Odbijanje RADIUS-a nasuprot bez odgovora: kada radi lokalna prijava

Držanje lokalnog računa za nuždu ne čini ga drugom šansom za svaku odbijenu prijavu. U AAA modelu Cisco IOS i IOS XE ta baza se provjerava samo kada prethodni metod ne uspije na određen način, a RADIUS server koji odgovori odbijanjem nije neuspio na taj način. Lokalni račun pokriva nedostupan metod, a ne odbijeni. Vjerovanje u suprotno pretvara odluku politike u potragu za kvarom servera kojeg nema.

Zašto lista metoda izgleda kao ljestve

Linija poput aaa authentication login default group radius local čita se slijeva nadesno, i većina ljudi to čita kao probaj RADIUS, pa probaj lokalnu bazu. Sintaksa poziva na takvo čitanje jer je lista niz. Semantika je uža: lista imenuje metode autentifikacije, a pravilo prelaska s jedne na sljedeću zavisi od rezultata prethodnog metoda, a ne od davanja korisniku još jednog pokušaja.

Metod koji vraća grešku i metod koji vraća neuspjeh ovdje vode do različitih ishoda. Odbijanje je odgovor, jer je server obradio akreditive i rekao ne, i lista se tu zaustavlja. Nedostupan server, istekao zahtjev ili odgovor koji se ne može provjeriti jest slučaj koji pušta sljedeći metod da radi, i to samo tamo gdje je platformsko rukovanje neuspjesima tako postavljeno. Zato klasičan savjet da dodate local radi kod prekida i ne čini ništa kod pogrešnih lozinki. Čitajte listu umjesto toga kao dva pitanja: koji metod odgovara i šta platforma smatra odgovorom.

Odvojite listu metoda od grupe servera

Lista metoda je jedan sloj, a grupa servera drugi. Ključna riječ group radius imenuje grupu čiji unutrašnji redoslijed, ponovni pokušaji, vremenska ograničenja i otkrivanje mrtvog servera pripadaju grupi, dok je lokalni metod sloj iznad nje. Zato podešavanje bilo čega unutar grupe ne može pretvoriti odbijanje u rezervni put. Potvrdite na koju listu servis zapravo upućuje prije nego promijenite bilo koji sloj.

Ispišite AAA konfiguraciju i pročitajte listu na koju servis pokazuje, a ne podrazumijevanu vrijednost za koju se sjećate da ste je napisali. Učinite to s uređaja na kojem servis zaista završava.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tabela servera prikazuje stanje i brojače svakog unosa, što vam kaže je li pristupnik dosegnuo server tokom pokušaja. Server označen kao aktivan s rastućim brojačem zahtjeva odgovarao je, pa je neuspješna prijava odluka, a ne problem s povezivanjem.

Pročitajte odgovor prije nego dnevnik

Šifra odgovora imenuje ishod i podrazumijeva vlastiti sljedeći korak. Access-Reject znači da je pozadinski sistem donio odluku, pa je koristan dokaz politika koja se poklopila i stanje računa iza nje. Access-Challenge znači da razmjena želi još jedan podržani korak poput drugog faktora, a lokalni rezervni put bi tiho preskočio nešto što politika zahtijeva.

Reproducirajte jedan pokušaj s određenim testnim računom kako bi se odgovor i zapis pozadinskog sistema mogli uporediti u istom trenutku. Koristite akreditive koje vam je dopušteno oboriti.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Nedostajući ili neprepoznat unos RADIUS klijenta čest je uzrok tihe pauze, jer server primi zahtjev, ne nađe odgovarajuću definiciju klijenta i odbaci ga bez odgovora. Neusklađenost zajedničke tajne obično također izgleda kao pauza, jer odgovor ne prolazi provjeru i biva odbačen. Ništa od toga ne izgleda kao Access-Reject i ništa se od toga ne popravlja dodavanjem lokalnog računa. Provjerite definiciju klijenta i tajnu na obje strane prije nego dotaknete listu metoda.

Zašto lokalni račun nikada ništa nije dokazao

Račun koji stoji poslije grupe na listi dokazuje samo da je neko planirao prekid. Ne govori ništa o tome radi li plan, jer slučaj koji ga provjerava jest slučaj koji nitko ne uvježbava: server je prestao odgovarati. Lokalna prijava do koje se u normalnom radu nikada ne stigne može mjesecima nositi isteklu lozinku ili zaključano stanje, a da nitko ne primijeti.

Prinudni pristup je dizajnerska odluka, a ne nuspojava konfiguracije. Dajte mu vlastiti ograničeni račun, vlastitog vlasnika i pisanu proceduru oporavka, i uklopite rotaciju zajedničke tajne u tu proceduru. Držanje istoimene lokalne lozinke za svakog centralnog korisnika jest obrazac koji tiho vraća pristup koji ste mislili da ste uklonili.

Test koji je važan je namjeran i prekinut će prijave dok traje. Upravo zato pripada planiranom terminu s unaprijed napisanim korakom vraćanja.

Provjerite rezervni put tokom termina održavanja

Poredajte test tako da nikada ne uklonite posljednji put unutra. Prvo potvrdite neovisni put upravljanja, zatim uobičajeni dopušteni pristup, zatim namjerno odbijanje, zatim odobreno ponašanje pri prekidu. Ta četiri slučaja imaju različite očekivane ishode, a njihovo sažimanje u jedan test način je na koji se ljudi zaključaju iz uređaja koji im još treba.

Pokrenite svaku provjeru iz konzolne sesije ili izvanpojasnog puta, kako greška ne bi mogla zatvoriti sesiju u kojoj radite. Konzola je jedini put koji ne zavisi od komponente koja se testira.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Poslije toga vratite prethodnu konfiguraciju i potvrdite da se brojači ponovo pomjeraju pri sljedećoj stvarnoj prijavi. Ako namjerno odbijanje proizvede lokalnu prijavu umjesto odbijanja, onda lista ili rukovanje neuspjesima nije ono što ste vjerovali, i to saznanje je važnije od prekida s kojim ste počeli. Upišite rezultat u zapis o promjeni pored imena računa i datuma testa.