Kukataliwa na RADIUS dhidi ya hakuna jibu: wakati kuingia kwa ndani kunafanya kazi

Kuweka akaunti ya ndani ya dharura hakufanyi iwe nafasi ya pili kwa kila kuingia kulikokataliwa. Katika mfano wa AAA wa Cisco IOS na IOS XE, hifadhidata hiyo hushauriwa tu wakati mbinu ya awali inashindwa kwa namna fulani, na seva ya RADIUS inayojibu kwa kukataa haikushindwa kwa namna hiyo. Akaunti ya ndani inashughulikia mbinu isiyofikika, si ile iliyokataliwa. Kuamini kinyume chake kunabadilisha uamuzi wa sera kuwa msako wa hitilafu ya seva isiyokuwepo.

Kwa nini orodha ya mbinu inaonekana kama ngazi

Mstari kama aaa authentication login default group radius local husomwa kutoka kushoto kwenda kulia, na watu wengi huusoma kama jaribu RADIUS, kisha jaribu hifadhidata ya ndani. Sarufi inakaribisha usomaji huo kwa sababu orodha ni mfululizo. Maana ni nyembamba zaidi: orodha hutaja mbinu za uthibitishaji, na kanuni ya kuendelea kutoka moja hadi inayofuata inategemea matokeo ya mbinu iliyotangulia, si kumpa mtumiaji jaribio lingine.

Mbinu inayorudisha hitilafu na mbinu inayorudisha kushindwa hupelekea hapa matokeo tofauti. Kukataliwa ni jibu, kwa sababu seva ilichakata vitambulisho na kusema hapana, na orodha inasimama hapo. Seva isiyofikika, ombi lililoisha muda au jibu lisiloweza kuthibitishwa ni kesi inayoruhusu mbinu inayofuata kufanya kazi, na tu pale ambapo usimamizi wa kushindwa wa jukwaa umeundwa hivyo. Ndiyo sababu ushauri wa kawaida wa kuongeza local hufanya kazi wakati wa kukatika na haufanyi kitu kwa nenosiri zisizo sahihi. Soma orodha badala yake kama maswali mawili: mbinu gani inajibu, na jukwaa linachukulia nini kama jibu.

Tenganisha orodha ya mbinu na kundi la seva

Orodha ya mbinu ni tabaka moja na kundi la seva ni lingine. Neno group radius huitaja kundi ambalo mpangilio wake wa ndani, majaribio mapya, muda wa kusubiri na utambuzi wa seva iliyokufa ni mali ya kundi, wakati mbinu ya ndani ni tabaka juu yake. Kwa hiyo kurekebisha kitu chochote ndani ya kundi hakuwezi kubadilisha kukataliwa kuwa njia mbadala. Thibitisha ni orodha ipi huduma inarejelea kwa kweli kabla ya kubadilisha mojawapo ya tabaka hizo mbili.

Chapisha usanidi wa AAA na usome orodha ambayo huduma inaielekeza, si thamani ya chaguo-msingi unayokumbuka kuandika. Fanya hivyo kutoka kifaa ambacho huduma inaishia kweli.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Jedwali la seva huripoti hali na vihesabu vya kila ingizo, jambo linalokuambia kama lango lilifikia seva wakati wa jaribio. Seva iliyowekwa alama ya kuwa hai na kihesabu cha maombi kinachoongezeka imekuwa ikijibu, kwa hiyo kuingia kushindwa ni uamuzi na si tatizo la muunganisho.

Soma jibu kabla ya kumbukumbu

Msimbo wa jibu hutaja matokeo na kuashiria hatua yake inayofuata. Access-Reject inamaanisha backend ilifanya uamuzi, kwa hiyo ushahidi wa maana ni sera iliyolingana na hali ya akaunti nyuma yake. Access-Challenge inamaanisha mabadilishano yanataka hatua nyingine inayotumika kama kipengele cha pili, na njia mbadala ya ndani ingeruka kimya kitu ambacho sera inahitaji.

Zalisha tena jaribio moja kwa akaunti ya majaribio iliyoteuliwa ili jibu na kumbukumbu ya backend viweze kulinganishwa kwa muhuri huo wa muda. Tumia vitambulisho ambavyo unaruhusiwa kuvifanya kushindwa.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Ingizo la mteja wa RADIUS lililokosekana au lisilotambulika ni sababu ya kawaida ya muda wa kusubiri kimya, kwa sababu seva hupokea ombi, haipati ufafanuzi wa mteja unaolingana na huutupa bila kujibu. Kutokubaliana kwa siri inayoshirikiwa pia kwa kawaida huonekana kama muda wa kusubiri, kwa sababu jibu hushindwa uthibitisho na hutupwa. Hakuna kati ya haya linaloonekana kama Access-Reject, na hakuna linalorekebishwa kwa kuongeza akaunti ya ndani. Angalia ufafanuzi wa mteja na siri pande zote mbili kabla ya kugusa orodha ya mbinu.

Kwa nini akaunti ya ndani haikuwahi kuthibitisha chochote

Akaunti iliyo nyuma ya kundi katika orodha inathibitisha tu kwamba mtu alipanga kwa ajili ya kukatika. Haisemi chochote kuhusu kama mpango unafanya kazi, kwa sababu kesi inayoujaribu ni kesi ambayo hakuna anayeifanyia mazoezi: seva iliacha kujibu. Kuingia kwa ndani ambako hakufikiwi kamwe katika utendaji wa kawaida kunaweza kubeba nenosiri lililoisha muda au hali iliyofungwa kwa miezi bila mtu yeyote kugundua.

Ufikiaji wa dharura ni uamuzi wa usanifu, si athari ya pembeni ya usanidi. Ipe akaunti yake iliyozuiliwa, mmiliki wake na utaratibu wa urejeshaji ulioandikwa, na jumuisha mzunguko wa siri inayoshirikiwa katika utaratibu huo. Kuweka nenosiri la ndani lenye jina moja kwa kila mtumiaji wa kati ni mtindo ambao hurudisha kimya ufikiaji ambao ulidhani umeuondoa.

Jaribio lenye maana ni la kusudi, na litakatiza kuingia wakati linafanya kazi. Ndiyo sababu linamilikiwa na dirisha lililopangwa ambalo hatua ya kurudi nyuma imeandikwa kwanza.

Angalia njia mbadala wakati wa dirisha la matengenezo

Panga jaribio ili usiondoe kamwe njia ya mwisho ya kuingia. Thibitisha kwanza njia huru ya usimamizi, kisha ufikiaji wa kawaida unaoruhusiwa, kisha kukataliwa kwa kusudi, kisha tabia ya kukatika iliyoidhinishwa. Kesi hizo nne zina matokeo yanayotarajiwa tofauti, na kuziunganisha katika jaribio moja ndiyo njia ambayo watu hujifungia nje ya kifaa ambacho bado wanakihitaji.

Endesha kila ukaguzi kutoka kipindi cha konsoli au njia ya nje ya bendi, ili kosa lisiweze kufunga kipindi unachofanyia kazi. Konsoli ni njia pekee isiyotegemea kipengele kinachojaribiwa.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Baadaye, rejesha usanidi wa awali na uthibitisha kwamba vihesabu vinatembea tena kwenye kuingia halisi kunakofuata. Ikiwa kukataliwa kwa kusudi kunaunda kuingia kwa ndani badala ya kukataliwa, basi orodha au usimamizi wa kushindwa si kile ulichokiamini, na ugunduzi huo ni muhimu kuliko kukatika ulikoanzia. Andika matokeo katika kumbukumbu ya mabadiliko kando ya majina ya akaunti na tarehe ya jaribio.