Odmítnutí RADIUS versus žádná odpověď: kdy běží místní přihlášení

Držet si místní účet pro nouzi z něj nedělá druhou šanci pro každé odmítnuté přihlášení. V modelu AAA na Cisco IOS a IOS XE se do této databáze sahá jen tehdy, když předchozí metoda selže určitým způsobem, a server RADIUS, který odpoví odmítnutím, tímto způsobem neselhal. Místní účet pokrývá nedostupnou metodu, ne odmítnutou. Víra v opak mění rozhodnutí politiky v honbu za závadou serveru, která neexistuje.

Proč seznam metod vypadá jako žebřík

Řádek jako aaa authentication login default group radius local se čte zleva doprava a většina lidí ho čte jako zkus RADIUS, pak zkus místní databázi. Syntaxe k takovému čtení vybízí, protože seznam je posloupnost. Sémantika je užší: seznam pojmenovává metody ověřování a pravidlo přechodu z jedné na další závisí na výsledku předchozí metody, ne na tom, že uživatel dostane další pokus.

Metoda, která vrací chybu, a metoda, která vrací neúspěch, zde vedou k různým výsledkům. Odmítnutí je odpověď, protože server zpracoval přihlašovací údaje a řekl ne, a seznam tam končí. Nedostupný server, vypršelý požadavek nebo odpověď, kterou nelze ověřit, je případ, který pustí další metodu, a to jen tam, kde je zpracování selhání platformy takto nastaveno. Proto klasická rada přidat local funguje při výpadcích a nic nedělá při špatných heslech. Čtěte seznam místo toho jako dvě otázky: která metoda odpovídá a co platforma považuje za odpověď.

Oddělte seznam metod od skupiny serverů

Seznam metod je jedna vrstva a skupina serverů druhá. Klíčové slovo group radius pojmenovává skupinu, jejíž vnitřní pořadí, opakované pokusy, časové limity a detekce mrtvého serveru patří skupině, zatímco místní metoda je vrstva nad ní. Ladění čehokoli uvnitř skupiny proto nemůže změnit odmítnutí v záložní cestu. Než změníte kteroukoli vrstvu, potvrďte, na který seznam služba skutečně odkazuje.

Vypište konfiguraci AAA a přečtěte seznam, na který služba ukazuje, ne výchozí hodnotu, o které si pamatujete, že jste ji psali. Udělejte to ze zařízení, na kterém služba skutečně končí.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tabulka serverů ukazuje stav a počítadla každé položky, což vám řekne, zda brána během pokusu serveru dosáhla. Server označený jako aktivní s rostoucím počtem požadavků odpovídal, takže neúspěšné přihlášení je rozhodnutí, ne problém s konektivitou.

Přečtěte odpověď dřív než log

Kód odpovědi pojmenovává výsledek a naznačuje vlastní další krok. Access-Reject znamená, že backend rozhodl, takže užitečným důkazem je politika, která odpovídala, a stav účtu za ní. Access-Challenge znamená, že výměna chce další podporovaný krok, například druhý faktor, a místní záložní cesta by tiše přeskočila něco, co politika vyžaduje.

Zopakujte jeden pokus s určeným testovacím účtem, aby šlo odpověď a záznam backendu porovnat ve stejném čase. Použijte přihlašovací údaj, u kterého vám je dovoleno selhat.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Chybějící nebo nerozpoznaná položka klienta RADIUS je častou příčinou tichého časového limitu, protože server požadavek přijme, nenajde odpovídající definici klienta a zahodí ho bez odpovědi. Neshoda sdíleného tajemství také obvykle vypadá jako časový limit, protože odpověď neprojde ověřením a je zahozena. Ani jedno z toho nevypadá jako Access-Reject a ani jedno se neopraví přidáním místního účtu. Než se dotknete seznamu metod, zkontrolujte definici klienta a tajemství na obou stranách.

Proč místní účet nikdy nic nedokázal

Účet, který v seznamu stojí za skupinou, dokazuje jen to, že někdo naplánoval výpadek. Nic neříká o tom, zda plán funguje, protože případ, který ho procvičí, je případ, který nikdo nenacvičuje: server přestal odpovídat. Místní přihlášení, na které se v běžném provozu nikdy nedojde, může měsíce nosit prošlé heslo nebo zamčený stav, aniž si toho někdo všimne.

Nouzový přístup je rozhodnutí o návrhu, ne vedlejší efekt konfigurace. Dejte mu vlastní omezený účet, vlastního vlastníka a psaný postup obnovy a do toho postupu vložte rotaci sdíleného tajemství. Držet místní heslo se stejným názvem pro každého centrálního uživatele je vzorec, který tiše vrací přístup, o němž jste si mysleli, že jste ho odstranili.

Test, na kterém záleží, je záměrný a během běhu přeruší přihlášení. Právě proto patří do plánovaného okna s krokem vrácení napsaným jako první.

Ověřte záložní cestu během okna údržby

Seřaďte test tak, abyste nikdy neodstranili poslední cestu dovnitř. Nejprve potvrďte nezávislou cestu správy, pak běžný povolený přístup, pak záměrné odmítnutí, pak schválené chování při výpadku. Tyto čtyři případy mají různé očekávané výsledky a sloučení do jednoho testu je způsob, jak se lidé zamknou ven ze zařízení, které ještě potřebují.

Každou kontrolu spouštějte z konzolové relace nebo z mimopásmové cesty, aby chyba nemohla zavřít relaci, ve které pracujete. Konzole je jediná cesta, která nezávisí na testované komponentě.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Poté obnovte předchozí konfiguraci a potvrďte, že se počítadla při dalším skutečném přihlášení znovu hýbou. Pokud záměrné odmítnutí vytvoří místní přihlášení místo odmítnutí, pak seznam nebo zpracování selhání není to, čemu jste věřili, a tento nález převyšuje výpadek, se kterým jste začali. Výsledek zapište do záznamu o změně vedle jmen účtů a data testu.