Gwrthodiad RADIUS yn erbyn dim ateb: pryd mae mewngofnodi lleol yn rhedeg

Nid yw cadw cyfrif lleol brys yn ei wneud yn ail gyfle i bob mewngofnodiad a wrthodwyd. Yn model AAA Cisco IOS ac IOS XE, dim ond pan fydd y dull blaenorol yn methu mewn ffordd benodol y cysylltir â’r gronfa ddata honno, ac nid yw gweinydd RADIUS sy’n ateb â gwrthodiad wedi methu felly. Mae’r cyfrif lleol yn cwmpasu dull anghyraeddadwy, nid un a wrthodwyd. Mae credu fel arall yn troi penderfyniad polisi yn helfa am fai gweinydd nad yw’n bodoli.

Pam mae’r rhestr dulliau’n edrych fel ysgol

Mae llinell fel aaa authentication login default group radius local yn cael ei darllen o’r chwith i’r dde, ac mae’r rhan fwyaf o bobl yn ei darllen fel ceisiwch RADIUS, yna ceisiwch y gronfa ddata leol. Mae’r gystrawen yn gwahodd y darlleniad hwnnw oherwydd bod rhestr yn ddilyniant. Mae’r semanteg yn dynnach: mae’r rhestr yn enwi dulliau dilysu, ac mae’r rheol ar gyfer symud o un i’r llall yn dibynnu ar ganlyniad y dull blaenorol yn hytrach nag ar roi cynnig arall i’r defnyddiwr.

Mae dull sy’n dychwelyd gwall a dull sy’n dychwelyd methiant yn arwain yma at ganlyniadau gwahanol. Mae gwadiad yn ateb, oherwydd bod y gweinydd wedi prosesu’r manylion mewngofnodi a dweud na, ac mae’r rhestr yn stopio yno. Gweinydd anghyraeddadwy, cais sydd wedi dod i ben neu ateb na ellir ei ddilysu yw’r achos sy’n gadael y dull nesaf i redeg, a dim ond lle mae triniaeth methiannau’r platfform wedi’i ffurfweddu felly. Dyna pam mae’r cyngor clasurol i ychwanegu local yn gweithio ar gyfer methiannau ac yn gwneud dim ar gyfer cyfrineiriau anghywir. Darllenwch y rhestr yn lle hynny fel dau gwestiwn: pa ddull sy’n ateb, a beth mae’r platfform yn ei gyfrif fel ateb.

Gwahanwch y rhestr dulliau oddi wrth y grŵp gweinyddion

Mae’r rhestr dulliau’n un haen a’r grŵp gweinyddion yn un arall. Mae’r allweddair group radius yn enwi grŵp y mae ei drefn fewnol, ei ailgeisiadau, ei gyfnodau aros a’i ganfod gweinydd marw yn perthyn i’r grŵp, tra bod dull lleol yn haen uwchlaw. Felly ni all tiwnio unrhyw beth o fewn y grŵp droi gwrthodiad yn gwympiad. Cadarnhewch pa restr y mae’r gwasanaeth yn cyfeirio ati mewn gwirionedd cyn newid y naill haen neu’r llall.

Argraffwch ffurfweddiad AAA a darllenwch y rhestr y mae’r gwasanaeth yn cyfeirio ati, nid y diofyn y gwnaethoch ysgrifennu ohono. Gwnewch hynny o’r ddyfais y mae’r gwasanaeth yn gorffen arni mewn gwirionedd.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Mae’r tabl gweinyddion yn adrodd cyflwr a chyfrifwyr pob cofnod, sy’n dweud wrthych a gyrhaeddodd y porth y gweinydd yn ystod y cynnig. Mae gweinydd a nodir fel un i fyny gyda chyfrif cais cynyddol wedi bod yn ateb, felly mae’r mewngofnodiad methu yn benderfyniad yn hytrach na phroblem cysylltedd.

Darllenwch yr ateb cyn y log

Mae’r cod ateb yn enwi’r canlyniad ac yn awgrymu ei gam nesaf ei hun. Mae Access-Reject yn golygu bod y backend wedi gwneud penderfyniad, felly’r dystiolaeth ddefnyddiol yw’r polisi a gydweddodd a chyflwr y cyfrif y tu ôl iddo. Access-Challenge yn golygu bod y cyfnewid yn dymuno cam arall a gefnogir fel ail ffactor, a byddai cwympiad lleol yn sgipio’n dawel rywbeth mae’r polisi’n ei ofyn.

Ailgynhyrchwch un cynnig gyda chyfrif prawf dynodedig fel y gellir cymharu’r ateb a chofnod y backend ar yr un stamp amser. Defnyddiwch fanylyn mewngofnodi y caniateir i chi fethu ag ef.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Mae cofnod cleient RADIUS ar goll neu heb ei adnabod yn achos cyffredin o giw distaw, oherwydd bod y gweinydd yn derbyn y cais, yn methu dod o hyd i ddiffiniad cleient cyfatebol ac yn ei ollwng heb ateb. Mae anghyfateb cyfrinach a rennir hefyd fel arfer yn edrych fel ciw, oherwydd bod yr ateb yn methu dilysu ac yn cael ei daflu. Nid oes yr un o’r rhain yn edrych fel Access-Reject, ac nid oes yr un yn cael ei drwsio drwy ychwanegu cyfrif lleol. Gwiriwch ddiffiniad y cleient a’r gyfrinach ar y ddwy ochr cyn i chi gyffwrdd â’r rhestr dulliau.

Pam na phrofodd y cyfrif lleol unrhyw beth erioed

Mae cyfrif sy’n eistedd ar ôl grŵp yn y rhestr yn profi dim ond bod rhywun wedi cynllunio ar gyfer methiant. Nid yw’n dweud dim am a yw’r cynllun yn gweithio, oherwydd yr achos sy’n ei ymarfer yw’r achos nad oes neb yn ei ymarfer: stopiodd y gweinydd ateb. Gall mewngofnodiad lleol nad oes neb yn ei gyrraedd mewn gweithrediad arferol gario cyfrinair sydd wedi dod i ben neu gyflwr cloi am fisoedd heb i neb sylwi.

Mae mynediad brys yn benderfyniad dylunio, nid sgil-effaith ffurfweddiad. Rhowch gyfrif cyfyngedig ei hun iddo, ei berchennog ei hun a gweithdrefn adfer ysgrifenedig, a phlygwch gylchdroi cyfrinach a rennir i’r weithdrefn honno. Cadw cyfrinair lleol o’r un enw ar gyfer pob defnyddiwr canolog yw’r patrwm sy’n ailosod yn dawel y mynediad a oeddech yn meddwl eich bod wedi’i ddileu.

Mae’r prawf sy’n cyfrif yn fwriadol, a bydd yn torri ar draws mewngofnodiadau wrth redeg. Dyna’n union pam mae’n perthyn i ffenestr a drefnwyd gyda’r cam ailosod wedi’i ysgrifennu’n gyntaf.

Gwiriwch y llwybr cwympiad yn ystod ffenestr gynnal a chadw

Trefnwch y prawf fel na fyddwch byth yn tynnu’r ffordd olaf i mewn. Cadarnhewch lwybr rheoli annibynnol yn gyntaf, yna mynediad arferol a ganiateir, yna gwadiad bwriadol, yna’r ymddygiad methiant a gymeradwywyd. Mae gan y pedwar achos hyn ganlyniadau disgwyliedig gwahanol, a’u trochi mewn un prawf yw’r ffordd y mae pobl yn cloi eu hunain allan o ddyfais sydd ei hangen arnyn nhw o hyd.

Rhedwch bob gwiriad o sesiwn gonsol neu o lwybr allanol, fel na all camgymeriad gau’r sesiwn rydych chi’n gweithio ynddi. Y gonsol yw’r unig lwybr nad yw’n dibynnu ar y gydran sy’n cael ei phrofi.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Wedi hynny, adferwch y ffurfweddiad blaenorol a chadarnhau bod y cyfrifwyr yn symud eto ar y mewngofnodiad go iawn nesaf. Os yw’r gwadiad bwriadol yn cynhyrchu mewngofnodiad lleol yn lle gwrthodiad, yna nid y rhestr na’r driniaeth methiannau yw’r hyn y gwnaethoch ei gredu, ac mae’r canfyddiad hwnnw’n bwysicach na’r methiant y gwnaethoch ddechrau ag ef. Ysgrifennwch y canlyniad yng nghofnod y newid wrth enwau’r cyfrifon a dyddiad y prawf.