RADIUS-e keeldumine versus vastuse puudumine: millal kohalik sisselogimine töötab

Hädaolukorra kohaliku konto hoidmine ei tee sellest teist võimalust iga tagasilükatud sisselogimise jaoks. Cisco IOS-i ja IOS XE AAA-mudelis konsulteeritakse seda andmebaasi ainult siis, kui eelmine meetod ebaõnnestub teatud viisil, ja RADIUS-server, mis vastab keeldumisega, ei ole sel viisil ebaõnnestunud. Kohalik konto katab kättesaamatu meetodi, mitte tagasilükatud meetodi. Vastupidise uskumine muudab poliitikaotsuse jahtimiseks serveririkkele, mida ei ole olemas.

Miks meetodite loend näeb välja nagu redel

Rida nagu aaa authentication login default group radius local loetakse vasakult paremale ja enamik inimesi loeb seda nii, et proovi RADIUS-t, seejärel proovi kohalikku andmebaasi. Süntaks kutsub sellist lugemist esile, sest loend on jada. Semantika on kitsam: loend nimetab autentimismeetodeid ja ülemineku reegel ühelt järgmisele sõltub eelmise meetodi tulemusest, mitte kasutajale veel ühe katse andmisest.

Meetod, mis tagastab vea, ja meetod, mis tagastab ebaõnnestumise, viivad siin erinevate tulemusteni. Keeldumine on vastus, sest server töötles mandaate ja ütles ei, ning loend peatub seal. Kättesaamatu server, aegunud päring või vastus, mida ei saa valideerida, on juhtum, mis laseb järgmisel meetodil töötada, ja seda ainult seal, kus platvormi tõrkehaldus on nii seadistatud. Seetõttu töötab klassikaline nõuanne lisada local katkestuste korral ja ei tee valede paroolide korral midagi. Lugege loendit selle asemel kahe küsimusena: milline meetod vastab ja mida platvorm vastuseks peab.

Eraldage meetodite loend serverigrupist

Meetodite loend on üks kiht ja serverigrupp on teine. Märksõna group radius nimetab gruppi, mille sisemine järjekord, korduskatsed, aegumised ja surnud serveri tuvastamine kuuluvad gruppi, samas kui kohalik meetod on kiht selle kohal. Seetõttu ei saa grupi sees mis tahes häälestamine muuta keeldumist varuvariandiks. Enne kummagi kihi muutmist kinnitage, millisele loendile teenus tegelikult viitab.

Printige AAA konfiguratsioon ja lugege loendit, millele teenus osutab, mitte vaikeväärtust, mille kirjutasite mäletatavasti. Tehke seda seadmest, kus teenus tegelikult lõpeb.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Serverite tabel näitab iga kirje olekut ja loendureid, mis ütleb teile, kas lüüs jõudis katse ajal serverini. Server, mis on märgitud töötavana kasvava päringuloenduriga, on vastanud, seega ebaõnnestunud sisselogimine on otsus, mitte ühenduvusprobleem.

Lugege vastust enne logi

Vastusekood nimetab tulemuse ja vihjab oma järgmisele sammule. Access-Reject tähendab, et taustsüsteem tegi otsuse, seega on kasulik tõend sobiv poliitika ja selle taga olev konto olek. Access-Challenge tähendab, et vahetus tahab veel ühte toetatud sammu, näiteks teist tegurit, ja kohalik varuvariant jätaks vaikselt vahele midagi, mida poliitika nõuab.

Korrake ühte katset määratud testkontoga, et vastust ja taustsüsteemi kirjet saaks võrrelda sama ajatempli juures. Kasutage mandaati, mille ebaõnnestumine on lubatud.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Puuduv või tundmatu RADIUS-kliendi kirje on vaikse aegumise tavaline põhjus, sest server saab päringu, ei leia sobivat kliendi määratlust ja viskab selle vastamata ära. Ühise saladuse mittevastavus näeb tavaliselt samuti välja nagu aegumine, sest vastus ei läbi valideerimist ja visatakse ära. Kumbki neist ei näe välja nagu Access-Reject ja kumbagi ei paranda kohaliku konto lisamine. Enne meetodite loendi puutumist kontrollige kliendi määratlust ja saladust mõlemal poolel.

Miks kohalik konto ei tõestanud kunagi midagi

Konto, mis seisab loendis grupi järel, tõestab ainult seda, et keegi planeeris katkestust. See ei ütle midagi selle kohta, kas plaan töötab, sest juhtum, mis seda proovile paneb, on juhtum, mida keegi ei harjuta: server lõpetas vastamise. Kohalik sisselogimine, milleni tavakasutuses kunagi ei jõuta, võib kanda aegunud parooli või lukustatud olekut kuude kaupa, ilma et keegi märkaks.

Hädaabipääs on disainiotsus, mitte konfiguratsiooni kõrvalmõju. Andke sellele oma piiratud konto, oma omanik ja kirjalik taastamise protseduur ning lisage ühise saladuse rotatsioon sellesse protseduuri. Iga keskse kasutaja jaoks sama nimega kohaliku parooli hoidmine on muster, mis toob vaikselt tagasi juurdepääsu, mille arvasite olevat eemaldanud.

Test, millel on tähtsust, on tahtlik ja katkestab sisselogimisi selle töötamise ajal. Just seetõttu kuulub see planeeritud aknasse, kus tagasipööramise samm on kirjutatud esimesena.

Kontrollige varuvariandi teed hooldusakna ajal

Järjestage test nii, et te ei eemaldaks kunagi viimast sissepääsuteed. Kinnitage esmalt sõltumatu haldustee, seejärel tavaline lubatud juurdepääs, seejärel tahtlik keeldumine, seejärel heakskiidetud katkestuskäitumine. Neil neljal juhtumil on erinevad oodatavad tulemused ja nende ühte testi kokkusurumine on viis, kuidas inimesed end seadmest välja lukustavad, mida nad veel vajavad.

Käivitage iga kontroll konsoolisessioonist või välisest teest, et viga ei saaks sulgeda sessiooni, milles töötate. Konsool on ainus tee, mis ei sõltu testitavast komponendist.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Pärast seda taastage eelmine konfiguratsioon ja kinnitage, et loendurid liiguvad järgmisel päris sisselogimisel uuesti. Kui tahtlik keeldumine tekitab keeldumise asemel kohaliku sisselogimise, siis loend või tõrkehaldus ei ole see, mida uskusite, ja see leid kaalub üles katkestuse, millega alustasite. Kirjutage tulemus muudatuste kirjesse kontode nimede ja testi kuupäeva kõrvale.