Odmietnutie RADIUS verzus žiadna odpoveď: kedy beží lokálne prihlásenie

Udržiavanie lokálneho núdzového účtu z neho nerobí druhú šancu pre každé odmietnuté prihlásenie. V modeli AAA na Cisco IOS a IOS XE sa do tejto databázy siaha iba vtedy, keď predchádzajúca metóda zlyhá určitým spôsobom, a server RADIUS, ktorý odpovedá odmietnutím, takým spôsobom nezlyhal. Lokálny účet pokrýva nedostupnú metódu, nie odmietnutú. Presvedčenie o opaku mení rozhodnutie politiky na hľadanie neexistujúcej poruchy servera.

Prečo zoznam metód vyzerá ako rebrík

Riadok ako aaa authentication login default group radius local sa číta zľava doprava a väčšina ľudí ho číta ako skús RADIUS, potom skús lokálnu databázu. Syntax k takému čítaniu vyzýva, pretože zoznam je postupnosť. Význam je užší: zoznam pomenúva metódy overovania a pravidlo prechodu z jednej na ďalšiu závisí od výsledku predchádzajúcej metódy, nie od toho, že používateľ dostane ďalší pokus.

Metóda, ktorá vracia chybu, a metóda, ktorá vracia zlyhanie, tu vedú k rozdielnym výsledkom. Odmietnutie je odpoveď, pretože server spracoval prihlasovacie údaje a povedal nie, a zoznam sa tam zastaví. Nedostupný server, vypršaná žiadosť alebo odpoveď, ktorú nemožno overiť, je prípad, ktorý nechá ďalšiu metódu bežať, a to iba tam, kde je spracovanie zlyhaní platformy takto nastavené. Preto klasická rada pridať local funguje pri výpadkoch a pri nesprávnych heslách nerobí nič. Čítajte zoznam namiesto toho ako dve otázky: ktorá metóda odpovedá a čo platforma považuje za odpoveď.

Oddeľte zoznam metód od skupiny serverov

Zoznam metód je jedna vrstva a skupina serverov je druhá. Kľúčové slovo group radius pomenúva skupinu, ktorej vnútorné poradie, opakované pokusy, časové limity a detekcia mŕtveho servera patria skupine, zatiaľ čo lokálna metóda je vrstva nad ňou. Preto ladenie čohokoľvek vnútri skupiny nemôže zmeniť odmietnutie na záložnú cestu. Pred zmenou ktorejkoľvek vrstvy potvrďte, na ktorý zoznam služba skutočne odkazuje.

Vypíšte konfiguráciu AAA a prečítajte zoznam, na ktorý služba ukazuje, nie predvolenú hodnotu, o ktorej si pamätáte, že ste ju napísali. Urobte to zo zariadenia, na ktorom služba skutočne končí.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tabuľka serverov uvádza stav a počítadlá každého záznamu, čo vám povie, či brána počas pokusu dosiahla server. Server označený ako aktívny s rastúcim počítadlom žiadostí odpovedal, takže neúspešné prihlásenie je rozhodnutie, nie problém s pripojením.

Prečítajte odpoveď pred logom

Kód odpovede pomenúva výsledok a naznačuje vlastný ďalší krok. Access-Reject znamená, že backend rozhodol, preto je užitočným dôkazom politika, ktorá sa zhodovala, a stav účtu za ňou. Access-Challenge znamená, že výmena chce ďalší podporovaný krok, napríklad druhý faktor, a lokálna záložná cesta by ticho preskočila niečo, čo politika vyžaduje.

Zopakujte jeden pokus s určeným testovacím účtom, aby sa odpoveď a záznam backendu dali porovnať v rovnakom čase. Použite prihlasovacie údaje, ktorých zlyhanie vám je dovolené.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Chýbajúci alebo nerozpoznaný záznam klienta RADIUS je častou príčinou tichého časového limitu, pretože server žiadosť prijme, nenájde zodpovedajúcu definíciu klienta a zahodí ju bez odpovede. Nezhoda zdieľaného tajomstva tiež zvyčajne vyzerá ako časový limit, pretože odpoveď neprejde overením a je zahodená. Nič z toho nevyzerá ako Access-Reject a nič z toho sa neopraví pridaním lokálneho účtu. Pred dotykom zoznamu metód skontrolujte definíciu klienta a tajomstvo na oboch stranách.

Prečo lokálny účet nikdy nič nedokázal

Účet, ktorý v zozname stojí za skupinou, dokazuje iba to, že niekto naplánoval výpadok. Nič nehovorí o tom, či plán funguje, pretože prípad, ktorý ho precvičuje, je prípad, ktorý nikto nenacvičuje: server prestal odpovedať. Lokálne prihlásenie, na ktoré sa v bežnej prevádzke nikdy nedostane, môže mesiace niesť vypršané heslo alebo zamknutý stav a nikto si to nevšimne.

Núdzový prístup je rozhodnutie o dizajne, nie vedľajší efekt konfigurácie. Dajte mu vlastný obmedzený účet, vlastného zodpovedného a písaný postup obnovy a do toho postupu vložte rotáciu zdieľaného tajomstva. Držanie lokálneho hesla s rovnakým názvom pre každého centrálneho používateľa je vzor, ktorý ticho vracia prístup, o ktorom ste si mysleli, že ste ho odstránili.

Test, na ktorom záleží, je zámerný a počas behu preruší prihlásenia. Práve preto patrí do naplánovaného okna s krokom vrátenia napísaným ako prvým.

Overte záložnú cestu počas okna údržby

Zoraďte test tak, aby ste nikdy neodstránili poslednú cestu dnu. Najprv potvrďte nezávislú cestu správy, potom bežný povolený prístup, potom zámerné odmietnutie, potom schválené správanie pri výpadku. Tieto štyri prípady majú rôzne očakávané výsledky a ich zlúčenie do jedného testu je spôsob, akým sa ľudia zamknú von zo zariadenia, ktoré ešte potrebujú.

Každú kontrolu spúšťajte z konzolovej relácie alebo z mimopásmovej cesty, aby chyba nemohla zavrieť reláciu, v ktorej pracujete. Konzola je jediná cesta, ktorá nezávisí od testovanej komponenty.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Potom obnovte predchádzajúcu konfiguráciu a potvrďte, že sa počítadlá pri ďalšom skutočnom prihlásení znova hýbu. Ak zámerné odmietnutie vytvorí lokálne prihlásenie namiesto odmietnutia, tak zoznam alebo spracovanie zlyhaní nie je to, čomu ste verili, a tento nález je dôležitejší než výpadok, s ktorým ste začali. Výsledok zapíšte do záznamu o zmene vedľa názvov účtov a dátumu testu.