RADIUS rəddi və cavabsızlıq: yerli giriş nə vaxt işləyir

Fövqəladə vəziyyət üçün yerli hesabın saxlanması onu hər rədd edilmiş giriş üçün ikinci şans etmir. Cisco IOS və IOS XE AAA modelində həmin bazaya yalnız əvvəlki metod müəyyən şəkildə uğursuz olduqda müraciət edilir və RADIUS serverinin rədd cavabı verməsi həmin şəkildə uğursuzluq deyil. Yerli hesab əlçatmaz metodu əhatə edir, rədd edilmiş metodu yox. Bunun əksinə inanmaq siyasət qərarını mövcud olmayan server nasazlığının axtarışına çevirir.

Metod siyahısı niyə nərdivan kimi görünür

Belə bir sətir aaa authentication login default group radius local soldan sağa oxunur və çoxu onu əvvəl RADIUS, sonra yerli baza sınaq kimi oxuyur. Sintaksis bu oxunuşa dəvət edir, çünki siyahı ardıcıllıqdır. Semantika daha dardır: siyahı autentifikasiya metodlarını adlandırır və bir metoddan növbətiyə keçid qaydası istifadəçiyə yeni cəhd verməkdən deyil, əvvəlki metodun nəticəsindən asılıdır.

Xəta qaytaran metodla uğursuzluq qaytaran metod burada fərqli nəticələrə gətirir. Rədd cavabdır, çünki server etimad məlumatlarını emal edib yox dedi və siyahı orada dayanır. Əlçatmaz server, vaxtı keçmiş sorğu və ya yoxlanıla bilməyən cavab növbəti metodun işləməsinə imkan verən haldır və yalnız platformanın uğursuzluq emalı bu şəkildə qurulduqda. Klassik məsləhətin local əlavə etməsi buna görə kəsintilərdə işləyir və səhv parollarda heç nə etmir. Siyahını əvəzinə iki sual kimi oxuyun: hansı metod cavab verir və platforma nəyi cavab sayır.

Metod siyahısını server qrupundan ayırın

Metod siyahısı bir qat, server qrupu başqa qatdır. group radius açar sözü daxili sırası, təkrar cəhdləri, taym-autları və ölü server aşkarlanması qrupa aid olan bir qrupu adlandırır, yerli metod isə onun üstündəki qatdır. Buna görə qrup daxilində hər hansı tənzimləmə rəddi ehtiyat yola çevirə bilməz. Hər iki qatı dəyişməzdən əvvəl xidmətin həqiqətən hansı siyahıya istinad etdiyini təsdiqləyin.

AAA konfiqurasiyasını çap edin və xidmətin istinad etdiyi siyahını oxuyun, yazdığınızı xatırladığınız defoltu yox. Bunu xidmətin həqiqətən sonlandığı cihazdan edin.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Server cədvəli hər girişin vəziyyətini və sayğaclarını göstərir, bu da şlüzün cəhd zamanı serverə çatıb-çatmadığını bildirir. Artan sorğu sayğacı ilə işlək kimi işarələnmiş server cavab verib, yəni uğursuz giriş qoşulma problemi deyil, qərardır.

Cavabı jurnaldan əvvəl oxuyun

Cavab kodu nəticəni adlandırır və öz növbəti addımını nəzərdə tutur. Access-Reject arxa təbəqənin qərar verdiyini bildirir, ona görə faydalı sübut uyğun gələn siyasət və onun arxasındakı hesab vəziyyətidir. Access-Challenge deməkdir ki, mübadilə ikinci faktor kimi başqa dəstəklənən addım istəyir və yerli ehtiyat yol siyasətin tələb etdiyi bir şeyi səssizcə atlayardı.

Cavabla arxa təbəqə qeydinin eyni vaxt damğasında müqayisə oluna bilməsi üçün təyin edilmiş test hesabı ilə bir cəhdi təkrarlayın. Uğursuz olmasına icazə verilən etimad məlumatı istifadə edin.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Çatışmayan və ya tanınmayan RADIUS müştəri girişi səssiz taym-autun geniş yayılmış səbəbidir, çünki server sorğunu alır, uyğun müştəri təyini tapmır və cavab vermədən onu atır. Ortaq sirrin uyğunsuzluğu da adətən taym-aut kimi görünür, çünki cavab yoxlamadan keçmir və ləğv edilir. Bunların heç biri Access-Reject kimi görünmür və heç biri yerli hesab əlavə etməklə düzəlmir. Metod siyahısına toxunmazdan əvvəl müştəri təyinatını və sirri hər iki tərəfdə yoxlayın.

Yerli hesab niyə heç vaxt heç nə sübut etmədi

Siyahıda qrupdan sonra gələn hesab yalnız kiminsə kəsinti üçün plan qurduğunu sübut edir. Planın işləyib-işləmədiyi barədə heç nə demir, çünki onu sınağa çəkən hal heç kimin məşq etmədiyi haldır: server cavab verməyi dayandırdı. Normal işləmədə heç vaxt çatılmayan yerli giriş aylarla vaxtı keçmiş parol və ya kilidli vəziyyət daşıya bilər və heç kim fərq etməz.

Fövqəladə giriş dizayn qərarıdır, konfiqurasiyanın yan təsiri deyil. Ona öz məhdud hesabını, öz sahibini və yazılı bərpa prosedurunu verin və ortaq sirrin rotasiyasını həmin prosedura daxil edin. Hər mərkəzi istifadəçi üçün eyni adlı yerli parol saxlamaq, sildiyinizi düşündüyünüz girişi səssizcə geri gətirən nümunədir.

Əhəmiyyətli test qəsdəndir və işləyərkən girişləri kəsəcək. Buna görə də geri qaytarma addımı əvvəlcə yazılmış planlı pəncərəyə aiddir.

Ehtiyat yolu texniki xidmət pəncərəsində yoxlayın

Testi elə sıralayın ki, heç vaxt son giriş yolunu silməyəsiniz. Əvvəlcə müstəqil idarəetmə yolunu, sonra normal icazəli girişi, sonra qəsdən rəddi, sonra təsdiqlənmiş kəsinti davranışını təsdiqləyin. Bu dörd halın gözlənilən nəticələri fərqlidir və onları bir testə yığmaq insanların hələ ehtiyac duyduqları cihazdan özlərini kilidləmə üsuludur.

Hər yoxlamanı konsol sessiyasından və ya zolaqdan kənar yoldan aparın ki, səhv işlədiyiniz sessiyanı bağlaya bilməsin. Konsol sınaqdan keçən komponentdən asılı olmayan yeganə yoldur.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Sonra əvvəlki konfiqurasiyanı bərpa edin və sayğacların növbəti real girişdə yenidən hərəkət etdiyini təsdiqləyin. Əgər qəsdən rədd yerinə yerli giriş yaradırsa, deməli siyahı və ya uğursuzluq emalı inandığınız kimi deyil və bu tapıntı başladığınız kəsintidən üstündür. Nəticəni dəyişiklik qeydinə hesab adlarının və testin tarixinin yanına yazın.