Introduction
Ce document décrit le comportement de la commande aaa authentication login default local group tacacs+ sur un périphérique Cisco IOS®.
Conditions préalables
Exigences
Cisco recommande que :
- Le nouveau modèle aaa est activé sur le périphérique.
Composants utilisés
Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Configurer
Remarque : Utilisez Cisco CLI Analyzer du catalogue d'outils Cisco afin d'obtenir plus d'informations sur les commandes utilisées dans cette section. Seuls les utilisateurs Cisco enregistrés ont accès aux informations et aux outils internes de Cisco.
Configurez ces commandes sur le périphérique en mode de configuration globale :
aaa new-model
aaa authentication login default local group tacacs+
Une fois aaa new model configurée, l'authentification locale est appliquée à toutes les lignes et interfaces (à l'exception de la ligne de console con 0).
Ici, la liste de méthodes AAA est appliquée à toutes les tentatives de connexion sur toutes les lignes du périphérique, où la première base de données locale est vérifiée, puis si nécessaire, le serveur TACACS (Terminal Access Controller Access Control System) est essayé.
username cisco privilege 15 password 0 cisco
Base de données utilisateur locale :
tacacs-server host 10.20.220.141
tacacs-server key cisco
Le serveur TACACS est maintenant configuré.
Vérifier
Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.
- Activez Debug TACACS et Debug AAA Authentication sur le périphérique testé.
RUT#show debug
General OS:
TACACS access control debugging is on
AAA Authentication debugging is on
2. Exécutez une commande telnet sur le périphérique :
RUT#show ip interface brief | exclude unassigned
Interface IP-Address OK? Method Status Protocol
FastEthernet0/1 10.197.235.96 YES DHCP up up
Loopback0 192.168.1.2 YES manual up up
RUT#telnet 192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Username: cisco
*Jul 23 09:34:37.023: AAA/BIND(0000001E): Bind i/f
*Jul 23 09:34:37.023: AAA/AUTHEN/LOGIN (0000001E): Pick method list 'default'
Password:
RUT>
Vous remarquerez qu'il n'a pas essayé d'atteindre le serveur TACACS car le nom d'utilisateur cisco a été trouvé localement.
Maintenant, si vous essayez d'utiliser une information d'identification qui n'est pas configurée localement sur la boîte :
RUT#telnet 192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Username:
*Jul 23 09:36:01.099: AAA/BIND(0000001F): Bind i/f
*Jul 23 09:36:01.099: AAA/AUTHEN/LOGIN (0000001F): Pick method list 'default'
Username: cisco1
*Jul 23 09:36:11.095: TPLUS: Queuing AAA Authentication request 31 for processing
*Jul 23 09:36:11.095: TPLUS: processing authentication start request id 31
*Jul 23 09:36:11.095: TPLUS: Authentication start packet created for 31(cisco1)
*Jul 23 09:36:11.095: TPLUS: Using server 10.20.220.141
*Jul 23 09:36:11.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: Started 5 sec timeout
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out, clean up
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/47A14C34: Processing the reply packet
% Authentication failed
Vous pouvez voir qu'il tente d'atteindre le serveur TACACS 10.20.220.141. Il s'agit d'un comportement par défaut attendu. Aucun nom d'utilisateur cisco1 n'est configuré sur le serveur TACACS. Par conséquent, l'authentification a échoué.
Si le périphérique dispose d'un groupe tacacs+ local par défaut d'authentification dans la configuration, sa première préférence est TACACS. Si le TACACS est accessible, mais qu'aucun utilisateur n'y a été configuré, il n'effectue pas de reprise et tente d'effectuer une recherche dans la base de données locale. À la place, il affiche le message Authentication failed .
Dépannage
Il n’y a actuellement aucune information spécifique disponible pour dépanner cette configuration.
Informations connexes
Commentaires