Penolakan RADIUS lawan Tiada Balasan: Bila Log Masuk Setempat Berjalan

Menyimpan akaun tempatan kecemasan tidak menjadikannya peluang kedua bagi setiap log masuk yang ditolak. Dalam model AAA Cisco IOS dan IOS XE, pangkalan data itu hanya dirujuk apabila kaedah sebelumnya gagal dengan cara tertentu, dan pelayan RADIUS yang menjawab dengan penolakan tidak gagal dengan cara itu. Akaun tempatan meliputi kaedah yang tidak boleh dicapai, bukan kaedah yang ditolak. Mempercayai sebaliknya mengubah keputusan dasar menjadi pencarian kerosakan pelayan yang tidak wujud.

Mengapa senarai kaedah kelihatan seperti tangga

Baris seperti aaa authentication login default group radius local dibaca dari kiri ke kanan, dan kebanyakan orang membacanya sebagai cuba RADIUS, kemudian cuba pangkalan data tempatan. Sintaks mengundang bacaan itu kerana senarai ialah urutan. Maknanya lebih sempit: senarai menamakan kaedah pengesahan, dan peraturan untuk beralih dari satu ke seterusnya bergantung pada hasil kaedah sebelumnya, bukan pada memberi pengguna cubaan lain.

Kaedah yang mengembalikan ralat dan kaedah yang mengembalikan kegagalan membawa kepada hasil berbeza di sini. Penolakan ialah jawapan, kerana pelayan memproses kelayakan dan berkata tidak, dan senarai berhenti di situ. Pelayan yang tidak boleh dicapai, permintaan yang tamat tempoh atau balasan yang tidak boleh disahkan ialah kes yang membenarkan kaedah seterusnya berjalan, dan hanya di tempat pengendalian kegagalan platform dikonfigurasikan begitu. Itulah sebabnya nasihat klasik menambah local berkesan semasa gangguan dan tidak melakukan apa-apa pada kata laluan yang salah. Baca senarai itu sebaliknya sebagai dua soalan: kaedah mana yang menjawab, dan apa yang dianggap platform sebagai jawapan.

Asingkan senarai kaedah daripada kumpulan pelayan

Senarai kaedah ialah satu lapisan dan kumpulan pelayan ialah lapisan lain. Kata kunci group radius menamakan kumpulan yang susunan dalamannya, cubaan semula, had masa dan pengesanan pelayan mati tergolong dalam kumpulan, manakala kaedah tempatan ialah lapisan di atasnya. Oleh itu melaras apa-apa di dalam kumpulan tidak boleh mengubah penolakan menjadi sandaran. Sahkan senarai mana yang sebenarnya dirujuk oleh perkhidmatan sebelum mengubah mana-mana lapisan.

Cetak konfigurasi AAA dan baca senarai yang ditunjuk oleh perkhidmatan, bukan nilai lalai yang anda ingat telah anda tulis. Lakukan dari peranti tempat perkhidmatan benar-benar berakhir.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Jadual pelayan melaporkan keadaan dan pembilang setiap entri, yang memberitahu anda sama ada get laluan mencapai pelayan semasa cubaan. Pelayan yang ditandakan sebagai berjalan dengan pembilang permintaan yang meningkat telah menjawab, jadi log masuk yang gagal ialah keputusan, bukan masalah sambungan.

Baca balasan sebelum membaca log

Kod balasan menamakan hasil dan membayangkan langkah seterusnya sendiri. Access-Reject bermaksud backend telah membuat keputusan, jadi bukti yang berguna ialah dasar yang sepadan dan keadaan akaun di belakangnya. Access-Challenge bermaksud pertukaran mahukan satu lagi langkah yang disokong seperti faktor kedua, dan sandaran tempatan akan diam-diam melangkau sesuatu yang dikehendaki oleh dasar.

Hasilkan semula satu cubaan dengan akaun ujian yang ditetapkan supaya balasan dan rekod backend boleh dibandingkan pada cap masa yang sama. Gunakan kelayakan yang anda dibenarkan untuk menggagalkannya.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Entri klien RADIUS yang hilang atau tidak dikenali ialah punca biasa had masa senyap, kerana pelayan menerima permintaan, tidak menemui definisi klien yang sepadan dan membuangnya tanpa menjawab. Ketidakpadanan rahsia bersama juga biasanya kelihatan seperti had masa, kerana balasan gagal pengesahan dan dibuang. Tiada satu pun daripada itu kelihatan seperti Access-Reject, dan tiada satu pun diperbaiki dengan menambah akaun tempatan. Periksa definisi klien dan rahsia di kedua-dua belah sebelum menyentuh senarai kaedah.

Mengapa akaun tempatan tidak pernah membuktikan apa-apa

Akaun yang berada selepas kumpulan dalam senarai hanya membuktikan bahawa seseorang merancang untuk gangguan. Ia tidak mengatakan apa-apa tentang sama ada rancangan itu berkesan, kerana kes yang mengujinya ialah kes yang tiada siapa melatihnya: pelayan berhenti menjawab. Log masuk tempatan yang tidak pernah dicapai dalam operasi biasa boleh membawa kata laluan yang tamat tempoh atau keadaan terkunci selama berbulan-bulan tanpa sesiapa menyedarinya.

Akses kecemasan ialah keputusan reka bentuk, bukan kesan sampingan konfigurasi. Berikan ia akaun terhad sendiri, pemilik sendiri dan prosedur pemulihan bertulis, dan masukkan putaran rahsia bersama ke dalam prosedur itu. Menyimpan kata laluan tempatan bernama sama untuk setiap pengguna pusat ialah corak yang diam-diam mengembalikan akses yang anda sangka telah dibuang.

Ujian yang penting adalah disengajakan, dan ia akan mengganggu log masuk semasa berjalan. Itulah sebabnya ia tergolong dalam tetingkap berjadual dengan langkah pengunduran ditulis dahulu.

Periksa laluan sandaran semasa tetingkap penyelenggaraan

Susun ujian supaya anda tidak pernah membuang jalan masuk terakhir. Sahkan dahulu laluan pengurusan bebas, kemudian akses normal yang dibenarkan, kemudian penolakan yang disengajakan, kemudian tingkah laku gangguan yang diluluskan. Empat kes itu mempunyai hasil jangkaan berbeza, dan menggabungkannya menjadi satu ujian ialah cara orang mengunci diri keluar daripada peranti yang masih mereka perlukan.

Jalankan setiap pemeriksaan dari sesi konsol atau laluan luar jalur, supaya kesilapan tidak boleh menutup sesi tempat anda bekerja. Konsol ialah satu-satunya laluan yang tidak bergantung pada komponen yang diuji.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Selepas itu, pulihkan konfigurasi sebelumnya dan sahkan pembilang bergerak semula pada log masuk sebenar berikutnya. Jika penolakan yang disengajakan menghasilkan log masuk tempatan dan bukannya penolakan, maka senarai atau pengendalian kegagalan bukan seperti yang anda percayai, dan penemuan itu lebih penting daripada gangguan yang anda mulakan. Tulis hasilnya dalam rekod perubahan di sebelah nama akaun dan tarikh ujian.