حتى يمكن مقارنة الرد وسجل الخلفية في الطابع الزمني نفسه. استخدم بيانات اعتماد يُسمح لك بإفشالها.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

غياب مدخل عميل RADIUS أو عدم التعرف عليه سبب شائع لمهلة صامتة، لأن الخادم يتلقى الطلب فلا يجد تعريف عميل مطابقاً ويسقطه دون أن يجيب. عدم تطابق السر المشترك يبدو أيضاً كمهلة عادةً، لأن الرد يفشل في التحقق فيُهمل. لا شيء من ذلك يبدو مثل Access-Reject، ولا شيء منه يُصلح بإضافة حساب محلي. افحص تعريف العميل والسر على الجانبين قبل أن تمس قائمة الطرق.

لماذا لم يثبت الحساب المحلي شيئاً قط

الحساب الذي يأتي بعد مجموعة في القائمة يثبت فقط أن أحداً خطط لانقطاع. لا يقول شيئاً عن نجاح الخطة، لأن الحالة التي تمتحنها هي الحالة التي لا يتدرب عليها أحد: توقف الخادم عن الإجابة. تسجيل دخول محلي لا يُبلغ أبداً في التشغيل العادي قد يحمل كلمة مرور منتهية أو حالة مقفلة لأشهر دون أن يلاحظ أحد.

الوصول للطوارئ قرار تصميم لا أثر جانبي للإعداد. أعطه حساباً مقيداً خاصاً به ومالكاً خاصاً به وإجراء استرداد مكتوباً، وأدرج تدوير السر المشترك في ذلك الإجراء. الاحتفاظ بكلمة مرور محلية بالاسم نفسه لكل مستخدم مركزي هو النمط الذي يعيد بهدوء الوصول الذي ظننت أنك أزلته.

الاختبار الذي يهم متعمد، وسيقطع تسجيلات الدخول أثناء تشغيله. ولهذا بالضبط ينتمي إلى نافذة مجدولة تُكتب فيها خطوة التراجع أولاً.

تحقق من مسار الاحتياطي خلال نافذة صيانة

رتّب الاختبار بحيث لا تزيل أبداً آخر طريق للدخول. أكّد أولاً مسار إدارة مستقلاً، ثم الوصول المسموح العادي، ثم رفضاً متعمداً، ثم سلوك الانقطاع المعتمد. لتلك الحالات الأربع نتائج متوقعة مختلفة، ودمجها في اختبار واحد هو كيف يحبس الناس أنفسهم خارج جهاز ما زالوا يحتاجونه.

نفّذ كل فحص من جلسة طرفية أو من مسار خارج النطاق، حتى لا يغلق خطأ الجلسة التي تعمل فيها. الطرفية هي المسار الوحيد الذي لا يعتمد على المكوّن قيد الاختبار.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

بعد ذلك، أعد الإعداد السابق وتأكد من تحرك العدّادات مجدداً عند تسجيل الدخول الحقيقي التالي. إذا أنتج الرفض المتعمد تسجيل دخول محلياً بدلاً من الرفض، فالقائمة أو معالجة الفشل ليست كما اعتقدت، وتلك النتيجة تتفوق على الانقطاع الذي بدأت به. اكتب النتيجة في سجل التغيير بجانب أسماء الحسابات وتاريخ الاختبار.