RADIUS-elutasítás szemben a válasz hiányával: mikor fut a helyi bejelentkezés

A helyi vészkiszolgáló fiók fenntartása nem teszi második esélyt minden elutasított bejelentkezéshez. A Cisco IOS és IOS XE AAA-modelljében ezt az adatbázist csak akkor kérdezik meg, amikor az előző módszer meghatározott módon meghiúsul, és az elutasítással válaszoló RADIUS-kiszolgáló nem így hiúsult meg. A helyi fiók az elérhetetlen módszert fedi le, nem az elutasítottat. Ellenkező hit azt eredményezi, hogy egy irányelvi döntés átalakul egy nem létező kiszolgálóhiba keresésévé.

Miért tűnik létrának a módszerlista

Egy ilyen sor aaa authentication login default group radius local balról jobbra olvasandó, és a legtöbb ember úgy olvassa, hogy próbálja a RADIUS-t, majd próbálja a helyi adatbázist. A szintaxis erre az olvasatra hív, mert a lista sorrend. A szemantika szűkebb: a lista a hitelesítési módszereket nevezi meg, és az egyikről a következőre lépés szabálya az előző módszer eredményétől függ, nem attól, hogy a felhasználó újabb kísérletet kap.

A hibát visszaadó módszer és a meghiúsulást visszaadó módszer itt különböző eredményekhez vezet. Az elutasítás válasz, mert a kiszolgáló feldolgozta a hitelesítő adatokat és nemet mondott, és a lista ott megáll. Az elérhetetlen kiszolgáló, a lejárt kérés vagy a nem érvényesíthető válasz az az eset, amely tovább engedi a következő módszert, és csak ott, ahol a platform hibakezelése így van beállítva. Ezért működik a klasszikus tanács a local hozzáadására kimaradásokkor, és nem tesz semmit rossz jelszavak esetén. Olvassa a listát inkább két kérdésként: melyik módszer válaszol, és mit tekint a platform válasznak.

Válassza külön a módszerlistát a kiszolgálócsoporttól

A módszerlista egy réteg, a kiszolgálócsoport egy másik. A group radius kulcsszó olyan csoportot nevez meg, amelynek belső sorrendje, újrapróbálkozásai, időkorlátai és halott kiszolgáló észlelése a csoporthoz tartoznak, míg a helyi módszer egy réteg felette. Ezért a csoporton belül bármit hangolva nem lehet az elutasításból tartalék. Erősítse meg, melyik listára hivatkozik a szolgáltatás valójában, mielőtt bármelyik réteget módosítja.

Nyomtassa ki az AAA-konfigurációt, és olvassa el a listát, amelyre a szolgáltatás mutat, ne az alapértelmezést, amelyről emlékszik, hogy megírta. Tegye ezt azon az eszközön, amelyen a szolgáltatás valójában végződik.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

A kiszolgálótáblázat minden bejegyzés állapotát és számlálóit jelenti, ami megmondja, elérte-e az átjáró a kiszolgálót a kísérlet során. A növekvő kérésszámlálóval működőnek jelölt kiszolgáló válaszolt, tehát a sikertelen bejelentkezés döntés, nem kapcsolódási probléma.

Előbb a választ olvassa, aztán a naplót

A válaszkód megnevezi az eredményt, és magában foglalja a saját következő lépését. Az Access-Reject azt jelenti, hogy a háttér döntést hozott, ezért a hasznos bizonyíték az egyező irányelv és a mögötte lévő fiókállapot. Access-Challenge azt jelenti, hogy az eszmecsere egy másik támogatott lépést kér, például második tényezőt, és a helyi tartalék csendben kihagyna valamit, amit az irányelv megkövetel.

Reprodukáljon egy kísérletet kijelölt tesztfiókkal, hogy a válasz és a háttérrekord ugyanazon időbélyeg mellett összehasonlítható legyen. Olyan hitelesítő adatot használjon, amelynek meghiúsítására engedélye van.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

A hiányzó vagy nem felismert RADIUS-ügyfélbejegyzés gyakori oka a csendes időtúllépésnek, mert a kiszolgáló megkapja a kérést, nem talál megfelelő ügyfél-definíciót, és válasz nélkül eldobja. A megosztott titok eltérése is általában időtúllépésnek látszik, mert a válasz nem megy át az érvényesítésen, és eldobják. Egyik sem úgy néz ki, mint az Access-Reject, és egyik sem javítható helyi fiók hozzáadásával. A módszerlista megérintése előtt ellenőrizze az ügyfél-definíciót és a titkot mindkét oldalon.

Miért nem bizonyított soha semmit a helyi fiók

A lista csoport után álló fiók csak azt bizonyítja, hogy valaki számított egy kimaradásra. Nem mond semmit arról, működik-e a terv, mert az eset, amely próbára teszi, az az eset, amelyet senki nem gyakorol: a kiszolgáló abbahagyta a válaszadást. Egy helyi bejelentkezés, amely normál üzem közben soha nem érhető el, hónapokig hordozhat lejárt jelszót vagy zárolt állapotot anélkül, hogy bárki észrevenné.

A vészhelyzeti hozzáférés tervezési döntés, nem a konfiguráció mellékhatása. Adjon neki saját korlátozott fiókot, saját felelőst és írásos helyreállítási eljárást, és foglalja bele a megosztott titok rotációját ebbe az eljárásba. Azonos nevű helyi jelszót tartani minden központi felhasználónak az a minta, amely csendben visszahozza azt a hozzáférést, amelyet úgy hitt, hogy eltávolított.

A számító teszt szándékos, és futása közben megszakítja a bejelentkezéseket. Pontosan ezért tartozik ütemezett ablakba, amelyben a visszaállítási lépés van előre megírva.

Ellenőrizze a tartalék útvonalat karbantartási ablakban

Rendezze úgy a tesztet, hogy soha ne távolítsa el az utolsó bejárati utat. Először erősítsen meg egy független kezelési utat, majd a normál engedélyezett hozzáférést, majd egy szándékos elutasítást, majd a jóváhagyott kimaradási viselkedést. Ennek a négy esetnek különböző várt eredménye van, és egyetlen tesztbe vonásuk az az út, ahogyan az emberek kizárják magukat egy olyan eszközből, amelyre még szükségük van.

Minden ellenőrzést konzol-munkamenetből vagy sávon kívüli útvonalról futtasson, hogy egy hiba ne zárhassa be a munkamenetet, amelyben dolgozik. A konzol az az egyetlen útvonal, amely nem függ a tesztelt összetevőtől.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Ezután állítsa vissza az előző konfigurációt, és erősítse meg, hogy a számlálók a következő valódi bejelentkezésnél újra mozognak. Ha a szándékos elutasítás helyi bejelentkezést eredményez elutasítás helyett, akkor a lista vagy a hibakezelés nem az, amit hitt, és ez a felismerés fontosabb, mint a kimaradás, amelyet elkezdett. Írja az eredményt a változási rekordba a fióknevek és a teszt dátuma mellé.