דחיית RADIUS לעומת אין תגובה: מתי התחברות מקומית פועלת

החזקת חשבון מקומי לשעת חירום אינה הופכת אותו להזדמנות שנייה לכל התחברות שנדחתה. במודל AAA של Cisco IOS ו-IOS XE, מסד הנתונים הזה נשאל רק כאשר השיטה הקודמת נכשלת באופן מסוים, ושרת RADIUS שמשיב בדחייה לא נכשל באותו אופן. החשבון המקומי מכסה שיטה שאינה נגישה, לא שיטה שנדחתה. אמונה הפוכה הופכת החלטת מדיניות לחיפוש אחר תקלת שרת שאינה קיימת.

למה רשימת השיטות נראית כמו סולם

שורה כמו aaa authentication login default group radius local נקראת משמאל לימין, ורוב האנשים קוראים אותה כנסו לנסות RADIUS, ואז לנסות את מסד הנתונים המקומי. התחביר מזמין קריאה כזו מפני שרשימה היא רצף. הסמנטיקה צרה יותר: הרשימה מכנה שיטות אימות, והכלל למעבר מאחת לבאה תלוי בתוצאה של השיטה הקודמת, ולא במתן ניסיון נוסף למשתמש.

שיטה שמחזירה שגיאה ושיטה שמחזירה כשל מובילות כאן לתוצאות שונות. דחייה היא תשובה, מפני שהשרת עיבד את פרטי ההתחברות ואמר לא, והרשימה נעצרת שם. שרת בלתי נגיש, בקשה שפג תוקפה או תגובה שלא ניתן לאמת הם המקרה שמאפשר לשיטה הבאה לרוץ, ורק במקום שבו טיפול הכשלים של הפלטפורמה מוגדר כך. לכן העצה הקלאסית להוסיף local עובדת בהפסקות ואינה עושה דבר בסיסמאות שגויות. קראו את הרשימה במקום זאת כשתי שאלות: איזו שיטה עונה, ומה הפלטפורמה מחשיבה כתשובה.

הפרידו את רשימת השיטות מקבוצת השרתים

רשימת השיטות היא שכבה אחת וקבוצת השרתים היא אחרת. מילת המפתח group radius מכנה קבוצה שהסדר הפנימי, הניסיונות החוזרים, פסקי הזמן וזיהוי שרת מת שייכים לקבוצה, בעוד ששיטה מקומית היא שכבה מעליה. לכן כיוונון דבר בתוך הקבוצה אינו יכול להפוך דחייה לחלופה. אשרו לאיזו רשימה השירות מתייחס בפועל לפני שתשנו כל אחת מהשכבות.

הדפיסו את תצורת AAA וקראו את הרשימה שהשירות מצביע אליה, לא את ברירת המחדל שאתם זוכרים שכתבתם. עשו זאת מהמכשיר שעליו השירות מסתיים בפועל.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

טבלת השרתים מדווחת על מצב כל רשומה ומוני הקריאות שלה, מה שאומר לכם אם השער הגיע לשרת במהלך הניסיון. שרת שמסומן כפעיל עם מונה בקשות עולה השיב, ולכן ההתחברות שנכשלה היא החלטה ולא בעיית קישוריות.

קראו את התגובה לפני היומן

קוד התגובה מכנה את התוצאה ומרמז על הצעד הבא שלו. Access-Reject פירושו שהחלק האחורי קיבל החלטה, ולכן הראיה המועילה היא המדיניות שהתאימה ומצב החשבון שמאחוריה. Access-Challenge פירושו שהחילוף רוצה צעד נתמך נוסף כמו גורם שני, וחלופה מקומית הייתה מדלגת בשקט על משהו שהמדיניות דורשת.

שחזרו ניסיון אחד עם חשבון בדיקה ייעודי כדי שאפשר יהיה להשוות את התגובה ואת רשומת החלק האחורי באותה חותמת זמן. השתמשו בפרטי התחברות שמותר לכם להכשיל.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

רשומת לקוח RADIUS חסרה או לא מזוהה היא סיבה נפוצה לפסק זמן שקט, מפני שהשרת מקבל את הבקשה, אינו מוצא הגדרת לקוח מתאימה וזורק אותה בלי להשיב. אי התאמה של הסוד המשותף נראית בדרך כלל גם כן כמו פסק זמן, מפני שהתגובה נכשלת באימות ומושלכת. אף אחד מאלה אינו נראה כמו Access-Reject, ואף אחד מהם אינו מתוקן בהוספת חשבון מקומי. בדקו את הגדרת הלקוח ואת הסוד בשני הצדדים לפני שתיגעו ברשימת השיטות.

למה החשבון המקומי מעולם לא הוכיח דבר

חשבון שעומד אחרי קבוצה ברשימה מוכיח רק שמישהו תכנן הפסקה. הוא אינו אומר דבר על האם התוכנית עובדת, מפני שהמקרה שמפעיל אותה הוא המקרה שאיש אינו מתרגל: השרת הפסיק להשיב. התחברות מקומית שאליה לא מגיעים לעולם בפעולה רגילה יכולה לשאת סיסמה שפג תוקפה או מצב נעול במשך חודשים בלי שאיש ישים לב.

גישה לשעת חירום היא החלטת עיצוב, לא תופעת לוואי של תצורה. תנו לה חשבון מוגבל משלה, בעלים משלה ונוהל שחזור כתוב, ושלבו את סבב הסוד המשותף בנוהל הזה. החזקת סיסמה מקומית באותו שם לכל משתמש מרכזי היא הדפוס שמחזיר בשקט את הגישה שחשבתם שהסרתם.

הבדיקה שחשובה היא מכוונת, והיא תקטע התחברויות בזמן שהיא רצה. בדיוק משום כך היא שייכת לחלון מתוזמן שבו שלב הנסיגה נכתב ראשון.

בדקו את מסלול החלופה בחלון תחזוקה

סדרו את הבדיקה כך שלעולם לא תסירו את הדרך האחרונה פנימה. אשרו קודם מסלול ניהול עצמאי, אחר כך גישה רגילה מותרת, אחר כך דחייה מכוונת, אחר כך התנהגות ההפסקה המאושרת. לארבעת המקרים האלה תוצאות צפויות שונות, ואיחודם לבדיקה אחת הוא הדרך שבה אנשים נועלים את עצמם מחוץ למכשיר שהם עדיין זקוקים לו.

הריצו כל בדיקה מתוך הפעלת קונסולה או ממסלול מחוץ לפס, כדי שטעות לא תסגור את ההפעלה שאתם עובדים בה. הקונסולה היא המסלול היחיד שאינו תלוי ברכיב הנבדק.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

לאחר מכן, שחזרו את התצורה הקודמת ואשרו שהמונים זזים שוב בהתחברות האמיתית הבאה. אם הדחייה המכוונת מייצרת התחברות מקומית במקום דחייה, הרי שהרשימה או טיפול הכשלים אינם מה שהאמנתם, והממצא הזה גובר על ההפסקה שהתחלתם בה. כתבו את התוצאה ברשומת השינוי לצד שמות החשבונות ותאריך הבדיקה.