RADIUS-ын татгалзал ба хариу байхгүй байдал: локал нэвтрэлт хэзээ ажилладаг

Яаралтай локал бүртгэл хадгалах нь түүнийг татгалзсан нэвтрэлт бүрт хоёр дахь боломж болгодоггүй. Cisco IOS болон IOS XE-ийн AAA загварт тэр өгөгдлийн санд зөвхөн өмнөх арга тодорхой байдлаар бүтэлгүйтсэн үед л ханддаг бөгөөд татгалзалаар хариулж буй RADIUS сервер тэр байдлаар бүтэлгүйтээгүй. Локал бүртгэл нь хүрэх боломжгүй аргыг хамардаг, татгалзсаныг биш. Эсрэгээр итгэх нь бодлогын шийдвэрийг байхгүй серверийн гэмтлийн эрэл болгоно.

Аргын жагсаалт яагаад шат мэт харагддаг вэ

Ийм мөр aaa authentication login default group radius local зүүнээс баруун тийш уншигдах бөгөөд ихэнх хүмүүс үүнийг RADIUS туршиж үз, дараа нь локал өгөгдлийн санг туршиж үз гэж уншдаг. Жагсаалт нь дараалал учраас синтакс тэр уншилтыг урьдаг. Утга нь илүү нарийн: жагсаалт нь баталгаажуулалтын аргуудыг нэрлэдэг бөгөөд нэгээс дараагийн руу шилжих дүрэм нь өмнөх аргын үр дүнгээс хамаардаг, хэрэглэгчид дахин оролдлого өгөхөөс биш.

Алдаа буцаадаг арга болон бүтэлгүйтэл буцаадаг арга энд өөр өөр үр дүнд хүргэдэг. Татгалзал бол хариу, учир нь сервер нэвтрэх мэдээллийг боловсруулж үгүй гэж хэлсэн бөгөөд жагсаалт тэнд зогсдог. Хүрэх боломжгүй сервер, хугацаа дууссан хүсэлт эсвэл баталгаажуулж болохгүй хариу нь дараагийн аргыг ажиллуулах боломжийг олгодог тохиолдол бөгөөд платформын алдаа зохицуулалт ийм байдлаар тохируулагдсан газарт л. Тиймээс local нэмэх сонгодог зөвлөгөө тасалдалд ажилладаг бөгөөд буруу нууц үгэнд юу ч хийдэггүй. Жагсаалтыг оронд нь хоёр асуулт гэж уншина уу: аль арга хариулдаг, платформ юуг хариу гэж үздэг.

Аргын жагсаалтыг серверийн бүлгээс тусгаарлана уу

Аргын жагсаалт нэг давхарга, серверийн бүлэг нөгөө. group radius түлхүүр үг нь дотоод дараалал, давтан оролдлого, хугацааны хязгаар, үхсэн серверийг илрүүлэх нь бүлэгт хамаарах бүлгийг нэрлэдэг бол локал арга түүний дээрх давхарга юм. Тиймээс бүлгийн дотор юуг ч тохируулсан татгалзалыг нөөц зам болгож чадахгүй. Хоёр давхаргын аль нэгийг өөрчлөхөөс өмнө үйлчилгээ яг аль жагсаалтад ханддагийг баталгаажуулна уу.

AAA тохиргоог хэвлэж, үйлчилгээ заасан жагсаалтыг уншина уу, өөрөө бичсэн гэж санаж буй анхдагч утгыг биш. Үүнийг үйлчилгээ үнэхээр дуусдаг төхөөрөмжөөс хийнэ үү.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Серверийн хүснэгт бүртгэл бүрийн төлөв, тоолуурыг мэдээлдэг бөгөөд энэ нь оролдлогын үеэр гарц серверт хүрсэн эсэхийг хэлнэ. Өсөж буй хүсэлтийн тоолууртай идэвхтэй гэж тэмдэглэгдсэн сервер хариулж байсан тул бүтэлгүй нэвтрэлт нь шийдвэр, холболтын асуудал биш.

Бүртгэлээс өмнө хариуг уншина уу

Хариу код нь үр дүнг нэрлэж, өөрийн дараагийн алхмыг илэрхийлдэг. Access-Reject нь арын хэсэг шийдвэр гаргасан гэсэн үг тул ашигтай нотолгоо нь тохирсон бодлого болон түүний ард байгаа бүртгэлийн төлөв юм. Access-Challenge нь солилцоо хоёр дахь хүчин зүйл зэрэг өөр дэмжигдсэн алхам хүсч байгаа бөгөөд локал нөөц зам бодлогын шаардсан зүйлийг чимээгүй алгасах байсан гэсэн үг.

Томилогдсон туршилтын бүртгэлээр нэг оролдлогыг дахин гаргаж, хариу болон арын бүртгэлийг нэг цагийн тамга дээр харьцуулах боломжтой болгоно уу. Бүтэлгүйтүүлэх зөвшөөрөлтэй нэвтрэх мэдээллийг ашиглана уу.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS клиентийн бүртгэл байхгүй эсвэл танигдахгүй байх нь чимээгүй хугацаа хэтэрхийн нийтлэг шалтгаан, учир нь сервер хүсэлтийг хүлээн авч, тохирох клиентийн тодорхойлолт ололгүй хариу өгөхгүй хаядаг. Хуваалцсан нууцын зөрүү ч ихэвчлэн хугацаа хэтэрсэн мэт харагддаг, учир нь хариу баталгаажуулалтад тэнцэхгүй хаягддаг. Тэдгээрийн аль нь ч Access-Reject мэт харагддаггүй, аль нь ч локал бүртгэл нэмснээр засагдахгүй. Аргын жагсаалтад хүрэхээс өмнө хоёр талд клиентийн тодорхойлолт болон нууцыг шалгана уу.

Локал бүртгэл яагаад хэзээ ч юуг ч баталж чадаагүй вэ

Жагсаалтад бүлгийн дараа байрлах бүртгэл нь хэн нэгэн тасалдал төлөвлөснийг л баталдаг. Төлөвлөгөө ажиллаж байгаа эсэхийг энэ нь юу ч хэлэхгүй, учир нь түүнийг туршдаг тохиолдол нь хэн ч бэлтгэл хийдэггүй тохиолдол: сервер хариу өгөхөө болив. Хэвийн ажиллагаанд хэзээ ч хүрдэггүй локал нэвтрэлт нь хугацаа дууссан нууц үг эсвэл түгжигдсэн төлөвийг сар хэдэн сар зөөж болох бөгөөд хэн ч анзаардаггүй.

Яаралтай нэвтрэх эрх нь дизайны шийдвэр, тохиргооны гаж нөлөө биш. Түүнд өөрийн хязгаарлагдмал бүртгэл, өөрийн хариуцсан хүн, бичмэл сэргээх журам өгч, хуваалцсан нууцын эргэлтийг тэр журамд оруулна уу. Төв хэрэглэгч бүрт ижил нэртэй локал нууц үг хадгалах нь та устгасан гэж бодсон нэвтрэх эрхийг чимээгүй эргүүлэн авчирдаг загвар юм.

Чухал туршилт санаатай бөгөөд ажиллах хугацаандаа нэвтрэлтийг тасална. Яг үүнээс болж энэ нь буцаах алхмыг эхэнд бичсэн төлөвлөсөн цонхонд хамаарна.

Засварын цонхны үеэр нөөц замыг шалгана уу

Хамгийн сүүлийн орох замыг хэзээ ч арилгахгүйн тулд туршилтыг цэгцэлнэ үү. Эхлээд бие даасан удирдлагын зам, дараа нь хэвийн зөвшөөрөгдсөн нэвтрэлт, дараа нь санаатай татгалзал, дараа нь батлагдсан тасалдлын зан төлөвийг баталгаажуулна уу. Эдгээр дөрвөн тохиолдол өөр өөр хүлээгдэж буй үр дүнтэй бөгөөд тэдгээрийг нэг туршилтад нэгтгэх нь хүмүүс өөрсдөд нь хэрэгтэй хэвээр байгаа төхөөрөмжөөс гадагш түгжигдэх арга юм.

Шалгалт бүрийг консолын сессээс эсвэл зурвасаас гадуурх замаас гүйцэтгэж, алдаа таны ажиллаж буй сессийг хааж чадахгүй байх болно. Консол нь туршиж буй бүрэлдэхүүн хэсгээс хамааралгүй цорын ганц зам юм.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Дараа нь өмнөх тохиргоог сэргээж, дараагийн бодит нэвтрэлтэд тоолуурууд дахин хөдөлж байгааг баталгаажуулна уу. Хэрэв санаатай татгалзал татгалзалын оронд локал нэвтрэлт үүсгэвэл жагсаалт эсвэл алдаа зохицуулалт нь таны итгэж байсан зүйл биш бөгөөд тэр илрүүлэлт таны эхэлсэн тасалдалаас илүү чухал юм. Үр дүнг өөрчлөлтийн бүртгэлд бүртгэлийн нэрс болон туршилтын огнооны дэргэд бичнэ үү.