RADIUS rad etishi va javob yo'qligi: mahalliy kirish qachon ishlaydi

Favqulodda mahalliy hisobni saqlash uni har bir rad etilgan kirish uchun ikkinchi imkoniyatga aylantirmaydi. Cisco IOS va IOS XE AAA modelida o'sha ma'lumotlar bazasiga faqat oldingi usul ma'lum bir tarzda muvaffaqiyatsiz bo'lganda murojaat qilinadi va rad etish bilan javob beruvchi RADIUS serveri bu tarzda muvaffaqiyatsiz bo'lmagan. Mahalliy hisob yetib bo'lmaydigan usulni qamrab oladi, rad etilganini emas. Buning aksiga ishonish siyosat qarorini mavjud bo'lmagan server nosozligini izlashga aylantiradi.

Nima uchun usullar ro'yxati narvonga o'xshaydi

Shunday satr aaa authentication login default group radius local chapdan o'ngga o'qiladi va ko'pchilik uni RADIUSni sinab ko'r, keyin mahalliy bazani sinab ko'r deb o'qiydi. Ro'yxat ketma-ketlik bo'lgani uchun sintaksis shunday o'qishga chorlaydi. Ma'no torroq: ro'yxat autentifikatsiya usullarini nomlaydi va biridan keyingisiga o'tish qoidasi oldingi usul natijasiga bog'liq, foydalanuvchiga yana bir urinish berishga emas.

Xato qaytaradigan usul va muvaffaqiyatsizlik qaytaradigan usul bu yerda turli natijalarga olib keladi. Rad etish javobdir, chunki server kirish ma'lumotlarini qayta ishladi va yo'q dedi, va ro'yxat shu yerda to'xtaydi. Yetib bo'lmaydigan server, muddati o'tgan so'rov yoki tekshirib bo'lmaydigan javob keyingi usulni ishga tushirishga imkon beradigan holat, va faqat platformaning nosozliklarni qayta ishlashi shunday sozlangan joyda. Shuning uchun local qo'shish haqidagi klassik maslahat uzilishlarda ishlaydi va noto'g'ri parollarda hech narsa qilmaydi. Ro'yxatni buning o'rniga ikki savol sifatida o'qing: qaysi usul javob beradi va platforma nimani javob deb hisoblaydi.

Usullar ro'yxatini server guruhidan ajrating

Usullar ro'yxati bir qatlam, server guruhi esa boshqasi. group radius kalit so'zi ichki tartibi, qayta urinishlari, vaqt cheklovlari va o'lik serverni aniqlash guruhga tegishli bo'lgan guruhni nomlaydi, mahalliy usul esa uning ustidagi qatlam. Shuning uchun guruh ichida biror narsani sozlash rad etishni zaxira yo'lga aylantira olmaydi. Ikkala qatlamdan birini o'zgartirishdan oldin xizmat qaysi ro'yxatga murojaat qilishini tasdiqlang.

AAA konfiguratsiyasini chop eting va xizmat ko'rsatgan ro'yxatni o'qing, o'zingiz yozgan deb eslaydigan standart qiymatni emas. Buni xizmat haqiqatan tugaydigan qurilmadan qiling.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Server jadvali har bir yozuvning holati va hisoblagichlarini ko'rsatadi, bu urinish davomida shlyuz serverga yetganini aytadi. Ko'tarilayotgan so'rov hisoblagichi bilan faol deb belgilangan server javob berib kelgan, shuning uchun muvaffaqiyatsiz kirish qaror, ulanish muammosi emas.

Jurnal oldidan javobni o'qing

Javob kodi natijani nomlaydi va o'zining keyingi qadamini bildiradi. Access-Reject orqa qism qaror qabul qilganini anglatadi, shuning uchun foydali dalil mos kelgan siyosat va uning orqasidagi hisob holatidir. Access-Challenge almashinuv ikkinchi omil kabi yana bir qo'llab-quvvatlanadigan qadamni xohlashini anglatadi va mahalliy zaxira yo'l siyosat talab qilgan narsani jimgina o'tkazib yuborgan bo'lardi.

Belgilangan sinov hisobi bilan bitta urinishni qayta hosil qiling, shunda javob va orqa qism yozuvi bir vaqt belgisida taqqoslanishi mumkin. Muvaffaqiyatsiz bo'lishiga ruxsat berilgan kirish ma'lumotlaridan foydalaning.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

RADIUS mijozi yozuvining yo'qligi yoki tanilmasligi jimgina vaqt cheklovining keng tarqalgan sababi, chunki server so'rovni oladi, mos keladigan mijoz ta'rifini topmaydi va uni javobsiz tashlab yuboradi. Umumiy sirning mos kelmasligi ham odatda vaqt chekloviga o'xshaydi, chunki javob tekshiruvdan o'tmay tashlab yuboriladi. Ularning hech biri Access-Rejectga o'xshamaydi va hech biri mahalliy hisob qo'shish bilan tuzatilmaydi. Usullar ro'yxatiga tegishdan oldin ikkala tomonda mijoz ta'rifi va sirni tekshiring.

Nima uchun mahalliy hisob hech qachon hech narsani isbotlamadi

Ro'yxatda guruhdan keyin turgan hisob faqat kimdir uzilishni rejalashtirganini isbotlaydi. Reja ishlaydimi-yo'qmi, bu haqda hech narsa aytmaydi, chunki uni sinovdan o'tkazadigan holat hech kim mashq qilmaydigan holat: server javob berishni to'xtatdi. Oddiy ishda hech qachon yetib borilmaydigan mahalliy kirish oylar davomida muddati o'tgan parol yoki qulflangan holatni olib yurishi mumkin, hech kim sezmaydi.

Favqulodda kirish dizayn qarori, konfiguratsiyaning yon ta'siri emas. Unga o'zining cheklangan hisobini, o'z mas'ulini va yozma tiklash tartibini bering va umumiy sirning aylanishini shu tartibga kiriting. Har bir markaziy foydalanuvchi uchun bir xil nomdagi mahalliy parolni saqlash siz olib tashladim deb o'ylagan kirishni jimgina qaytaradigan namunadir.

Muhim sinov ataylab o'tkaziladi va ishlayotganda kirishlarni to'xtatadi. Shuning uchun u orqaga qaytarish qadami birinchi yozilgan rejalashtirilgan oynaga tegishli.

Texnik xizmat oynasida zaxira yo'lni tekshiring

Sinovni oxirgi kirish yo'lini hech qachon olib tashlamaydigan qilib tartibga soling. Avval mustaqil boshqaruv yo'lini, keyin odatiy ruxsat etilgan kirishni, keyin ataylab rad etishni, keyin tasdiqlangan uzilish xatti-harakatini tasdiqlang. Bu to'rt holatning kutilgan natijalari turlicha va ularni bitta sinovga birlashtirish odamlarning hali kerak bo'lgan qurilmadan o'zlarini qulflab qo'yish usulidir.

Har bir tekshiruvni konsol seansidan yoki tarmoqdan tashqari yo'ldan o'tkazing, shunda xato siz ishlayotgan seansni yopa olmaydi. Konsol sinovdan o'tkazilayotgan komponentga bog'liq bo'lmagan yagona yo'ldir.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Keyin avvalgi konfiguratsiyani tiklang va keyingi haqiqiy kirishda hisoblagichlar yana harakatlanishini tasdiqlang. Agar ataylab rad etish rad etish o'rniga mahalliy kirish hosil qilsa, demak ro'yxat yoki nosozliklarni qayta ishlash siz ishongan narsa emas va bu topilma siz boshlagan uzilishdan muhimroq. Natijani o'zgarishlar yozuviga hisob nomlari va sinov sanasi yoniga yozing.