Diúltú RADIUS nó gan freagra: cathain a ritheann logáil isteach áitiúil

Ní dhéanann cuntas áitiúil éigeandála de dhara seans do gach logáil isteach a dhiúltaítear. I múnla AAA Cisco IOS agus IOS XE, ní cheaptar an bunachar sin ach amháin nuair a theipeann ar an modh roimhe sin ar bhealach ar leith, agus níor theip ar fhreastalaí RADIUS a fhreagraíonn le diúltú ar an mbealach sin. Clúdaíonn an cuntas áitiúil modh nach féidir a bhaint amach, ní ceann a diúltaíodh. Má chreideann tú a mhalairt, iompaíonn cinneadh beartais ina lorg ar locht freastalaí nach bhfuil ann.

Cén fáth a bhfuil cuma dréimire ar an liosta modhanna

Líne ar nós aaa authentication login default group radius local a léitear ó chlé go deas, agus léann formhór na ndaoine é mar iarracht RADIUS, ansin iarracht ar an mbunachar áitiúil. Tugann an chomhréir cuireadh don léamh sin toisc gur seicheamh é liosta. Tá an tséimeantaic níos cúinge: ainmníonn an liosta modhanna fíordheimhnithe, agus braitheann an riail chun dul ó cheann go dtí an chéad cheann eile ar thoradh an mhodha roimhe sin, ní ar iarracht eile a thabhairt don úsáideoir.

Tugann modh a thugann earráid ar ais agus modh a thugann teip ar ais torthaí difriúla anseo. Is freagra é diúltú, toisc gur phróiseáil an freastalaí na dintiúirí agus gur dhúirt sé nach ea, agus stopann an liosta ansin. Is é freastalaí nach féidir a bhaint amach, iarratas atá imithe in éag nó freagra nach féidir a bhailíochtú an cás a ligeann don chéad mhodh eile rith, agus ní ach san áit a bhfuil láimhseáil teipe an ardáin cumraithe mar sin. Sin é an fáth a n-oibríonn an chomhairle chlasaiceach chun local a chur leis le linn briseadh agus nach ndéanann sé aon rud le pasfhocail mhíchearta. Léigh an liosta ina ionad sin mar dhá cheist: cén modh a fhreagraíonn, agus cad a mheasann an t-ardán mar fhreagra.

Deighil an liosta modhanna ón ngrúpa freastalaí

Is ciseal amháin an liosta modhanna agus is ciseal eile an grúpa freastalaí. Ainmníonn an eochairfhocal group radius grúpa a mbaineann a ord inmheánach, a athiarrachtaí, a theorainneacha ama agus a bhrath freastalaí mhairbh leis an ngrúpa, agus is ciseal os a chionn sin é modh áitiúil. Dá bhrí sin ní féidir le haon tiúnú laistigh den ghrúpa diúltú a iompú ina chúl-titim. Deimhnigh cén liosta a ndéanann an tseirbhís tagairt dó i ndáiríre sula n-athraíonn tú ceachtar ciseal.

Priontáil cumraíocht AAA agus léigh an liosta a dtugann an tseirbhís aghaidh air, ní an réamhshocrú a gcuimhníonn tú a scríobh. Déan é ón ngléas a gcríochnaíonn an tseirbhís air i ndáiríre.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tuairiscíonn tábla na bhfreastalaí staid agus cuntair gach iontrála, rud a insíonn duit ar shroich an geata an freastalaí le linn na hiarrachta. Tá freastalaí atá marcáilte mar rud atá suas le cuntar iarratas atá ag ardú tar éis freagra a thabhairt, mar sin is cinneadh é an logáil isteach teipthe seachas fadhb nascachta.

Léigh an freagra sula léann tú an logáil

Ainmníonn an cód freagartha an toradh agus tugann sé le tuiscint a chéad chéim eile féin. Ciallaíonn Access-Reject gur ghlac an backend cinneadh, mar sin is é an fhianaise úsáideach an beartas a mheaitseáil agus staid an chuntais taobh thiar de. Access-Challenge ciallaíonn sé go dteastaíonn céim eile atá tacaíochta ón malartú, ar nós dara fachtóir, agus skipfeadh cúl-titim áitiúil go ciúin rud a éilíonn an beartas.

Atáirg iarracht amháin le cuntas tástála ainmnithe ionas gur féidir an freagra agus taifead an backend a chur i gcomparáid ag an amstampa céanna. Úsáid dintiúr a bhfuil cead agat teip a dhéanamh air.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Is minic gurb é iontráil cliaint RADIUS atá ar iarraidh nó neamhaitheanta is cúis le teorainn ama chiúin, toisc go bhfaigheann an freastalaí an t-iarratas, nach bhfaigheann sé sainmhíniú cliaint a thagann leis agus go gcaitheann sé amach é gan freagra. Breathnaíonn neamhréir sa rún comhroinnte cosúil le teorainn ama freisin de ghnáth, toisc go dteipeann ar an bhfreagra ar an mbailíochtú agus go gcaitear amach é. Ní fhéachann ceachtar acu sin cosúil le Access-Reject, agus ní dheisítear ceachtar acu trí chuntas áitiúil a chur leis. Seiceáil sainmhíniú an chliaint agus an rún ar an dá thaobh sula dteagmhálann tú leis an liosta modhanna.

Cén fáth nár chruthaigh an cuntas áitiúil aon rud riamh

Ní chruthaíonn cuntas a sheasann i ndiaidh grúpa sa liosta ach gur phleanáil duine éigin do bhriseadh. Ní deir sé aon rud faoi cé acu an n-oibríonn an plean, toisc gurb é an cás a thugann faoi ndeara é an cás nach gcleachtann aon duine: stop an freastalaí ag freagairt. Is féidir le logáil isteach áitiúil nach sroichtear riamh in obriú normal pasfhocal imithe in éag nó staid faoi ghlas a iompar ar feadh míonna gan aon duine ag tabhairt faoi deara.

Is cinneadh deartha é rochtain éigeandála, ní fo-iarmhairt cumraíochta. Tabhair a chuntas srianta féin dó, a úinéir féin agus nós imeachta aisghabhála scríofa, agus cuir rothlú an rúin chomhroinnte san áireamh sa nós sin. Is é an patrún é a thugann an rún áitiúil den ainm céanna do gach úsáideoir lárnach chun an rochtain ar cheap tú a bhí bainte agat a thabhairt ar ais go ciúin.

Tá an tástáil a bhfuil tábhacht léi d’aon ghnó, agus cuirfidh sí isteach ar logálacha isteach agus í ag rith. Sin go díreach an fáth a mbaineann sí le fuinneog sceidealta a bhfuil an chéim aisiompaithe scríofa ar dtús inti.

Seiceáil an cosán cúl-titime le linn fuinneoige cothabhála

Ordaigh an tástáil ionas nach mbainfidh tú an bealach isteach deireanach riamh. Deimhnigh cosán bainistíochta neamhspleách ar dtús, ansin rochtain cheadaithe ghnáth, ansin diúltú d’aon ghnó, ansin an t-iompar briseadh ceadaithe. Tá torthaí ionchais éagsúla ag na ceithre chás sin, agus is é a gcur le chéile in aon tástáil amháin an bealach a gcuireann daoine iad féin amach as gléas a bhfuil siad fós ag teastáil uathu.

Rith gach seiceáil ó sheisiún consóil nó ó chosán lasmuigh den bhanna, ionas nach féidir le botún an seisiún ina bhfuil tú ag obair a dhúnadh. Is é an consól an t-aon chosán nach bhfuil ag brath ar an gcomhpháirt atá á thástáil.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Ina dhiaidh sin, cuir an chumraíocht roimhe seo ar ais agus deimhnigh go ngluaiseann na cuntair arís ag an gcéad logáil isteach fhíor eile. Má tháirgeann an diúltú d’aon ghnó logáil isteach áitiúil in ionad diúltaithe, ansin ní hé an liosta nó an láimhseáil teipe an rud a chreid tú, agus téann an fhionnachtain sin thar an mbriseadh ar thosaigh tú leis. Scríobh an toradh sa taifead athraithe in aice le hainmneacha na gcuntas agus dáta na tástála.