Rexeitamento de RADIUS fronte a sen resposta: cando se executa o inicio de sesión local

Manter unha conta local de emerxencia non a converte nunha segunda oportunidade para cada inicio de sesión rexeitado. No modelo AAA de Cisco IOS e IOS XE, esa base de datos só se consulta cando o método anterior falla dunha forma concreta, e un servidor RADIUS que responde cun rexeitamento non fallou desa forma. A conta local cobre un método inaccesible, non un rexeitado. Cregar o contrario converte unha decisión de política nunha caza dun fallo de servidor que non existe.

Por que a lista de métodos parece unha escaleira

Unha liña como aaa authentication login default group radius local lese de esquerda a dereita, e a maioría da xente léa como probe RADIUS e logo probe a base de datos local. A sintaxe invita a esa lectura porque unha lista é unha secuencia. A semántica é máis estreita: a lista nomea métodos de autenticación, e a regra para pasar dun ao seguinte depende do resultado do método anterior e non de darlle ao usuario outro intento.

Un método que devolve un erro e un método que devolve un fallo levan aquí a resultados distintos. O rexeitamento é unha resposta, porque o servidor procesou as credenciais e dixo que non, e a lista detense aí. Un servidor inaccesible, unha solicitude caducada ou unha resposta que non se pode validar é o caso que deixa executar o método seguinte, e só onde o manexo de fallos da plataforma está configurado así. Por iso o consello clásico de engadir local funciona nas caídas e non fai nada con contrasinais incorrectos. Lea a lista en cambio como dúas preguntas: que método responde e que conta a plataforma como resposta.

Separe a lista de métodos do grupo de servidores

A lista de métodos é unha capa e o grupo de servidores é outra. A palabra clave group radius nomea un grupo cuxa orde interna, reintentos, tempos de espera e detección de servidor morto pertencen ao grupo, mentres que un método local é unha capa por riba. Por tanto, axustar calquera cousa dentro do grupo non pode converter un rexeitamento nun respaldo. Confirme a que lista fai referencia realmente o servizo antes de cambiar calquera das dúas capas.

Imprima a configuración AAA e lea a lista á que apunta o servizo, non o valor por defecto que recorda ter escrito. Fágao desde o dispositivo no que o servizo remata realmente.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

A táboa de servidores informa do estado e dos contadores de cada entrada, o que lle di se a pasarela alcanzou o servidor durante o intento. Un servidor marcado como activo cun contador de solicitudes crecente estivo respondendo, así que o inicio de sesión fallido é unha decisión e non un problema de conectividade.

Lea a resposta antes ca o rexistro

O código de resposta nomea o resultado e implica o seu propio paso seguinte. Access-Reject significa que o backend tomou unha decisión, así que a evidencia útil é a política que coincidiu e o estado da conta detrás dela. Access-Challenge significa que o intercambio quere outro paso admitido, como un segundo factor, e o respaldo local saltaría en silencio algo que a política esixe.

Reproduza un intento cunha conta de proba designada para que a resposta e o rexistro do backend se poidan comparar na mesma marca de tempo. Use unha credencial que se lle permita facer fallar.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Unha entrada de cliente RADIUS ausente ou non recoñecida é unha causa habitual dun tempo de espera silencioso, porque o servidor recibe a solicitude, non atopa ningunha definición de cliente que coincida e descártaa sen responder. Un desaxuste do segredo compartido tamén adoita parecer un tempo de espera, porque a resposta falla a validación e descártase. Nada diso se parece a Access-Reject, e nada diso se arranxa engadindo unha conta local. Comprobe a definición do cliente e o segredo nos dous lados antes de tocar a lista de métodos.

Por que a conta local nunca demostrou nada

Unha conta que está despois dun grupo na lista só demostra que alguén planificou unha caída. Non di nada sobre se o plan funciona, porque o caso que o pon a proba é o caso que ninguén ensaia: o servidor deixou de responder. Un inicio de sesión local ao que nunca se chega en funcionamento normal pode arrastrar un contrasinal caducado ou un estado bloqueado durante meses sen que ninguén o note.

O acceso de emerxencia é unha decisión de deseño, non un efecto secundario da configuración. Déalle a súa propia conta restrinxida, o seu propio responsable e un procedemento de recuperación escrito, e inclúa a rotación do segredo compartido nese procedemento. Manter un contrasinal local co mesmo nome para cada usuario central é o patrón que reintroduce en silencio o acceso que cría ter eliminado.

A proba que importa é deliberada, e interromperá inicios de sesión mentres se executa. É exactamente por iso que pertence a unha xanela programada co paso de reversión escrito primeiro.

Comprobe a ruta de respaldo durante unha xanela de mantemento

Ordene a proba de modo que nunca elimine a última vía de entrada. Confirme primeiro unha ruta de xestión independente, despois o acceso normal permitido, despois un rexeitamento deliberado, despois o comportamento de caída aprobado. Eses catro casos teñen resultados esperados distintos, e xuntalos nunha soa proba é como a xente se deixa fóra dun dispositivo que aínda necesita.

Execute cada comprobación desde unha sesión de consola ou desde unha ruta fóra de banda, para que un erro non poida pechar a sesión na que traballa. A consola é a única ruta que non depende do compoñente que se proba.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Despois, restaure a configuración anterior e confirme que os contadores volven moverse no seguinte inicio de sesión real. Se o rexeitamento deliberado produce un inicio de sesión local en lugar dun rexeitamento, entón a lista ou o manexo de fallos non é o que cría, e ese achado supera a caída coa que empezou. Escriba o resultado no rexistro de cambios xunto aos nomes das contas e a data da proba.