RADIUS atmetimas prieš jokio atsakymo: kada veikia vietinis prisijungimas

Avarinio vietinio prisijungimo paskyros laikymas nepaverčia jos antru šansu kiekvienam atmestam prisijungimui. Cisco IOS ir IOS XE AAA modelyje į tą duomenų bazę kreipiamasi tik tada, kai ankstesnis metodas nepavyksta tam tikru būdu, o RADIUS serveris, atsakantis atmetimu, nebuvo nepavykęs tuo būdu. Vietinė paskyra apima nepasiekiamą metodą, o ne atmestą. Priešingas įsitikinimas politinį sprendimą paverčia serverio gedimo, kurio nėra, paieška.

Kodėl metodų sąrašas atrodo kaip kopėčios

Eilutė kaip aaa authentication login default group radius local skaitoma iš kairės į dešinę, ir dauguma žmonių ją skaito kaip pabandyk RADIUS, po to pabandyk vietinę duomenų bazę. Sintaksė kviečia taip skaityti, nes sąrašas yra seka. Reikšmė siauresnė: sąrašas įvardija autentifikavimo metodus, o perėjimo nuo vieno prie kito taisyklė priklauso nuo ankstesnio metodo rezultato, o ne nuo bandymo suteikimo naudotojui dar kartą.

Metodas, grąžinantis klaidą, ir metodas, grąžinantis nesėkmę, čia veda prie skirtingų rezultatų. Atmetimas yra atsakymas, nes serveris apdorojo prisijungimo duomenis ir pasakė ne, ir sąrašas ten sustoja. Nepasiekiamas serveris, pasibaigęs prašymas ar atsakymas, kurio negalima patvirtinti, yra atvejis, leidžiantis veikti kitam metodui, ir tik ten, kur platformos gedimų apdorojimas sukonfigūruotas taip. Todėl klasikinis patarimas pridėti local veikia sutrikimų metu ir nieko nedaro su neteisingais slaptažodžiais. Sąrašą vietoj to skaitykite kaip du klausimus: kuris metodas atsako ir ką platforma laiko atsakymu.

Atskirkite metodų sąrašą nuo serverių grupės

Metodų sąrašas yra vienas sluoksnis, o serverių grupė yra kitas. Raktinis žodis group radius įvardija grupę, kurios vidinė tvarka, pakartotiniai bandymai, laiko limitai ir negyvo serverio aptikimas priklauso grupei, tuo tarpu vietinis metodas yra sluoksnis virš jos. Todėl derinti ką nors grupės viduje negali paversti atmetimo atsarginiu keliu. Prieš keisdami kurį nors sluoksnį patvirtinkite, į kurį sąrašą paslauga iš tikrųjų nurodo.

Atspausdinkite AAA konfigūraciją ir perskaitykite sąrašą, į kurį nurodo paslauga, o ne numatytąją reikšmę, kurią prisimenate parašę. Darykite tai iš įrenginio, kuriame paslauga iš tikrųjų baigiasi.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Serverių lentelė rodo kiekvieno įrašo būseną ir skaitiklius, kas pasako, ar šliuzas bandymo metu pasiekė serverį. Serveris, pažymėtas kaip veikiantis su didėjančiu prašymų skaitikliu, atsakinėjo, tad nepavykęs prisijungimas yra sprendimas, o ne ryšio problema.

Perskaitykite atsakymą prieš žurnalą

Atsakymo kodas įvardija rezultatą ir numato savo paties kitą žingsnį. Access-Reject reiškia, kad vidinė dalis priėmė sprendimą, todėl naudingi įrodymai yra atitikusi politika ir paskyros būsena už jos. Access-Challenge reiškia, kad mainai nori dar vieno palaikomo žingsnio, pavyzdžiui, antro faktoriaus, o vietinis atsarginis kelias tyliai praleistų tai, ko reikalauja politika.

Atkurkite vieną bandymą su paskirta bandomąja paskyra, kad atsakymą ir vidinės dalies įrašą būtų galima palyginti tuo pačiu laiko žymenu. Naudokite prisijungimo duomenis, kurių nepavykimą jums leidžiama sukelti.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Trūkstamas ar neatpažintas RADIUS kliento įrašas yra dažna tylios laiko limito priežastis, nes serveris gauna prašymą, neranda atitinkančio kliento apibrėžimo ir jį išmeta neatsakęs. Bendros paslapties neatitikimas taip pat paprastai atrodo kaip laiko limitas, nes atsakymas nepraeina patikros ir yra išmetamas. Nė vienas iš jų neatrodo kaip Access-Reject, ir nė vienas netaisomas pridėjus vietinę paskyrą. Prieš liesdami metodų sąrašą patikrinkite kliento apibrėžimą ir paslaptį abiejose pusėse.

Kodėl vietinė paskyra niekada nieko neįrodė

Paskyra, kuri sąraše stovi po grupės, įrodo tik tai, kad kažkas suplanavo sutrikimą. Ji nieko nesako apie tai, ar planas veikia, nes atvejis, kuris jį išbando, yra atvejis, kurio niekas netreniruoja: serveris nustojo atsakinėti. Vietinis prisijungimas, kurio normalaus darbo metu niekada nepasiekiama, gali mėnesius nešti pasibaigusį slaptažodį arba užrakintą būseną, ir niekas to nepastebi.

Avarinė prieiga yra dizaino sprendimas, o ne konfigūracijos šalutinis poveikis. Suteikite jai atskirą ribotą paskyrą, atskirą atsakingą asmenį ir rašytinę atkūrimo procedūrą, o bendros paslapties rotaciją įtraukite į tą procedūrą. Tos pačios pavadinimo vietinio slaptažodžio laikymas kiekvienam centriniam naudotojui yra modelis, kuris tyliai sugrąžina prieigą, kurią manėte pašalinę.

Bandymas, kuris svarbus, yra sąmoningas, ir jis nutrauks prisijungimus, kol vyksta. Būtent todėl jis priklauso suplanuotam langui, kuriame atšaukimo žingsnis parašytas pirmiausia.

Patikrinkite atsarginį kelią techninės priežiūros lange

Išdėstykite bandymą taip, kad niekada nepašalintumėte paskutinio įėjimo kelio. Pirmiausia patvirtinkite nepriklausomą valdymo kelią, po to įprastą leidžiamą prieigą, po to sąmoningą atmetimą, po to patvirtintą sutrikimo elgseną. Šie keturi atvejai turi skirtingus laukiamus rezultatus, o jų sujungimas į vieną bandymą yra būdas, kuriuo žmonės užsirakina iš įrenginio, kurio jiems dar reikia.

Kiekvieną patikrą atlikite iš konsolės sesijos arba iš juostos išorės kelio, kad klaida negalėtų uždaryti sesijos, kurioje dirbate. Konsolė yra vienintelis kelias, nepriklausantis nuo bandomojo komponento.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Po to atkurkite ankstesnę konfigūraciją ir patvirtinkite, kad skaitikliai vėl juda kitame tikrame prisijungime. Jei sąmoningas atmetimas sukuria vietinį prisijungimą, o ne atmetimą, vadinasi, sąrašas arba gedimų apdorojimas nėra tai, kuo tikėjote, ir šis atradimas svarbesnis už sutrikimą, kurį pradėjote. Įrašykite rezultatą į pakeitimų įrašą šalia paskyrų pavadinimų ir bandymo datos.