Rebutg de RADIUS contra cap resposta: quan funciona l’inici de sessió local

Mantenir un compte local d’emergència no el converteix en una segona oportunitat per a cada inici de sessió rebutjat. En el model AAA de Cisco IOS i IOS XE, aquesta base de dades només es consulta quan el mètode anterior falla d’una manera concreta, i un servidor RADIUS que respon amb un rebuig no ha fallat d’aquesta manera. El compte local cobreix un mètode inaccessible, no un de rebutjat. Creure el contrari converteix una decisió de política en una caça d’una fallada de servidor que no existeix.

Per què la llista de mètodes sembla una escala

Una línia com aaa authentication login default group radius local es llegeix d’esquerra a dreta, i la majoria de la gent la llegeix com a prova RADIUS i després prova la base de dades local. La sintaxi convida a aquesta lectura perquè una llista és una seqüència. La semàntica és més estreta: la llista anomena mètodes d’autenticació, i la regla per passar d’un al següent depèn del resultat del mètode anterior i no de donar a l’usuari un altre intent.

Un mètode que retorna un error i un mètode que retorna un fracàs porten aquí a resultats diferents. La denegació és una resposta, perquè el servidor ha processat les credencials i ha dit que no, i la llista s’atura allà. Un servidor inaccessible, una petició caducada o una resposta que no es pot validar és el cas que deixa córrer el mètode següent, i només on el tractament de fallades de la plataforma està configurat així. Per això el consell clàssic d’afegir local funciona en caigudes i no fa res amb contrasenyes incorrectes. Llegiu la llista en canvi com dues preguntes: quin mètode respon i què compta la plataforma com a resposta.

Separeu la llista de mètodes del grup de servidors

La llista de mètodes és una capa i el grup de servidors és una altra. La paraula clau group radius anomena un grup l’ordre intern, els reintents, els temps d’espera i la detecció de servidor mort del qual pertanyen al grup, mentre que un mètode local és una capa per sobre. Per tant, ajustar res dins del grup no pot convertir una denegació en un retrocés. Confirmeu a quina llista fa referència realment el servei abans de canviar qualsevol de les dues capes.

Imprimiu la configuració AAA i llegiu la llista a què apunta el servei, no el valor per defecte que recordeu haver escrit. Feu-ho des del dispositiu on el servei acaba realment.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

La taula de servidors informa de l’estat i els comptadors de cada entrada, cosa que us diu si la passarel·la va arribar al servidor durant l’intent. Un servidor marcat com a actiu amb un comptador de peticions creixent ha estat responent, així que l’inici de sessió fallit és una decisió i no un problema de connectivitat.

Llegiu la resposta abans que el registre

El codi de resposta anomena el resultat i implica el seu propi pas següent. Access-Reject vol dir que el backend ha pres una decisió, així que l’evidència útil és la política que ha coincidit i l’estat del compte al darrere. Access-Challenge vol dir que l’intercanvi vol un altre pas admès, com un segon factor, i el retrocés local saltaria en silenci una cosa que la política exigeix.

Reproduïu un intent amb un compte de prova designat perquè la resposta i el registre del backend es puguin comparar amb la mateixa marca de temps. Feu servir una credencial que us sigui permès fer fallar.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Una entrada de client RADIUS absent o no reconeguda és una causa habitual d’un temps d’espera silenciós, perquè el servidor rep la petició, no troba cap definició de client que hi coincideixi i la descarta sense respondre. Un desajust del secret compartit també sembla normalment un temps d’espera, perquè la resposta no passa la validació i es descarta. Cap d’aquests dos casos no sembla Access-Reject, i cap no es repara afegint un compte local. Comproveu la definició del client i el secret als dos costats abans de tocar la llista de mètodes.

Per què el compte local no va demostrar mai res

Un compte que se seu després d’un grup a la llista només demostra que algú va planificar una caiguda. No diu res sobre si el pla funciona, perquè el cas que el posa a prova és el cas que ningú assaja: el servidor va deixar de respondre. Un inici de sessió local al qual no s’arriba mai en funcionament normal pot portar una contrasenya caducada o un estat bloquejat durant mesos sense que ningú ho noti.

L’accés d’emergència és una decisió de disseny, no un efecte secundari de la configuració. Doneu-li el seu propi compte restringit, el seu propi propietari i un procediment de recuperació escrit, i incorporeu la rotació del secret compartit en aquest procediment. Mantenir una contrasenya local amb el mateix nom per a cada usuari central és el patró que reintrodueix en silenci l’accés que creíeu haver eliminat.

La prova que importa és deliberada, i interromprà inicis de sessió mentre dura. És exactament per això que pertany a una finestra programada amb el pas de reversió escrit primer.

Comproveu el camí de retrocés durant una finestra de manteniment

Ordeneu la prova de manera que mai no traieu l’últim camí d’entrada. Confirmeu primer un camí de gestió independent, després l’accés normal permès, després una denegació deliberada, després el comportament de caiguda aprovat. Aquests quatre casos tenen resultats esperats diferents, i ajuntar-los en una sola prova és com la gent es deixa fora d’un dispositiu que encara necessita.

Executeu cada comprovació des d’una sessió de consola o des d’un camí fora de banda, perquè un error no pugui tancar la sessió en què treballeu. La consola és l’únic camí que no depèn del component que es prova.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Després, restaureu la configuració anterior i confirmeu que els comptadors es tornen a moure en el proper inici de sessió real. Si la denegació deliberada produeix un inici de sessió local en lloc d’un rebuig, aleshores la llista o el tractament de fallades no és el que creíeu, i aquesta troballa val més que la caiguda amb què vau començar. Escriviu el resultat al registre de canvis al costat dels noms dels comptes i de la data de la prova.