RADIUS noraidījums pret nav atbildes: kad darbojas vietējā pieteikšanās

Ārkārtas vietējā konta glabāšana nepadara to par otru iespēju katram noraidītajam pieteikumam. Cisco IOS un IOS XE AAA modelī šai datubāzei pievēršas tikai tad, kad iepriekšējā metode neizdodas noteiktā veidā, un RADIUS serveris, kas atbild ar noraidījumu, nav neizdevies šādā veidā. Vietējais konts aptver nesasniedzamu metodi, nevis noraidītu. Pretēja pārliecība politikas lēmumu pārvērš tāda servera bojājuma meklēšanā, kura nav.

Kāpēc metožu saraksts izskatās kā kāpnes

Rinda, piemēram, aaa authentication login default group radius local tiek lasīta no kreisās uz labo, un lielākā daļa cilvēku to lasa kā pamēģini RADIUS, tad pamēģini vietējo datubāzi. Sintakse aicina uz šādu lasījumu, jo saraksts ir secība. Nozīme ir šaurāka: saraksts nosauc autentifikācijas metodes, un pārejas noteikums no vienas uz nākamo ir atkarīgs no iepriekšējās metodes rezultāta, nevis no tā, vai lietotājam tiek dota vēl viena iespēja.

Metode, kas atgriež kļūdu, un metode, kas atgriež neveiksmi, šeit noved pie atšķirīgiem rezultātiem. Noraidījums ir atbilde, jo serveris apstrādāja pieteikšanās datus un pateica nē, un saraksts tur apstājas. Nesasniedzams serveris, beidzies pieprasījums vai atbilde, kuru nevar validēt, ir gadījums, kas ļauj darboties nākamajai metodei, un tikai tur, kur platformas kļūdu apstrāde ir tā konfigurēta. Tāpēc klasiskais padoms pievienot local darbojas pārtraukumos un neko nedara ar nepareizām parolēm. Sarakstu tā vietā lasiet kā divus jautājumus: kura metode atbild un ko platforma uzskata par atbildi.

Atdaliet metožu sarakstu no serveru grupas

Metožu saraksts ir viens slānis, un serveru grupa ir cits. Atslēgvārds group radius nosauc grupu, kuras iekšējā secība, atkārtotie mēģinājumi, laika ierobežojumi un miruša servera noteikšana pieder grupai, kamēr vietējā metode ir slānis virs tās. Tāpēc jebko grupas iekšienē regulējot, noraidījumu nevar pārvērst rezerves ceļā. Pirms mainīt kādu no abiem slāņiem, apstipriniet, uz kuru sarakstu pakalpojums patiešām atsaucas.

Izdrukājiet AAA konfigurāciju un izlasiet sarakstu, uz kuru pakalpojums norāda, nevis noklusējuma vērtību, kuru atceraties esam rakstījis. Dariet to no ierīces, kurā pakalpojums patiešām beidzas.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Serveru tabula ziņo katra ieraksta stāvokli un skaitītājus, kas pasaka, vai vārteja mēģinājuma laikā sasniedza serveri. Serveris, kas atzīmēts kā darbojošs ar augošu pieprasījumu skaitītāju, ir atbildējis, tāpēc neizdevusies pieteikšanās ir lēmums, nevis savienojuma problēma.

Izlasiet atbildi pirms žurnāla

Atbildes kods nosauc rezultātu un ietver savu nākamo soli. Access-Reject nozīmē, ka aizmugure pieņēma lēmumu, tāpēc noderīgais pierādījums ir atbilstošā politika un konta stāvoklis aiz tās. Access-Challenge nozīmē, ka apmaiņa vēlas vēl vienu atbalstītu soli, piemēram, otru faktoru, un vietējais rezerves ceļš klusi izlaistu kaut ko, ko prasa politika.

Atkārtojiet vienu mēģinājumu ar norādītu testa kontu, lai atbildi un aizmugures ierakstu varētu salīdzināt vienā laika zīmogā. Izmantojiet pieteikšanās datus, kuru neizdošanos jums ir atļauts izraisīt.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Trūkstošs vai neatpazīts RADIUS klienta ieraksts ir biežs klusa laika limita cēlonis, jo serveris saņem pieprasījumu, neatrod atbilstošu klienta definīciju un izmet to, neatbildot. Koplietotās slepenās atslēgas neatbilstība arī parasti izskatās kā laika limits, jo atbilde neiztur validāciju un tiek izmesta. Neviens no tiem neizskatās kā Access-Reject, un neviens netiek labots, pievienojot vietējo kontu. Pirms aiztikt metožu sarakstu pārbaudiet klienta definīciju un slepeno atslēgu abās pusēs.

Kāpēc vietējais konts nekad neko nepierādīja

Konts, kas sarakstā atrodas aiz grupas, pierāda tikai to, ka kāds ir plānojis pārtraukumu. Tas neko nepasaka par to, vai plāns darbojas, jo gadījums, kas to pārbauda, ir gadījums, kuru neviens netrenē: serveris pārstāja atbildēt. Vietējā pieteikšanās, kurai normālā darbībā nekad netiek klāt, var mēnešiem nēsāt beigušos paroli vai bloķētu stāvokli, un neviens to nepamana.

Ārkārtas piekļuve ir dizaina lēmums, nevis konfigurācijas blakusefekts. Piešķiriet tai savu ierobežotu kontu, savu atbildīgo un rakstisku atjaunošanas procedūru, un iekļaujiet koplietotās slepenās atslēgas rotāciju šajā procedūrā. Viena un tā paša nosaukuma vietējās paroles glabāšana katram centrālajam lietotājam ir modelis, kas klusi atgriež piekļuvi, kuru jūs domājāt esam noņēmis.

Tests, kam ir nozīme, ir apzināts, un tas pārtrauks pieteikšanās, kamēr notiek. Tieši tāpēc tas pieder plānotam logam, kurā atritināšanas solis ir uzrakstīts pirmais.

Pārbaudiet rezerves ceļu apkopes logā

Sakārtojiet testu tā, lai jūs nekad nenoņemtu pēdējo ieceļošanas ceļu. Vispirms apstipriniet neatkarīgu pārvaldības ceļu, pēc tam parasto atļauto piekļuvi, pēc tam apzinātu noraidījumu, pēc tam apstiprināto pārtraukuma uzvedību. Šiem četriem gadījumiem ir atšķirīgi gaidāmie rezultāti, un to apvienošana vienā testā ir veids, kā cilvēki sevi izslēdz no ierīces, kas viņiem vēl vajadzīga.

Veiciet katru pārbaudi no konsoles sesijas vai no joslas ārpuses ceļa, lai kļūda nevarētu aizvērt sesiju, kurā strādājat. Konsole ir vienīgais ceļš, kas nav atkarīgs no testējamās komponentes.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Pēc tam atjaunojiet iepriekšējo konfigurāciju un apstipriniet, ka skaitītāji atkal kustas nākamajā īstajā pieteikšanās reizē. Ja apzinātais noraidījums rada vietējo pieteikšanos noraidījuma vietā, tad saraksts vai kļūdu apstrāde nav tas, kam jūs ticējāt, un šis atklājums ir svarīgāks par pārtraukumu, kuru sākāt. Ierakstiet rezultātu izmaiņu ierakstā blakus kontu nosaukumiem un testa datumam.