RADIUS अस्वीकृति बनाम कोई उत्तर नहीं: स्थानीय लॉगिन कब चलता है

आपातकाल के लिए स्थानीय खाता रखना उसे हर अस्वीकृत लॉगिन के लिए दूसरा मौका नहीं बनाता। Cisco IOS और IOS XE के AAA मॉडल में उस डेटाबेस से केवल तब परामर्श लिया जाता है जब पिछली विधि किसी विशिष्ट तरीके से विफल हो, और अस्वीकृति के साथ उत्तर देने वाला RADIUS सर्वर उस तरीके से विफल नहीं हुआ है। स्थानीय खाता अगम्य विधि को कवर करता है, अस्वीकृत विधि को नहीं। विपरीत मानने से नीति-निर्णय ऐसी सर्वर खराबी की तलाश में बदल जाता है जो मौजूद नहीं है।

विधि सूची सीढ़ी जैसी क्यों लगती है

ऐसी पंक्ति aaa authentication login default group radius local बाएँ से दाएँ पढ़ी जाती है, और अधिकांश लोग इसे RADIUS आज़माएँ, फिर स्थानीय डेटाबेस आज़माएँ के रूप में पढ़ते हैं। वाक्यरचना उस पाठ को आमंत्रित करती है क्योंकि सूची एक क्रम है। अर्थ संकीर्ण है: सूची प्रमाणीकरण विधियों के नाम देती है, और एक से अगली पर जाने का नियम पिछली विधि के परिणाम पर निर्भर करता है, उपयोगकर्ता को एक और प्रयास देने पर नहीं।

त्रुटि लौटाने वाली विधि और विफलता लौटाने वाली विधि यहाँ अलग परिणामों तक ले जाती हैं। अस्वीकृति एक उत्तर है, क्योंकि सर्वर ने क्रेडेंशियल संसाधित किए और ना कहा, और सूची वहीं रुक जाती है। अगम्य सर्वर, समाप्त अनुरोध या ऐसा उत्तर जिसे मान्य नहीं किया जा सकता, वह मामला है जो अगली विधि को चलने देता है, और केवल वहीं जहाँ प्लेटफ़ॉर्म की विफलता-प्रबंधन ऐसे कॉन्फ़िगर की गई है। इसलिए local जोड़ने की पुरानी सलाह रुकावटों में काम करती है और गलत पासवर्ड पर कुछ नहीं करती। सूची को इसके बजाय दो प्रश्नों के रूप में पढ़ें: कौन सी विधि उत्तर देती है, और प्लेटफ़ॉर्म किसे उत्तर मानता है।

विधि सूची को सर्वर समूह से अलग करें

विधि सूची एक परत है और सर्वर समूह दूसरी। group radius कीवर्ड ऐसे समूह का नाम देता है जिसका आंतरिक क्रम, पुनः प्रयास, समय-सीमाएँ और मृत-सर्वर पहचान समूह के अंतर्गत आते हैं, जबकि स्थानीय विधि उसके ऊपर की परत है। इसलिए समूह के भीतर कुछ भी ट्यून करने से अस्वीकृति फ़ॉलबैक में नहीं बदल सकती। दोनों में से कोई परत बदलने से पहले पुष्टि करें कि सेवा वास्तव में किस सूची का संदर्भ देती है।

AAA कॉन्फ़िगरेशन प्रिंट करें और वह सूची पढ़ें जिसकी ओर सेवा संकेत करती है, न कि वह डिफ़ॉल्ट जो आपको लिखा हुआ याद है। यह उस डिवाइस से करें जहाँ सेवा वास्तव में समाप्त होती है।

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

सर्वर तालिका प्रत्येक प्रविष्टि की स्थिति और काउंटर बताती है, जिससे पता चलता है कि प्रयास के दौरान गेटवे सर्वर तक पहुँचा या नहीं। बढ़ते अनुरोध काउंटर के साथ सक्रिय चिह्नित सर्वर उत्तर देता रहा है, इसलिए विफल लॉगिन एक निर्णय है, कनेक्टिविटी समस्या नहीं।

लॉग पढ़ने से पहले उत्तर पढ़ें

उत्तर कोड परिणाम का नाम देता है और अपना अगला कदम सुझाता है। Access-Reject का अर्थ है कि बैकएंड ने निर्णय लिया, इसलिए उपयोगी साक्ष्य वह नीति है जो मेल खाई और उसके पीछे की खाता स्थिति। Access-Challenge का अर्थ है कि आदान-प्रदान दूसरे कारक जैसा एक और समर्थित कदम चाहता है, और स्थानीय फ़ॉलबैक नीति की अपेक्षित कोई वस्तु चुपचाप छोड़ देता।

निर्धारित परीक्षण खाते के साथ एक प्रयास पुनःउत्पन्न करें ताकि उत्तर और बैकएंड रिकॉर्ड की तुलना एक ही समय-चिह्न पर हो सके। ऐसा क्रेडेंशियल उपयोग करें जिसे विफल करने की आपको अनुमति है।

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS क्लाइंट प्रविष्टि का अनुपस्थित या अपरिचित होना शांत समय-सीमा का सामान्य कारण है, क्योंकि सर्वर अनुरोध प्राप्त करता है, मेल खाती क्लाइंट परिभाषा नहीं पाता और उत्तर दिए बिना उसे गिरा देता है। साझा रहस्य का बेमेल भी आमतौर पर समय-सीमा जैसा दिखता है, क्योंकि उत्तर सत्यापन में विफल होकर छोड़ दिया जाता है। इनमें से कोई Access-Reject जैसा नहीं दिखता, और इनमें से कोई स्थानीय खाता जोड़कर ठीक नहीं होता। विधि सूची को छूने से पहले दोनों ओर क्लाइंट परिभाषा और रहस्य जाँचें।

स्थानीय खाते ने कभी कुछ साबित क्यों नहीं किया

सूची में समूह के बाद बैठा खाता केवल यह साबित करता है कि किसी ने रुकावट की योजना बनाई थी। यह नहीं बताता कि योजना काम करती है या नहीं, क्योंकि जो मामला इसे परखता है वही मामला है जिसका कोई अभ्यास नहीं करता: सर्वर ने उत्तर देना बंद कर दिया। सामान्य संचालन में कभी न पहुँचा जाने वाला स्थानीय लॉगिन महीनों तक समाप्त पासवर्ड या तालाबंद स्थिति लिए रह सकता है, किसी को पता नहीं चलता।

आपातकालीन पहुँच एक डिज़ाइन निर्णय है, कॉन्फ़िगरेशन का दुष्प्रभाव नहीं। इसे अपना सीमित खाता, अपना स्वामी और लिखित पुनर्प्राप्ति प्रक्रिया दें, और साझा रहस्य के परिभ्रमण को उस प्रक्रिया में शामिल करें। हर केंद्रीय उपयोगकर्ता के लिए एक ही नाम का स्थानीय पासवर्ड रखना वह पैटर्न है जो आपके द्वारा हटाई गई समझी गई पहुँच को चुपचाप लौटा देता है।

जो परीक्षण मायने रखता है वह जानबूझकर है, और चलते समय वह लॉगिन बाधित करेगा। ठीक इसीलिए वह निर्धारित विंडो में आता है जहाँ रोलबैक चरण पहले लिखा जाता है।

रखरखाव विंडो के दौरान फ़ॉलबैक पथ जाँचें

परीक्षण को ऐसे क्रम दें कि आप कभी अंतिम प्रवेश मार्ग न हटाएँ। पहले स्वतंत्र प्रबंधन पथ की पुष्टि करें, फिर सामान्य अनुमत पहुँच, फिर जानबूझकर अस्वीकृति, फिर स्वीकृत रुकावट व्यवहार। इन चार मामलों के अपेक्षित परिणाम अलग हैं, और इन्हें एक परीक्षण में समेटना वही तरीका है जिससे लोग खुद को ऐसे उपकरण से बाहर ताला लगा लेते हैं जिसकी उन्हें अभी भी ज़रूरत है।

हर जाँच कंसोल सत्र या आउट-ऑफ़-बैंड पथ से चलाएँ, ताकि गलती उस सत्र को बंद न कर सके जिसमें आप काम कर रहे हैं। कंसोल ही एकमात्र पथ है जो परीक्षणाधीन घटक पर निर्भर नहीं है।

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

इसके बाद पिछला कॉन्फ़िगरेशन बहाल करें और पुष्टि करें कि अगले वास्तविक लॉगिन पर काउंटर फिर हिलते हैं। यदि जानबूझकर अस्वीकृति अस्वीकृति के बजाय स्थानीय लॉगिन उत्पन्न करती है, तो सूची या विफलता-प्रबंधन वह नहीं है जो आप मानते थे, और वह खोज आपके द्वारा शुरू की गई रुकावट से बड़ी है। परिणाम को परिवर्तन रिकॉर्ड में खाता नामों और परीक्षण की तारीख के बगल में लिखें।