RADIUS-ის უარი და პასუხის არარსებობა: როდის მუშაობს ლოკალური შესვლა

საგანგებო ლოკალური ანგარიშის შენახვა მას მეორე შანსად არ აქცევს ყოველი უარყოფილი შესვლისთვის. Cisco IOS-ისა და IOS XE-ის AAA მოდელში ამ მონაცემთა ბაზას მხოლოდ მაშინ მიმართავენ, როცა წინა მეთოდი კონკრეტული გზით ვარდება, და უარით პასუხისმგებელი RADIUS სერვერი ამ გზით არ ჩავარდნილა. ლოკალური ანგარიში მიუწვდომელ მეთოდს ფარავს, არა უარყოფილს. საპირისპიროს რწმენა პოლიტიკის გადაწყვეტილებას არარსებული სერვერის ხარვეზის ძებნად აქცევს.

რატომ ჰგავს მეთოდების სია კიბეს

ასეთი ხაზი aaa authentication login default group radius local მარცხნიდან მარჯვნივ იკითხება, და უმეტესობა მას კითხულობს როგორც სცადე RADIUS, შემდეგ სცადე ლოკალური ბაზა. სინტაქსი ამ კითხვას იწვევს, რადგან სია მიმდევრობაა. მნიშვნელობა ვიწროა: სია ავთენტიფიკაციის მეთოდებს ასახელებს, და ერთიდან მეორეზე გადასვლის წესი წინა მეთოდის შედეგზეა დამოკიდებული და არა მომხმარებლისთვის კიდევ ერთი ცდის მიცემაზე.

შეცდომის დაბრუნების მეთოდი და წარუმატებლობის დაბრუნების მეთოდი აქ სხვადასხვა შედეგამდე მიდის. უარი პასუხია, რადგან სერვერმა მონაცემები დაამუშავა და თქვა არა, და სია იქ ჩერდება. მიუწვდომელი სერვერი, ვადაგასული მოთხოვნა ან გადამოწმებადი პასუხი ის შემთხვევაა, რომელიც შემდეგ მეთოდს ამუშავებს, და მხოლოდ იქ, სადაც პლატფორმის ჩავარდნების დამუშავება ასეა კონფიგურირებული. ამიტომ local-ის დამატების კლასიკური რჩევა შეფერხებებზე მუშაობს და არასწორ პაროლებზე არაფერს აკეთებს. სია ამის ნაცვლად ორ კითხვად წაიკითხეთ: რომელი მეთოდი პასუხობს, და რას თვლის პლატფორმა პასუხად.

გაყავით მეთოდების სია სერვერის ჯგუფისგან

მეთოდების სია ერთი ფენაა, სერვერის ჯგუფი კი მეორე. group radius საკვანძო სიტყვა ჯგუფს ასახელებს, რომლის შიდა რიგი, განმეორებითი ცდები, ვადები და მკვდარი სერვერის ამოცნობა ჯგუფს ეკუთვნის, ხოლო ლოკალური მეთოდი მის ზემოთ ფენაა. ამიტომ ჯგუფის შიგნით რაიმეს რეგულირება უარს სარეზერვო გზად ვერ აქცევს. სანამ რომელიმე ფენას შეცვლით, დაადასტურეთ, რომელ სიას უთითებს სერვისი სინამდვილეში.

ამობეჭდეთ AAA კონფიგურაცია და წაიკითხეთ ის სია, რომელზეც სერვისი მიუთითებს, და არა ნაგულისხმევი მნიშვნელობა, რომელიც გახსოვთ, რომ დაწერეთ. ეს გააკეთეთ იმ მოწყობილობიდან, სადაც სერვისი სინამდვილეში სრულდება.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

სერვერების ცხრილი ყოველი ჩანაწერის მდგომარეობასა და მთვლელებს აჩვენებს, რაც გეუბნებათ, მიაღწია თუ არა კარიბჭემ სერვერს ცდის დროს. მზარდი მოთხოვნის მთვლელით აქტიურად მონიშნული სერვერი პასუხობდა, ამიტომ წარუმატებელი შესვლა გადაწყვეტილებაა და არა კავშირის პრობლემა.

წაიკითხეთ პასუხი ჟურნალამდე

პასუხის კოდი შედეგს ასახელებს და თავის შემდეგ ნაბიჯს გულისხმობს. Access-Reject ნიშნავს, რომ უკანა ნაწილმა გადაწყვეტილება მიიღო, ამიტომ სასარგებლო მტკიცებულებაა პოლიტიკა, რომელიც დაემთხვა, და მის უკან არსებული ანგარიშის მდგომარეობა. Access-Challenge ნიშნავს, რომ გაცვლას სურს კიდევ ერთი მხარდაჭერილი ნაბიჯი, მაგალითად მეორე ფაქტორი, და ლოკალური სარეზერვო გზა ჩუმად გამოტოვებდა იმას, რასაც პოლიტიკა მოითხოვს.

გაამრავლეთ ერთი ცდა დანიშნული სატესტო ანგარიშით, რათა პასუხი და უკანა ჩანაწერი ერთსა და იმავე დროის ნიშანზე შედარდეს. გამოიყენეთ მონაცემები, რომლის ჩავარდნაც დაშვებული გაქვთ.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS კლიენტის ჩანაწერის არარსებობა ან ამოუცნობობა ჩუმი ვადის ჩვეულებრივი მიზეზია, რადგან სერვერი მოთხოვნას იღებს, შესაბამის კლიენტის განსაზღვრას ვერ პოულობს და პასუხის გარეშე აგდებს. საერთო საიდუმლოს შეუთავსებლობაც ჩვეულებრივ ვადას ჰგავს, რადგან პასუხი გადამოწმებას ვერ გადის და იგდება. არც ერთი მათგანი Access-Reject-ს არ ჰგავს, და არც ერთი არ სწორდება ლოკალური ანგარიშის დამატებით. სანამ მეთოდების სიას შეეხებით, შეამოწმეთ კლიენტის განსაზღვრა და საიდუმლო ორივე მხარეს.

რატომ არაფერი დაუმტკიცებია ლოკალურ ანგარიშს

სიაში ჯგუფის შემდეგ მდგარი ანგარიში მხოლოდ იმას ამტკიცებს, რომ ვინმემ შეფერხება დაგეგმა. ის არაფერს ამბობს იმაზე, მუშაობს თუ არა გეგმა, რადგან ის შემთხვევა, რომელიც მას ამოწმებს, ის შემთხვევაა, რომელსაც არავინ ვარჯიშობს: სერვერმა პასუხის გაცემა შეწყვიტა. ლოკალური შესვლა, რომელსაც ჩვეულებრივ მუშაობაში არასოდეს აღწევენ, შეიძლება თვეების განმავლობაში ატაროს ვადაგასული პაროლი ან ჩაკეტილი მდგომარეობა, და ვერავინ შეამჩნიოს.

საგანგებო წვდომა დიზაინის გადაწყვეტილებაა, და არა კონფიგურაციის გვერდითი ეფექტი. მიეცით მას საკუთარი შეზღუდული ანგარიში, საკუთარი პასუხისმგებელი და წერილობითი აღდგენის პროცედურა, და ჩართეთ საერთო საიდუმლოს როტაცია ამ პროცედურაში. თითოეული ცენტრალური მომხმარებლისთვის ერთი და იმავე სახელის ლოკალური პაროლის შენახვა ის ნიმუშია, რომელიც ჩუმად აბრუნებს იმ წვდომას, რომელიც გეგონათ, რომ წაშალეთ.

მნიშვნელოვანი ტესტი განზრახია, და ის შეაწყვეტს შესვლებს მუშაობის დროს. სწორედ ამიტომ ეკუთვნის ის დაგეგმილ ფანჯარას, სადაც უკან დაბრუნების ნაბიჯი პირველად არის დაწერილი.

შეამოწმეთ სარეზერვო გზა ტექნიკური მომსახურების ფანჯრის დროს

დაალაგეთ ტესტი ისე, რომ არასოდეს მოხსნათ შესვლის ბოლო გზა. ჯერ დაადასტურეთ დამოუკიდებელი მართვის გზა, შემდეგ ჩვეულებრივი ნებადართული წვდომა, შემდეგ განზრახი უარი, შემდეგ დამტკიცებული შეფერხების ქცევა. ამ ოთხ შემთხვევას განსხვავებული მოსალოდნელი შედეგი აქვს, და მათი ერთ ტესტში გაერთიანება ის გზაა, რომლითაც ადამიანები საკუთარ თავს კეტავენ იმ მოწყობილობის გარეთ, რომელიც ჯერ კიდევ სჭირდებათ.

ყოველი შემოწმება ჩაატარეთ კონსოლის სესიიდან ან ზოლის გარეთ არსებული გზიდან, რათა შეცდომამ ვერ დახუროს ის სესია, რომელშიც მუშაობთ. კონსოლი ერთადერთი გზაა, რომელიც სატესტო კომპონენტზე არ არის დამოკიდებული.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

ამის შემდეგ აღადგინეთ წინა კონფიგურაცია და დაადასტურეთ, რომ მთვლელები კვლავ მოძრაობენ შემდეგ რეალურ შესვლაზე. თუ განზრახმა უარმა უარის ნაცვლად ლოკალური შესვლა წარმოქმნა, მაშინ სია ან ჩავარდნების დამუშავება ის არ არის, რაც გჯეროდათ, და ეს აღმოჩენა თქვენ მიერ დაწყებულ შეფერხებაზე მნიშვნელოვანია. ჩაწერეთ შედეგი ცვლილების ჩანაწერში ანგარიშების სახელებისა და ტესტის თარიღის გვერდით.