RADIUS-ի մերժումն ընդդեմ պատասխանի բացակայության՝ երբ է աշխատում տեղական մուտքը

Արտակարգ տեղական հաշիվ պահելը այն չի դարձնում երկրորդ հնարավորություն յուրաքանչյուր մերժված մուտքի համար։ Cisco IOS-ի և IOS XE-ի AAA մոդելում այդ տվյալների բազային դիմում են միայն այն ժամանակ, երբ նախորդ մեթոդը ձախողվում է որոշակի կերպով, և մերժմամբ պատասխանող RADIUS սերվերը այդ կերպով չի ձախողվել։ Տեղական հաշիվը ծածկում է անհասանելի մեթոդը, ոչ թե մերժվածը։ Հակառակը հավատալը քաղաքականության որոշումը վերածում է գոյություն չունեցող սերվերի խափանման որոնման։

Ինչու է մեթոդների ցանկը սանդուղքի նման

Այսպիսի տող aaa authentication login default group radius local կարդացվում է ձախից աջ, և մարդկանց մեծ մասը այն կարդում է որպես փորձիր RADIUS, ապա փորձիր տեղական տվյալների բազան։ Շարահյուսությունը հրավիրում է այդ ընթերցմանը, որովհետև ցանկը հաջորդականություն է։ Իմաստը ավելի նեղ է՝ ցանկը անվանում է նույնականացման մեթոդները, և մեկից հաջորդին անցնելու կանոնը կախված է նախորդ մեթոդի արդյունքից, ոչ թե օգտատիրոջը ևս մեկ փորձ տալուց։

Սխալ վերադարձնող մեթոդը և ձախողում վերադարձնող մեթոդը այստեղ տանում են տարբեր արդյունքների։ Մերժումը պատասխան է, որովհետև սերվերը մշակել է մուտքի տվյալները և ասել ոչ, և ցանկը այնտեղ կանգ է առնում։ Անհասանելի սերվերը, ժամկետանց հարցումը կամ չհաստատվող պատասխանը այն դեպքն է, որը թույլ է տալիս հաջորդ մեթոդին աշխատել, և միայն այնտեղ, որտեղ հարթակի ձախողումների կառավարումը այդպես է կարգավորված։ Այդ պատճառով local ավելացնելու դասական խորհուրդը աշխատում է ընդհատումների ժամանակ և ոչինչ չի անում սխալ գաղտնաբառերի դեպքում։ Փոխարենը կարդացեք ցանկը որպես երկու հարց՝ ո՞ր մեթոդն է պատասխանում, և ի՞նչն է հարթակը համարում պատասխան։

Առանձնացրեք մեթոդների ցանկը սերվերի խմբից

Մեթոդների ցանկը մեկ շերտ է, իսկ սերվերի խումբը՝ մեկ այլ։ group radius բանալի բառը անվանում է խումբ, որի ներքին հերթականությունը, կրկնափորձերը, ժամկետները և մեռած սերվերի հայտնաբերումը պատկանում են խմբին, մինչդեռ տեղական մեթոդը դրա վերևի շերտն է։ Ուստի խմբի ներսում որևէ բանի կարգավորումը չի կարող մերժումը վերածել պահուստային ուղու։ Նախքան երկու շերտերից որևէ մեկը փոխելը հաստատեք, թե ծառայությունը իրականում որ ցանկին է հղում։

Տպեք AAA կարգավորումները և կարդացեք այն ցանկը, որին մատնանշում է ծառայությունը, ոչ թե լռելյայն արժեքը, որը հիշում եք, թե գրել եք։ Արեք դա այն սարքից, որի վրա ծառայությունն իրականում ավարտվում է։

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Սերվերների աղյուսակը հաղորդում է յուրաքանչյուր գրառման վիճակը և հաշվիչները, ինչը ձեզ ասում է՝ դարպասը փորձի ընթացքում հասել է սերվերին, թե ոչ։ Աճող հարցումների հաշվիչով աշխատող նշված սերվերը պատասխանել է, ուստի ձախողված մուտքը որոշում է, ոչ թե կապի խնդիր։

Կարդացեք պատասխանը նախքան մատյանը

Պատասխանի կոդը անվանում է արդյունքը և ենթադրում է իր հաջորդ քայլը։ Access-Reject նշանակում է, որ հետին մասը որոշում է կայացրել, ուստի օգտակար ապացույցը համընկած քաղաքականությունն է և դրա հետևում գտնվող հաշվի վիճակը։ Access-Challenge նշանակում է, որ փոխանակությունը ցանկանում է ևս մեկ աջակցվող քայլ, օրինակ՝ երկրորդ գործոն, և տեղական պահուստային ուղին լուռ բաց կթողնի այն, ինչ պահանջում է քաղաքականությունը։

Վերարտադրեք մեկ փորձ նշանակված փորձնական հաշվով, որպեսզի պատասխանը և հետին գրառումը հնարավոր լինի համեմատել նույն ժամանակադրոշմով։ Օգտագործեք մուտքի տվյալ, որը ձեզ թույլատրվում է ձախողել։

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Բացակայող կամ չճանաչված RADIUS հաճախորդի գրառումը լուռ ժամկետի սովորական պատճառ է, որովհետև սերվերը ստանում է հարցումը, համապատասխան հաճախորդի սահմանում չի գտնում և այն նետում է առանց պատասխանելու։ Ընդհանուր գաղտնիքի անհամապատասխանությունը նույնպես սովորաբար ժամկետի է նման, որովհետև պատասխանը չի անցնում ստուգումը և դեն է նետվում։ Դրանցից ոչ մեկը Access-Reject-ի նման չէ, և ոչ մեկը չի ուղղվում տեղական հաշիվ ավելացնելով։ Նախքան մեթոդների ցանկին դիպչելը ստուգեք հաճախորդի սահմանումը և գաղտնիքը երկու կողմերում։

Ինչու տեղական հաշիվը երբեք ոչինչ չապացուցեց

Ցանկում խմբից հետո կանգնած հաշիվը ապացուցում է միայն, որ ինչ-որ մեկը պլանավորել է ընդհատում։ Այն ոչինչ չի ասում այն մասին՝ աշխատում է պլանը, թե ոչ, որովհետև այն դեպքը, որը փորձարկում է այն, այն դեպքն է, որը ոչ ոք չի վարժեցնում՝ սերվերը դադարեց պատասխանել։ Տեղական մուտքը, որին սովորական աշխատանքում երբեք չեն հասնում, կարող է ամիսներ շարունակ կրել ժամկետանց գաղտնաբառ կամ կողպված վիճակ, և ոչ ոք չի նկատի։

Արտակարգ մուտքը նախագծման որոշում է, ոչ թե կարգավորումների կողմնակի ազդեցություն։ Տվեք նրան սեփական սահմանափակ հաշիվ, սեփական պատասխանատու և գրավոր վերականգնման ընթացակարգ, և ներառեք ընդհանուր գաղտնիքի պտույտը այդ ընթացակարգում։ Յուրաքանչյուր կենտրոնական օգտատիրոջ համար նույնանուն տեղական գաղտնաբառ պահելը այն օրինաչափությունն է, որը լուռ վերադարձնում է այն մուտքը, որը դուք կարծում էիք, թե հեռացրել եք։

Կարևոր փորձարկումը դիտավորյալ է, և այն կընդհատի մուտքերը ընթացքի ժամանակ։ Հենց դրա համար այն պատկանում է պլանավորված պատուհանին, որտեղ հետադարձ քայլը գրված է առաջինը։

Ստուգեք պահուստային ուղին սպասարկման պատուհանի ընթացքում

Դասավորեք փորձարկումը այնպես, որ երբեք չհեռացնեք մուտքի վերջին ուղին։ Նախ հաստատեք անկախ կառավարման ուղի, ապա սովորական թույլատրված մուտք, ապա դիտավորյալ մերժում, ապա հաստատված ընդհատման վարք։ Այս չորս դեպքերն ունեն տարբեր սպասվող արդյունքներ, և դրանք մեկ փորձարկման մեջ միավորելը հենց այն ձևն է, որով մարդիկ իրենց կողպում են դուրս այն սարքից, որն իրենց դեռ պետք է։

Անցկացրեք յուրաքանչյուր ստուգում վահանակի նստաշրջանից կամ ժապավենից դուրս ուղուց, որպեսզի սխալը չկարողանա փակել այն նստաշրջանը, որում աշխատում եք։ Վահանակը միակ ուղին է, որը կախված չէ փորձարկվող բաղադրիչից։

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Դրանից հետո վերականգնեք նախորդ կարգավորումները և հաստատեք, որ հաշվիչները նորից շարժվում են հաջորդ իրական մուտքի ժամանակ։ Եթե դիտավորյալ մերժումը մերժման փոխարեն առաջացնում է տեղական մուտք, ապա ցանկը կամ ձախողումների կառավարումը այն չէ, ինչ դուք հավատում էիք, և այդ հայտնաբերումը գերազանցում է ձեր սկսած ընդհատմանը։ Գրեք արդյունքը փոփոխությունների գրառման մեջ՝ հաշիվների անունների և փորձարկման ամսաթվի կողքին։