RADIUS کی مستردگی بمقابلہ کوئی جواب نہیں: مقامی لاگ ان کب چلتا ہے

ہنگامی مقامی اکاؤنٹ رکھنا اسے ہر مسترد شدہ لاگ ان کے لیے دوسرا موقع نہیں بناتا۔ Cisco IOS اور IOS XE کے AAA ماڈل میں اس ڈیٹا بیس سے صرف اسی وقت رجوع کیا جاتا ہے جب پچھلا طریقہ کسی خاص انداز میں ناکام ہو، اور مستردگی کے ساتھ جواب دینے والا RADIUS سرور اس انداز میں ناکام نہیں ہوا۔ مقامی اکاؤنٹ ناقابل رسائی طریقے کا احاطہ کرتا ہے، مسترد شدہ کا نہیں۔ اس کے برعکس یقین کرنا پالیسی کے فیصلے کو ایسی سرور خرابی کی تلاش میں بدل دیتا ہے جو موجود نہیں۔

طریقوں کی فہرست سیڑھی کی طرح کیوں لگتی ہے

ایسی سطر aaa authentication login default group radius local بائیں سے دائیں پڑھی جاتی ہے، اور زیادہ تر لوگ اسے RADIUS آزمائیں، پھر مقامی ڈیٹا بیس آزمائیں کے طور پر پڑھتے ہیں۔ فقرہ سازی اس پڑھائی کو دعوت دیتی ہے کیونکہ فہرست ایک ترتیب ہے۔ معنی زیادہ تنگ ہے: فہرست توثیق کے طریقوں کے نام دیتی ہے، اور ایک سے اگلے تک جانے کا قاعدہ پچھلے طریقے کے نتیجے پر منحصر ہے، صارف کو ایک اور کوشش دینے پر نہیں۔

خرابی واپس کرنے والا طریقہ اور ناکامی واپس کرنے والا طریقہ یہاں مختلف نتائج کی طرف لے جاتے ہیں۔ مستردگی ایک جواب ہے، کیونکہ سرور نے لاگ ان کی تفصیلات پر کارروائی کر کے نہیں کہا، اور فہرست وہیں رک جاتی ہے۔ ناقابل رسائی سرور، میعاد ختم شدہ درخواست یا ایسا جواب جس کی تصدیق نہ ہو سکے وہ صورت ہے جو اگلے طریقے کو چلنے دیتی ہے، اور صرف وہیں جہاں پلیٹ فارم کی ناکامی کا انتظام ایسا ترتیب دیا گیا ہو۔ اسی لیے local شامل کرنے کا روایتی مشورہ رکاوٹوں میں کام کرتا ہے اور غلط پاس ورڈ پر کچھ نہیں کرتا۔ فہرست کو اس کے بجائے دو سوالوں کے طور پر پڑھیں: کون سا طریقہ جواب دیتا ہے، اور پلیٹ فارم کسے جواب سمجھتا ہے۔

طریقوں کی فہرست کو سرور گروپ سے الگ کریں

طریقوں کی فہرست ایک پرت ہے اور سرور گروپ دوسری۔ group radius کا لفظ ایسے گروپ کا نام دیتا ہے جس کی اندرونی ترتیب، دوبارہ کوششیں، وقتی حدود اور مردہ سرور کی شناخت گروپ سے تعلق رکھتی ہیں، جبکہ مقامی طریقہ اس کے اوپر کی پرت ہے۔ اس لیے گروپ کے اندر کچھ بھی بہتر کرنے سے مستردگی فال بیک میں نہیں بدل سکتی۔ دونوں میں سے کوئی پرت بدلنے سے پہلے تصدیق کریں کہ سروس واقعی کس فہرست کا حوالہ دیتی ہے۔

AAA کنفیگریشن چھاپیں اور وہ فہرست پڑھیں جس کی طرف سروس اشارہ کرتی ہے، نہ کہ وہ ڈیفالٹ جو آپ کو یاد ہے کہ آپ نے لکھا تھا۔ یہ اس ڈیوائس سے کریں جہاں سروس واقعی ختم ہوتی ہے۔

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

سرور کی جدول ہر اندراج کی حالت اور شمار کنندہ بتاتی ہے، جس سے پتہ چلتا ہے کہ کوشش کے دوران گیٹ وے سرور تک پہنچا یا نہیں۔ بڑھتے ہوئے درخواست شمار کنندہ کے ساتھ فعال نشان زد سرور جواب دے رہا تھا، اس لیے ناکام لاگ ان ایک فیصلہ ہے، کنیکٹیویٹی مسئلہ نہیں۔

لاگ سے پہلے جواب پڑھیں

جوابی کوڈ نتیجے کا نام دیتا ہے اور اپنے اگلے قدم کی طرف اشارہ کرتا ہے۔ Access-Reject کا مطلب ہے کہ بیک اینڈ نے فیصلہ کیا، اس لیے مفید ثبوت وہ پالیسی ہے جو مطابق ہوئی اور اس کے پیچھے اکاؤنٹ کی حالت۔ Access-Challenge کا مطلب ہے کہ تبادلہ دوسرے عامل جیسا ایک اور معاون قدم چاہتا ہے، اور مقامی فال بیک پالیسی کی مطلوبہ چیز کو خاموشی سے چھوڑ دیتا۔

نامزد ٹیسٹ اکاؤنٹ کے ساتھ ایک کوشش دوبارہ پیدا کریں تاکہ جواب اور بیک اینڈ ریکارڈ ایک ہی وقت کے نشان پر موازنہ ہو سکیں۔ ایسی لاگ ان تفصیلات استعمال کریں جنہیں ناکام کرنے کی آپ کو اجازت ہے۔

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS کلائنٹ اندراج کا نہ ہونا یا نہ پہچانا جانا خاموش وقتی حد کی عام وجہ ہے، کیونکہ سرور درخواست وصول کرتا ہے، مطابق کلائنٹ تعریف نہیں پاتا اور جواب دیے بغیر اسے پھینک دیتا ہے۔ مشترکہ راز کی عدم مطابقت بھی عام طور پر وقتی حد جیسی دکھتی ہے، کیونکہ جواب تصدیق میں ناکام ہو کر رد کر دیا جاتا ہے۔ ان میں سے کوئی بھی Access-Reject جیسا نہیں دکھتا، اور ان میں سے کوئی بھی مقامی اکاؤنٹ شامل کرنے سے ٹھیک نہیں ہوتا۔ طریقوں کی فہرست کو چھونے سے پہلے دونوں طرف کلائنٹ تعریف اور راز جانچیں۔

مقامی اکاؤنٹ نے کبھی کچھ ثابت کیوں نہیں کیا

فہرست میں گروپ کے بعد بیٹھا اکاؤنٹ صرف یہ ثابت کرتا ہے کہ کسی نے رکاوٹ کی منصوبہ بندی کی تھی۔ یہ نہیں بتاتا کہ منصوبہ کام کرتا ہے یا نہیں، کیونکہ جو صورت اسے پرکھتی ہے وہی صورت ہے جس کی کوئی مشق نہیں کرتا: سرور نے جواب دینا بند کر دیا۔ عام کارروائی میں کبھی نہ پہنچا جانے والا مقامی لاگ ان مہینوں تک میعاد ختم شدہ پاس ورڈ یا مقفل حالت لیے رہ سکتا ہے، کسی کو پتہ نہیں چلتا۔

ہنگامی رسائی ایک ڈیزائن کا فیصلہ ہے، کنفیگریشن کا ضمنی اثر نہیں۔ اسے اپنا محدود اکاؤنٹ، اپنا ذمہ دار اور تحریری بحالی طریقہ کار دیں، اور مشترکہ راز کی گردش کو اس طریقہ کار میں شامل کریں۔ ہر مرکزی صارف کے لیے ایک ہی نام کا مقامی پاس ورڈ رکھنا وہ نمونہ ہے جو آپ کی ہٹائی ہوئی سمجھی جانے والی رسائی کو خاموشی سے واپس لے آتا ہے۔

اہم ٹیسٹ جان بوجھ کر کیا جاتا ہے، اور چلتے وقت یہ لاگ ان میں رکاوٹ ڈالے گا۔ اسی لیے یہ مقررہ ونڈو میں آتا ہے جہاں رول بیک قدم پہلے لکھا جاتا ہے۔

دیکھ بھال کی ونڈو میں فال بیک راستہ جانچیں

ٹیسٹ کو ایسے ترتیب دیں کہ آپ کبھی آخری داخلے کا راستہ نہ ہٹائیں۔ پہلے خودمختار انتظامی راستہ، پھر عام اجازت شدہ رسائی، پھر جان بوجھ کر مستردگی، پھر منظور شدہ رکاوٹ کا رویہ تصدیق کریں۔ ان چار صورتوں کے متوقع نتائج مختلف ہیں، اور انہیں ایک ٹیسٹ میں سمیٹنا وہی طریقہ ہے جس سے لوگ اپنے آپ کو ایسے آلے سے باہر تالا لگا لیتے ہیں جس کی انہیں ابھی بھی ضرورت ہے۔

ہر جانچ کنسول سیشن یا بینڈ سے باہر کے راستے سے چلائیں، تاکہ غلطی اس سیشن کو بند نہ کر سکے جس میں آپ کام کر رہے ہیں۔ کنسول ہی واحد راستہ ہے جو زیرِ جانچ جزو پر منحصر نہیں۔

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

اس کے بعد پچھلی کنفیگریشن بحال کریں اور تصدیق کریں کہ اگلے حقیقی لاگ ان پر شمار کنندہ پھر حرکت کرتے ہیں۔ اگر جان بوجھ کر مستردگی مستردگی کے بجائے مقامی لاگ ان پیدا کرے، تو فہرست یا ناکامی کا انتظام وہ نہیں جو آپ نے سمجھا تھا، اور وہ دریافت آپ کی شروع کردہ رکاوٹ سے بڑی ہے۔ نتیجہ تبدیلی کے ریکارڈ میں اکاؤنٹ کے ناموں اور ٹیسٹ کی تاریخ کے ساتھ لکھیں۔