د RADIUS رد او بې ځوابي: کله سیمه‌ای ننوتل کار کوي

د بیړني سیمه‌ای حساب ساتل هغه ته د هر رد شوي ننوتلو لپاره دویمه چانس نه جوړوي۔ د Cisco IOS او IOS XE AAA ماډل کې هغه ډیټابیس یوازې هغه وخت کتل کېږي چې پخوانی میتود په یوه ځانګړې طریقه ناکام شي، او د رد سره ځواب ورکوونکی RADIUS سرور په هغه طریقه ناکام شوی نه دی۔ سیمه‌ای حساب نه‌رسېدونکی میتود پوښي، نه رد شوی میتود۔ د دې خلاف باور کول د پالیسۍ پرېکړه د نه‌شته سرور د خرابۍ په لټون بدلوي۔

ولې د میتودونو لړلیک د زینې په څېر ښکاري

داسې یوه کرښه aaa authentication login default group radius local له چپ څخه ښي خوا ته لوستل کېږي، او ډېری خلک یې داسې لولي چې RADIUS وآزمویه، بیا سیمه‌ای ډیټابیس وآزمویه۔ جمله‌جوړونه هغه لوستلو ته بلنه ورکوي ځکه چې لړلیک یو ترتیب دی۔ مانا یې تنګه ده: لړلیک د تصدیق میتودونو نومونه اخلي، او له یوه څخه بل ته د تګ قاعده د پخواني میتود پر پایله تکیه کوي، نه د کاروونکي ته بل هڅه ورکولو ته۔

د تېروتنې راګرځولو میتود او د ناکامۍ راګرځولو میتود دلته بېلو پایلو ته رسوي۔ رد یو ځواب دی، ځکه چې سرور د ننوتلو معلومات پروسس کړل او نه یې وویل، او لړلیک هلته ودريږي۔ نه‌رسېدونکی سرور، پای موده غوښتنلیک یا داسې ځواب چې تصدیق نه شي کېدای، هغه پېښه ده چې بل میتود ته د چلېدو اجازه ورکوي، او یوازې هغه ځای چې د پلیټ فارم د ناکامۍ سمبالښت داسې تنظیم شوی وي۔ له همدې امله local د زیاتولو کلاسیکه مشوره د بندښتونو پر مهال کار کوي او په غلطو پټنومونو کې هېڅ نه کوي۔ لړلیک د دې پر ځای د دوو پوښتنو په توګه ولولئ: کوم میتود ځواب ورکوي، او پلیټ فارم څه ځواب ګڼي۔

د میتودونو لړلیک له سرور ګروپ څخه جلا کړئ

د میتودونو لړلیک یوه طبقه ده او سرور ګروپ بله۔ group radius کلمه داسې ګروپ نوموي چې کورنی ترتیب، بیا هڅې، وخت محدودیتونه او د مړ سرور پېژندنه یې ګروپ ته اړه لري، په داسې حال کې چې سیمه‌ای میتود د هغې پورتنۍ طبقه ده۔ نو په ګروپ کې د هېڅ شي تنظیمول رد بدیلې لارې ته نه شي اړولای۔ د دوو طبقو له بدلولو دمخه تایید کړئ چې خدمت په رښتیا کوم لړلیک ته اشاره کوي۔

د AAA ترتیب چاپ کړئ او هغه لړلیک ولولئ چې خدمت ورته اشاره کوي، نه هغه ډیفالټ چې تاسو یې لیکلی یاد دی۔ دا د هغه وسیلې څخه وکړئ چې خدمت پرې رښتیا پای ته رسېږي۔

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

د سرورونو جدول د هرې ننوتنې حالت او شمېرونکي ښیي، چې تاسو ته وایي ګېټوې د هڅې پر مهال سرور ته رسېدلی که نه۔ هغه سرور چې د زیاتېدونکي غوښتنلیک شمېرونکي سره فعال په نښه شوی، ځواب ورکولو، نو ناکام ننوتل یوه پرېکړه ده، د اړیکې ستونزه نه۔

له لاګ دمخه ځواب ولولئ

د ځواب کوډ پایله نوموي او خپله بله ګام اشاره کوي۔ Access-Reject مانا دا ده چې شاته برخې پرېکړه کړې، نو ګټور شاهد هغه پالیسي ده چې سره سمون خوړلی او تر شا یې د حساب حالت۔ Access-Challenge مانا دا ده چې تبادله د دویم عامل په څېر بل ملاتړ شوی ګام غواړي، او سیمه‌ای بدیل به هغه څه چې پالیسي یې غواړي په خاموشۍ پرېښی وای۔

د ټاکل شوي ازموینې حساب سره یوه هڅه بیا تولید کړئ ترڅو ځواب او د شاته برخې ثبت په یوه وخت نښه کې پرتله شي۔ داسې ننوتلو معلومات وکاروئ چې ناکامول یې تاسو ته اجازه لري۔

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

د RADIUS کلینټ ننوتنې نه شتون یا نه پېژندل کېدل د خاموش وخت محدودیت عام لامل دی، ځکه چې سرور غوښتنلیک ترلاسه کوي، سمون خوړونکی کلینټ تعریف نه مومي او پرته له ځواب یې غورځوي۔ د شریک راز ناسمونې هم معمولاً د وخت محدودیت په څېر ښکاري، ځکه چې ځواب تصدیق کې ناکام او غورځول کېږي۔ له دې هېڅ یو هم د Access-Reject په څېر نه ښکاري، او له دې هېڅ یو هم د سیمه‌ای حساب په زیاتولو نه سمېږي۔ د میتودونو لړلیک ته له لاس وهلو دمخه په دواړو خواو کې کلینټ تعریف او راز وګورئ۔

ولې سیمه‌ای حساب هېڅکله هېڅ ثابت نه کړ

هغه حساب چې په لړلیک کې له ګروپ وروسته ناست دی یوازې دا ثابتوي چې چا د بندښت پلان کړی و۔ د دې په اړه چې پلان کار کوي که نه هېڅ نه وایي، ځکه چې هغه پېښه چې ازموي یې هغه پېښه ده چې هېڅوک تمرین نه کوي: سرور ځواب ورکول بند کړل۔ هغه سیمه‌ای ننوتل چې په نورمال کار کې هېڅکله نه ورته رسېږي کولای شي میاشتې میاشتې پای موده پټنوم یا بند حالت ولري او چا ته هم نه ښکاري۔

بیړنی لاسرسی د ډیزاین پرېکړه ده، د ترتیب اړخیزه اغېزه نه۔ هغه ته خپل محدود حساب، خپل مسؤل او لیکلی بیا رغونې بهیر ورکړئ، او د شریک راز څرخول په هغه بهیر کې شامل کړئ۔ د هر مرکزي کاروونکي لپاره د یوه نوم سیمه‌ای پټنوم ساتل هغه بڼه ده چې تاسو لرې کړې ګڼله هغه لاسرسی په خاموشۍ بېرته راوړي۔

هغه ازموینه چې اهمیت لري په قصد ترسره کېږي، او د چلېدو پر مهال به ننوتل قطع کړي۔ همدې لپاره دا هغه مهالنیز کړکۍ ته اړه لري چې د بېرته ګرځېدو ګام پکې لومړی لیکل شوی وي۔

د ساتنې کړکۍ پر مهال بدیله لار وګورئ

ازموینه داسې ترتیب کړئ چې هېڅکله وروستی د ننوتلو لار لرې نه کړئ۔ لومړی خپلواک مدیریت لار تایید کړئ، بیا نورمال اجازه ورکړل شوی لاسرسی، بیا قصدی رد، بیا منظور شوی بندښت چلند۔ دا څلور پېښې بېلې تمې لرې، او د دوی په یوه ازموینه کې یوځای کول هغه لار ده چې خلک ځان له هغه وسیلې څخه چې لا یې اړتیا لري بندوي۔

هره ګڼنه د کنسول ناستې یا د بندړ بهر لارې څخه چلوه، ترڅو تېروتنه هغه ناسته چې تاسو پکې کار کوئ نه شي بندولای۔ کنسول یوازینې لار ده چې ازمویل شوي برخې ته اړ نه ده۔

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

له هغې وروسته پخوانی ترتیب بېرته راوړئ او تایید کړئ چې شمېرونکي په راتلونکي ریښتیني ننوتنې کې بیا خوځېږي۔ که قصدی رد د رد پر ځای سیمه‌ای ننوتل تولید کړي، نو لړلیک یا ناکامۍ سمبالښت هغه نه دی چې تاسو باور درلود، او هغه موندنه ستاسو له پیل شوي بندښت څخه مهمه ده۔ پایله په بدلون ثبت کې د حسابونو نومونو او ازموینې نېټې ترڅنګ ولیکئ۔