RADIUS-avvisning mot ikke noe svar: når lokal innlogging kjører

Å holde en lokal nødkonto gjør den ikke til en ny sjanse for hver avvist innlogging. I AAA-modellen for Cisco IOS og IOS XE slås det bare opp i den databasen når den forrige metoden feiler på en bestemt måte, og en RADIUS-server som svarer med en avvisning har ikke feilet på den måten. Den lokale kontoen dekker en utilgjengelig metode, ikke en avvist. Tror man noe annet, blir en policybeslutning til en jakt på en serverfeil som ikke finnes.

Hvorfor metodelisten ser ut som en stige

En linje som aaa authentication login default group radius local leses fra venstre mot høyre, og de fleste leser den som prøv RADIUS, prøv deretter den lokale databasen. Syntaksen inviterer til den lesningen fordi en liste er en sekvens. Semantikken er snevrere: listen navngir autentiseringsmetoder, og regelen for å gå videre fra én til den neste avhenger av resultatet fra den forrige metoden, ikke av å gi brukeren et nytt forsøk.

En metode som returnerer en feil, og en metode som returnerer et nederlag, fører her til forskjellige utfall. En avvisning er et svar, fordi serveren behandlet påloggingsdetaljene og sa nei, og listen stopper der. En utilgjengelig server, en utløpt forespørsel eller et svar som ikke kan valideres er tilfellet som lar den neste metoden kjøre, og bare der plattformens feilhåndtering er konfigurert slik. Derfor virker det klassiske rådet å legge til local ved utfall og gjør ingenting ved feil passord. Les listen i stedet som to spørsmål: hvilken metode svarer, og hva plattformen regner som et svar.

Skill metodelisten fra servergruppen

Metodelisten er ett lag, og servergruppen er et annet. Nøkkelordet group radius navngir en gruppe der den interne rekkefølgen, nye forsøk, tidsavbrudd og påvisning av død server hører til gruppen, mens en lokal metode er et lag over den. Derfor kan justering inne i gruppen ikke gjøre en avvisning om til en reservevei. Bekreft hvilken liste tjenesten faktisk refererer til, før du endrer noen av de to lagene.

Skriv ut AAA-konfigurasjonen og les listen tjenesten peker på, ikke standardverdien du husker at du skrev. Gjør det fra enheten tjenesten faktisk avsluttes på.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Servertabellen viser tilstand og tellere for hver oppføring, noe som forteller deg om gatewayen nådde serveren under forsøket. En server merket som oppe med en stigende forespørselsteller har svart, så den mislykkede innloggingen er en beslutning og ikke et tilkoblingsproblem.

Les svaret før du leser loggen

Svarkoden navngir utfallet og antyder sitt eget neste steg. Access-Reject betyr at backend tok en beslutning, så det nyttige beviset er policyen som passet, og kontotilstanden bak den. Access-Challenge betyr at utvekslingen vil ha ett støttet steg til, for eksempel en andre faktor, og lokal reservevei ville stille hoppe over noe policyen krever.

Gjenskap ett forsøk med en angitt testkonto, slik at svaret og backend-oppføringen kan sammenlignes på samme tidsstempel. Bruk en påloggingsdetalj du har lov til å la feile.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

En manglende eller ukjent RADIUS-klientoppføring er en vanlig årsak til stille tidsavbrudd, fordi serveren mottar forespørselen, ikke finner noen samsvarende klientdefinisjon og kaster den uten å svare. Uoverensstemmelse i den delte hemmeligheten ser også vanligvis ut som et tidsavbrudd, fordi svaret ikke består valideringen og forkastes. Ingen av disse ser ut som Access-Reject, og ingen av dem repareres ved å legge til en lokal konto. Kontroller klientdefinisjonen og hemmeligheten på begge sider før du rører metodelisten.

Hvorfor den lokale kontoen aldri beviste noe

En konto som står etter en gruppe på listen, beviser bare at noen planla for et utfall. Den sier ingenting om hvorvidt planen virker, fordi tilfellet som prøver den, er tilfellet ingen øver på: serveren sluttet å svare. En lokal innlogging som aldri nås i normal drift, kan bære et utløpt passord eller en låst tilstand i månedsvis uten at noen merker det.

Nødadgang er en designbeslutning, ikke en bivirkning av konfigurasjonen. Gi den sin egen begrensede konto, sin egen ansvarlige og en skriftlig gjenopprettingsprosedyre, og ta rotasjon av den delte hemmeligheten inn i den prosedyren. Å holde et lokalt passord med samme navn for hver sentral bruker er mønsteret som stille gjeninnfører tilgangen du trodde du hadde fjernet.

Testen som betyr noe, er bevisst, og den vil avbryte innlogginger mens den kjører. Nettopp derfor hører den hjemme i et planlagt vindu med tilbakerullingssteget skrevet først.

Kontroller reserveveien i et vedlikeholdsvindu

Sett testen i rekkefølge slik at du aldri fjerner den siste veien inn. Bekreft først en uavhengig administrasjonsvei, deretter normal tillatt tilgang, deretter en bevisst avvisning, deretter den godkjente utfallsatferden. Disse fire tilfellene har forskjellige forventede resultater, og å slå dem sammen til én test er måten folk låser seg ute av en enhet de fortsatt trenger.

Kjør hver kontroll fra en konsollsesjon eller en ut-av-bånd-vei, slik at en feil ikke kan lukke sesjonen du arbeider i. Konsollen er den ene veien som ikke avhenger av komponenten som testes.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Etterpå gjenoppretter du den forrige konfigurasjonen og bekrefter at tellerne beveger seg igjen ved neste reelle innlogging. Hvis den bevisste avvisningen gir en lokal innlogging i stedet for en avvisning, er listen eller feilhåndteringen ikke det du trodde, og den oppdagelsen er viktigere enn utfallet du startet med. Skriv resultatet inn i endringsloggen ved siden av kontonavnene og datoen for testen.