Odbijanje RADIUS-a nasuprot bez odgovora: kada radi lokalna prijava

Držanje lokalnog računa za nuždu ne čini ga drugom prilikom za svaku odbijenu prijavu. U AAA modelu Cisco IOS i IOS XE ta baza se provjerava samo kada prethodna metoda ne uspije na određen način, a RADIUS poslužitelj koji odgovori odbijanjem nije neuspio na taj način. Lokalni račun pokriva nedostupnu metodu, a ne odbijenu. Vjerovanje u suprotno pretvara odluku politike u potragu za kvarom poslužitelja kojeg nema.

Zašto popis metoda izgleda kao ljestve

Redak poput aaa authentication login default group radius local čita se slijeva nadesno, i većina ljudi to čita kao probaj RADIUS, pa probaj lokalnu bazu. Sintaksa poziva na takvo čitanje jer je popis niz. Semantika je uža: popis imenuje metode autentifikacije, a pravilo prelaska s jedne na sljedeću ovisi o rezultatu prethodne metode, a ne o davanju korisniku još jednog pokušaja.

Metoda koja vraća grešku i metoda koja vraća neuspjeh ovdje vode do različitih ishoda. Odbijanje je odgovor, jer je poslužitelj obradio vjerodajnice i rekao ne, i popis se tu zaustavlja. Nedostupan poslužitelj, istekao zahtjev ili odgovor koji se ne može provjeriti jest slučaj koji pušta sljedeću metodu da radi, i to samo tamo gdje je platformsko rukovanje neuspjesima tako postavljeno. Zato klasičan savjet da dodate local radi kod prekida i ne čini ništa kod pogrešnih lozinki. Čitajte popis umjesto toga kao dva pitanja: koja metoda odgovara i što platforma smatra odgovorom.

Odvojite popis metoda od grupe poslužitelja

Popis metoda je jedan sloj, a grupa poslužitelja drugi. Ključna riječ group radius imenuje grupu čiji unutarnji redoslijed, ponovni pokušaji, vremenska ograničenja i otkrivanje mrtvog poslužitelja pripadaju grupi, dok je lokalna metoda sloj iznad nje. Zato podešavanje bilo čega unutar grupe ne može pretvoriti odbijanje u rezervni put. Potvrdite na koji popis servis zapravo upućuje prije nego promijenite bilo koji sloj.

Ispišite AAA konfiguraciju i pročitajte popis na koji servis pokazuje, a ne zadanu vrijednost za koju se sjećate da ste je napisali. Učinite to s uređaja na kojem servis zaista završava.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tablica poslužitelja prikazuje stanje i brojače svakog unosa, što vam kaže je li pristupnik dosegnuo poslužitelj tijekom pokušaja. Poslužitelj označen kao aktivan s rastućim brojačem zahtjeva odgovarao je, pa je neuspješna prijava odluka, a ne problem s povezivanjem.

Pročitajte odgovor prije dnevnika

Šifra odgovora imenuje ishod i podrazumijeva vlastiti sljedeći korak. Access-Reject znači da je pozadinski sustav donio odluku, pa je koristan dokaz politika koja se poklopila i stanje računa iza nje. Access-Challenge znači da razmjena želi još jedan podržani korak poput drugog faktora, a lokalni rezervni put bi tiho preskočio nešto što politika zahtijeva.

Reproducirajte jedan pokušaj s određenim testnim računom kako bi se odgovor i zapis pozadinskog sustava mogli usporediti u istom trenutku. Koristite vjerodajnice koje vam je dopušteno oboriti.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Nedostajući ili neprepoznat unos RADIUS klijenta čest je uzrok tihe pauze, jer poslužitelj primi zahtjev, ne nađe odgovarajuću definiciju klijenta i odbaci ga bez odgovora. Neusklađenost zajedničke tajne obično također izgleda kao pauza, jer odgovor ne prolazi provjeru i biva odbačen. Ništa od toga ne izgleda kao Access-Reject i ništa se od toga ne popravlja dodavanjem lokalnog računa. Provjerite definiciju klijenta i tajnu na obje strane prije nego dotaknete popis metoda.

Zašto lokalni račun nikada ništa nije dokazao

Račun koji stoji poslije grupe na popisu dokazuje samo da je netko planirao prekid. Ne govori ništa o tome radi li plan, jer slučaj koji ga provjerava jest slučaj koji nitko ne uvježbava: poslužitelj je prestao odgovarati. Lokalna prijava do koje se u normalnom radu nikada ne stigne može mjesecima nositi isteklu lozinku ili zaključano stanje, a da nitko ne primijeti.

Prinudni pristup je dizajnerska odluka, a ne nuspojava konfiguracije. Dajte mu vlastiti ograničeni račun, vlastitog vlasnika i pisanu proceduru oporavka, i uklopite rotaciju zajedničke tajne u tu proceduru. Držanje istoimene lokalne lozinke za svakog središnjeg korisnika jest obrazac koji tiho vraća pristup koji ste mislili da ste uklonili.

Test koji je važan je namjeran i prekinut će prijave dok traje. Upravo zato pripada planiranom terminu s unaprijed napisanim korakom vraćanja.

Provjerite rezervni put tijekom termina održavanja

Poredajte test tako da nikada ne uklonite posljednji put unutra. Prvo potvrdite neovisni put upravljanja, zatim uobičajeni dopušteni pristup, zatim namjerno odbijanje, zatim odobreno ponašanje pri prekidu. Ta četiri slučaja imaju različite očekivane ishode, a njihovo sažimanje u jedan test način je na koji se ljudi zaključaju iz uređaja koji im još treba.

Pokrenite svaku provjeru iz konzolne sesije ili izvanpojasnog puta, kako greška ne bi mogla zatvoriti sesiju u kojoj radite. Konzola je jedini put koji ne ovisi o komponenti koja se testira.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Poslije toga vratite prethodnu konfiguraciju i potvrdite da se brojači ponovo pomiču pri sljedećoj stvarnoj prijavi. Ako namjerno odbijanje proizvede lokalnu prijavu umjesto odbijanja, onda popis ili rukovanje neuspjesima nije ono što ste vjerovali, i to saznanje je važnije od prekida s kojim ste počeli. Upišite rezultat u zapis o promjeni pored imena računa i datuma testa.