Penolakan RADIUS versus Tanpa Respons: Kapan Login Lokal Berjalan

Menyimpan akun lokal darurat tidak menjadikannya kesempatan kedua bagi setiap login yang ditolak. Dalam model AAA Cisco IOS dan IOS XE, basis data itu hanya dikonsultasikan ketika metode sebelumnya gagal dengan cara tertentu, dan server RADIUS yang menjawab dengan penolakan tidak gagal dengan cara itu. Akun lokal mencakup metode yang tak terjangkau, bukan metode yang ditolak. Mempercayai sebaliknya mengubah keputusan kebijakan menjadi perburuan kesalahan server yang tidak ada.

Mengapa daftar metode tampak seperti tangga

Baris seperti aaa authentication login default group radius local dibaca dari kiri ke kanan, dan kebanyakan orang membacanya sebagai coba RADIUS, lalu coba basis data lokal. Sintaksnya mengundang pembacaan itu karena daftar adalah urutan. Semantiknya lebih sempit: daftar menamai metode autentikasi, dan aturan berpindah dari satu ke berikutnya bergantung pada hasil metode sebelumnya, bukan pada memberi pengguna percobaan lain.

Metode yang mengembalikan galat dan metode yang mengembalikan kegagalan menghasilkan hasil berbeda di sini. Penolakan adalah jawaban, karena server memproses kredensial dan berkata tidak, dan daftar berhenti di situ. Server yang tak terjangkau, permintaan yang kedaluwarsa, atau balasan yang tidak dapat divalidasi adalah kasus yang membiarkan metode berikutnya berjalan, dan hanya di tempat penanganan kegagalan platform dikonfigurasi demikian. Itulah sebabnya saran klasik menambahkan local berfungsi saat pemadaman dan tidak melakukan apa pun pada kata sandi yang salah. Bacalah daftar itu sebagai dua pertanyaan: metode mana yang menjawab, dan apa yang dianggap platform sebagai jawaban.

Pisahkan daftar metode dari grup server

Daftar metode adalah satu lapisan dan grup server adalah lapisan lain. Kata kunci group radius menamai grup yang urutan internalnya, percobaan ulang, batas waktu, dan deteksi server mati menjadi milik grup, sedangkan metode lokal adalah lapisan di atasnya. Menyetel apa pun di dalam grup karena itu tidak dapat mengubah penolakan menjadi fallback. Pastikan daftar mana yang benar-benar dirujuk layanan sebelum mengubah salah satu lapisan.

Cetak konfigurasi AAA dan baca daftar yang ditunjuk layanan, bukan nilai bawaan yang Anda ingat telah Anda tulis. Lakukan dari perangkat tempat layanan benar-benar berakhir.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tabel server melaporkan status dan penghitung setiap entri, yang memberi tahu Anda apakah gateway mencapai server selama percobaan. Server yang ditandai aktif dengan penghitung permintaan yang naik telah menjawab, jadi login yang gagal adalah keputusan, bukan masalah konektivitas.

Baca balasan sebelum membaca log

Kode balasan menamai hasil dan menyiratkan langkah berikutnya sendiri. Access-Reject berarti backend mengambil keputusan, jadi bukti yang berguna adalah kebijakan yang cocok dan keadaan akun di baliknya. Access-Challenge berarti pertukaran menginginkan langkah lain yang didukung seperti faktor kedua, dan fallback lokal akan diam-diam melewati sesuatu yang diwajibkan kebijakan.

Reproduksi satu percobaan dengan akun uji yang ditentukan agar balasan dan catatan backend dapat dibandingkan pada stempel waktu yang sama. Gunakan kredensial yang boleh Anda gagalkan.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Entri klien RADIUS yang hilang atau tidak dikenali adalah penyebab umum batas waktu senyap, karena server menerima permintaan, tidak menemukan definisi klien yang cocok, dan membuangnya tanpa menjawab. Ketidakcocokan rahasia bersama juga biasanya tampak seperti batas waktu, karena balasan gagal validasi dan dibuang. Tidak satu pun dari itu tampak seperti Access-Reject, dan tidak satu pun diperbaiki dengan menambahkan akun lokal. Periksa definisi klien dan rahasia di kedua sisi sebelum menyentuh daftar metode.

Mengapa akun lokal tidak pernah membuktikan apa pun

Akun yang berada setelah grup dalam daftar hanya membuktikan bahwa seseorang merencanakan pemadaman. Itu tidak mengatakan apa pun tentang apakah rencananya berfungsi, karena kasus yang mengujinya adalah kasus yang tidak pernah dilatih siapa pun: server berhenti menjawab. Login lokal yang tidak pernah tercapai dalam operasi normal dapat membawa kata sandi kedaluwarsa atau keadaan terkunci selama berbulan-bulan tanpa ada yang menyadarinya.

Akses darurat adalah keputusan desain, bukan efek samping konfigurasi. Beri ia akun terbatas sendiri, pemilik sendiri, dan prosedur pemulihan tertulis, serta masukkan rotasi rahasia bersama ke prosedur itu. Menyimpan kata sandi lokal bernama sama untuk setiap pengguna pusat adalah pola yang diam-diam memunculkan kembali akses yang Anda kira telah dihapus.

Uji yang penting bersifat sengaja, dan itu akan mengganggu login selama berjalan. Justru karena itu ia termasuk dalam jendela terjadwal dengan langkah pengembalian ditulis lebih dulu.

Periksa jalur fallback selama jendela pemeliharaan

Urutkan uji agar Anda tidak pernah menghapus jalan masuk terakhir. Pastikan dulu jalur manajemen mandiri, lalu akses normal yang diizinkan, lalu penolakan sengaja, lalu perilaku pemadaman yang disetujui. Keempat kasus itu punya hasil yang diharapkan berbeda, dan menyatukannya menjadi satu uji adalah cara orang mengunci diri dari perangkat yang masih mereka butuhkan.

Jalankan setiap pemeriksaan dari sesi konsol atau jalur luar band, agar kesalahan tidak dapat menutup sesi tempat Anda bekerja. Konsol adalah satu-satunya jalur yang tidak bergantung pada komponen yang diuji.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Setelah itu, pulihkan konfigurasi sebelumnya dan pastikan penghitung bergerak lagi pada login nyata berikutnya. Jika penolakan sengaja menghasilkan login lokal alih-alih penolakan, maka daftar atau penanganan kegagalan bukan seperti yang Anda yakini, dan temuan itu lebih penting daripada pemadaman yang Anda mulai. Tulis hasilnya ke catatan perubahan di samping nama akun dan tanggal uji.