Адмова RADIUS супраць адсутнасці адказу: калі працуе лакальны ўваход

Захаванне лакальнага ўліковага запісу на выпадак надзвычайнай сітуацыі не робіць яго другой спробай для кожнага адхіленага ўваходу. У мадэлі AAA Cisco IOS і IOS XE да гэтай базы звяртаюцца толькі тады, калі папярэдні метад збаўляе пэўным чынам, а сервер RADIUS, які адказвае адмовай, збаўляе не так. Лакальны запіс пакрывае недасяжны метад, а не адхілены. Калі верыць інакш, палітычнае рашэнне ператвараецца ў пошук няспраўнасці сервера, якой не існуе.

Чаму спіс метадаў выглядае як лесвіца

Радок накшталт aaa authentication login default group radius local чытаецца злева направа, і большасць людзей чытае яго як «паспрабуй RADIUS, потым паспрабуй лакальную базу». Сінтаксіс запрашае да такога чытання, бо спіс — гэта паслядоўнасць. Семантыка вузейшая: спіс называе метады аўтэнтыфікацыі, а правіла пераходу ад аднаго да наступнага залежыць ад выніку папярэдняга метаду, а не ад давання карыстальніку яшчэ адной спробы.

Метад, які вяртае памылку, і метад, які вяртае збой, прыводзяць тут да розных вынікаў. Адмова — гэта адказ, бо сервер апрацаваў уліковыя даныя і сказаў не, і спіс спыняецца там. Недасяжны сервер, састарэлы запыт або адказ, які нельга праверыць, — гэта выпадак, які дазваляе запусціць наступны метад, і толькі там, дзе апрацоўка збояў платформы наладжана менавіта так. Вось чаму класічная парада дадаць local працуе падчас перапынкаў і не робіць нічога пры няправільных паролях. Чытайце спіс замест гэтага як два пытанні: які метад адказвае і што платформа лічыць адказам.

Аддзяліце спіс метадаў ад групы сервераў

Спіс метадаў — гэта адзін узровень, а група сервераў — другі. Ключавое слова group radius называе групу, унутраны парадак, паўторы, тайм-аўты і выяўленне мёртвага сервера якой належаць групе, а лакальны метад — узровень над ёй. Таму любая наладка ўнутры групы не можа ператварыць адмову ў рэзервовы шлях. Пацвердзіце, на які спіс сапраўды спасылаецца служба, перш чым змяняць любы з узроўняў.

Надрукуйце канфігурацыю AAA і прачытайце спіс, на які спасылаецца служба, а не значэнне па змаўчанні, якое вы памятаеце, што пісалі. Рабіце гэта з прылады, на якой служба сапраўды завяршаецца.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Табліца сервераў паказвае стан кожнага запісу і яго лічыльнікі, што гаворыць вам, ці дасягнуў шлюз сервера падчас спробы. Сервер, пазначаны як працуючы з растучым лічыльнікам запытаў, адказваў, таму няўдалы ўваход — гэта рашэнне, а не праблема злучэння.

Прачытайце адказ раней за журнал

Код адказу называе вынік і прадвызначае ўласны наступны крок. Access-Reject азначае, што бэкенд прыняў рашэнне, таму карысныя доказы — гэта палітыка, якая супала, і стан уліковага запісу за ёй. Access-Challenge азначае, што абмен патрабуе яшчэ аднаго падтрыманага кроку, напрыклад другога фактара, і лакальны рэзервовы шлях маўкліва прапусціў бы нешта, што патрабуе палітыка.

Узнавіце адну спробу з прызначаным тэставым уліковым запісам, каб адказ і запіс бэкенда можна было параўнаць у адзін і той жа час. Выкарыстайце ўліковыя даныя, якія вам дазволена праваліць.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Адсутны або нераспазнаны запіс кліента RADIUS — частая прычына маўклівага тайм-аўту, бо сервер атрымлівае запыт, не знаходзіць адпаведнага вызначэння кліента і адкідвае яго, не адказваючы. Нясупадзенне агульнага сакрэту таксама звычайна выглядае як тайм-аўт, бо адказ не праходзіць праверку і адкідваецца. Ні адзін з гэтых выпадкаў не выглядае як Access-Reject, і ні адзін не выпраўляецца даданнем лакальнага ўліковага запісу. Праверце вызначэнне кліента і сакрэт з абодвух бакоў, перш чым кранаць спіс метадаў.

Чаму лакальны запіс нічога не даказваў

Запіс, які стаіць пасля групы ў спісе, даказвае толькі тое, што хтосьці прадугледзеў перапынак. Ён нічога не кажа пра тое, ці працуе план, бо выпадак, які яго прыводзіць у дзеянне, — гэта выпадак, які ніхто не рэпеціруе: сервер спыніў адказваць. Лакальны ўваход, які ніколі не дасягаецца ў звычайнай працы, можа месяцамі насіць састарэлы пароль або заблакіраваны стан, і ніхто гэтага не заўважыць.

Доступ для надзвычайных сітуацый — гэта рашэнне праектавання, а не пабочны эфект канфігурацыі. Дайце яму ўласны абмежаваны ўліковы запіс, уласнага ўладальніка і пісьмовую працэдуру аднаўлення, і ўключыце ратацыю агульнага сакрэту ў гэтую працэдуру. Захаванне лакальнага пароля з аднолькавай назвай для кожнага цэнтральнага карыстальніка — гэта шаблон, які маўкліва вяртае доступ, які вы думалі, што выдалілі.

Тэст, які мае значэнне, наўмысны, і ён перапыніць уваходы, пакуль ідзе. Менавіта таму ён належыць запланаванаму акну, дзе крок адкату напісаны першым.

Праверце рэзервовы шлях падчас акна абслугоўвання

Выбудуйце тэст так, каб ніколі не выдаляць апошні шлях унутр. Спачатку пацвердзіце незалежны шлях кіравання, потым звычайны дазволены доступ, потым наўмысную адмову, потым зацверджаныя паводзіны пры перапынку. Гэтыя чатыры выпадкі маюць розныя чаканыя вынікі, і звядзенне іх у адзін тэст — гэта тое, як людзі замыкаюць сябе з прылады, якая ім яшчэ патрэбна.

Праводзьце кожную праверку з консольнай сесіі або пазапаласнага шляху, каб памылка не магла зачыніць сесію, у якой вы працуеце. Кансоль — гэта адзіны шлях, які не залежыць ад кампанента, што тэстуецца.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Пасля гэтага аднавіце папярэднюю канфігурацыю і пацвердзіце, што лічыльнікі зноў рухаюцца пры наступным рэальным уваходзе. Калі наўмысная адмова дае лакальны ўваход замест адмовы, то спіс або апрацоўка збояў не такія, як вы лічылі, і гэтая знаходка важнейшая за перапынак, з якога вы пачалі. Запішыце вынік у запіс змен побач з назвамі ўліковых запісаў і датай тэсту.