RADIUSen ukapena edo erantzunik eza: noiz exekutatzen den saio-hasiera lokala

Larrialdiko kontu lokal bat edukitzeak ez du bigarren aukera bihurtzen ukatutako saio-hasiera bakoitzerako. Cisco IOS eta IOS XEren AAA ereduan, datu-base horri kontsulta egiten zaio aurreko metodoak modu jakin batean huts egiten duenean soilik, eta ukapen batekin erantzuten duen RADIUS zerbitzariak ez du modu horretan huts egin. Kontu lokalak iristezina den metodoa estaltzen du, ez ukatutakoa. Kontrakoa sinesteak politika-erabakia existitzen ez den zerbitzari-matxura baten bilaketa bihurtzen du.

Zergatik dirudien metodoen zerrendak eskailera bat

Honelako lerro bat aaa authentication login default group radius local ezkerretik eskuinera irakurtzen da, eta gehienek RADIUS probatu, gero datu-base lokala probatu gisa irakurtzen dute. Sintaxiak irakurketa horretara gonbidatzen du zerrenda sekuentzia bat delako. Semantika estuagoa da: zerrendak autentifikazio-metodoak izendatzen ditu, eta batetik besterako igarotzeko araua aurreko metodoaren emaitzaren mende dago, ez erabiltzaileari beste saiakera bat ematearen mende.

Errore bat itzultzen duen metodoak eta huts egite bat itzultzen duen metodoak emaitza desberdinak dakartzate hemen. Ukapena erantzun bat da, zerbitzariak kredentzialak prozesatu eta ezetz esan duelako, eta zerrenda han gelditzen da. Zerbitzari iristezin bat, iraungitako eskaera bat edo baliozkotu ezin den erantzun bat da hurrengo metodoa exekutatzen uzten duen kasua, eta soilik plataformaren hutsegite-kudeaketa horrela konfiguratuta dagoen tokian. Horregatik funtzionatzen du local gehitzeko aholku klasikoak etenaldietan eta ez du ezer egiten pasahitz okerrekin. Irakurri zerrenda bi galdera gisa: zein metodok erantzuten duen eta zer hartzen duen plataformak erantzuntzat.

Bereizi metodoen zerrenda zerbitzari-taldetik

Metodoen zerrenda geruza bat da eta zerbitzari-taldea beste bat. group radius gako-hitzak barne-ordena, berrizko saiakerak, denbora-mugak eta zerbitzari hila hautematea taldeari dagozkion talde bat izendatzen du, eta metodo lokala haren gaineko geruza da. Beraz, taldearen barnean edozer doitzeak ezin du ukapen bat erreserba-bide bihurtu. Bi geruzetako edozein aldatu aurretik, baieztatu zerbitzuak zein zerrendari egiten dion erreferentzia.

Inprimatu AAA konfigurazioa eta irakurri zerbitzuak seinalatzen duen zerrenda, ez uste duzun idatzi zenuen balio lehenetsia. Egin zerbitzua benetan amaitzen den gailutik.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Zerbitzarien taulak sarrera bakoitzaren egoera eta kontagailuak erakusten ditu, eta horrek esaten dizu pasabideak zerbitzarira iritsi ote zen saiakeran zehar. Hazten ari den eskaera-kontagailuarekin martxan markatutako zerbitzari batek erantzuten aritu da, beraz, huts egindako saio-hasiera erabaki bat da, ez konektibitate arazo bat.

Irakurri erantzuna erregistroa baino lehen

Erantzun-kodeak emaitza izendatzen du eta bere hurrengo urratsa iradokitzen du. Access-Reject esan nahi du backendak erabaki bat hartu duela, beraz, proba erabilgarria bat etorri den politika eta haren atzeko kontuaren egoera dira. Access-Challenge esan nahi du trukeak onartutako beste urrats bat nahi duela, hala nola bigarren faktore bat, eta erreserba-bide lokalak isilpean saltatuko luke politikak eskatzen duen zerbait.

Erreproduzitu saiakera bat izendatutako proba-kontu batekin, erantzuna eta backendaren erregistroa denbora-marka berean alderatu ahal izateko. Erabili huts egitea baimenduta dagoen kredentzial bat.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS bezero-sarrera bat falta izatea edo ezagutzen ez dena izatea isilpeko denbora-mugaren ohiko arrazoia da, zerbitzariak eskaera jasotzen duelako, bat datorren bezero-definiziorik aurkitzen ez duelako eta erantzun gabe botatzen duelako. Partekatutako sekretuaren desadostasunak ere denbora-muga bat ematen du normalean, erantzunak baliozkotzea huts egiten duelako eta baztertu egiten delako. Horietako batek ere ez du Access-Reject itxurarik, eta batek ere ez du konponduko kontu lokal bat gehituz. Egiaztatu bezeroaren definizioa eta sekretua bi aldeetan metodoen zerrendari ukitu aurretik.

Zergatik ez zuen kontu lokalak inoiz ezer frogatu

Zerrendan talde baten ondoren dagoen kontu batek norbaitek etenaldi bat planifikatu zuela frogatzen du soilik. Ez du ezer esaten planak funtzionatzen duen ala ez, plana probatzen duen kasua inork entseatzen ez duen kasua delako: zerbitzariak erantzuteari utzi zion. Funtzionamendu arruntean inoiz iristen ez den saio-hasiera lokal batek iraungitako pasahitza edo blokeatutako egoera eraman dezake hilabeteetan inork ohartu gabe.

Larrialdiko sarbidea diseinu-erabaki bat da, ez konfigurazioaren albo-ondorio bat. Eman bere kontu mugatua, bere arduraduna eta idatzitako berreskuratze-prozedura bat, eta sartu partekatutako sekretuaren errotazioa prozedura horretan. Erabiltzaile zentral bakoitzarentzat izen bereko pasahitz lokala edukitzea kendu uste zenuen sarbidea isilpean berriz sartzeko eredua da.

Garrantzitsua den proba nahita egindakoa da, eta saio-hasierak etengo ditu exekutatzen den bitartean. Horrexegatik dagokio itzultzeko urratsa lehenengo idatzita duen leiho programatu bati.

Egiaztatu erreserba-bidea mantentze-leihoan

Ordenatu proba barnerako azken bidea inoiz ken ez dezazun. Egiaztatu lehenengo kudeaketa-bide independente bat, gero baimendutako sarbide arrunta, gero ukapen deliberatua, gero onartutako etenaldi-jokaera. Lau kasu horiek espero diren emaitza desberdinak dituzte, eta bat bakarrean biltzea da jendeak oraindik behar duen gailu batetik kanpora ixten den modua.

Exekutatu egiaztapen bakoitza kontsolako saio batetik edo banda-kanpoko bide batetik, errore batek lanean ari zaren saioa itxi ez dezan. Kontsola probatzen ari den osagaiaren mende ez dagoen bide bakarra da.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Ondoren, leheneratu aurreko konfigurazioa eta egiaztatu kontagailuak berriro mugitzen direla hurrengo benetako saio-hasieran. Ukapen deliberatuak ukapenaren ordez saio-hasiera lokal bat sortzen badu, orduan zerrenda edo hutsegite-kudeaketa ez da zuk uste zenuena, eta aurkikuntza horrek gainditzen du hasi zinen etenaldia. Idatzi emaitza aldaketa-erregistroan kontuen izenen eta probaren dataren ondoan.