Ċaħda RADIUS kontra l-ebda tweġiba: meta taħdem id-dħul lokali

Li żżomm kont lokali għall-emerġenza ma jagħmilhiex it-tieni ċans għal kull dħul miċħud. Fil-mudell AAA ta' Cisco IOS u IOS XE, dik il-bażi tad-dejta tiġi kkonsultata biss meta l-metodu preċedenti jfalli b'mod partikolari, u server RADIUS li jwieġeb b'ċaħda ma jkunx falla b'dak il-mod. Il-kont lokali jkopri metodu li ma jintlaħaqx, mhux wieħed miċħud. Li temmen il-kuntrarju jagħmel deċiżjoni ta' politika f'kaċċa għal ħsara fis-server li ma teżistix.

Għaliex il-lista tal-metodi tidher bħal sellum

Linja bħal aaa authentication login default group radius local tinqara mix-xellug għal-lemin, u l-biċċa l-kbira tan-nies jaqrawha bħala ipprova RADIUS, imbagħad ipprova l-bażi tad-dejta lokali. Is-sintassi tistieden dik il-qari għax lista hija sekwenza. Is-sinifikat huwa dejjaq: il-lista ssemmi metodi ta' awtentikazzjoni, u r-regola biex tgħaddi minn wieħed għall-ieħor tiddependi mir-riżultat tal-metodu preċedenti, mhux milli tagħti lill-utent tentattiv ieħor.

Metodu li jirritorna żball u metodu li jirritorna falliment iwasslu hawn għal riżultati differenti. Iċ-ċaħda hija tweġiba, għax is-server ipproċessa l-kredenzjali u qal le, u l-lista tieqaf hemm. Server li ma jintlaħaqx, talba skaduta jew tweġiba li ma tistax tiġi vvalidata hija l-każ li jħalli l-metodu li jmiss jiġri, u biss fejn il-ġestjoni tal-fallimenti tal-pjattaforma hija konfigurata hekk. Għalhekk il-parir klassiku li żżid local jaħdem waqt qtugħ u ma jagħmel xejn ma' passwords żbaljati. Aqra l-lista minflok bħala żewġ mistoqsijiet: liema metodu jwieġeb, u x'jikkunsidra l-pjattaforma bħala tweġiba.

Issepara l-lista tal-metodi mill-grupp tas-servers

Il-lista tal-metodi hija saff wieħed u l-grupp tas-servers huwa ieħor. Il-kelma ewlenija group radius issemmi grupp li l-ordni interna tiegħu, it-tentattivi mill-ġdid, il-limiti taż-żmien u l-iskoperta ta' server mejjet jappartjenu għall-grupp, filwaqt li metodu lokali huwa saff fuqu. Għalhekk l-irfinar ta' xi ħaġa fil-grupp ma jistax ibiddel ċaħda f'fallback. Ikkonferma liema lista s-servizz verament jirreferi għaliha qabel ma tbiddel xi wieħed miż-żewġ saffi.

Ipprintja l-konfigurazzjoni AAA u aqra l-lista li s-servizz jindika lejha, mhux il-valur prestabbilit li tiftakar li ktibt. Agħmel dan mill-apparat li fuqu s-servizz verament jispiċċa.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

It-tabella tas-servers tirrapporta l-istat u l-kontaturi ta' kull entrata, li tgħidlek jekk il-gateway laħaqx is-server waqt it-tentattiv. Server immarkat bħala jaħdem b'kontatur ta' talbiet li qed jiżdied ilu jwieġeb, għalhekk id-dħul fallut huwa deċiżjoni u mhux problema ta' konnettività.

Aqra t-tweġiba qabel il-log

Il-kodiċi tat-tweġiba jismmi r-riżultat u jimplika l-pass li jmiss tiegħu stess. Access-Reject ifisser li l-backend ħa deċiżjoni, għalhekk l-evidenza utli hija l-politika li qabblet u l-istat tal-kont warajha. Access-Challenge ifisser li l-iskambju jrid pass ieħor appoġġjat bħal tieni fattur, u fallback lokali jkun jaqbeż bil-kwiet xi ħaġa li l-politika teħtieġ.

Irriproduċi tentattiv wieħed b'kont tat-test magħżul sabiex it-tweġiba u r-rekord tal-backend ikunu jistgħu jitqabblu fl-istess timestamp. Uża kredenzjali li hija permessa għalik li tfalliha.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Entrata tal-klijent RADIUS nieqsa jew mhux rikonoxxuta hija kawża komuni ta' timeout siekta, għax is-server jirċievi t-talba, ma jsib l-ebda definizzjoni tal-klijent li taqbel u jarmiha mingħajr ma jwieġeb. Nuqqas ta' qbil fis-segretezza kondiviża wkoll normalment jidher bħal timeout, għax it-tweġiba tfalli l-validazzjoni u tiġi mormija. Xejn minn dan ma jidher bħal Access-Reject, u xejn minn dan ma jiġi msewwi billi żżid kont lokali. Iċċekkja d-definizzjoni tal-klijent u s-segretezza fuq iż-żewġ naħat qabel ma tmiss il-lista tal-metodi.

Għaliex il-kont lokali qatt ma wera xejn

Kont li jqum wara grupp fil-lista juri biss li xi ħadd ippjana għal qtugħ. Ma jgħid xejn dwar jekk il-pjan jaħdimx, għax il-każ li jeżerċitah huwa l-każ li ħadd ma jipprattika: is-server waqaf iwieġeb. Dħul lokali li qatt ma jintlaħaq f'operazzjoni normali jista' jġorr password skaduta jew stat mislut għal xhur mingħajr ma ħadd jinduna.

Aċċess tal-emerġenza hija deċiżjoni tad-disinn, mhux effett sekondarju tal-konfigurazzjoni. Agħtih kont ristrett tiegħu stess, sid tiegħu stess u proċedura ta' rkupru miktuba, u daħħal ir-rotazzjoni tas-segretezza kondiviża f'dik il-proċedura. Li żżomm password lokali bl-istess isem għal kull utent ċentrali huwa l-mudell li bil-kwiet jerġa' jdaħħal l-aċċess li ħsibt li neħħejt.

It-test li jgħodd huwa volontarju, u se jinterrompi d-dħul waqt li jkun għaddej. Għalhekk jappartjeni għal tieqa skedata bil-pass tar-rollback miktub l-ewwel.

Iċċekkja l-passaġġ tal-fallbacks waqt tieqa ta' manutenzjoni

Irranġa t-test sabiex qatt ma tneħħi l-aħħar triq tad-dħul. Ikkonferma l-ewwel passaġġ indipendenti tal-ġestjoni, imbagħad aċċess normali permess, imbagħad ċaħda volontarja, imbagħad l-imġiba tal-qtugħ approvata. Dawn l-erba' każijiet għandhom riżultati mistennija differenti, u li tgħaqqadhom fi test wieħed hija l-mod kif in-nies isakkru lilhom infushom barra minn apparat li għadhom għandhom bżonnu.

Mexxi kull verifika minn sessjoni tal-console jew minn passaġġ barra mill-band, sabiex żball ma jistax jagħlaq is-sessjoni li qed taħdem fiha. Il-console hija l-unika triq li ma tiddependix mill-komponent li qed jiġi ttestjat.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Wara dan, erġa' stabbilixxi l-konfigurazzjoni preċedenti u kkonferma li l-kontaturi jerġgħu jiċċaqalqu fid-dħul reali li jmiss. Jekk iċ-ċaħda volontarja tipproduċi dħul lokali minflok ċaħda, allura l-lista jew il-ġestjoni tal-fallimenti mhijiex dak li kont temmen, u dak is-sejba hija aktar importanti mill-qtugħ li bdejt bih. Ikteb ir-riżultat fir-rekord tal-bidliet ħdejn l-ismijiet tal-kontijiet u d-data tat-test.