RADIUS-Ablehnung géint keng Äntwert: wéini de lokale Login leeft

En Noutfall-lokale Kont ze halen mécht en net zu enger zweeter Chance fir all verworfene Login. Am AAA-Modell vu Cisco IOS an IOS XE gëtt déi Datebank nëmmen dann ugefrot, wann déi vireg Method op eng bestëmmte Manéier feelt, an en RADIUS-Server, dee mat enger Ablehnung äntwert, ass net op déi Manéier feelt. De lokale Kont deckt eng onereechbar Method of, net eng verworfene. Anescht ze gleewen mécht aus enger Politiksentscheedung eng Sich no engem Serverfehler, deen et net gëtt.

Firwat d'Methodelëscht wéi eng Leeder ausgesäit

Eng Zeil wéi aaa authentication login default group radius local gëtt vu lénks no riets gelies, an déi meescht Leit liesen se als probéier RADIUS, da probéier déi lokal Datebank. D'Syntax invitéiert zu där Liesung, well eng Lëscht eng Sequenz ass. D'Semantik ass méi schmuel: d'Lëscht nennt Authentifikatiounsmethoden, an d'Reegel fir vun enger op déi nächst ze kommen hänkt vum Resultat vun der vireger Method of, net dovu fir de Benotzer nach en Versuch ze ginn.

Eng Method, déi e Feeler zréckgëtt, an eng Method, déi e Versoe zréckgëtt, féieren hei zu ënnerschiddleche Resultater. D'Ablehnung ass eng Äntwert, well de Server d'Umeldungsdaten verschafft huet an nee gesot huet, an d'Lëscht hält do op. En onereechbare Server, eng ofgelaf Ufro oder eng Äntwert, déi net validéiert ka ginn, ass de Fall, deen déi nächst Method lafe léisst, an nëmmen do, wou d'Feelerbehandlung vun der Plattform esou konfiguréiert ass. Dofir funktionéiert de klassischen Rot, local dobäizemaachen, bei Ausfäll an deet näischt bei falsche Passwierder. Liest d'Lëscht amplaz als zwou Froen: wéi eng Method äntwert, an wat d'Plattform als Äntwert zielt.

Trennt d'Methodelëscht vun der Servergrupp

D'Methodelëscht ass eng Schicht an d'Servergrupp ass eng aner. D'Schlësselwuert group radius nennt eng Grupp, där hir intern Uerdnung, Widderhuelungen, Zäitlimiten an d'Erkennung vun engem doudege Server zu der Grupp gehéieren, wärend eng lokal Method eng Schicht driwwer ass. Dofir kann d'Upassen vun eppes an der Grupp eng Ablehnung net an e Fallback ëmwandelen. Bestätegt, op wéi eng Lëscht de Service tatsächlech referenzéiert, ier Dir eng vun deenen zwou Schichten ännert.

Dréckt d'AAA-Konfiguratioun aus a liest d'Lëscht, op déi de Service weist, net de Standard, vun deem Dir Iech erënnert, datt Dir en geschriwwen hutt. Maacht dat vum Gerät, op deem de Service tatsächlech ophalen.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

D'Servertabelle mellt den Zoustand an d'Zieler vun all Andrag, wat Iech seet, ob den Gateway de Server während dem Versuch erreecht huet. En als aktiv markéierte Server mat engem klëmmenden Ufrozieler huet geäntwert, also ass de feelgeschloenen Login eng Entscheedung an net e Verbindungsproblem.

Liest d'Äntwert ier Dir de Log liest

Den Äntwertcode nennt d'Resultat an implizéiert säin eegene nächsten Schrëtt. Access-Reject heescht, datt de Backend eng Entscheedung geholl huet, dofir ass den nëtzleche Beweis déi passend Politik an den Kontzoustand hannendrun. Access-Challenge heescht, datt den Austausch nach en ënnerstëtzte Schrëtt wéi en zweete Faktor wëll, an e lokale Fallback géif eppes stëll iwwersprangen, wat d'Politik verlaangt.

Reproduzéiert ee Versuch mat engem bestëmmten Testkont, sou datt d'Äntwert an de Backend-Record op der selwechter Zäitstempel ka verglach ginn. Benotzt Umeldungsdaten, deenen säi Versoe Dir erlaabt ass.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

En feelenden oder onbekannten RADIUS-Client-Andrag ass eng heefeg Ursaach vun enger stëller Zäitlimite, well de Server d'Ufro kritt, keng passend Client-Definitioun fënnt an se ouni Äntwert ewechgeheit. Eng Onveräinbarkeet vum gedeelte Geheimnis gesäit normalerweis och wéi eng Zäitlimite aus, well d'Äntwert d'Validéierung net passéiert an ewechgeheit gëtt. Keng vun deene gesäit wéi Access-Reject aus, a keng vun deene gëtt duerch d'Bäisetze vun engem lokale Kont gefléckt. Kontrolléiert d'Client-Definitioun an de Geheimnis op béide Säiten, ier Dir d'Methodelëscht beréiert.

Firwat de lokale Kont ni eppes bewisen huet

E Kont, deen an der Lëscht no enger Grupp steet, beweist just, datt een en Ausfall geplangt huet. Et seet näischt doriwwer, ob de Plang funktionéiert, well de Fall, deen en exercéiert, dee Fall ass, deen keen üübt: de Server huet opgehalen z'äntwerten. En lokale Login, zu deem een am normale Betrib ni kënnt, kann Méint laang en ofgelaf Passwuert oder en zougespaarten Zoustand droen, ouni datt et een merkt.

Noutfallzougang ass eng Designentscheedung, net en Nieweneffekt vun der Konfiguratioun. Gitt him säin eegene limitéierte Kont, säin eegene Verantwortlechen an eng schrëftlech Erhuelungsprozedur, a flicht d'Rotatioun vum gedeelte Geheimnis an déi Prozedur an. Fir all zentrale Benotzer e lokalt Passwuert mat dem selwechten Numm ze halen ass de Muster, deen de Zougang, vun deem Dir geduecht hutt, datt Dir en ewechgeholl hutt, stëll erëmbréngt.

Den Test, deen zielt, ass bewosst, an hie wäert Logins ënnerbriechen, wärend hie leeft. Genau dofir gehéiert hien an e geplangte Fënster mat dem Réckwee-Schrëtt als éischten geschriwwen.

Kontrolléiert de Fallback-Wee während enger Ënnerhaltsfenster

Uerdert den Test esou, datt Dir ni de leschte Wee eran ewechhëlt. Bestätegt als éischt en onofhängege Verwaltungswee, duerno den normalen erlaabten Zougang, duerno eng bewosst Ablehnung, duerno dat geneemegt Ausfallverhalen. Déi véier Fäll hunn ënnerschiddlech erwaart Resultater, an se an een Test zesummenzeféieren ass de Wee, wéi d'Leit sech aus engem Gerät aussperren, dat se nach brauchen.

Féiert all Kontroll aus enger Konsolsitzung oder vun engem Wee baussen der Band, sou datt e Feeler d'Sitzung, an där Dir schafft, net ka zoumaachen. D'Konsol ass deen eenzege Wee, deen net vun der getester Komponent ofhänkt.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Duerno stellt déi fréier Konfiguratioun erëm hier a bestätegt, datt d'Zieler beim nächsten echte Login erëm bewegen. Wann déi bewosst Ablehnung en lokale Login amplaz enger Ablehnung produzéiert, dann ass d'Lëscht oder d'Feelerbehandlung net dat, wat Dir gegleeft hutt, an dee Fonnt ass wichteger wéi den Ausfall, mat deem Dir ugefaang hutt. Schreift d'Resultat an de Ännerungsrecord nieft den Kontnimm an den Datum vum Test.