Απόρριψη RADIUS έναντι καμίας απάντησης: πότε εκτελείται η τοπική σύνδεση

Η τήρηση τοπικού λογαριασμού έκτακτης ανάγκης δεν τον κάνει δεύτερη ευκαιρία για κάθε απορριφθείσα σύνδεση. Στο μοντέλο AAA των Cisco IOS και IOS XE, αυτή η βάση δεδομένων συμβουλεύεται μόνο όταν η προηγούμενη μέθοδος αποτύχει με συγκεκριμένο τρόπο, και ένας διακομιστής RADIUS που απαντά με απόρριψη δεν έχει αποτύχει με αυτόν τον τρόπο. Ο τοπικός λογαριασμός καλύπτει μια μη προσβάσιμη μέθοδο, όχι μια απορριφθείσα. Η αντίθετη πεποίθηση μετατρέπει μια απόφαση πολιτικής σε κυνήγι βλάβης διακομιστή που δεν υπάρχει.

Γιατί η λίστα μεθόδων μοιάζει με σκάλα

Μια γραμμή όπως aaa authentication login default group radius local διαβάζεται από αριστερά προς τα δεξιά, και οι περισσότεροι τη διαβάζουν ως δοκίμασε RADIUS, μετά δοκίμασε την τοπική βάση δεδομένων. Η σύνταξη προσκαλεί αυτή την ανάγνωση επειδή μια λίστα είναι ακολουθία. Η σημασιολογία είναι στενότερη: η λίστα ονομάζει μεθόδους ταυτοποίησης, και ο κανόνας μετάβασης από τη μία στην επόμενη εξαρτάται από το αποτέλεσμα της προηγούμενης μεθόδου και όχι από το να δοθεί στον χρήστη άλλη μια προσπάθεια.

Μια μέθοδος που επιστρέφει σφάλμα και μια μέθοδος που επιστρέφει αποτυχία οδηγούν εδώ σε διαφορετικά αποτελέσματα. Η άρνηση είναι απάντηση, επειδή ο διακομιστής επεξεργάστηκε τα διαπιστευτήρια και είπε όχι, και η λίστα σταματά εκεί. Ένας μη προσβάσιμος διακομιστής, ένα ληγμένο αίτημα ή μια απάντηση που δεν μπορεί να επικυρωθεί είναι η περίπτωση που αφήνει την επόμενη μέθοδο να εκτελεστεί, και μόνο όπου η διαχείριση αποτυχιών της πλατφόρμας έχει ρυθμιστεί έτσι. Γι’ αυτό η κλασική συμβουλή να προσθέσετε local λειτουργεί σε διακοπές και δεν κάνει τίποτα σε λάθος κωδικούς. Διαβάστε τη λίστα αντί γι’ αυτό ως δύο ερωτήσεις: ποια μέθοδος απαντά, και τι θεωρεί η πλατφόρμα απάντηση.

Διαχωρίστε τη λίστα μεθόδων από την ομάδα διακομιστών

Η λίστα μεθόδων είναι ένα επίπεδο και η ομάδα διακομιστών είναι άλλο. Η λέξη-κλειδί group radius ονομάζει μια ομάδα της οποίας η εσωτερική σειρά, οι επαναλήψεις, τα χρονικά όρια και η ανίχνευση νεκρού διακομιστή ανήκουν στην ομάδα, ενώ μια τοπική μέθοδος είναι επίπεδο πάνω από αυτήν. Επομένως η ρύθμιση οτιδήποτε μέσα στην ομάδα δεν μπορεί να μετατρέψει μια απόρριψη σε εναλλακτική διαδρομή. Επιβεβαιώστε σε ποια λίστα αναφέρεται πραγματικά η υπηρεσία πριν αλλάξετε οποιοδήποτε από τα δύο επίπεδα.

Εκτυπώστε τη διαμόρφωση AAA και διαβάστε τη λίστα στην οποία δείχνει η υπηρεσία, όχι την προεπιλογή που θυμάστε ότι γράψατε. Κάντε το από τη συσκευή στην οποία τερματίζει πραγματικά η υπηρεσία.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Ο πίνακας διακομιστών αναφέρει την κατάσταση και τους μετρητές κάθε καταχώρισης, που σας λέει αν η πύλη έφτασε στον διακομιστή κατά τη διάρκεια της προσπάθειας. Ένας διακομιστής που σημειώνεται ως ενεργός με αυξανόμενο μετρητή αιτημάτων έχει απαντήσει, άρα η αποτυχημένη σύνδεση είναι απόφαση και όχι πρόβλημα συνδεσιμότητας.

Διαβάστε την απάντηση πριν διαβάσετε το αρχείο καταγραφής

Ο κωδικός απάντησης ονομάζει το αποτέλεσμα και υποδηλώνει το δικό του επόμενο βήμα. Το Access-Reject σημαίνει ότι το backend πήρε απόφαση, άρα τα χρήσιμα στοιχεία είναι η πολιτική που ταίριαξε και η κατάσταση λογαριασμού πίσω από αυτήν. Access-Challenge σημαίνει ότι η ανταλλαγή θέλει άλλο ένα υποστηριζόμενο βήμα, όπως δεύτερο παράγοντα, και η τοπική εναλλακτική διαδρομή θα παρέλειπε σιωπηλά κάτι που απαιτεί η πολιτική.

Αναπαράγετε μία προσπάθεια με καθορισμένο δοκιμαστικό λογαριασμό ώστε η απάντηση και η εγγραφή του backend να συγκριθούν στο ίδιο χρονικό σημείο. Χρησιμοποιήστε διαπιστευτήριο που επιτρέπεται να αποτύχει.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Μια απούσα ή μη αναγνωρισμένη καταχώριση πελάτη RADIUS είναι συνηθισμένη αιτία σιωπηλού χρονικού ορίου, επειδή ο διακομιστής λαμβάνει το αίτημα, δεν βρίσκει αντίστοιχο ορισμό πελάτη και το απορρίπτει χωρίς απάντηση. Η ασυμφωνία κοινού μυστικού συνήθως μοιάζει επίσης με χρονικό όριο, επειδή η απάντηση αποτυγχάνει στην επικύρωση και απορρίπτεται. Κανένα από αυτά δεν μοιάζει με Access-Reject, και κανένα δεν διορθώνεται με προσθήκη τοπικού λογαριασμού. Ελέγξτε τον ορισμό πελάτη και το μυστικό και στις δύο πλευρές πριν αγγίξετε τη λίστα μεθόδων.

Γιατί ο τοπικός λογαριασμός δεν απέδειξε ποτέ τίποτα

Ένας λογαριασμός που βρίσκεται μετά από μια ομάδα στη λίστα αποδεικνύει μόνο ότι κάποιος σχεδίασε για διακοπή. Δεν λέει τίποτα για το αν το σχέδιο λειτουργεί, επειδή η περίπτωση που το δοκιμάζει είναι η περίπτωση που κανείς δεν εξασκεί: ο διακομιστής σταμάτησε να απαντά. Μια τοπική σύνδεση που δεν φτάνεται ποτέ σε κανονική λειτουργία μπορεί να φέρει ληγμένο κωδικό πρόσβασης ή κλειδωμένη κατάσταση για μήνες χωρίς να το προσέξει κανείς.

Η πρόσβαση έκτακτης ανάγκης είναι απόφαση σχεδιασμού, όχι παρενέργεια της διαμόρφωσης. Δώστε της δικό της περιορισμένο λογαριασμό, δικό της υπεύθυνο και γραπτή διαδικασία ανάκτησης, και εντάξτε την εναλλαγή του κοινού μυστικού σε αυτή τη διαδικασία. Η τήρηση τοπικού κωδικού με το ίδιο όνομα για κάθε κεντρικό χρήστη είναι το μοτίβο που επανεισάγει σιωπηλά την πρόσβαση που νομίζατε ότι αφαιρέσατε.

Η δοκιμή που μετράει είναι σκόπιμη και θα διακόψει συνδέσεις όσο εκτελείται. Γι’ αυτό ακριβώς ανήκει σε προγραμματισμένο παράθυρο με το βήμα επαναφοράς γραμμένο πρώτο.

Ελέγξτε την εναλλακτική διαδρομή σε παράθυρο συντήρησης

Σειροθετήστε τη δοκιμή ώστε να μην αφαιρέσετε ποτέ τον τελευταίο τρόπο εισόδου. Επιβεβαιώστε πρώτα μια ανεξάρτητη διαδρομή διαχείρισης, μετά την κανονική επιτρεπόμενη πρόσβαση, μετά μια σκόπιμη άρνηση, μετά την εγκεκριμένη συμπεριφορά διακοπής. Αυτές οι τέσσερις περιπτώσεις έχουν διαφορετικά αναμενόμενα αποτελέσματα, και η συμπερίληψή τους σε μία δοκιμή είναι ο τρόπος με τον οποίο οι άνθρωποι κλειδώνονται έξω από μια συσκευή που ακόμη χρειάζονται.

Εκτελέστε κάθε έλεγχο από συνεδρία κονσόλας ή από διαδρομή εκτός ζώνης, ώστε ένα λάθος να μην μπορεί να κλείσει τη συνεδρία στην οποία εργάζεστε. Η κονσόλα είναι η μόνη διαδρομή που δεν εξαρτάται από το υπό δοκιμή στοιχείο.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Στη συνέχεια, επαναφέρετε την προηγούμενη διαμόρφωση και επιβεβαιώστε ότι οι μετρητές κινούνται ξανά στην επόμενη πραγματική σύνδεση. Αν η σκόπιμη άρνηση παράγει τοπική σύνδεση αντί για απόρριψη, τότε η λίστα ή η διαχείριση αποτυχιών δεν είναι αυτό που πιστεύατε, και αυτό το εύρημα υπερτερεί της διακοπής με την οποία ξεκινήσατε. Καταγράψτε το αποτέλεσμα στο αρχείο αλλαγών δίπλα στα ονόματα λογαριασμών και στην ημερομηνία της δοκιμής.