Zavrnitev RADIUS proti brez odgovora: kdaj deluje lokalna prijava

Ohranjanje lokalnega zasilnega računa ga ne naredi za drugo priložnost pri vsaki zavrnjeni prijavi. V modelu AAA Cisco IOS in IOS XE se ta baza preveri le, ko prejšnja metoda spodleti na določen način, in strežnik RADIUS, ki odgovori z zavrnitvijo, ni spodletel na ta način. Lokalni račun pokriva nedosegljivo metodo, ne zavrnjene. Prepričanje o nasprotnem spremeni odločitev politike v iskanje okvare strežnika, ki ne obstaja.

Zakaj je seznam metod videti kot lestev

Vrstica, kot je aaa authentication login default group radius local se bere od leve proti desni, in večina ljudi jo bere kot poskusi RADIUS, nato poskusi lokalno bazo. Skladnja vabi k takemu branju, ker je seznam zaporedje. Pomen je ožji: seznam poimenuje metode preverjanja pristnosti, pravilo za prehod z ene na naslednjo pa je odvisno od izida prejšnje metode, ne od tega, da uporabnik dobi še en poskus.

Metoda, ki vrne napako, in metoda, ki vrne neuspeh, vodita tukaj v različne izide. Zavrnitev je odgovor, ker je strežnik obdelal prijavne podatke in rekel ne, in seznam se tam ustavi. Nedosegljiv strežnik, potekla zahteva ali odgovor, ki ga ni mogoče potrditi, je primer, ki pusti naslednji metodi, da teče, in samo tam, kjer je obravnava neuspehov platforme tako nastavljena. Zato klasičen nasvet, da dodate local, deluje pri izpadih in pri napačnih geslih ne naredi ničesar. Seznam namesto tega berite kot dve vprašanji: katera metoda odgovori in kaj platforma šteje za odgovor.

Ločite seznam metod od skupine strežnikov

Seznam metod je ena plast, skupina strežnikov pa druga. Ključna beseda group radius poimenuje skupino, katere notranji vrstni red, ponovitve, časovne omejitve in zaznavanje mrtvega strežnika pripadajo skupini, medtem ko je lokalna metoda plast nad njo. Zato uravnavanje česar koli znotraj skupine ne more spremeniti zavrnitve v rezervno pot. Preden spremenite katero od obeh plasti, potrdite, na kateri seznam se storitev res sklicuje.

Natisnite konfiguracijo AAA in preberite seznam, na katerega kaže storitev, ne privzete vrednosti, za katero se spominjate, da ste jo napisali. To naredite z naprave, na kateri se storitev res konča.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tabela strežnikov poroča stanje in števce vsakega vnosa, kar vam pove, ali je prehod med poskusom dosegel strežnik. Strežnik, označen kot delujoč z naraščajočim števcem zahtev, je odgovarjal, zato je neuspešna prijava odločitev in ne težava s povezljivostjo.

Preberite odgovor preden dnevnik

Koda odgovora poimenuje izid in nakazuje svoj naslednji korak. Access-Reject pomeni, da se je zaledje odločilo, zato je koristen dokaz politika, ki se je ujemala, in stanje računa za njo. Access-Challenge pomeni, da izmenjava želi še en podprt korak, kot je drugi dejavnik, in lokalna rezervna pot bi tiho preskočila nekaj, kar politika zahteva.

Ponovite en poskus z določenim testnim računom, da se odgovor in zabeležka zaledja lahko primerjata v istem časovnem žigu. Uporabite prijavne podatke, katerih neuspeh vam je dovoljen.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Manjkajoč ali neprepoznan vnos odjemalca RADIUS je pogost vzrok tihe časovne omejitve, ker strežnik zahtevo prejme, ne najde ustrezne definicije odjemalca in jo zavrže brez odgovora. Neujemanje skupne skrivnosti je običajno videti tudi kot časovna omejitev, ker odgovor ne prestane preverjanja in se zavrže. Nič od tega ni videti kot Access-Reject in nič od tega se ne popravi z dodajanjem lokalnega računa. Preden se dotaknete seznama metod, preverite definicijo odjemalca in skrivnost na obeh straneh.

Zakaj lokalni račun ni nikoli ničesar dokazal

Račun, ki na seznamu stoji za skupino, dokazuje le, da je nekdo načrtoval izpad. Ne pove ničesar o tem, ali načrt deluje, ker je primer, ki ga preizkusi, primer, ki ga nihče ne vadi: strežnik je prenehal odgovarjati. Lokalna prijava, do katere v običajnem delovanju nikoli ne pridemo, lahko mesece nosi poteklo geslo ali zaklenjeno stanje, ne da bi kdo opazil.

Zasilni dostop je oblikovalska odločitev, ne stranski učinek konfiguracije. Dajte mu lasten omejen račun, lastnega odgovornega in pisni postopek obnovitve, v ta postopek pa vključite menjavo skupne skrivnosti. Ohranjanje lokalnega gesla z istim imenom za vsakega osrednjega uporabnika je vzorec, ki tiho vrne dostop, za katerega ste mislili, da ste ga odstranili.

Test, ki šteje, je nameren in bo med izvajanjem prekinil prijave. Prav zato spada v načrtovano okno s korakom vrnitve napisanim najprej.

Preverite rezervno pot med oknom vzdrževanja

Razporedite test tako, da nikoli ne odstranite zadnje poti noter. Najprej potrdite neodvisno pot upravljanja, nato običajen dovoljen dostop, nato namerno zavrnitev, nato odobreno vedenje ob izpadu. Ti štirje primeri imajo različne pričakovane izide, in njihovo združevanje v en test je način, kako se ljudje zaklenejo iz naprave, ki jo še potrebujejo.

Vsako preverjanje izvedite iz konzolne seje ali s poti zunaj pasu, da napaka ne more zapreti seje, v kateri delate. Konzola je edina pot, ki ni odvisna od preskušane komponente.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Nato obnovite prejšnjo konfiguracijo in potrdite, da se števci ob naslednji resnični prijavi spet premaknejo. Če namerna zavrnitev ustvari lokalno prijavo namesto zavrnitve, potem seznam ali obravnava neuspehov ni tisto, kar ste verjeli, in ta ugotovitev je pomembnejša od izpada, s katerim ste začeli. Rezultat zapišite v zapis o spremembi ob imenih računov in datumu testa.