Refuzimi i RADIUS kundrejt pa përgjigje: kur funksionon hyrja lokale

Mbajtja e një llogarie lokale emergjente nuk e bën atë një shans të dytë për çdo hyrje të refuzuar. Në modelin AAA të Cisco IOS dhe IOS XE, ai bazë të dhënash konsultohet vetëm kur metoda e mëparshme dështon në një mënyrë të caktuar, dhe një server RADIUS që përgjigjet me refuzim nuk ka dështuar në atë mënyrë. Llogaria lokale mbulon një metodë të paarritshme, jo një të refuzuar. Të besosh të kundërtën e kthen një vendim politike në një gjueti për një defekt serveri që nuk ekziston.

Pse lista e metodave duket si shkallë

Një rresht si aaa authentication login default group radius local lexohet nga e majta në të djathtë, dhe shumica e njerëzve e lexojnë si provo RADIUS, pastaj provo bazën lokale. Sintaksa fton në atë lexim sepse një listë është një sekuencë. Kuptimi është më i ngushtë: lista emërton metodat e vërtetimit, dhe rregulli për të kaluar nga njëra në tjetrën varet nga rezultati i metodës së mëparshme, jo nga dhënia e një tentative tjetër përdoruesit.

Një metodë që kthen një gabim dhe një metodë që kthen një dështim çojnë këtu në rezultate të ndryshme. Refuzimi është një përgjigje, sepse serveri përpunoi kredencialet dhe tha jo, dhe lista ndalon atje. Një server i paarritshëm, një kërkesë e skaduar ose një përgjigje që nuk mund të vërtetohet është rasti që lejon metodën tjetër të ekzekutohet, dhe vetëm aty ku trajtimi i dështimeve të platformës është konfiguruar kështu. Prandaj këshilla klasike për të shtuar local funksionon në ndërprerje dhe nuk bën asgjë me fjalëkalime të gabuara. Lexoni listën në vend të kësaj si dy pyetje: cila metodë përgjigjet, dhe çfarë konsideron platforma si përgjigje.

Ndani listën e metodave nga grupi i serverëve

Lista e metodave është një shtresë dhe grupi i serverëve është një tjetër. Fjala kyçe group radius emërton një grup, renditja e brendshme, ripërpjekjet, afatet kohore dhe zbulimi i serverit të vdekur të të cilit i përkasin grupit, ndërsa një metodë lokale është një shtresë sipër saj. Prandaj rregullimi i çdo gjëje brenda grupit nuk mund ta kthejë një refuzim në rrugë rezervë. Konfirmoni se për cilën listë referohet vërtet shërbimi përpara se të ndryshoni ndonjë nga dy shtresat.

Printo konfigurimin AAA dhe lexo listën që tregon shërbimi, jo vlerën e paracaktuar që ju kujtohet se e keni shkruar. Bëjeni këtë nga pajisja ku shërbimi vërtet përfundon.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Tabela e serverëve raporton gjendjen dhe numëruesit e çdo hyrjeje, çka ju thotë nëse porta arriti serverin gjatë përpjekjes. Një server i shënuar si aktiv me një numërues kërkesash në rritje ka qenë duke u përgjigjur, prandaj hyrja e dështuar është një vendim dhe jo një problem lidhshmërie.

Lexo përgjigjen para regjistrit

Kodi i përgjigjes emërton rezultatin dhe nënkupton hapin e vet të radhës. Access-Reject do të thotë që backend-i mori një vendim, prandaj prova e dobishme është politika që përputhej dhe gjendja e llogarisë pas saj. Access-Challenge do të thotë që shkëmbimi kërkon një hap tjetër të mbështetur si një faktor i dytë, dhe rruga rezervë lokale do të hidhte në heshtje diçka që politika kërkon.

Riprodho një përpjekje me një llogari testuese të caktuar, që përgjigjja dhe regjistri i backend-it të mund të krahasohen në të njëjtën vulë kohe. Përdorni kredenciale për të cilat ju lejohet të dështojnë.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Një hyrje klienti RADIUS që mungon ose nuk njihet është një shkak i zakonshëm i afatit të heshtur, sepse serveri merr kërkesën, nuk gjen asnjë përkufizim klienti që përputhet dhe e hedh pa u përgjigjur. Mospërputhja e sekretit të përbashkët zakonisht duket gjithashtu si afat, sepse përgjigjja nuk kalon vërtetimin dhe hidhet. Asnjëra prej tyre nuk duket si Access-Reject, dhe asnjëra nuk rregullohet duke shtuar një llogari lokale. Kontrolloni përkufizimin e klientit dhe sekretin në të dy anët përpara se të prekni listën e metodave.

Pse llogaria lokale nuk provoi kurrë asgjë

Një llogari që qëndron pas një grupi në listë provon vetëm se dikush planifikoi një ndërprerje. Nuk thotë asgjë nëse plani funksionon, sepse rasti që e provon është rasti që askush nuk e stërvit: serveri pushoi së përgjigjuri. Një hyrje lokale që nuk arrihet kurrë në funksionim normal mund të mbajë një fjalëkalim të skaduar ose një gjendje të bllokuar për muaj të tërë pa e vënë re askush.

Qasja emergjente është një vendim projektimi, jo një efekt anësor i konfigurimit. Jepini llogarinë e vet të kufizuar, përgjegjësin e vet dhe një procedurë rikuperimi të shkruar, dhe përfshini rotacionin e sekretit të përbashkët në atë procedurë. Mbajtja e një fjalëkalimi lokal me të njëjtin emër për çdo përdorues qendror është modeli që rikthen në heshtje qasjen që mendonit se e kishit hequr.

Testi që ka rëndësi është i qëllimshëm, dhe do të ndërpresë hyrjet ndërsa ekzekutohet. Pikërisht për këtë i takon një dritareje të planifikuar me hapin e kthimit të shkruar i pari.

Kontrolloni rrugën rezervë gjatë një dritareje mirëmbajtjeje

Renditni testin që të mos hiqni kurrë rrugën e fundit të hyrjes. Konfirmoni fillimisht një rrugë të pavarur administrimi, pastaj qasjen normale të lejuar, pastaj një refuzim të qëllimshëm, pastaj sjelljen e miratuar të ndërprerjes. Këto katër raste kanë rezultate të pritshme të ndryshme, dhe bashkimi i tyre në një test të vetëm është mënyra se si njerëzit mbyllen jashtë një pajisjeje që u duhet ende.

Ekzekutoni çdo kontroll nga një sesion konsol ose nga një rrugë jashtë brezit, që një gabim të mos mund të mbyllë sesionin në të cilin punoni. Konsola është rruga e vetme që nuk varet nga komponenti në provë.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Më pas, rikthejeni konfigurimin e mëparshëm dhe konfirmoni që numëruesit lëvizin përsëri në hyrjen e ardhshme reale. Nëse refuzimi i qëllimshëm prodhon një hyrje lokale në vend të një refuzimi, atëherë lista ose trajtimi i dështimeve nuk është ajo që besonit, dhe ai zbulim është më i rëndësishëm se ndërprerja me të cilën filluat. Shkruani rezultatin në regjistrin e ndryshimeve pranë emrave të llogarive dhe datës së testit.