Rifuzo de RADIUS kontraŭ neniu respondo: kiam funkcias loka ensaluto

Teni lokan krizkonton ne faras ĝin dua ŝanco por ĉiu rifuzita ensaluto. En la AAA-modelo de Cisco IOS kaj IOS XE, tiu datumbazo estas konsultata nur kiam la antaŭa metodo malsukcesas laŭ difinita maniero, kaj RADIUS-servilo, kiu respondas per rifuzo, ne malsukcesis tiumaniere. La loka konto kovras neatingeblan metodon, ne rifuzitan. Kredi la malon transformas politikan decidon en serĉadon de servila difekto, kiu ne ekzistas.

Kial la metodlisto aspektas kiel ŝtuparo

Linio kiel aaa authentication login default group radius local estas legata de maldekstre dekstren, kaj plej multaj legas ĝin kiel provu RADIUS, poste provu la lokan datumbazon. La sintakso invitas tiun legadon ĉar listo estas sinsekvo. La semantiko estas pli mallarĝa: la listo nomas metodojn de aŭtentigo, kaj la regulo por transiri de unu al la sekva dependas de la rezulto de la antaŭa metodo, ne de doni al la uzanto plian provon.

Metodo, kiu redonas eraron, kaj metodo, kiu redonas fiaskon, kondukas ĉi tie al malsamaj rezultoj. Rifuzo estas respondo, ĉar la servilo prilaboris la akreditaĵojn kaj diris ne, kaj la listo haltas tie. Neatingebla servilo, eksvalidiĝinta peto aŭ respondo, kiun oni ne povas validigi, estas la kazo, kiu lasas la sekvan metodon kuri, kaj nur tie, kie la traktado de fiaskoj de la platformo estas tiel agordita. Tial la klasika konsilo aldoni local funkcias ĉe interrompoj kaj faras nenion ĉe malĝustaj pasvortoj. Legu la liston anstataŭe kiel du demandojn: kiu metodo respondas, kaj kion la platformo konsideras respondo.

Apartigu la metodliston de la servila grupo

La metodlisto estas unu tavolo kaj la servila grupo alia. La ŝlosilvorto group radius nomas grupon, kies interna ordo, ripetoj, tempolimoj kaj identigo de morta servilo apartenas al la grupo, dum loka metodo estas tavolo super ĝi. Agordi ion ajn ene de la grupo do ne povas igi rifuzon rezerva vojo. Konfirmu, al kiu listo la servo efektive referencas, antaŭ ol ŝanĝi ajnan el la du tavoloj.

Presu la AAA-agordon kaj legu la liston, al kiu la servo montras, ne la defaŭlton, kiun vi memoras esti skribinta. Faru tion de la aparato, sur kiu la servo efektive finiĝas.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

La servila tabelo raportas la staton kaj nombrilojn de ĉiu ero, kio diras al vi, ĉu la pordego atingis la servilon dum la provo. Servilo markita kiel funkcianta kun kreskanta petnombrilo estis respondanta, do la malsukcesinta ensaluto estas decido, ne konekteca problemo.

Legu la respondon antaŭ ol la protokolo

La respondkodo nomas la rezulton kaj implicas sian propran sekvan paŝon. Access-Reject signifas, ke la malantaŭa sistemo decidis, do la utila pruvo estas la kongruinta politiko kaj la konta stato malantaŭ ĝi. Access-Challenge signifas, ke la interŝanĝo volas alian subtenatan paŝon, kiel duan faktoron, kaj loka rezerva vojo silente preterpasis ion, kion la politiko postulas.

Reproduktu unu provon kun difinita testkonto, por ke la respondo kaj la malantaŭa registro estu kompareblaj samtempe. Uzu akreditaĵon, kiun vi rajtas malsukcesigi.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Mankanta aŭ nerekonata RADIUS-klienta ero estas komuna kaŭzo de silenta tempolimo, ĉar la servilo ricevas la peton, trovas nenian kongruan klientan difinon kaj forĵetas ĝin sen respondi. Miskongruo de la komuna sekreto ankaŭ kutime aspektas kiel tempolimo, ĉar la respondo malsukcesas validigon kaj estas forĵetata. Neniu el tiuj aspektas kiel Access-Reject, kaj neniu ripariĝas per aldono de loka konto. Kontrolu la klientan difinon kaj la sekreton ambaŭflanke antaŭ ol tuŝi la metodliston.

Kial la loka konto neniam pruvis ion

Konto, kiu staras post grupo en la listo, pruvas nur, ke iu planis interrompon. Ĝi diras nenion pri tio, ĉu la plano funkcias, ĉar la kazo, kiu ekzercas ĝin, estas la kazo, kiun neniu ekzercas: la servilo ĉesis respondi. Loka ensaluto, kiu neniam estas atingata en normala funkciado, povas porti eksvalidiĝintan pasvorton aŭ ŝlositan staton dum monatoj, sen ke iu rimarkas.

Krizaliro estas decido pri dezajno, ne flanka efiko de agordo. Donu al ĝi sian propran limigitan konton, sian propran posedanton kaj skribitan restaŭran proceduron, kaj enmetu la rotacion de la komuna sekreto en tiun proceduron. Teni samnoman lokan pasvorton por ĉiu centra uzanto estas la ŝablono, kiu silente reenkondukas la aliron, kiun vi pensis esti foriginta.

La testo, kiu gravas, estas intenca, kaj ĝi interrompos ensalutojn dum ĝi funkcias. Ĝuste tial ĝi apartenas al planita fenestro kun la retroira paŝo skribita unue.

Kontrolu la rezervan vojon dum bontenada fenestro

Ordigu la teston tiel, ke vi neniam forigu la lastan eniron. Konfirmu unue sendependan administran vojon, poste normalan permesitan aliron, poste intencan rifuzon, poste la aprobitan konduton ĉe interrompo. Tiuj kvar kazoj havas malsamajn atendatajn rezultojn, kaj kunfandi ilin en unu teston estas la maniero, per kiu homoj ŝlosiĝas ekster aparato, kiun ili ankoraŭ bezonas.

Rulu ĉiun kontrolon el konzola seanco aŭ el eksterbanda vojo, por ke eraro ne povu fermi la seanson, en kiu vi laboras. La konzolo estas la sola vojo, kiu ne dependas de la testata komponanto.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Poste restaŭru la antaŭan agordon kaj konfirmu, ke la nombriloj denove moviĝas ĉe la sekva reala ensaluto. Se la intenca rifuzo produktas lokan ensaluton anstataŭ rifuzon, tiam la listo aŭ la traktado de fiaskoj ne estas tio, kion vi kredis, kaj tiu malkovro superas la interrompon, kun kiu vi komencis. Skribu la rezulton en la ŝanĝregistron apud la kontnomoj kaj la dato de la testo.