Pagtanggi ng RADIUS kumpara sa walang tugon: kailan tumatakbo ang lokal na pag-login

Ang pagpapanatili ng lokal na emergency account ay hindi nagiging ikalawang pagkakataon para sa bawat tinanggihang pag-login. Sa modelong AAA ng Cisco IOS at IOS XE, ang database na iyon ay tinatanong lamang kapag nabigo ang naunang pamamaraan sa isang tiyak na paraan, at ang server ng RADIUS na tumutugon nang may pagtanggi ay hindi nabigo sa ganoong paraan. Sinasaklaw ng lokal na account ang isang pamamaraang hindi maabot, hindi ang tinanggihan. Ang pag-iisip ng kabaligtaran ay ginagawang paghahanap ng depektong server na wala sa katotohanan ang isang desisyong patakaran.

Bakit mukhang hagdan ang listahan ng mga pamamaraan

Ang linyang tulad ng aaa authentication login default group radius local ay binabasa mula kaliwa pakanan, at karamihan sa mga tao ay binabasa ito bilang subukan ang RADIUS, pagkatapos subukan ang lokal na database. Inaanyayahan ng sintaks ang ganoong pagbasa dahil ang listahan ay isang pagkakasunod-sunod. Mas makitid ang kahulugan: pinangalanan ng listahan ang mga pamamaraan ng pagpapatibay, at ang tuntunin sa pag-advance mula sa isa patungo sa susunod ay nakadepende sa resulta ng naunang pamamaraan, hindi sa pagbibigay ng isa pang pagtatangka sa gumagamit.

Ang pamamaraang nagbabalik ng error at ang pamamaraang nagbabalik ng kabiguan ay humahantong dito sa magkaibang resulta. Ang pagtanggi ay isang sagot, dahil pinroseso ng server ang mga kredensyal at sinabing hindi, at doon humihinto ang listahan. Ang hindi maabot na server, nag-expire na kahilingan o tugon na hindi ma-validate ay ang kasong nagpapahintulot sa susunod na pamamaraan na tumakbo, at doon lamang kung saan ang paghawak ng kabiguan ng plataporma ay naka-configure nang ganoon. Kaya gumagana ang klasikong payo na magdagdag ng local sa mga pagkaantala at wala itong ginagawa sa maling password. Basahin ang listahan sa halip bilang dalawang tanong: aling pamamaraan ang tumutugon, at ano ang itinuturing ng plataporma na sagot.

Ihiwalay ang listahan ng mga pamamaraan sa grupo ng server

Ang listahan ng mga pamamaraan ay isang antas at ang grupo ng server ay isa pa. Pinangalanan ng keyword na group radius ang isang grupo kung saan ang panloob na pagkakasunod-sunod, muling pagtatangka, mga takdang oras at pagtukoy ng patay na server ay kabilang sa grupo, samantalang ang lokal na pamamaraan ay isang antas sa itaas nito. Kaya ang pagsasaayos ng anuman sa loob ng grupo ay hindi makapagpapalit ng pagtanggi sa fallback. Kumpirmahin kung aling listahan ang talagang tinutukoy ng serbisyo bago baguhin ang alinman sa dalawang antas.

I-print ang configuration ng AAA at basahin ang listahang itinuturo ng serbisyo, hindi ang default na naaalala mong isinulat mo. Gawin ito mula sa device kung saan talagang nagtatapos ang serbisyo.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Iniuulat ng talahanayan ng server ang estado at mga counter ng bawat entry, na nagsasabi kung naabot ng gateway ang server sa pagtatangka. Ang server na minarkahang gumagana na may tumataas na counter ng kahilingan ay tumutugon na, kaya ang nabigong pag-login ay isang desisyon at hindi problema sa koneksyon.

Basahin ang tugon bago ang log

Pinangalanan ng code ng tugon ang resulta at nagpapahiwatig ng sarili nitong susunod na hakbang. Ang Access-Reject ay nangangahulugang nagpasya ang backend, kaya ang kapaki-pakinabang na ebidensya ay ang patakarang tumugma at ang estado ng account sa likod nito. Access-Challenge ay nangangahulugang gusto ng palitan ng isa pang sinusuportahang hakbang tulad ng ikalawang salik, at ang lokal na fallback ay tahimik na lalaktawan ang isang bagay na hinihiling ng patakaran.

Muling gawin ang isang pagtatangka gamit ang itinalagang test account upang maihambing ang tugon at talaan ng backend sa parehong timestamp. Gumamit ng kredensyal na pinapayagan kang biguin.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Ang nawawala o hindi kinikilalang entry ng client ng RADIUS ay karaniwang sanhi ng tahimik na timeout, dahil natatanggap ng server ang kahilingan, walang mahanap na tugmang depinisyon ng client at itinatapon ito nang walang tugon. Ang hindi pagtutugma ng shared secret ay karaniwang mukhang timeout din, dahil nabigo ang tugon sa validation at itinatapon. Wala sa mga ito ang mukhang Access-Reject, at wala sa mga ito ang naayos sa pamamagitan ng pagdaragdag ng lokal na account. Suriin ang depinisyon ng client at ang secret sa magkabilang panig bago hawakan ang listahan ng mga pamamaraan.

Bakit hindi kailanman nagpatunay ng anuman ang lokal na account

Ang account na nakaupo pagkatapos ng isang grupo sa listahan ay nagpapatunay lamang na may nagplano para sa pagkaantala. Wala itong sinasabi kung gumagana ang plano, dahil ang kasong sumusubok dito ay ang kasong walang sinumang nagsasanay: tumigil sa pagtugon ang server. Ang lokal na pag-login na hindi kailanman naaabot sa normal na operasyon ay maaaring magdala ng nag-expire na password o naka-lock na estado nang mga buwan nang walang nakakapansin.

Ang emergency access ay desisyon sa disenyo, hindi side effect ng configuration. Bigyan ito ng sariling limitadong account, sariling may-ari at nakasulat na pamamaraan ng pagbawi, at isama ang rotation ng shared secret sa pamamaraang iyon. Ang pagpapanatili ng lokal na password na may parehong pangalan para sa bawat sentral na gumagamit ay ang pattern na tahimik na nagbabalik ng access na akala mo ay inalis mo na.

Ang test na mahalaga ay sinasadya, at makakaabala ito sa mga pag-login habang tumatakbo. Ito mismo ang dahilan kung bakit kabilang ito sa naka-iskedyul na window na ang rollback step ay nakasulat muna.

Suriin ang fallback path sa panahon ng maintenance window

Ayusin ang test upang hindi mo kailanman alisin ang huling daan papasok. Kumpirmahin muna ang independiyenteng management path, pagkatapos ang normal na pinapayagang access, pagkatapos ang sinadyang pagtanggi, pagkatapos ang aprubadong pag-uugali sa pagkaantala. Ang apat na kasong ito ay may magkaibang inaasahang resulta, at ang pagsasama-sama ng mga ito sa isang test ay ang paraan kung paano kinakandado ng mga tao ang sarili nila sa labas ng device na kailangan pa nila.

Patakbuhin ang bawat pagsusuri mula sa console session o mula sa labas ng band na landas, upang hindi maisara ng pagkakamali ang session na pinagtatrabahuhan mo. Ang console ang tanging landas na hindi nakadepende sa component na sinusubok.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Pagkatapos, ibalik ang dating configuration at kumpirmahin na gumagalaw muli ang mga counter sa susunod na tunay na pag-login. Kung ang sinadyang pagtanggi ay gumawa ng lokal na pag-login sa halip na pagtanggi, kung gayon ang listahan o ang paghawak ng kabiguan ay hindi ang inakala mo, at ang tuklas na iyon ay mas mahalaga kaysa sa pagkaantala na sinimulan mo. Isulat ang resulta sa talaan ng pagbabago sa tabi ng mga pangalan ng account at ng petsa ng test.