RADIUS бас тартуы немесе жауап жоқтығы: жергілікті кіру қашан істейді

Төтенше жергілікті тіркелгіні ұстау оны әрбір қабылданбаған кіру үшін екінші мүмкіндікке айналдырмайды. Cisco IOS және IOS XE AAA үлгісінде бұл дерекқорға тек алдыңғы әдіс белгілі бір түрде сәтсіз болғанда ғана жүгінеді, ал бас тартумен жауап беретін RADIUS сервері олай сәтсіз болған жоқ. Жергілікті тіркелгі қолжетімсіз әдісті қамтиды, қабылданбаған әдісті емес. Керісінше сену саясат шешімін жоқ сервер ақауын іздеуге айналдырады.

Әдістер тізімі неге баспалдаққа ұқсайды

Мынадай жол aaa authentication login default group radius local солдан оңға оқылады, және көпшілік оны RADIUS көріп, содан кейін жергілікті дерекқорды көр деп оқиды. Синтаксис осы оқуға шақырады, өйткені тізім — реттілік. Мағына тар: тізім аутентификация әдістерін атайды, ал бір әдістен келесіге өту ережесі алдыңғы әдістің нәтижесіне байланысты, пайдаланушыға тағы бір әрекет беруге емес.

Қате қайтаратын әдіс пен сәтсіздік қайтаратын әдіс мұнда әртүрлі нәтижелерге әкеледі. Бас тарту — жауап, өйткені сервер тіркелу деректерін өңдеп, жоқ деді, және тізім сонда тоқтайды. Қолжетімсіз сервер, мерзімі өткен сұраныс немесе растауға келмейтін жауап — келесі әдісті іске қосуға мүмкіндік беретін жағдай, және тек платформаның ақауларды өңдеуі осылай конфигурацияланған жерде ғана. Сондықтан local қосу туралы классикалық кеңес үзілістерде жұмыс істейді, ал қате құпиясөздерде ештеңе істемейді. Тізімді оның орнына екі сұрақ ретінде оқыңыз: қай әдіс жауап береді және платформа нені жауап деп санайды.

Әдістер тізімін сервер тобынан бөліңіз

Әдістер тізімі — бір қабат, ал сервер тобы — екіншісі. group radius кілт сөзі ішкі реті, қайталаулары, уақыт шектеулері және өлі серверді анықтауы топқа жататын топты атайды, ал жергілікті әдіс оның үстіндегі қабат. Сондықтан топ ішіндегіні реттеу бас тартуды қосалқы жолға айналдыра алмайды. Екі қабаттың қайсысын өзгертер алдында қызметтің шын мәнінде қай тізімге сілтейтінін растаңыз.

AAA конфигурациясын шығарып, қызмет сілтейтін тізімді оқыңыз, өзіңіз жаздым деп есте қалған әдепкі мәнді емес. Мұны қызмет шын мәнінде аяқталатын құрылғыдан жасаңыз.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Серверлер кестесі әр жазбаның күйі мен есептегіштерін көрсетеді, бұл әрекет кезінде шлюздің серверге жеткенін айтады. Сұраныс есептегіші өсіп жатқан белсенді деп белгіленген сервер жауап беріп келген, сондықтан сәтсіз кіру — шешім, байланыс мәселесі емес.

Журналдан бұрын жауапты оқыңыз

Жауап коды нәтижені атайды және өзінің келесі қадамын меңзейді. Access-Reject артқы бөлік шешім қабылдағанын білдіреді, сондықтан пайдалы дәлел — сәйкес келген саясат және оның артындағы тіркелгі күйі. Access-Challenge алмасу екінші фактор сияқты тағы бір қолдау көрсетілген қадамды қалайтынын білдіреді, ал жергілікті қосалқы жол саясат талап ететін нәрсені үнсіз өткізіп жіберер еді.

Белгіленген сынақ тіркелгісімен бір әрекетті қайталаңыз, осылайша жауап пен артқы жазбаны бір уақыт белгісінде салыстыруға болады. Сәтсіздігіне рұқсат етілген тіркелу деректерін пайдаланыңыз.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS клиент жазбасының болмауы немесе танылмауы үнсіз уақыт шегінің жиі себебі, өйткені сервер сұранысты алады, сәйкес клиент анықтамасын таппайды және оны жауапсыз тастайды. Ортақ құпияның сәйкессіздігі де әдетте уақыт шегіне ұқсайды, өйткені жауап тексеруден өтпейді және тасталады. Олардың ешқайсысы Access-Reject-ке ұқсамайды, және ешқайсысы жергілікті тіркелгі қосумен түзелмейді. Әдістер тізіміне тимес бұрын екі жақтағы клиент анықтамасын және құпияны тексеріңіз.

Неге жергілікті тіркелгі ешқашан ештеңе дәлелдеген жоқ

Тізімде топтан кейін тұрған тіркелгі тек біреудің үзілісті жоспарлағанын дәлелдейді. Жоспар жұмыс істей ме, жоқ па, ол туралы ештеңе айтпайды, өйткені оны сынайтын жағдай — ешкім жаттықпайтын жағдай: сервер жауап беруді тоқтатты. Қалыпты жұмыста ешқашан жетпейтін жергілікті кіру айлар бойы мерзімі өткен құпиясөзді немесе құлыпталған күйді алып жүруі мүмкін, бірақ ешкім байқамайды.

Төтенше қатынас — дизайн шешімі, конфигурацияның жанама әсері емес. Оған өзінің шектеулі тіркелгісін, өз жауаптысын және жазбаша қалпына келтіру рәсімін беріңіз, және ортақ құпияның айналымын сол рәсімге қосыңыз. Әрбір орталық пайдаланушы үшін бірдей атаулы жергілікті құпиясөз ұстау — сіз жойдым деп ойлаған қатынасты үнсіз қайтаратын үлгі.

Маңызды сынақ әдейі, және ол жұмыс істеп тұрғанда кірулерді үзеді. Дәл сол себепті ол кері қайтару қадамы бірінші жазылған жоспарлы терезеге жатады.

Техникалық қызмет көрсету терезесінде қосалқы жолды тексеріңіз

Сынақты соңғы кіру жолын ешқашан алып тастамайтындай реттеңіз. Алдымен тәуелсіз басқару жолын, содан кейін қалыпты рұқсат етілген қатынасты, содан кейін әдейі бас тартуды, содан кейін мақұлданған үзіліс мінез-құлқын растаңыз. Бұл төрт жағдайдың күтілетін нәтижелері әртүрлі, және оларды бір сынаққа біріктіру — адамдар әлі қажет етіп отырған құрылғыдан өздерін құлыптайтын әдіс.

Әрбір тексеруді консоль сессиясынан немесе жолақтан тыс жолдан орындаңыз, қате сіз жұмыс істеп жатқан сессияны жаба алмас үшін. Консоль — сынақтағы құрамдасқа тәуелді емес жалғыз жол.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Содан кейін алдыңғы конфигурацияны қалпына келтіріп, келесі нақты кіруде есептегіштер қайта қозғалатынын растаңыз. Егер әдейі бас тарту бас тартудың орнына жергілікті кіру тудырса, онда тізім немесе ақауларды өңдеу сіз сенгендей емес, және бұл табылған жайт сіз бастаған үзілістен маңыздырақ. Нәтижені өзгерістер жазбасына тіркелгі атаулары мен сынақ күнінің қасына жазыңыз.