Одбијање RADIUS-а наспрам без одговора: када ради локална пријава

Држање локалног налога за нужду не чини га другом шансом за сваку одбијену пријаву. У AAA моделу Cisco IOS и IOS XE, та база се проверава само када претходни метод не успе на одређен начин, а RADIUS сервер који одговори одбијањем није неуспео на тај начин. Локални налог покрива недоступан метод, а не одбијен. Веровање у супротно претвара одлуку политике у потрагу за квар сервера којег нема.

Зашто листа метода изгледа као лестве

Ред као aaa authentication login default group radius local чита се слева надесно, и већина људи то чита као пробај RADIUS, па пробај локалну базу. Синтакса позива на такво читање јер је листа низ. Значење је уже: листа именује методе аутентификације, а правило преласка са једне на следећу зависи од резултата претходног метода, а не од давања кориснику још једног покушаја.

Метод који враћа грешку и метод који враћа неуспех овде воде до различитих исхода. Одбијање је одговор, јер је сервер обрадио податке за пријаву и рекао не, и листа се ту зауставља. Недоступан сервер, истекао захтев или одговор који се не може потврдити је случај који пушта следећи метод да ради, и то само тамо где је платформско руковање неуспесима тако подешено. Зато класичан савет да додате local ради при прекидима и не чини ништа код погрешних лозинки. Листу уместо тога читајте као два питања: који метод одговара и шта платформа сматра одговором.

Одвојте листу метода од групе сервера

Листа метода је један слој, а група сервера други. Кључна реч group radius именује групу чији унутрашњи редослед, поновни покушаји, временска ограничења и откривање мртвог сервера припадају групи, док је локални метод слој изнад ње. Зато подешавање било чега унутар групе не може претворити одбијање у резервни пут. Потврдите на коју листу сервис заиста упућује пре него што промените било који слој.

Одштампајте AAA конфигурацију и прочитајте листу на коју сервис показује, а не подразумевану вредност за коју се сећате да сте је написали. Учините то са уређаја на којем сервис заиста завршава.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Табела сервера приказује стање и бројаче сваког уноса, што вам каже да ли је пролаз током покушаја стигао до сервера. Сервер означен као активан са растућим бројачем захтева је одговарао, па је неуспешна пријава одлука, а не проблем са повезивањем.

Прочитајте одговор пре дневника

Код одговора именује исход и подразумева сопствени следећи корак. Access-Reject значи да је позадински систем донео одлуку, зато је користан доказ политика која се поклопила и стање налога иза ње. Access-Challenge значи да размена жели још један подржани корак, као други фактор, а локални резервни пут би тихо прескочио нешто што политика захтева.

Репродукујте један покушај са одређеним тест налогом како би одговор и запис позадинског система могли да се упореде у истој временској ознаци. Користите податке за пријаву чији вам је неуспех дозвољен.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Недостајући или непрепознат унос RADIUS клијента чест је узрок тихог временског ограничења, јер сервер прими захтев, не нађе одговарајућу дефиницију клијента и одбаци га без одговора. Неслагање заједничке тајне такође обично изгледа као временско ограничење, јер одговор не прође проверу и бива одбачен. Ништа од тога не изгледа као Access-Reject и ништа се од тога не поправља додавањем локалног налога. Проверите дефиницију клијента и тајну на обе стране пре него што дотакнете листу метода.

Зашто локални налог никада ништа није доказао

Налог који стоји после групе на листи доказује само да је неко планирао прекид. Не говори ништа о томе да ли план ради, јер случај који га проверава јесте случај који нико не увежбава: сервер је престао да одговара. Локална пријава до које се у нормалном раду никада не стигне може месецима да носи истеклу лозинку или закључано стање, а да нико не примети.

Принудни приступ је дизајнерска одлука, а не нуспојава конфигурације. Дајте му сопствени ограничени налог, сопственог одговорног и писану процедуру опоравка, и уклопите ротацију заједничке тајне у ту процедуру. Држање локалне лозинке са истим именом за сваког централног корисника је образац који тихо враћа приступ који сте мислили да сте уклонили.

Тест који је важан је намеран и прекинуће пријаве док траје. Управо зато припада планираном термину са кораком враћања написаним првим.

Проверите резервни пут током термина одржавања

Поредајте тест тако да никада не уклоните последњи пут унутра. Прво потврдите независан пут управљања, затим уобичајени дозвољени приступ, затим намерно одбијање, затим одобрено понашање при прекиду. Та четири случаја имају различите очекиване исходе, а њихово спајање у један тест је начин на који се људи закључају из уређаја који им још треба.

Покрените сваку проверу из конзолне сесије или изванпојасног пута, како грешка не би могла да затвори сесију у којој радите. Конзола је једини пут који не зависи од компоненте која се тестира.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

После тога вратите претходну конфигурацију и потврдите да се бројачи поново померају при следећој стварној пријави. Ако намерно одбијање произведе локалну пријаву уместо одбијања, онда листа или руковање неуспесима није оно што сте веровали, и то сазнање је важније од прекида са којим сте почели. Упишите резултат у запис о промени поред имена налога и датума теста.