RADIUS баш тартуусу же жооп жоктугу: жергиликтүү кирүү качан иштейт

Өзгөчө кырдаал үчүн жергиликтүү эсепти кармоо аны ар бир четке кагылган кирүү үчүн экинчи мүмкүнчүлүккө айландырбайт. Cisco IOS жана IOS XE AAA модели боюнча ал маалымат базасына мурунку ыкма белгилүү бир жол менен ийгиликсиз болгондо гана кайрылышат, ал эми баш тартуу менен жооп берген RADIUS сервери ал жол менен ийгиликсиз болгон эмес. Жергиликтүү эсеп жетүү мүмкүн эмес ыкманы камтыйт, четке кагылган ыкманы эмес. Тескерисинче ишенүү саясат чечимин жок сервер бузулушунун издерине айландырат.

Ыкмалардын тизмеси эмне үчүн тепкичке окшош

Мындай сап aaa authentication login default group radius local солдон оңго окулат, жана көпчүлүк аны RADIUS сынап көр, анан жергиликтүү маалымат базасын сынап көр деп окушат. Синтаксис ушундай окууга чакырат, анткени тизме — ырааттуулук. Мааниси тар: тизме аутентификация ыкмаларын атайт, жана бир ыкмадан кийинкисине өтүү эрежеси мурунку ыкманын натыйжасына көз каранды, колдонуучуга дагы бир аракет берүүгө эмес.

Ката кайтарган ыкма жана ийгиликсиздик кайтарган ыкма бул жерде ар кандай натыйжаларга алып келет. Баш тартуу — жооп, анткени сервер кирүү маалыматтарын иштеп чыгып, жок деди, жана тизме ошол жерде токтойт. Жетүү мүмкүн эмес сервер, мөөнөтү өткөн сурам же текшерүүгө келбеген жооп — кийинки ыкманы иштетүүгө мүмкүндүк берген учур, жана платформанын бузулуштарды иштетүүсү ошентип конфигурацияланган жерде гана. Ошондуктан local кошуу тууралуу классикалык кеңеш үзгүлтүктөрдө иштейт, ал эми туура эмес сырсөздөрдө эч нерсе кылбайт. Тизменин ордуна аны эки суроо катары окуңуз: кайсы ыкма жооп берет, жана платформа эмнени жооп деп эсептейт.

Ыкмалардын тизмесин сервер тобунан бөлүңүз

Ыкмалардын тизмеси — бир катмар, ал эми сервер тобу — экинчиси. group radius ачкыч сөзү ички тартиби, кайталоолору, убакыт чектөөлөрү жана өлүк серверди аныктоо тобуна таандык болгон топту атайт, ал эми жергиликтүү ыкма анын үстүндөгү катмар. Ошондуктан топтун ичиндегини жөндөө баш тартууну кайтарым жолго айландыра албайт. Эки катмардын кайсынысын өзгөртүүдөн мурун кызматтын чынында кайсы тизмеге шилтеме кылаарын ырастаңыз.

AAA конфигурациясын чыгарып, кызмат шилтеме кылган тизмени окуңуз, өзүңүз жаздым деп эсиңизде калган демейки маанини эмес. Муну кызмат чынында бүткөн түзмөктөн жасаңыз.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Серверлер таблицасы ар бир жазуунун абалын жана эсептегичтерин көрсөтөт, бул аракет учурунда шлюз серверге жеткенин айтат. Сурам эсептегичи өсүп жаткан иштеп жаткан деп белгиленген сервер жооп берип келген, ошондуктан ийгиликсиз кирүү — чечим, байланыш көйгөйү эмес.

Журналдан мурун жоопту окуңуз

Жооп коду натыйжаны атайт жана өзүнүн кийинки кадамын кыйытпайт. Access-Reject арткы бөлүк чечим кабыл алганын билдирет, ошондуктан пайдалуу далил — дал келген саясат жана анын артындагы эсеп абалы. Access-Challenge алмашуу экинчи фактор сыяктуу дагы бир колдоого алынган кадамды каалайт, ал эми жергиликтүү кайтарым жол саясат талап кылган нерсени үнсүз өткөрүп жиберет.

Белгиленген сыноо эсеби менен бир аракетти кайталаңыз, ошентип жооп менен арткы жазууну бир убакыт белгисинде салыштырууга болот. Ийгиликсиз болушуна уруксат берилген кирүү маалыматтарын колдонуңуз.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS кардар жазуусунун жоктугу же таанылбашы үнсүз убакыт чегинин кеңири тараган себеби, анткени сервер сурамды алат, дал келген кардар аныктамасын таппайт жана аны жооп бербестен таштайт. Жалпы сырдын дал келбестиги да адатта убакыт чегине окшошот, анткени жооп текшерүүдөн өтпөй ташталат. Алардын эч бири Access-Reject сыяктуу көрүнбөйт, жана эч бири жергиликтүү эсеп кошуу менен оңдолбойт. Ыкмалардын тизмесине тийүүдөн мурун эки тарапта тең кардар аныктамасын жана сырды текшериңиз.

Эмне үчүн жергиликтүү эсеп эч качан эч нерсени далилдеген эмес

Тизмеде топтон кийин турган эсеп бирөөнүн үзгүлтүктү пландаганын гана далилдейт. План иштейби же жокпу, ал тууралуу эч нерсе айтпайт, анткени аны сынаган учур — эч ким машыкпаган учур: сервер жооп берүүнү токтотту. Кадимки иште эч качан жетпеген жергиликтүү кирүү айлар бою мөөнөтү өткөн сырсөздү же кулпуланган абалды алып жүрүшү мүмкүн, бирок эч ким байкабайт.

Өзгөчө кирүү — долбоор чечими, конфигурациянын жанындагы таасири эмес. Ага өзүнүн чектелген эсебин, өз жооптуусун жана жазуу түрүндөгү калыбына келтирүү жол-жобосун бериңиз, жана жалпы сырдын айлануусун ошол жол-жобого кошуңуз. Ар бир борбордук колдонуучу үчүн бирдей аталган жергиликтүү сырсөздү кармоо — сиз жок кылдым деп ойлогон кирүүнү үнсүз кайтарган үлгү.

Маанилүү сыноо атайын, жана ал иштеп турганда кирүүлөрдү үзөт. Так ошол себептен ал артка кайтаруу кадамы биринчи жазылган пландалган терезеге таандык.

Техникалык тейлөө терезесинде кайтарым жолду текшериңиз

Сыноону акыркы кирүү жолун эч качан албастырбай тургандай тизиңиз. Адегенде көз карандысыз башкаруу жолун, анан кадимки уруксат берилген кирүүнү, анан атайын баш тартууну, анан бекитилген үзгүлтүк жүрүм-турумун ырастаңыз. Бул төрт учурдун күтүлгөн натыйжалары ар башка, жана аларды бир сыноого бириктирүү — адамдар дагы эле керектеген түзмөктөн өздөрүн кулпулап калтырган ыкма.

Ар бир текшерүүнү консолдук сессиядан же тилкеден тышкаркы жолдон жүргүзүңүз, ката сиз иштеп жаткан сессияны жаба албашы үчүн. Консоль — сыналып жаткан компонентке көз каранды эмес жалгыз жол.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Андан кийин мурунку конфигурацияны калыбына келтирип, кийинки чыныгы кирүүдө эсептегичтер кайра кыймылдаарын ырастаңыз. Эгер атайын баш тартуу баш тартуунун ордуна жергиликтүү кирүү жаратса, анда тизме же бузулуштарды иштетүү сиз ишенгендей эмес, жана ал табылга сиз баштаган үзгүлтүктөн маанилүүрөөк. Натыйжаны өзгөртүүлөр жазуусуна эсеп аттары жана сыноо күнүнүн жанына жазыңыз.