RADIUS-hylkäys vastaan ei vastausta: milloin paikallinen kirjautuminen toimii

Hätäpaikallisen tilin pitäminen ei tee siitä toista mahdollisuutta jokaiselle hylätylle kirjautumiselle. Cisco IOS- ja IOS XE AAA -mallissa tuota tietokantaa kysytään vain silloin, kun edellinen menetelmä epäonnistuu tietyllä tavalla, eikä hylkäyksellä vastaava RADIUS-palvelin ole epäonnistunut sillä tavalla. Paikallinen tili kattaa tavoittamattoman menetelmän, ei hylättyä. Päinvastaisen uskominen muuttaa periaatepäätöksen sellaisen palvelinvian metsästykseksi, jota ei ole olemassa.

Miksi menetelmäluettelo näyttää tikkaalta

Rivi kuten aaa authentication login default group radius local luetaan vasemmalta oikealle, ja useimmat lukevat sen niin, että kokeile RADIUS ja kokeile sitten paikallista tietokantaa. Syntaksi kutsuu sellaiseen luentaan, koska luettelo on sarja. Semantiikka on kapeampaa: luettelo nimeää todennusmenetelmät, ja siirtymäsääntö yhdestä seuraavaan riippuu edellisen menetelmän tuloksesta, ei käyttäjän lisäyrityksestä.

Menetelmä, joka palauttaa virheen, ja menetelmä, joka palauttaa epäonnistumisen, johtavat tässä eri tuloksiin. Hylkäys on vastaus, koska palvelin käsitteli tunnistetiedot ja sanoi ei, ja luettelo pysähtyy siihen. Tavoittamaton palvelin, vanhentunut pyyntö tai vastaus, jota ei voi validoida, on tapaus, joka päästää seuraavan menetelmän käyntiin, ja vain siellä, missä alustan virheenkäsittely on niin määritetty. Siksi klassinen neuvo lisätä local toimii katkoksissa eikä tee mitään väärillä salasanoilla. Lue luettelo sen sijaan kahtena kysymyksenä: mikä menetelmä vastaa ja mitä alusta pitää vastauksena.

Erottele menetelmäluettelo palvelinryhmästä

Menetelmäluettelo on yksi kerros ja palvelinryhmä toinen. Avainsana group radius nimeää ryhmän, jonka sisäinen järjestys, uudelleenyritykset, aikakatkaisut ja kuolleen palvelimen tunnistus kuuluvat ryhmälle, kun taas paikallinen menetelmä on kerros sen yläpuolella. Siksi ryhmän sisällä tehty säätö ei voi muuttaa hylkäystä varareitiksi. Vahvista, mihin luetteloon palvelu todella viittaa, ennen kuin muutat kumpaakaan kerrosta.

Tulosta AAA-kokoonpano ja lue luettelo, johon palvelu osoittaa, älä oletusta, jonka muistat kirjoittaneesi. Tee se laitteesta, jossa palvelu todella päättyy.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Palvelintaulu raportoi kunkin merkinnän tilan ja laskurit, mikä kertoo, saavuttiko yhdyskäytävä palvelimen yrityksen aikana. Palvelin, joka on merkitty käynnissä olevaksi kasvavalla pyyntölaskurilla, on vastannut, joten epäonnistunut kirjautuminen on päätös, ei yhteysongelma.

Lue vastaus ennen lokia

Vastauskoodi nimeää tuloksen ja vihjaa oman seuraavan askeleensa. Access-Reject tarkoittaa, että taustajärjestelmä teki päätöksen, joten hyödyllinen todiste on täsmännyt käytäntö ja sen takana oleva tilin tila. Access-Challenge tarkoittaa, että vaihto haluaa toisen tuetun askeleen, kuten toisen tekijän, ja paikallinen varareitti ohittaisi hiljaa jotain, mitä käytäntö vaatii.

Toista yksi yritys nimetyllä testitilillä, jotta vastaus ja taustajärjestelmän tietue voidaan verrata samalla aikaleimalla. Käytä tunnistetietoa, jonka epäonnistuminen on sinulle sallittua.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Puuttuva tai tuntematon RADIUS-asiakasmerkintä on yleinen hiljaisen aikakatkaisun syy, koska palvelin vastaanottaa pyynnön, ei löydä vastaavaa asiakasmääritelmää ja pudottaa sen vastaamatta. Yhteisen salaisuuden epäsopivuus näyttää yleensä myös aikakatkaisulta, koska vastaus ei läpäise validointia ja hylätään. Kumpikaan näistä ei näytä Access-Rejectilta, eikä kumpaakaan korjata lisäämällä paikallinen tili. Tarkista asiakasmääritelmä ja salaisuus molemmilta puolilta ennen kuin kosket menetelmäluetteloon.

Miksi paikallinen tili ei koskaan todistanut mitään

Tili, joka on luettelossa ryhmän jälkeen, todistaa vain, että joku suunnitteli katkosta. Se ei kerro, toimiiko suunnitelma, koska tapaus, joka sen testaa, on tapaus, jota kukaan ei harjoittele: palvelin lakkasi vastaamasta. Paikallinen kirjautuminen, johon ei normaalikäytössä koskaan päästä, voi kantaa vanhentunutta salasanaa tai lukittua tilaa kuukausia kenenkään huomaamatta.

Hätäkäyttö on suunnittelupäätös, ei kokoonpanon sivuvaikutus. Anna sille oma rajoitettu tili, oma vastuuhenkilö ja kirjallinen palautusmenettely, ja sisällytä yhteisen salaisuuden kierrätys siihen menettelyyn. Samannimisen paikallisen salasanan pitäminen jokaiselle keskitetylle käyttäjälle on malli, joka hiljaa palauttaa sen käytön, jonka luulit poistaneesi.

Testi, jolla on merkitystä, on tahallinen, ja se keskeyttää kirjautumisia ajon aikana. Juuri siksi se kuuluu aikataulutettuun ikkunaan, jossa palautusaskel on kirjoitettu ensin.

Tarkista varareitti huoltoikkunan aikana

Järjestä testi niin, ettet koskaan poista viimeistä sisäänpääsyä. Vahvista ensin riippumaton hallintareitti, sitten tavallinen sallittu pääsy, sitten tahallinen hylkäys, sitten hyväksytty katkoskäyttäytyminen. Näillä neljällä tapauksella on erilaiset odotetut tulokset, ja niiden sulauttaminen yhdeksi testiksi on tapa, jolla ihmiset lukitsevat itsensä ulos laitteesta, jota he vielä tarvitsevat.

Suorita jokainen tarkistus konsolisessiosta tai kaistanulkoisesta reitistä, jotta virhe ei voi sulkea sessiota, jossa työskentelet. Konsoli on ainoa reitti, joka ei riipu testattavasta komponentista.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Sen jälkeen palauta edellinen kokoonpano ja vahvista, että laskurit liikkuvat taas seuraavalla todellisella kirjautumisella. Jos tahallinen hylkäys tuottaa paikallisen kirjautumisen hylkäyksen sijaan, niin luettelo tai virheenkäsittely ei ole se, mitä uskoit, ja havainto on tärkeämpi kuin katkos, jolla aloitit. Kirjoita tulos muutosrekisteriin tilien nimien ja testin päivämäärän viereen.